Plusieurs centaines de victimes du piratage du fisc, révélé en août 2026, se sont jointes à une action collective contre l'État. L'avocat à l'origine de cette démarche, Me Jérémy Roche, spécialisé en protection des données personnelles, l'a confirmé le 24 août sur franceinfo. Cette mobilisation intervient après que la Direction générale des Finances publiques (DGFiP) a reconnu mi-août deux intrusions successives dans ses systèmes, ayant compromis les données d'au moins 678 000 particuliers et professionnels.
L'objectif est d'obtenir réparation des préjudices subis, qu'il s'agisse d'un simple sentiment d'insécurité ou de dommages plus tangibles. Certaines victimes ont déjà fait face à des tentatives d'arnaque. D'autres estiment être en danger du fait de leur profession ou de la révélation de leur adresse et de leur quotient familial. Une démarche qui pose une question intéressante : l'État peut-il être tenu responsable financièrement lorsque les données de ses citoyens sont piratées ?
Qui peut rejoindre cette action collective ?
Pour participer à cette démarche, il faut d'abord être directement concerné par la fuite de données. Autrement dit, avoir reçu une notification de la DGFiP confirmant que vos informations fiscales ont été consultées ou extraites lors de l'intrusion. L'avocat précise que les situations varient : certaines personnes considèrent avoir subi un préjudice plus important que d'autres, mais la plupart invoquent « a minima un préjudice moral ».
Concrètement, cela peut prendre plusieurs formes :
- Le stress et l'inquiétude : vivre avec la crainte permanente d'être victime d'une arnaque ou de perdre le contrôle de ses données personnelles
- Le sentiment de vulnérabilité : certaines professions ou situations familiales peuvent faire de la révélation de l'adresse et du quotient familial un vrai risque de sécurité
- Les tentatives d'escroquerie : plusieurs victimes rapportent avoir déjà reçu des emails ou SMS frauduleux utilisant leurs vraies informations fiscales
Sur quel fondement juridique repose cette action ?
Me Jérémy Roche fonde son action sur l'article 82 du Règlement général sur la protection des données (RGPD), en vigueur depuis 2018 dans toute l'Union européenne. Ce texte stipule que vous avez droit à être indemnisé dès lors que vous subissez un préjudice lié à une violation de vos données personnelles.
Plusieurs décisions de la Cour de justice de l'Union européenne ont précisé que le préjudice moral peut suffire pour obtenir réparation. Pas besoin d'avoir perdu de l'argent : « la simple crainte d'être arnaqué ou de voir la perte de contrôle de vos données » peut être reconnue comme un préjudice indemnisable. L'avocat admet toutefois qu'il existe « très peu de jurisprudence » en France sur ce sujet. Cette action collective pourrait donc faire date.
Une forme de responsabilité qui pourrait, peut-être, inciter les administrations à mieux protéger nos données.
Quelques conseils
Si vous êtes concerné par cette fuite, ne vous précipitez pas non plus dans l'action collective. Prenez le temps de comprendre ce que cela implique pour vous : démarches, délais, attentes réalistes en termes d'indemnisation. Consultez un avocat si vous pensez avoir subi un préjudice significatif, notamment si vous avez déjà été victime d'une arnaque ou si votre situation personnelle vous met réellement en danger.
Restez vigilant face au phishing : les escrocs disposent maintenant de beaucoup d'informations. Ils peuvent créer des messages extrêmement convaincants. Rappelez-vous que l'administration fiscale ne demande jamais vos coordonnées bancaires par email ou SMS, et ne vous demande jamais de « régulariser » quoi que ce soit en urgence via un lien.