Croisement des fichiers impôts, URSSAF et Douane : l’enquête 2026
Depuis le 22 avril 2022, un seul login donne accès aux trois plus gros fichiers fiscaux et sociaux français. Le portail portailpro.gouv.fr a rassemblé sous une même bannière la DGFiP, l’URSSAF et la DGDDI (Douane). Et oui, ces trois administrations croisent désormais leurs fichiers en routine, avec une intensité qui a doublé en quatre ans. La question n’est plus de savoir si vos données fiscales, sociales et douanières sont mises en relation. Elle est de savoir jusqu’où.
Cette mise en commun ne s’est pas faite par un grand débat public. Elle s’est faite par décrets, par accords inter-administrations, et par l’extension progressive des bases de données. La surveillance fiscale via les données de facturation électronique n’est plus une hypothèse théorique. C’est une infrastructure opérationnelle, avec des chiffres officiels publiés dans les rapports d’activité de la DGFiP, et un calendrier d’extension qui se densifie chaque année.
Le discours officiel parle de « simplification » et de « lutte contre la fraude ». Les deux mots reviennent comme un refrain. Sauf que derrière la simplification, il y a une architecture de croisement automatisée qui n’existait pas il y a dix ans. Et derrière la lutte contre la fraude, il y a un taux de récupération étonnamment faible au regard des moyens engagés. Voici ce qui circule réellement entre les trois administrations, et ce que la réforme du 1ᵉʳ septembre 2026 va y ajouter.
Le panorama complet de la surveillance fiscale 2026
Une enquête transversale sur ce que les trois administrations savent désormais de chaque entrepreneur français.
I — Le dispositifComment l’État a rassemblé trois fichiers sans bruit.
L’unification n’a pas été annoncée comme telle. Elle a été emballée dans des messages techniques sur les téléprocédures et la relation usager. La réalité de l’architecture s’est construite par briques successives, entre 2018 et aujourd’hui.
Portailpro.gouv.fr, l’unification discrète de 2022
Le portail commun est entré en service le 22 avril 2022. Officiellement, il sert à offrir aux entreprises un point d’entrée unique pour leurs déclarations fiscales, sociales et douanières. Concrètement, il connecte les trois systèmes d’information sous une seule authentification, sans réidentification. Net-entreprises a rejoint le dispositif peu après, portant à quatre les acteurs interconnectés.
Le portail fournit aux entreprises un tableau de bord unique de leurs obligations. Il fournit aussi aux administrations une vision unifiée de chaque contribuable professionnel. La distinction entre les deux usages relève surtout de la communication.
Le plan national de lutte contre la fraude de mai 2023 consacre sa mesure 30 à la coopération opérationnelle entre la DGFiP, la DGDDI et les URSSAF. Le texte évoque explicitement de nouveaux partenariats à conclure d’ici 2024 entre la Douane et la DGFiP d’une part, et entre la DGFiP et l’URSSAF Caisse nationale d’autre part.
GALAXIE et CFVR, les programmes qui croisent en arrière-plan
Le portail n’est que la couche visible. L’infrastructure de fond porte deux noms : CFVR (ciblage de la fraude et valorisation des requêtes), lancé en 2013 et achevé en 2022, et GALAXIE, son successeur opérationnel. Ces programmes recoupent automatiquement les données fiscales, sociales, bancaires et patrimoniales pour générer des profils de risque.
Le data warehouse fiscal de la DGFiP traite désormais 1 400 milliards de données selon le rapport de la commission des finances de juin 2024. Les déclarations de TVA, les comptes annuels, les flux bancaires FICOBA, les registres immobiliers et les échanges internationaux (CRS, DAC6, FATCA) y sont intégrés. L’URSSAF y verse ses propres données depuis les conventions inter-administrations signées en 2023 et 2024.
II — Les chiffresLa bascule s’est faite sans débat.
