Les contribuables touchés par le piratage du fisc peuvent demander réparation du préjudice subi. Plusieurs centaines de personnes ont rejoint une action collective lancée contre l’État pour faire valoir leurs droits et obtenir une indemnisation.
Vous avez été touché par le piratage du fisc ? Vous pouvez tenter d’obtenir réparation. Plusieurs centaines de contribuables ont rejoint une action collective contre l’État pour réclamer une indemnisation, révèle l’avocat Jérémy Roche sur franceinfo ce lundi. Il s’agit précisément d’une démarche indemnitaire individuelle coordonnée. Elle “suppose d’établir la réalité du préjudice et d’examiner si la DGFiP a respecté ses obligations de sécurité, de détection et d’information”, explique-t-il sur son blog.
Objectif, “demander à l’État réparation des conséquences de cette fuite, si les manquements à ses obligations de sécurité sont établis”. Cette démarche se base sur l’article 82 du RGPD qui prévoit que “toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi”.
Cyberattaque contre le fisc : des centaines de victimes rejoignent une action collective
Avant d’y revenir plus en détail, rappelons le contexte. Le système d’information de la Direction générale des Finances publiques (DGFiP) a été victime de plusieurs accès illégitimes cet été. Une première intrusion, survenue fin juin, a permis l’extraction de données concernant 678 000 particuliers et professionnels. Parmi les informations compromises figurent notamment l’état civil, l’adresse postale, le numéro de téléphone, mais aussi des données fiscales sensibles comme le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source.
Côté entreprises, la fuite inclut notamment la raison sociale et le numéro SIREN. Une seconde intrusion, survenue fin juillet, a quant à elle permis aux pirates d’accéder à des données cadastrales, notamment les adresses et les surfaces des biens immobiliers. La DGFiP assure que les identifiants et les mots de passe des usagers n’ont pas été compromis.
Le danger est toutefois bien réel. Avec ces informations en poche, un cybercriminel peut mettre sur pied des campagnes de phishing ciblées et crédibles en se faisant passer pour un agent de la DGFiP, une banque ou tout autre organisme de confiance. Les contribuables s’exposent ainsi à des fausses demandes de paiement ou de remboursement, à des risques d’usurpation d’identité et à d’autres escroqueries insidieuses.
Piratage de la DGFiP : dans quels cas pourriez-vous être indemnisé ?
Le préjudice peut également être moral, même si aucune fraude n’a abouti. C’est justement sur cette question que la justice devra trancher. Fait intéressant, la jurisprudence européenne accorde une place importante au préjudice moral. En décembre 2023, la Cour de justice de l’UE (CJUE) a estimé que la crainte d’une utilisation abusive de données personnelles à la suite d’une cyberattaque pouvait, à elle seule, constituer un dommage moral, à condition qu’elle soit suffisamment établie.
En juin 2024, la CJUE a également considéré qu’une perte de contrôle sur ses données personnelles pouvait constituer un dommage moral, même sans utilisation abusive avérée. Là encore, la victime doit démontrer avoir effectivement subi un dommage, même minime. Dans le cas du piratage du fisc, plusieurs types de préjudices peuvent être invoqués, notamment :
- Frais ou de pertes financières liés à une arnaque ;
- Frais de sécurisation ;
- Perte de contrôle sur ses données personnelles ;
- Sentiment d’exposition ;
- Crainte de voir son identité usurpée ;
- Temps passé à devoir surveiller ses comptes et à sécuriser ses démarches ;
- Atteinte à la confidentialité de sa vie privée et patrimoniale.
Il faudra être en mesure de démontrer l’existence d’un préjudice et son lien avec la fuite de données. Le simple fait de figurer parmi les victimes ne garantit donc pas automatiquement une réparation. “Si au vu de votre situation, vous arrivez à démontrer que vous avez dû installer une alarme, des caméras, etc., vous pouvez en théorie envoyer la facture effectivement à l’État”, détaille l’avocat.
A lire aussi > Le site des impôts est inaccessible pour ces usagers : “Une atteinte grave à leurs droits”
Les documents à conserver pour prouver le préjudice
La justice devra trancher au cas par cas. “Chaque situation doit être examinée individuellement et documentée, même si la stratégie est coordonnée et que la démarche reste collective“, précise Me Roche. Si vous avez été notifié par le fisc de la fuite de données et que vous souhaitez réclamer une réparation, conservez bien les éléments suivants :
- le courriel ou courrier officiel de la DGFiP informant que vos données ont été compromises ;
- Les captures d’écran des SMS, courriels et messages suspects reçus après la divulgation de vos données :
- les preuves d’appels frauduleux, notamment les numéros utilisés et, si possible, des enregistrements ;
- les relevés bancaires faisant apparaître des opérations suspectes ou frauduleuses ;
- les justificatifs des frais engagés pour sécuriser vos comptes, vos données ou votre domicile ;
- Tout autre document permettant de démontrer un préjudice matériel ou moral et son lien avec la violation de données.
Une documentation précise du préjudice permettra d’étayer la demande d’indemnisation et son lien avec la fuite, augmentant ainsi vos chances d’être indemnisé. Vous pouvez vous rendre sur cette page pour compléter le formulaire et rejoindre l’action collective.
