"Pas de chèque automatique" : ce que préparent les avocats qui portent plainte contre l'État après la fuite aux impôts

La riposte s'organise après la fuite de données aux impôts qui a compromis les informations de près de 700.000 contribuables et entreprises. Au moins deux cabinets d'avocats attaquent l'État en justice pour faire reconnaître sa responsabilité et demander réparation pour les victimes du vol des données fiscales en juin et juillet par le groupe de hackers français ZeroBytes.

La Direction générale des finances publiques (DGFIP) a reconnu le 14 août dernier un vol de données concernant au moins 678 000 personnes. Les 393 000 particuliers et 285 000 professionnels concernés ont été prévenus ces dernières semaines par l'administration.

Ces deux actions s'appuient sur l'article 82 du règlement européen de protection des données personnelles (RGPD), qui prévoit que "toute personne ayant subi un dommage matériel ou moral à la suite d'une fuite de données" est en droit "d'obtenir réparation du préjudice subi" du responsable de traitement. Trois conditions sont requises pour cela : avoir été notifié d'un vol de ses données, prouver un préjudice subi et démontrer un lien de causalité avec le piratage.

Ces procédures ne relèvent pas, à ce stade, d'une "class action" à l'américaine, ni d'une action de groupe au sens juridique du terme, comme le droit français le permet depuis 2025. Les avocats regroupent et coordonnent des recours individuels pour mutualiser les frais. Chaque victime reste donc directement concernée par sa procédure et devra, si elle demande une indemnisation, établir le préjudice qu'elle a subi.

L'État va devoir prouver qu'il a suffisamment protégé les données

Pour les avocats qui se sont saisis du dossier, la première étape consiste à faire reconnaître une éventuelle responsabilité de l'administration. La question porte notamment sur les mesures de sécurité mises en place pour protéger les données fiscales.

L'article 32 du RGPD impose aux responsables de traitement de mettre en œuvre des mesures de sécurité adaptées aux risques. Jérémy Roche, avocat au barreau de Béziers, qui coordonne environ 2.000 recours, rappelle auprès de RTL que la charge de la preuve est un élément important du dossier.

"Ce n'est pas à mes clients de démontrer qu'ils ont été insuffisamment protégés. C'est à l'État de montrer qu'il a mis en œuvre les moyens nécessaires", souligne ce spécialiste des dossiers liés au règlement européen de protection des données personnelles (RGPD).

Les avocats comptent notamment s'appuyer sur les informations publiées par l'administration elle-même, notamment ses communications sur les faiblesses de ses systèmes et ses plans de cybersécurité.

Jérémy Roche estime que ces éléments peuvent permettre au juge d'évaluer les mesures qui avaient été prises. La question de la double authentification, dont le déploiement non systémique a été reconnu par Bercy, pourra notamment être scrutée afin de déterminer si les mesures de sécurité étaient suffisantes au regard des obligations du RGPD.

Une indemnité loin d'être garantie

Même si la responsabilité de l'Etat était reconnue, cela ne signifierait pas que chaque personne concernée recevrait automatiquement une somme d'argent. Le principal enjeu sera de démontrer un préjudice personnel pour chaque plaignant et un lien de causalité avec la fuite de données à la DGFIP.

"Il faut distinguer deux situations, estime Pierre-Etienne Moullé, avocat au cabinet Beside avocats qui a étudié les différentes démarches engagées. Il y a d'abord les personnes qui n'ont subi aucune conséquence concrète mais qui peuvent invoquer la perte de contrôle de leurs données. Et puis celles qui ont subi un dommage financier ou matériel supplémentaire, par exemple à la suite d'une escroquerie ou d'un vol".

Jérémy Roche explique à RTL qu'il entend s'appuyer notamment sur une décision européenne concernant la fuite de données fiscales en Bulgarie. "Dans l'affaire du fisc bulgare, la requérante demandait 510 euros par personne. La décision date de 2023. Il y a eu de l'inflation depuis et nous sommes en France. On pourrait peut-être viser un montant de 500 à 800 euros, mais il faut rester raisonnable. Il ne s'agit pas de faire croire que chacun va obtenir des milliers d'euros", souligne-t-il.

Sollicité par RTL, l'avocat David Guyon, qui coordonne également une trentaine de procédures au barreau de Montpellier, évoque de son côté des indemnisations pouvant aller de 500 à 5.000 euros.

La jurisprudence européenne reconnaît qu'une perte de contrôle sur ses données peut constituer un préjudice. La question sera ensuite de savoir comment les juridictions administratives françaises vont appliquer ces décisions. "Le juge administratif est en effet très conservateur sur les indemnisations et hyper exigeant sur les preuves à apporter", prévient Alexandre Archambault, avocat au barreau de Paris, spécialisé dans le numérique.

