COMM.

FM

COUR DE CASSATION

______________________

Arrêt du 7 mai 2025

Rejet

M. VIGNEAU, président

Arrêt n° 232 FS-B

Pourvoi n° Y 22-18.210

R É P U B L I Q U E F R A N Ç A I S E

_________________________

AU NOM DU PEUPLE FRANÇAIS

_________________________

ARRÊT DE LA COUR DE CASSATION, CHAMBRE COMMERCIALE, FINANCIÈRE ET ÉCONOMIQUE, DU 7 MAI 2025

1°/ M. [Z] [H], domicilié [Adresse 6] (Espagne),

2°/ M. [K] [H],

3°/ Mme [X] [R], épouse [H],

tous deux domiciliés [Adresse 4],

4°/ la société Orga +, société à responsabilité limitée, dont le siège est [Adresse 2] (Luxembourg),

5°/ la société Digital People, société par actions simplifiée, dont le siège est [Adresse 3],

ont formé le pourvoi n° Y 22-18.210 contre l’ordonnance rendue le 21 juin 2022 par la cour d’appel de Versailles (premier président), dans le litige les opposant :

1°/ à la directrice générale des finances publiques, domiciliée [Adresse 1],

2°/ à la directrice générale des finances publiques, domiciliée [Adresse 5], représentée par l’administrateur général des finances publiques chargé de la direction nationale d’enquêtes fiscales,

défenderesses à la cassation.

Les demandeurs invoquent, à l’appui de leur pourvoi, neuf moyens de cassation.

Le dossier a été communiqué au procureur général.

Sur le rapport de M. Alt, conseiller, puis après avoir entendu M. [M] [W], secrétaire général de la Commission nationale de l’information et des libertés (CNIL), Mme [F] [U], cheffe du service des affaires régaliennes et des collectivités territoriales de la CNIL et M. [O] [E], juriste au service des affaires régaliennes et des collectivités territoriales de la CNIL, en leurs observations en application de l’article 1015-2 du code de procédure civile, après débat en l’audience publique du 26 novembre 2024 où étaient présents, M. Vigneau, président, M. Alt, conseiller rapporteur, M. Ponsot, conseiller doyen, M^mes Graff-Daudret, Ducloz, de Lacaussade, M. Thomas, conseillers, M^mes Vigneras, Lefeuvre, Tostain, M. Maigret, conseiller référendaires, M. Lecaroz, avocat général, et M^me Bendjebbour, greffier de chambre,

Les débats se sont poursuivis en l’audience publique du 11 mars 2025, pour entendre M. Alt, conseiller, pour la suite de son rapport, les observations de la SARL Cabinet Briard, Bonichot et Associés, avocat de MM. [Z] et [K] [H], et Mme [R], des sociétés Orga + et Digital People, de la SCP Foussard et Froger, de la directrice générale des finances publiques, représentée par l’administrateur général des finances publiques chargé de la direction nationale d’enquête fiscales, et l’avis de M. Lecaroz, avocat général, où étaient présents M. Vigneau, président, M. Alt, conseiller rapporteur, M. Ponsot, conseiller doyen, M^mes Graff-Daudret, de Lacaussade, M. Thomas, conseillers, M^mes Vigneras, Lefeuvre, Tostain, M. Maigret, conseillers référendaires, M. Lecaroz, avocat général, et M. Doyen, greffier de chambre,

la chambre commerciale, financière et économique de la Cour de cassation, composée, en application de l’article R. 431-5 du code de l’organisation judiciaire, des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.

Faits et procédure

1. Selon l’ordonnance attaquée, rendue par le premier président d’une cour d’appel (Versailles, 21 juin 2020), le juge des libertés et de la détention a, sur le fondement de l’article L. 16 B du livre des procédures fiscales, autorisé des agents de l’administration fiscale à procéder à des opérations de visite et saisie dans des locaux et dépendances situés à [Localité 7], susceptibles d’être occupés par M. [Z] [H], Mme [R], M. [K] [H] (les consorts [H]) ou Mme [T] [J], en vue de rechercher la preuve de fraudes fiscales commises par eux, ainsi que par les sociétés Orga+, de droit luxembourgeois, et Digital People, dont M. [Z] [H] était administrateur et dirigeant.

