Données publiées sur les plateformes en ligne

Seuls peuvent être collectés les contenus manifestement rendus  publics par les utilisateurs.

A noter : Seules les données mises en ligne par les utilisateurs eux-mêmes peuvent faire l’objet d’une collecte. Les commentaires mis sur les profils publics des réseaux sociaux ne sont donc pas susceptibles d’être collectés. Le Conseil constitutionnel indique dans sa décision que ne sont pas librement accessibles les contenus accessibles seulement après saisie d’un mot de passe ou inscription sur le site internet en cause (Cons. const. 27-12-2019 n^o 2019-796 DC). 

Les opérateurs de plateforme en ligne sont ceux mentionnés au 2^o du I de l’article L 111-7 du Code de la consommation. Il s’agit ainsi de « toute personne physique ou morale proposant, à titre professionnel, de manière rémunérée ou non, un service de communication au public en ligne reposant sur (...) la mise en relation de plusieurs parties en vue de la vente d’un bien, de la fourniture d’un service ou de l’échange ou du partage d’un contenu, d’un bien ou d’un service ». Sont donc couverts par le dispositif les réseaux sociaux (Facebook, Twitter, Instagram, LinkedIn...) et les sites de vente en ligne (Leboncoin, Vinted, Ebay...).

Traitements

Les contenus librement accessibles peuvent être collectés par l’administration fiscale et l’administration des douanes et des droits indirects au moyen de traitements informatisés et automatisés n’utilisant aucun système de reconnaissance faciale.

A noter : La notion de « traitements informatisés et automatisés » peut être entendue de manière assez large. Comme le soulève la Cnil dans son avis, il peut s’agir d’opérations manuelles à partir de moyens informatisés ou de traitements automatisés algorithmiques, s’inscrivant le cas échant dans une logique d’autoapprentissage.

Les traitements sont mis en oeuvre par des agents de l’administration fiscale et de l’administration des douanes et des droits indirects ayant au moins le grade de contrôleur et spécialement habilités par le directeur général. Les données à caractère personnel ne peuvent faire l’objet d’une opération de collecte, de traitement et de conservation de la part d’un sous-traitant, à l’exception de la conception des outils de traitement des données.

Manquements et infractions recherchés

Les manquements et infractions recherchés sont l’activité occulte et la fausse domiciliation à l’étranger en matière fiscale, ainsi que la contrebande et la vente de produits contrefaits en matière douanière (CGI art. 1728, 1-c ; 1729 ; 1791 ter ; 1810, 3^o et 8^o ; C. douanes art. 414, 414-2 et 415).

A noter : Le Conseil constitutionnel a censuré l'un des cas d’application initialement prévu (Cons. const. 27-12-2019 n^o 2019- 796 DC). Ainsi, il n’est pas possible de recourir à  ce dispositif en cas de défaut ou retard de production d’une déclaration fiscale dans les 30 jours suivant la réception d’une mise en demeure (CGI art. 1728, 1-b). Le recours au dispositif de collecte de données personnelles dans ce cas porterait au droit au respect de la vie privée et à la liberté d’expression et de communication une atteinte disproportionnée au but poursuivi.

Durée de conservation des données 

Les données personnelles qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, l’état de santé ou l’orientation sexuelle (données sensibles au sens de l’article 6 de la loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) ainsi que les autres données manifestement sans lien avec les infractions recherchées sont détruites au plus tard 5 jours après leur collecte.

Lorsqu’elles sont de nature à concourir à la constatation des manquements et infractions, les données collectées strictement nécessaires sont conservées pour une période maximale d’un an à compter de leur collecte et sont détruites à l’issue de cette période. Toutefois, lorsqu’elles sont utilisées dans le cadre d’une procédure pénale, fiscale ou douanière, ces données peuvent être conservées jusqu’au terme de la procédure. Les autres données sont détruites dans un délai maximum de 30 jours à compter de leur collecte.

Lorsque les traitements réalisés permettent d’établir qu’il existe des indices qu’une personne a pu commettre un des manquements recherchés, les données collectées sont transmises au service compétent de l’administration fiscale ou de l’administration des douanes et droits indirects pour corroboration et enrichissement. Ces données ne peuvent être opposées à cette personne que dans le cadre d’une procédure de contrôle (contrôle fiscal ou contrôle douanier). Ainsi, les droits inhérents au contrôle s’appliquent au contribuable : principe du contradictoire, droit de la défense, droit au recours.

Dispositif expérimental

Le dispositif est mis en place à titre expérimental pour une durée de 3 ans. L’expérimentation fera l’objet d’une analyse d’impact relative à la protection des données à caractère personnel dont les résultats seront transmis à la Cnil, dans les conditions prévues à l’article 62 de la loi 78-17 du 6 janvier 1978.

L’expérimentation fera l’objet d’une première évaluation dont les résultats seront transmis au Parlement ainsi qu’à la Commission nationale de l’informatique et des libertés au plus tard 18 mois avant son terme. Un bilan définitif de l’expérimentation sera transmis au Parlement ainsi qu’à la Commission nationale de l’informatique et des libertés au plus tard 6 mois avant son terme.

Entrée en vigueur

Ce dispositif entre en vigueur le 1^er janvier 2020. Les modalités d’application seront fixées par décret en Conseil d’État, pris après avis de la Cnil. Ce décret doit préciser les conditions dans lesquelles la mise en oeuvre des traitements est, à toutes les étapes, proportionnée aux finalités poursuivies. Il précise également en quoi les données sont adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est strictement nécessaire.

Camille JUE-MOHR

Pour en savoir plus sur cette question : voir le Feuillet rapide 2/20.

Loi de finances pour 2020 : formez-vous !

Francis Lefebvre Formation