En juin et juillet 2026, des accès illégitimes au système d’information de la direction générale des finances publiques ont permis la consultation et l’extraction de données de particuliers et de professionnels, après usurpation des identifiants d’agents publics. C’est ce qu’indique la FAQ publiée par le ministère de l’économie le 21 août 2026, qui précise que les personnes concernées reçoivent depuis le 17 août 2026 un message d’information de la DGFiP et énumère les données ayant pu être consultées : identifiant fiscal, état civil, coordonnées, situation fiscale et messages échangés avec l’administration. Parallèlement, des contribuables découvrent, hors de tout incident collectif, que leur espace personnel sur impots.gouv.fr a été utilisé à leur insu : déclaration modifiée, coordonnées bancaires substituées, avis d’imposition inattendus. Les deux situations se rejoignent sur un point : des données fiscales hautement sensibles circulent ou sont exploitées sans l’accord de la personne, et chaque semaine qui passe sans réaction aggrave le risque d’escroquerie, d’usurpation d’identité et de redressement à tort. Cet article décrit la conduite à tenir, les droits mobilisables et les voies de réparation, à partir des sources officielles et des textes applicables vérifiés dans leur version en vigueur.
I. Couper l’accès et figer la situation fiscale
A. Reprendre la main sur l’espace impots.gouv.fr
Le premier réflexe consiste à empêcher que le tiers continue d’agir dans l’espace. La direction générale des finances publiques indique elle-même la conduite à tenir face aux messages frauduleux : pour accéder à l’espace Finances publiques, il faut se connecter directement sur le site officiel ou l’application, et ne cliquer en aucun cas sur un lien figurant dans un courriel, un SMS ou une publication. Cette recommandation figure dans la FAQ consacrée aux accès illégitimes au système d’information de la DGFiP. Elle vaut aussi bien pour la victime du vol de données de l’été 2026 que pour celle d’un piratage individualisé de son compte.
Concrètement, la reprise en main suit un ordre précis. D’abord, se connecter soi-même en saisissant l’adresse dans le navigateur, vérifier les dernières connexions et les opérations visibles, puis modifier le mot de passe avec une formule longue et unique, différente de celle de la boîte électronique. Ensuite, vérifier et corriger l’adresse électronique et le numéro de téléphone de contact rattachés au profil, car le pirate modifie souvent ces coordonnées pour conserver un accès ou intercepter les codes. Lorsque la connexion par identifiants fiscaux reste possible, activer ou réactiver les dispositifs de sécurité proposés et dissocier les tiers autorisés dont la présence ne s’explique pas. Si l’accès est impossible parce que le mot de passe, l’adresse électronique ou les identifiants FranceConnect ont été changés, utiliser les procédures officielles de récupération du site des impôts et, en cas d’échec, contacter le service d’assistance aux usagers par les canaux figurant sur le site officiel, jamais par un numéro reçu dans un message non sollicité.
La même vigilance s’applique à la boîte électronique associée au compte fiscal. Un pirate qui contrôle la messagerie peut réinitialiser la plupart des accès. Changer son mot de passe, vérifier les règles de transfert automatique et les adresses de récupération, puis examiner les messages émis ou effacés par le tiers : ces éléments serviront ensuite de preuves. La page officielle de signalement des arnaques usurpant l’identité des impôts rappelle que l’administration fiscale ne demande jamais d’informations confidentielles par courriel, SMS ou téléphone ; tout message qui en réclame est donc suspect et doit être conservé tel quel, avec ses en-têtes, avant tout signalement.
Le cas particulier de FranceConnect mérite une attention distincte. L’espace impots.gouv.fr peut être atteint via FranceConnect, qui centralise l’identité numérique à partir des comptes des impôts, de l’assurance maladie ou de l’identité numérique de La Poste. Un pirate qui a compromis l’un de ces comptes peut rebondir vers les autres. La reprise en main doit donc s’étendre à chacun des comptes fédérés : changer leurs mots de passe, vérifier leurs historiques, révoquer les sessions actives. L’article du site consacré au compte FranceConnect piraté et aux démarches pour couper les accès décrit cette logique de verrouillage en chaîne, qui s’applique pleinement ici puisque le compte fiscal fait partie des services accessibles par ce vecteur.
