Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie d'une demande d'avis par le ministre de l'économie et des finances concernant un projet d'arrêté modifiant l'arrêté du 22 avril 2016 portant création, par la direction générale de finances publiques (DGFiP), d'un traitement automatisé de données à caractère personnel dénommé DSN.
La loi du 29 décembre 2016 de finances pour 2017 a modifié les dispositions de l'article 204 A du code général des impôts (CGI) pour y introduire le principe du prélèvement à la source de l'impôt sur le revenu. La mise en œuvre de cette contribution s'appuie sur la communication à l'administration fiscale, par le tiers versant le revenu, des données nécessaires à la détermination du taux de prélèvement applicable à chaque bénéficiaire de revenus, taux que la DGFiP transmet en retour au tiers versant.
Un projet de décret d'application de ces dispositions législatives, qui prévoit notamment que ces échanges d'informations s'effectuent via la déclaration sociale nominative pour les tiers versants entrant dans le champ de l'article L. 133-5-3 du code de la sécurité sociale, a été soumis à la commission pour avis. Dans sa délibération susvisée du 23 mars 2017, la commission a estimé que, de manière générale, ce projet de décret était conforme aux dispositions de la loi du 6 janvier 1978 modifiée. Elle a toutefois émis une réserve concernant les destinataires des données traitées, dans la mesure où le texte n'apporte aucune précision quant aux personnes ou services habilités, au sein de l'organisme collecteur, à réceptionner les comptes rendus communiqués par l'administration fiscale.
Les modalités d'application projetées de la réforme du prélèvement de l'impôt sur le revenu impliquent une évolution de l'application DSN, mise en œuvre par la DGFiP aux fins d'acquérir, de stocker et de consolider les données issues des déclarations sociales nominatives pour pré-remplir la déclaration d'impôt sur le revenu et gérer les taxes assises sur les salaires, les taxes annexes ainsi que la contribution sur la valeur ajoutée des entreprises.
Parmi les données contenues dans les déclarations sociales nominatives et traitées par l'administration fiscale figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR). Le traitement DSN relève ainsi des dispositions de l'article 27-II (2°) de la loi du 6 janvier 1978modifiée et les modifications projetées doivent dès lors être autorisées par arrêté ministériel pris après avis motivé et publié de la commission.
Sur les nouvelles finalités du traitement :
L'article 1er du projet d'arrêté vise à modifier l'article 2 de l'arrêté précité du 22 avril 2016 afin d'y intégrer les nouvelles finalités liées au recouvrement du prélèvement à la source, à savoir :
- pour la DGFiP, transmettre aux collecteurs le taux de retenue à la source à appliquer et les éventuelles anomalies nominatives et financières ;
- pour les tiers collecteurs, transmettre à la DGFiP les informations individuelles relatives à chaque bénéficiaire de revenu soumis au prélèvement à la source, d'une part, et l'ordre de reversement des retenues collectées, d'autre part ;
- assurer le suivi statistique des données transmises ou échangées.
Ces dispositions apparaissent nécessaires à la mise en œuvre de la retenue à la source telle que prévue par le projet de décret d'application du 1° du 2 de l'article 204 A du CGI. Les nouvelles finalités du traitement DSN s'inscrivent ainsi dans le cadre des missions de l'administration fiscale et, en particulier, de l'établissement de l'assiette de l'impôt et des taxes assises sur les salaires, des taxes annexes ainsi que de la contribution sur la valeur ajoutée des entreprises. Elles participent également de l'objectif général de simplification des démarches administratives et, en l'espèce, des obligations déclaratives des contribuables en matière de situations sociales.
La commission considère dès lors que ces finalités sont déterminées, explicites et légitimes au sens de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur l'ajout de nouvelles données et leur durée de conservation :
Le projet de décret précité relatif à la retenue à la source prévoit d'intégrer de nouvelles catégories de données à la déclaration sociale nominative, transmises à l'administration fiscale par les tiers collecteurs en vue du prélèvement à la source. Tirant les conséquences de ces dispositions, l'article 2 du projet d'arrêté prévoit le traitement de nouvelles catégories de données au sein du dispositif DSN mis en œuvre par la DGFiP.
Il s'agit des informations concernant chaque bénéficiaire de revenus et relatives au prélèvement à la source (taux de prélèvement, type du taux, identifiant du taux, montant de prélèvement), ainsi que des informations portant sur des anomalies, le cas échéant (mois de l'erreur, type d'erreur, taux déclaré le mois de l'erreur, éléments relatifs à la régularisation).
