[Focus] La numérisation des contrôles fiscaux, une utilisation croissante des algorithmes

Mots-clés : contrôle fiscal • fraude fiscale • data mining • algorithmes

La lutte contre l’évasion et la fraude fiscale est devenue un enjeu majeur de souveraineté et de redressement des comptes publics, et constitue une priorité de l’action publique. Les scandales financiers tels les Panama Papers ou plus récemment les Pandora Papiers ne font qu’alimenter cette nécessité de lutter contre l’évasion et la fraude fiscale. L’annexe du projet de loi de finances pour 2021 relatif à la lutte contre la fraude fiscale dispose en ce sens que « l'objectif d'amélioration de l'efficacité de la lutte contre la fraude s’appuie […] sur la détection des comportements frauduleux et le ciblage de plus en plus efficace des opérations de contrôle, le renforcement de l’approche judiciaire des fraudes, le développement des moyens consacrés à la lutte contre certaines formes de fraude, en particulier la fraude internationale, et l’amélioration du recouvrement suite à contrôle fiscal » [1].

L’administration fiscale a donc pour objectif de détecter plus efficacement les incohérences déclaratives mais aussi d’exploiter les informations des différentes sources pour mieux cibler les affaires. Elle utilise ainsi pleinement les nouvelles potentialités de l’exploitation des données, et notamment le data mining qu’elle souhaite par ailleurs optimiser [2].

Afin de mieux cibler ces opérations de contrôle, la Direction générale des finances publiques dispose désormais « d’un outil d’analyse des données non structurées (text-mining) » en plus de développer « l’exploitation des données, toujours enrichies (ex. : données des plateformes d’échanges, des réseaux sociaux), ou d’informations acquises auprès d’entreprises privées (dans le respect du règlement général sur la protection des données RGPD), ou a recours à des data-scientists » [3].

Rappelons que le data mining est le procédé permettant de trouver des corrélations ou des patterns entre de nombreuses bases de données. Il repose sur des algorithmes complexes et sophistiqués permettant de segmenter les données et d’évaluer les probabilités futures [4]. Si le terme est récent, la technologie ne l’est pas puisque l’analyse des données s’est développée en parallèle du développement du numérique, de l’informatique et des réseaux.

La délégation nationale à la lutte contre la fraude (DNLF) le définit en 2014 comme « une démarche méthodologique rigoureuse développée en vue de révéler de l’information contenue dans les systèmes d’information, en mettant en exergue d’éventuelles corrélations significatives entre les données observées » [5]. Le data mining se compose dès lors pour l’administration fiscale d’un « ensemble de techniques relevant du domaine des statistiques et des mathématiques permettant, à partir d'un important volume de données, d’extraire des informations visant à améliorer la connaissance des […] comportements de fraude […] et permettre d’engager des actions adaptées à l’objectif poursuivi [de] lutte contre la fraude » [6]. Le data mining permet ainsi de faire parler l’information en établissant des liens et corrélations entre les données observées [7]. Deux cas de figure peuvent alors se présenter : soit la recherche de critères discriminants de fraude en l’absence d’historique de cas détectés ; soit il y a déjà un contexte avec des informations relatives à des cas de fraude déjà identifiés.

Différentes étapes doivent être respectées dans une démarche de data mining. Tout d’abord, la cible à atteindre doit être définie, ainsi que le périmètre. Ensuite les données doivent être fiabilisées. Il convient ensuite de procéder à une déclaration auprès de la CNIL. L’efficacité du data mining est conditionnée par la qualité des données collectées, mais aussi par l’identification des compétences à mobiliser ainsi que par l’exhaustivité des contrôles menés. L’un des objectifs principaux du recours au data mining est donc de permettre une exploitation « de plus en plus fine » [8] des données collectées afin de permettre un ciblage plus efficace des contrôles fiscaux à initier. Le data mining est ainsi une « discipline qui se situe au croisement de l’étude statistique et de l’intelligence artificielle » [9]. Appliqué à la matière fiscale, il vise à identifier des caractéristiques de fraudes complexes pour rétablir une certaine équité fiscale. À partir des données, l’algorithme va calculer la probabilité qu’un dossier comporte un risque de fraude et « l’outil va ainsi se perfectionner au fil du temps en mettant en relation les dossiers désignés avec les motifs de rehaussement opérés » [10].

