Intervention de Philippe Latombe

Dans une démarche sans précédent à ce jour et à l'initiative de sa présidente, que je remercie, la commission des Lois s'est saisie pour avis d'un article non rattaché de la seconde partie du projet de loi de finances pour 2020, l'article 57. Par son objet et ses implications sur les droits et libertés, cet article soulève des questions importantes et inédites sur lesquelles je vais revenir pour vous expliquer la démarche qui a été la mienne.

En tant que rapporteur de cette commission, je rapporterai fidèlement la position de la Commission, mais, en cas de désaccord avec les propositions adoptées, j'exprimerai également ma position personnelle en séance.

Cet article est destiné à compléter les outils à la disposition des administrations fiscale et douanière pour lutter contre la fraude. Il s'agit de leur permettre de collecter l'ensemble des données à caractère personnel rendues publiques par les utilisateurs des plateformes en ligne en vue d'y détecter des activités occultes et de lancer des contrôles ciblés.

Ces administrations disposent déjà de nombreuses techniques pour remplir leurs missions. Le législateur a complété l'arsenal existant à plusieurs reprises au cours des dernières années : en 2013, avec la loi du 6 décembre 2013 relative à la fraude fiscale et à la grande délinquance économique et financière ; en 2016, par la loi du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite « loi Sapin 2 » ; enfin, plus récemment, avec l'adoption de la loi du 23 octobre 2018 relative à la lutte contre la fraude.

En parallèle, à partir de 2013, ces administrations se sont lancées dans une démarche de data mining permettant d'explorer les données déclaratives à leur disposition ou publiées par des acteurs institutionnels. Ainsi, en matière fiscale, elles ont instauré un traitement dénommé « Ciblage de la fraude et valorisation des requêtes » (CFVR). Le service d'analyse de risque et de ciblage des douanes a aussi développé des techniques d'exploitation de telles données. Ces démarches permettent de faire émerger des profils dits à risques.

L'évolution proposée consiste à créer un nouvel outil de détection des activités occultes ou illicites sans créer de nouvelles obligations déclaratives. Elle soulève deux séries d'interrogations.

La première porte sur l'opportunité d'élargir les techniques d'investigations aux fins de lutte contre la fraude fiscale et douanière. Je viens de l'évoquer, les moyens juridiques à la disposition des pouvoirs publics sont déjà très importants et n'ont cessé d'être enrichis. Ils ont permis de recouvrer 5,6 milliards d'euros d'impôts sur les neuf premiers mois de l'année 2019 – contre 4 milliards sur la même période en 2018 –, dont 640 millions grâce aux seules techniques de data mining. Les traitements envisagés sont-ils donc indispensables ?

Même s'ils étaient nécessaires, gardons à l'esprit que cette nouvelle autorisation s'inscrit dans un contexte bien particulier, à rebours de plusieurs évolutions législatives notables. Ainsi, la loi du 10 août 2018 pour un État au service d'une société de confiance a institué un droit à l'erreur des usagers dans leurs relations avec l'administration, hors cas de mauvaise foi ou de fraude. Or l'article 57 autorise la collecte de données de plusieurs millions de nos concitoyens présents sur les réseaux, en les considérant en quelque sorte comme autant de fraudeurs potentiels.

En outre, nous avons récemment adapté notre législation RGPD, fondé sur le principe de minimisation des données traitées et collectées : l'article 57 entend autoriser la collecte massive et indiscriminée de données dont seule une infime fraction servirait à la lutte contre la fraude.

Enfin, la présentation de cet article dans un projet de loi de finances est par nature peu propice à un examen approfondi de ses incidences sur les droits et libertés, quand bien même il ne s'agirait que d'une expérimentation. Par ailleurs, la lutte contre la fraude couvre un champ plus large que celui du seul ministère de l'Action et des comptes publics. Ne serait-il pas plus cohérent de concevoir un dispositif respectueux des libertés individuelles et utilisable par d'autres administrations confrontées à des problématiques similaires, comme la lutte contre la fraude sociale ?

Vous l'aurez compris, il me semble que de très sérieuses objections s'opposent à l'adoption de l'article 57.

