Vos données fiscales ou cadastrales ont fuité ?

Rejoignez une démarche indemnitaire coordonnée contre l’Etat via le formulaire en bas de page.

En août 2026, la Direction générale des Finances publiques (DGFIP) a reconnu avoir été victime de plusieurs accès illégitimes à ses systèmes d’information.

Ces intrusions ont concerné, d’une part, des données fiscales de particuliers et de professionnels et, d’autre part, des données cadastrales relatives à des biens immobiliers.

Les données en cause peuvent révéler l’identité, l’adresse, la situation familiale, la situation financière ou patrimoniale des personnes concernées.

Ces deux fuites de données fiscales et cadastrales ne constituent pas un incident anodin qu'il conviendrait de minimiser. 

Elle peut exposer les victimes à des tentatives d’hameçonnage particulièrement crédibles, à l’usurpation d’identité, à l’escroquerie, à des sollicitations malveillantes, à une atteinte à la confidentialité de leur patrimoine ou à un sentiment durable d’insécurité.

Si vous avez reçu un courriel ou un courrier de la DGFIP vous informant que vos données ont été concernées, vous pouvez demander l’examen de votre situation et rejoindre une action indemnitaire coordonnée, comprenant plusieurs fronts d'attaque.

1) Une action indemnitaire contre l’État :

La première démarche vise à obtenir réparation des préjudices subis par les personnes concernées : atteinte à la vie privée, perte de contrôle sur leurs données, anxiété, temps consacré aux démarches de protection, tentatives de fraude, usurpation d’identité ou pertes financières éventuelles.

Cette action suppose d’établir la réalité du préjudice et d’examiner si la DGFiP a respecté ses obligations de sécurité, de détection et d’information.

L’objectif est de demander à l’Etat réparation des conséquences de cette fuite, si les manquements à ses obligations de sécurité sont établis.


2) Une plainte pénale contre les auteurs du hack mais aussi contre l'ensemble des personnes physiques impliquées :

En parallèle, des plainte pénale seront déposées contre les pirates, mais aussi contre X sur le fondement de l’article 226-17 du Code pénal. Cet article réprime le fait de procéder à un traitement de données personnelles sans mettre en œuvre les mesures de sécurité exigées notamment par l’article 32 du RGPD.

L’infraction est punie de cinq ans d’emprisonnement et de 300 000 euros d’amende.

La plainte contre X ne désigne pas, à ce stade, une personne déterminée. Elle vise à permettre l’identification des personnes physiques qui auraient pu être impliquées dans les défaillances de sécurité : agents, personnes habilitées, responsables des accès ou toute personne ayant concouru y compris par négligence à l’utilisation, à l’extraction ou à la diffusion des données.


Cette action vise donc à obtenir la vérité sur les conditions de cette fuite, à identifier les responsabilités et à demander réparation pour chaque personne concernée.

Les 12 et 13 août 2026, un acteur malveillant a revendiqué des accès non autorisés aux systèmes de la DGFIP.

Dans son communiqué du 14 août 2026, Bercy a confirmé que des accès illégitimes étaient intervenus en juin et juillet 2026. La DGFiP indique avoir interrompu les comptes utilisés dans les incidents identifiés.

Elle précise toutefois que les premiers contrôles n’avaient pas permis d’établir que les intrusions avaient donné lieu à des vols de données, en raison de la sophistication de l’attaque. Les investigations approfondies menées ont ensuite permis de confirmer des consultations et extractions de données.

1. L’accès à des données fiscales de particuliers et de professionnels

La première intrusion, intervenue à la fin du mois de juin 2026, a permis la consultation et l’extraction de données relatives à au moins 678 000 particuliers et professionnels, selon les premiers éléments communiqués par la DGFiP. L’administration a confirmé que figuraient notamment parmi les données concernées :

1. le revenu fiscal de référence,
2. le quotient familial,
3. le taux de prélèvement à la source,
4. pour les professionnels, des données telles que la raison sociale ou le numéro SIREN.

La nature exacte, le périmètre et le volume de l’ensemble des données extraites restent à établir. Les données fiscales sont particulièrement sensibles.

Associées à l’identité et aux coordonnées d’une personne, elles peuvent permettre à un fraudeur de rendre une tentative d’escroquerie beaucoup plus convaincante : faux courriel des impôts, fausse demande de régularisation, faux remboursement, demande de versement urgent, appel téléphonique se présentant comme provenant de l’administration ou tentative d’obtenir de nouvelles informations personnelles. 

2. L’accès aux données cadastrales

Une seconde intrusion, intervenue à la fin du mois de juillet 2026, a concerné des fichiers cadastraux de la DGFIP, notamment le Serveur professionnel de données cadastrales (SPDC). La DGFIP a confirmé que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers avaient été consultées.