Dès 2013, l’administration fiscale s’est engagée à moderniser des contrôles fiscaux à travers la Mission Requête et Valorisation. La première expérimentation menée par cette mission a été mise en place dès 2014 avec le ciblage de la fraude et valorisation des requêtes (CFVR) [11]. Ce programme a pour objectif d’améliorer l’efficacité des opérations de contrôle fiscal grâce à l’introduction de méthodes d’analyses modernes des données [12], et vise ainsi à détecter la fraude à la TVA. L’expérimentation a ensuite été étendue en 2017 à la recherche des fraudes perpétrées par les particuliers. Dans la continuité, la loi de finances pour 2020 [13] permet à l’administration fiscale et aux douanes d’investiguer et d’exploiter les données recueillies sur les réseaux sociaux et les plateformes en ligne de vente ou d’échanges de biens et services. Les conditions d’application de la mesure seront néanmoins précisées plus d’un an plus tard dans un décret publié le 13 février 2021 [14] après avis de la Commission nationale de l'informatique et des libertés (CNIL) [15]. Les contrôles sont désormais mieux ciblés grâce à l’utilisation de ses nouvelles modalités d’exploitation des données et des méthodes d’analyse prédictive. L’optimisation du contrôle fiscal provient à la fois du recours à l’intelligence artificielle, mais aussi en raison du développement du datamining. Ces techniques « basées sur le recoupement de données, l’analyse statistique et l’apprentissage automatique permettent un traitement optimal du volume et de la masse des données détenues par la DGFiP » [16]. Le traitement automatisé des données envisagées devrait notamment « détecter plus facilement les fausses domiciliations à l’étranger de personnes physiques » [17]. En 2019, 22 % des contrôles fiscaux ont été programmés en utilisant des méthodes d’analyse des données. Ce sont ainsi 100 000 dossiers issus du ciblage qui ont été adressés aux services opérationnels de contrôle fiscal [18]. Le recours au data mining a ainsi permis de rapporter près de 785 millions d’euros en 2019 [19], et 794 millions d’euros de droits et pénalités en 2020 [20]. Il est d’ailleurs intéressant de constater que si les montants ont peu évolué entre 2019 et 2020, la part des contrôles ciblés par Intelligence Artificielle (IA) et data mining [CF-51] soit quant à elle passée de 21,95 % à 32,49 % [21]. Dorénavant, près d’un contrôle sur trois est donc ciblé par l’intelligence artificielle ou le data mining. Ce développement du recours au numérique est pleinement souhaité par l’administration fiscale qui rappelle par ailleurs dans sa lettre interne que « la montée en puissance des contrôles ciblés par le data mining reposera par ailleurs, en 2021 et 2022, sur l’exploitation accrue des données extérieures aux déclarations fiscales afin d’avoir une vision plus globale des entreprises et des particuliers qui prenne en compte les éléments de contexte (patrimoine et comportement des dirigeants, antécédents fiscaux ...) » [22]. Afin de faciliter l’exploitation des données recueillies sur les plateformes collaboratives et les réseaux sociaux, il est notamment prévu une transformation du système d’information relatif à l’administration fiscale à travers notamment la mise en œuvre du projet PILAT (Pilotage et analyse du contrôle). Ce projet a pour objet d’aider les agents « à mieux cibler la fraude et à automatiser les travaux de suivi en améliorant les interfaces entre les nombreuses applications numériques dédiées au contrôle fiscal » [23]. Ce projet vise ainsi à « décloisonner les bases de données de l'ensemble des acteurs impliqués dans le recouvrement et dans le contrôle de la fraude » et vient dès lors compléter le projet CFRV. Ces changements actent par conséquent la « transformation profonde et pérenne du contrôle fiscal français dans ses formes, sa nature et du paradigme dans lequel il s’insère » [24].

Force est de constater qu’à travers le développement des algorithmes et du numérique, on assiste à une réelle numérisation des contrôles fiscaux. Avec la numérisation, les informations d’un support sont converties en données numériques qui pourront ensuite être traitées par des dispositifs informatiques. L’article 154 de la loi de finances pour 2020 [25], qui autorise les administrations fiscale et douanière à collecter automatiquement des données personnelles sur les réseaux sociaux, concerne, de manière limitative, la détection des fraudes les plus graves. Elle illustre ainsi comment les administrations fiscales et douanières ont franchi une étape supplémentaire dans la numérisation des contrôles. Cette numérisation des contrôles fiscaux n’est cependant pas sans limites puisque l’utilisation des algorithmes est encadrée (I), mais aussi limitée (II).

I. La numérisation des contrôles fiscaux, une utilisation encadrée

L’utilisation des données personnelles recueillies par l’administration fiscale est encadrée tant dans son champ d’application (A) que dans sa mise en œuvre (B).

