La cyberattaque qui a frappé la Direction générale des finances publiques (DGFiP) cet été entre dans une nouvelle phase. La Commission nationale de l’informatique et des libertés (CNIL) va mener un contrôle sur place afin d’évaluer les mesures de sécurité appliquées par l’administration fiscale après le vol de données personnelles concernant près de 700 000 particuliers et professionnels.
La CNIL veut comprendre les failles du fisc
Marie-Laure Denis, présidente de la CNIL, annonce avoir « demandé aux équipes de la Cnil de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques ». L’autorité pourrait ensuite prononcer une mise en demeure d’ici la fin de l’année ou engager une procédure de sanction.
Les intrusions survenues cet été ont notamment exposé des informations fiscales et cadastrales. Le gouvernement avait déjà demandé à l’ANSSI de réaliser un audit approfondi de la cyberattaque, avant d’annoncer un plan destiné à renforcer la cybersécurité du fisc.
L’ANTS également dans le viseur du régulateur
La CNIL va parallèlement contrôler l’Agence nationale des titres sécurisés, victime en avril d’un piratage ayant compromis près de 12 millions de comptes. Ces incidents successifs interrogent désormais plus largement la protection des données confiées aux administrations françaises.
« L’État a un devoir d’exemplarité particulier. Ça fait partie du contrat de confiance entre l’État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l’État », insiste Marie-Laure Denis.
La marge de manœuvre de la CNIL reste toutefois particulière face à l’administration : contrairement aux organismes privés, l’État ne peut pas se voir infliger d’amende administrative. Ces contrôles pourraient néanmoins déboucher sur des injonctions et accélérer la remise à niveau de systèmes dont les attaques récentes ont révélé plusieurs fragilités.
