Sécurité des données fiscales et bancaires détenues par la DGFiP

M. Hubert Ott appelle l'attention de M. le ministre de l'action et des comptes publics sur la sécurité des données personnelles et fiscales détenues par la direction générale des finances publiques (DGFiP). En février 2026, la DGFiP a révélé que les identifiants d'un agent d'une autre administration, disposant d'un accès au fichier national des comptes bancaires (FICOBA) dans le cadre des échanges interministériels, avaient été usurpés pour consulter les données d'environ 1,2 million de comptes. Au cours de l'été 2026, de nouvelles intrusions ont visé des données fiscales, des données cadastrales et un portail relatif aux successions vacantes, exposant les informations de plusieurs centaines de milliers de personnes. Le rapport d'incident publié par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) le 29 septembre 2026 met en évidence des défaillances structurelles plutôt qu'une attaque sophistiquée : réutilisation d'identifiants légitimes dérobés, absence d'authentification forte sur des portails donnant accès à des données sensibles, applications insuffisamment cloisonnées vis-à-vis des accès d'autres administrations et absence de détection des extractions de données. Le Gouvernement a depuis annoncé plusieurs mesures, parmi lesquelles la généralisation de la double authentification à l'ensemble des agents de la DGFiP d'ici la fin de l'année 2026 et un plan d'action défini avec l'ANSSI. Ces annonces sont bienvenues, mais la répétition des incidents interroge sur la capacité de l'administration à protéger des informations que les citoyens et les entreprises sont, pour l'essentiel, tenus de lui transmettre. L'État, qui exige à juste titre des entreprises qu'elles sécurisent leurs systèmes d'information, documentent leurs incidents et respectent le RGPD, se doit de faire preuve d'au moins la même exigence et de la même exemplarité. La confiance dans l'action publique numérique, appelée à s'étendre encore avec le recours à l'intelligence artificielle, en dépend directement. Aussi, il lui demande si l'objectif de généralisation de la double authentification d'ici la fin de l'année 2026 sera tenu, de préciser le calendrier de mise en œuvre des autres mesures du plan d'action défini avec l'ANSSI, notamment l'encadrement des accès accordés aux autres administrations et aux tiers et la détection des extractions massives de données et s'il entend rendre compte régulièrement au Parlement de l'avancement de ces mesures et de leur efficacité.