L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureLe fisc et les douanes veulent renforcer la surveillance des réseaux sociaux
La traque des fraudeurs sur Facebook ou leboncoin est autorisée depuis 2020. Mais les limiers de l’administration se heurtent encore à plusieurs obstacles juridiques. Ils viennent de formuler leurs vœux dans un rapport consulté par l’Informé.
Surveiller de manière automatisée les activités sur les réseaux sociaux ou leboncoin pour détecter des indices de fraudes fiscales ou douanières. Voilà les nouveaux pouvoirs reconnus par le législateur aux agents de Bercy depuis la loi de finances pour 2020. Cette expérimentation, qui a débuté en 202...
Avant de plonger dans les résultats de la mise en œuvre de ce traitement, il faut revenir un instant sur les rouages de ce dispositif inédit. Très débattu au Parlement, il repose sur un traitement de masse : la collecte et l’exploitation automatisées des petites annonces ou des posts sur les réseaux sociaux pour révéler de possibles fraudes. À l’article 154 de la loi de finances pour 2020, le législateur a encadré cette aspiration en interdisant au fisc et aux douanes de passer par un sous-traitant, exception faite pour la conception des outils de traitement des données. Les données utiles peuvent en outre être conservées pour une période maximale d’un an. Une sauvegarde plus longue nécessite une procédure pénale, fiscale ou douanière. Les données inutiles sont effacées dans les 30 jours, et même dans les 5 jours pour les plus sensibles comme celles touchant à l’état de santé, les opinions politiques ou religieuses (photo dans un meeting, un lieu religieux ou dans un hôpital par exemple). De même, si le Conseil constitutionnel a donné son feu vert, les Neuf Sages ont réduit la voilure de ce traitement considérant qu’il portait atteinte au respect de la vie privée et à la liberté d’expression.
D’une part, seuls les contenus « librement accessibles » peuvent être collectés et exploités. Cela interdit aux algorithmes de Bercy d’aspirer les contenus disponibles seulement après saisie d’un mot de passe ou après inscription sur le site en cause, par exemple pour consulter des posts non publics sur Facebook. Précisons tout de même que de nombreuses publications restent directement accessibles sur les réseaux sociaux même sans être logué, néanmoins les informations disponibles sont beaucoup moins complètes. Sur Facebook, par exemple, les coordonnées du vendeur ne sont pas renseignées.
D’autre part, ne peuvent être aspirés que les contenus se rapportant à la personne qui les a délibérément divulgués. Cela prohibe par exemple l’aspiration des photos d’un contribuable prétendument domiciliées à l’étranger, mais diffusées par un tiers sur Snapchat ou Instagram. La CNIL elle-même a mis son grain de sel à l’occasion de la publication du décret d’application du 11 février 2021 qui marque le point de départ de l’expérimentation. Sa délibération a interdit la possibilité pour le fisc d’utiliser des robots collecteurs de données via les API (« application programming interface »), en clair, les interfaces de mise à disposition des données, puisque les plateformes exigent là aussi une inscription préalable. Des garanties qui ont pesé dans le bilan intermédiaire dressé par les deux directions.
Des centaines de milliers d’euros d’investissement
Ce rapport que l’Informé a pu consulter donne déjà plusieurs détails précieux sur les deux phases prévues par le décret d’application de février 2021 : une phase de conception et d’apprentissage pour développer les outils et identifier les indicateurs pertinents, une phase d’exploitation visant à collecter les données, les analyser au sein du traitement Ciblage pour la Fraude et Valorisation des Requêtes (CFVR) et transmettre les résultats positifs aux services de contrôle compétent.
La DGFIP a fait appel à la société Sopra-Steria et l’élaboration de l’architecture informatique a coûté 33 400 euros. Ce n’est pas grand-chose, mais il faut rajouter 616 600 euros pour la collecte ou encore des solutions d’accès automatisés aux plateformes. À l’arrivée, la facture totale a atteint 650 000 euros. Elle aurait pu être plus lourde encore si les agents de Bercy n’avaient pas utilisé une partie des outils à disposition comme le cloud NUBO, la solution de stockage de l’État. De son côté, la Douane a investi 500 000 euros dans le projet de « WebScrapping », à savoir l’extraction à grande échelle des données d’un site par requêtes automatisées. L’administration a également obtenu un financement du Plan de relance pour un montant de 165 000 euros. Elle a aussi fait appel à Sopra-Steria pour l’outil de visualisation et Capgemini, afin de développer certains scripts informatiques.
