Le numérique au service du fisc ou comment espionner les réseaux sociaux des contribuables

Depuis quelques années, la lutte contre la fraude fiscale et la volonté d’imposer toujours plus de transparence aux contribuables se renforcent dratisquement. Ce durcissement s’est accompagné par l’utilisation d’outils informatiques, toujours plus poussés, par les services fiscaux dans le but de traquer les fraudeurs. 

Si les efforts des services de Bercy dans la recherche des fraudeurs fiscaux ne peuvent être que salués et encouragés, il semble que les nouveaux outils employés à cette fin soulèvent de sérieux questionnements. La collection exponentielle des données et leur traitement posent en effet des problèmes de sécurité de par leur intrusion dans la vie privée des contribuables. Mais le principal risque demeure celui de basculer, progressivement, vers une société de surveillance généralisée. 

Un décret en date du 11 février 2021 autorise l’administration fiscale a avoir recours, à titre expérimental et pour une durée de trois ans, à des techniques de data mining. Globalement, ces nouveaux procédés permettent aux agents du fisc d’exploiter les données personnelles des contribuables, données collectées au préalable sur les réseaux sociaux (Twitter, Linkedin, Instagram, Meta). Elles pourront ensuite être utilisées contre vous lors d’un éventuel contrôle fiscal. Ce que vous postez sur les réseaux est donc susceptible de constituer des éléments à charge, c’est-à-dire des éléments dont l'administration pourra se servir contre vous lors d’un éventuel contrôle fiscal. 

Par exemple, si vous postez une capture d’écran montrant des gains considérables sur cryptos alors qu’ils n’ont pas été déclarés, elle pourra les utiliser. Même chose si vous parlez, sur twitter, de votre dernière plus-value d’un montant de 50 000 € alors que ni votre compte ni votre plus-value n’ont été déclarés. 

Pire encore, les services fiscaux disposent d’un nouvel outil leur permettant d’agréger les données d’un contribuable donné, dans le but d’effectuer des corrélations entre les informations détenues sur ce dernier. Vous comprenez alors que vous devez faire preuve de vigilance pour contourner les radars du fisc.

On vous rassure tout de même, nous ne sommes pas encore à un scénario de “BigBrother du fisc” : son champ d’action est nécessairement limité dans la mesure où cette utilisation constitue une atteinte à vos droits fondamentaux. 

De plus, et vous vous en doutez très certainement, l’objectif de transparence auquel nos juridictions aspirent ne concerne pas que la France. En effet, les institutions supranationales, notamment celles de l’Union européenne, prennent de nombreuses mesures à cette fin et le justifient en s’appuyant – comme toujours – sur les risques et le manque d’informations sur l’utilisation des crypto actifs par les contribuables.

Cet article se destine à expliquer ce qu’est concrètement le data mining ; pour comprendre de quelle manière l’administration fiscale peut s’en servir dans le cadre d’un contrôle fiscal. Nous verrons ensuite qu’elle dispose d’un nouvel outil dénommé “Galaxie”. Cependant, elle ne peut pas tout faire. Le contribuable bénéficiant de garanties, posées par la loi. Enfin, nous exposerons brièvement le rôle des institutions supranationales notamment avec un focus particulier sur le projet de directive DAC8. 

 

Qu'est-ce que le Data mining ?

Comme son nom l’indique, data mining veut dire extraction de données. Il s’agit ni plus ni moins d’extraire des données issues de différents réseaux pour les collecter et les classer dans une base. Le but est d’en tirer des connaissances par la mise en place de procédés divers (classification, analyse prédictive, documenter des groupes de faits inconnus jusqu’alors, etc.). 

Dans un sens plus technique, le data mining est une “démarche méthodologique recoupant un ensemble de techniques relevant du domaine des statistiques et des mathématiques permettant, à partir d'un important volume de données, d'extraire des informations visant à améliorer la connaissance des comportements (…)”. 

Le data mining permet donc de faire des corrélations entre des données d’un système et d’effectuer diverses analyses dans le but de rendre les bases de données plus compréhensibles et intelligibles. 

Comment l'administration utilise le Data mining pour épier les réseaux sociaux ?

