PAS DE FACTURATION ÉLECTRONIQUE OBLIGATOIRE SANS SÉCURITÉ, TRANSPARENCE ET INDEMNISATION DES VICTIMES SUITE AU PIRATAGE

PAS DE FACTURATION ÉLECTRONIQUE OBLIGATOIRE SANS SÉCURITÉ, TRANSPARENCE ET INDEMNISATION DES VICTIMES SUITE AU PIRATAGE

Nous demandons un moratoire sur le déploiement obligatoire de la facturation électronique, la réalisation d’un audit indépendant de l’ensemble du dispositif et la création d’un mécanisme d’indemnisation pour les victimes du piratage du système d’information de la Direction générale des Finances publiques.

Pourquoi cette pétition ?

Le 14 août 2026, le ministère de l’Économie et des Finances a confirmé que des accès illégitimes au système d’information de la DGFiP avaient permis la consultation et l’extraction de données concernant environ 678 000 particuliers et professionnels.

Les informations concernées comprennent notamment le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, des raisons sociales, des numéros SIREN ainsi que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers.

La DGFiP précise que les espaces personnels et professionnels ainsi que les mots de passe des usagers n’ont pas été compromis. Néanmoins, les informations dérobées peuvent faciliter des tentatives d’hameçonnage ciblées, des escroqueries ou des usurpations d’identité particulièrement crédibles.

La CNIL recommande donc aux personnes concernées de surveiller leurs comptes, de vérifier toute activité suspecte et de rester vigilantes face aux appels, courriels ou demandes de paiement utilisant leurs véritables informations fiscales.

Un coût qui ne doit pas être supporté par les victimes

Certaines personnes et entreprises pourront devoir consacrer du temps et de l’argent à la protection de leur identité, de leurs comptes et de leur activité.

Ces dépenses peuvent notamment concerner :

* l’intervention d’un professionnel de la cybersécurité ;
* l’accompagnement d’un avocat, d’un expert-comptable ou d’une association spécialisée ;
* les démarches bancaires et administratives liées à une tentative de fraude ;
* la sécurisation des outils numériques d’une entreprise ;
* les pertes financières ou professionnelles directement causées par l’utilisation frauduleuse des données ;
* le temps consacré à la surveillance des comptes, aux signalements et aux démarches de protection.

Il serait injuste que les personnes ayant confié leurs informations à l’administration soient contraintes de supporter seules les conséquences financières d’une fuite qu’elles n’ont pas provoquée.

Un déploiement de la facturation électronique qui doit être réévalué

À compter du 1er septembre 2026, toutes les entreprises devront être capables de recevoir des factures électroniques. Les grandes entreprises et les entreprises de taille intermédiaire devront également les émettre électroniquement à cette date. Les petites entreprises, microentreprises et indépendants seront progressivement concernés par l’émission obligatoire à partir du 1er septembre 2027.

Les factures devront circuler par l’intermédiaire de plateformes privées agréées et certaines données de facturation, de transaction et de paiement seront transmises à l’administration fiscale.

Le piratage récemment découvert n’a pas été provoqué par la facturation électronique. Cependant, il démontre qu’avant d’étendre la collecte et la circulation de données économiques sensibles, l’État doit apporter des garanties vérifiables concernant la sécurité de ses systèmes et celle de tous les intermédiaires privés participant au dispositif.

Nous ne sommes pas opposés par principe à la modernisation des échanges. Nous refusons en revanche qu’une obligation d’une telle ampleur soit imposée sans transparence suffisante, sans solution publique accessible et sans protection réelle des personnes et des entreprises.

Nous demandons :

1. Un moratoire sur la facturation électronique obligatoire

Nous demandons la suspension du calendrier obligatoire tant qu’un audit indépendant de sécurité n’aura pas été réalisé et rendu public.

Si les garanties nécessaires ne peuvent pas être apportées, l’obligation devra être supprimée ou profondément révisée, notamment pour les indépendants, microentreprises, artisans et très petites entreprises.

2. Un audit indépendant et public

L’audit devra porter sur :

* la sécurité du système d’information de la DGFiP ;
* les conditions d’accès accordées aux agents et aux tiers habilités ;
* la détection des consultations et extractions anormales de données ;
* la sécurité des plateformes agréées de facturation électronique ;
* la conservation, le chiffrement et la transmission des données ;
* la gestion des incidents et l’information des victimes ;
* la responsabilité respective de l’État et des opérateurs privés.

Ses conclusions essentielles devront être rendues publiques avant toute généralisation du dispositif.

3. Un fonds d’indemnisation pour les victimes

Nous demandons la création d’un guichet unique permettant aux particuliers et aux professionnels concernés :

* d’obtenir gratuitement la liste précise des données les concernant qui ont été consultées ou extraites ;
* de demander le remboursement des dépenses nécessaires, raisonnables et justifiées engagées pour se protéger ;
* d’obtenir réparation des pertes financières directement liées à une fraude ou à une usurpation d’identité ;
* de solliciter une indemnisation en cas de préjudice matériel ou moral établi ;
* d’être accompagnés gratuitement dans leurs démarches administratives et judiciaires.

Cette procédure devra être simple, rapide et accessible sans obligation d’engager immédiatement une action judiciaire individuelle.

4. Un service gratuit de protection et d’accompagnement

Les victimes identifiées doivent bénéficier pendant une durée suffisante :

* d’une assistance spécialisée en cas de tentative de fraude ;
* d’un accompagnement contre l’usurpation d’identité ;
* d’un canal prioritaire auprès de la DGFiP ;
* d’alertes officielles concernant les nouvelles formes d’escroqueries utilisant les données volées ;
* d’une aide spécifique pour les personnes vulnérables et les petites entreprises.

5. Une information complète et transparente

Nous demandons la publication régulière :

* du nombre définitif de personnes et d’entreprises concernées ;
* de la nature exacte des informations dérobées ;
* de la chronologie complète de l’incident ;
* des mesures prises pour empêcher qu’une telle intrusion se reproduise ;
* des résultats des investigations de la CNIL et des audits de sécurité, dans les limites nécessaires aux enquêtes en cours.

La confiance numérique ne se décrète pas

La lutte contre la fraude fiscale et la modernisation administrative sont des objectifs légitimes. Elles ne peuvent cependant justifier une augmentation de la collecte des données sans garanties démontrées de sécurité, de transparence et de responsabilité.

Lorsqu’une administration impose aux citoyens et aux entreprises de lui transmettre leurs informations, elle doit assurer leur protection et prendre en charge les conséquences lorsqu’une défaillance cause un préjudice.

Nous demandons donc à l’Assemblée nationale et au Gouvernement de suspendre le déploiement obligatoire de la facturation électronique, de faire toute la lumière sur le piratage de la DGFiP et de protéger concrètement les 678 000 particuliers et professionnels potentiellement concernés.