Le piratage de la Direction générale des finances publiques (DGFiP), révélé au public le 13-14 août 2026, a exposé les données de plus de 678 000 contribuables. Au-delà de l'incident lui-même, c'est le calendrier de la réaction qui retient l'attention des juristes RGPD : près de sept semaines séparent l'intrusion initiale de la communication officielle. Pour un établissement financier, le même enchaînement de faits déclencherait aujourd'hui une double obligation de notification — RGPD vers la CNIL, DORA vers l'ACPR ou l'AMF — sur des délais nettement plus courts.
Un piratage détecté tardivement, révélé en plusieurs temps
Selon les éléments rendus publics par le ministère de l'Économie et des Finances et repris par plusieurs sources de presse spécialisées, l'accès illégitime au système d'information de la DGFiP remonte à fin juin 2026. Il repose sur l'usurpation des identifiants d'un agent de l'administration, combinés à ceux d'un tiers habilité, permettant d'accéder au système fiscal, au serveur cadastral (SPDC) et au portail des successions vacantes. Trois intrusions distinctes ont été recensées entre fin juin et le 17 août 2026.
L'affaire n'est révélée que le 12 août, lorsqu'un acteur se présentant sous le pseudonyme « ZeroBytes » revendique le vol sur un forum spécialisé — une alerte relayée le jour même à l'ANSSI. Le ministère confirme les accès illégitimes le 13 août, avant de publier une déclaration officielle détaillée le 14 août, indiquant qu'une plainte sera déposée et que la CNIL sera notifiée. Le nombre de contribuables concernés est établi à 678 438 : identité, revenu fiscal de référence, quotient familial, taux de prélèvement à la source et, pour une partie des comptes, données cadastrales.
Le parquet de Paris (section J3, lutte contre la cybercriminalité) ouvre une enquête confiée à l'Office anti-cybercriminalité (Ofac), portant notamment sur l'extraction frauduleuse de données d'un traitement automatisé mis en œuvre par l'État et sur l'association de malfaiteurs en vue de la préparation d'un délit puni d'au moins cinq ans d'emprisonnement.
Le nœud du dossier : le délai entre découverte et notification
C'est ce calendrier qui cristallise l'attention des spécialistes de la protection des données. L'article 33 du RGPD impose au responsable de traitement de notifier une violation de données à caractère personnel à l'autorité de contrôle — la CNIL, en France — « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». L'article 34 impose, en complément, d'informer les personnes concernées « dans les meilleurs délais » lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, sans fixer de durée chiffrée pour ce second volet.
Or, entre l'intrusion initiale (fin juin) et la communication publique du 14 août, près de sept semaines — environ 48 jours — se sont écoulées. Plusieurs cabinets spécialisés en droit du numérique relèvent que le point de départ du délai de 72 heures court à compter du moment où le responsable de traitement a « pris connaissance » de la violation, et non à compter de sa communication publique — une distinction qui sera déterminante pour apprécier si l'obligation a, ou non, été respectée. Le ministère indique de son côté que la CNIL « sera notifiée », formulation qui, à la date de publication du présent article, ne permet pas d'établir avec certitude la date exacte de cette notification.
Les traitements mis en œuvre par l'État échappent aux amendes administratives que la CNIL peut prononcer contre les acteurs privés. Elle conserve en revanche ses autres pouvoirs correcteurs : avertissement, mise en demeure, injonction de mise en conformité, limitation temporaire ou définitive d'un traitement, publication de ses décisions. Un établissement financier privé confronté au même scénario ne bénéficierait pas de cette limitation — il resterait exposé au plein pouvoir de sanction pécuniaire de la CNIL.
Le miroir DORA : des délais bien plus serrés pour le secteur financier
Un établissement financier — banque, assureur, établissement de monnaie électronique — soumis au règlement DORA (Digital Operational Resilience Act, applicable depuis le 17 janvier 2025) fait face à une architecture de notification distincte de celle du RGPD, et sensiblement plus contraignante en termes de délais. Selon les règles techniques de mise en œuvre de DORA relatives au signalement des incidents majeurs, la chronologie applicable à un incident TIC classé « majeur » se décompose en trois temps :
| Étape | Délai | Contenu |
|---|---|---|
| Notification initiale | Au plus tard 4h après classification en incident majeur, et au plus tard 24h après en avoir eu connaissance | Premiers éléments connus de l'incident |
| Rapport intermédiaire | Au plus tard 72h après la notification initiale | Mise à jour du statut, actions engagées |
| Rapport final | Au plus tard 1 mois après le rapport intermédiaire | Analyse des causes, impact, mesures correctives |
Chronologie DGFiP : Direction générale des finances publiques / ministère de l'Économie et des Finances, communiqués des 13, 14, 18 et 19 août 2026 (faits confirmés par recoupement de plusieurs sources de presse spécialisées : RGPD Kit, Kohen Avocats, Silicon.fr, Le Monde Moderne). Cadre RGPD : Règlement (UE) 2016/679, articles 33 et 34. Délais DORA : règlement (UE) 2022/2554 et règlement délégué (UE) 2025/301 fixant le contenu et les délais des rapports d'incidents majeurs ; délais 4h/24h → 72h → 1 mois recoupés via plusieurs analyses juridiques concordantes (Fidal, Mirabile Avocat, DORA Finance). Ces délais DORA n'ont pas pu être vérifiés directement sur acpr.banque-france.fr ou eur-lex.europa.eu dans cette session — à recontrôler à la source avant publication. Sources consultées le 4 septembre 2026.
Point commun aux deux régimes : le déclenchement du délai ne dépend pas de la détection technique de l'incident, mais du moment où l'entité en a — ou aurait dû en avoir — connaissance, ou l'a classé comme majeur. C'est précisément ce point de départ qui fait débat dans l'affaire DGFiP, et qui constitue, pour un établissement financier, le premier maillon faible de toute procédure de gestion de crise : une classification tardive de l'incident retarde mécaniquement l'ensemble de la chaîne de notification, RGPD comme DORA.
Ce que les établissements financiers doivent vérifier
Trois points de contrôle se dégagent de ce dossier pour toute fonction conformité ou risque opérationnel :
- La procédure de classification de l'incident (majeur / non majeur au sens DORA, à risque élevé ou non au sens RGPD) doit être déclenchée dès la détection technique, et non après investigation complète — sous peine de « geler » artificiellement le point de départ des délais réglementaires.
- La coordination entre la fonction sécurité des systèmes d'information (SSI), le DPO et la conformité doit être formalisée : un incident cyber avec exfiltration de données personnelles déclenche simultanément une notification RGPD (CNIL, 72h) et, pour un incident classé majeur, une notification DORA (ACPR ou AMF, 4h/24h) — deux horloges distinctes, sur la même chronologie de faits.
- La documentation de la chronologie interne (date de détection, date de classification, date de notification) doit être conservée et traçable : c'est elle qui permettra de démontrer, le cas échéant, le respect des délais devant le régulateur.
Pour un établissement financier, le point de départ du délai réglementaire n'est pas la date de l'intrusion, mais la date à laquelle l'incident a été détecté, classé et qualifié en interne. Une procédure de classification lente est, à elle seule, un facteur de non-conformité — quelle que soit la qualité de la réponse technique apportée ensuite.
*Cet article sera enrichi si la CNIL ou l'ACPR publient des éléments complémentaires sur ce dossier.*
Recevez nos prochaines publications par email — France-Europe et/ou Zone UEMOA.