Avoirs à l’étranger : le Conseil d’État sanctionne un fichier de Bercy contraire à la loi CNIL

Le 23 octobre dernier, le fichier sur les avoirs non déclarés détenus à l'étranger a été partiellement épinglé par le Conseil d’État, à l’initiative du Conseil national des barreaux. Bercy a quelque peu négligé de respecter la loi CNIL en empruntant une procédure beaucoup trop allégée.

L'arrêté du ministre des Finances et des Comptes publics du 8 septembre 2015 a donné naissance à un nouveau traitement automatisé. Il vise les « déclarations rectificatives concernant la mise en conformité des avoirs non déclarés détenus à l'étranger ».

En substance, ce traitement géré par la direction nationale des vérifications de situations fiscales (DNVSF) et les directions territoriales compétentes permet aux contribuables qui régularisent spontanément leur situation de bénéficier de pénalités fiscales atténuées.

Une simple déclaration, plutôt qu’un avis motivé de la CNIL

Le fichier, baptisé dans le jargon STDR, vient faciliter la gestion et le suivi de ces déclarations. Dans ses colonnes, on trouve évidemment des données d’identification (nom, prénom, adresse, etc.) outre des informations relatives au dossier (date d'arrivée de la mise en conformité, date de dépôt des déclarations rectificatives, origine, montant, intitulé et nature des avoirs détenus à l'étranger, nom de la banque dépositaire, localisation de la banque (pays)…)

Seul hic. L’arrêté ministériel n'avait fait l’objet que d’une simple déclaration d’existence par les services du ministère, comme on peut le voir dans ses premières lignes (les visas).

Le 8 novembre 2015, le Conseil national des barreaux (CNB) a donc demandé l'annulation pour excès de pouvoir de cet arrêté. Il considère que celui-ci ne respecte pas deux dispositions de la loi du 6 janvier 1978 portant création de la CNIL.

Si selon l’article 22, une simple déclaration suffit pour faire naitre un traitement automatisé de données à caractère personnel, l'article 26 prévoit un autre régime pour les fichiers mis en œuvre par l’État, du moins ceux « qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté ».

Une annulation partielle modulée dans le temps

Cette fois, il est exigé un arrêté pris après avis motivé et publié de la CNIL. Or ici, comme l’a constaté le Conseil d’État dans son arrêt du 23 octobre signalé par Me Alexandre Archambault, seul un arrêté a été publié après une simple déclaration, alors que l’objet du traitement est bien de « prévenir la continuation et la réitération d'infractions pénales ».

Le Conseil d’État n'a finalement décidé d’annuler qu’un bout de l’arrêté, en bleu dans notre capture, celui relatif aux données personnelles au motif que le CNB n’avait pas intérêt à agir pour obtenir l’annulation de la totalité.

Mieux : appliquant sa jurisprudence « AC! », la haute juridiction a décidé de moduler dans le temps les effets de cette décision. Pourquoi ? Car une solution immédiate aurait à ses yeux « des effets excessifs (...) au regard de la nécessité d'assurer une bonne gestion des déclarations rectificatives au moyen du traitement litigieux, qui constitue un intérêt public majeur ».

Ainsi, ce coup de gomme a été différé de neuf confortables mois, permettant à Bercy d’appliquer convenablement la loi CNIL.