Le fichier ADONIS doublé par le téléservice SVAIR Arr. 8 oct. 2013, traitement automatisé de données à caractère personnel - "service de vérification de l’avis d’impôt sur le revenu"

Un arrêté du 8 octobre 2013 prévoit la création par la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel dénommé "service de vérification de l’avis d’impôt sur le revenu", - lequel n’est pas directement acronymisé SVAIR, comme le fait pourtant la CNIL dans son avis n° 2013-237 du 12 septembre 2013.

.

Le téléservice SVAIR n’a pas été pensé à destination des simples usagers contribuables ; il est institué au profit des "usagers professionnels (organismes sociaux, banques, collectivités locales)" aux fins de « vérification de l’authenticité de l’avis d’impôt sur le revenu ». Il s’entend en complément d’un autre traitement automatisé de données de la Direction générale des finances publiques dit ADONIS qui concerne le compte fiscal des particuliers comme "outil de consultation" offert au contribuable pour connaître de sa situation fiscale ; évidemment, ADONIS est accessible aux agents habilités de la Direction générale des impôts et de la Direction générale de la comptabilité publique.

La CNIL, rappelant que ADONIS a « pour finalité de permettre aux usagers personnes physiques de consulter leur dossier fiscal et de pouvoir en tirer des extraits », prévient que ce traitement permet dorénavant aux usagers de se procurer un document synthétique intitulé « justificatif d’impôt sur le revenu ». Ce nouveau document qui a été prévu pour « répondre aux besoins des organismes (organismes sociaux, banques, collectivités locales), auprès desquels les personnes concernées doivent justifier du montant de leur revenu global, tout en évitant la communication de données confidentielles inutiles pour les démarches et procédures effectuées », est présenté comme une facilité offerte au particulier qui n’aurait plus à solliciter les services fiscaux pour se le procurer. Ainsi, ce "justificatif d’impôt sur le revenu", « accessible en ligne dans l’espace personnel de l’usager, qui peut ainsi le télécharger et l’imprimer » avait nettement pour but de « limiter la justification de leur revenu aux informations strictement nécessaires aux organismes tiers ».

Or, voila que par l’arrêté du 8 octobre 2013, un traitement automatisé de données à caractère personnel dit "service de vérification de l’avis d’impôt sur le revenu" sur internet (SVAIR) a pour effet de donner à certains organismes la possibilité, la faculté, le droit « de vérifier l’authenticité de l’avis d’impôt sur le revenu ou du justificatif d’impôt sur le revenu présenté par les particuliers. » Le temps de la suspicion généralisée sur les comportements et attitudes des particuliers est désormais ancré. Les organismes professionnels et les entreprises échapperaient donc à ce système de présomption de fraude ou de tricherie...

Plus encore, la CNIL remarque que, bien qu’elle ait été saisie à la fin du mois de mai 2013 à propos de ce téléservice dont la mise en service était projetée au mois d’août 2013, c’est sans sans attendre son avis que« le ministère a décidé de mettre en œuvre (...) le traitement [SVAIR] dès le début du mois de septembre, contrevenant ainsi aux dispositions susvisées de la loi n° 78-17 du 6 janvier 1978. » La violation de la procédure doit être relevée tant elle retraduit un mépris du droit de la part des autorités publiques. Sans doute, le besoin de s’assurer des rentrées fiscales le justifiait-il, la pause étant attendue vainement par les ménages contribuables...

L’article 6 de l’arrêté du 8 octobre 2013 annonce que « sont destinataires des données à caractère personnel traitées, à la condition que les particuliers concernés aient au préalable communiqué les éléments nécessaires à l’identification de l’avis d’imposition (numéro fiscal et référence de l’avis d’impôt sur le revenu), les usagers ayant besoin de les connaître et de vérifier leur exactitude dans le cadre de leur activité, notamment les banques, organismes gérant des prestations sociales, bailleurs, collectivités territoriales. » [1] Et l’article 5 de l’arrêté précise que « les données à caractère personnel traitées sont issues de l’application ADONIS ». Le va-et-vient entre ADONIS et SVAIR est conçu dans un but de contrôle et de vérification, il suscite une certaine perplexité dans la mesure où les finalités légales de ces fichiers ne sont pas identiques.

Plusieurs catégories d’usagers sont donc impliquées dans la relation que le téléservice SVAIR organise. Les particuliers sont les contribuables, personnes physiques. Les usagers désignés à l’article 6 sont ceux auxquels les premiers, les particuliers contribuables, sont tenus ou enjoints de fournir leur avis d’imposition. Ces usagers dont il n’est pas directement dit que l’activité en cause devrait être strictement d’ordre professionnel, - les collectivités territoriales ne pouvant exciper d’une telle qualité -, sont signalés dans une liste non exhaustive qui, implicitement, n’empêcherait pas d’autres particuliers de connaître de la situation fiscale de leurs obligés (par exemple, bailleurs...). L’embrouillamini qui pourrait en ressortir ne serait pas des moindres ! La CNIL fait pourtant clairement état de la qualité "professionnelle" des utilisateurs du téléservice SVAIR - tout en relevant qu’il n’est pas précisé à quel titre les collectivités territoriales sont concernées ; mais on peut supposer qu’il s’agirait là de viser, par exemple, leur qualité de "bailleur", ce qui accroît la perplexité quant aux catégories de particuliers, nécessairement contribuables, visées...

