Dans un arrêt du 1er juin 2023, la Cour de cassation a rappelé que l’obligation d’information incombant au responsable de traitement n’est pas inconditionnelle.
Une société soupçonnée de fraude fiscale avait fait l’objet de visites et saisies de l’administration fiscale dans ses locaux. Elle contestait l’ordonnance du juge des libertés et de la détention qui avait autorisé les agents de l’administration à réaliser ces opérations.
Pour cause, l’administration fiscale avait soumis au juge, sans en informer les personnes concernées, des informations provenant de bases de données ou de sites Internet librement accessibles au public. La société considérait que la sollicitation du juge puis la réalisation des mesures violaient l’obligation d’information du responsable de traitement prévue par le RGPD.
Elle demandait alors à ce que l’ordonnance autorisant les opérations de saisie soit annulée en raison de la déloyauté dont aurait fait preuve l’administration fiscale en ne respectant pas l’obligation d’information.
La Cour d’appel de Paris avait rejeté cet argument en considérant que le RGPD ne s’appliquait pas à l’administration fiscale dans le cadre de son enquête.
Saisie d’un pourvoi, la Cour de cassation devait juger de l’applicabilité du RGPD à la collecte de données litigieuse réalisée par l’administration fiscale.
Les dérogations à l’obligation d’information incombant au responsable de traitement
En vertu des articles 13 et 14 du RGPD, tout responsable de traitement a l’obligation de communiquer aux personnes concernées des informations relatives aux traitements de leurs données personnelles, tels que les finalités du traitement ou les destinataires des données.
Ce principe est assorti d’exceptions, et ce notamment en cas de collecte indirecte des données personnelles comme cela était le cas en l’espèce.
Aussi, dans ce cas, un responsable de traitement peut être dispensé de son obligation d’information lorsque[1] :
- La communication de ces informations exigerait des efforts disproportionnés ou est impossible ;
- La communication de ces informations rendrait impossible ou compromettrait gravement la réalisation des objectifs dudit traitement ;
- L’obtention ou la communication des données est expressément prévue par une loi à laquelle le responsable du traitement est soumis ;
- Une obligation de secret professionnel prévoit que les données personnelles doivent rester confidentielles.
En toute hypothèse, les responsables de traitement peuvent être tenus de communiquer des informations aux personnes concernées qui en font la demande au titre de l’exercice de leur droit d’accès[2], postérieurement à la collecte.
Les limitations au droit de la personne concernée à être informée
Il ressort du RGPD que le législateur européen ou national peut faire varier le degré de transparence exigé du responsable de traitement.
La limitation ainsi établie à l’égard du droit de la personne concernée à être informée doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société, pour garantir des objectifs tels que la défense nationale ou la prévention et la détection d’infractions pénales[3].
Dans la présente affaire, la Cour d’appel a relevé que le RGPD n’était pas applicable. En effet, l’article 2 du RGPD prévoit que le règlement ne s’applique pas aux « traitements de données à caractère personnel effectué : (…) par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuite en la matière ou d’exécution de sanctions pénales… ».
La Cour de cassation, insatisfaite de cette position, a cassé l’ordonnance de la Cour d’appel. Elle a considéré que l’exception, d’interprétation stricte, prévue à l’article 2 du RGPD ne pouvait bénéficier à l’administration fiscale. Le RGPD lui était donc pleinement applicable.
Elle a en conséquence reproché à la Cour d’appel de ne pas avoir vérifié si les conditions de l’exception à l’obligation d’informer les personnes étaient réunies.
La Cour d’appel de renvoi devra juger si les critères d’une dérogation ou d’une limitation sont remplis, et partant apprécier si l’administration fiscale était fondée à ne pas informer les contribuables de la collecte.
Lire l’arrêt de la Cour de cassation du 1er juin 2023 n°21-18.558
[1] Article 14, §4, du RGPD
[2] Article 15 du RGPD
[3] Article 23 du RGPD
