Arrêt TF 2C_​825/​2019 du 21 décembre 2021*

Le Préposé fédé­ral à la protec­tion des données et à la trans­pa­rence (PFPDT) ouvre une procé­dure (art. 27 LPD) après avoir appris que l’Administration fédé­rale des contri­bu­tions (AFC) prévoit de trans­mettre le nom d’une centaine de personnes à l’Internal Revenue Service des États-Unis d’Amérique (IRS) dans le contexte de l’assistance admi­nis­tra­tive inter­na­tio­nale en matière fiscale alors même qu’il ne s’agit pas auto­ma­ti­que­ment de personnes direc­te­ment concer­nées par ces demandes d’assistance, soit des tiers. Il rend une Recommandation tendant à ce que l’AFC informe ces tiers avant toute trans­mis­sion confor­mé­ment à la Loi fédé­rale sur l’assistance admi­nis­tra­tive fiscale (LAAF) pour leur permettre d’exercer leur droit de recours. L’AFC d’abord, puis le Département fédé­ral des finances (DFF) la rejettent, mais le Tribunal admi­nis­tra­tif fédé­ral (TAF), par arrêt A‑5715/​2018 du 9 septembre 2018, donne raison au PFPDT en admet­tant son recours. L’AFC forme alors recours au Tribunal fédéral.

Le Tribunal fédé­ral rappelle que la présente procé­dure a été suspen­due jusqu’à droit connu en rela­tion à une autre procé­dure (ATF 146 I 172, commenté sur LawInside​.ch/​9​49/) et commence par présen­ter l’issue de cette dernière. Dans ce dernier arrêt, il a retenu que l’AFC n’a l’obligation d’informer des tiers préa­la­ble­ment à l’octroi de l’assistance admi­nis­tra­tive de l’existence d’une telle procé­dure (art. 14 al. 2 LAAF) que dans la seule hypo­thèse où leur qualité pour recou­rir selon l’art. 19 al. 2 LAAF est évidente. Le seul fait pour ces tiers d’invoquer que leur nom n’est pas un rensei­gne­ment véri­ta­ble­ment perti­nent (art. 4 al. 3 LAAF) dans ce contexte n’est pas suffi­sant. Ces tiers peuvent toute­fois prétendre à la protec­tion de la légis­la­tion sur la protec­tion des données.

Ainsi, c’est préci­sé­ment sous l’angle de la protec­tion des données que le Tribunal fédé­ral examine en l’espèce si l’absence d’information préa­lable à ces tiers, toute­fois des personnes concer­nées au sens de la Loi sur la protec­tion des données, est conforme au droit. Il débute donc par un rappel du but de la LPD et ses prin­cipes. Il souligne en outre le fait qu’une base légale est néces­saire pour le trai­te­ment de données par un organe fédé­ral tel que l’AFC et évoque par la suite la concré­ti­sa­tion de la protec­tion des données qui exige la connais­sance par les personnes concer­nées d’un trai­te­ment de leurs données. Deux instru­ments permettent de mettre en œuvre cette protec­tion : le droit d’accès (art. 8 ; cf. à ce sujet di Tria/​Lubishtani, Étude empi­rique du droit d’accès à ses données person­nelles, in : S. Métille (éd.), Le droit d’accès, 2021, 29 ss) et le prin­cipe de trans­pa­rence (art. 4 al. 4).

L’art. 18a LPD concré­tise cette dernière dispo­si­tion en prévoyant qu’un organe fédé­ral est dans l’obligation d’informer les personnes concer­nées d’un trai­te­ment de leurs données au plus tard lors de la collecte et sinon, lorsque ces données sont collec­tées auprès de tiers, au moment de l’enregistrement ou de la commu­ni­ca­tion à des tiers. Toutefois, l’art. 18a al. 4 LPD prévoit une excep­tion déliant l’organe fédé­ral de son obli­ga­tion d’informer « si l’enregistrement ou la commu­ni­ca­tion sont expres­sé­ment prévus par la loi ». Se pose donc la ques­tion de savoir si l’art. 18a al. 4 LPD trouve appli­ca­tion en l’espèce, ce que le Tribunal fédé­ral analyse en repre­nant l’art. 4 al. 3 LAAF :

«  La trans­mis­sion de rensei­gne­ments concer­nant des personnes qui ne sont pas des personnes concer­nées est exclue lorsque ces rensei­gne­ments ne sont pas vrai­sem­bla­ble­ment perti­nents pour l’évaluation de la situa­tion fiscale de la personne concer­née ou lorsque les inté­rêts légi­times de personnes qui ne sont pas des personnes concer­nées prévalent sur l’intérêt de la partie requé­rante à la trans­mis­sion des renseignements ».

