LA COUR DE CASSATION, CHAMBRE COMMERCIALE, a rendu l'arrêt suivant :
COMM.
CH.B
COUR DE CASSATION
______________________
Audience publique du 1er juin 2023
Cassation
M. VIGNEAU, président
Arrêt n° 385 FS-B
Pourvoi n° F 21-18.558
R É P U B L I Q U E F R A N Ç A I S E
_________________________
AU NOM DU PEUPLE FRANÇAIS
_________________________
ARRÊT DE LA COUR DE CASSATION, CHAMBRE COMMERCIALE, FINANCIÈRE ET ÉCONOMIQUE, DU 1ER JUIN 2023
La société FHF International, société anonyme, dont le siège est [Adresse 1], a formé le pourvoi n° F 21-18.558 contre l'ordonnance rendue le 9 juin 2021 par le premier président de la cour d'appel de Paris (pôle 5, chambre 15), dans le litige l'opposant au directeur général des finances publiques, représenté par l'administrateur général des finances publiques chargé de la direction nationale d'enquêtes fiscales, domicilié [Adresse 2], défendeur à la cassation.
La demanderesse invoque, à l'appui de son pourvoi, un moyen de cassation.
Le dossier a été communiqué au procureur général.
Sur le rapport de Mme Lion, conseiller référendaire, les observations de la SCP Richard, avocat de la société FHF International, de la SCP Foussard et Froger, avocat du directeur général des finances publiques, représenté par l'administrateur général des finances publiques chargé de la direction nationale d'enquêtes fiscales, et l'avis de M. Crocq, avocat général, après débats en l'audience publique du 4 avril 2023 où étaient présents M. Vigneau, président, Mme Lion, conseiller référendaire rapporteur, M. Mollard, conseiller doyen, Mmes Graff-Daudret, Daubigney, M. Ponsot, Mme Ducloz, MM. Alt, Calloch, conseillers, MM. Guerlot, Blanc, Mmes Lefeuvre, Tostain, M. Maigret, conseillers référendaires, M. Crocq, avocat général, et Mme Fornarelli, greffier de chambre,
la chambre commerciale, financière et économique de la Cour de cassation, composée, en application de l'article R. 431-5 du code de l'organisation judiciaire, des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt ;
Faits et procédure
1. Selon l'ordonnance attaquée, rendue par le premier président d'une cour d'appel (Paris, 9 juin 2021), un juge des libertés et de la détention (JLD) a, sur le fondement de l'article L. 16 B du livre des procédures fiscales, autorisé des agents de l'administration fiscale à effectuer des opérations de visite et saisies dans divers locaux situés à Paris, susceptibles d'être occupés par diverses personnes physiques et morales, dont la société de droit luxembourgeois FHF International (la société FHF) et/ou toutes entités contrôlées par le groupe informel FHF, en vue de rechercher la preuve de fraudes fiscales commises par la société FHF.
2. Les opérations de visite et saisies se sont déroulées le 14 novembre 2019.
Examen du moyen
Sur le moyen, pris en ses première, deuxième, troisième, quatrième, cinquième, sixième et septième branches
3. En application de l'article 1014, alinéa 2, du code de procédure civile, il n'y a pas lieu de statuer par une décision spécialement motivée sur ce moyen qui n'est manifestement pas de nature à entraîner la cassation.
Mais sur le moyen, pris en sa huitième branche
Enoncé du moyen
4. La société FHF fait grief à l'ordonnance de confirmer l'ordonnance du JLD, alors « que si le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, qui établit des règles relatives à la protection des données à caractère personnel, ne s'applique pas au traitement de données effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, cette dérogation ne s'applique pas aux agents de l'administration fiscale, l'initiative des poursuites en matière de fraude fiscale appartenant au ministère public, seul compétent pour mettre en oeuvre l'action publique ; qu'il en résulte que les mesures de visite domiciliaire sollicitées et réalisées par les agents de l'administration fiscale, qui n'est pas une autorité de poursuite investie du pouvoir d'engager des poursuites du chef de fraude fiscale, relèvent du champ d'application matériel du règlement (UE) 2016/679 du 27 avril 2016 ; qu'en décidant le contraire, pour en déduire que l'administration fiscale avait pu soumettre au juge des libertés et de la détention des pièces concernant des informations provenant de données ou de sites d'accès au public dans le respect des règles garantissant la protection des données, le premier président de la cour d'appel a violé l'article 2 du règlement (UE) 2016/679 susvisé, ensemble l'article L. 16 B du livre des procédures fiscales. »
Réponse de la Cour
Vu l'article 2 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le RGPD), et l'article L. 16 B du livre des procédures fiscales :
5. Selon le paragraphe 1 de l'article 2 du RGPD, ce règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
6. Selon le paragraphe 2, le RGPD ne s'applique pas au traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces.
7. La Cour de justice de l'Union européenne juge que les exceptions au champ d'application du RGPD, tel que défini à son article 2, § 1, doivent recevoir une interprétation stricte (CJUE, arrêt du 16 juillet 2020, Facebook Ireland et Schrems, C-311/18, point 84 ; CJUE, arrêt du 24 février 2022, Valsts ienemumu dienests, C-175/20, points 40 à 42 ; CJUE, arrêt 8 décembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet, C-180/2, points 73 et 74).