2. Les opérations de visite et saisie ont été réalisées le 27 octobre 2020.

3. Les sociétés Orga+ et Digital People, ainsi que les consorts [H] ont relevé appel de l’ordonnance d’autorisation.

Examen des moyens

Sur les premier, deuxième, troisième, quatrième, sixième, septième, huitième et neuvième moyens et le cinquième moyen, pris en ses troisième, quatrième et cinquième branches

4. En application de l’article 1014, alinéa 2, du code de procédure civile, il n’y a pas lieu de statuer par une décision spécialement motivée sur ces griefs qui ne sont manifestement pas de nature à entraîner la cassation.

Sur le cinquième moyen, pris en sa première branche

5. Les sociétés Orga+, Digital People et les consorts [H] font grief à l’ordonnance de confirmer celle rendue le 17 octobre 2020 par le juge des libertés et de la détention, alors « que la direction nationale des enquêtes fiscales n’est pas autorisée à consulter ni exploiter les traitements ADONIS, DESIR et ADELIE pour obtenir le droit à pratiquer une visite domiciliaire, en jugeant que les arrêtés de création de chacun de ces traitements se réfèrent notamment aux missions de contrôle dévolues aux agents habilités de la direction générale des finances publiques (DGFIP) et qu’en conséquence la constitution d’un dossier par les agents de l’administration fiscale en vue de solliciter une visite domiciliaire peut procéder de l’exploitation des traitements automatisés précités, et en énonçant que le fichier FICOBA est ouvert aux agents de la DGFIP sans autre condition, le délégué du premier président a violé les considérants 31 et 71 et l’article 5 du règlement (UE) 2016/679 du 27 avril 2016 concernant le Règlement général sur la protection des données (RGPD) et l’article 1er de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiées et l’article L. 16 B du livre des procédures fiscales, ainsi que les arrêtés du 5 avril 2002 (portant création du traitement ADONIS), du 6 juillet 2004 (portant création du traitement ADELIE), du 28 avril 1987 (portant création du traitement DESIR) et du 14 juin 1982 (portant création du traitement FICOBA). »

Réponse de la Cour

6. L’article 5 du règlement (UE) 2016/679 du 27 avril 2016 (le RGPD) dispose :

« 1. Les données à caractère personnel doivent être :

(…)

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités) ».

7. En premier lieu, selon l’article premier de l’arrêté du 28 avril 1987 relatif à la création d’un traitement informatisé de simplification de la gestion des informations de recoupement (SIR), la DGFIP est autorisée à créer ledit traitement. Selon l’article 2 de cet arrêté, le traitement a pour objet de permettre la gestion des informations de recoupement qui sont extraites de la documentation de la DGFIP ou communiquées à celle-ci par des tiers dans le cadre de leurs obligations légales. Selon l’article 3, l’exploitation des bulletins de recoupement est destinée à apporter une aide à l’organisation des opérations de contrôle sur pièces des dossiers fiscaux et aux opérations de recouvrement. Cet article précise que les bulletins de recoupement portent sur une personne à l’encontre de laquelle une procédure de contrôle ou de recouvrement est engagée.

8. Selon l’arrêté du 5 avril 2002 portant création d’un traitement automatisé d’informations nominatives dénommé « accès au dossier fiscal des particuliers » (ADONIS), la DGFIP est autorisée à mettre en œuvre ce traitement sur internet et dans ses services. Ce traitement permet aux agents habilités de la DGFIP d’accéder aux dossiers des contribuables au titre des missions d’assiette, de contrôle, de recouvrement qui leur sont dévolues.

9. Selon l’arrêté du 6 juillet 2004 portant création d’un traitement automatisé d’informations nominatives dénommé « Accès au dossier électronique des entreprises » ( ADELIE), sa mise en oeuvre par la DGFIP est prévue à des fins de contrôle.

