L’action collective annoncée le 24 août 2026 par Me Jérémy Roche s’appuie sur l’article 82 du Règlement général sur la protection des données (RGPD). Que stipule exactement ce texte ? Comment reconnaît-il le préjudice moral ? Et pourquoi cette affaire pourrait-elle établir des précédents juridiques majeurs en France ? Plusieurs centaines de victimes du piratage de la DGFiP ont rejoint cette démarche inédite contre l’État.
Le fondement juridique : l’article 82 du RGPD
L’article 82 du RGPD, en vigueur depuis 2018, garantit un droit à réparation pour toute personne subissant un dommage matériel ou moral en raison d’une violation du règlement. Il impose au responsable de traitement ou au sous-traitant de réparer le préjudice, sauf s’il prouve que le dommage ne lui est pas imputable. Dans le cadre du piratage de la Direction générale des Finances publiques, l’État est considéré comme responsable du traitement des données fiscales de 678 000 individus.
Me Jérémy Roche, avocat spécialisé en protection des données personnelles, déclare : « Le texte dit que vous avez droit à être indemnisé dès que vous subissez en réalité un préjudice ». Cette formulation ouvre la voie à une interprétation large du dommage réparable, intégrant des dimensions souvent négligées par le droit français traditionnel.
La distinction entre préjudice matériel et moral est centrale dans cette action collective. Le préjudice matériel inclut des pertes financières directes, des frais de sécurisation ou des conséquences économiques mesurables. Le préjudice moral, plus difficile à quantifier, couvre l’angoisse, la perte de contrôle sur ses données ou la crainte d’une usurpation d’identité. Me Roche précise : « Si vous pouvez prouver que vous avez dû installer une alarme, des caméras, etc., vous pouvez en théorie envoyer la facture à l’État ».
La jurisprudence française est peu développée sur la reconnaissance du préjudice moral en cas de violation de données personnelles. Jusqu’à présent, les tribunaux ont privilégié une approche restrictive, exigeant la preuve d’un dommage concret. Cette action collective pourrait pousser les juridictions à adopter une lecture plus large, conforme aux normes européennes.
L’action collective : stratégie juridique et portée
La mobilisation orchestrée par Me Jérémy Roche repose sur une stratégie de mutualisation des ressources juridiques. En regroupant plusieurs centaines de plaignants, l’avocat vise à exercer une pression accrue sur l’État et à maximiser les chances de reconnaissance du préjudice. La procédure est menée au titre d’une action en responsabilité civile fondée sur la violation des obligations de sécurité imposées par le RGPD.
Les deux intrusions distinctes, survenues fin juin et fin juillet 2026, ont compromis des données sensibles, telles que les numéros fiscaux, les états civils, les situations familiales, les taux de prélèvement à la source et les historiques d’échanges avec l’administration. Une troisième faille, identifiée le 17 août et colmatée, a accentué l’urgence de la démarche. La confirmation officielle par la DGFiP, le 14 août 2026, du vol de données concernant au moins 678 000 personnes a déclenché cette mobilisation juridique.
Les victimes peuvent invoquer plusieurs catégories de préjudices moraux. La crainte d’être victime d’une arnaque ou d’une usurpation d’identité est un dommage indemnisable selon l’interprétation large de l’article 82. La perte de contrôle sur des informations personnelles sensibles, particulièrement fiscales, génère une anxiété légitime que le droit doit reconnaître. Certaines victimes ont déjà signalé des tentatives d’arnaque depuis la fuite des données, renforçant la matérialité du préjudice.
Les frais engagés pour se protéger (systèmes d’alarme, surveillance bancaire renforcée, services de protection d’identité) entrent également dans le champ de l’indemnisation potentielle. Cette dimension économique du préjudice moral facilite sa quantification et renforce les arguments des plaignants.
Enjeux jurisprudentiels majeurs
L’action collective évolue dans un contexte jurisprudentiel peu exploré. Depuis l’entrée en vigueur du RGPD en 2018, rares sont les décisions françaises ayant abordé l’indemnisation du préjudice moral lié à une violation de données. Les juridictions européennes ont adopté des positions variées, certaines reconnaissant généreusement le préjudice moral, d’autres exigeant des preuves tangibles de souffrance psychologique.
Cette affaire pourrait conduire la Cour de cassation à se prononcer sur l’interprétation de l’article 82 et à aligner la pratique française sur les normes européennes. L’ampleur du piratage (678 000 victimes) et la nature publique du responsable (l’État) confèrent à ce contentieux une dimension exceptionnelle, susceptible d’influencer durablement le droit de la protection des données.
L’action collective questionne directement la responsabilité de l’État en matière de cybersécurité. Le RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles adéquates pour garantir un niveau de sécurité adapté au risque. L’intrusion dans les systèmes de la DGFiP révèle des failles potentiellement constitutives d’un manquement à cette obligation.
Le ministre des Comptes publics David Amiel a tenté de minimiser l’impact en affirmant : « Il n’y a pas d’impôt qui aurait été détourné, d’avis d’imposition qui auraient été modifiés ». Cette déclaration, bien que rassurante sur le plan financier, n’exonère pas l’État de sa responsabilité civile quant à la protection des données personnelles. Le Premier ministre Sébastien Lecornu a commandé un audit de sécurité, tandis que la porte-parole du gouvernement Maud Bregeon a annoncé un conseil de défense pour la mi-septembre.
Chronologie juridique et prochaines étapes
La chronologie des événements structure la stratégie contentieuse. Les premières intrusions, fin juin 2026, sont restées silencieuses jusqu’à la confirmation officielle du 14 août. Ce délai a permis aux cybercriminels d’exploiter les données volées, accentuant le préjudice des victimes. La deuxième intrusion, fin juillet, puis la troisième faille identifiée le 17 août, témoignent de vulnérabilités systémiques dans l’infrastructure informatique de la DGFiP.
L’annonce de l’action collective le 24 août 2026, dix jours après la confirmation officielle du piratage, illustre la réactivité du barreau spécialisé en protection des données. Me Jérémy Roche a capitalisé sur l’émotion suscitée par la révélation pour mobiliser rapidement plusieurs centaines de victimes, créant une dynamique contentieuse difficile à ignorer pour les pouvoirs publics.
Le conseil de défense prévu à la mi-septembre 2026 devrait définir la stratégie de l’État face à cette action collective. Plusieurs options s’offrent au gouvernement : contester la recevabilité de l’action, négocier un accord amiable avec les victimes, ou assumer un contentieux long et médiatisé. La dimension politique de l’affaire (confiance dans les institutions publiques, crédibilité de la transformation numérique de l’État) pèsera lourd dans la décision.
L’issue de cette action collective dépassera le cadre strictement indemnitaire. Elle fixera des standards de sécurité pour les administrations publiques et établira des précédents sur la reconnaissance du préjudice moral en matière de données personnelles. Les 678 000 victimes du piratage de la DGFiP pourraient ainsi contribuer, malgré elles, à une évolution majeure du droit français de la protection des données.