La trajectoire est documentée année par année. Personne ne l’a vraiment commentée à grande échelle, mais elle figure noir sur blanc dans les rapports d’activité de la DGFiP et dans les rapports parlementaires de la commission des finances.
La trajectoire fulgurante depuis 2018
La part des contrôles fiscaux ciblés par IA et datamining est passée de 13 % en 2018 à 22 % en 2019, puis 32 % en 2020, 45 % en 2021, 52 % en 2022 et 56 % en 2023. Le rapport d’activité 2024 publié en juin 2025 confirme la poursuite de la hausse, avec 23 612 contrôles sur 42 130 ciblés par IA sur le seul périmètre professionnel.
par IA en 2024 (vs 13 % en 2018)
à la DGFiP en 2024 (+70 %)
dans les sommes réellement recouvrées
Le troisième chiffre est le plus intéressant. Selon les évaluations parlementaires reprises par CMS Francis Lefebvre, le datamining représente moins de 15 % des sommes mises en recouvrement en 2023, pour 2,07 milliards d’euros. Soit à peine plus que les 2,06 milliards de 2022. L’outil progresse en volume, pas en rendement.
8 700 transmissions URSSAF-DGFiP en 2024, la routine du croisement
Le rapport d’activité 2024 de la DGFiP révèle une intensification de la collaboration avec l’URSSAF. Les 8 700 demandes d’information transmises par l’URSSAF représentent une hausse de 70 % en un an. Le nombre de rendez-vous conjoints entre les deux administrations a été multiplié par quatre. Ces données traitent principalement les situations mixtes : décalages déclaratifs entre la rémunération soumise aux cotisations sociales et celle déclarée à l’impôt, statut d’indépendant ou de salarié déguisé, TVA et dividendes contradictoires.
Concrètement, un travailleur indépendant qui déclare 50 000 € de chiffre d’affaires à l’URSSAF et reporte une somme différente dans sa déclaration 2042-C-PRO déclenche désormais un signal automatique. La cohérence inter-organismes, comme l’écrivent les algorithmes de détection de la DGFiP, est devenue le critère central.
III — Ce qui circuleFICOBA, fichier social, données de facturation, la chaîne complète.
La cartographie des données croisées dépasse de loin les seules déclarations de revenus. Elle s’étend à toute la vie économique et patrimoniale de chaque assujetti à la TVA, et bientôt à chaque flux de facturation B2B.
Du compte bancaire au revenu déclaré, en passant par la cotisation
Le fichier FICOBA, géré par la DGFiP, recense l’intégralité des comptes bancaires, comptes-titres, comptes d’épargne et coffres-forts ouverts en France. Les données y sont conservées pendant toute la durée du compte, puis 10 ans après sa clôture (article 164 FB de l’annexe IV du CGI). Les organismes sociaux, dont l’URSSAF, y accèdent légalement.
S’ajoutent à FICOBA les flux PNR (Passenger Name Record) pour vérifier la condition de résidence en France, les données préfectures pour les titres de séjour, et désormais les remontées des plateformes numériques (loi DAC7). Toutes ces sources nourrissent le data warehouse fiscal et les algorithmes de scoring. La DGFiP utilise même les réseaux sociaux depuis 2025 dans le cadre de cyber-enquêtes officielles, sur Instagram, TikTok, LinkedIn et Facebook.
Ce que la facturation électronique 2026 ajoute au dispositif
À partir du 1ᵉʳ septembre 2026, l’article 289 bis du CGI oblige toutes les entreprises assujetties à la TVA à recevoir leurs factures via une plateforme agréée (PA). Les 112 plateformes immatriculées au printemps 2026 transmettent chaque facture au PPF, qui joue désormais le rôle de concentrateur de données fiscales. La DGFiP reçoit ainsi un flux quasi temps réel des transactions B2B françaises.
