Plusieurs centaines de victimes du piratage du fisc rejoignent une action collective contre l'État.

Après le piratage de la DGFiP touchant **678 000 personnes**, plusieurs centaines de contribuables se joignent à une action collective contre l'État. Ils demandent réparation pour **préjudice moral** sur le fondement de l'article 82 du **RGPD**.

L'analyse

📌 **FAITS**

- Fin juin 2026, cyberattaque contre la Direction générale des finances publiques (DGFiP) – **678 000 victimes** (particuliers et professionnels), dont environ **350 000 contribuables**.

- Le 12 août, un message de revendication paraît sur un forum de cybercriminels ; le 13 août, Bercy confirme la fuite ; le 18 août, le ministre David Amiel présente des excuses publiques.

- Plusieurs centaines de contribuables se joignent à une action en justice initiée par l'avocat **Jérémy Roche** (barreau de Béziers), sur la base de l'article 82 du RGPD.

- Les données dérobées : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, données cadastrales (adresse, surface). Aucun mot de passe ni coordonnées bancaires n'ont été volés.

📍 **CONTEXTE**

- La CJUE, dans un arrêt du **14 décembre 2023** (fisc bulgare piraté en 2019, 6 millions de personnes), a jugé que la crainte d'une utilisation abusive des données peut constituer un **préjudice moral indemnisable**. Cet arrêt sert aujourd'hui de fondement juridique à l'action collective française.

- La fuite est qualifiée par plusieurs commentateurs de **"plus grave de l'histoire de notre pays"**.

👥 **ACTEURS**

- **Jérémy Roche** : avocat, ouvre l'action à toutes les victimes et recueille les demandes.

- **David Amiel** : ministre de l'Action et des Comptes publics, a présenté ses excuses au nom du gouvernement.

- **CNIL** : notifiée, mais les plaintes individuelles n'accélèrent rien et n'ouvrent pas de droits supplémentaires.

📊 **ENJEUX**

- L'article 82 du RGPD permet une indemnisation directe des victimes, distincte des amendes CNIL (versées au Trésor public).

- Le préjudice moral (angoisse, perte de contrôle) est au cœur de la demande, mais doit être **démontré**. Peu de jurisprudence française existe sur les montants.

- Les victimes risquent des **tentatives d'hameçonnage** ; la vigilance est essentielle.

🔮 **PERSPECTIVES**

- Si l'action aboutit, elle pourrait **fixer un précédent** pour les futures violations de données massives en France.

- Les montants d'indemnisation restent incertains, mais les plaignants espèrent une reconnaissance symbolique de leur préjudice.

Contexte

Similaire à la cyberattaque contre le fisc bulgare en 2019, la CJUE a établi en 2023 que la crainte d'abus peut être indemnisable.

Pourquoi c'est important

Ce piratage concerne directement 678 000 personnes, dont des contribuables dont les revenus et adresses ont été exposés. L'action collective permet d'obtenir réparation pour un préjudice moral, même sans perte financière. Comprendre les démarches et les risques d'arnaques est essentiel pour se protéger.

Acteurs clés

Jérémy Roche — Avocat au barreau de Béziers
Ouvre l'action collective à toutes les victimes
David Amiel — Ministre de l'Action et des Comptes publics
Présente des excuses au nom du gouvernement

Chiffres clés

678 000 — Victimes de la cyberattaque (Le Figaro)
350 000 — Contribuables concernés (Le Figaro)
plusieurs centaines — Plaignants dans l'action collective (Selectra)

Et ensuite

Scénario tendanciel : l'action collective aboutit à une indemnisation symbolique, fixant un précédent. Scénario de rupture : un jugement important oblige l'État à renforcer sa cybersécurité et à indemniser massivement, dissuadant les futures fuites.

Questions fréquentes

Que faire si je suis victime du piratage du fisc ?

Conservez les preuves, signalez sur la plateforme publique, déposez plainte, et méfiez-vous des tentatives d'hameçonnage. Vous pouvez aussi rejoindre l'action collective menée par Me Jérémy Roche.

Qu'est-ce que l'article 82 du RGPD ?

Cet article ouvre un droit à réparation pour tout dommage subi du fait d'une violation du RGPD, y compris un préjudice moral comme l'angoisse ou la perte de contrôle de ses données personnelles.

Sources

Lire l'analyse complète dans PRISM