Piratage DGFiP : quelle indemnisation demander à l'État

Aucune indemnisation ne découle automatiquement du piratage DGFiP. Le courrier reçu depuis le 17 août 2026 exécute l'obligation d'information de l'article 34 du RGPD, le règlement européen sur la protection des données. Il décrit d'abord les données volées. Il ne reconnaît en revanche aucune dette. Le fondement d'une réparation reste donc l'article 82 du même règlement. Il exige trois choses réunies : une violation, un dommage réel, et un lien entre les deux. Le chemin passe par une réclamation adressée à l'administration, puis par le tribunal administratif si elle est refusée.

Pourquoi le premier chiffre du piratage DGFiP circule déjà de travers

Six cent soixante-dix-huit mille, répète la presse depuis le communiqué du 14 août. Ce chiffre ne désigne pourtant pas le nombre de particuliers touchés. La foire aux questions officielle du 24 août en compte un peu plus de 350 000 pour les données fiscales des particuliers. La FAQ jumelle destinée aux entreprises en ajoute ensuite un peu plus de 250 000. Les deux comptes réunis n’atteignent donc pas le total annoncé. Aucun document officiel n’explique l’écart. Le 14 août, Bercy indiquait que les investigations se poursuivaient pour déterminer le nombre d’usagers concernés. Les données cadastrales relèvent d’ailleurs d’un périmètre distinct, touché en parallèle. Quand le premier chiffre d’un dossier circule déjà de travers, les promesses de réparation qui l’accompagnent méritent le même examen.

Ce que la notification du piratage DGFiP dit, et ce qu’elle ne promet pas

L’État n’est pas une assurance. Il est ici le responsable du traitement. Ce terme du droit européen désigne l’organisme qui décide pourquoi et comment des données personnelles sont utilisées. Ce statut lui impose ainsi des obligations de protection, et rien de plus. La lettre reçue n’est donc pas un constat de faute. Ce n’est pas non plus une reconnaissance de dette, ni le premier versement d’une compensation. Le fisc t’écrit parce qu’un texte l’y oblige, pas parce qu’il te doit quelque chose.

Le piratage DGFiP touche un peu plus de 350 000 particuliers, pas 678 000

Les faits sont datés et publics. Des accès frauduleux ont visé le système d’information de la direction générale des finances publiques. La FAQ des particuliers les situe en juin et juillet 2026, alors que sa page d’ouverture résume la période par juin, juillet et août 2026. Le communiqué évoque une usurpation d’identifiants : ceux d’un agent de la DGFiP, et ceux d’un tiers habilité. Ces accès ont ensuite servi de porte d’entrée à la cyberattaque. Un agent public peut d’ailleurs se faire usurper son compte sans le savoir. L’administration parle donc d’accès illégitime, pas d’intrusion dans les comptes des usagers.

L’administration fiscale découvre le vol les 12 et 13 août. Elle saisit la CNIL, dépose plainte, puis publie un communiqué le 14 août. Ce texte annonce 678 000 particuliers et professionnels. Dix jours plus tard, les FAQ officielles ventilent ensuite ce total. La lecture précise change donc ta position de départ. Un dossier se construit sur des faits vérifiables, pas sur un chiffre de titre.

L’article 34 du RGPD informe, il n’ouvre aucun droit à réparation

Le message reçu cite lui-même son fondement. L’article 34 du RGPD oblige le responsable du traitement à communiquer la violation de données à caractère personnel aux personnes concernées. Cette obligation se déclenche quand la violation engendre un risque élevé pour leurs droits et libertés. Elle porte ensuite sur quatre éléments. La nature de la violation, décrite en termes clairs et simples. Le point de contact auprès duquel obtenir des informations. Les conséquences probables. Les mesures prises ou recommandées.

