Près de 700 000 personnes concernées. Un vol de données massif au cœur de l'administration fiscale durant l'été. Et une réponse claire de la CNIL. Un contrôle de la Direction générale des finances publiques, avec des équipes annoncées sur place dans les jours qui suivent. Aucune immunité pour le secteur public Il existe une idée reçue tenace. L'État, ses administrations, ses grands organismes échapperaient à la logique de sanction qui pèse sur les entreprises privées. Ce dossier la démonte. La CNIL contrôle la DGFiP exactement comme elle contrôlerait un acteur privé après une fuite de cette ampleur. La règle est simple et sans exception. Dès lors qu'une entité traite des données personnelles, elle répond des mêmes obligations de sécurité. La taille, le statut public, la mission d'intérêt général ne créent aucun bouclier. Le contrôle pourrait d'ailleurs aboutir à une mise en demeure d'ici la fin de l'année. Comprendre ce qui s'est passé L'objectif affiché du contrôle mérite l'attention. Il s'agit de comprendre ce qui s'est passé et de vérifier ce qui aurait dû être en place. C'est le mode opératoire habituel de l'autorité après un incident. On remonte le fil, on examine les mesures existantes, on mesure l'écart avec ce qui était attendu. Cette logique dépasse largement le secteur public. Toute organisation devrait se poser la question avant d'y être confrontée. Que trouverait un contrôle mené aujourd'hui, à froid, sans préparation de dernière minute. La leçon vaut pour tous Un incident chez un acteur aussi central rappelle une évidence trop souvent oubliée. La protection des données ne se construit pas dans l'urgence, au moment où l'autorité frappe à la porte. Elle se construit dans les mois calmes, quand personne ne regarde. C'est un travail sans gloire. Invisible tant que rien n'arrive. Décisif le jour où quelque chose arrive.