A. Un champ d’application strictement défini

L’encadrement de cette expérimentation a été clairement déterminé puisque l'administration fiscale et l'administration des douanes et droits indirects peuvent, chacune pour ce qui la concerne, collecter et exploiter au moyen de traitements informatisés et automatisés n'utilisant aucun système de reconnaissance faciale les contenus, librement accessibles sur les sites internet des opérateurs de plateforme en ligne, manifestement rendus publics par leurs utilisateurs. Sont concerné ici toute personne physique ou morale proposant, à titre professionnel, de manière rémunérée ou non, un service de communication au public en ligne reposant sur la mise en relation de plusieurs parties en vue de la vente d'un bien, de la fourniture d'un service ou de l'échange ou du partage d'un contenu, d'un bien ou d'un service.

Il n’est ainsi permis que l’exploitation des seuls contenus rendus publics. Sont donc visés les réseaux sociaux (Facebook, Instagram, Twitter, LinkedIn), les sites de vente en ligne (Leboncoin, Vinted, eBay) ainsi que les plateformes d’échange de services (Blablacar, Airbnb, Allovoisins, Jwebi….) [26]. La collecte des contenus librement accessibles et manifestement rendus publics sur les sites ne concerne toutefois que les contenus « se rapportant à la personne qui les a délibérément divulgués et dont l'accès ne nécessite ni saisie d'un mot de passe ni inscription sur le site en cause peuvent être collectés et exploités ». Le décret du 11 février 2021 précise d’ailleurs que la collecte de ces contenus « au moyen d'identités d'emprunt ou de comptes spécialement utilisés à cet effet par l'une des administrations [fiscale ou douanière] est prohibée, sous la seule réserve de la création de comptes destinés à être utilisés par l'intermédiaire d'interfaces de programmation mises à disposition par les opérateurs de plateforme ». Il est également précisé que « lorsque la personne est titulaire sur internet d'une page personnelle permettant le dépôt de commentaires ou toute autre forme d'interactions avec des tiers, ces commentaires et interactions ne peuvent faire l'objet d'aucune exploitation ».

B. Une mise en œuvre délimitée

L’article 154 de la loi de finances pour 2020 dispose notamment que l’expérimentation mise en place est prévue pour une durée de 3 ans. Elle fera ensuite l’objet « d’une analyse d'impact relative à la protection des données à caractère personnel dont les résultats sont transmis à la Commission nationale de l'informatique et des libertés » ainsi que d’une « première évaluation dont les résultats sont transmis au Parlement ainsi qu'à la Commission nationale de l'informatique et des libertés au plus tard dix-huit mois avant son terme ». Il est également prévu qu’un bilan définitif de l'expérimentation soit transmis au Parlement ainsi qu'à CNIL au plus tard six mois avant son terme. Le Conseil constitutionnel dispose par ailleurs que « pour apprécier s'il convient de pérenniser le dispositif expérimental en cause au terme du délai de trois ans fixé par la loi, il appartiendra au législateur de tirer les conséquences de l'évaluation de ce dispositif et, en particulier, au regard des atteintes portées aux droits et libertés précités et du respect des garanties précitées, de tenir compte de son efficacité dans la lutte contre la fraude et l'évasion fiscales ». De plus, « à la lumière de cette évaluation, la conformité à la Constitution de ce dispositif pourra alors de nouveau être examinée » [27].

Le déroulement de l’expérimentation est précisé dans le décret du 11 février 2021 qui dispose qu’elle se déroulera en deux temps. Tout d’abord, est mise en place une « phrase d’apprentissage et de conception » qui permettra à l’administration « de développer des outils de collecte et d'analyse des données et d'identifier des indicateurs qui ne sont pas des données à caractère personnel, tels que des mots-clés, des ratios ou encore des indications de dates et de lieux, caractérisant les manquements et infractions recherchés, ainsi que les modélisations de détection des activités frauduleuses ». Dans un second temps, les outils de traitement seront utilisés dans une phase d’exploitation qui est constituée par la collecte et la sélection des données pertinentes, puis leur transfert éventuel pour analyse, auprès du service des impôts compétents.

Les données concernées sont donc non seulement limitées, mais leur exploitation est également encadrée. Si le développement des outils technologiques est indispensable pour permettre aux services, administrations et directions de traiter l’ensemble des données qu’ils reçoivent et de détecter les fraudes les plus complexes, le ratio de rentabilité reste bien moindre pour les contrôles ciblés par intelligence artificielle ou datamining et ayant donné lieu à rectification [28]. L’utilisation des données numériques recueillies est limitée.

