La Commission nationale de l'informatique et des libertés (CNIL) va envoyer ses équipes dans les locaux de la Direction générale des finances publiques (DGFiP) dans les prochains jours. L'annonce a été faite jeudi par sa présidente, Marie-Laure Denis, dans une interview pour l'émission « Cash Investigation » sur France 2. Cette décision fait suite aux intrusions informatiques survenues cet été dans les systèmes d'information du fisc, qui ont concerné près de 700.000 personnes.
Un contrôle pour comprendre et agir
« J'ai demandé aux équipes de la Cnil de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques », a déclaré Marie-Laure Denis. Le contrôle doit permettre à l'autorité de protection des données d'établir les circonstances des incidents et d'évaluer les mesures de sécurité mises en place par la DGFiP.
« Il nous paraît important de comprendre ce qui s'est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences : soit une mise en demeure d'ici la fin de l'année […], soit une orientation vers une sanction », a précisé la présidente de la CNIL. En tant qu'administration, l'État ne peut toutefois pas se voir infliger d'amende par l'autorité.
L'ANTS également dans le viseur
La CNIL va aussi contrôler l'Agence nationale des titres sécurisés (ANTS), qui gère notamment les pièces d'identité. Cette administration avait subi en avril une attaque ayant conduit au vol de données concernant près de 12 millions de particuliers et de professionnels.
« L'État a un devoir d'exemplarité particulier. Ça fait partie justement du contrat de confiance entre l'État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l'État », a estimé Marie-Laure Denis.
Un audit distinct déjà en cours
La cybersécurité de la DGFiP fait déjà l'objet d'un examen distinct. En août, le Premier ministre Sébastien Lecornu a demandé à l'Agence nationale de sécurité des systèmes d'information (Anssi) de conduire un « audit approfondi » après le vol de données subi par l'administration fiscale.
Une note du président et du rapporteur de la commission des Finances du Sénat estime que ce piratage a mis au jour « plusieurs fragilités structurelles des systèmes d'information » de la DGFiP ainsi que des « lacunes dans les contrôles réalisés à la suite de ces incidents ». Les conclusions du contrôle de la CNIL détermineront désormais si l'autorité engage une mise en demeure ou une procédure de sanction.