Ces informations peuvent exposer les personnes concernées à des risques spécifiques : ciblage des propriétaires, atteinte à la confidentialité de leur patrimoine, hameçonnage se présentant comme un message notarial, fiscal ou immobilier, tentative de fraude à la vente, à la location ou à la gestion d’un bien, ou encore recoupement avec d’autres données déjà diffusées lors de précédentes fuites. 

Pourquoi ces fuites sont particulièrement graves

Les données fiscales et cadastrales peuvent révéler des éléments déterminants de la vie privée et de la situation d’une personne :

1. son identité et ses coordonnées,
2. sa situation familiale,
3. son niveau de revenu ou certains éléments de sa situation fiscale,
4. l’existence, l’adresse ou les caractéristiques de biens immobiliers,
5. certains éléments de son patrimoine,
6. ses échanges ou démarches avec l’administration.

La combinaison de ces informations peut faciliter des campagnes de fraude ciblées et crédibles. Une personne malveillante peut, par exemple, connaître le nom d’un contribuable, son adresse, des éléments de sa situation fiscale et la nature d’un bien immobilier, puis se faire passer pour un agent de la DGFIP, un notaire, une banque, un assureur, un opérateur immobilier ou un autre interlocuteur de confiance.

Le préjudice ne se limite donc pas aux hypothèses dans lesquelles une fraude financière a déjà abouti.

La divulgation de données aussi sensibles peut entraîner une perte de contrôle sur ses informations personnelles, un sentiment d’exposition, la crainte fondée d’une usurpation d’identité, la nécessité de surveiller ses comptes ou ses démarches administratives, ainsi qu’une atteinte à la confidentialité de sa vie privée et patrimoniale.

Quels sont les risques suite à ces fuites ?

Les données fiscales et cadastrales sont sensibles. Elles peuvent permettre à des fraudeurs de construire des escroqueries ciblées et crédibles. Les personnes concernées peuvent notamment être exposées à des faux courriels ou appels au nom des impôts, des demandes frauduleuses de paiement ou de remboursement, des tentatives d’usurpation d’identité, des escroqueries utilisant des informations sur leur situation fiscale ou patrimoniale, une atteinte à la confidentialité de leur vie privée et de leurs biens, etc.

La DGFIP indique que les mots de passe et les espaces particuliers sur impots.gouv.fr ne sont pas concernés.

Cela ne supprime toutefois pas les risques liés à la divulgation d’informations personnelles, fiscales ou immobilières.

En quoi consiste l’action collective ?

L’action proposée est une démarche indemnitaire individuelle coordonnée.

Chaque personne conserve son propre droit à réparation puisque chaque situation est différente. Le cabinet regroupe toutefois les victimes afin d’analyser les faits, de suivre les investigations, de réunir les éléments utiles et d’engager des démarches cohérentes face à l’administration. L’accompagnement comprend notamment : 

1. l’étude de votre notification et des données concernées,
2. l’évaluation de votre préjudice,
3. la constitution de votre dossier,
4. le dépôt d'une plainte auprès de la CNIL aux fins de tirer au clair les manquements intervenus en l'espèce, et qui ne pourra nullement déboucher sur une indemnisation ou une amende
5. le dépôt d'une plainte pénale contre X aux fins de tirer au clair les manquements commis par des personnes physiques en l'espèce,
6. l’envoi d’une demande indemnitaire à l’administration,
7. si nécessaire, l’engagement d’un recours devant le tribunal administratif dans le cadre d'un recours indemnitaire avec ministère d'avocat obligatoire.

Quels préjudices peuvent être indemnisés ?

Une violation de données personnelles peut ouvrir droit à réparation lorsqu’elle a causé un préjudice matériel ou moral. Selon votre situation, il peut notamment s’agir :

1. de l’inquiétude et du sentiment d’insécurité liés à la fuite,
2. de la perte de contrôle sur vos données fiscales ou patrimoniales,
3. de l’atteinte à votre vie privée,
4. du temps et des démarches nécessaires pour sécuriser vos comptes et surveiller les tentatives de fraude,
5. de frais ou de pertes financières liés à une escroquerie,
6. d’une usurpation d’identité ou de tentatives de phishing ciblées.

L’indemnisation n’est pas automatique : chaque situation doit être examinée individuellement et documentée, même si la stratégie est coordonnée et que la démarche reste collective.

Qui peut participer ?

Vous pouvez solliciter l’examen de votre dossier et rejoindre l'action collective si vous avez reçu un message de la DGFIP concernant ces deux fuites, et si vous estimez avoir subi un préjudice à la suite de l’exposition de vos données.

Les documents à conserver :

Conservez tous les éléments utiles, notamment les courriels ou courriers de la DGFIP, des captures d’écran, des messages ou preuves d'appels frauduleux, des relevés bancaires en cas d’opération suspecte.

Vous avez reçu une notification de la DGFIP et souhaitez être indemnisé du préjudice subi ? Rejoignez l'action collective du cabinet afin d’examiner votre situation et faire valoir vos droits.