Cour de cassation, comm, 1 juin 2023 — n° 21-18.558

Faits et procédure 1. Selon l'ordonnance attaquée, rendue par le premier président d'une cour d'appel (Paris, 9 juin 2021), un juge des libertés et de la détention (JLD) a, sur le fondement de l'article L. 16 B du livre des procédures fiscales, autorisé des agents de l'administration fiscale à effectuer des opérations de visite et saisies dans divers locaux situés à Paris, susceptibles d'être occupés par diverses personnes physiques et morales, dont la société de droit luxembourgeois FHF International (la société FHF) et/ou toutes entités contrôlées par le groupe informel FHF, en vue de rechercher la preuve de fraudes fiscales commises par la société FHF. 2. Les opérations de visite et saisies se sont déroulées le 14 novembre 2019.

Réponse de la Cour Vu l'article 2 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le RGPD), et l'article L. 16 B du livre des procédures fiscales : 5. Selon le paragraphe 1er de l'article 2 du RGPD, ce règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. 6. Selon le paragraphe 2, le RGPD ne s'applique pas au traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces. 7. La Cour de justice de l'Union européenne juge que les exceptions au champ d'application du RGPD, tel que défini à son article 2, paragraphe 1, doivent recevoir une interprétation stricte (arrêts des 16 juillet 2020, Facebook Ireland et Schrems, C-311/18, point 84, 24 février 2022, Valsts ienemumu dienests, C-175/20, points 40 à 42, 8 décembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet, C-180-2, points 73 et 74). 8. Sous l'empire de la directive 95/46 du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le RGPD, qui prévoyait, en son article 3, paragraphe 2, que les traitements de données à caractère personnel ayant pour objet la sécurité publique, la défense, la sûreté de l'État et les activités de l'État relatives à des domaines du droit pénal étaient exclus du champ d'application de la directive, la Cour de justice a retenu qu'un traitement de données créé par l'administration fiscale pour recenser les dirigeants fictifs de sociétés relevait des règles fixées par cette directive, après avoir souligné que, « même s'il n'apparaît pas exclu que lesdites données puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d'infraction dans le domaine fiscal, contre certaines personnes dont les noms figurent sur la liste litigieuse, les données en cause au principal n'apparaissent pas avoir été collectées dans l'objectif spécifique de l'exercice de telles poursuites pénales ou dans le cadre des activités de l'État relatives à des domaines du droit pénal » (arrêt du 27 septembre 2017, Puškár, C-73/16, points 39 et 40). 9. La Cour de justice a ensuite retenu que, s'agissant de la collecte, par une administration fiscale, auprès d'un opérateur économique, de données à caractère personnel relatives à certains contribuables aux fins de la perception de l'impôt et de la lutte contre la fraude fiscale, « il n'apparaît pas que l'administration fiscale d'un État membre puisse être considérée comme une "autorité compétente", au sens de l'article 3, point 7, de la directive 2016/680, ni, partant, que de telles demandes d'informations puissent relever de l'exception prévue à l'article 2, paragraphe 2, sous d), du règlement 2016/679 », et que « même s'il n'est pas exclu que les données à caractère personnel en cause au principal puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d'infraction dans le domaine fiscal, contre certaines des personnes concernées, il n'apparaît pas que ces données soient collectées dans l'objectif spécifique d'exercer de telles poursuites pénales ou dans le cadre des activités de l'État relatives à des domaines du droit pénal » (arrêt du 24 février 2022, Valsts ien mumu dienests, C-175/20, points 44 et 45). 10. Il s'en déduit que le traitement de données à caractère personnel mis en oeuvre par l'administration fiscale aux fins d'obtenir l'autorisation de procéder à des opérations de visite et saisies sur le fondement de l'article L. 16 B du livre des procédures fiscales, qui a pour finalité d'obtenir le droit de procéder à une mesure d'enquête pouvant donner lieu à la constatation d'une infraction ou d'un manquement à la législation fiscale, dans le but de percevoir l'impôt et de lutter contre la fraude fiscale, entre dans le champ d'application matériel du RGPD. 11. Dès lors, le juge doit notamment vérifier si, dans le litige qui lui est soumis, le responsable du traitement est tenu de fournir à la personne concernée les informations prévues à son article 14 ou si sont réunies les conditions des exceptions ou limitations à cette obligation d'information qu'il prévoit. 12. En effet, si l'article 14 du RGPD soumet le responsable du traitement à l'obligation de fournir un certain nombre d'informations à la personne concernée lorsque les données à caractère personnel n'ont pas été collectées auprès d'elle, il résulte du paragraphe 5 de ce texte que cette obligation ne s'applique pas dans la mesure où elle est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. 13. En outre, l'article 23 du RGPD prévoit que le droit de l'État membre auquel le responsable du traitement est soumis peut, par la voie de mesures législatives, limiter la portée de l'obligation d'informer la personne concernée par le traitement de données à caractère personnel prévue à l'article 14 du RGPD lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir la prévention et la détection d'infractions pénales, les enquêtes et les poursuites en la matière et d'autres objectifs importants d'intérêt public général d'un Etat membre, notamment un intérêt économique ou financier important, y compris dans les domaines monétaire, budgétaire et fiscal. 14. En application de l'article 23 précité, l'ordonnance n° 2018-1125 du 12 décembre 2018 a modifié l'article 48 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. 15. Ainsi, l'administration fiscale n'a pas l'obligation de fournir à la personne concernée les informations prévues à l'article 14 de ce règlement si sont réunies les conditions de l'exception prévue au paragraphe 5 de ce texte ou des limitations prévues à l'article 23. 16. Pour rejeter le moyen selon lequel l'administration a collecté des données issues de bases de données ou de sites d'accès public sans en informer les personnes concernées en violation des règles du RGPD, l'ordonnance énonce que ce règlement ne s'applique pas au traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces, et que le droit de visite de l'article L. 16 B du livre des procédures fiscales vise à lutter contre la fraude fiscale, tout en respectant la liberté individuelle et le droit au recours juridictionnel effectif. 17. En statuant ainsi, la cour d'appel a violé les textes susvisés. 3. En application de l'article 1014, alinéa 2, du code de procédure civile, il n'y a pas lieu de statuer par une décision spécialement motivée sur ce moyen qui n'est manifestement pas de nature à entraîner la cassation.

PAR CES MOTIFS, la Cour : CASSE ET ANNULE, en toutes ses dispositions, l'ordonnance rendue le 9 juin 2021, entre les parties, par le premier président de la cour d'appel de Paris ; Remet l'affaire et les parties dans l'état où elles se trouvaient avant cette ordonnance et les renvoie devant la juridiction du premier président de la cour d'appel de Paris autrement composée ; Condamne le directeur général des finances publiques, représenté par l'administrateur général des finances publiques chargé de la direction nationale d'enquêtes fiscales aux dépens ; En application de l'article 700 du code de procédure civile, rejette la demande formée par le directeur général des finances publiques, représenté par l'administrateur général des finances publiques chargé de la direction nationale d'enquêtes fiscales, et le condamne à payer la société FHF International la somme de 3 000 euros ; Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l'ordonnance cassée ; Ainsi fait et jugé par la Cour de cassation, chambre commerciale, financière et économique, et prononcé par le président en son audience publique du premier juin deux mille vingt-trois.