Telle est la question à laquelle la Cour de justice de l’Union européenne apporte des éléments de réponse intéressants dans un arrêt rendu sur une question préjudicielle posée par une juridiction lettone, qui est parfaitement transposable à la France.
L’administration fiscale lettone avait enjoint à une entreprise gérant un site de vente par Internet de lui accorder l’accès à certaines informations concernant les véhicules proposés à la vente sur ce site, ainsi que des informations personnelles sur les vendeurs. La société s’y était refusée, estimant ces demandes non conformes à la réglementation sur la protection des données personnelles. La juridiction saisie par la suite de ce litige a adressé à la Cour de justice de l’Union européenne une question préjudicielle relative à la compatibilité de la réglementation autorisant l’administration fiscale à formuler de telles demandes avec le règlement général sur la protection des données (RGPD)2.
La collecte et le traitement de données personnelles entrent clairement dans le champ du RGPD mais certaines institutions en sont exemptées.
La Cour considère, en premier lieu, que les services fiscaux ne sont pas au nombre des « autorités compétentes » qui peuvent être dispensées de respecter les énonciations du RGPD.
Ne le sont en effet que les autorités qui collectent des données personnelles « à des fins de prévention et de détection des infractions pénales ». Or les infractions fiscales n’ont pas nécessairement un caractère pénal.
Les autorités fiscales y sont donc bien soumises, mais dans des conditions qui prennent en compte la spécificité de leurs missions.
Selon la Cour, le RGPD n’interdit pas aux autorités fiscales de collecter des données personnelles, sur la base de mesures législatives qui doivent être claires et précises et qui doivent prévoir les conditions dans lesquelles la portée des droits garantis par le RGPD peut être limitée.
Ainsi lorsqu’une demande de communication d’information est formulée par une autorité fiscale, la finalité de cette demande doit être indiquée préalablement à leur collecte ; cette finalité doit être légitime, explicite et, naturellement, licite.
Il faut aussi que le traitement de ces données soit nécessaire à l’exécution d’une mission d’intérêt général telle que la détermination de l’assiette de l’impôt ou la collecte de celui-ci.
Les données recueillies doivent être adéquates, pertinentes et limitées au regard de l’objectif poursuivi.
En cas de litige, la preuve que ces...
