L'administration doit-elle respecter la protection des données dans le cadre de l'affaire du CD des fraudeurs fiscaux ?
Imaginez le cas fictif suivant : des administrations fédérales allemandes achètent un CD contenant des données à caractère personnel de fraudeurs fiscaux avérés et/ou présumés.
Le vendeur est, par exemple, un employé de banque qui a enregistré sans autorisation des données bancaires à caractère personnel issues des systèmes de la banque et les a proposées à la vente aux autorités fiscales. Sur la base de ces données, des procédures pénales fiscales sont ensuite engagées et des redressements fiscaux sont fixés. Du point de vue de la protection des données, il convient tout d’abord de noter que la collecte, Traitement et l'utilisation des données à caractère personnel uniquement dans le cadre d'une stricte Affectation des fonds est autorisé (article 28 de la loi fédérale sur la protection des données).
Le site Transmission et l'utilisation de ces données à d'autres fins est certes autorisée aux fins de la poursuite de Crimes et délits En principe, cela est également autorisé. Les poursuites pénales sont toutefois soumises à une procédure formelle. C'est pourquoi, en cas de soupçon initial correspondant, une enquête judiciaire formelle est généralement ouverte.
Affectation spécifique des fonds provenant du CD des fraudeurs fiscaux ?
Ce n'était toutefois pas le cas pour les personnes concernées par cette base de données. L'achat des données n'a donc pas été effectué dans le cadre d'une enquête judiciaire concrète, de sorte que la Transmission et que l'utilisation de ces données serait illicite. La collecte ou l'utilisation illicite de données à caractère personnel rend la responsable L'organisme est toutefois tenu de verser des dommages-intérêts (article 7 de la BDSG).
Cela signifie que tous les préjudices patrimoniaux subis par le Personnes concernées – en l’occurrence le client de la banque – à la suite de la collecte illicite de données, -traitement ou dont l'utilisation subit un préjudice, constituent un préjudice indemnisable. Si plusieurs entités, telles qu'une banque ou des employés de banque, ont agi de manière illicite, elles sont solidairement responsables. À cet égard, la question se pose de savoir si concernés Les fraudeurs fiscaux peuvent faire valoir un droit à dommages-intérêts à l'encontre de l'administration fiscale en tant qu'acquéreur du CD de données, car les intérêts fiscaux ne constituent pas, au sens de l'article 28, paragraphe 3, de la BDSG, un motif justifiant l'application stricte de la Affectation des fonds des données bancaires acquises.
Outre les frais de procédure et les amendes, il conviendrait même d'examiner la possibilité d'une indemnisation pour préjudice moral, comme le prévoient diverses lois régionales sur la protection des données. Personnes concernées et les conseillers ne négligeront pas les aspects liés à la protection des données pour se prémunir contre d'éventuelles réclamations ou pour justifier une action en recours. Les entreprises se protègent dès le début contre le vol de données en prenant des mesures appropriées et sont conscientes du risque d'utilisation abusive des données par leurs employés. Certaines entreprises gèrent des bases de données qui servent à Troisième qui présentent un intérêt et dont la vente pourrait constituer une forte tentation pour les employés. De même, en cas de vol de données, une entreprise doit s'attendre à des réclamations de la part des personnes concernées si elle n'a pas pris les mesures de sécurité appropriées.
Cour constitutionnelle fédérale : les informations contenues dans le CD fiscal peuvent être utilisées
L'appréciation, au regard de la législation sur la protection des données, de l'achat de ce que l'on appelle des „ CD fiscaux “ doit en outre être considérée à la lumière de la jurisprudence ultérieure. Le Cour constitutionnelle fédérale a avec Décision du 9 novembre 2010 (réf. 2 BvR 2101/09) a décidé que l'utilisation, dans le cadre d'une procédure pénale fiscale, de données bancaires obtenues illégalement par des particuliers pouvait en principe être admissible.
Selon le tribunal, l'obtention illicite de données par un informateur privé n'entraîne pas automatiquement l'exclusion de ces preuves. Il importe notamment que les autorités publiques n'aient pas elles-mêmes obtenu ces données de manière illicite ou incité l'informateur à commettre cet acte.
Cette décision montre qu’il convient de distinguer, d’une part, la licéité de la collecte de données au regard de la protection des données et, d’autre part, l’admissibilité des éléments ainsi obtenus dans le cadre d’une procédure pénale. Même si la collecte initiale des données était illégale, cela n’implique pas nécessairement que les données soient inutilisables ou qu’un droit à des dommages-intérêts puisse être invoqué à l’encontre de l’administration fiscale.
Mise à jour 2026 : Indemnisation en vertu de l'article 82 du RGPD
Depuis l'entrée en vigueur de la RGPD En matière de protection des données, le montant des dommages-intérêts est déterminé en premier lieu par l'article 82 RGPD. En conséquence, tant les dommages matériels que les dommages immatériels peuvent donner lieu à une indemnisation. Un simple Violation contre les RGPD Cela ne suffit toutefois pas pour faire valoir un droit à des dommages-intérêts. Il faut un Violation contre les RGPD, un préjudice effectivement subi et un lien de causalité entre les deux. La Cour de justice de l'Union européenne a par ailleurs précisé qu'il n'était pas nécessaire, en matière de préjudice moral, de dépasser un certain seuil de gravité.
La perte du contrôle sur données à caractère personnel ou une crainte fondée d'un abus futur peut en principe constituer un préjudice moral. En revanche, une crainte purement hypothétique ne suffit pas ; la concernés La personne doit être en mesure de prouver qu'un préjudice s'est effectivement produit.
Quelle importance revêtent encore aujourd'hui les „ CD des fraudeurs fiscaux “ ?
L'importance pratique des CD fiscaux classiques a considérablement évolué depuis 2010. L'Allemagne participe désormais à l'échange automatique d'informations internationales sur les comptes financiers conformément à la norme commune de déclaration (Common Reporting Standard, CRS). Depuis la période de déclaration 2016, les établissements financiers allemands transmettent les informations sur les comptes prévues par la loi à l'Office fédéral central des impôts, qui les échange avec les États participants. À l'heure actuelle, plus de 100 États participent à cette procédure.
La question fondamentale soulevée dans cet article reste néanmoins d'actualité : quelles sont les conséquences lorsque données à caractère personnel ont été obtenues illégalement puis utilisées par les autorités ou les tribunaux ? À ce sujet, la CJUE a de nouveau précisé en juin 2026 que données à caractère personnel ne sont pas automatiquement exclues comme éléments de preuve au seul motif qu’elles ont été initialement obtenues de manière illicite. Dans l’affaire en question, il s’agissait certes d’une procédure devant le tribunal du travail et non de données fiscales ; toutefois, cette décision souligne la nécessité de distinguer entre la légalité d’une collecte de données au regard de la protection des données et l’admissibilité des éléments de preuve dans le cadre de la procédure.
German 
English 
Italian 
French