Le ministère de l'Économie a confirmé le 14 août 2026 une compromission du système d'information de la Direction générale des finances publiques. Un tiers a pu consulter et extraire les données de 678 000 usagers. Environ 350 000 particuliers, 250 000 professionnels. Le mode opératoire n'a rien d'un exploit sophistiqué : deux comptes légitimes usurpés, celui d'un agent et celui d'un tiers habilité. Ce qui frappe, ce n'est pas la technique. C'est le calendrier. Un décalage qui interroge toute la chaîne de notification Les intrusions remontent à juin et juillet. La communication publique, elle, n'a démarré que le 12 août, au moment où l'attaquant a revendiqué son accès. Autrement dit, le déclencheur de la transparence n'a pas été la détection interne mais la publicité faite par l'auteur de l'attaque. Ça pose une question simple. Si personne n'avait revendiqué, quand l'information serait-elle sortie ? Le RGPD a précisément anticipé ce point. L'article 33 impose la notification à l'autorité de contrôle dans les 72 heures suivant la prise de connaissance de la violation. L'article 34 ajoute l'information des personnes concernées quand le risque est élevé. Le règlement n'a jamais promis l'absence de faille. Il a organisé la manière d'en rendre compte, et le tempo qu'il fixe se compte en heures. Le vrai test d'un dispositif de conformité Pour un DPO, l'épisode fonctionne comme un exercice grandeur nature. La question n'est pas de savoir si l'organisation sera un jour notifiée. C'est de savoir si sa chaîne de qualification tient le délai. Détecter, qualifier juridiquement l'incident comme violation de données personnelles, décider s'il déclenche l'article 33 puis l'article 34 : tout cela suppose une procédure écrite, des rôles attribués, une journalisation exploitable le jour venu. Beaucoup de dispositifs sont irréprochables sur le papier des mentions obligatoires et beaucoup plus fragiles sur la capacité réelle à réagir vite. Ce que ça change pour les organisations L'affaire rappelle aussi une évidence trop souvent oubliée : le RGPD s'applique pleinement aux administrations. La DGFiP est responsable de traitement au sens de l'article 4, point 7. Mêmes obligations qu'un acteur privé, mêmes sanctions potentielles. La conformité continue ne se juge pas à la qualité de la politique de sécurité en temps calme. Elle se mesure à la vitesse de réaction en pleine crise.
