LOI n° 2019-1479 du 28 décembre 2019 de finances pour 2020 (1) - Article 154

I. - A titre expérimental et pour une durée de trois ans, pour les besoins de la recherche des manquements et infractions mentionnés au [Dispositions déclarées non conformes à la Constitution par la décision du Conseil constitutionnel n° 2019-796 DC du 27 décembre 2019.] c du 1 de l'article 1728, à l'article 1729 découlant d'un manquement aux règles fixées à l'article 4 B, à l'article 1791 ter, aux 3°, 8° et 10° de l'article 1810 du code général des impôts ainsi qu'aux articles 414, 414-2 et 415 du code des douanes, l'administration fiscale et l'administration des douanes et droits indirects peuvent, chacune pour ce qui la concerne, collecter et exploiter au moyen de traitements informatisés et automatisés n'utilisant aucun système de reconnaissance faciale les contenus, librement accessibles sur les sites internet des opérateurs de plateforme en ligne mentionnés au 2° du I de l'article L. 111-7 du code de la consommation, manifestement rendus publics par leurs utilisateurs.
Les traitements mentionnés au premier alinéa du présent I sont mis en œuvre par des agents de l'administration fiscale et de l'administration des douanes et des droits indirects ayant au moins le grade de contrôleur et spécialement habilités par le directeur général. Les données à caractère personnel mentionnées au même premier alinéa ne peuvent faire l'objet d'une opération de collecte, de traitement et de conservation de la part d'un sous-traitant, à l'exception de la conception des outils de traitement des données.
Les données sensibles, au sens du I de l'article 6 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et les autres données manifestement sans lien avec les infractions mentionnées au premier alinéa du présent I sont détruites au plus tard cinq jours ouvrés après leur collecte.
Lorsqu'elles sont de nature à concourir à la constatation des manquements et infractions mentionnés au même premier alinéa, les données collectées strictement nécessaires sont conservées pour une période maximale d'un an à compter de leur collecte et sont détruites à l'issue de cette période. Toutefois, lorsqu'elles sont utilisées dans le cadre d'une procédure pénale, fiscale ou douanière, ces données peuvent être conservées jusqu'au terme de la procédure.
Les autres données sont détruites dans un délai maximum de trente jours à compter de leur collecte.
Lorsque les traitements réalisés permettent d'établir qu'il existe des indices qu'une personne a pu commettre un des manquements énumérés au premier alinéa du présent article, les données collectées sont transmises au service compétent de l'administration fiscale ou de l'administration des douanes et droits indirects pour corroboration et enrichissement.
Ces données ne peuvent être opposées à cette personne que dans le cadre d'une procédure de contrôle mentionnée au titre II du code des douanes ou au chapitre premier du titre II de la première partie du livre des procédures fiscales.
Le droit d'accès aux informations collectées s'exerce auprès du service d'affectation des agents habilités à mettre en œuvre les traitements mentionnés au deuxième alinéa du présent I dans les conditions prévues par l'article 105 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Le droit d'opposition prévu à l'article 110 de la même loi ne s'applique pas aux traitements mentionnés au deuxième alinéa du présent I.
Les modalités d'application du présent I sont fixées par décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés. Ce décret précise les conditions dans lesquelles la mise en œuvre des traitements mentionnés au premier alinéa du présent I est, à toutes les étapes de celle-ci, proportionnée aux finalités poursuivies. Il précise également en quoi les données sont adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est strictement nécessaire.
II. - L'expérimentation prévue au I fait l'objet d'une analyse d'impact relative à la protection des données à caractère personnel dont les résultats sont transmis à la Commission nationale de l'informatique et des libertés, dans les conditions prévues à l'article 62 de la loi n° 78-17 du 6 janvier 1978 précitée.
III. - L'expérimentation prévue au I du présent article fait l'objet d'une première évaluation dont les résultats sont transmis au Parlement ainsi qu'à la Commission nationale de l'informatique et des libertés au plus tard dix-huit mois avant son terme.
Un bilan définitif de l'expérimentation est transmis au Parlement ainsi qu'à la Commission nationale de l'informatique et des libertés au plus tard six mois avant son terme.