8. Sous l'empire de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le RGPD, qui prévoyait, en son article 3, § 2, que les traitements de données à caractère personnel ayant pour objet la sécurité publique, la défense, la sûreté de l'État et les activités de l'État relatives à des domaines du droit pénal étaient exclus du champ d'application de la directive, la Cour de justice a retenu qu'un traitement de données créé par l'administration fiscale pour recenser les dirigeants fictifs de sociétés relevait des règles fixées par cette directive, après avoir souligné que, « même s'il n'apparaît pas exclu que lesdites données puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d'infraction dans le domaine fiscal, contre certaines personnes dont les noms figurent sur la liste litigieuse, les données en cause au principal n'apparaissent pas avoir été collectées dans l'objectif spécifique de l'exercice de telles poursuites pénales ou dans le cadre des activités de l'État relatives à des domaines du droit pénal » (CJUE, arrêt du 27 septembre 2017, Pu¿kár, C-73/16, points 39 et 40).
9. La Cour de justice a ensuite retenu que, s'agissant de la collecte, par une administration fiscale, auprès d'un opérateur économique, de données à caractère personnel relatives à certains contribuables aux fins de la perception de l'impôt et de la lutte contre la fraude fiscale, « il n'apparaît pas que l'administration fiscale d'un État membre puisse être considérée comme une "autorité compétente", au sens de l'article 3, point 7, de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016, ni, partant, que de telles demandes d'informations puissent relever de l'exception prévue à l'article 2, § 2, sous d), du règlement 2016/679 », et que « même s'il n'est pas exclu que les données à caractère personnel en cause au principal puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d'infraction dans le domaine fiscal, contre certaines des personnes concernées, il n'apparaît pas que ces données soient collectées dans l'objectif spécifique d'exercer de telles poursuites pénales ou dans le cadre des activités de l'État relatives à des domaines du droit pénal » (CJUE, arrêt du 24 février 2022, Valsts ien mumu dienests, C-175/20, points 44 et 45).
10. Il s'en déduit que le traitement de données à caractère personnel mis en oeuvre par l'administration fiscale aux fins d'obtenir l'autorisation de procéder à des opérations de visite et saisies sur le fondement de l'article L. 16 B du livre des procédures fiscales, qui a pour finalité d'obtenir le droit de procéder à une mesure d'enquête pouvant donner lieu à la constatation d'une infraction ou d'un manquement à la législation fiscale, dans le but de percevoir l'impôt et de lutter contre la fraude fiscale, entre dans le champ d'application matériel du RGPD.
11. Dès lors, le juge doit notamment vérifier si, dans le litige qui lui est soumis, le responsable du traitement est tenu de fournir à la personne concernée les informations prévues à son article 14 ou si sont réunies les conditions des exceptions ou limitations à cette obligation d'information qu'il prévoit.
12. En effet, si l'article 14 du RGPD soumet le responsable du traitement à l'obligation de fournir un certain nombre d'informations à la personne concernée lorsque les données à caractère personnel n'ont pas été collectées auprès d'elle, il résulte du paragraphe 5 de ce texte que cette obligation ne s'applique pas dans la mesure où elle est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement.
13. En outre, l'article 23 du RGPD prévoit que le droit de l'État membre auquel le responsable du traitement est soumis peut, par la voie de mesures législatives, limiter la portée de l'obligation d'informer la personne concernée par le traitement de données à caractère personnel prévue à l'article 14 du RGPD lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir la prévention et la détection d'infractions pénales, les enquêtes et les poursuites en la matière et d'autres objectifs importants d'intérêt public général d'un Etat membre, notamment un intérêt économique ou financier important, y compris dans les domaines monétaire, budgétaire et fiscal.
14. En application de l'article 23 précité, l'ordonnance n° 2018-1125 du 12 décembre 2018 a modifié l'article 48 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
15. Ainsi, l'administration fiscale n'a pas l'obligation de fournir à la personne concernée les informations prévues à l'article 14 de ce règlement si sont réunies les conditions de l'exception prévue au paragraphe 5 de ce texte ou des limitations prévues à l'article 23.
16. Pour rejeter le moyen selon lequel l'administration a collecté des données issues de bases de données ou de sites d'accès public sans en informer les personnes concernées en violation des règles du RGPD, l'ordonnance énonce que ce règlement ne s'applique pas au traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces, et que le droit de visite de l'article L. 16 B du livre des procédures fiscales vise à lutter contre la fraude fiscale, tout en respectant la liberté individuelle et le droit au recours juridictionnel effectif.
17. En statuant ainsi, la cour d'appel a violé les textes susvisés.
PAR CES MOTIFS, la Cour :
CASSE ET ANNULE, en toutes ses dispositions, l'ordonnance rendue le 9 juin 2021, entre les parties, par le premier président de la cour d'appel de Paris ;
Remet l'affaire et les parties dans l'état où elles se trouvaient avant cette ordonnance et les renvoie devant la juridiction du premier président de la cour d'appel de Paris autrement composée ;
Condamne le directeur général des finances publiques, représenté par l'administrateur général des finances publiques chargé de la direction nationale d'enquêtes fiscales aux dépens ;
En application de l'article 700 du code de procédure civile, rejette la demande formée par le directeur général des finances publiques, représenté par l'administrateur général des finances publiques chargé de la direction nationale d'enquêtes fiscales, et le condamne à payer la société FHF International la somme de 3 000 euros ;
Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l'ordonnance cassée ;
Ainsi fait et jugé par la Cour de cassation, chambre commerciale, financière et économique, et prononcé par le président en son audience publique du premier juin deux mille vingt-trois.