Aucun de ces éléments ne ressemble à une indemnité. Les personnes concernées reçoivent une information, par courriel ou par courrier. Elles ne reçoivent en revanche pas une offre. Recevoir la notification prouve que tu es concerné par la fuite, pas que tu es créancier. C’est la confusion la plus coûteuse du moment. Elle pousse ainsi à attendre un versement qui ne viendra jamais tout seul.

Ce qui n’a pas fuité pèse autant que ce qui a fuité

La FAQ dit sans détour quelles sont les données consultées ou extraites. La liste est précise : identifiant fiscal, état civil, coordonnées postales, téléphoniques et électroniques. S’y ajoutent la situation de famille, le nombre de personnes à charge, le nombre de parts, le revenu fiscal de référence et le taux de prélèvement à la source. La liste des messages échangés avec l’administration en fait aussi partie. Le communiqué du 14 août cite ensuite de son côté le quotient familial. Des données cadastrales portant sur les adresses et les surfaces de biens immobiliers ont également été consultées.

Les espaces personnels Finances publiques, eux, n’ont pas été compromis. Le pirate n’a pas obtenu les mots de passe des usagers, qui ne figurent pas parmi les données dérobées. Il n’a pas obtenu non plus les pièces jointes des messageries, que la FAQ indique ne pas avoir été consultées. Certaines données restent donc hors de cette fuite de données. Cette frontière compte d’ailleurs pour la suite. Elle borne ainsi le préjudice que tu pourras décrire. Elle disqualifie aussi d’avance les courriers qui affirmeraient que ton compte fiscal a été piraté.

Ce n’est pas le premier épisode de l’année chez le même responsable de traitement. À compter de la fin janvier 2026, des consultations illégitimes ont visé le fichier national des comptes bancaires FICOBA. Le communiqué du 18 février 2026 chiffre ensuite l’accès à environ 1,2 million de comptes. L’identité du titulaire, son adresse et ses coordonnées bancaires y figuraient.

Trois incidents en sept mois chez la même administration

Un troisième épisode a suivi. Le 17 août 2026, la DGFiP repère une vulnérabilité technique sur le portail des successions vacantes. Ce service en accès libre ne contient que des données publiques. L’administration coupe alors le portail. Un tiers malveillant revendique ensuite un vol. La FAQ officielle consacrée à ce portail, elle aussi datée du 24 août, précise que les investigations restent en cours pour confirmer le caractère public de l’ensemble des données extraites.

Trois incidents en sept mois chez la même administration, cela s’appelle un motif. Deux d’entre eux ont d’ailleurs déclenché une notification individuelle. C’est une raison de plus de moins dépendre de l’État pour la garde de tes informations.

L’article 82 du RGPD, le fondement d’une réparation

Il n’existe pas de loi française spéciale pour les victimes d’une fuite de données publiques. Le fondement pour demander réparation est donc européen. Il tient en un article, et il vaut la peine d’être lu avant de signer quoi que ce soit.

Le responsable du traitement, ici, c’est l’État

L’article 82 du RGPD pose une règle simple. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a droit à réparation. Elle l’obtient ensuite du responsable du traitement ou de son sous-traitant. Le texte ne distingue en revanche pas selon la nature de l’organisme. Une administration relève donc du même régime qu’une entreprise privée.

Ce point a une conséquence de procédure immédiate. La DGFiP est un service de l’État. Le litige se règle donc devant le juge administratif. Il ne se règle en revanche pas devant le tribunal judiciaire, où se plaident les fuites de données des opérateurs privés.

Trois conditions cumulatives, pas une

La Cour de justice de l’Union européenne dit le droit européen pour les vingt-sept pays. Elle a ainsi tranché le 4 mai 2023 dans l’affaire C-300/21. La simple violation du règlement ne suffit donc pas à ouvrir un droit à réparation. Il faut réunir une violation, un dommage réellement subi, et un lien de causalité entre les deux.

La même décision écarte pourtant toute exigence de gravité minimale. Un préjudice modeste reste indemnisable. Un juge ne peut donc pas rejeter une demande au motif qu’elle porterait sur peu de chose. Les deux règles se tiennent : le seuil disparaît, la preuve reste.