S'y ajoutent des réserves de fond non moins importantes. Il ne s'agit pas de remettre en cause la finalité poursuivie – la lutte contre la fraude fiscale notamment, qui est un objectif d'intérêt général à valeur constitutionnelle. Mais le dispositif proposé est d'une portée considérable au moins à trois égards : par l'inversion de la logique de contrôle, avec le passage d'une logique de traitement ciblé de données à la suite d'un doute préexistant sur une personne à un système de collecte générale et préalable de données en vue de cibler des actions ultérieures de contrôles ; par l'ampleur des traitements envisagés, qui conduit à s'interroger sur le respect des principes de pertinence et de proportionnalité, principes fondateurs de la loi de 1978, mais aussi sur le respect de l'interdiction de principe de traiter des données sensibles. Ces interrogations sont aggravées par la nature particulière des traitements informatisés et automatisés susceptibles d'être mis en oeuvre, puisqu'il peut s'agir d'algorithmes auto-apprenants par nature très difficiles à encadrer juridiquement. Enfin, ce nouveau dispositif de traitement des données a un impact majeur sur la vie privée de nos concitoyens et, plus grave, sur l'exercice en ligne d'autres droits et libertés, comme la liberté d'expression ou la liberté d'entreprendre. Cela justifie pleinement l'intervention du législateur, et non la publication d'un simple arrêté ou d'un décret en Conseil d'État, comme cela avait été un temps envisagé.

Naturellement, l'article 57 prévoit des garanties et il ne s'agit pas de les passer sous silence : application de plein droit de l'ensemble des dispositions de la loi de 1978 auxquelles il n'est pas dérogé ; interdiction de recourir à un système de reconnaissance faciale ; mise en oeuvre des traitements par des agents spécialement habilités ; modulation de la durée de conservation des données collectées en fonction de leur pertinence ; caractère expérimental des traitements…

Mais ces garanties me paraissent insuffisantes. Si les finalités poursuivies sont limitativement énumérées par le ciblage d'un certain nombre d'infractions fiscales ou douanières, la gravité de ces infractions est très variable et toutes ne justifient pas de recourir à de tels traitements. Je pense notamment au cas des contribuables ayant déjà reçu une mise en demeure de l'administration.

La nature particulière des données – seuls les contenus librement accessibles et rendus publics pourraient être collectés – autorise-t-elle de tels traitements ? Je rappelle que, rendues publiques ou non, ces données se rapportent à des personnes et sont donc des données à caractère personnel qui ne tombent pas, du seul fait de leur caractère public, dans le domaine public. Les droits au respect de la vie privée et à la protection des données personnelles doivent donc être préservés. De surcroît, rien ne garantit que seules les données publiées par l'utilisateur de la plateforme et se rapportant à lui seront utilisées, à l'exclusion de toute autre – commentaires ou tags de tiers par exemple.

La durée de conservation des données non pertinentes, établie à trente jours, paraît excessive, a fortiori parce que, parmi ces données, figureront immanquablement des données sensibles telles que des opinions politiques, des convictions religieuses ou philosophiques, l'appartenance syndicale ou des données concernant la santé des personnes, leur vie ou leur orientation sexuelles.

Enfin, l'indétermination des technologies susceptibles d'être utilisées, avec l'usage probable d'algorithmes auto-apprenants qui procéderont, durant leur phase d'apprentissage, à la collecte indiscriminée de toutes les données disponibles sur les plateformes visées, rend particulièrement difficile la définition a priori de garanties satisfaisantes pour préserver nos droits et libertés.

Pour toutes ces raisons, je vous invite à ne pas adopter l'article 57 en l'état.

Jusqu'à ce matin, je proposais d'émettre un avis défavorable à l'adoption de cet article et j'avais déposé un amendement de suppression. Il semble que le Gouvernement ait pris en compte mes observations et manifeste la volonté d'encadrer strictement le dispositif. Dans un souci d'ouverture et de co-construction, j'ai retiré mon amendement de suppression. En lieu et place, je vous proposerai une série d'amendements pour mieux circonscrire les plateformes visées, davantage encadrer les conditions de mise en oeuvre des traitements, durcir les modalités de traitement et de conservation des données collectées et améliorer l'évaluation de l'expérimentation.

Mais ces garanties supplémentaires ne sauraient lever toutes les objections de forme et de fond que j'ai soulevées, ni exonérer le législateur de l'indispensable travail de réflexion sur ce sujet qui interfère si étroitement avec nos libertés fondamentales. Comme j'en ai fait la proposition au cabinet du ministre, nous ne pouvons faire l'économie d'une proposition ou d'un projet de loi qui encadre l'utilisation des données personnelles devenues publiques, selon un traitement proportionné et homogène, quelles que soient les administrations concernées, et en conformité avec le RGPD et la directive de 2016 sur le traitement des données personnelles en matière pénale. Je regrette profondément que ma proposition n'ait initialement pas été retenue. Je fais confiance à notre travail en commission pour rendre ce dispositif acceptable. À défaut, si j'estime que les amendements et garanties proposés ne sont pas suffisants, en séance publique, je proposerai solennellement la suppression de l'article 57.