10. Selon l’arrêté du 24 juillet 2000 relatif à la direction nationale des enquêtes fiscales (DNEF), cette direction assure, pour l’ensemble du territoire national, conformément aux directives fixées par le directeur général des finances publiques et concurremment avec les autres services compétents : la recherche des renseignements nécessaires à l’assiette, au contrôle et au recouvrement des impôts et taxes de toute nature, la recherche et la constatation des manquements et infractions à la législation et aux réglementations fiscale et économique et la répression des infractions à ces législations et réglementations.

11. Il résulte de ces textes que les agents habilités peuvent exploiter ces traitements automatisés pour obtenir des éléments laissant présumer l’existence des agissements frauduleux dont la preuve est recherchée lors de la visite domiciliaire.

12. En second lieu, selon l’article 4 de l’arrêté du 14 juin 1982 encadrant le traitement « Gestion du fichier des comptes bancaires et assimilés » (FICOBA), les agents de la DGFIP sont autorisés, dans la limite des dérogations à la règle du secret professionnel prévues par la loi, à demander et à recevoir communication des informations gérées par le fichier des comptes bancaires et assimilés.

13. Selon les articles L.10 et L.10-0 A du livre des procédures fiscales, l’administration peut examiner l’ensemble des relevés de compte du contribuable sur les années au titre desquelles les obligations déclaratives n’ont pas été respectées. Selon les articles 164 FB et suivants du code général des impôts, annexe 4, les déclarations d’ouverture, de clôture ou de modification des comptes de toute nature et de location des coffres-forts incombent aux établissements, personnes physiques ou morales, qui gèrent ces comptes ou ces coffres-forts.

14. Il résulte de ces textes que les agents de la DGFIP sont autorisés, par des dispositions de niveau législatif, à accéder aux données contenues dans le traitement FICOBA.

15. Dès lors, c’est à bon droit que le premier président a retenu que, pour rassembler des preuves au soutien d’une demande d’autorisation d’effectuer une visite domiciliaire, l’administration fiscale peut procéder à l’exploitation des traitements automatisés précités.

16. Le moyen n’est donc pas fondé.

Sur le cinquième moyen, pris en sa deuxième branche

Enoncé du moyen

17. Les sociétés Orga+, Digital People et les consorts [H] font le même grief à l’ordonnance alors « que les traitements ADONIS, ADELIE, SIR et FICOBA ne peuvent être utilisés que par des agents habilités et alors que l’administration n’a pas communiqué les habilitations des agents de la direction nationale d’enquêtes fiscales, habilitations dont elle reconnaît qu’elles n’ont pas été « formalisées », qu’en se bornant à indiquer que les appelants ne caractérisaient pas l’absence d’habilitation de ces agents, sans procéder à la vérification de la régularité des habilitations, le délégué du premier président a violé les arrêtés du 5 avril 2002, du 6 juillet 2004, du 28 avril 1987 et du 14 juin 1982, ainsi que la loi n° 78-17 du 6 janvier 1978.»

Réponse de la Cour

18. Ayant constaté que les pièces litigieuses étaient issues de fichiers pouvant être consultés par des agents de l’administration fiscale en application des arrêtés rappelés aux points 7 à 10 et 12, et que la requête aux fins d’autorisation de visite domiciliaire était présentée par cette administration, le premier président en a exactement déduit que le moyen tiré du défaut de production, par l’administration fiscale, d’habilitation des agents concernés ne pouvait qu’être rejeté et qu’il n’y avait, par suite, pas lieu d’écarter, pour ce motif, les pièces en litige.

19. Le moyen n’est donc pas fondé.

Sur le cinquième moyen, pris en sa sixième branche

Enoncé du moyen

20. Les sociétés Orga+, Digital People et les consorts [H] font le même grief à l’ordonnance alors « qu’en jugeant que l’administration avait pu mettre en oeuvre des traitements informatiques sui generis à [leur] égard et que la constitution d’un « dossier », qui constitue en réalité un fichier et un traitement au regard du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dit RGPD, pour solliciter une autorisation de visite domiciliaire, n’aurait à répondre à aucune autre base juridique que l’article L 16 B du livre des procédures fiscales, le délégué du premier président a violé ledit article ainsi que l’article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.»