B. Faire constater l’atteinte et figer les preuves
La seconde urgence consiste à figer ce qui pourra démontrer l’intrusion. Conserver les messages suspects avec leurs en-têtes complets, photographier les écrans affichant des opérations inconnues, relever les dates et heures des connexions anormales, archiver les accusés de réception des déclarations que la personne n’a pas souscrites. Lorsque la DGFiP adresse un message d’information aux personnes concernées par le vol de données de l’été 2026, conserver ce message : il établit le lien entre la situation individuelle et l’incident collectif. La FAQ officielle précise que les personnes concernées reçoivent, depuis le 17 août 2026, un message de la DGFiP par courriel ou, à défaut d’adresse électronique connue, par courrier, et elle énumère les données ayant pu être consultées, dont l’identifiant fiscal, l’état civil, les coordonnées, la situation fiscale et la liste des messages échangés avec l’administration. Cette énumération figure dans la FAQ de la direction générale des finances publiques et permet de rattacher chaque anomalie ultérieure à un périmètre de données précis.
Le dépôt de plainte obéit ensuite à un circuit balisé. La même FAQ officielle invite d’abord à conserver toutes les preuves, puis à effectuer un signalement sur la plateforme cybermalveillance.gouv.fr, et enfin à déposer plainte auprès de la police ou de la gendarmerie, en ligne depuis la plateforme THÉSÉE pour les arnaques sur internet. Ce parcours vaut pour la tentative de fraude comme pour la fraude consommée : un RIB modifié, une déclaration altérée ou un avis d’imposition émis à partir d’informations inexactes justifient le dépôt de plainte. Sur le plan pénal, l’usurpation d’identité est définie par le article 226-4-1 du code pénal : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le texte ajoute que l’infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. La qualification pénale exacte des faits appartient au procureur et au juge à partir des éléments transmis, mais ce texte donne le fondement le plus souvent mobilisé lorsque des données fiscales servent à agir au nom de la victime.
La Cour de cassation a déjà eu à appliquer ce texte à des usages numériques de l’identité d’autrui. Dans un arrêt du 16 novembre 2016, la chambre criminelle a rejeté le pourvoi d’un prévenu condamné pour avoir créé un site reprenant la photographie et la charte graphique d’une élue afin d’y faire paraître de faux communiqués, retenant que ces éléments caractérisaient l’élément matériel du délit d’usurpation d’identité. Cette décision, consultée dans son texte intégral sur Judilibre (Cass. crim., 16 nov. 2016, n° 16-80.207), montre que l’usage de données identifiantes sur un support numérique suffit à entrer dans le champ de l’incrimination, sans qu’il soit nécessaire que l’imitation soit parfaite. Par analogie procédurale, et sans préjuger de la qualification que le parquet retiendra dans chaque dossier fiscal, une déclaration ou un changement de coordonnées effectué au nom du contribuable à partir de ses identifiants relève du même mécanisme : usage de données identifiantes sur un réseau en ligne.
Au-delà de l’usurpation d’identité, l’intrusion dans un espace fiscal peut relever des infractions propres aux systèmes de traitement automatisé de données. Le article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le même texte porte la peine à sept ans d’emprisonnement et 300 000 euros d’amende lorsque les faits visent un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État. Le article 323-3 du code pénal vise pour sa part « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient », puni de cinq ans d’emprisonnement et de 150 000 euros d’amende, peine portée à sept ans et 300 000 euros contre un système étatique de données personnelles. La collecte des identifiants par hameçonnage peut en outre correspondre au article 226-18 du code pénal : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Et lorsqu’une déclaration ou un document fiscal est altéré pour établir un droit, le article 441-1 du code pénal définit le faux comme « toute altération frauduleuse de la vérité, de nature à causer un préjudice et accomplie par quelque moyen que ce soit, dans un écrit ou tout autre support d’expression de la pensée qui a pour objet ou qui peut avoir pour effet d’établir la preuve d’un droit ou d’un fait ayant des conséquences juridiques ». La qualification exacte appartient au parquet puis au juge ; la plainte doit donc décrire des faits datés et documentés plutôt qu’affirmer une qualification. Sur le dépôt lui-même, le article 15-3 du code de procédure pénale prévoit que « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents ».
Parallèlement au dépôt de plainte, il faut alerter l’administration fiscale par ses canaux officiels : signaler l’accès frauduleux, demander le rétablissement des coordonnées exactes, contester par écrit chaque opération inconnue et solliciter la correction de la situation fiscale. Chaque courrier doit être conservé avec sa preuve de dépôt, car ces échanges démontreront ensuite la diligence de la victime et la persistance éventuelle de l’administration à lui opposer des actes émanant du pirate. Lorsque la victime constate que ses données ont été extraites sans son accord, elle peut également saisir la Commission nationale de l’informatique et des libertés après avoir exercé ses droits auprès du responsable du traitement, selon le parcours que la Commission décrit sur la page consacrée aux droits des personnes.