L’État peut s’exonérer, et ce n’est pas à toi de le prouver

Le paragraphe 3 de l’article 82 exonère le responsable du traitement dans un cas. Il doit prouver que le fait qui a provoqué le dommage ne lui est nullement imputable. Dans son arrêt C-340/21 du 14 décembre 2023, la Cour a précisé deux choses. L’accès de tiers non autorisés n’exonère d’abord pas automatiquement le responsable. La charge de prouver le caractère approprié des mesures de sécurité pèse ensuite sur lui.

Voilà l’inconnue centrale du dossier. L’attaque repose sur l’usurpation d’identifiants d’agents publics. Ces comptes étaient-ils entourés de mesures de sécurité appropriées ? C’est avant tout une question de fait. La CNIL enquête dessus, et aucun juge ne s’est encore prononcé. Affirmer aujourd’hui que l’État a fauté relève donc de l’opinion, pas du constat.

Piratage DGFiP : le parcours réel d’une demande d’indemnisation

Une demande de réparation après le piratage DGFiP ne ressemble en rien à un recours collectif américain. Un contentieux indemnitaire contre l’administration française suit en revanche un chemin balisé. Il est lent, et il devient payant à un endroit précis.

La réclamation préalable conditionne la recevabilité

L’article R. 421-1 du code de justice administrative est sans ambiguïté. Quand la requête tend au paiement d’une somme d’argent, elle n’est recevable qu’après une décision de l’administration. Cette décision doit ensuite répondre à une demande formée devant elle au préalable.

Tu ne peux donc pas saisir le juge en premier. Il faut d’abord adresser une réclamation préalable à l’administration. C’est une lettre qui chiffre ce que tu demandes et qui expose en quoi consiste ton préjudice. Cette étape est gratuite. Elle se rédige sans avocat. Elle constitue enfin à elle seule la moitié du travail.

Deux mois de silence valent refus

L’article L. 231-4 du code des relations entre le public et l’administration écarte la règle du silence valant acceptation. L’exception joue quand la demande présente le caractère d’une réclamation, ou quand elle revêt un caractère financier. Le silence gardé pendant deux mois vaut alors décision de rejet.

Ce refus implicite est une bonne nouvelle de procédure. Il fait naître la décision qui manquait, et il ouvre la voie du tribunal. C’est seulement ensuite que la requête devient recevable.

L’avocat est obligatoire et la créance se prescrit en quatre ans

Devant le tribunal administratif, une requête qui tend au paiement d’une somme d’argent doit être présentée par un avocat. C’est une condition de recevabilité, posée par l’article R. 431-2 du même code. C’est donc le point où le dossier cesse d’être gratuit. C’est surtout le calcul que personne ne pose à voix haute. Des honoraires réels contre une indemnité inconnue, sur un contentieux qu’aucun juge français n’a encore tranché.

Ajoute une horloge que presque aucune page ne mentionne. L’article 1er de la loi n° 68-1250 du 31 décembre 1968 pose une prescription quadriennale. Les créances sur l’État s’éteignent ainsi au bout de quatre ans. Le délai part du premier jour de l’année qui suit celle où le droit est né. Pour un fait générateur situé en 2026, le compteur court donc jusqu’au 31 décembre 2030.

La réclamation écrite remet le compteur à zéro

Ce compteur n’est pas figé. L’article 2 de la même loi interrompt la prescription dès qu’une demande de paiement ou une réclamation écrite arrive à l’administration. Un nouveau délai de quatre ans repart ensuite le premier jour de l’année suivante. Envoyer sa réclamation, c’est donc aussi remettre l’horloge à zéro.

Le préjudice, entre ce qui se démontre et ce qui se discute

C’est la vraie ligne de fracture du dossier. Deux personnes notifiées le même jour n’ont pourtant pas le même dossier. L’écart ne tient d’ailleurs pas à leur indignation.

