Plusieurs centaines de personnes touchées par le piratage des services fiscaux durant l’été 2026 ont rejoint une action collective contre l’État. L’annonce a été faite le lundi 24 août 2026 sur franceinfo par Me Jérémy Roche, avocat au barreau de Béziers, spécialiste du droit de la protection des données personnelles et à l’origine de cette démarche. Il évoque plusieurs centaines de personnes déjà victimes de cette fuite.
L’affaire remonte à deux intrusions informatiques distinctes, fin juin et fin juillet 2026, que la Direction générale des Finances publiques (DGFiP) a fini par reconnaître le 14 août. Au moins 678 000 particuliers et professionnels ont vu leurs données personnelles compromises : revenus, taux d’imposition, quotient familial, mais aussi profession et adresse.
Le ministère de l’Économie et des Finances a informé les personnes concernées par mail. Selon Me Roche, lui-même victime du piratage, ces informations ne rentreront jamais dans le cadre où elles étaient : « Le génie est sorti de la bouteille, les données sont dans la nature ».
Un texte européen invoqué pour obtenir réparation
L’action juridique repose sur l’article 82 du Règlement général sur la protection des données, en vigueur depuis 2018. « Le texte dit que vous avez droit à être indemnisé dès que vous subissez en réalité un préjudice », rappelle l’avocat. Selon plusieurs décisions de la Cour de justice de l’Union européenne, ce préjudice indemnisable peut inclure la simple crainte d’être arnaqué ou la perte de contrôle de ses données.
Pour rejoindre l’action, une seule condition s’impose : être réellement concerné par la fuite. « Il faut vraiment être concerné, donc victime de cette fuite », insiste Jérémy Roche, qui reconnaît que le degré de préjudice diffère d’une personne à l’autre.
La plupart présentent a minima un préjudice moral, mais certaines estiment leur situation plus grave. Des victimes considèrent être mises en danger par la seule révélation de leur profession, de leur adresse et de leur quotient familial. D’autres ont déjà subi des tentatives d’arnaque depuis la fuite.
Celles ayant dû installer une alarme ou des caméras pour se sécuriser peuvent, en théorie, en réclamer le remboursement à l’État si elles démontrent le lien avec le piratage.
Près d’un millier de personnes ont déjà effectué un signalement sur le site de l’avocat, et plusieurs plaintes ont été adressées au parquet de Paris, compétent en matière de cybercriminalité. L’avocat prévient qu’une indemnisation financière ne réglera pas tout, l’enjeu portant aussi sur les conséquences à tirer de cette fuite massive de données.
Reste un obstacle de taille : le manque de précédents. « Vous pouvez compter sur moi pour faire en sorte que ce soit reconnu ensuite par la justice, sachant qu’il y a très peu de jurisprudence », affirme Jérémy Roche, qui espère que cette action fera date.
Il tempère toutefois lui-même la portée de ses arguments par un en théorie répété. Le préjudice, ajoute-t-il, reste individualisé, « même s’il a une part de symbolique, il ne faut pas se le cacher ».
L’avocat décrit un climat d’inquiétude parmi les personnes concernées : « On est angoissé, on a une peur bleue de se faire arnaquer ». Les plaintes déposées au parquet de Paris devront désormais suivre leur cours judiciaire.
