Après le piratage du fisc, des centaines de victimes se retournent contre l’État

Après le vol massif de données fiscales et cadastrales par des pirates informatiques, l’affaire prend désormais une tournure judiciaire. Plusieurs centaines de victimes ont rejoint une action collective contre l’État afin d’obtenir réparation.

Le piratage de la Direction générale des Finances publiques (DGFiP) pourrait connaître une suite judiciaire. Plusieurs centaines de personnes concernées par les fuites de données révélées en ce mois d’août ont décidé de rejoindre une action collective contre l’État.

La démarche est portée par Me Jérémy Roche, avocat au barreau de Béziers et spécialiste de la protection des données personnelles. Elle vise à obtenir une indemnisation pour les personnes dont les informations ont été dérobées, à condition que d'éventuels manquements de l'État à ses obligations de sécurité soient établis.

L’affaire avait éclaté à la mi-août. La DGFiP avait confirmé deux intrusions dans son système d’information, intervenues à la fin des mois de juin et de juillet. Les accès frauduleux avaient notamment reposé sur l’usurpation des identifiants d’un agent de l’administration fiscale et d’un tiers habilité.

Au moins 678 000 particuliers et professionnels sont concernés par le vol de données fiscales. Parmi les informations qui ont pu être consultées et extraites figurent notamment le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. Pour les entreprises, des données telles que la raison sociale ou le numéro SIREN ont également été concernées.

Lire aussi : Cyberattaque contre la DGFiP : des données cadastrales et de successions également dérobées

Des données cadastrales, notamment les adresses et les surfaces de biens immobiliers, ont aussi été consultées. En revanche, les espaces personnels des usagers sur le site des impôts ainsi que leurs identifiants et mots de passe n'ont pas été compromis, selon l'administration.

Un préjudice moral au cœur de l’action

Pour les victimes engagées dans cette démarche, l’enjeu est désormais de faire reconnaître les conséquences du vol de leurs données. Me Jérémy Roche s’appuie notamment sur l’article 82 du Règlement général sur la protection des données (RGPD), qui prévoit un droit à réparation lorsqu’une personne subit un dommage matériel ou moral en raison d’une violation du règlement.

Le préjudice pourrait être différent selon les situations. Certaines victimes pourraient notamment invoquer une perte de contrôle de leurs données personnelles, l’anxiété provoquée par leur diffusion ou encore le temps et les dépenses consacrés à sécuriser leur situation.

Les informations dérobées pourraient en effet être utilisées pour élaborer des tentatives d’escroquerie particulièrement crédibles. En connaissant l’identité, l’adresse, la situation familiale ou certains éléments fiscaux et patrimoniaux d’une personne, des fraudeurs peuvent personnaliser leurs messages et se faire plus facilement passer pour l’administration.

Le risque concerne notamment l’hameçonnage, l’usurpation d’identité ou les fausses demandes de paiement et de régularisation. L’avocat à l’origine de l’action reconnaît toutefois que la jurisprudence reste encore limitée concernant l’indemnisation de ce type de préjudice moral.

Les conditions dans lesquelles les intrusions ont pu avoir lieu et le délai ayant précédé la révélation du vol de données interrogent sur la sécurité des systèmes informatiques de l’administration. Ce n'est qu'après les revendications d'un acteur malveillant, les 12 et 13 août, que des investigations approfondies ont permis d'établir l'ampleur du vol.

Lire aussi : Cyberattaque contre la DGFiP : qui se cache derrière "ZeroBytes", le groupe associé au vol massif de données ?

Cette action engagée par plusieurs centaines de victimes ouvre désormais un nouveau volet dans cette affaire. Au-delà de la recherche des auteurs du piratage, la question sera de déterminer si la responsabilité de l’État peut être engagée et, le cas échéant, quels préjudices pourront donner lieu à une indemnisation.