Le 28 août 2026, l’Autorité de protection des données belge a rendu son avis n° 188/2026 sur l’avant-projet de loi qui crée une Direction d’investigations fiscales (DIF), à la demande du ministre des Finances, Jan Jambon, saisi le 8 juin. Le texte organise une détection de fraude par algorithme à partir des données du SPF Finances et de sources externes. Sur 75 pages, l’Autorité aboutit à 59 remarques. La plupart demandent que la loi fixe elle-même ce que le projet laisse à des documents internes.
Ce que prévoit l’avant-projet
La DIF serait placée au sein de l’Administration générale de l’Inspection spéciale des impôts (AGISI), sous l’autorité du parquet, pour lutter contre la fraude fiscale grave et le blanchiment qui en découle. Son outil central est une « analyse administrative de signaux » : repérer des indices de fraude et en faire une première évaluation avant toute enquête.
Pour alimenter cette analyse, le projet mobilise le patrimoine fiscal et l’entrepôt de données du SPF Finances, le Registre national, des données publiques, des bases sous licence comme ORBIS, le Moniteur belge ou la Centrale des bilans, ainsi que des informations de la Cellule de traitement des informations financières (CTIF). L’Autorité observe que le texte n’exclut ni les réseaux sociaux ni les courtiers en données. Il évoque l’exploration de données, le recoupement de fichiers et le profilage, sans dire comment ces méthodes fonctionnent ni si des algorithmes auto-apprenants seront utilisés.
Une nécessité que le demandeur n’a pas démontrée
L’Autorité constate d’abord que la CTIF assume déjà une partie des missions confiées à la future direction. Le demandeur n’a pas montré quelle lacune la nouvelle structure viendrait combler. Sans cette démonstration, le test de nécessité et de proportionnalité ne peut pas aboutir, quel que soit le niveau des garanties techniques annoncées.
Détection de fraude par algorithme et principe de légalité
Un traitement public qui passe au crible les données de millions de contribuables doit reposer sur une norme claire et prévisible. Or la fraude fiscale grave n’a pas de définition légale, et l’arrêté royal du 9 février 2020 se borne à lister des indicateurs. Les catégories de données ne sont pas énumérées, un renvoi général aux codes fiscaux tenant lieu de liste. Le critère de sélection, fondé sur l’existence d’un lien qu’il faudrait pouvoir démontrer, reste si large qu’il ouvre la porte à une pêche aux informations, contraire au principe de minimisation.
L’Autorité refuse que des fiches internes de l’administration (les fiches DAM), des typologies de fraude, des paramètres techniques ou des contrats de licence tiennent lieu de cadre. Ces documents peuvent changer sans débat parlementaire. Elle demande que la loi précise quelles sources peuvent être croisées, pour quelles personnes, avec quel degré d’automatisation et sous quelles garanties. Elle déconseille le mécanisme automatisé de correspondance, dit hit/no-hit, envisagé avec la CTIF et, s’il est maintenu, exige d’en définir à l’avance le contenu et la base légale.
D’autres faiblesses sont relevées. L’intervention humaine est annoncée sans que son rôle ni son moment soient précisés. Le responsable du traitement n’est pas clairement désigné entre le SPF Finances et l’administrateur général de l’AGISI. Les durées de conservation restent floues, surtout pour les données qui ne débouchent sur aucune enquête, et les journaux de connexion doivent avoir leur propre régime. Si des prestataires externes interviennent, la définition des critères de fond doit rester entre les mains de l’autorité publique.
L’AIPD comme condition préalable
L’Autorité rappelle qu’un tel traitement présente un risque élevé. Une analyse d’impact est obligatoire au titre de l’article 35 du RGPD, une consultation préalable s’impose si un risque résiduel élevé subsiste (article 36), et les AIPD et analyses de risques doivent être refaites régulièrement. Elle signale le risque de fuite propre à toute centralisation de données. Sur les droits des personnes, elle demande qu’il soit possible de contester l’exactitude des données sources, mais aussi celle des données dérivées, des liens établis et des signaux de risque produits par l’analyse, et d’obtenir leur correction en temps utile.
Ce que l’organisme public doit vérifier avant de lancer un traitement de détection
L’avis porte sur un texte belge, mais son raisonnement vaut pour tout organisme public qui envisage de repérer des fraudes, des anomalies ou des situations à risque par croisement de fichiers : collectivités qui contrôlent l’attribution d’aides, organismes de protection sociale, services d’inspection. Avant la mise en production, plusieurs vérifications s’imposent :
- identifier le texte qui fonde le traitement et vérifier qu’il précise la finalité, les catégories de données et les personnes concernées, au lieu de décrire seulement des moyens techniques ;
- documenter la nécessité : quelle difficulté le traitement résout, et pourquoi les dispositifs existants ne suffisent pas ;
- inscrire au registre chaque source croisée, avec la base légale de sa collecte initiale et les conditions de sa réutilisation ;
- conduire l’AIPD en décrivant les paramètres de l’algorithme, le moment de l’intervention humaine et le sort des faux positifs ;
- fixer une durée de conservation par traitement, avec une règle de suppression pour les signaux non confirmés ;
- journaliser les accès et les requêtes, et définir la durée de conservation de ces journaux ;
- encadrer le prestataire par un contrat conforme à l’article 28, en gardant la maîtrise des critères de sélection ;
- prévoir l’information des personnes et une voie pour contester les données dérivées.
En France, une décision individuelle prise sur le fondement d’un traitement algorithmique doit en outre comporter une mention explicite, et l’administration doit pouvoir communiquer les règles de ce traitement à la personne qui le demande (article L. 311-3-1 du code des relations entre le public et l’administration). L’article 22 du RGPD encadre par ailleurs les décisions fondées exclusivement sur un traitement automatisé. Le guide de la CNIL sur l’AIPD fournit la méthode pour documenter ces choix.
Les DPO du réseau DPO FRANCE accompagnent les collectivités et organismes publics dans l’examen de ces projets, de la vérification des bases juridiques à la conduite de l’AIPD. DPO SUITE réunit dans un même outil le registre, les analyses d’impact, les sous-traitants et les preuves de conformité, ce qui facilite la réponse à une autorité de contrôle.
