NOTE DE SYNTHESE

L'adoption, lors de la discussion du projet de loi de finances pour 1999, d'un amendement permettant l'interconnexion des fichiers fiscaux et sociaux à l'aide du numéro de sécurité sociale a relancé dans notre pays le débat sur l'interconnexion des fichiers administratifs.

Confrontés à la même nécessité de lutter contre la fraude -fraude fiscale ou fraude aux prestations sociales- la plupart des pays développés ont également instauré des dispositifs de rapprochement de données.

On a donc analysé la législation applicable aux transferts de données nominatives entre administrations dans plusieurs pays étrangers représentatifs de traditions juridiques différentes : l' Allemagne , les Pays-Bas , le Portugal , le Royaume-Uni , l' Australie et la Nouvelle-Zélande .

Pour chacun de ces six pays, on a étudié les principales dispositions législatives régissant, d'une part, l'attribution d'un identifiant personnel unique et, d'autre part, les transferts de données entre administrations. Toutefois, dans la présente note de synthèse, on a choisi de mettre en évidence comment le rapprochement des données fiscales et sociales était effectué.

L'examen des législations étrangères permet de conclure que le principe général d'interdiction du transfert de données nominatives entre administrations n'empêche pas l'organisation d'opérations de rapprochement des données fiscales et sociales. Si les Pays-Bas et le Portugal sont les seuls pays dont les lois sur la protection des données personnelles ne posent pas le principe général de l'interdiction du transfert des données nominatives entre administrations, en fait, le Portugal est le seul où la loi ne régit pas avec précision le rapprochement des données fiscales et sociales.

1) A l'exception des lois néerlandaise et portugaise, les lois étrangères sur la protection des données personnelles posent le principe de l'interdiction de tout transfert d'informations entre administrations

a) Les lois néerlandaise et portugaise prévoient explicitement l'interconnexion des fichiers administratifs

Aux Pays-Bas, l'article 6a de la loi de 1988 sur les fichiers de données personnelles, qui résulte d'une modification entrée en vigueur le 1 ^er janvier 1996, légitime l'utilisation de numéros personnels d'identification créés par la loi pour fournir des données à des tiers, dans la mesure où cette utilisation est prévue par une loi ou par un règlement d'administration publique.

Dans l'un de ses premiers articles, la loi portugaise de 1998 sur la protection des données personnelles définit l'interconnexion comme la " possibilité de mise en relation de données d'un fichier avec celles d'un ou de plusieurs fichiers qui sont gérés par un autre ou par d'autres responsables ou qui sont gérés par le même responsable, mais dans un autre but ". Plus loin, elle précise qu'une telle opération peut, dans certaines conditions (adéquation avec les objectifs recherchés, garanties pour les particuliers...), être autorisée par une loi ou par la Commission nationale de protection des données.

b) Les autres lois posent le principe de l'interdiction du transfert de données nominatives entre administrations

Cette interdiction est explicite en Australie. Elle est implicite en Allemagne, au Royaume-Uni et en Nouvelle-Zélande.

L'interdiction est explicite en Australie

La loi fédérale de 1988 sur la vie privée énonce les principes que les administrations et les organismes chargés d'une mission de service public doivent respecter lors du traitement des données personnelles. L'un de ces principes interdit aux gestionnaires de fichiers de diffuser les données qu'ils détiennent ou contrôlent.

L'interdiction est implicite en Allemagne, au Royaume-Uni et en Nouvelle-Zélande

En Allemagne et au Royaume-Uni, le principe de finalité, selon lequel les données personnelles ne peuvent être utilisées que pour servir l'objectif qui a justifié leur collecte, fait partie des principes fondamentaux contenus dans la loi générale sur la protection des données nominatives. Or, le respecter signifie interdire le transfert des données nominatives à des tiers.

En Nouvelle-Zélande, le fait que l'information doive être collectée directement auprès de la personne concernée fait partie des principes fondamentaux. Ce principe interdit également le transfert des données nominatives entre gestionnaires de fichiers.

* *

*

Cette interdiction générale n'empêche pas les rapprochements de données, réalisés automatiquement ou non, car les principes susmentionnés sont assortis d'exceptions. C'est ainsi que souvent une loi particulière autorise expressément ce que la loi générale sur la protection des données personnelles interdit.

2) Tous les pays étudiés, sauf le Portugal, ont adopté des dispositions législatives permettant le rapprochement des données fiscales et sociales

En Allemagne, aux Pays-Bas, au Royaume-Uni, en Australie et en Nouvelle-Zélande, des dispositions législatives autorisent le rapprochement des données fiscales et sociales, mais ces opérations sont organisées de façon assez différente dans ces cinq pays.

a) Aux Pays-Bas, plusieurs textes permettent le rapprochement des données fiscales et sociales par l'intermédiaire d'un identifiant personnel

Le rapprochement des données fiscales et sociales est prévu dans différents textes, notamment dans les textes régissant les différentes prestations sociales. Il s'effectue grâce au numéro d'identification sociale et fiscale .

La loi sur les impôts du Royaume le définit ainsi : " le numéro d'identification sociale et fiscale est le numéro sous lequel une personne physique est enregistrée auprès des services fiscaux ; ce numéro sert de numéro d'enregistrement aux assurés sociaux et aux bénéficiaires des prestations sociales pour l'exécution des dispositions relatives à la sécurité sociale ".

