Il y a un chiffre qui résume le dossier. Quarante-huit jours. C'est le temps écoulé entre l'intrusion dans le système d'information de la Direction générale des Finances publiques, fin juin, et la confirmation publique de l'attaque par Bercy, le 13 août. Le RGPD, lui, raisonne en heures. Une chronologie qui interroge L'accès illégitime remonte à fin juin, obtenu après l'usurpation d'identifiants d'agents. Le 12 août, un individu revendique publiquement avoir extrait des centaines de milliers de lignes de données fiscales. Le lendemain, le ministère confirme. L'annonce officielle est donc arrivée après la sortie du pirate, pas avant. Le périmètre a ensuite grossi : au vol initial estimé à 678 000 dossiers se sont ajoutées d'autres compromissions, dont une intrusion sur un serveur cadastral réévaluée à 1,8 million de comptes. Les données concernées ne sont pas des mots de passe qu'on réinitialise. Revenus fiscaux de référence, adresses, situations familiales, taux de prélèvement, identités. Des informations qui restent exploitables indéfiniment, et qui permettent de fabriquer des arnaques d'une précision redoutable. Le débat sur les 72 heures L'article 33 du RGPD impose de notifier une violation à l'autorité de contrôle dans les 72 heures suivant sa prise de connaissance. L'article 34 impose, lui, d'informer les personnes concernées sans délai quand le risque est élevé. Tout le débat se cristallise sur un mot : la prise de connaissance. Bercy avance avoir appris le vol le 12 août. Si l'on retient cette date, la notification tient. Si la connaissance remonte à l'intrusion de fin juin, le délai a explosé. Un point est souvent mal compris. Les traitements mis en œuvre par l'État échappent aux amendes de la CNIL, en vertu de la loi Informatique et Libertés. Mais la CNIL garde ses autres pouvoirs : avertissement, mise en demeure, injonction. Et les personnes concernées peuvent agir en réparation devant le juge administratif, sur le fondement de l'article 82. La leçon pour les organisations privées Aucune entreprise n'a le luxe de cette exception. Pour elle, la règle est nette. Le point de départ des 72 heures n'est pas la date qui arrange, c'est le moment où l'on aurait raisonnablement dû savoir. Ce moment se prépare avant l'incident. Une procédure d'astreinte, un registre des violations à jour, des clauses d'alerte solides avec les sous-traitants, une trame de notification prête. Sans ça, c'est votre propre chronologie qui deviendra la pièce à charge.
