Pour la création d'une commission d'enquête parlementaire sur le piratage de la DGFiP et l'audit de la cybersécurité des infrastructures critiques de

À l'attention de la Présidence de l'Assemblée nationale et de la Commission des Lois

Le contexte : Une compromission inédite de la confiance publique
En juin et juillet 2026, la Direction générale des Finances publiques (DGFiP) a été victime de la plus importante cyberattaque ciblant les infrastructures de l'État français à ce jour. Les données ultra-sensibles (revenu fiscal de référence, numéros fiscaux, situation familiale) de près de 678 000 contribuables ont été compromises via l'usurpation d'identifiants d'agents publics.

Le fait le plus alarmant ne réside pas seulement dans l'intrusion elle-même, mais dans la défaillance systémique de nos mécanismes d'alerte : l'État n'a pris la pleine mesure de cette fuite massive qu'après la revendication et la publication des données par les pirates sur le dark web, mi-août. Ce délai de latence met en lumière une faille structurelle inacceptable dans la surveillance des réseaux gouvernementaux.

L'analyse : Une défaillance technique et une responsabilité juridique engagée
Pour les acteurs du secteur numérique et les experts en gestion de l'engagement digital, le diagnostic est clair : l'architecture de sécurité de nos ministères souffre d'un manque criant de systèmes d'automatisation des alertes et d'outils de détection comportementale (IA). Une exfiltration de données d'une telle ampleur génère un flux d'activité anormal qui aurait dû déclencher un verrouillage immédiat des accès.

Sur le plan juridique, cette défaillance interroge directement la responsabilité de l’État. En vertu de l'article 32 du Règlement Général sur la Protection des Données (RGPD), l'État, en tant que responsable de traitement, est tenu de garantir un niveau de sécurité adapté au risque.
La jurisprudence récente de la Cour de Justice de l'Union Européenne (Arrêt du 14 décembre 2023, Affaire C-340/21) a rappelé, suite au piratage du fisc bulgare, qu'il incombe à l'administration de prouver la robustesse de ses systèmes, et a reconnu le préjudice moral d'anxiété lié à la crainte d'usurpation d'identité pour les citoyens victimes.

L'enjeu démocratique :
Le consentement à l'impôt repose sur un pacte de confiance. L'État exige de ses citoyens une transparence totale et numérisée sur leur vie patrimoniale. En contrepartie, le devoir régalien de protection de ces données doit être absolu. Ce pacte est aujourd'hui fracturé.

Requêtes :
Face à l'urgence de la menace et à l'impossibilité de laisser nos infrastructures informatiques dans cet état de vulnérabilité, nous, citoyens français, demandons solennellement à la Représentation nationale d'exercer son pouvoir de contrôle sur l'exécutif.

Nous demandons la constitution immédiate d'une commission d'enquête parlementaire ayant pour mandat de :

Auditer en toute transparence l'état réel de la cybersécurité des ministères régaliens (Bercy, Intérieur, Justice, Armées) et identifier les failles ayant permis le piratage de la DGFiP.

Évaluer l'obsolescence des protocoles actuels et proposer un plan d'investissement massif dans des architectures de sécurité modernes (automatisation des contrôles, détection par intelligence artificielle des comportements déviants).

Contrôler la gestion de crise de l'administration vis-à-vis des 678 000 victimes, et imposer la mise en place d'un guichet unique gouvernemental pour accompagner juridiquement et financièrement les citoyens face aux risques d'usurpation d'identité et de fraude bancaire.

La sécurité de la Nation au XXIe siècle ne se joue plus seulement à nos frontières physiques, mais sur nos serveurs. Le Parlement doit s'emparer de ce sujet vital.