Un indépendant aux revenus irréguliers n’a rien fait de particulier. Son profil ressort du croisement entre le Point de contact central et le datawarehouse fiscal, un fonctionnaire lève la pseudonymisation, et un contrôleur reçoit une alerte. Le dossier n’est pas ouvert : il est priorisé.

La loi du 18 décembre 2025 ajoute les comptes-titres, les comptes de crypto-actifs et les avoirs à l’étranger au registre tenu par la Banque nationale. Son article 134 complète l’article 5 de la loi du 3 août 2012 : ces fonctionnaires peuvent « directement utiliser toutes les données détenues par le PCC » pour l’exploration, le rapprochement et le profilage de données au sens de la protection des données. Le nouvel article 201/9/7 du Code des droits et taxes divers autorise même la consultation directe du registre pour la taxe sur les comptes-titres, sans soupçon concret préalable.

L’APD demande des indices, la loi n’en fixe aucun

L’Autorité de protection des données, dans son avis n° 36/2025 du 21 mai 2025, estime que les auteurs du projet « ne parviennent pas à étayer de manière convaincante la nécessité et la proportionnalité de cette mesure », vu « l’ingérence considérable » d’un traitement à grande échelle. Elle demande que l’accès suppose des indices de fraude, la même exigence d’indices que pour le fisc. Selon le recours introduit le 26 juin 2026 par la fondation Ministry of Privacy, les facteurs de risque ne seraient pas définis par la loi — allégation de requérante, mais qui vise le point exact.

La pseudonymisation ne protège que jusqu’à la levée du masque, et cette levée dépend de critères que le texte ne fixe pas. Nous inscririons dans l’article 5, § 3 de la loi du 3 août 2012 une clause d’extinction : trois ans, puis une reconduction par une loi distincte, votée après un rapport public de l’APD sur les faux positifs et les dossiers ouverts par le seul algorithme. Trois ans, puis une loi distincte.

Sources