Bercy et les données numériques des contribuables

L’expérimentation de Bercy visant à collecter et exploiter au moyen de traitements automatisés les données publiées par les internautes sur les plateformes de mise en relation et les places de marchés en ligne est lancée.

Facebook, Linkedin, Instagram, Twitter ou encore Airbnb, Blablacar, Le bon coin, Uber… Toutes ces plateformes de mise en relation, qui permettent ventes, locations et échanges de services ainsi que les réseaux sociaux, peuvent désormais servir de champ d’exploration à Bercy. Une expérimentation à grande échelle permettant aux administrations fiscales et douanières de collecter et d’exploiter au moyen de traitements automatisés, les données publiées par les internautes sur ces plateformes ou réseaux sociaux, a en effet été autorisée par le législateur dans le cadre de l’article 154 de la loi de finances pour 2020. Le décret d’application nécessaire au démarrage de cette expérimentation d’une durée de trois ans vient d’être publié (D. n° 2021-148, 11 févr. 2021). Avec ce décret, les modalités de mise en œuvre des traitements informatisés et automatisés qui permettront de collecter et d’exploiter ces données sont précisées. En outre, ce décret prévoit un certain nombre de précisions visant à vérifier que les traitements mis en œuvre sont proportionnés aux finalités poursuivies et que les données personnelles traitées sont adéquates, pertinentes et limitées à ce qui est strictement nécessaire au regard des objectifs relatifs à leur traitement.

Une expérimentation encadrée

La collecte et le traitement de ces données visent à renforcer les outils à disposition de l’administration pour détecter des fraudes fiscales ou douanières particulièrement graves, pour lesquelles les moyens d’investigation traditionnels sont insuffisants : fausse domiciliation fiscale à l’étranger, activité commerciale occulte, activités illicites telles que la contrebande de tabac ou le commerce de stupéfiants.

Consultée sur ce nouveau dispositif, la Cnil a émis de nombreuses réserves. En réponse, un certain nombre de garde-fous ont été mis en place. Seuls des agents spécialement habilités pourront effectuer les traitements. Aucun système de reconnaissance faciale ne pourra être utilisé. L’administration fiscale ne pourra pas sous-traiter la collecte ou le stockage des données. Enfin, les traitements ne pourront pas donner lieu à l’engagement automatique d’un contrôle. Ainsi l’administration veillera, dans la mise en œuvre de ce dispositif qui s’inscrit dans le cadre fixé par la loi Informatique et Libertés du 6 janvier 1978, à ne pas réaliser de traitements informatiques intrusifs qui porteraient atteinte de manière disproportionnée à la liberté d’expression ou aux libertés publiques. Un bilan intermédiaire sera dressé mi-2021, puis un bilan définitif sera établi en 2023. Ces deux synthèses seront transmises au Parlement et à la Cnil, afin d’évaluer la proportionnalité des traitements mis en œuvre et leur efficacité dans la lutte contre la fraude fiscale et douanière.

Les finalités des traitements

Pendant la phase d’apprentissage et de conception, l’objectif de cette expérimentation consiste à développer des outils permettant la collecte et le traitement automatisé des contenus et leur nettoyage automatisé après collecte. Elle a également pour but la modélisation et l’identification des caractéristiques des comportements susceptibles de révéler la commission des infractions et manquements visés ainsi que l’identification d’indicateurs et de critères de pertinence. Il s’agit également de développer des capacités d’analyse de données non structurées et de mettre en place des dispositifs de croisement avec des bases de données de lieux géographiques et des moteurs de recherche spécialisés dans l’identification des lieux correspondant à des images, afin d’identifier des indicateurs de lieux géographiques. Pendant la phase d’exploitation, l’expérimentation doit permettre la collecte et la sélection des données pertinentes, le transfert des données pour analyse vers les traitements prévus et, le cas échéant, la transmission des données selon les modalités prévues.

Repérer une activité occulte

Pour la recherche d’une activité occulte, au sens de l’article L. 169 du Livre des procédures fiscales (LPF), sanctionnée par l’application de la majoration mentionnée à l’article 1728 du Code général des impôts (CGI), ainsi que des inexactitudes ou omissions découlant d’un manquement aux règles de domiciliation fiscale des personnes physiques fixées à l’article 4 B du CGI et sanctionnées par l’application des majorations mentionnées à l’article 1729 du CGI, les traitements mis en œuvre pendant la phase d’apprentissage et de conception ont uniquement pour finalité de développer des outils de collecte et d’analyse des données et d’identifier des indicateurs qui ne sont pas des données à caractère personnel, telles que des mots-clés, des ratios ou encore des indications de dates et de lieux, caractérisant les manquements et infractions recherchés. Il s’agit de constituer un échantillon à partir des données d’identification issues du traitement automatisé de lutte contre la fraude dénommé « ciblage de la fraude et valorisation des requêtes ». La collecte comportera les données d’identification des titulaires des pages internet analysées, les contenus des pages se rapportant à l’activité professionnelle des entreprises de l’échantillon qui peuvent notamment être des écrits, des images, des photographies, des sons, des signaux ou des vidéos. Les données sensibles ainsi que les données d’identification des comptes sont détruites au plus tard cinq jours ouvrés après leur collecte. Les autres données sont conservées pendant un délai maximal de 30 jours à compter de leur collecte. L’administration identifie des indicateurs : elle recense les typologies, les mots-clés et les expressions caractérisant les comptes ouverts dans un secteur d’activité.

Vérifier une domiciliation fiscale

Pour la recherche des manquements aux règles de la domiciliation fiscale, la conception d’outils de collecte et d’analyse des données comporte plusieurs étapes. La première la conception de la technologie d’identification des personnes à partir d’une liste, dont l’ampleur ne dépasse pas ce qui est strictement nécessaire, personnes préalablement identifiées au moyen des données de l’administration fiscale. Sont utilisées les données permettant l’identification de personnes physiques issues du traitement automatisé de lutte contre la fraude dénommée « ciblage de la fraude et valorisation des requêtes ». Ces travaux ont pour objectif de développer un outil permettant d’associer une personne physique à ses comptes détenus sur les plateformes en ligne. Seules sont collectées pour ces travaux, les données d’identification des titulaires de comptes de plateformes en ligne. Les données d’identification collectées sont conservées pendant un délai maximal de 30 jours après leur collecte. Les autres données sont supprimées dès leur collecte.