II. Exercer ses droits et obtenir réparation
A. Accès, rectification, effacement : les droits RGPD face à l’administration fiscale
Toute personne peut demander à savoir quelles données l’administration détient sur elle et en obtenir la copie. Ce droit d’accès est posé par le règlement européen : toute personne peut obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’aux informations énumérées par le texte, dont les finalités, les catégories et les destinataires (article 15 du règlement (UE) 2016/679). Concrètement, la demande adressée à la DGFiP doit viser la copie des données du compte fiscal, l’historique des connexions, les modifications de coordonnées et les déclarations enregistrées sur la période suspecte. Une demande distincte peut viser la liste des destinataires auxquels les données ont été communiquées, afin de repérer les transmissions déclenchées par le pirate, par exemple vers un faux compte bancaire.
Lorsque des informations inexactes figurent au dossier, le droit de rectification permet d’en exiger la correction. Une adresse électronique substituée, un numéro de téléphone inconnu, un RIB qui n’appartient pas au contribuable ou une situation de famille modifiée doivent être signalés comme inexacts, avec les justificatifs correspondants. Lorsque des messages ou des pièces ont été déposés par le tiers dans la messagerie du compte, la personne peut en demander la suppression lorsqu’ils ne correspondent à aucune démarche de sa part. Ce droit à l’effacement est prévu par l’article 17 du règlement (UE) 2016/679, qui ouvre à toute personne le droit d’obtenir dans les meilleurs délais l’effacement des données la concernant lorsque l’un des motifs énumérés s’applique. L’administration peut toutefois opposer que certaines données doivent être conservées pour respecter une obligation légale ou pour la constatation, l’exercice ou la défense de droits en justice ; dans ce cas, elle doit l’expliquer, et la personne peut demander à tout le moins la limitation de l’utilisation des données contestées le temps de la vérification.
Le règlement encadre le temps de réponse : le responsable du traitement informe la personne des mesures prises à la suite d’une demande fondée sur les articles 15 à 22 dans les meilleurs délais et en tout état de cause sous un mois à compter de la réception, ce délai pouvant être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à charge d’en informer la personne (article 12, paragraphe 3, du règlement (UE) 2016/679). En pratique, il faut donc dater chaque demande, l’envoyer par un moyen qui en établit la réception, et relancer à l’échéance. Le silence ou le refus oppose ensuite un point d’appui solide pour la suite : la Commission nationale de l’informatique et des libertés peut être saisie en ligne après l’exercice des droits auprès de l’organisme, et le juge peut être saisi pour ordonner la communication ou la correction.
Du côté du responsable du traitement, la violation de données obéit à des obligations propres dont la victime peut se prévaloir dans ses échanges. En cas de violation, le responsable la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés (article 33, paragraphe 1, du règlement (UE) 2016/679). Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés, le responsable la communique aussi à la personne concernée dans les meilleurs délais, en des termes clairs et simples, avec la nature de la violation et les mesures prises. Cette seconde règle est celle de l’article 34, paragraphe 1, du règlement (UE) 2016/679. Pour la victime du vol de données DGFiP de l’été 2026, le message d’information reçu depuis le 17 août 2026 constitue la trace de cette communication ; pour la victime d’un piratage individualisé resté ignoré de l’administration, la demande écrite invitant la DGFiP à vérifier s’il y a eu violation et à notifier le cas échéant crée une pièce utile, sans que la personne ait à qualifier elle-même l’incident.
B. Contester les actes émis à tort et chiffrer son préjudice, y compris à Paris et en Île-de-France
Une fois l’accès repris et les preuves figées, il faut corriger la situation fiscale concrète. Chaque acte émis à partir des agissements du tiers doit être contesté séparément : déclaration rectificative pour neutraliser une déclaration mensongère, demande de rétablissement du RIB authentique, contestation de l’avis d’imposition établi sur des bases inexactes, opposition aux majorations appliquées à tort. Ces démarches suivent les voies de réclamation propres à la matière fiscale et doivent être engagées sans attendre l’issue de la plainte pénale, car l’administration et le juge pénal avancent à des rythmes différents. Les contribuables qui ont reçu une proposition de rectification ou une mise en recouvrement fondée sur des éléments introduits par le pirate doivent répondre dans les délais indiqués sur le document reçu, en joignant la plainte, le signalement et les captures prouvant l’intrusion. Aucun développement général ne peut se substituer à la lecture de ces mentions : seuls les délais figurant sur l’acte reçu et les textes vers lesquels il renvoie déterminent la conduite à tenir.