En juin 2025, dans une affaire de moindre ampleur consécutive à une fuite de données chez l'opérateur Free, un client réclamait 4.000 euros après avoir subi des prélèvements abusifs, en tombant dans le piège d'une arnaque au faux abonnement Prime Vidéo mentionnant des informations compromises dans le piratage de l'opérateur. La Cour de cassation l'avait débouté, estimant que le lien direct avec la cyberattaque n'était pas clairement établi.

Des préjudices à examiner au cas par cas

Si le regroupement des mandats répond à un besoin de simplification matérielle, l'individualisation des dossiers promet de constituer l'une des principales difficultés de la procédure. Les avocats pourraient avoir à traiter plusieurs milliers de situations différentes, avec des pièces et des éléments de preuve propres à chaque victime.

Les avocats interrogés mettent aussi en garde contre l'idée d'une somme identique versée à toutes les victimes. Sollicitée par RTL, Soraya Amrani Mekki, directrice du département Droit de Sciences Po et spécialiste des litiges sériels, rappelle qu'en droit français, l'indemnisation doit correspondre au préjudice effectivement subi.

"Une personne qui n'a subi aucune conséquence particulière n'est pas nécessairement dans la même situation qu'une victime ayant fait l'objet d'une tentative d'escroquerie ciblée. Dans ce cas-là, il va falloir détailler le type de préjudice pour chaque personne", estime-t-elle.

De 50 à des centaines d'euros : quel ticket d'entrée pour ces actions ?

Autre écueil : le nombre potentiel de victimes risque de poser un problème très concret pour les cabinets d'avocats. Le ticket d'entrée payé par les victimes doit permettre de financer le travail réalisé, alors même que l'issue de la procédure et le montant d'une éventuelle indemnisation restent incertains.

Si David Guyon estime ses honoraires à plusieurs centaines d'euros dans ce dossier, des frais dans la moyenne de la profession, Jérémy Roche espère pouvoir proposer un ticket d'entrée compris autour de 50 à 100 euros pour les personnes qui rejoignent sa démarche.

"Tout dépend du volume", résume-t-il. L'objectif est de réduire le coût de la procédure en traitant un grand nombre de dossiers sur une base commune et en recourant à des outils permettant d'automatiser une partie du traitement.

Prendre le temps de bien documenter son dossier

Si les avocats en charge de ces dossiers multiplient les interventions médiatiques pour inciter les victimes de la fuite de données à rejoindre leurs actions, d'autres experts appellent à prendre le temps de la réflexion. "Il n'y a aucune raison de se précipiter aujourd'hui à lancer des contentieux puisque, aujourd'hui, les préjudices, à mon sens, ne sont pas consolidés", estime Pierre-Etienne Moullé.

La prescription de quatre ans pour engager une action laisse du temps aux victimes de la fuite pour réunir des éléments et mesurer les conséquences éventuelles de l'incident. 

Si un contribuable reçoit par exemple un appel ou un message faisant référence à des informations fiscales précises qu'il n'avait communiquées qu'à l'administration, comme le revenu fiscal de référence, le quotient familial ou le taux de prélèvement, dont Bercy a reconnu la compromission, cet élément pourrait être versé au dossier afin d'établir un lien avec la fuite.

Plus largement, les avocats recommandent aux personnes concernées de conserver tous les éléments qui pourraient servir de preuve : le mail ou le courrier de la DGFiP les avertissant de la fuite  de leurs données personnelles, les messages suspects, les appels téléphoniques et les tentatives de phishing.

D'autant que les délais judiciaires promettent d'être longs. Jérémy Roche évoque, en théorie, environ un an pour obtenir une décision au fond après le début du contentieux. Pierre-Etienne Moullé estime de son côté plutôt entre deux à trois ans le temps nécessaire pour instruire ce type de dossier.

Faire reconnaître la responsabilité de l'État pour créer un précédent

Au-delà de la quête d'indemnité, ces actions en justice poursuivent avant tout une visée symbolique. L'enjeu est d'obtenir une décision faisant office de référence pour l'avenir des contentieux liés aux fuites de données. "Il y a une dimension symbolique importante. Il faut faire reconnaître que les données que l'on confie à l'État ont une valeur. Car même avec la meilleure décision de justice, elles resteront dans la nature", résume Jérémy Roche.

Le droit français est-il toujours adapté aux problématiques cyber ? Alors qu'il impose la dématérialisation et centralise les informations les plus sensibles des citoyens, l'État échappe aux sanctions administratives et pénales. "La contrepartie de cette immunité devrait être, outre la responsabilité politique, une exigence d'autant plus élevée devant le juge de la réparation", estime Pierre-Etienne Moullé.

Un sentiment partagé par les plaignants qui ont rejoint l'action de David Guyon, révoltés de voir l'administration "incapable de protéger leurs données personnelles, alors qu'elle leur réclame toujours et davantage d'informations".

L’actualité par la rédaction de RTL dans votre boîte mail.

Grâce à votre compte RTL abonnez-vous à la newsletter RTL info pour suivre toute l'actualité au quotidien

Je créé mon compte Se connecter

S’abonner à la Newsletter RTL Info