Initialement conçu pour les besoins internes de l'administration fiscale, ce numéro a vu son champ d'application s'étendre au domaine des prestations sociales, de sorte qu'actuellement, il est utilisé par exemple par les services sociaux municipaux, les services du ministère du Logement ou l'organisme responsable du financement des études lorsqu'une personne demande une allocation d'aide sociale, une allocation logement ou une bourse d'études. En règle générale, le service qui traite la demande peut, grâce au numéro d'identification sociale et fiscale, vérifier auprès d'autres organismes que les informations fournies par le demandeur correspondent à celles qu'il a données ailleurs.

b) La loi néo-zélandaise sur la protection des données autorise certains rapprochements de données, en particulier celui des données fiscales et sociales

La protection des données personnelles est régie par la loi de 1993 sur la vie privée, qui comporte notamment les règles applicables au rapprochement des données.

En effet, la loi néo-zélandaise autorise certains services administratifs ou organismes chargés d'une mission de service public à rapprocher leurs données. La liste des bénéficiaires de cette mesure est limitative, car elle reprend les services qui avaient été autorisés à effectuer des opérations de rapprochement par voie législative avant l'adoption de la loi de 1993.

Les administrations fiscale et sociale font partie des services autorisés à rapprocher leurs données , et l'un des principaux programmes de rapprochement vise à déterminer les personnes qui ont un emploi rémunéré et qui perçoivent une prestation à laquelle elles n'ont pas droit.

La loi de 1993, qui interdit l'attribution d'un numéro d'identification universel, n'exclut pas l'utilisation des numéros d'identification pour réaliser des opérations de rapprochement.

La loi soumet les services qui réalisent entre eux des opérations de rapprochement à des contraintes sévères : ils doivent conclure un accord écrit fixant les modalités du transfert de données, et tout programme de rapprochement doit faire l'objet d'un protocole très détaillé. Ils ne peuvent conserver les données communiquées plus de soixante jours, à moins qu'une anomalie n'ait été détectée et qu'une mesure de correction ne doive être prise.

La loi veille également à respecter les droits des particuliers , qui doivent être informés de la réalisation de telles opérations, par des campagnes d'information radiotélévisées par exemple. De plus, les anomalies détectées doivent leur être communiquées par lettre et, pendant un délai de cinq jours permettant aux personnes mises en cause de fournir des explications, aucune action ne peut être entreprise.

Le Commissaire à la vie privée , qui est l'organisme qui veille au respect de la loi sur la protection des données personnelles, contrôle étroitement les opérations de rapprochement : il reçoit copie des accords fixant les conditions des échanges d'informations, ainsi que des protocoles des programmes de rapprochement. Il peut demander aux services réalisant de tels programmes des informations très précises sur les opérations entreprises, et il doit consacrer une partie de son rapport annuel à cette question.

c) Des lois spécifiques régissent le rapprochement des données fiscales et sociales en Allemagne, au Royaume-Uni et en Australie

Le code social allemand autorise les organismes de sécurité sociale à transmettre les données personnelles qu'ils gèrent dans plusieurs cas limitativement énumérés, parmi lesquels " l'accomplissement d'une obligation légale consistant à fournir des informations ", notamment lorsque celles-ci permettent de " garantir le recouvrement de l'impôt ".

En Australie, la loi de 1990 sur le rapprochement des données fiscales et sociales autorise les échanges de données entre l'administration fiscale et les organismes attribuant des prestations sociales, le rapprochement de ces données entre elles et la communication des résultats de ce rapprochement à l'administration qui a fourni les données. La loi de 1990 décrit très précisément les différentes étapes des opérations de rapprochement et, tout comme la loi néo-zélandaise, les conditions dans lesquelles elles se déroulent. La loi de 1990 s'applique aux seules interconnexions effectuées par l'intermédiaire du numéro d'identification fiscale .

Les autres sont régies par les directives du Commissaire à la vie privée , qui, juridiquement, n'ont aucune valeur contraignante. Ces directives insistent sur le fait que seul l'intérêt public peut justifier des opérations de rapprochement et énumèrent les obligations que les responsables de ces opérations doivent respecter (information détaillée du Commissaire à la vie privée, durée de conservation limitée des données transmises, information des personnes concernées...). Elles sont en particulier utilisées lorsque, sur la base de la loi sur l'assiette de l'impôt sur le revenu, l'administration fiscale fournit des informations au ministère de la Sécurité sociale pour lui permettre d'appliquer la loi sur les pensions et prestations.

A l'image de l'Australie, le Royaume-Uni a adopté en 1997 la loi relative à l'administration de la sécurité sociale en matière de fraude , qui légitime certains flux d'informations entre administrations, dans la mesure où ils sont organisés dans le but de lutter contre la fraude . La loi autorise notamment l'administration fiscale à fournir des données personnelles aux administrations chargées de la gestion des cotisations et des prestations sociales lorsque le transfert est justifié par : la prévention, la détection, l'examen ou la poursuite des infractions relatives à la sécurité sociale, ou la vérification de l'exactitude des informations fournies par les assurés.

La loi a été complétée par un code de bonne conduite du ministère de la Sécurité sociale , qui précise notamment les durées de conservation des données transférées.

* *

*

Parmi les six pays étudiés, le Portugal est le seul qui n'ait jusqu'à maintenant pas adopté de dispositions législatives définissant précisément les possibilités de rapprochement des données fiscales et des données sociales.