Le PPF ne reçoit pas que le statut de paiement. Les plateformes agréées y transmettent les données d’extraction : montants HT et TTC, taux de TVA, nature des produits ou prestations, identité des contreparties via leur SIREN. Ces informations alimenteront directement les algorithmes de ciblage et seront croisées avec les déclarations URSSAF et les flux bancaires FICOBA dès le premier jour de la réforme.
Le pré-remplissage automatique des déclarations de TVA en sera la première conséquence visible. La deuxième, beaucoup moins discutée, c’est l’historisation : chaque facture émise après septembre 2026 devient une donnée potentiellement consultable pendant 10 ans, en cohérence avec les délais de conservation FICOBA et les délais de reprise de l’administration fiscale.
IV — Le reversLe piratage FICOBA de février 2026, la preuve que la centralisation expose.
Entre le 28 janvier et le 13 février 2026, la DGFiP a détecté des accès illégitimes au fichier FICOBA. Cet incident, peu médiatisé, illustre exactement le risque que documente notre observatoire depuis dix-huit mois : plus l’État centralise, plus la surface d’attaque s’étend.
1,2 million de comptes accédés via un seul identifiant usurpé
Le communiqué officiel publié par Bercy le 18 février 2026 précise les faits. Un acteur malveillant a usurpé les identifiants d’un fonctionnaire ayant des accès « dans le cadre de l’échange d’information entre ministères ». Ces identifiants lui ont donné la possibilité de consulter 1,2 million de comptes bancaires du fichier FICOBA, soit moins de 1 % du total mais avec les données complètes : état civil, adresse, coordonnées bancaires (IBAN).
La formulation officielle est précieuse. Le fonctionnaire concerné consultait FICOBA au titre du croisement interministériel, donc avec des règles d’accès distinctes des consultations usuelles. Autrement dit, ce sont précisément les accès liés aux échanges entre administrations qui ont servi de porte d’entrée. Le portail unique, en tant que tel, est l’angle mort le moins durci du dispositif.
Le portail unique multiplie les vases communicants entre administrations. À chaque vase communicant correspond une vulnérabilité supplémentaire que la DGFiP ne sait pas durcir au même niveau que ses consultations internes.— Notre observatoire, à partir du communiqué Bercy du 18 février 2026
Le talon d’Achille des interconnexions ministérielles
L’enseignement va au-delà de FICOBA. Le data warehouse fiscal, le concentrateur PPF et les flux URSSAF reposent sur une logique identique : créer des passerelles permanentes entre des bases qui étaient autrefois cloisonnées. La sécurité des passerelles est par construction inférieure à celle des bases elles-mêmes, parce qu’elle dépend de tous les acteurs simultanément, pas du plus rigoureux.
L’absence d’authentification multifacteurs à clé physique FIDO2 sur les accès interministériels FICOBA, telle qu’elle ressort de l’analyse post-incident, n’est probablement pas isolée. La centralisation crée une promesse de sécurité que les architectures réelles ne tiennent pas.
V — Les contre-pouvoirsRGPD, CNIL, Conseil constitutionnel, à quoi servent-ils encore ?
Le cadre juridique de protection existe. Sa portée pratique sur les croisements de fichiers fiscaux et sociaux est nettement plus limitée que la communication officielle ne le laisse entendre, parce que l’État dispose de bases légales spécifiques qui priment.
Les limites de la CNIL face à un État qui s’auto-autorise
La CNIL rend des avis sur les décrets autorisant les traitements de données. Elle a imposé, dans sa délibération n° 2017-279, des durées de conservation limitées pour le datamining : 30 jours pour les données non pertinentes, 1 an pour les données analysées sans suite. Ces seuils sont régulièrement contournés par requalification des données en archives administratives, qui suivent alors les durées du livre des procédures fiscales.
Le RGPD prévoit en théorie un droit à l’information de la personne concernée par un croisement. Dans les faits, l’article L80 A du livre des procédures fiscales et l’article 6.1.e du RGPD (mission d’intérêt public) verrouillent la marge d’opposition. Les critiques structurelles de la surveillance fiscale élargie que nous documentons reposent largement sur ce point.
