Dans sa décision n° 2019-796 DC du 27 décembre 2019 sur la Loi de finances 2020, le Conseil constitutionnel entérine l’article 154, qui autorise à titre expérimental, pour une durée de trois ans, la collecte et l’exploitation automatisée par les administrations fiscale et douanière, des contenus accessibles publiquement sur les sites internet de certains opérateurs de plateforme, aux fins de recherche de manquements et d’infractions en matière fiscale et douanière.
Il conclut d’abord que cet article a bien sa place dans une loi de finance.
Puis il juge que les atteintes à la liberté d’expression, à la liberté d’accéder aux services en ligne et au respect de la vie privée d’un tel dispositif sont correctement proportionnées à l’objectif constitutionnel de lutte contre la fraude fiscale.
Il précise que le dispositif ne doit concerner que les données personnelles librement accessibles, délibérément divulguées par les utilisateurs de ces sites, et à l’exception des données sensibles au sens du paragraphe I de l’article 6 de la loi du 6 janvier 1978 (loi informatique et libertés), comme l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne, les données génétiques et biométriques et celles concernant la santé et la vie ou l’orientation sexuelles.
La reconnaissance faciale est un traitement expressément interdit par la décision du Conseil constitutionnel, qui précise que les traitements ne peuvent être mis en œuvre que par des agents des administrations fiscale et douanière ayant au moins le grade de contrôleur et spécialement habilités, et qui sont tenus au secret professionnel.
Les données sans lien avec un manquement ou une infraction recherchée doivent être détruites dans les cinq jours ; Les données qui ne sont pas de nature à concourir à la constatation d’un manquement ou d’une infraction doivent être détruites dans les trente jours. Les autres pourront être conservées un an, ou, le cas échéant, jusqu’au terme de la procédure pénale, fiscale ou douanière dans le cadre de laquelle elles sont utilisées.
Une procédure pénale, fiscale ou douanière ne peut être engagée sur la seule base des données personnelles récoltées et traitées : une appréciation individuelle de la situation par une personne de l’administration est nécessaire.
Les personnes intéressées bénéficient, notamment, des garanties relatives à l’accès aux données, à la rectification et à l’effacement de ces données ainsi qu’à la limitation de leur traitement.
La mise en œuvre, des traitements de données, lors de leur création comme lors de leur utilisation, doit être proportionnée aux finalités poursuivies. Il appartiendra au pouvoir réglementaire, sous le contrôle du juge, de veiller à ce que les algorithmes utilisés par ces traitements ne permettent de collecter, d’exploiter et de conserver que les données strictement nécessaires à ces finalités.