Section 8 - AAI et protection des données personnelles

Le respect de la protection des données personnelles constitue une norme récente, qui s’est développée bien après l’adoption des instruments internationaux d’assistance administrative. Cette exigence nouvelle nécessita une mise à niveau de ces instruments, à ce jour à peine entamée. Le respect des données personnelles des administrés constituera sans doute le défi majeur de l’AAI dans les années à venir, en particulier de l’échange automatique de renseignements, particulièrement intrusif dans la vie privée, mais aussi de l’assistance sur demandeⁱ.

L’administration met en œuvre un traitement de données personnelles lorsqu’elle rassemble des données personnelles afin de les transmettre à une administration étrangère, ainsi que lorsqu’elle conserve et exploite les données qu’elle a reçues d’un autre État. Selon le RGPDⁱ, constitue un traitement toute opération, qu’elle soit effectuée ou non à l’aide de procédés automatisés, portant sur des données à caractère personnel, telles que, notamment, la collecte, l’enregistrement, la consultation ou l’utilisation de ces données. La CJUE retient une conception large de la notion de traitement, comme elle l’a montré dans plusieurs décisions, et notamment son arrêt SS SIA en 2022ⁱ en matière de traitement de données à des fins fiscales, à propos d’une demande, que nous appellerions en France un droit de communication, de l’administration fiscale lettone, adressée à une entreprise, portant sur des véhicules faisant l’objet d’annonces de vente et les numéros de téléphone des vendeurs .....