Après la confirmation par la DGFiP du vol des données fiscales et cadastrales de plus de 678 000 particuliers et professionnels, Me Djamel Belhaouci, avocat pénaliste et avocat en cybercriminalité, met en garde contre une conséquence encore peu évoquée du piratage : le croisement des revenus déclarés avec les adresses physiques des contribuables, une combinaison qui a déjà servi de base à des enlèvements et séquestrations visant des personnes fortunées. L’avocat détaille par ailleurs, pour les victimes, les deux voies juridiques permettant d’obtenir réparation.
Un danger qui dépasse le phishing : le risque physique
Usurpation d’identité, hameçonnage, escroqueries ciblées : les usages frauduleux de données personnelles volées sont désormais bien identifiés. Mais la fuite qui touche la DGFiP présente une particularité que Me Belhaouci juge alarmante : elle associe, pour chaque contribuable, le niveau de revenu et l’adresse physique du domicile. “C’est exactement le type de croisement qui a déjà permis des séquestrations et des extorsions très violentes visant des détenteurs de cryptoactifs, après que des plateformes ont elles-mêmes été piratées. On sait qui gagne combien, et on sait où le trouver : c’est une base de ciblage pour des réseaux criminels, pas seulement pour des fraudeurs en ligne”, alerte l’avocat.
Deux voies pour obtenir une indemnisation
Pour les 678 000 contribuables concernés, Me Belhaouci identifie deux voies de réparation, dont les issues sont très différentes.
La première consiste à se constituer partie civile si l’auteur de la cyberattaque est identifié et poursuivi pénalement. “Les victimes peuvent alors demander réparation directement à l’attaquant, en tant que victimes directes de l’infraction. Le problème, c’est que c’est lui qui doit payer : encore faut-il qu’il soit solvable, ce qui est rarement le cas”, explique l’avocat.
La seconde voie consiste à se retourner directement contre la DGFiP. Elle suppose de démontrer une faute dans la gestion des données à caractère personnel, ce que Me Belhaouci qualifie de “difficile à établir pour un particulier seul”. Il recommande aux contribuables concernés d’attendre la décision de la CNIL, qui a été saisie par la DGFiP pour saisir le juge administratif ou civil, selon que l’entité visée est publique ou privée, et demander réparation sur cette base.”
Des montants qui dépendent du préjudice réellement subi
Sur le montant des indemnisations, Me Belhaouci se veut réaliste. “En l’absence de conséquence matérielle, c’est le préjudice d’angoisse qui est indemnisé : difficile d’en attendre plus de 500 à 1 000 euros.” En revanche, si la fuite se traduit par un préjudice matériel avéré, usurpation d’identité ayant entraîné une perte d’argent par exemple, la réparation peut couvrir l’intégralité du préjudice subi, à demander directement devant le juge civil ou administratif. “Et dans ce cas, si c’est la DGFiP qui est condamnée, l’indemnisation est portée par l’État : la solvabilité, elle, n’est plus un problème.”
À propos de Me Djamel Belhaouci
Avocat pénaliste, Me Djamel Belhaouci construit son expertise à l’intersection du droit pénal et de la cybersécurité technique. Il conseille et représente des victimes de cyberattaques et de fuites de données personnelles, et intervient régulièrement pour décrypter les enjeux juridiques de l’actualité cyber.
