Les dernières cyberattaques visant la Direction générale des finances publiques (DGFiP) et l’Éducation nationale posent une question qui dépasse largement la seule sécurité informatique : l’État est-il encore capable de protéger efficacement les données personnelles qu’il exige des citoyens ?
En quelques mois, les alertes se sont multipliées. En février 2026, la DGFiP avait déjà reconnu des accès illégitimes au fichier national des comptes bancaires (FICOBA). En mars, c’est le système informatique COMPAS de l’Éducation nationale qui était compromis. Et l’été n’a manifestement pas permis de tirer toutes les leçons de ces précédents.
La cyberattaque révélée en août contre les systèmes de la DGFiP est particulièrement préoccupante. Selon les informations communiquées par l’administration, 678 000 contribuables sont concernés, dont environ 350 000 particuliers. Les données ont été extraites lors d'une intrusion intervenue fin juin et en juillet.
Pour les personnes concernées, le risque ne s’arrête évidemment pas au vol informatique. Des informations fiscales associées à une identité peuvent alimenter des campagnes de phishing extrêmement crédibles, faciliter l’usurpation d’identité ou permettre des escroqueries ciblées.
Le citoyen devient alors la victime d'une double peine : il confie ses données à l'État parce qu'il y est légalement obligé, puis il doit supporter les conséquences lorsque celles-ci sont compromises.
Pour l'AFOC, il est temps de sortir de la logique du « nouvel incident » traité séparément du précédent.
Lorsque des systèmes contenant des informations fiscales, bancaires, professionnelles, sociales ou scolaires sont régulièrement attaqués, la question n’est plus seulement celle de la performance des pirates. Elle est aussi celle de la robustesse des systèmes publics, du contrôle des accès, de l’authentification, de la surveillance des bases de données et des moyens consacrés à leur protection.
L'usurpation d'identifiants a notamment été à l'origine de plusieurs incidents. Cela doit conduire à renforcer les mécanismes d'authentification et à appliquer strictement le principe du « besoin d'en connaître » : un agent ou un prestataire ne devrait pouvoir accéder qu'aux données strictement nécessaires à sa mission.
La dématérialisation des services publics est présentée depuis des années comme une modernisation indispensable. Elle peut effectivement simplifier les démarches et améliorer l’accès aux services. Mais cette transformation a une contrepartie : plus l'État centralise de données, plus il concentre les risques.
Le citoyen n'a pas le choix de refuser de transmettre son identité, ses revenus, son adresse ou certaines informations administratives lorsqu'une procédure légale l'exige. Il est donc légitime qu'il demande en retour des garanties maximales.
L'AFOC demande que la cybersécurité des services publics soit considérée comme une obligation de service public à part entière, avec des moyens humains et financiers à la hauteur de la sensibilité des informations détenues.
Les victimes ne doivent pas être abandonnées
Lorsqu'une fuite est constatée, l'administration doit informer rapidement et clairement les personnes concernées. Elle doit également préciser quelles données ont été volées, pendant quelle période, quels sont les risques et quelles mesures concrètes doivent être prises.
Il ne suffit pas d'envoyer un courrier ou un courriel plusieurs semaines après les faits. Les victimes doivent bénéficier d'un accompagnement permettant notamment de prévenir les tentatives d'escroquerie et les usurpations d'identité.
La protection des données personnelles n'est pas une option technique. C'est un droit du consommateur, un droit du citoyen et une obligation fondamentale de l'administration.