Réponse de la Cour

21. L’article 31 de la loi n° 78-17 du 6 janvier 1978 dispose :

« Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et :

1° Qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique ;

2° Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté. »

22. Le traitement des données, réalisé par l’administration fiscale, pour demander l’autorisation de procéder à une visite domiciliaire au titre de l’article L. 16 B du livre des procédures fiscales, qui ne constitue pas un traitement devant faire l’objet d’une autorisation au titre de l’article 31 précité, n’entre pas dans le champ d’application de ce texte.

23. Le moyen est donc inopérant.

Sur le cinquième moyen, pris en sa septième branche

Enoncé du moyen

24. Les sociétés Orga+, Digital People et les consorts [H] font le même grief à l’ordonnance, alors « que la mise en oeuvre de traitements informatiques sui generis à leur égard sans qu’ait été, au préalable, effectué une analyse d’impact relative à la protection des données (AIPD) exigée par l’article 35 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD), est illicite et rend illicite les éléments de preuve obtenus par ce dispositif, en jugeant que l’administration avait pu mettre en oeuvre des traitements informatiques sui generis à l’égard des appelants, sans que la constitution d’un tel traitement soit précédée d’une analyse d’impact relative à la protection des données, le délégué du premier président a violé l’article 35 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dit RGPD et les critères dégagés par le Groupe de travail créé par l’article 29 sur la protection des données de la directive 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.»

Réponse de la Cour

25. La circonstance, à la supposer établie, que le traitement constitué en vue de présenter une demande au titre de l’article L. 16 B du livre des procédures fiscales, doive être précédé, en application de l’article 35 du RGPD, d’une analyse d’impact relative à la protection des données, laquelle n’affecte pas la régularité de la détention par l’administration fiscale des données issues de ce traitement, est sans incidence sur la licéité de ces éléments de preuve présentés au soutien d’une requête fondée sur l’article L. 16 B du livre des procédures fiscales.

26. Le moyen est donc inopérant.

Sur le moyen, pris en sa huitième branche

Enoncé du moyen

27. Les sociétés Orga+, Digital People et les consorts [H] font le même grief à l’ordonnance, alors « qu’en jugeant que les informations figurant d’une part au sein des arrêtés ADONIS, ADELIE, SIR et FICOBA, d’autre part sur la page Confidentialité / informations personnelles publiée sur le site de la DGFIP, enfin les informations diffusées par la CNIL sur le fichier FICOBA, étaient suffisantes, le délégué du premier président a violé les articles 13 et 14 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dit RGPD ainsi que les dispositions du titre II de la loi dite « informatique et libertés » du 6 janvier 1978.»

Réponse de la Cour

28. L’insuffisance de l’information prévue aux articles 13 et 14 du RGPD fournie par le responsable du traitement à la personne concernée, laquelle n’affecte pas la régularité de la détention par l’administration fiscale des données issues de ce traitement, est sans incidence sur la licéité des éléments de preuve présentés au soutien d’une requête fondée sur l’article L. 16 B du livre des procédures fiscales.

29. Le moyen est donc inopérant.

Sur le cinquième moyen, pris en sa neuvième branche

Enoncé du moyen

30. Les sociétés Orga+, Digital People et les consorts [H] font le même grief à l’ordonnance, alors « [qu’ils] ont fait valoir une divulgation des données personnelles à des tiers non autorisés par la communication des pièces en cause au juge des libertés et de la détention d’une part, et par la notification de l’ordonnance d’autorisation de visites et saisie mentionnant des données personnelles d’autre part, en jugeant néanmoins que ces données n’ont pas été communiquées à des tiers non autorisés, le délégué du premier président a violé l’article 5(1)(f) du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dit RGPD, l’article 4(6°) de la loi dite « informatique et libertés » du 6 janvier 1978, ainsi que l’article 7 de l’arrêté du 5 avril 2002 (portant création du traitement ADONIS), l’article 4 de l’arrêté 6 juillet 2004 (portant création du traitement ADELIE), l’article 7 de l’arrêté du 28 avril 1987 (portant création du traitement DESIR) et l’article 4 de l’arrêté du 14 juin 1982 (portant création du traitement FICOBA).»