La perte de contrôle est devenue un dommage réparable

La jurisprudence européenne a élargi la notion de préjudice moral. Le 4 septembre 2025, dans l’affaire C-655/23, la Cour range les sentiments négatifs dans le dommage moral. Une crainte ou un mécontentement nés d’une perte de contrôle comptent donc. À une condition : la personne doit démontrer qu’elle les éprouve, avec leurs conséquences négatives. Le 19 mars 2026, l’arrêt C-526/24 confirme ensuite que le dommage moral englobe la perte de contrôle ou l’incertitude sur le traitement.

La crainte doit être fondée, pas alléguée

Le même arrêt pose la limite. C’est elle qui décide du sort des dossiers standards. La simple allégation d’une crainte engendrée par une perte de contrôle ne suffit en revanche pas. Cette crainte doit être fondée au regard des circonstances propres à la personne. La charge d’établir le dommage effectif et le lien de causalité reste donc sur le demandeur.

La Cour ajoute deux exigences que les dossiers de masse négligent. D’abord, les conséquences invoquées doivent former un préjudice distinct de la simple violation du règlement. Ensuite, le comportement de la personne ne doit pas expliquer à lui seul son propre dommage. Il romprait alors le lien de causalité.

En langage de dossier, cette exigence sépare deux situations. La première réunit d’abord un préjudice documenté. Un appel au faux conseiller bancaire reçu après la notification. Un virement détourné. Une opposition de carte. Une souscription de crédit à ton nom. Des heures passées et des frais engagés. La seconde se limite en revanche à un sentiment d’insécurité sans pièce jointe. Le premier cas se plaide, le second se discute. Personne ne peut te garantir aujourd’hui comment un tribunal administratif français l’appréciera.

Ce que la CNIL a déjà répondu, avant même que tu la saisisses

Le réflexe partagé partout consiste à porter plainte auprès de la CNIL. Elle a répondu d’avance. Dans sa publication du 18 août 2026, l’autorité confirme qu’elle a reçu la notification des violations. Elle précise ensuite qu’il n’est pas nécessaire de lui adresser une plainte individuelle à ce sujet. Elle réserve toutefois le cas où tu détiens des éléments utiles aux investigations en cours.

Retiens surtout la nature de son office. La CNIL contrôle la conformité et peut prononcer des mesures correctrices : rappel à l’ordre, mise en demeure, injonction. Elle ne verse en revanche aucune somme aux personnes concernées. Elle l’écrit noir sur blanc dans sa rubrique de questions-réponses : seul un juge peut condamner le responsable d’un fichier à indemniser un préjudice.

Ce qu’une action groupée change après le piratage DGFiP, et ce qu’elle ne change pas

Depuis fin août, plusieurs centaines de personnes rejoignent une démarche indemnitaire coordonnée. Un avocat du barreau de Béziers la porte, sur le fondement de l’article 82 du RGPD. C’est ce qu’a rapporté franceinfo le 24 août 2026. L’initiative est d’ailleurs légitime. Le vocabulaire employé pour la décrire l’est en revanche moins.

L’action de groupe a des demandeurs verrouillés par la loi

Devant le juge administratif, l’action de groupe relève de l’article L77-10-1 du code de justice administrative. Cet article renvoie, depuis le 3 mai 2025, à l’article 16 de la loi n° 2025-391 du 30 avril 2025. Ce texte réserve ensuite la qualité pour agir à quatre familles de demandeurs. Les associations agréées. Les associations déclarées depuis deux ans, pour la seule cessation du manquement. Les organisations syndicales représentatives en matière de protection des données personnelles. Les entités qualifiées européennes. Le ministère public figure bien dans la loi, mais l’article L77-10-1 écarte sa qualité pour agir devant le juge administratif.

Un cabinet d’avocats ne figure en revanche pas dans cette liste. Un contribuable n’y figure pas davantage.

