Fuites De Données Fiscales : L’Adan Alerte La Cnil

Imaginez un instant que vos coordonnées bancaires, votre adresse exacte et le fait que vous détenez des actifs numériques se retrouvent entre de mauvaises mains. Ce n’est plus de la science-fiction. Le 12 octobre, l’Adan a officiellement saisi la Commission nationale de l’informatique et des libertés. L’association professionnelle des acteurs des actifs numériques estime que la protection des données fiscales françaises n’est plus à la hauteur des enjeux. Derrière les formalités administratives se cachent des risques bien concrets pour les détenteurs de cryptomonnaies et pour leurs proches.

Pourquoi L’Adan A Décidé De Passer À L’Action

Tout a commencé par un courrier adressé en mars au ministère de l’Économie et des Finances. L’association attendait des réponses claires sur la manière dont les informations sensibles étaient protégées. Aucune réponse n’est arrivée. Face à ce silence, l’Adan a choisi de s’adresser directement à la Cnil. Elle demande désormais des vérifications précises sur les obligations de protection des données personnelles détenues par l’administration fiscale.

Deux dossiers distincts sont au cœur de la démarche. Le premier concerne l’intrusion dans le fichier national des comptes bancaires, plus connu sous le nom de Ficoba. Le second porte sur les soupçons de transmission d’informations confidentielles par une agente de la Direction générale des Finances publiques. Dans les deux cas, l’association veut savoir exactement quelles données ont été compromises, qui a été touché et quelles mesures ont été prises pour informer les victimes.

L’accompagnement juridique a été assuré de manière bénévole par le cabinet ORWL, notamment les avocats Romain Chilly et Hugo Ferraris. Leur rôle consiste à clarifier le périmètre des informations exposées et à s’assurer que les obligations légales de protection ont bien été respectées. L’Adan insiste particulièrement sur un point souvent oublié : la divulgation de renseignements personnels peut exposer les détenteurs de crypto et leurs familles à des agressions physiques.

Le dossier Ficoba : ce que l’on sait officiellement

Le 18 février 2026, la Direction générale des Finances publiques a elle-même annoncé qu’un attaquant avait réussi à usurper les identifiants d’un fonctionnaire. Pendant plusieurs jours, cet individu a consulté une partie du fichier Ficoba. Selon les chiffres communiqués, environ 1,2 million de comptes ont été concernés. Les données consultées incluaient des identités, des adresses et des coordonnées bancaires. Ce chiffre ne signifie pas forcément que 1,2 million de personnes distinctes ont été touchées, car un même individu peut détenir plusieurs comptes.

Une réponse parlementaire publiée le 9 juin a apporté des précisions supplémentaires. Les accès frauduleux se sont déroulés de fin janvier jusqu’au 13 février. L’administration indique avoir informé les usagers par courriel ou par courrier postal. Les banques concernées ont également été alertées. Les accès des partenaires ont été rétablis le 23 mars, mais avec des habilitations plus restreintes. Ces explications publiques existent, pourtant elles ne répondent pas directement au courrier que l’Adan avait adressé en mars.

Le signalement déposé auprès de la Cnil reste une demande de vérification. À ce stade, rien ne permet d’affirmer que la commission a ouvert une enquête formelle ou qu’elle a constaté un manquement. L’annonce de l’association ne préjuge pas de la suite des événements. Elle place simplement la confidentialité des données administratives au centre des préoccupations de sécurité du secteur crypto.

L’affaire de l’agente de la DGFiP : un autre niveau de risque

Le second dossier est d’une nature différente. En juillet, le cabinet ORWL évoquait une fonctionnaire mise en examen en juin 2025. Cette agente est soupçonnée d’avoir transmis des renseignements confidentiels sur des contribuables, parmi lesquels des investisseurs en cryptomonnaies. Ces soupçons ne suffisent pas à établir un lien direct avec chaque agression visant des détenteurs d’actifs numériques. Ils illustrent cependant une vulnérabilité structurelle : les informations fiscales peuvent circuler hors des circuits officiels.

Quand on croise ces deux affaires, une évidence s’impose. Les fichiers publics ne contiennent pas seulement des déclarations d’impôts ou des soldes de comptes. Ils révèlent aussi des identités, des domiciles et parfois des indices sur le patrimoine numérique. Pour un détenteur de crypto, ces éléments deviennent des cibles potentielles. Les agressions physiques recensées ces dernières années montrent que le risque n’est plus théorique.

La protection des fichiers publics concerne directement les personnes et leurs proches. Au-delà des comptes et des déclarations, ce sont des vies qui peuvent être exposées.

