Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le traitement « ciblage de la fraude et valorisation des requêtes » (CFVR), basé sur des techniques de « datamining » ou « exploration de données », a plusieurs fonctionnalités : la modélisation prédictive, la requête d'analyses risques, la recherche d'atypies ou d'incohérences et la recherche de liens entre les différentes personnes ou avec des entités professionnelles.
Initialement mis en œuvre en 2014 à titre d'expérimentation, dans le cadre de fraudes réalisées par les contribuables professionnels, le champ du traitement CFVR a été pérennisé en 2015 et étendu concomitamment à titre d'expérimentation aux personnes physiques impliquées dans le fonctionnement des entités professionnelles. Cette extension a été pérennisée en 2016, puis ce traitement CFVR a été élargi en 2017 aux particuliers à titre expérimental jusqu'en août 2019. Parallèlement, les fonctionnalités de ce traitement ont été étendues afin de permettre la détection de façon anticipée des entreprises en difficulté ainsi que l'envoi automatique de demandes de renseignements aux contribuables suite à un rapprochement des informations décelant des incohérences dans les déclarations fiscales. L'ensemble de ces modifications a fait l'objet d'avis de la Commission.
La Commission relève que le projet dont elle a été saisie lui a été soumis sur le fondement des dispositions de l'article 31-I-2° de la loi du 6 janvier 1978 modifiée qui prévoit qu'un arrêté, pris après avis motivé et publié de la Commission, autorise les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté. Elle rappelle qu'eu égard à ses caractéristiques, le traitement CFVR relève par principe des dispositions de la directive 2016/680 telle que transposée aux articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Dans la mesure où le traitement CFVR est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère a réalisé une analyse d'impact relative à la protection des données à caractère personnel (AIPD), qui a été adressée à la Commission avec la demande d'avis conformément à l'article 90 de la loi du 6 janvier 1978 modifiée.
A titre liminaire, la Commission rappelle que l'article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 autorise, à titre expérimental pour une durée de trois ans, les administrations fiscale et douanière à collecter et exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les sites internet des opérateurs de plateforme en ligne mentionnés au 2° du I de l'article L. 111-7 du code de la consommation (ci-après les « plateformes et réseaux sociaux »). Cette collecte doit permettre de rechercher des indices relatifs à la commission de certaines infractions limitativement énumérées par la loi, en particulier pour l'administration fiscale l'exercice d'une activité occulte et la fausse domiciliation fiscale à l'étranger.
Elle observe que les modalités d'application du dispositif de collecte précité, qui seront encadrées par un décret en Conseil d'Etat lequel fait l'objet d'un avis de la Commission, entraînent des conséquences sur le traitement CFVR. Le présent projet d'arrêté vise ainsi à prendre en compte la transmission et l'analyse de certaines données collectées sur les plateformes et réseaux sociaux dans le traitement CFVR afin de déterminer si celles-ci constituent des indices permettant de caractériser l'une des infractions recherchées dans le cadre du dispositif de l'article 154 de la loi de finances pour 2020.
Ces éléments généraux rappelés, la Commission entend formuler les observations suivantes.
En premier lieu, l'article 1er du projet d'arrêté prévoit d'ajouter au titre des fonctionnalités du traitement l'analyse par comparaison de certaines données collectées sur les plateformes et réseaux sociaux avec celles déjà enregistrées dans CFVR ce qui est de nature à expliciter le fonctionnement du dispositif dans son ensemble.
En deuxième lieu, le 3° de l'article 2 du projet d'arrêté précise les données issues du dispositif de collecte de l'article 154 précité enregistrées dans le traitement CFVR à savoir les « indicateurs et données d'identification des titulaires de comptes des pages internet ».
Outre « les indicateurs et les données d'identification des titulaires de comptes des pages internet » enregistrées dans CFVR et mentionnés dans le projet d'arrêté, l'AIPD précise que sont également enregistrées « les informations indiquant des données géographiques ou de localisation s'agissant des travaux engagés pour la recherche des personnes faussement domiciliées à l'étranger ». Sur ce point, la Commission prend acte de l'engagement du ministère visant à modifier le projet d'arrêté pour y faire figurer, au titre des catégories de données collectées, les « indicateurs se rapportant à des lieux géographiques ».
Il ressort également de la documentation transmise que les données dites « brutes » collectées directement sur les plateformes en ligne et les réseaux sociaux (notamment vidéo, photographie, écrits, etc.) ne seraient pas transmises et enregistrées dans le traitement CFVR, ce dont la Commission prend acte.
En troisième lieu, la Commission relève que l'article 3 du projet d'arrêté reprend à l'identique les durées de conservation des données prévues par l'article 154 de la loi de finances précitée dans le traitement CFVR et précise que la durée de conservation attachée à ces données court à compter de la date de leur collecte sur les sites internet des opérateurs de plateforme en ligne.
Elle relève par ailleurs que le dernier alinéa de l'article 3 du projet d'arrêté précise que « les données dont sont destinataires les agents fiscaux ainsi que les informations qui sont renseignées par ces agents sont conservées trois ans ». Le ministère a précisé que cette durée de trois ans ne s'appliquera pas aux données issues du dispositif de collecte de l'article 154 de la loi de finances pour 2020 susvisée, lesquelles seront conservées conformément aux durées prévues directement par la loi de finances pour 2020. La Commission prend acte de ce que le projet d'arrêté sera dès lors modifié pour faire apparaître de manière explicite l'articulation des durées de conservation ainsi retenues.
En dernier lieu, la Commission relève que les mesures de sécurité demeurent inchangées.