II. La numérisation des contrôles fiscaux, une utilisation limitée

L’utilisation des données collectées est limitée au regard de leur exploitation (A), mais aussi en raison de la protection même de ces données (B).

A. Une limitation dans l’exploitation des données

Il n’y a pour l’instant pas de traitement automatisé du contrôle fiscal. Les traitements ne peuvent effectivement être « réalisés que par des agents de la direction générale des finances publiques ayant au moins le grade de contrôleur, individuellement désignés et spécialement habilités par le directeur général des finances publiques » [29].

De plus, les traitements de collecte et de recherche des données pertinentes sont retracés dans un journal recensant les opérations de collecte, de modification, de consultation, de communication, d'interconnexion et d'effacement des données. Les journaux des opérations de consultation et de communication permettent d'établir le motif, la date et l'heure de celles-ci et, l'identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l'identité des destinataires de ces données à caractère personnel. Les journaux contiennent les références des bases de données et variables consultées et la nature des requêtes effectuées. Les informations des journaux sont conservées pendant une durée d'un an.

Chaque trimestre, un ou plusieurs agents s’assurent, au moyen des outils de traçabilité, que seuls les agents spécialement habilités consultent et réalisent les traitements. Ils s'assurent également, au moyen d'outils spécifiques développés en ce sens, que seules les données strictement nécessaires à la recherche des manquements et infractions visées sont collectées et traitées.

Lorsque les traitements réalisés permettent d'établir qu'il existe des indices qu'une personne ait pu commettre un des manquements ou infractions recherchés, les informations traitées sont transmises de manière sécurisée et contrôlée aux seuls agents des services de la Direction générale des Finances publiques ou de la direction générale des douanes et des droits indirects chargés de la recherche et du contrôle qui sont territorialement compétents. Ces informations, qui se limitent aux renseignements strictement utiles à la mission de ces agents et dans la limite de leur besoin d'en connaître, précisent la personne physique ou morale visée, les infractions ou manquements détectés, et le ou les indices de nature à concourir à leur constatation. Les renseignements ainsi recueillis ne peuvent être opposés au contribuable que dans le cadre d'une procédure de contrôle fiscal ou douanier [30].

Un droit d’accès aux informations collectées peut être exercé auprès du service dont dépendant les agents habilités. L’article 11 du décret du 11 février 2021 prévoit toutefois expressément que le droit d’opposition ne s’applique pas aux traitements proprement dits. Il serait en effet contraire à l’objectif de lutte contre la fraude fiscale de permettre aux contribuables de s’opposer à la collecte d’informations les concernant.

Quant à la durée de conservation des données, elle dépend de leur nature et de leur utilisation. Les données sensibles et les autres données manifestement sans lien avec les infractions visées (les activités commerciales occultes, les domiciliations fiscales frauduleuses, les activités illicites) sont détruites au plus tard cinq jours ouvrés après leur collecte. En vertu de l’article 8 du décret du 11 février 2021, lorsqu'elles sont de nature à concourir à la constatation des manquements et infractions mentionnés précédemment, les données collectées strictement nécessaires sont conservées pour une période maximale d'un an à compter de leur collecte et sont détruites à l'issue de cette période. Toutefois, lorsqu'elles sont utilisées dans le cadre d'une procédure pénale, fiscale ou douanière, ces données peuvent être conservées jusqu'au terme de la procédure. Les autres données sont détruites dans un délai maximum de trente jours à compter de leur collecte.

Rappelons qu’est entendu par données sensibles, « celles qui révèlent la prétendue origine raciale ou l’origine ethnique, les options politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne ; les données génétiques et biométriques et celles concernant la santé ou la vie ou l’orientation sexuelle » [31]. Elles ne peuvent faire l’objet d’aucune exploitation.

Le data mining s’inscrit pleinement comme un outil supplémentaire utilisé par l’administration pour détecter, identifier la fraude fiscale. S’il s’agit là des mises en œuvre les plus connues, certaines utilisations du data mining sont moins transparentes. Pour lutter contre la fraude, le fisc a signé un partenariat avec la société américaine de conseil informatique Accenture. Les Alpes-Maritimes, la Charente-Maritime et la Drôme ont expérimenté ce logiciel qui repère les anomalies fiscales en croisant les déclarations des contribuables, les vues aériennes et les plans de cadastre [32].

B. L’expression d’une conciliation constitutionnelle équilibrée

La numérisation des contrôles fiscaux amène le Conseil constitutionnel a opéré une conciliation constitutionnelle entre la lutte contre la fraude et l’évasion fiscale et d’autres droits à valeur constitutionnelle comme le droit à la vie privée, la liberté d’expression et de communication.

