La CNIL a rendu un avis r\u00e9serv\u00e9 sur le Projet de Loi de Finances pour 2020 (PLF) qui pr\u00e9voit une collecte de masse des donn\u00e9es personnelles sur les r\u00e9seaux sociaux (Twitter, Facebook, Instagram, etc.) et les plateformes d’e-commerce (Amazon, Le Bon Coin, Ebay, etc.)\u00a0 pour lutter contre les infractions douani\u00e8res et fiscales.<\/p>\n
<\/p>\n
<\/p>\n
Article 57 PLF 2020 :<\/em><\/p>\n
(1) I. – A titre exp\u00e9rimental et pour une dur\u00e9e de trois ans<\/strong>, pour les besoins de la recherche des infractions mentionn\u00e9es aux b et c du 1 de l’article 1728, aux articles 1729, 1791, 1791 ter, aux 3\u00b0, 8\u00b0 et 10\u00b0 de l\u2019article 1810 du code g\u00e9n\u00e9ral des imp\u00f4ts, ainsi qu\u2019aux articles 411, 412, 414, 414-2 et 415 du code des douanes, l\u2019administration fiscale et l\u2019administration des douanes et droits indirects peuvent, chacune pour ce qui la concerne, collecter et exploiter au moyen de traitements informatis\u00e9s et automatis\u00e9s n\u2019utilisant aucun syst\u00e8me de reconnaissance faciale<\/strong> les contenus, librement accessibles, publi\u00e9s sur internet par les utilisateurs des op\u00e9rateurs de plateforme en ligne mentionn\u00e9s au 2\u00b0 du I de l’article L. 111-7 du code de la consommation.<\/em><\/p>\n
(2) Les traitements mentionn\u00e9s au premier alin\u00e9a sont mis en \u0153uvre par des agents sp\u00e9cialement habilit\u00e9s<\/strong> \u00e0 cet effet par les administrations fiscale et douani\u00e8re.<\/em><\/p>\n
(3) Lorsqu\u2019elles sont de nature \u00e0 concourir \u00e0 la constatation des infractions mentionn\u00e9es au premier alin\u00e9a, les donn\u00e9es collect\u00e9es sont conserv\u00e9es pour une dur\u00e9e maximale d\u2019un an<\/strong> \u00e0 compter de leur collecte et sont d\u00e9truites \u00e0 l\u2019issue de ce d\u00e9lai. Toutefois, lorsqu\u2019elles sont utilis\u00e9es dans le cadre d’une proc\u00e9dure p\u00e9nale, fiscale ou douani\u00e8re, ces donn\u00e9es peuvent \u00eatre conserv\u00e9es jusqu\u2019au terme de la proc\u00e9dure.<\/strong><\/em><\/p>\n
(4) Les autres donn\u00e9es sont d\u00e9truites dans un d\u00e9lai maximum de trente jours \u00e0 compter de leur collecte.<\/em><\/strong><\/p>\n
(5) Le droit d’acc\u00e8s<\/strong> aux informations collect\u00e9es s’exerce aupr\u00e8s du service d’affectation des agents habilit\u00e9s \u00e0 mettre en \u0153uvre les traitements mentionn\u00e9s au deuxi\u00e8me alin\u00e9a dans les conditions pr\u00e9vues par l’article 42 de la loi n\u00b0 78-17 du 6 janvier 1978 relative \u00e0 l’informatique, aux fichiers et aux libert\u00e9s.<\/em><\/p>\n
(6) Le droit d’opposition, pr\u00e9vu par l’article 38 de la m\u00eame loi, ne s’applique pas aux traitements mentionn\u00e9s au deuxi\u00e8me alin\u00e9a.<\/em><\/strong><\/p>\n
<\/p><\/blockquote>\n