La possibilité reconnue à l'AF d’épier les réseaux sociaux et assimilés est récente. Le décret du n° 2021-148 du 11 février 2021 prévoit, conformément à ce qui avait été prévu dans la loi de finances pour 2020, en son article 154 que : “l’administration fiscale et l’administration des douanes et droits indirects peuvent, chacune pour ce qui la concerne, collecter et exploiter au moyen de traitements informatisés et automatisés n’utilisant aucun système de reconnaissance faciale les contenus, librement accessibles sur les sites internet des opérateurs de plateforme”. 

Vous avez désormais compris le principe. Grâce à ce texte, elle a désormais accès à vos données personnelles. 

En réalité, la collecte massive d’informations sur les contribuables n’est pas nouvelle. Depuis plus de 20 ans l’administration se dote d’outils informatiques, toujours plus puissants, en gardant comme objectif de collecter des informations sur les contribuables pour mieux les cerner. Mais depuis 2013, elle développe un traitement automatisé des données recueillies (« ciblage de la fraude et valorisation des requêtes » (CFVR)). D’une certaine manière, cette nouvelle possibilité est son prolongement.

À ce stade, vous vous demandez sûrement quelle est la différence puisque l'administration applique des méthodes statistiques sur des données des contribuables depuis cette date ? 

La différence tient dans ce que peut consulter, collecter et exploiter l’administration. On remarque au fil des années que le champ d’action du fisc est toujours plus étendu. Cette autorisation lui ouvre l’accès à de nouveaux types de fichiers puisqu’elle n’avait autrefois qu’accès à certains, son “droit de communication” étant encadré strictement par la loi. 

Exemples : fichier FICOBA ; données patrimoniales ; données transmises par d’autres administrations, françaises ou étrangères ; fichiers transmis par les organismes de la sécurité sociale ; les établissements de crédits ; les professionnels de l’immobilier ; données fiscales des déclarations des contribuables etc). 

Désormais, elle peut consulter et exploiter toutes les données sur les “sites internet des plateformes en ligne”. Vous le voyez bien, cette expression est plus large que les réseaux sociaux à proprement parler.  Ces plateformes correspondent aux réseaux sociaux mais aussi à toutes les pages de mise en relation entre particuliers, y compris ceux destinés à la vente de biens ou de services. 

Globalement, on estime que quasiment tous les sites connus sont concernés et sont ainsi devenus des sources d’informations pour les contrôleurs. Vous vous demandez quelles données sont concernées. Il s’agit des photographies (votre dernier bolide ; vos photos de vacances à l’autre bout du monde), commentaires, vidéos ou encore les publications publiques (dans un fil d’actualité ou sur une page publique). Finalement, tout ce que vous postez de vous-même est exploitable, qu’importe sa nature. Nous y reviendrons plus en détails sur les données exploitables dans la dernière partie relative à vos garanties en tant que contribuable. 

Les données seront ensuite croisées de manière automatisée, par exemple par la mise en place d’algorithmes relevant des indices de comportements frauduleux. Les agents du fisc recherchent des signes extérieurs de richesse. C’est pour cela qu’il faut éviter d’étaler sur les réseaux votre succès en tant que trader – dans l’hypothèse, bien entendu, où vous n’êtes pas en conformité avec vos obligations déclaratives. Les services vont donc relever tous les éléments qui, mis bout à bout, semblent établir une infraction aux règles fiscales par le trader. 

Après constitution du dossier, elle va le transmettre au service compétent de l’administration fiscale ou de l’administration des douanes et droits indirects pour corroboration et enrichissement, lesquels pourront les utiliser pour vous redresser. Attention toutefois puisque ces éléments ne peuvent justifier à eux seuls des redressements. C’est pour cette raison que l’on peut parler d’indices, l’administration devant obligatoirement détenir d’autres éléments à charge pour mettre en œuvre un contrôle fiscal. 

Les garanties du contribuable face à l'intrusion du fisc

Si un tel dispositif n’était pas encadré, il y aurait un risque de dérives évident. La CNIL et le Conseil constitutionnel n’ont pas tardé à le souligner sans pour autant le remettre en cause. Pourquoi ? Car selon eux, la lutte contre la fraude fiscale est un objectif à valeur constitutionnelle (ci-après “OVC”). Un OVC découle d’une liberté fondamentale mais en constitue une limite. 

Exemple : exploiter les données personnelles issues des réseaux sociaux des contribuables est une atteinte à la vie privée, ce qui suppose logiquement que ce soit interdit par le biais de la loi. Or, s’il existe un OVC de lutte contre la fraude dans la matière, cela permet de justifier l’atteinte à votre droit fondamental. En quelque sorte, l’objectif poursuivi par ceux qui édictent les lois (la “lutte contre la fraude fiscale”) prime le droit à la protection de la vie privée. Toutefois, en raison de cette atteinte, des garanties au profit des contribuables doivent être posées.  

