La Cnil va contrôler la Direction générale des finances publiques (DGFiP). La présidente de l’autorité de protection des données, Marie-Laure Denis, a annoncé cette décision dans l’émission Cash Investigation diffusée jeudi soir sur France 2, après les cyberattaques de cet été qui ont entraîné le vol des données personnelles de près de 700 000 personnes.
Une inspection dans « les tout prochains jours »
« J’ai demandé aux équipes de la Cnil de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques », a déclaré Marie-Laure Denis dans une interview enregistrée lundi et diffusée ce jeudi soir. Cette annonce intervient après une série d’intrusions dans les systèmes d’information du fisc pendant l’été, qui ont exposé les données personnelles de centaines de milliers de contribuables et relancé les interrogations sur le niveau de sécurisation des données détenues par l’État.
La présidente de l’autorité administrative indépendante a précisé les suites possibles de ce contrôle. « Il nous paraît important de comprendre ce qui s’est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences : soit une mise en demeure d’ici la fin de l’année, soit une orientation vers une sanction », a-t-elle détaillé.
Des sanctions limitées face à l’État
Comme toute autorité administrative, la Cnil dispose toutefois d’un arsenal réduit lorsqu’elle cible l’État. Elle ne peut pas infliger d’amende à une administration publique. L’autorité conserve néanmoins d’autres outils, comme le rappel à l’ordre ou l’injonction de mise en conformité, mais aucun de ces dispositifs ne se traduit par une sanction financière.
Cette particularité juridique limite la portée du contrôle annoncé, même si l’effet réputationnel et l’obligation de corriger les failles identifiées restent significatifs pour la DGFiP.
L’ANTS également dans le viseur
Le fisc n’est pas la seule administration concernée. Dans l’émission, Marie-Laure Denis indique avoir également demandé à ses agents de procéder à un contrôle de l’Agence nationale des titres sécurisés (ANTS). Cet organisme, qui gère notamment les pièces d’identité, avait été ciblé en avril par une attaque massive, avec le vol des données de près de 12 millions de particuliers et de professionnels.
« L’État a un devoir d’exemplarité particulier. Ça fait partie justement du contrat de confiance entre l’État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l’État », a commenté la présidente de la Cnil.
Un audit déjà demandé par Matignon
Dès le mois d’août, le Premier ministre Sébastien Lecornu avait demandé à l’Agence nationale de sécurité des systèmes d’information (Anssi) de réaliser un « audit approfondi » sur le vol de données au fisc. Une note du président et du rapporteur de la commission des Finances au Sénat, consultée par l’AFP, avait ensuite révélé « plusieurs fragilités structurelles des systèmes d’information » de la DGFiP, ainsi que des « lacunes dans les contrôles réalisés à la suite de ces incidents ».
Ces constats convergent vers une même conclusion : les attaques de l’été n’ont pas seulement exposé des données sensibles, elles ont aussi mis en lumière des défaillances organisationnelles et techniques au sein de l’administration fiscale.
Quelles conséquences pour les victimes ?
Pour les près de 700 000 personnes dont les données ont été dérobées, les risques restent concrets : usurpation d’identité, hameçonnage ciblé ou tentatives de fraude. Les autorités recommandent aux personnes concernées de rester vigilantes face aux messages suspects et de signaler toute activité anormale.
Le contrôle de la Cnil, s’il ne peut aboutir à une amende, pourrait néanmoins contraindre la DGFiP à renforcer ses protections et à rendre des comptes sur les mesures correctives mises en place. Une mise en demeure avant la fin de l’année constituerait un premier signal fort, à défaut d’une sanction financière.
Ce qu’il faut retenir
La Cnil va inspecter la DGFiP dans les prochains jours après le vol des données de 700 000 personnes cet été. L’autorité examine aussi l’ANTS, touchée par une fuite de 12 millions de données en avril. Faute de pouvoir infliger une amende à l’État, la Cnil pourrait prononcer une mise en demeure ou orienter le dossier vers une sanction avant la fin de l’année. L’enjeu dépasse le cas du fisc : il engage la confiance des citoyens dans la capacité de l’État à protéger leurs données personnelles.
Laisser un commentaire