Position de l’Adan

Pourquoi les détenteurs de crypto sont particulièrement exposés

Contrairement à un compte bancaire classique, les actifs numériques sont souvent perçus comme facilement mobilisables. Un agresseur qui obtient une adresse et la confirmation qu’une personne détient des cryptomonnaies peut imaginer qu’il pourra forcer le transfert de fonds. Les wallets matériels, les phrases de récupération et les codes d’accès deviennent alors des objectifs prioritaires. Cette réalité a déjà conduit à des cambriolages, des séquestrations et des menaces contre des familles entières.

Les données fiscales aggravent le problème. Elles apportent une validation officielle de l’existence d’un patrimoine. Elles fournissent aussi des coordonnées précises. Quand ces informations sortent des circuits sécurisés, le détenteur se retrouve sans le savoir sur une liste potentiellement dangereuse. L’Adan souligne que la protection des données ne se limite plus à une question de vie privée. Elle devient une question de sécurité physique.

Les proches ne sont pas épargnés. Dans plusieurs affaires documentées ces dernières années, les agresseurs ont ciblé des membres de la famille pour faire pression. Une adresse personnelle, un numéro de téléphone ou même le nom d’un conjoint peuvent suffire à organiser une opération. C’est précisément ce type de risque que l’association veut faire reconnaître dans le traitement des fichiers administratifs.

Ce que change concrètement la saisine de la Cnil

En s’adressant à la Cnil, l’Adan place l’administration fiscale face à ses obligations. La commission dispose de pouvoirs d’investigation et de sanction. Elle peut demander des comptes sur les mesures de sécurité mises en place, sur les notifications effectuées et sur les contrôles d’accès. Elle peut aussi formuler des recommandations destinées à renforcer la protection des données les plus sensibles.

Pour les détenteurs de crypto, l’intérêt est double. D’une part, ils peuvent espérer une meilleure traçabilité des incidents. D’autre part, la démarche contribue à faire évoluer la culture de la sécurité au sein des services publics. Les fichiers fiscaux ne sont plus traités uniquement comme des outils de contrôle. Ils deviennent des éléments de protection des citoyens.

Un enjeu qui dépasse largement le secteur crypto

Même si l’Adan représente les acteurs des actifs numériques, le problème concerne potentiellement tous les contribuables. Toute personne dont les données fiscales ont été consultées de manière illégitime peut se retrouver exposée. Les détenteurs de crypto constituent simplement un groupe plus visible et plus facilement monétisable aux yeux de certains criminels. Leur situation met en lumière une fragilité plus large.

Les administrations gèrent aujourd’hui des volumes considérables d’informations. Les systèmes d’information évoluent, les partenaires externes se multiplient et les habilitations se complexifient. Chaque faille, chaque usurpation d’identifiants ou chaque transmission non autorisée augmente le risque global. La saisine de la Cnil s’inscrit dans cette réflexion plus large sur la gouvernance des données publiques.

Les professionnels du secteur crypto ont multiplié ces dernières années les mises en garde. Ils rappellent régulièrement que la sécurité ne se limite pas aux wallets et aux échanges. Elle commence souvent bien en amont, dès la collecte et le stockage des informations par les institutions. Quand ces informations fuient, les mesures de protection individuelles deviennent plus difficiles à mettre en œuvre.

Les suites possibles et ce qu’il faut surveiller

À ce stade, la Cnil n’a pas encore communiqué sur l’ouverture éventuelle d’une procédure. L’Adan a simplement formalisé une demande de vérification. Les prochains mois permettront de savoir si la commission engage des investigations, si elle demande des éléments complémentaires à l’administration ou si elle estime que les mesures déjà prises sont suffisantes.

Pour les détenteurs de crypto, plusieurs réflexes restent utiles. Vérifier régulièrement les informations reçues de l’administration fiscale, être attentif aux communications inhabituelles et renforcer la sécurité physique du domicile constituent des précautions de base. La prudence ne signifie pas la paranoïa. Elle consiste simplement à reconnaître que certaines données, une fois sorties, ne peuvent plus être contrôlées.

Les associations professionnelles jouent ici un rôle de lanceur d’alerte. Elles disposent de la légitimité et des moyens juridiques pour porter ces questions auprès des autorités compétentes. Leur action ne se substitue pas à celle des victimes individuelles, mais elle permet de traiter le problème à une échelle plus large et plus structurelle.

La confidentialité comme pilier de la confiance

Le développement des actifs numériques repose en grande partie sur la confiance. Les utilisateurs doivent pouvoir déclarer leurs plus-values, payer leurs impôts et interagir avec l’administration sans craindre que ces informations ne se retournent contre eux. Si cette confiance s’érode, le risque est de voir une partie des acteurs se tourner vers des solutions moins transparentes, voire hors de tout cadre légal.

