Cybersécurité / Piratage à la DGFiP : 678 000 contribuables concernés, quelles voies d’indemnisation ?

Après le vol de données fiscales et cadastrales concernant plus de 678 000 particuliers et professionnels, Me Djamel Belhaouci, avocat pénaliste spécialisé en cybercriminalité, alerte sur les risques liés à l’exploitation de ces informations et détaille les recours qui pourraient permettre aux personnes concernées d’obtenir réparation.

Au-delà des risques désormais classiques d’usurpation d’identité, d’hameçonnage ou d’escroquerie ciblée, l’avocat attire l’attention sur la nature des informations susceptibles d’avoir été compromises : le rapprochement entre revenus déclarés et adresses physiques.

Des données susceptibles de faciliter un ciblage physique

Me Djamel Belhaouci estime que cette combinaison peut présenter un risque dépassant la seule cyberfraude. Il établit notamment un parallèle avec des affaires visant des détenteurs de cryptoactifs, dans lesquelles des données personnelles dérobées avaient pu faciliter le ciblage de personnes fortunées.

« C'est exactement le type de croisement qui a déjà permis des séquestrations et des extorsions très violentes visant des détenteurs de cryptoactifs, après que des plateformes ont elles-mêmes été piratées. On sait qui gagne combien, et on sait où le trouver : c'est une base de ciblage pour des réseaux criminels, pas seulement pour des fraudeurs en ligne », alerte Me Djamel Belhaouci.

Cette analyse constitue l’appréciation de l’avocat sur les risques potentiels liés à la fuite. Les éléments transmis ne font pas état, à ce stade, d’atteintes physiques directement rattachées à ce piratage.

Deux voies envisagées pour demander réparation

Pour les contribuables concernés, l’avocat identifie d’abord la possibilité de se constituer partie civile si l’auteur de la cyberattaque est identifié et fait l’objet de poursuites pénales.

Les victimes pourraient alors réclamer une indemnisation directement à l’auteur des faits au titre du préjudice subi.

« Le problème, c'est que c'est lui qui doit payer : encore faut-il qu'il soit solvable, ce qui est rarement le cas », précise Me Djamel Belhaouci.

Une seconde possibilité consisterait à rechercher la responsabilité de la DGFiP, à condition de pouvoir démontrer une faute dans la gestion ou la protection des données personnelles.

Selon l’avocat, une telle démonstration peut être difficile pour un contribuable agissant seul. Il recommande d’attendre les suites données par la CNIL, qui aurait été saisie par la DGFiP, avant d’engager une éventuelle procédure en réparation. Selon la nature publique ou privée de l’organisme mis en cause, le contentieux peut relever du juge administratif ou civil.

De 500 à 1 000 euros évoqués pour un préjudice d’angoisse

Le niveau d’indemnisation dépendrait ensuite des conséquences concrètes subies par chaque victime.

En l’absence de perte financière ou d’autre dommage matériel, Me Djamel Belhaouci évoque essentiellement un préjudice d’angoisse, dont il estime l’indemnisation potentielle autour de 500 à 1 000 euros. Ce montant constitue son estimation et non un barème automatique applicable aux personnes concernées.

Lorsqu’un dommage matériel est démontré, par exemple une usurpation d’identité ayant entraîné une perte financière, la victime peut en revanche demander réparation de l’intégralité du préjudice subi.

« Et dans ce cas, si c'est la DGFiP qui est condamnée, l'indemnisation est portée par l'État : la solvabilité, elle, n'est plus un problème », souligne l’avocat.

Les conséquences judiciaires et indemnitaires de cette fuite dépendront donc notamment des résultats des investigations, des éventuelles poursuites engagées et de l’appréciation portée sur les conditions dans lesquelles les données ont été protégées.