L'Adan saisit la CNIL sur deux fuites de données fiscales touchant les détenteurs de crypto

L'Adan (Association pour le développement des actifs numériques) a saisi la CNIL le 12 octobre 2026 sur deux dossiers distincts de fuites de données fiscales susceptibles d'avoir exposé des détenteurs français de crypto-actifs. Le signalement, documenté par Cryptoast et par Journal du Coin, vise l'intrusion de 2026 dans FICOBA (fichier des comptes bancaires) et des soupçons de transmission d'informations confidentielles par une agente de la DGFiP.

Les deux dossiers

Dossier 1 — FICOBA. La DGFiP a annoncé le 18 février 2026 qu'un attaquant avait usurpé les identifiants d'un fonctionnaire pour consulter environ 1,2 million de comptes bancaires (identité, adresse, IBAN). Les accès frauduleux se sont étendus de fin janvier au 13 février 2026, selon une réponse parlementaire publiée le 9 juin. Les habilitations des partenaires ont été rétablies le 23 mars, dans un périmètre plus restreint. L'article de Journal du Coin précise que le chiffre de 1,2 million de comptes ne correspond pas nécessairement à autant de personnes physiques distinctes.

Dossier 2 — DGFiP. Une agente de la DGFiP a été mise en examen en juin 2025 pour avoir transmis des renseignements sur des contribuables, parmi lesquels des investisseurs en cryptomonnaies. Le dossier judiciaire est antérieur à la saisine CNIL, mais l'Adan demande à l'autorité d'évaluer les manquements RGPD distincts de l'enquête pénale. L'article de Journal du Coin indique que ces soupçons « relèvent d'une autre situation » que celle de FICOBA.

Ce que l'Adan demande

L'association pose trois questions à la CNIL :

1. L'étendue des données potentiellement compromises et l'identité des personnes concernées.
2. Le respect des obligations RGPD de notification à la CNIL et, si le risque est élevé, aux personnes touchées.
3. Les mesures de sécurité et de contrôle des accès mises en place par Bercy depuis l'incident.

Un premier courrier envoyé à Bercy en mars 2026 est resté sans réponse, selon l'Adan.

Personnes citées

• Romain Chilly, avocat associé au cabinet ORWL, membre de l'Adan, qui accompagne l'association sur ce dossier et déplore « le manque de transparence de Bercy sur l'information des personnes ».
• Hugo Ferraris, également avocat chez ORWL, cité par Cryptoast comme accompagnant bénévolement l'Adan.

La CNIL, sollicitée par Cryptoast, n'avait pas répondu au moment de la publication de l'article.

Contexte physique

Le signalement intervient dans un contexte d'agressions ciblant les détenteurs français de crypto :

• Janvier 2025 : David Balland, cofondateur de Ledger, et sa compagne enlevés à leur domicile ; le GIGN libère les otages après qu'un doigt a été sectionné.
• Mai 2026 : le père d'un entrepreneur crypto séquestré et mutilé.
• Tentative d'enlèvement de la fille de Pierre Noizat, fondateur de Paymium, à Paris (date non précisée dans l'article).

Journal du Coin note que les soupçons visant l'agente DGFiP ne suffisent pas à établir un lien direct avec chaque agression — mais que les deux dossiers ouvrent la même question : si des données fiscales détaillées (identité, adresse, exposition crypto) ont fuité, les agresseurs disposent d'un vecteur de ciblage précis.

Que surveiller

1. La réponse formelle de la CNIL — qualification RGPD de l'incident FICOBA et éventuelles mesures correctrices à l'encontre de la DGFiP.
2. La position de Bercy sur l'information des personnes concernées, après plus de six mois de silence depuis le courrier Adan de mars.
3. L'avancée du dossier judiciaire visant l'agente DGFiP mise en examen en juin 2025.
4. Toute évolution du cadre d'habilitation DGFiP pour l'accès à FICOBA — point qu'Adan présente comme la racine opérationnelle du risque.

Contexte

Le dossier s'inscrit dans la série de signalements que les associations crypto françaises ont porté depuis début 2026 sur la relation entre fuites administratives et sécurité physique des détenteurs. Il complète, côté entreprises, les mesures de self-custody et de hardware wallet que les mêmes acteurs recommandent à titre individuel, en mettant la responsabilité sur les détenteurs publics de la donnée fiscale plutôt que sur les seuls utilisateurs.