Vous voyez le principe : on passe le citoyen au scanner mais il a des garanties. Revenons sur chacune d’elles. 

La première limite est que les infractions ou agissements recherchés sont uniquement : l'activité occulte (activité non déclarée ou illicite), la domiciliation fictive à l'étranger, la contrebande et enfin les produits contrefaits en matière douanière. Ce qui veut dire qu’en dehors de ces cas, l’administration ne peut ni collecter ni exploiter vos données. Une autre raison (que les hypothèses précitées) ne sera tout simplement pas admise. 

La deuxième limite est que les données doivent être “librement accessibles”. Ca signifie une action de votre part : vous devez avoir délibérément publié ces informations sur un réseau public. Autrement dit, vous avez vous-même rendu les données publiques et ces informations ne nécessitent pas d’entrer un mot de passe pour y avoir accès. Il faut donc distinguer les données publiées de celles qui ne le sont pas. Seules les informations publiées, en libre accès c’est-à-dire qu’elles peuvent être consultées par les autres utilisateurs de la plateforme, pourront être utilisées par l’administration dans le cadre d’un contrôle fiscal. 

Quelles conséquences ?

Une conversation privée ne pourra jamais être utilisée par le fisc. De même, il a l’interdiction de vous contacter par cette voie. Il n’est pas possible de se servir des commentaires d’autres personnes sur une page personnelle du contribuable. Il ne peut pas non plus utiliser un pseudonyme pour vous piéger, ni s’infiltrer dans un cercle restreint de personnes pour recueillir des informations relatives à votre train de vie. Ces éléments ne pourront jamais justifier un contrôle fiscal. La distinction entre public et privé est donc fondamentale. Retenez surtout qu’il n’est pas la peine de vous méfier si une personne vous contacte par message privée, il ne peut s’agir d’un agent caché. 

La troisième limite interdit à l’administration fiscale de sous-traiter les données des contribuables. Enfin, dernière limite sur le délai de conservation des données. L’administration ne peut pas conserver vos données indéfiniment. Des limites de temps ont été posés. Au delà, les données devront être obligatoirement supprimées. 

Le nouvel outil “GALAXIE” au service du fisc

De plus, les services de la DGFiP disposent d’un nouvel outil approuvé par la CNIL et les autorités par “arrêté du 11 mars 2022 portant autorisation par la direction générale des finances publiques du traitement de données à caractère personnel dénommé GALAXIE.”

Dénommé “Galaxie”, il s’agit d’un logiciel informatique de traitement automatisé des données des contribuables dont l’origine remonte au projet PILAT de 2018 de modernisation du contrôle fiscal. Le but poursuivi est exactement le même : traquer les fraudeurs, en croisant leurs données.

Il se définit comme “un outil de visualisation, au niveau national, d’une part des liens existant entre des entités professionnelles (liens de participation), et entre des entités professionnelles et des personnes physiques (liens de dirigeant, d’associé ou d’actionnaire), et d’autre part, des éléments de contexte sur la situation patrimoniale et fiscale de ces personnes” (art. 2 arrêté du 11 mars) 

Autrement dit, il permet d’agréger des données ensembles. Par exemple, seront regroupés des données comme l’identifiant fiscal d’un contribuable, l’identité de son conjoint, ses obligations fiscales, numéro SIREN, montant de son chiffre d’affaires etc.

Si cela ne vous paraît pas si exceptionnel, il faut toutefois noter que c’est la première fois qu'elle dispose de cette capacité. Ainsi, elle peut croiser les données collectées pour y rechercher des cas de fraude de manière simplifiée.

Le projet DAC8 – Permettre l'échange d'informations entre autorités fiscales

En parallèle et en supplément de l’ensemble de ces mesures, les institutions supranationales souhaitent généraliser l’échange d’informations entre juridictions. Cela concerne les institutions européennes en tant que tel, mais aussi l’OCDE (consulter le rapport de l’OCDE pour plus d’informations sur le sujet).