Regrouper des dossiers ne fusionne pas les procédures

Une démarche coordonnée reste une addition de dossiers individuels. Chacun conserve sa réclamation préalable, son refus implicite, sa requête et son délai. Le regroupement mutualise ainsi le travail de rédaction, l’analyse juridique et parfois le coût. Il ne crée en revanche aucune procédure unique. Il ne dispense d’aucune étape du code de justice administrative.

C’est une différence de nature, pas de degré. Elle explique pourquoi le vocabulaire des recours collectifs entretient une attente qui ne correspond pas au droit applicable. La presse parle d’ailleurs d’action collective, et non d’action de groupe.

Aucun barème d’indemnisation n’existe avant le premier jugement

Des estimations de montant commencent à circuler. Elles proviennent de ceux qui portent les demandes. Or une demande n’est pas une condamnation. Aucun tribunal administratif français ne s’est d’ailleurs encore prononcé sur ce dossier. La Cour de justice de l’Union européenne rappelle de son côté que le montant relève des règles internes de chaque État. Elle ajoute ensuite que la réparation vise à compenser le préjudice, sans dommages punitifs.

Une règle de prudence suffit ici. Tout chiffre annoncé avant qu’un juge ait statué est donc une estimation de partie. C’est vrai même quand il est présenté sous forme de tableau. La même vigilance vaut face aux sollicitations habillées en institution : un dossier sensible attire toujours des intermédiaires.

Action à réaliser dès la notification du piratage DGFiP

Le frugaliste ne court pas après une indemnité hypothétique. Il réduit d’abord la surface de perte. Tes données fiscales sont dehors, et elles n’y rentreront pas. L’objectif immédiat consiste à empêcher qu’elles servent de levier contre toi.

1. Ce soir, archive la notification avec sa date de réception, la liste exacte des données citées, et une capture de l’accusé de réception. Ce document est la pièce numéro un de tout dossier ultérieur.
2. Sous 48 heures, coupe le canal entrant. Tu ne cliques sur aucun lien reçu par courriel ou SMS au sujet du piratage de la DGFiP. Tu vas ensuite consulter ton espace en tapant toi-même impots.gouv.fr. Tu rappelles l’administration fiscale au 0809 401 401 plutôt que le numéro affiché dans un message. Elle ne demande jamais de mot de passe, de numéro de carte bancaire ni de coordonnées bancaires par message.
3. Sous 7 jours, surveille les mouvements sensibles sur ton espace fiscal et ton compte bancaire : changement d’adresse, modification de coordonnées bancaires, prélèvement inconnu. Un appel au faux conseiller bancaire s’appuie sur des informations exactes pour paraître crédible, exactement comme les arnaques montées à l’aide de l’IA.
4. Si un préjudice se matérialise, tu signales sur cybermalveillance.gouv.fr, tu déposes plainte via la plateforme THÉSÉE ou au commissariat, et tu conserves chaque message, capture d’écran et relevé.
5. Vérification : tu sais que c’est fait quand tu peux produire, dans un seul dossier, la notification datée, la liste des données concernées, et la trace de chaque incident survenu depuis.

Le prompt qui classe tes pièces et pose ton calendrier

Le classement de ces pièces prend une heure. Il se fait ensuite plus vite en le dictant. Voici la formulation qui produit un dossier exploitable plutôt qu’un cours de droit. Les dates que ce prompt calcule restent toutefois indicatives. Avant de t’y fier pour une échéance, recoupe-les toi-même avec les textes cités plus haut.

La leçon de fond dépasse le piratage DGFiP. Chaque administration et chaque plateforme qui détient tes informations est une porte. Une porte finit par s’ouvrir. Réduire le nombre de portes reste donc plus efficace que de courir après le serrurier. C’est ce que détaille la méthode pour effacer ses traces en ligne. Ton revenu fiscal de référence circule désormais sans toi. Autant savoir enfin quels leviers légaux le font baisser.

