De quoi s’agit-il?
Par le biais d’une demande d’information, l’administration fiscale peut demander des informations à un contribuable ou à un tiers. Dans de nombreux cas, l’administration fiscale demande également des données à caractère personnel. C’est le cas, par exemple, des enquêtes sur les actions qui sont généralement attribuées par des multinationales à certains collaborateurs. En effet, habituellement, l’administration fiscale envoie d’abord une demande d’information à l’entreprise, demandant une liste de tous les membres du personnel qui ont reçu des primes, des stock-options, des RSU…..
Cependant, les données qui permettent d’identifier une personne physique sont considérées comme des « données à caractère personnel ». Le traitement de ces données à caractère personnel est soumis, entre autres, aux dispositions du RGPD (Règlement général sur la protection des données). Les entreprises ne peuvent traiter sans plus ces données et les transmettre aux autorités fiscales, mais doivent se conformer à des obligations strictes.
Les violations de ces obligations peuvent entraîner des amendes importantes ou d’autres pénalités.
Cour de justice
La problématique de la demande de données à caractère personnel dans le cadre d’une enquête fiscale a récemment été soulevée dans un litige préliminaire devant la Cour de justice (CJUE 24 février 2022, C-175/20).
La discussion a porté sur un cas letton, dans lequel une société de publicité sur Internet a été invitée par les autorités fiscales lettones à fournir des informations concernant les véhicules vendus par le biais de son site Web (numéros de châssis, modèle, prix) et les numéros de téléphone des vendeurs. L’accès à ces informations devait être autorisé indéfiniment dans le temps.
Le contribuable s’y est opposé, après quoi l’affaire a finalement atteint la Cour de justice (CJUE). La CJUE devait se prononcer sur la conformité de la demande de l’administration fiscale aux obligations notamment du RGPD.
La CJE a d’abord confirmé qu’une demande de communication de données à caractère personnel émanant de l’administration fiscale entre bien dans le champ d’application du RGPD. La collecte, le stockage et la communication des données demandées impliquent à chaque fois un « traitement » par le contribuable.
La CJUE fournit ensuite quelques critères pour évaluer si ce traitement est conforme aux principes du RGPD:
- Les finalités du traitement doivent être connues au plus tard au moment de la collecte des données à caractère personnel. Ainsi, la CJE déclare que si la fourniture des données à caractère personnel n’est pas fondée sur une disposition légale, mais découle d’une demande de l’administration fiscale (telle qu’une demande d’information), alors cette demande doit décrire les finalités spécifiques de la collecte des données;
- Les données à caractère personnel demandées par l’administration fiscale doivent être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités pour lesquelles elles sont traitées. On n’est donc pas autorisé à demander toutes sortes de données à caractère personnel sans poser de questions. L’administration fiscale doit être en mesure de démontrer qu’elle a essayé de limiter autant que possible la quantité de données à caractère personnel;
- Le contribuable doit s’assurer que la demande de transmission des données à caractère personnel est légale. Mais la charge de la preuve à cet égard incombe au responsable du traitement, à savoir l’administration fiscale.
En principe, si les obligations légales du contribuable l’empêchent de fournir les données à caractère personnel demandées à l’administration fiscale, ce refus ne peut être sanctionné.
C’est ce qui ressort de la jurisprudence récente.
Par exemple, le tribunal de première instance de Bruxelles a récemment annulé une amende administrative imposée par le BBI à un fournisseur de télécommunications qui avait refusé de fournir certaines données à caractère personnel (Tr. Bruxelles 17 juin 2022, 2020/3775/A). Et aussi le tribunal de première instance d’Anvers, division Anvers l’a déjà confirmé à l’égard d’un prestataire de services de paiement (Tr. Anvers 2 février 2018, 17/1638/A).
Néanmoins, il est conseillé de traiter ces demandes avec prudence et en prenant position!
Principaux points à retenir
Lorsque les entreprises font face à une demande de l’administration fiscale de divulguer des données à caractère personnel, il est très important de vérifier si la demande est conforme aux obligations du RGPD. Les finalités du traitement doivent être claires. En outre, les données à caractère personnel demandées doivent être limitées à ce qui est nécessaire et pertinent.
Les données communiquées sans vérification de la validité du traitement peuvent mettre en cause la responsabilité de l’entreprise!
Si vous avez des questions ou si vous êtes pour le moment confronté à une enquête fiscale, n’hésitez pas à prendre contact avec Luk Cassimon (luk.cassimon@monardlaw.be, 0472/437.847), Wylma Gashi (wylma.gashi@monardlaw.be, 0487/954.038) ou votre personne de contact habituelle chez Monard Law.