Les initiatives de ces institutions sont le fruit des inquiétudes de la quasi totalité des gouvernements sur les risques engendrés pour les consommateurs et investisseurs. À juste titre ou non selon les cas. Quoiqu’il en soit, la réduction de la transparence représente un défi majeur pour eux, en ce qu’ils considèrent qu’elle est la voie qui permet l’évasion et la fraude aux impôts. Il est vrai que le caractère décentralisé de cette finance 3.0 fait que les autorités ont du mal à tracer les transactions pour les imposer. Pour l’ensemble de ces raisons, édicter un cadre fiscal clair et harmonisé est devenu une priorité pour l’Union européenne.

Parmi les initiatives, le projet DAC8 est très certainement le plus important. L’idée est d’étendre le champ d’application des directives pour soumettre les acteurs du secteur de la cryptomonnaie à la législation. Il s’agit d’un projet, dernier en date, pour améliorer la surveillance et la déclaration des transactions impliquant ces actifs.

En réalité, il s’agit plus d’une extension du champ d’application de la directive relative à la coopération administrative et l’échange d’informations en matière fiscale (2011/16/UE, DAC) pour soumettre les acteurs du secteur des cryptomonnaies, que d’une révolution. Comme évoqué en introduction, l’objectif est de remédier au manque d’informations sur l’utilisation des cryptos actifs par les contribuables ainsi que d’ajuster les sanctions, aujourd’hui trop disparates entre un territoire donné et un autre.

La Commission européenne a donc adopté de nouvelles règles pour accroître la transparence dans l’économie numérique. La directive DAC 8 prévoit en effet de nouvelles règles relatives aux opérateurs de plateformes en ligne. Elles visent à renforcer l’échange automatique d’informations entre les États membres en ce qui concerne les activités commerciales exercées sur une plateforme numérique. Ainsi, l’ensemble des acteurs concernés devront identifier, tracer et déclarer les revenus réalisés de leurs utilisateurs. Pourquoi ? Tout simplement pour qu’ils fournissent ensuite ces informations aux autorités. C’est une sorte de collaboration forcée entre les entreprises et le fisc. Bien évidemment, cela dépendra aussi des activités auxquelles s’adonne la plateforme. 

Qui est concerné ?

Malheureusement pour nous, nombreux seront les acteurs de l’écosystème a être concernés. Pour donner un exemple, les plateformes centralisées du type Binance y seront soumises. Plus précisément, le texte cible toutes les entreprises qui fournissent des services cryptos sur le territoire de l’Union européenne. Autrement dit, cela concerne aussi bien les exchanges que les intermédiaires de courtage ou encore les distributeurs automatiques de crypto monnaies. Attention puisqu’une entité basée hors de l’Union européenne mais qui opère sur le territoire peut entrer dans le champ d’application de la directive. Enfin, il faut noter que les obligations prendront effet à compter du 1e janvier 2023. Les plateformes dans le champ d’application de la directive auront alors un peu plus d’an pour déclarer et communiquer les informations aux enquêteurs de la DGFIP (soit le 31 janvier 2024 au plus tard). 

Il convient toutefois d’apporter une certaine nuance dans la mesure où cette réglementation (qui existe déjà pour la finance traditionnelle) n’est pas toujours efficace en pratique. Cela en raison des difficultés de mise en oeuvre et de contrôle, compte tenu des différences dans les systèmes juridiques et administratifs de chaque Etat-membre. En conséquence, il est encore trop tôt pour prédire le réel impact de cette directive pour les acteurs du secteur.

Conclusion

Vous le voyez, le fisc dispose de nombreux moyens et outils afin de traquer les fraudeurs. Sans tomber dans la paranoïa, il convient de faire preuve de vigilance, notamment quant au contenu que vous publiez sur les réseaux sociaux. Et surtout, n’oubliez pas que les seules données utilisables par les services de Bercy sont celles que vous avez publié, et qui sont en accès libre sur le web. De même, il est impossible qu’un enquêteur vous contacte et vous “piège” par message privé. Ne partez pas non plus du postulat que vous êtes hors des radars. En l'état actuel des choses, l'actualité démontre que l'expérimentation (de ces outils) fonctionne. Les premiers résultats se sont en effet fait sentir, et ce sont déjà des dizaines de contribuables français qui ont du s'acquitter d'impôts supplémentaires. On espère que cet article vous aura apporté un éclairage suffisant sur le champ d’action de la DGFIP ainsi que sur les solutions à l’étude pour accroître la transparence dans le numérique, que ce soit à l’échelle de la France ou sur le territoire de l’Union européenne.