Réponse de la cour

31. En premier lieu, le juge des libertés et de la détention ne peut être considéré comme un tiers non autorisé au sens des articles 5 (1) (f) du RGPD et 4(6°) de la loi n° 78-17 du 6 janvier 1978.

32. En second lieu, la communication de données personnelles à des tiers non autorisés par la notification de l’ordonnance d’autorisation, à la supposer établie, est sans incidence sur la légalité de cette ordonnance, qui lui est antérieure.

33. Le moyen n’est donc pas fondé.

Sur le cinquième moyen, pris en sa dixième branche

Enoncé du moyen

34. Les sociétés Orga+, Digital People et les consorts [H] font le même grief à l’ordonnance alors « que le registre d’activité du fichier ADONIS versé aux débats par l’administration révélait que l’administration n’avait pas respecté les dispositions relatives à la durée de conservation prévues par l’arrêté du 5 avril 2002 portant création du traitement ADONIS, et que l’administration avait d’ailleurs, en l’espèce, utilisé des données du fichier ADONIS remontant bien au-delà de la durée de conservation prévue par l’arrêté précité, en jugeant, pour écarter le moyen des appelants, que l’obligation d’une tenue d’un registre des activités ne se confond pas avec les modalités d’exercice desdites activités, le délégué du premier président a violé l’article 30 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dit RGPD, et l’arrêté du 5 avril 2002 portant création du fichier ADONIS. »

Réponse de la cour

35. Le non-respect, à le supposer établi, des dispositions de l’article 30 du RGPD, relatif à la tenue du registre des activités de traitement par le responsable de celui-ci, lequel n’affecte pas la régularité de la détention par l’administration fiscale des données issues de ce traitement, est sans incidence sur la licéité des éléments de preuve présentés au soutien d’une requête fondée sur l’article L. 16 B du livre des procédures fiscales.

36. Le moyen est donc inopérant.

Sur le cinquième moyen, pris en sa onzième branche

Enoncé du moyen

37. Les sociétés Orga+, Digital People et les consorts [H] font le même grief à l’ordonnance alors « qu’en jugeant d’une part, [qu’ils] ne justifiaient pas de ce que l’administration serait tenue de fournir le fichier de journalisation, d’autre part, que le responsable du traitement des données personnelles n’était pas tenu de prévoir que les personnes concernées puissent accéder aux données relatives à la traçabilité des consultations de leur dossier, le délégué du premier président a violé l’article 15 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dit RGPD. »

Réponse de la cour

38. Le non-respect, à le supposer établi, par l’administration, de l’obligation de fournir le fichier de journalisation et de prévoir que les personnes concernées puissent accéder aux données relatives à la traçabilité de leur dossier, lequel n’affecte pas la régularité de la détention par l’administration fiscale des données issues d’un traitement, est sans incidence sur la licéité des éléments de preuve présentés au soutien d’une requête fondée sur l’article L. 16 B du livre des procédures fiscales.

39. Le moyen est donc inopérant.

40. Et, en l’absence de doute raisonnable quant à l’interprétation de l’article 84 du RGPD, il n’y a pas lieu de saisir la Cour de justice de l’Union européenne de la question préjudicielle suggérée par les sociétés Orga+, Digital People et les consorts [H].

PAR CES MOTIFS, la Cour :

REJETTE le pourvoi ;

Condamne les sociétés Orga+, Digital People, M. [Z] [H], Mme [R] et M. [K] [H] aux dépens ;

Dit n’y avoir lieu à saisir la Cour de justice de l’Union européenne ;

En application de l’article 700 du code de procédure civile, rejette la demande formée par les sociétés Orga+, Digital People, M. [Z] [H], Mme [R] et M. [K] [H] et les condamne à payer à la directrice générale des finances publiques, représentée par l’administrateur général des finances publiques chargé de la direction nationale d’enquêtes fiscales, la somme globale de 3 000 euros ;

Ainsi fait et jugé par la Cour de cassation, chambre commerciale, financière et économique, et prononcé publiquement le sept mai deux mille vingt-cinq par mise à disposition de l’arrêt au greffe de la Cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.