La DGFiP l'a officiellement confirmé : un accès illégitime à son système d'information, intervenu fin juin 2026 après une usurpation d'identité, a permis la consultation et l'extraction de données concernant des particuliers et des professionnels. L'accès avait été coupé fin juin dans le cadre d'un contrôle.

Les investigations se poursuivent pour déterminer précisément quelles données ont été compromises et combien d'usagers sont concernés. Le ministère annonce que les usagers concernés recevront une information individuelle et que l'incident sera notifié à la CNIL.

Pour Solidaires Finances Publiques 33, une question doit être posée avec la même exigence : qu'en est-il des agents ?

Solidaires Finances Publiques 33 a pu prendre connaissance d'un échantillon présenté comme provenant des données extraites.

Sous réserve de son authentification et de la confirmation de son origine par la DGFiP, cet échantillon comporte de nombreuses informations concernant un contribuable : identité, coordonnées, situation familiale, revenu fiscal de référence, taux de prélèvement à la source, mais également l'historique de certaines demandes adressées à la DGFiP.

Or, parmi ces informations apparaît également l'identification de l'agent ayant assuré le suivi d'une demande.

Cela pose une question très concrète : des données personnelles concernant des agents de la DGFiP font-elles partie des informations consultées ou extraites ?

Et si oui, lesquelles ?

Dès lors qu'une information permet d'identifier directement ou indirectement une personne, elle constitue une donnée à caractère personnel.

Le nom ou le prénom d'un agent, son service, son identifiant professionnel ou toute information permettant de l'associer aux dossiers qu'il a traités peuvent donc constituer des données personnelles.

Les agents disposent, à ce titre, des droits prévus par le RGPD.

Lorsque leurs données sont concernées par une violation susceptible d'engendrer un risque élevé pour leurs droits et libertés, l'article 34 du RGPD prévoit que les personnes concernées doivent en être informées dans les meilleurs délais.

Le communiqué ministériel prévoit expressément une information individuelle des usagers concernés.

Solidaires Finances Publiques 33 demande que la situation des personnels soit elle aussi examinée : si des données concernant des agents ont été compromises, ils doivent être identifiés et, lorsque les conditions prévues par le RGPD sont réunies, informés.

Comme toute personne, un agent peut exercer, dans les conditions prévues par l'article 15 du RGPD, son droit d'accès aux données personnelles le concernant.

Cette cyberattaque soulève donc une interrogation qui dépasse le seul incident actuel :

quelles informations relatives aux agents sont enregistrées dans les applications de la DGFiP et associées aux opérations ou aux dossiers qu'ils traitent ?

Les personnels doivent pouvoir connaître la nature des données enregistrées à leur sujet, les finalités de leur traitement, leur durée de conservation et les conditions dans lesquelles elles peuvent être accessibles.

La question ne se limite pas au RGPD.

Si l'identité d'un agent peut être associée à une véritable démarche effectuée par un contribuable, cette information peut être utilisée pour rendre une escroquerie particulièrement crédible.

Un fraudeur pourrait utiliser le nom du véritable agent ou de son service pour contacter un contribuable et gagner sa confiance.

À l'inverse, les agents eux-mêmes pourraient être ciblés : phishing personnalisé, usurpation d'identité professionnelle, appels frauduleux ou tentatives d'obtenir de nouvelles informations en se faisant passer pour un collègue, un service informatique ou un usager.

Une compromission de données professionnelles devient alors directement une question de sécurité et de conditions de travail.

La DGFiP, en tant qu'employeur, doit donc également évaluer les conséquences de cette cyberattaque pour ses personnels et mettre en œuvre les mesures de prévention et de protection nécessaires.

Cette situation fait aussi écho à une alerte portée localement par notre organisation.

Lors d'un CSAL en février 2026, Solidaires Finances Publiques 33 avait alerté le directeur de la DRFiP 33 sur des suspicions de piratage concernant des SIE.

À ce stade, rien ne permet d'établir un lien entre les faits signalés alors et l'accès illégitime aujourd'hui confirmé par la DGFiP.

Mais cette alerte montre que les interrogations sur la sécurité des accès à nos systèmes d'information ne sont pas nouvelles.

Lorsqu'un agent ou une organisation syndicale signale une suspicion d'accès frauduleux, ce signalement doit être pris au sérieux, analysé et donner lieu à un retour sur les vérifications effectuées et les mesures éventuellement prises.

Les événements actuels rendent cette exigence encore plus nécessaire.

Les investigations annoncées par la DGFiP doivent permettre de déterminer précisément les données compromises et le nombre de personnes concernées.

Elles doivent aussi permettre d'établir si des agents figurent parmi les personnes dont les données ont été compromises.

Solidaires Finances Publiques 33 demande donc à la DGFiP de préciser :

• si des données personnelles concernant des agents ont été consultées ou extraites ;

• quelles catégories de données sont concernées ;

• combien d'agents pourraient être touchés ;

• si les agents concernés seront individuellement informés ;

• quels risques de phishing, d'usurpation d'identité professionnelle ou de ciblage ont été identifiés ;

• quelles mesures de protection et quelles consignes seront mises en place ;

• comment les agents pourront exercer leurs droits sur les données les concernant ;

• quel accompagnement sera proposé aux personnels qui subiraient les conséquences de cette compromission.

Nous demandons également que les représentants du personnel soient pleinement informés des conséquences de cet incident pour les agents et des mesures de prévention mises en œuvre.

Les personnels de la DGFiP travaillent quotidiennement avec des données fiscales particulièrement sensibles.

L'administration exige légitimement d'eux le respect absolu de leur confidentialité.

Ils sont tout aussi légitimement en droit d'attendre de leur employeur qu'il protège leurs propres données, leur identité professionnelle et les conditions dans lesquelles ils exercent leurs missions.

Si des données concernant des agents ont été compromises, ils doivent savoir lesquelles, être informés lorsque les conditions prévues par le RGPD sont réunies et bénéficier des mesures nécessaires pour prévenir les conséquences de leur utilisation frauduleuse.

Les agents ne sont pas seulement les utilisateurs du système d'information lorsqu'une cyberattaque survient.

Ils peuvent aussi en être les victimes.

Solidaires Finances Publiques 33 sera particulièrement vigilant sur ce point et demandera que toute la transparence soit faite sur les conséquences de cette attaque pour les personnels.