Les juges fédé­raux observent que cette dispo­si­tion inter­dit unique­ment la trans­mis­sion de rensei­gne­ments – et donc le trai­te­ment de données person­nelles – qui ne sont pas vrai­sem­bla­ble­ment perti­nents, mais l’autorise dans le cas contraire. À cet égard, la juris­pru­dence a déjà eu l’occasion de souli­gner que les données de tiers à la procé­dure d’assistance admi­nis­tra­tive sont toujours vrai­sem­bla­ble­ment impor­tantes pour garan­tir l’échange effi­cace d’informations entre États. Qui plus est, la loi traite de l’obligation (limi­tée) d’informer les tiers. Les condi­tions de l’art. 18a al. 4 let. a LPD appa­raissent donc réunies a priori.

Avant de conclure, le Tribunal fédé­ral examine si l’art. 4 al. 3 LAAF consti­tue une base légale suffi­sam­ment précise auto­ri­sant l’ingérence – soit la trans­mis­sion des données person­nelles sans infor­ma­tion préa­lable – au droit fonda­men­tal à l’autodétermination infor­ma­tion­nelle (art. 13 Cst. et 8 CEDH). Il concentre cet examen sur l’exigence de prévi­si­bi­lité, en ce sens que la base légale doit permettre à la personne dont les données sont concer­nées de savoir qu’elles peuvent effec­ti­ve­ment faire l’objet d’un trai­te­ment. Savoir si une norme prévoyant une ingé­rence est suffi­sante à cet égard se mesure à l’aune de la gravité de cette ingé­rence, laquelle est notam­ment fonc­tion des données en cause. Selon la juris­pru­dence, les données rela­tives aux rela­tions commer­ciales ou bancaires ne sont pas sensibles au sens de l’art. 3 let. c LPD et leur trai­te­ment par un organe fédé­ral n’exige pas de base légale formelle (ATF 143 I 253, c. 4.9, résumé in LawInside​.ch/​4​44/).

En l’espèce, l’ingérence est expres­sé­ment prévue par une loi spéciale et son inten­sité n’est pas parti­cu­liè­re­ment grave, de sorte que les exigences rela­tives à la base légale ne sont pas élevées. Les juges fédé­raux consi­dèrent en outre que l’art. 4 al. 3 LAAF est suffi­sam­ment précis pour permettre aux tiers à une procé­dure d’assistance admi­nis­tra­tive de savoir que leurs données person­nelles peuvent être collec­tées et trans­mises. Ainsi, l’art. 4 al. 3 LAAF est une base légale suffi­sante et cette dispo­si­tion est une loi spéciale au sens de l’art. 18a al. 4 let. a LPD déliant l’organe fédé­rale d’informer préa­la­ble­ment les personnes dont les données sont transmises.

En défi­ni­tive, le recours de l’AFC est admis, l’arrêt du TAF annulé et la déci­sion du DFF confirmée.

Si l’ATF 146 I 172 lais­sait entre­voir une protec­tion accrue et de meilleures chances de succès pour le tiers invo­quant la protec­tion des données, le présent arrêt met toute­fois fins à ces espoirs et adopte une approche restric­tive en la matière.

Cela étant, le raison­ne­ment du Tribunal fédé­ral, et en parti­cu­lier son inter­pré­ta­tion de l’art. 4 al. 3 LAAF à la lumière de l’art. 18a al. 4 let. a LPD, ne prête pas le flanc à la critique et cet arrêt doit être confirmé. L’art. 4 al. 3 LAAF est certes formulé de manière telle qu’il ne fait qu’exclure la trans­mis­sion dans certains cas de figure (« lorsque ces rensei­gne­ments ne sont pas vrai­sem­bla­ble­ment perti­nents »). Toutefois, cela ne peut que signi­fier que dite trans­mis­sion est auto­ri­sée dans l’hypothèse inverse. Partant, cette dispo­si­tion ne souffre pas d’imprécision et tombe en effet sous le coup de l’art. 18a al. 4 let. a LPD.

Compte tenu du présent arrêt destiné à publi­ca­tion et de l’ATF 146 I 172, la protec­tion du tiers au travers de son infor­ma­tion préa­lable peut être résu­mée comme il suit. Cette infor­ma­tion dépend de la recon­nais­sance de sa qualité pour recou­rir selon l’art. 19 al. 2 LAAF comme étant « évidente » par l’AFC. Dans un tel cas de figure, cette auto­rité doit donc infor­mer le tiers avant de trans­mettre ces rensei­gne­ments (ATF 146 I 172) et il a ainsi la possi­bi­lité de s’opposer à la trans­mis­sion. Toutefois, cette recon­nais­sance dépend de l’AFC et son appré­cia­tion ne fait pas l’objet d’un contrôle qu’un tiers peut remettre en ques­tion. C’est pour­quoi, si l’AFC conclut à l’absence d’une telle qualité pour recou­rir, alors le tiers n’est pas informé et il n’est pas en mesure de faire établir que sa qualité pour recou­rir est « évidente » pour, in fine, s’op­po­ser à la trans­mis­sion de données le concer­nant. Comme Hirsch le relève à juste titre, la seule solu­tion possible est donc le dépôt d’une procé­dure civile tendant à faire inter­dire au déten­teur des données leur trans­mis­sion pour, en défi­ni­tive, oppo­ser le juge­ment obtenu à l’AFC.