La collecte massive et pr\u00e9alable vise l\u2019ensemble des personnes rendant accessibles des contenus sur les plateformes en ligne. Il n\u2019y aura aucun contr\u00f4le automatique \u00e0 partir des donn\u00e9es collect\u00e9es<\/strong> qui ne doivent servir que de faisceau d\u2019indices<\/strong>. Les donn\u00e9es collect\u00e9es seront conserv\u00e9es durant un an si elles sont utiles ou jusqu\u2019au terme de la proc\u00e9dure p\u00e9nale, fiscale ou douani\u00e8re ou, \u00e0 d\u00e9faut, supprim\u00e9es au bout de 30 jours apr\u00e8s avoir \u00e9t\u00e9 collect\u00e9es.<\/strong><\/span><\/p>\n
<\/p>\n
La CNIL rappelle l\u2019obligation de collecter de mani\u00e8re loyale et licite<\/strong>, ce qui implique que les internautes disposent d\u2019une information pr\u00e9alable<\/strong>. Elle s’interroge par ailleurs sur le caract\u00e8re proportionnel<\/strong> du traitement de masse de contenus librement publi\u00e9s en ligne, ce qui, selon elle, devrait exclure les donn\u00e9es publi\u00e9es sous pseudonymes. Enfin, elle soul\u00e8ve les risques de violations de la vie priv\u00e9e<\/strong> et les effets sur la libert\u00e9 d\u2019expression et de communication<\/strong> d\u2019une telle collecte qui pourrait modifier de mani\u00e8re significative le comportement des internautes.<\/p>\n
<\/p>\n
Ce dispositif compl\u00e8te la loi contre la fraude publi\u00e9e au Journal officiel le 24 octobre 2018 et l’arr\u00eat\u00e9 du 14 novembre 2017 conf\u00e9rant aux services fiscales et douaniers:<\/p>\n
\n
- de nombreux pouvoirs (gardes \u00e0 vue, filatures, \u00e9coutes t\u00e9l\u00e9phoniques, perquisitions, etc.);<\/li>\n
- un droit de communication<\/strong> des documents de toute nature relatifs aux op\u00e9rations int\u00e9ressant leur service chez les op\u00e9rateurs de t\u00e9l\u00e9communications, les h\u00e9bergeurs et les FAI mais limit\u00e9 \u00e0 la constatation des infractions les plus graves<\/strong> (contrebande de produits stup\u00e9fiants ou d\u2019armes, d\u00e9lit de blanchiment douanier ou la violation d\u2019un embargo financier, d\u00e9tention de comptes a\u0300 l\u2019\u00e9tranger non d\u00e9clar\u00e9s, fausses factures, montages destin\u00e9s a\u0300 induire en erreur l\u2019administration fiscale, etc.);<\/li>\n
- le droit de croiser les donn\u00e9es personnelles (data mining)<\/strong> issues de nombreux fichiers permettant de collecter un faisceau d\u2019indices d\u00e9montrant la domiciliation ou l\u2019\u00e9tablissement en France d\u2019une personne physique ou morale, une activit\u00e9 occulte ou permettant de reconstituer des recettes non d\u00e9clar\u00e9es. Pour am\u00e9liorer la d\u00e9tection de la fraude et le ciblage des contr\u00f4les fiscaux, l’administration fiscale d\u00e9veloppe, depuis 2013, un traitement automatis\u00e9 de donn\u00e9es d\u00e9nomm\u00e9 Ciblage de la Fraude et Valorisation des Requ\u00eates (CFVR) consistant \u00e0 appliquer des m\u00e9thodes statistiques innovantes sur des informations en provenance de l’administration fiscale et d’autres administrations, de bases de donn\u00e9es \u00e9conomiques payantes et de donn\u00e9es en libre acc\u00e8s. Pour sa part, la direction g\u00e9n\u00e9rale des douanes et droits indirects a confi\u00e9, en 2016, l\u2019exploitation de son patrimoine de donn\u00e9es d\u00e9mat\u00e9rialis\u00e9es \u00e0 son Service d\u2019Analyse de Risque et de Ciblage (SARC).<\/li>\n<\/ol>\n
<\/p>\n