L’Adan le rappelle indirectement dans sa démarche. Protéger les données fiscales des détenteurs de crypto n’est pas seulement une obligation légale. C’est aussi un moyen de préserver un écosystème qui a choisi de s’inscrire dans le respect des règles. Quand les fichiers publics deviennent une source de vulnérabilité, c’est toute la relation entre les citoyens et l’État qui se fragilise.

Les incidents de 2025 et 2026 autour de Ficoba et de l’agente de la DGFiP ont montré que les failles existent. La question n’est plus de savoir si des données peuvent sortir, mais comment l’État réagit lorsqu’elles sortent. La saisine de la Cnil constitue une étape dans cette prise de conscience collective. Elle place la sécurité des personnes au même niveau que la sécurité des systèmes.

Ce que les détenteurs peuvent retenir dès maintenant

La première leçon est simple. Les données fiscales ne sont jamais anodines. Elles contiennent des éléments qui, croisés avec d’autres informations, peuvent révéler beaucoup sur une situation patrimoniale. Les détenteurs de crypto ont donc intérêt à rester vigilants quant aux communications officielles et à signaler toute anomalie.

La seconde leçon concerne la dimension collective. Individuellement, il est difficile d’obtenir des réponses précises sur des incidents de grande ampleur. Les associations professionnelles, en regroupant les acteurs, disposent d’une force de frappe plus importante. Leur intervention auprès de la Cnil montre que le secteur n’accepte plus le silence face à des risques concrets.

Enfin, la troisième leçon porte sur l’évolution des mentalités. Pendant longtemps, la sécurité crypto a été pensée uniquement sous l’angle technique : wallets, seed phrases, authentification à deux facteurs. Aujourd’hui, elle intègre aussi la protection des données personnelles détenues par des tiers, y compris l’administration. Cette prise de conscience marque une maturité nouvelle du secteur.

Les informations conservées par l’État peuvent révéler des identités et des domiciles. Leur protection concerne directement les personnes et leurs proches.

Le signalement déposé le 12 octobre ne clôt pas le dossier. Il l’ouvre au contraire à un niveau institutionnel. Les détenteurs de crypto, comme l’ensemble des contribuables, ont désormais un intérêt à suivre l’évolution de cette saisine. Car derrière les procédures et les vérifications se joue quelque chose de plus fondamental : la capacité de l’État à protéger les informations qu’il collecte, et par ricochet la sécurité de ceux qui lui font confiance.

Dans un contexte où les agressions physiques contre des détenteurs d’actifs numériques font régulièrement l’actualité, chaque faille de confidentialité prend une dimension particulière. L’Adan a choisi de ne pas laisser ces questions sans réponse. En saisissant la Cnil, elle force le débat sur un terrain où la technique, le droit et la sécurité des personnes se rejoignent. C’est peut-être là le vrai enjeu de cette démarche.

Vers une meilleure prise en compte des risques spécifiques

Les administrations n’ont pas toujours l’habitude de considérer que certaines données fiscales peuvent générer des risques physiques. Pour un contribuable classique, la divulgation d’une adresse reste préoccupante, mais rarement critique. Pour un détenteur de crypto dont le patrimoine est potentiellement liquide et anonyme, la même information change de nature. Elle devient un élément opérationnel pour des groupes criminels organisés.

L’Adan demande précisément que cette spécificité soit prise en compte. Les mesures de protection, les procédures de notification et les contrôles d’accès devraient intégrer cette dimension. Il ne s’agit pas de créer un régime d’exception, mais de reconnaître que certaines populations présentent un profil de risque particulier. Les détenteurs d’actifs numériques font partie de ces populations.

Cette demande s’inscrit dans une évolution plus large. Partout dans le monde, les autorités de protection des données commencent à intégrer les risques physiques dans leurs analyses d’impact. La France, avec la Cnil, dispose d’un cadre solide pour avancer dans cette direction. La saisine de l’Adan offre l’opportunité de faire évoluer concrètement les pratiques.

Les mois qui viennent diront si cette opportunité est saisie. En attendant, le message est clair. La sécurité des détenteurs de crypto ne s’arrête pas aux portes des wallets. Elle commence parfois dans les serveurs de l’administration fiscale. Et c’est précisément là que l’Adan a décidé de porter le débat.

Les données personnelles et la sécurité physique sont désormais intimement liées. Toute faille dans l’une peut se transformer en menace pour l’autre. En alertant la Cnil, l’association professionnelle des actifs numériques a rappelé cette réalité avec force. Il reste maintenant à l’autorité de contrôle de transformer cette alerte en actions concrètes et durables.