La CNIL va contrôler la sécurité des données de la DGFiP et de l'ANTS après des intrusions informatiques

La sécurité des données personnelles détenues par l’administration fiscale va faire l’objet d’un contrôle de la CNIL, a-t-on appris jeudi. Sa présidente, Marie-Laure Denis, a annoncé l’envoi prochain d’équipes au sein de la Direction générale des finances publiques (DGFiP), touchée cet été par plusieurs intrusions informatiques.

Près de 700.000 personnes sont concernées par les vols de données survenus dans les systèmes d’information du fisc. « J’ai demandé aux équipes de la Cnil de se rendre dans les tout prochains jours dans les locaux de la Direction générale des finances publiques », a déclaré Marie-Laure Denis dans une interview pour l’émission « Cash Investigation » sur France 2.

L’ANTS sera également contrôlée

Le contrôle devra permettre à l’autorité de protection des données d’établir les circonstances des incidents et d’évaluer les mesures de sécurité mises en place par la DGFiP. « Il nous paraît important de comprendre ce qui s’est passé pour, selon les constats que nous ferons, en tirer toutes les conséquences : soit une mise en demeure d’ici la fin de l’année […], soit une orientation vers une sanction », a précisé la présidente de la CNIL. En tant qu’administration, l’Etat ne peut toutefois pas se voir infliger d’amende par l’autorité.

La CNIL va également contrôler l’Agence nationale des titres sécurisés (ANTS), qui gère notamment les pièces d’identité. Cette administration avait subi en avril une attaque ayant conduit au vol de données concernant près de 12 millions de particuliers et de professionnels. « L’État a un devoir d’exemplarité particulier. Ça fait partie justement du contrat de confiance entre l’État et ses administrés que de sécuriser les données, souvent intimes, que les Français sont obligés de confier à l’Etat », a estimé Marie-Laure Denis.

Un audit du fisc est déjà en cours par l’Anssi

La cybersécurité de la DGFiP fait déjà l’objet d’un examen distinct. En août, le Premier ministre Sébastien Lecornu a demandé à l’Agence nationale de sécurité des systèmes d’information (Anssi) de conduire un « audit approfondi » après le vol de données subi par l’administration fiscale.

Notre dossier sur la cybercriminalité

Une note du président et du rapporteur de la commission des Finances du Sénat estime que ce piratage a mis au jour « plusieurs fragilités structurelles des systèmes d’information » de la DGFiP ainsi que des « lacunes dans les contrôles réalisés à la suite de ces incidents ». Les conclusions du contrôle de la CNIL détermineront désormais si l’autorité engage une mise en demeure ou une procédure de sanction.