Depuis 2017, Bercy utilise un outil automatisé de ciblage pour les contrôles fiscaux des particuliers, dénommé « ciblage de la fraude et valorisation des requêtes ». Basé sur des techniques de « data mining », il repose sur la mise en œuvre d’algorithmes qui lui permettent de repérer les comportements frauduleux en collectant et en croisant de manière automatisée un certain nombre de données personnelles.
Mais, jusqu’à présent, le fisc ne pouvait croiser que des données issues de ses propres fichiers – fichiers des comptes bancaires, base nationale des données patrimoniales, fichiers des contrats de capitalisation et d’assurance-vie – et de fichiers provenant d’autres administrations françaises ou étrangères et/ou de bases de données privées.
Un décret publié le 11 février l’autorise désormais à collecter et à exploiter des données personnelles publiées – écrits, images, vidéos, photos, etc. – sur les plates-formes de mise en relation entre particuliers, qu’il s’agisse des réseaux sociaux proprement dits (Facebook, Twitter, Instagram, LinkedIn…) ou des sites de vente en ligne, comme Leboncoin, Vinted, eBay… Ce dispositif est mis en place, à titre expérimental, pour une durée de trois ans.
« Il vise un triple objectif : détecter plus facilement les “fausses” domiciliations fiscales à l’étranger, repérer les activités commerciales occultes ainsi que les activités de contrebande (tabac, alcool, stupéfiants…) et de vente de produits de contrefaçon », détaille Stéphanie Riou-Bernard, avocate chez CMS Francis Lefebvre Avocats.
Données librement accessibles
En pratique, le fisc ne peut utiliser que les données librement accessibles, c’est-à-dire dont l’accès ne nécessite pas de saisir un mot de passe, ni de s’inscrire sur le site en cause. « En outre, seules les données mises en ligne par les internautes eux-mêmes peuvent être collectées. L’administration fiscale ne peut pas utiliser les commentaires postés par d’autres internautes, ni utiliser un pseudo pour s’infiltrer dans un groupe de discussion afin d’y recueillir des données », ajoute Stéphanie Riou-Bernard.
Les données dites sensibles – origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle… – ainsi que les autres données manifestement sans lien avec les infractions recherchées doivent être détruites au plus tard dans les cinq jours après leur collecte.
Celles strictement nécessaires à la constatation des infractions peuvent être conservées pendant un an maximum. Toutefois, si elles sont utilisées dans le cadre d’une procédure de contrôle, elles peuvent être conservées jusqu’au terme de cette procédure. Toutes les autres données doivent être détruites dans un délai maximum de trente jours après leur collecte.
Contribuer