À Paris et en Île-de-France, quelques points pratiques méritent l’attention. La plainte peut être déposée dans tout commissariat ou brigade de gendarmerie du lieu de résidence ou du lieu des faits, et les services parisiens reçoivent un volume élevé de plaintes pour escroqueries numériques : apporter un dossier classé par ordre chronologique, avec la liste des opérations inconnues, les références des avis concernés et les copies des échanges avec l’administration, facilite l’enregistrement et la suite donnée. Les demandes adressées à la DGFiP suivent les circuits nationaux de la messagerie sécurisée et des services des impôts des particuliers, sans guichet parisien dérogatoire ; en revanche, les litiges fiscaux relèvent du tribunal administratif de Paris pour les contribuables parisiens, et les demandes indemnitaires fondées sur le règlement européen peuvent être portées devant le juge judiciaire, selon la répartition décrite ci-dessous. Les permanences d’aide aux victimes et les dispositifs d’accompagnement numérique du ressort peuvent aider à sécuriser les comptes, mais ils ne remplacent ni la plainte ni les réclamations écrites.
La réparation du préjudice suit deux voies complémentaires. D’une part, le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du règlement (UE) 2016/679). La Cour de cassation en a précisé le régime dans un arrêt du 24 juin 2026 : la simple violation du règlement ne suffit pas à ouvrir droit à réparation, la personne doit établir un dommage matériel ou moral causé par cette violation, sans que la réparation du dommage moral soit subordonnée à un seuil de gravité, et l’indemnisation remplit une fonction compensatoire, non punitive. Cette solution, rendue au visa de l’article 82 et des arrêts de la Cour de justice du 4 mai 2023 et du 25 janvier 2024, figure dans l’arrêt de la chambre sociale du 24 juin 2026 (n° 24-22.792, Natixis), consulté dans son texte intégral sur Judilibre. Concrètement, la victime d’un piratage fiscal doit donc documenter chaque poste : sommes prélevées ou détournées, frais bancaires, majorations payées à tort, temps passé à la régularisation, anxiété démontrée par des éléments objectifs tels que les démarches répétées et les relances. Plus le dossier relie chaque poste à la violation constatée, plus la demande a des chances de prospérer, devant le juge comme dans une transaction.
D’autre part, l’auteur de l’usurpation et de l’escroquerie, lorsqu’il est identifié, répond de ses actes devant le juge pénal et peut être condamné à indemniser la victime constituée partie civile. Le article 226-21 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le détournement de données personnelles de leur finalité par toute personne qui les détient à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, et le article 226-17 du code pénal punit le traitement mené sans les mesures de sécurité prescrites par le règlement européen. Le article 226-16 du code pénal punit par ailleurs le fait de procéder à des traitements de données personnelles sans respecter les formalités légales, ce qui peut concerner les officines qui exploitent des fichiers irréguliers constitués à partir de données volées. La constitution de partie civile dès le dépôt de plainte, puis le suivi du dossier par des demandes d’actes ciblées, permettent de ne pas laisser la procédure pénale s’éteindre sans indemnisation. Lorsque l’auteur reste inconnu, la voie du droit des données personnelles contre le responsable du traitement et la contestation des actes fiscaux demeurent, car elles ne dépendent pas de son identification.
Enfin, la CNIL peut être saisie pour faire constater les manquements et obtenir qu’il y soit mis fin, et le juge peut ordonner la communication, la rectification ou l’effacement sous astreinte. Le règlement prévoit en effet que toute personne a droit à un recours juridictionnel effectif contre une décision juridiquement contraignante de l’autorité de contrôle ainsi que lorsque cette autorité ne traite pas une réclamation, et contre le responsable ou le sous-traitant lorsque ses données ont été traitées en violation du règlement. Ces recours correspondent aux articles 78 et 79 du règlement (UE) 2016/679. Ils supposent, là encore, un dossier complet : demandes préalables datées, réponses ou silences documentés, message d’information de la DGFiP le cas échéant, plainte et signalement. C’est la cohérence de cet ensemble, plus qu’une pièce isolée, qui emporte la décision.
Conclusion
Un espace impots.gouv.fr piraté ou des données fiscales extraites sans accord ne se traitent ni par l’attente ni par la précipitation : reprendre la main par les canaux officiels, figer les preuves, signaler puis porter plainte, exercer par écrit les droits d’accès, de rectification et d’effacement, contester chaque acte fiscal émis à tort et chiffrer chaque poste de préjudice. Le vol de données de la DGFiP de l’été 2026, documenté par la FAQ officielle du 21 août 2026, donne un cadre collectif à des démarches qui restent individuelles ; le piratage isolé d’un compte exige la même rigueur, sans le point d’appui du message d’information. Dans les deux cas, la réparation suppose de démontrer un dommage concret lié à la violation, comme l’exige l’article 82 du règlement européen tel qu’interprété par la Cour de cassation le 24 juin 2026. Les textes et les décisions cités dans cet article ont été vérifiés dans leur version en vigueur et leur texte intégral ; seuls le juge et, pour l’impôt, l’administration saisie d’une réclamation régulière diront ce qu’il en est dans chaque dossier.