La présidente de la CNIL, Marie-Laure Denis, a révélé que la Direction générale des Finances publiques (DGFiP) fera l'objet d'un contrôle sur site. L'enquête vise à déterminer si des manquements au RGPD ont eu lieu après le piratage estival. L'Agence nationale des titres sécurisés (ANTS), elle aussi victime d'une attaque, est également dans le viseur de l'autorité. Des sanctions sont envisagées.
La nouvelle a été officialisée par la présidente de la Commission nationale de l'informatique et des libertés (CNIL), Marie-Laure Denis, lors de l'émission « Cash Investigation » diffusée sur France 2. Après le piratage massif qui a touché la Direction générale des Finances publiques (DGFiP) durant l'été, exposant les informations de près de 700 000 contribuables, l'autorité de protection des données a décidé de lancer une procédure de contrôle. Ses équipes se rendront « dans les tout prochains jours » dans les locaux du fisc pour mener l'enquête.Pourquoi la CNIL intervient-elle maintenant ?
L'intervention fait suite à une série d'intrusions dans les systèmes d'information du fisc qui ont secoué l'administration cet été. Ces incidents se sont soldés par un vol de données d'une ampleur considérable, touchant des informations personnelles et financières très sensibles. Parmi les données dérobées figurent des éléments comme le revenu de référence ou le taux de prélèvement à la source, créant une vive polémique sur le niveau de sécurité des infrastructures de l'État.
L'objectif principal de ce contrôle sur place est clair : « comprendre ce qui s’est passé », comme l'a expliqué Marie-Laure Denis. Les enquêteurs chercheront à déterminer si la DGFiP avait mis en œuvre les mesures de sécurité adéquates, conformément aux obligations imposées par le Règlement Général sur la Protection des Données (RGPD). C'est la potentielle violation de cette réglementation qui motive l'action de l'autorité.Quelles conséquences pour l'administration fiscale ?
À l'issue de son enquête, la CNIL dispose de plusieurs leviers. Selon les conclusions de ses agents, elle pourra soit adresser une « mise en demeure » à la DGFiP, lui ordonnant de corriger ses failles dans un délai imparti, soit engager une procédure de sanction. Ce processus, qui prendrait plusieurs mois, marquerait une étape significative dans la responsabilisation des services publics.
Cependant, il est essentiel de noter une particularité du système français : l'État, et donc ses ministères, ne peut pas se voir infliger d'amende administrative par la CNIL. Cette immunité ne s'applique pas à d'autres entités publiques. Néanmoins, la présidente de l'autorité a insisté sur le « devoir d’exemplarité » de l’État, qui gère des données intimes que les citoyens sont contraints de lui fournir. Le « contrat de confiance » est donc en jeu.
La DGFiP est-elle la seule administration concernée ?Le cas de la DGFiP n'est malheureusement pas isolé. Marie-Laure Denis a également annoncé un contrôle similaire visant l'Agence nationale des titres sécurisés (ANTS). Cette dernière a été victime d'une cyberattaque massive en avril, qui a entraîné la fuite des données de près de 12 millions de personnes. Contrairement à la DGFiP, l'ANTS, en tant qu'établissement public administratif, pourrait écoper d'une sanction pécuniaire.
Ces événements mettent en lumière des fragilités plus profondes. Un rapport de la commission des Finances du Sénat avait déjà pointé du doigt des « fragilités structurelles » dans les systèmes d'information de la DGFiP, ainsi que des lacunes dans les contrôles post-incidents. Le rapport soulignait notamment que certaines données sensibles n'étaient même pas protégées par une double authentification, un manquement grave à ce niveau de responsabilité.
merci à GNT
