Un millier de contribuables ont rejoint en une quinzaine de jours l’action collective lancée contre l’État après le double piratage de la Direction générale des Finances publiques (DGFiP). Coordonnée par l’avocat biterrois Jérémy Roche, la démarche s’appuie sur l’article 82 du règlement général sur la protection des données pour réclamer réparation. Elle reste ouverte à toute personne ayant reçu une notification de l’administration fiscale.
Un formulaire mis en ligne à la mi-août. Quelques centaines d’inscriptions en une semaine. Puis, le 26 août, un chiffre lâché au micro de RMC par l’avocat Jérémy Roche : « un millier » de personnes engagées dans une démarche indemnitaire coordonnée contre l’État, rapporte Les Numériques. Toutes ont un point commun : un courriel ou un courrier de la DGFiP leur signalant que leurs données étaient concernées.
Deux intrusions sont en cause. Dans son communiqué du 14 août 2026, Bercy a confirmé des accès illégitimes survenus en juin et en juillet, après une revendication publiée les 12 et 13 août par le groupe ZeroBytes. La première intrusion, à la fin du mois de juin, a permis la consultation et l’extraction de données relatives à au moins 678 000 particuliers et professionnels, selon les éléments communiqués par la DGFiP et repris par le cabinet Roche : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et numéro SIREN pour les entreprises. La seconde, fin juillet, a visé des fichiers cadastraux, dont le Serveur professionnel de données cadastrales, avec les adresses et les surfaces de biens immobiliers. L’administration a d’abord indiqué que ses premiers contrôles n’avaient pas permis d’établir un vol de données, avant que des investigations approfondies ne confirment des consultations et des extractions.
L’article 82 en guise de levier
Tout repose sur un seul texte. L’article 82 du RGPD reconnaît à « toute personne ayant subi un dommage matériel ou moral » le droit d’obtenir « réparation du préjudice subi auprès du responsable du traitement ». L’objectif, tel que le formule l’avocat, consiste à « demander à l’État réparation des conséquences de cette fuite, si les manquements à ses obligations de sécurité sont établis ».
La mécanique est classique du contentieux administratif. Une demande d’indemnisation est d’abord adressée à l’administration. En cas de refus, la voie est celle du tribunal administratif, où le ministère d’avocat est obligatoire pour un recours indemnitaire. Le cabinet insiste sur un point de vocabulaire : il ne s’agit pas d’une action de groupe au sens strict mais d’une démarche indemnitaire individuelle coordonnée. Chaque personne conserve son propre droit à réparation, le cabinet regroupant les victimes pour analyser les faits, suivre les investigations et engager des démarches cohérentes face à Bercy.
L’angoisse, ça se chiffre ?
Reste le nerf du dossier : la démonstration du préjudice. Jérémy Roche, qui exerce au barreau de Béziers et intervient sur la protection des données personnelles, estime que « le sentiment d’insécurité lié à la fuite peut suffire », l’échelle allant jusqu’aux cas les plus lourds d’usurpation d’identité ou de tentative d’hameçonnage ciblé. La jurisprudence européenne accorde déjà une place réelle au préjudice moral. Le cabinet précise toutefois que l’indemnisation n’est pas automatique et que chaque situation doit être examinée et documentée individuellement.
Sur les montants, rien n’est public. Chaque réparation dépendra des pièces versées au dossier. Le calendrier n’est pas davantage fixé, la réponse de l’administration étant encore attendue. Le cabinet a par ailleurs annoncé des plaintes pénales visant les auteurs du piratage ainsi qu’une plainte contre X fondée sur l’article 226-17 du code pénal, qui réprime le traitement de données personnelles sans mesures de sécurité et prévoit cinq ans d’emprisonnement et 300 000 euros d’amende. Une plainte auprès de la Commission nationale de l’informatique et des libertés est également prévue, sans possibilité d’indemnisation à la clé. Des actions parallèles sont en préparation sur les fuites du fichier bancaire FICOBA et de l’Agence nationale des titres sécurisés.
Un courriel de la DGFiP comme ticket d’entrée
Concrètement, rejoindre la démarche passe par la page dédiée du cabinet, où un formulaire d’inscription figure tout en bas, après le texte explicatif. Deux conditions cumulatives sont posées par l’avocat : avoir reçu un message de la DGFiP concernant ces deux fuites, et estimer avoir subi un préjudice à la suite de l’exposition de ces données. Le formulaire demande l’identité, un contact, la nature des conséquences ressenties et, en cas de préjudice matériel, une estimation chiffrée la plus proche possible de la réalité. Son envoi ne vaut ni mandat confié au cabinet, ni ouverture de dossier, ni convention d’honoraires : c’est une demande d’examen de situation.
Le cabinet recommande de conserver tout ce qui pourra servir de preuve : les courriels et courriers de la DGFiP, les captures d’écran, les traces de messages ou d’appels frauduleux, les relevés bancaires en cas d’opération suspecte. La DGFiP indique de son côté que les mots de passe et les espaces particuliers sur impots.gouv.fr ne sont pas concernés par les intrusions, ce qui ne supprime pas le risque de fraudes construites à partir des informations fiscales et immobilières divulguées.
Le calendrier judiciaire, lui, n’est toujours pas fixé. La première échéance appartient à l’administration, qui doit répondre.