Wat de DGFiP daadwerkelijk kwijtraakte
De inbraak bij de Franse Direction Generale des Finances Publiques begon op 26 juni 2026, toen een aanvaller gestolen inloggegevens gebruikte van een DGFiP-medewerker en een aparte geautoriseerde derde partij om toegang te krijgen tot de systemen van de dienst. Interne controles sloten die toegang af voor het einde van juni, en de officiële mededeling van het ministerie van Financiën becijfert de blootgestelde gegevens op ongeveer 678.000 personen en bedrijven - dicht bij de 678.438 regels die de aanvaller zelf later claimde. Bij particuliere belastingplichtigen gaat het om volledige namen, de classificatie van het gezinsquotiënt, het referentiebelastbaar inkomen en het percentage bronbelasting; bij bedrijven om het SIREN-registratienummer, het bedrijfsadres en het adres van de gemachtigde vertegenwoordiger.
De DGFiP heeft verklaard dat geen enkele beveiligde belastingplichtigen-account op het portaal impots.gouv.fr is gecompromitteerd, dus de gegevens geven op zichzelf niemand toegang tot lopende belastingaangiften. Maar de dienst zelf noemde de inbraak geavanceerder dan alles wat hij eerder had meegemaakt, en de blootgestelde velden - inkomensniveau, belastingtarief, gezinssituatie, bedrijfsregistratie en adresgegevens - zijn precies het soort details dat een opvolgend phishinggesprek of een frauduleuze e-mail geloofwaardig maakt.
Achtenveertig dagen van afsluiting tot openbaarmaking
De tijdlijn die hier telt is niet de inbraak zelf maar de stilte erna. De DGFiP sloot de toegang van de aanvaller af eind juni, en het lek bleef onaangekondigd tot 12 augustus, toen de aanvaller zelf zijn claim van de datadiefstal publiceerde. Pas de volgende dag, 13 augustus, gaf het ministerie van Financiën een officiële mededeling uit die de inbraak bevestigde, waarin stond dat de DGFiP de CNIL, de Franse gegevensbeschermingsautoriteit, zou informeren en aangifte zou doen bij het openbaar ministerie van Parijs, dat sindsdien een onderzoek is gestart waarbij OFAC, de nationale cybercrime-eenheid, betrokken is.
Dat gat van 48 dagen is legaal volgens de letter van de AVG: de termijn van 72 uur in de verordening geldt alleen voor de melding aan de toezichthoudende autoriteit, niet voor de melding aan de betrokken personen, aan wie een melding pas verschuldigd is 'zonder onredelijke vertraging' wanneer een datalek een hoog risico oplevert - een norm zonder vast aantal dagen. Minister van Overheidsrekeningen David Amiel heeft de DGFiP vervolgens gevraagd de betrokken belastingplichtigen rechtstreeks te informeren en versterkte beveiligingsprocedures voor te stellen, maar dat verzoek kwam nadat de eigen publicatie van de aanvaller de dienst tot handelen had gedwongen, niet ervoor.
De boete die niet geldt voor wie zou moeten betalen
Dit is de asymmetrie waar een operator uit de private sector bij stil moet staan: volgens de Franse wet die de AVG implementeert, zou een bedrijf dat een lek afhandelde zoals de DGFiP dat deed - gecompromitteerde inloggegevens van een derde, wekenlange stilte, openbaarmaking pas nadat de aanvaller het zelf naar buiten bracht - CNIL-boetes kunnen krijgen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet wegens het niet zonder onredelijke vertraging melden aan betrokken personen. Diezelfde wetgeving sluit 'verwerkingen uitgevoerd door de staat' expliciet uit van die bestuurlijke sancties. Het mechanisme dat snelle openbaarmaking tot een kwestie van financieel eigenbelang moet maken voor elk bedrijf dat de DGFiP reguleert, bestaat simpelweg niet voor de DGFiP zelf.
Een vakbond uit de publieke sector stelde precies deze vraag zodra het lek openbaar werd: zonder de eigen onthulling van de aanvaller, wanneer en hoe zouden de betrokken belastingplichtigen en bedrijven ooit hebben geleerd wat er was gebeurd. Dat is geen hypothetische vraag voor de ongeveer 678.000 mensen en bedrijven die nu een stukje informatie in omloop hebben dat ze twee maanden geleden niet hadden - en het is een directe governance-les voor elke ondernemer die aanneemt dat de prikkels van een overheidspartner bij gegevensverwerking overeenkomen met wat regelgeving aan zijn eigen bedrijf oplegt. Dat is niet zo, en het gat sluit pas als de aanvaller besluit te praten. Elk bedrijf wiens SIREN-nummer en geregistreerde adres in deze blootstelling zaten, moet de komende weken behandelen als een actief risicovenster voor identiteitsfraude, niet als een afgesloten incident, ongeacht hoe lang de DGFiP er zelf over deed om het te melden.
Lees hierna: Beacons datalek valt buiten elk vangnet | CEVA-lek treft Steam-kopers in heel Europa