Questions fréquentes sur l’indemnisation après le piratage DGFiP

Vais-je recevoir une indemnisation automatique après le piratage DGFiP ?

Non. La notification envoyée par la DGFiP exécute l’obligation d’information de l’article 34 du RGPD. Elle décrit les données consultées et les mesures de vigilance à adopter. Aucun texte ne prévoit de guichet, de fonds ni de versement automatique. Une réparation suppose une démarche individuelle, fondée sur l’article 82 du RGPD. Elle passe par une réclamation adressée à l’administration, puis par une requête devant le tribunal administratif si cette réclamation est refusée.

Dois-je déposer une plainte auprès de la CNIL après le piratage DGFiP ?

La CNIL a écrit le 18 août 2026 qu’elle avait été notifiée de ces violations. Elle ajoute qu’il n’est pas nécessaire de la saisir d’une plainte individuelle à ce sujet, sauf si tu détiens des éléments utiles aux investigations en cours. Une plainte CNIL ne verse jamais d’indemnité. L’autorité contrôle la conformité et peut prononcer des mesures correctrices. Elle écrit elle-même que seul un juge peut condamner le responsable d’un fichier à réparer un préjudice.

Combien de personnes sont concernées par le piratage DGFiP ?

Le communiqué du 14 août 2026 annonce 678 000 particuliers et professionnels. Les FAQ officielles du 24 août sont plus fines. Elles comptent un peu plus de 350 000 particuliers pour les données fiscales, et un peu plus de 250 000 professionnels. Aucun document officiel n’explique l’écart avec le total annoncé. Les données cadastrales relèvent d’un périmètre distinct, touché en parallèle. Pour moins de 250 contribuables, le contenu des messages échangés avec l’administration a aussi été volé.

Faut-il un avocat pour demander réparation à l'État ?

Devant le tribunal administratif, oui. Une requête qui tend au paiement d’une somme d’argent doit être présentée par un avocat, à peine d’irrecevabilité. C’est l’article R. 431-2 du code de justice administrative qui le dit. La réclamation préalable adressée à l’administration se rédige sans avocat. L’aide juridictionnelle reste ouverte sous conditions de ressources.

Combien de temps ai-je pour agir après le piratage DGFiP ?

Deux délais se superposent. Le silence gardé deux mois par l’administration sur une réclamation vaut décision de rejet, en application de l’article L. 231-4 du code des relations entre le public et l’administration. Ce refus ouvre le délai de recours devant le juge. Au-delà, la loi n° 68-1250 du 31 décembre 1968 éteint les créances sur l’État quatre ans après le 1er janvier de l’année suivant celle où le droit est né. Son article 2 prévoit qu’une réclamation écrite adressée à l’administration interrompt cette prescription et fait repartir quatre ans.

Une action collective menée par un avocat est-elle une action de groupe ?

Non, ce sont deux objets juridiques distincts. Devant le juge administratif, l’action de groupe est régie par l’article L77-10-1 du code de justice administrative, qui renvoie à l’article 16 de la loi n° 2025-391 du 30 avril 2025. Elle est réservée aux associations agréées, aux associations déclarées depuis deux ans pour la seule cessation du manquement, aux organisations syndicales représentatives et aux entités qualifiées européennes. Le ministère public figure dans la loi, mais il est écarté devant le juge administratif. Un cabinet qui regroupe des clients dépose en réalité des dossiers individuels coordonnés.

Mon mot de passe impots.gouv.fr a-t-il été volé dans le piratage DGFiP ?

Non. La FAQ officielle du 24 août 2026 indique que les espaces Finances publiques des particuliers et des professionnels n’ont pas été compromis. Elle précise que le mot de passe ne fait pas partie des données dérobées. Le changer n’est pas nécessaire, même si rien ne l’interdit. Le risque principal porte sur l’hameçonnage, rendu crédible par les données volées.