Le piratage de la Direction générale des Finances publiques (DGFiP) prend désormais une tournure judiciaire. « Plusieurs centaines de personnes » concernées par la fuite de données ont rejoint une action collective lancée contre l’État, a annoncé, lundi 24 août, Me Jérémy Roche, avocat au barreau de Béziers et spécialiste du droit des données personnelles.
Rappelons que la DGFiP a confirmé, le 14 août, que deux intrusions avaient permis à un acteur malveillant de consulter et d’extraire des informations concernant 678 000 particuliers et professionnels. Les pirates informatiques ont utilisé les identifiants d’un agent de la DGFiP et d’un tiers habilité. Les accès ont été coupés depuis.
Il faut dire que les données concernées sont loin d’être anodines. Pour les particuliers, il peut notamment s’agir de l’état civil, de coordonnées, de la situation fiscale, du revenu fiscal de référence, du quotient familial, du nombre de personnes à charge ou encore du taux de prélèvement à la source. Des informations cadastrales, notamment liées aux adresses et aux surfaces des biens immobiliers, ont également été consultées. En revanche, les espaces personnels du site impots.gouv.fr, ainsi que les identifiants et mots de passe des usagers n’ont pas été compromis.
Une action pour obtenir une indemnisation
Me Jérémy Roche estime que les victimes peuvent demander réparation lorsqu’elles sont capables de démontrer un préjudice. « Il faut vraiment être concerné, donc victime de cette fuite », précise-t-il. Pour l’avocat, la situation peut varier fortement d’une personne à l’autre. « Des personnes considèrent avoir subi un préjudice plus important que d’autres », tandis qu’« on retrouve pour la plupart des personnes avec a minima un préjudice moral ».
L’action s’appuie notamment sur l’article 82 du Règlement général sur la protection des données, le RGPD. « Le texte dit que vous avez droit à être indemnisé dès que vous subissez en réalité un préjudice », explique l’avocat.
La question du préjudice moral est au cœur de la démarche. Des décisions de la Cour de justice de l’Union européenne ont déjà reconnu que la crainte d’une utilisation frauduleuse des données ou la perte de contrôle sur celles-ci peuvent, dans certaines circonstances, constituer un préjudice indemnisable. « Vous pouvez être indemnisé en théorie du préjudice subi, qui comprend notamment la simple crainte d’être arnaqué ou de voir la perte de contrôle de vos données », estime Me Roche.
Cela ne signifie pas que chaque personne concernée recevra automatiquement une somme d’argent. Le préjudice doit d’abord être établi et son indemnisation reste individualisée.
Des victimes craignent déjà de nouvelles arnaques
Depuis la fuite, certains particuliers disent déjà subir des conséquences concrètes. Des victimes « considèrent effectivement être en danger du simple fait de leur profession ». D’autres s’inquiètent de la diffusion de leur adresse ou d’informations sur leur situation familiale. Certaines ont également signalé « des tentatives d’arnaque ».
L’enjeu est d’autant plus important que les informations volées peuvent faciliter des tentatives d’hameçonnage particulièrement crédibles. La CNIL, qui a été officiellement informée de la violation, mène actuellement ses vérifications. Elle rappelle qu’il n’est pas nécessaire de lui adresser une plainte individuelle concernant cette fuite, puisqu’elle est déjà saisie du dossier.
Les personnes ayant engagé des dépenses directement liées à leur protection pourraient aussi tenter d’obtenir réparation. « Si au vu de votre situation, vous arrivez à démontrer que vous avez dû installer une alarme, des caméras, etc, vous pouvez en théorie envoyer la facture effectivement à l’État », assure l’avocat.
Pour autant, aucune indemnisation n’est aujourd’hui garantie. « Le préjudice reste individualisé », rappelle Me Jérémy Roche. L’action collective devra déterminer, au cas par cas, quels dommages peuvent réellement être reconnus et réparés par la justice.
