Vos données personnelles au service de l’administration fiscale: décryptage et conséquences

Par Marine Vanhoucke, associée.

Alors que la période des déclarations d'impôts est ouverte, une question cruciale émerge : comment l'administration fiscale utilise-t-elle les données personnelles pour lutter contre la fraude fiscale ? L'essor du Big Data et de l'intelligence artificielle (IA) permet désormais d'affiner et de cibler les contrôles fiscaux, soulevant des interrogations légitimes sur le respect de la vie privée et la protection des données.

Depuis le 1er janvier 2025, l'administration fiscale a la possibilité de collecter des données publiées sur les réseaux sociaux (Facebook, Instagram, Leboncoin, Gens de confiance etc.) afin de surveiller les activités en ligne. Cette collecte s'inscrit dans un cadre légal précis, défini par la loi de finances pour 2020 (initialement à titre expérimental pour 3 ans), prolongée et élargie par la loi de finances pour 2024, et encadrée par un décret du 31 décembre 2024.

Ce dispositif autorise l'administration fiscale et douanière à collecter et exploiter, au moyen de traitements informatisés et automatisés, les contenus librement accessibles et publiés sur Internet par les utilisateurs et opérateurs de plateformes en ligne afin de mieux détecter les comportements frauduleux.

Le champ des contenus accessibles a été étendu. Une des grandes nouveautés est la possibilité pour l’administration fiscale d’accéder aux contenus "publiquement accessibles sur les plateformes ou interfaces en ligne, y compris lorsque l'accès à ces plateformes requiert l'inscription à un compte". En effet, il ne lui était avant possible que d’accéder aux contenus ne requérant pas la création de compte ce qui excluait une grande majorité des réseaux sociaux.

L'administration fiscale utilise les données collectées pour lutter contre la fraude fiscale, notamment en matière d'insuffisances de déclaration découlant d'une minoration ou d'une dissimulation de recettes effectuée délibérément ou de manière frauduleuse. L'objectif est d'optimiser les recettes fiscales et de garantir l'équité entre les contribuables.

Toute publication en ligne, même sous pseudonyme, ou sans qu’aucun individu ne soit directement identifiable peut révéler des informations sur la vie privée, par exemple le lieu de résidence d’un contribuable. Les méthodes de réidentification appelées Renseignement d'Origine Source Ouverte (ROSO ou OSINT) consistent à collecter et recouper de nombreuses informations en ligne. Par exemple une photographie reliée à un identifiant ainsi qu’à d'autres comptes de réseaux sociaux ou données de géolocalisation peut révéler la localisation de la photographie, sa date, voire son auteur.

Ainsi, les informations publiées sur une multitude d'applications et de plateformes doivent être considérées dans leur ensemble, la multiplication des sources d'informations accessibles sur Internet permettant de révéler une identité en reliant différentes données éparpillées publiquement, même si elles ne sont pas, individuellement, identifiantes.

Cependant, ce pouvoir de collecte est encadré par des limites. Il est interdit aux agents de l'administration fiscale et douanière d'entrer directement en relation avec d'autres détenteurs de compte ou de diffuser des contenus. De plus, les données sensibles (origine raciale, opinions politiques, convictions religieuses, appartenance syndicale, état de santé, orientation sexuelle) doivent être détruites au plus tard 5 jours ouvrés après leur collecte. Les autres données sont conservées, en principe, pendant un délai maximum de 30 jours.

Dans ce contexte, il est essentiel d'adopter une gestion responsable des informations en ligne en s’assurant de la cohérence entre les déclarations fiscales et les contenus affichés, en maitrisant les paramètres de confidentialité et en ne partageant pas d’informations sensibles sur les réseaux sociaux.