La fraude fiscale se définit comme la méconnaissance volontaire par le contribuable de ses obligations fiscales tandis que l’évasion correspond plus généralement à « l’ensemble des comportements qu’ils soient légaux ou non, visant la minoration de l’impôt dû » [33]. La lutte contre la fraude et celle contre l’évasion fiscale ont toutes deux étés érigées en objectifs de valeur constitutionnelle, et ceci dès 1983 [34] pour la première, en 2010 pour la seconde [35]. Depuis 2011, il se réfère régulièrement à l’objectif de valeur constitutionnelle de lutte contre la fraude et l’évasion fiscale [36].

Cet objectif à valeur constitutionnelle de lutte contre la fraude et l’évasion fiscale doit néanmoins être concilié avec d’autres droits et libertés fondamentaux, notamment avec le droit au respect de la vie privée [37] qui découle de l’article 2 de la Déclaration des droits de l’Homme et du citoyen de 1789 [38]. Il appartient en effet au législateur d’assurer « la conciliation entre le respect de la vie privée et d’autres exigences constitutionnelles, telles que la recherche des auteurs d’infractions et la prévention d’atteintes à l’ordre public » [39].

Le Conseil constitutionnel a ainsi déjà pu se prononcer sur des dispositions instituant des traitements de données à caractère personnel. Dans la décision n°2012-652 DC, il a précisé la nature du contrôle exercé en la matière en affirmant que « la liberté proclamée par l’article 2 de la Déclaration des droits de l’homme et du citoyen de 1789 implique le droit au respect de la vie privée ; […] par suite, la collecte, l’enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d’intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif » [40].

Quant à la protection constitutionnelle de la liberté d’expression et de communication, elle se fonde sur l’article 11 de la Déclaration des droits de l’Homme et du citoyen de 1789 [41]. Dans sa décision n° 84-181 DC du 11 octobre 1984, le Conseil constitutionnel a jugé qu’il s’agissait d’« une liberté fondamentale, d’autant plus précieuse que son exercice est l’une des garanties essentielles du respect des autres droits et libertés et de la souveraineté nationale » [42].

Concernant l’article 154 de la loi de finances pour 2020, le Conseil constitutionnel a donc confronté les dispositions aux exigences qui s’attachent au respect de la vie privée et de la liberté d’expression et de communication. Il a ainsi caractérisé les atteintes portées à ces exigences constitutionnelles, puis il a identifié les finalités poursuivies avant d’examiner en dernier lieu les différentes conditions et garanties prévues par la loi de nature à limiter les atteintes portées aux exigences constitutionnelles. Ce contrôle complet lui a permis d’affirmer que le législateur a « assorti le dispositif critiqué de garanties propres à assurer, entre le droit au respect de la vie privée et l’objectif de valeur constitutionnelle de lutte contre la fraude et l’évasion fiscales, une conciliation qui n’est pas déséquilibrée ». Pour les mêmes motifs, il a jugé que l’atteinte à l’exercice de la liberté d’expression et de communication était nécessaire, adaptée et proportionnée aux objectifs poursuivis.

Le Conseil constitutionnel est cependant venu limiter davantage l’utilisation qui pouvait être faite des données ainsi collectées. S’il a validé pour l’essentiel la collecte expérimentale de données sur les réseaux sociaux par l’administration fiscale [43], il a toutefois censuré la possibilité pour l’administration d’utiliser ces données pour la recherche du défaut ou retard de production d’une déclaration fiscale dans les trente jours suivant la réception d’une mise en demeure. Il juge en effet que « dans une telle situation, l'administration, qui a mis en demeure le contribuable de produire sa déclaration, a déjà connaissance d'une infraction à la loi fiscale, sans avoir besoin de recourir au dispositif automatisé de collecte de données personnelles. Dès lors, en permettant la mise en œuvre d'un tel dispositif pour la simple recherche de ce manquement, les dispositions contestées portent au droit au respect de la vie privée et à la liberté d'expression et de communication une atteinte qui ne peut être regardée comme proportionnée au but poursuivi » [44]. Le dispositif est donc conforme à la Constitution en l’état actuel des choses. Néanmoins le Conseil constitutionnel a tout de même rappelé que la pérennisation d’un tel dispositif est susceptible de faire l’objet d’un contrôle de constitutionnalité, sans que puisse s’y opposer l’autorité de chose jugée attachée à la décision commentée.

© Reproduction interdite, sauf autorisation écrite préalable