PLF 2020 : surveillance massive des plateformes par le fisc, ce qu’il faut savoir

Un cheval de Troie dans le projet de loi de finances 2020

Comme le dévoile Next Inpact, l’article 57 du projet de loi de finances 2020 consacre la surveillance du web. Le Gouvernement veut permettre « aux administrations fiscale et douanière de collecter et exploiter les données rendues publiques sur les sites internet des réseaux sociaux et des opérateurs de plateforme ». Il s’agirait d’une expérimentation sur trois ans, « pour les besoins de la recherche » d’un certain nombre d’infractions mentionnées dans le code général des impôts et le code des douanes.

Le fisc serait autorisé à conserver les données durant un an « lorsqu’elles sont de nature à concourir à la constatation des infractions » et pourrait conserver ces données « jusqu’au terme de la procédure » en cas de procédure pénale. Les autres données seraient détruites « dans un délai maximum de trente jours à compter de leur collecte ».

De Facebook à Leboncoin, toutes les plateformes sont concernées

Le fisc pourrait ainsi « collecter et exploiter au moyen de traitements informatisés et automatisés n’utilisant aucun système de reconnaissance faciale les contenus librement accessibles, publiés sur internet par les utilisateurs des opérateurs de plateforme en ligne mentionnées au 2° du I de l’article L. 111-7 du code de la consommation ».

Le périmètre de la surveillance serait ainsi généralisé à l’ensemble des plateformes, dont celles permettant « la mise en relation de plusieurs parties en vue de la vente d’un bien, de la fourniture d’un service ou de l’échange ou du partage d’un contenu, d’un bien ou d’un service ». Les réseaux sociaux ne sont donc pas les seules plateformes concernées : les sites et les applications qui permettent de vendre des biens sur Internet font également partie du spectre de la surveillance massive souhaitée par le Gouvernement.

Saisie en urgence, la CNIL rend son verdict

Le législateur reconnaît que ce « traitement de données personnelles » ne peut être mis en œuvre que « de manière encadrée [par] un décret du Conseil d’État » et qu’il doit être soumis à l’avis de la CNIL. 6 mois avant la fin de l’expérimentation, il est prévu qu’un rapport soit transmis à la CNIL et au Parlement pour « évaluer si l’amélioration de la détection des fraudes est proportionnée à l’atteinte portée au respect de la vie privée ».

La Commission Nationale de l’Informatique et des Libertés a donc été saisie, en urgence, le 28 août 2019. Elle a transmis son avis au Gouvernement le 12 septembre 2019. Cet avis a été rendu public par la CNIL ce lundi 30 septembre 2019. L’institution « rappelle qu’une telle expérimentation […] doit s’accompagner de garanties fortes afin de préserver les droits et libertés des personnes concernées ». 

D’un côté, la CNIL reconnaît « la légitimité des objectifs » et constate que le projet « comporte certaines garanties » (notamment sur l’interdiction de la reconnaissance faciale). Mais de l’autre, elle « [relève] que ce dispositif présente des enjeux très particuliers du point de vue des libertés, compte tenu de l’impact du dispositif sur la vie privée et ses possibles effets sur la liberté d’expression en ligne ».

La CNIL fustige « une collecte générale préalable des données relatives à l’ensemble des personnes »

La CNIL parle de « changement d’échelle » et de « renversement des méthodes de travail » car ce projet « repose sur une collecte générale préalable de données relatives à l’ensemble des personnes […] en vue de cibler des actions ultérieures de contrôle […] et non sur une logique de traitement ciblé de telles données lorsqu’un doute ou des suspicions de commission d’une infraction préexistent ».

La CNIL estime qu’il est « indispensable de préciser les contours du dispositif envisagé et de renforcer les garanties existantes » et souligne « la nécessité d’évaluer de manière approfondie le respect, par les administrations concernées, du principe de proportionnalité ».

Dans son avis, elle rappelle aussi quelques principes de droit, dont certains sont ancrés dans le RGPD. « La seule circonstance que les données soient accessibles sur Internet […] ne suffit pas pour que les administrations qui souhaitent les exploiter soient exonérées de l’obligation de collecter ces données de manière loyale et licite ».

Au-delà de son verdict, la CNIL regrette « vivement d’avoir à se prononcer dans des conditions d’urgence sur la mise en œuvre de tels traitements compte tenu des enjeux associés à la collecte massive de données sur les plateformes en ligne et les impacts substantiels s’agissant de la vie privée des personnes concernées qui en résultent ».

Les parlementaires devant leurs responsabilités

En l’état, les « garanties » intégrées à l’article 57 du projet de loi de finances 2020 ne sont pas suffisantes pour la CNIL. Elle restera « particulièrement attentive aux suite de ce texte ainsi qu’aux conditions de mise en œuvre effectives du dispositif ». Ce sera relativement rapide : le PLF 2020 sera soumis au vote du Parlement au cours du dernier trimestre. La version finale de la loi finance 2020 sera publiée au Journal Officiel à la fin de l’année 2019. Les trois prochains mois permettront de connaître les intentions de chaque député et chaque sénateur, qui constituent désormais la seule protection contre la mise en place d’une surveillance de masse des citoyens français.