La CNIL, dans son avis du 12 septembre 2013, rendu donc après que le ministère ait mis en application le téléservice SVAIR, insiste sur le fait que ce téléservice s’adresse principalement « aux usagers professionnels tels que les organismes sociaux, les banques ou les collectivités territoriales a pour finalité de permettre la vérification de l’authenticité desdits documents qui leur sont présentés. » Elle retient ainsi que « SVAIR permettra aux organismes de vérifier la situation fiscale réelle de l’usager, notamment si l’avis présenté correspond bien à la dernière situation du contribuable, par exemple en cas de taxation corrective, étant observé que les justificatifs ne comportent pas de date d’émission. Par incidence, ce traitement permettra de lutter plus efficacement contre la fraude, notamment vis-à-vis des organismes d’aide et de protection sociale. » Elle relève encore que « SVAIR est un outil de vérification des justificatifs fiscaux susceptible de s’appliquer à tous les citoyens ayant à justifier de leur niveau de revenu auprès d’un organisme. » La présomption de fraude prend racine...

Pour les usagers professionnels, l’ouverture d’un telé service leur permet d’aller directement à la source d’une information qui jusqu’alors exigeait un passage par les services fiscaux. On ne peut plus penser que l’e-administration est construite en vertu d’un souci humaniste, pour l’amélioration des relations entre l’administration et les administrés. L’enjeu est bien d’alléger la tâche des administrations publiques quitte à s’engager dans un cheminement permettant de ’privatiser’ les modes de vérification de l’authenticité des documents administratifs... Ainsi, notant que, tout de même, « le téléservice sera ... homologué sur la base d’une étude des risques », la CNIL émet un souhait : « que lui soient transmis les éléments relatifs à cette étude dans la mesure où ce type de traitement engendre nécessairement des risques pour la vie privée des contribuables, d’autant plus que l’identification des personnes ayant recours à SVAIR n’est pas assurée. »

Encore plus critique, la CNIL alarme quelque peu lorsqu’elle relève que « SVAIR étant en fait un appendice du traitement ADONIS visant à étendre la liste des destinataires pour une catégorie de données correspondant au nouveau justificatif d’impôt, ... les conditions dans lesquelles les contribuables peuvent consulter sur internet leur avis d’imposition ou leur justificatif d’impôt sur les revenus, mis en ligne dans leur espace personnel après s’être identifiés » ne sont pas réellement calibrées.

Cela semble d’autant plus préoccupant. Comme le précise la CNIL, « pour accéder à ce téléservice SVAIR, les usagers professionnels n’auront pas à s’authentifier, ni même à s’identifier, mais devront disposer des deux identifiants du contribuable présents sur l’avis ou le "justificatif d’impôt sur le revenu" pour accéder aux données à vérifier, à savoir le numéro fiscal du déclarant et le numéro de la référence de l’avis d’impôt. Il s’ensuit que toute personne disposant de ces deux numéros pourra accéder directement à SVAIR. » ( !!)

Certes, ainsi que l’arrêté le signal à l’article 3 II in fine, « les connexions effectuées par les usagers destinataires au sens de l’article 6 du présent arrêté font l’objet d’une journalisation qui se traduit par la conservation, pour chaque connexion, des dates, heures et données de la connexion ». Cela concerne l’adresse IP, la requête effectuée, le système d’exploitation et le navigateur. La CNIL signale alors que « les données ne permettent donc pas de connaître directement l’auteur des requêtes ». Ce qui n’est pas sans risques... Elle insiste que le fait que finalement « aucune identification n’étant exigée de la part des organismes, toute personne disposant des deux identifiants requis peut effectuer cette consultation. » [2]

Particuliers, soyez désormais vigilant lorsque vous est demandé un justificatif d’impôt sur le revenu !!

...

Par ailleurs, dans l’arrêté du 8 octobre 2013, certaines des mentions prévues dans le projet dont la CNIL fut saisie ne figurent pas. La mention : « Les données de ce document peuvent être vérifiées directement en ligne sur impots.gouv.fr. » qui devait être apposée sur le justificatif d’impôt sur le revenu n’est pas répercutée. Cette mention semblait peu explicite pour la CNIL qui, bien que le téléservice ait été mis en application avant qu’elle ne rende son avis, suggère de « préciser que la vérification peut être effectuée directement en ligne par l’organisme à qui le justificatif a été remis. » [3]

La particularité d’une administration numérisée n’est pas pour autant de devenir déshumanisée...

...

..

.

Notes :

[1] Les données à caractère personnel enregistrées dans le fichier SVAIR sont énumérées à l’article 3 de l’arrêté.

[2] Dans cette perspective « la commission demande que les organismes professionnels ayant recours à SVAIR, s’identifient au préalable ou se connectent par l’intermédiaire de leur espace en ligne, ce qui donnerait un sens à la conservation des données de connexion. »

[3] « La commission demande donc que les dispositions garantissant une bonne information des usagers souhaitant recourir à la procédure dématérialisée de production du justificatif d’impôt sur le revenu soient effectives. En outre, les usagers contribuables devront être informés de l’utilisation desdits documents à des fins de vérification. »