Ce que l’entrepreneur peut faire concrètement
Trois actions ont une valeur opérationnelle réelle. D’abord, demander à la DGFiP la communication des données la concernant via l’article L107 B du LPF et le droit d’accès RGPD. Ensuite, vérifier la cohérence des montants déclarés à l’URSSAF, à l’impôt et à la TVA dès le premier trimestre 2026, parce que c’est ce décalage que les algorithmes repèrent en priorité. Enfin, conserver soigneusement les justificatifs sur 6 ans minimum (délai de prescription étendu).
Le contrôle déclenché par datamining reste contestable. Les 1 400 milliards de données traitées par la DGFiP servent à orienter le ciblage, pas à fonder seul un redressement. Une procédure régulière reste obligatoire et chaque incohérence reprochée doit faire l’objet d’un échange contradictoire.
Le croisement n’est plus une option, c’est la nouvelle architecture par défaut.
En quatre ans, la France a basculé d’un système où chaque administration tenait son propre fichier vers une infrastructure unifiée que rien n’arrêtera plus. La facturation électronique du 1ᵉʳ septembre 2026 n’est pas la cause de ce basculement, elle en est l’accélérateur. La question utile n’est plus « peut-on l’empêcher ». Elle est « comment vit-on dans cette nouvelle architecture sans en subir les angles morts ».
Questions fréquentes
Le portail unique impose-t-il automatiquement le partage de mes données fiscales et sociales ?
Le portail portailpro.gouv.fr unifie l’accès utilisateur, pas les bases de données elles-mêmes. La DGFiP, l’URSSAF et la DGDDI conservent leurs systèmes distincts. Le partage de données entre ces administrations repose sur des conventions spécifiques (mesure 30 du plan anti-fraude 2023) et sur des bases légales du livre des procédures fiscales et du code de la sécurité sociale. Il ne dépend pas de l’usage du portail commun par le contribuable.
L’URSSAF peut-elle déclencher un contrôle DGFiP sur la base d’un simple décalage déclaratif ?
Oui. Les redressements déclenchés par croisement sont devenus la norme sur les situations mixtes. L’URSSAF transmet à la DGFiP les écarts entre le chiffre d’affaires déclaré aux cotisations sociales et celui déclaré à l’impôt. La DGFiP peut ouvrir un contrôle sur cette base seule, sans autre signal externe.
Comment savoir quelles informations sont déjà croisées sur mon profil ?
Le droit d’accès RGPD (article 15) permet de demander à la DGFiP la liste des traitements automatisés vous concernant. La demande s’adresse au délégué à la protection des données du ministère via le formulaire dédié sur impots.gouv.fr. La réponse documente les sources de données (URSSAF, FICOBA, plateformes numériques, banques) mais ne révèle pas le détail des scorings.
La facturation électronique 2026 va-t-elle changer la nature des croisements ?
Oui, sur deux points. La fréquence d’abord : le PPF reçoit les données quasi en temps réel via les plateformes agréées, contre un rythme annuel ou trimestriel auparavant. La granularité ensuite : le détail des montants HT, des taux de TVA et des SIREN contreparties devient exploitable ligne par ligne. Les croisements URSSAF, banques et impôts disposeront ainsi de points de comparaison nettement plus fins.
Existe-t-il un recours en cas de contrôle déclenché par datamining ?
Le recours porte sur le redressement, pas sur le déclenchement. La procédure contradictoire reste pleinement applicable : réception de la proposition de rectification, délai de 30 jours pour répondre, possibilité de saisir la commission départementale des impôts puis le tribunal administratif. La traçabilité algorithmique du ciblage n’a pas de portée juridique directe sur la régularité du redressement, mais peut être invoquée dans une procédure CNIL parallèle.