Le site www.impots.gouv.fr est édité par la Direction générale des Finances publiques (DGFiP). La responsable de la publication est Emmanuelle Perrier‑Rosier.

Le développement, l’intégration, l’hébergement et la diffusion du site sont assurés par la même Direction générale des Finances publiques.

Les contenus sont mis à disposition sous licence ouverte Etalab 2.0, sauf indication contraire de tiers. Tout site peut créer un lien vers les pages, mais l’affichage en iframe est interdit ; les pages doivent s’ouvrir dans une nouvelle fenêtre. Les éléments graphiques du site sont la propriété exclusive de la DGFiP et toute reproduction ou adaptation est prohibée.

La DGFiP garantit que les applications accessibles via le portail sont homologuées selon le Référentiel Général de Sécurité (RGS).

La politique de confidentialité décrit les principes et les finalités de la collecte et du traitement des données personnelles, en précisant les catégories d’informations recueillies et les bases légales qui les justifient.

Elle détaille les mesures de sécurité mises en œuvre pour protéger ces données contre tout accès, perte ou divulgation non autorisée, ainsi que les procédures de conservation et de suppression.

Le texte informe les personnes concernées de leurs droits (accès, rectification, effacement, limitation, opposition et portabilité) et indique les modalités pratiques pour les exercer, notamment les contacts et les délais de réponse.

Un acteur malveillant a usurpé les identifiants d’un fonctionnaire de la DGFiP et a consulté illégalement le fichier national des comptes bancaires (FICOBA), contenant les coordonnées bancaires et l’identité des titulaires.

Dès la détection, la DGFiP a immédiatement restreint les accès, stoppé l’attaque et lancé des travaux pour rétablir le service dans des conditions de sécurité renforcées. Les usagers concernés seront informés individuellement et les établissements bancaires ont été contactés pour sensibiliser leurs clients.

Les équipes informatiques de la DGFiP, en collaboration avec le ministère des Finances, le HFDS et l’ANSSI, traitent l’incident, qui a été déclaré à la CNIL et fait l’objet d’une plainte.

Les usagers sont invités à rester vigilants face aux tentatives d’escroquerie par courriel ou SMS, à ne jamais communiquer leurs identifiants ou coordonnées bancaires à l’administration fiscale, et à signaler toute suspicion en conservant les preuves et en se référant à cybermalveillance.gouv.fr.

L’arrêté du 7 octobre 2015 fixe les modalités de mise en œuvre de la dématérialisation des documents et pièces relatifs aux opérations de dépense et de recette dans les organismes publics, en application du décret n° 2012‑1246 du 7 novembre 2012 sur la gestion budgétaire et comptable publique.

Il précise les conditions d’établissement, de conservation et de transmission sous forme dématérialisée, afin d’harmoniser les pratiques et d’assurer la traçabilité et la sécurité des informations financières.

Cet arrêté est complété par une instruction du 12 juillet 2016, qui apporte des précisions opérationnelles supplémentaires. Le texte complet est disponible sur Legifrance.

Le réseau Peppol, géré en France par la DGFiP en tant qu’Autorité Peppol, requiert que chaque plateforme soit agréée via une convention bilatérale et utilise ses propres certificats PKI.

Nouvel entrant dont le siège est en France : adhérer à OpenPeppol, signer la convention disponible sur le portail gouvernemental, réaliser les tests de conformité avec les certificats fournis par OpenPeppol, puis, après validation, obtenir les certificats d’exploitation et mettre le service en production.

Prestataire déjà agréé en France : signer ou renégocier la convention avec l’Autorité Peppol France, qui informe ensuite l’autorité de coordination de Peppol ; celle‑ci met à jour les informations publiques et, si besoin, ajuste le certificat PKI en collaboration avec le prestataire.

Pour les sociétés dont le siège est à l’étranger, il faut contracter avec l’autorité Peppol du pays concerné ou, à défaut, avec OpenPeppol, sans passer par l’autorité française. La liste des prestataires français certifiés est consultable en ligne.

Opérations concernées : prestations de services B2C intracommunautaires (télécommunications, diffusion, services électroniques, hébergement, transport, restauration à bord, etc.) ; ventes à distance de biens au sein de l’UE ; ventes à distance de biens importés de faible valeur via le régime IOSS.

Entreprises concernées : tout assujetti à la TVA, quel que soit son régime, qui fournit ces services ou ces biens à des consommateurs non assujettis résidant dans un État membre où il n’est pas établi. Pour les services, la déclaration via le guichet unique ne s’applique pas lorsqu’un établissement stable existe dans le pays de consommation.

Éligibilité en France : entreprises dont le siège économique est en France ; entreprises hors UE disposant d’un établissement stable en France ; entreprises hors UE sans établissement dans l’UE mais réalisant des services destinés à l’UE ; entreprises non établies dans l’UE qui expédient des biens depuis la France. Les vendeurs hors UE de biens importés doivent désigner un intermédiaire français.

Nouvelles règles et simplification : la TVA est due dans l’État membre de consommation, avec une exemption pour les très petites entreprises en deçà d’un seuil. Le régime IOSS supprime la TVA à l’importation pour les envois de faible valeur. Le guichet unique OSS/IOSS permet de déclarer et payer la TVA due dans tous les États concernés via une seule téléprocédure, évitant ainsi de multiples immatriculations nationales.