L'article 2 du projet d'arrêté prévoit en outre les catégories de données transmises en retour par la DGFiP aux tiers collecteurs, notamment les données relatives à la déclaration de retenue à la source (identité de l'émetteur, identification de la déclaration, identification du déclarant), les informations permettant d'identifier le bénéficiaire de revenu, en particulier son NIR, le taux de prélèvement à la source et les données relatives aux anomalies détectées par l'administration fiscale, le cas échéant.
S'agissant du recours au NIR des bénéficiaires de revenus dans le cadre du prélèvement à la source, l'article L. 288 A du livre des procédures fiscales (LPF), créé par la loi précitée du 29 décembre 2016, dispose que les échanges entre le tiers collecteur et l'administration fiscale s'opèrent« sur la base du numéro d'inscription au répertoire national d'identification des personnes physiques ». Le Législateur a ainsi expressément autorisé l'utilisation de cette donnée dans ce cadre, tout en précisant que les opérations d'échange d'informations entre le tiers collecteur et l'administration fiscale et les données recueillies, détenues ou transmises dans ce cadre le sont aux seules fins de gestion du prélèvement à la source et en étendant l'obligation de secret professionnel prévue à l'article L. 103 du LPF à ces informations. En outre, l'arrêté du 22 avril 2016 modifié prévoit d'ores et déjà que les fichiers reçus par la DGFiP et les données stockées en base, contenant le NIR, sont exclusivement conservés sur des supports informatiques dédiés et font l'objet de mesures de sécurité renforcées en application du décret susvisé du 4 janvier 2000.
Dans ces conditions, la commission considère que les nouvelles catégories de données intégrées au dispositif DSN sont adéquates, pertinentes et non excessives au regard de ses finalités liées au recouvrement du prélèvement à la source, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
L'arrêté du 22 avril 2016 dispose que les données à caractère personnel stockées dans le traitement DSN sont conservées sept ans. L'article 3 du projet d'arrêté modificatif prévoit une durée de conservation dérogatoire de quatre ans pour les données de reversement du prélèvement à la source et les données transmises aux collecteurs.
La commission prend acte que cette durée de conservation tient compte du délai de reprise dont dispose l'administration fiscale pour rectifier les omissions constatées dans l'assiette de l'impôt, les insuffisances, les inexactitudes ou les erreurs d'imposition. Pour l'impôt sur le revenu, ce droit de reprise s'exerce jusqu'à la fin de la troisième année qui suit celle au titre de laquelle l'imposition est due, conformément à l'article L. 169 du livre des procédures fiscales.
Dès lors, elle considère que cette durée n'excède pas la durée nécessaire aux finalités poursuivies, conformément aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 2 du projet d'arrêté prévoit, au titre des nouvelles finalités du traitement DSN, la transmission aux collecteurs du taux de retenue à la source effectuée et les éventuelles anomalies nominatives et financières.
A cet égard, la commission prend acte que, à sa demande, le ministère entend modifier l'article 7 de l'arrêté du 22 avril 2016 relatif aux destinataires des données à caractère personnel traitées afin d'y intégrer les tiers collecteurs, et plus précisément « les personnes ou services chargés du versement des salaires, des pensions, des revenus de remplacement ou des autres revenus dans le champ de la retenue à la source, au sein des organismes susceptibles de recevoir et de traiter les données transmises par l'administration fiscale, ou pour le compte de ces organismes », limitant ainsi l'accès aux données aux seules personnes ou services ayant besoin d'en connaître.
Sur les autres modalités de mise en œuvre du traitement DSN :
Si le projet d'arrêté ne prévoit pas de modifier les autres modalités de mise en œuvre du traitement, la commission relève que les modifications qu'il porte doivent s'accompagner de mesures de sécurité renforcées, adaptées à la nature des données traitées ainsi qu'aux risques présentés par le traitement.· En effet, les évolutions de l'application DSN conduisent au traitement du NIR dans un cadre nouveau, ainsi qu'à la commission du taux de prélèvement de l'impôt sur le revenu, information « sensible » aux yeux des contribuables.
En outre, la commission rappelle la nécessite de délivrer une information claire et complète aux contribuables quant aux mécanismes d'échange des informations personnelles les concernant qui permettront à l'administration fiscale et aux tiers collecteurs de réaliser la retenue à la source de l'impôt sur le revenu.
Enfin, elle considère que l'exercice des droits d'accès et de rectification doit être facilité dans la mesure où l'inexactitude de ces données est susceptible d'emporter des conséquences financières importantes pour les bénéficiaires de revenus.