Des robots mutualisés
Toujours pour alléger la note, les deux entités ont aussi choisi de mutualiser leurs robots de collecte automatisée via la « Forge Ministérielle », un site collaboratif hébergé sur Nubo où les développeurs de projets des administrations mettent en ligne leurs codes. « Cette mutualisation des travaux permet ainsi une économie financière globale pour les deux directions, qui s’est traduite par le versement de 95 000 € de la DGDDI à la DGFiP au titre du partage des coûts de réalisation des robots ».
En tout, trois robots de collectes ont été conçus pour aspirer les données brutes des pages surveillées, comme des annonces de véhicules de luxe sur leboncoin par exemple. Dans les données collectées, on trouve le numéro de l’annonce, sa catégorie, la date, le prix, le nombre d’images, les éléments de localisation comme le code postal. Et parmi les indicateurs construits à partir de ce stock, le nombre d’annonces de la même catégorie pour un même utilisateur, le montant total des annonces pour cet utilisateur et le montant moyen. Une analyse plus fine a tenté de détecter la présence d’adresse email, d’un numéro de téléphone ou d’un numéro Siren (Système d’identification du répertoire des entreprises). Si ce numéro n’est pas connu de la DGFIP, il y a possible activité occulte, surtout si un même individu poste plusieurs annonces pour un même produit.
L’émoji « cigarette » est surveillé, mais non encore les photos
Pour ce tour de chauffe qui a débuté le 13 février 2021, la DGDDI (les douanes) s’est surtout concentrée sur le webscraping en matière de contrebande de tabac sur trois plateformes spécifiques (non dévoilées). Objectif : traquer les revendeurs. La direction s’en explique : le trafic grandit année après année (402,1 tonnes de tabac saisies en 2021, contre 284,5 tonnes en 2020 et 360 en 2019). En outre, ces fraudes « se professionnalisent en profitant du sentiment d’anonymat ou d’impunité que confère Internet », elles « sont facilitées par la création et la mutation des sites : changement de noms, d’adresse, de structure de l’information… ». Enfin, elles « profitent du morcellement des envois, qui diluent les capacités de contrôle et de saisie des autorités douanières ».
Dans le détail, les services utilisent un total de 39 mots-clefs (comme « cigarette » ou « cartouches ») sur les sites d’annonces. 193 filtres d’exclusions sont également appliqués comme « carte postale » pour « éliminer les cartes postales et photographies de bureau de tabac ». Une surprise : la direction n’analyse pas encore les images des annonces, car la fonctionnalité a été jugée trop complexe techniquement, mais elle détecte tout de même des « émojis d’intérêts » comme l’émoji « cigarette », qui suscite les attentions de ses algorithmes. Après chalutage et tri, les annonces qui restent dans les filets sont « identifiées comme vraisemblablement frauduleuses » et soumises à enquête plus approfondie et humaine.
Ces opérations se sont toutefois heurtées à plusieurs obstacles mis en place par les sites. Certains ont par exemple banni des adresses IP (Internet Protocol) qui, comme celles des robots, consultent trop d’annonces en un temps très court, en tout cas au-delà des capacités humaines. D’autres plateformes ont modifié au fil de l’eau la structure de leurs pages, par exemple l’emplacement d’un titre d’annonce, embrouillant le travail des outils automatisés.
Résultat, sur 55 000 annonces passées au tamis, seulement 600 sont remontées dans l’outil de visualisation et identifiées comme potentiellement frauduleuses. Dans ce lot, près de 80 ont été retenues par le service spécialisé Cyberdouane et sont en cours d’analyse. Et pour le moment… seules deux sont visées par une enquête.
Déménageurs, plombiers et coiffeurs traqués
À l’instar des Douanes, l’administration fiscale (DGFIP) a aussi vite adopté le nouvel outil mis à sa disposition. « Deux premières campagnes de scraping de sites de ventes de biens et de services ont été mises en production à l’été 2021 et à l’hiver 2021/2022 ». Dans la première, 13 227 annonces ont été collectées frappant les services proposés sur les sites d’annonces : 3 490 de déménageurs, 3 500 en prestations informatiques, 769 de plombiers, 3 494 de soins, 1 362 de cours particuliers, et même 621 de coiffeurs. Enseignement intéressant : environ un tiers des annonces, publiées par plus de 719 utilisateurs des sites, n’affichaient pas de numéro SIREN connu ou alors ce dernier correspondait à une entreprise radiée…
De l’avis même de la direction, « les résultats sont très positifs et montrent la pertinence des travaux de collecte puisque les enquêtes réalisées par les services de recherche durant l’été 2021 ont permis de confirmer le caractère occulte de l’activité pour 18 % des annonceurs et de la présumer pour 45 %, ce qui est très élevé ». Poliment et sans fournir de chiffres des intérêts en jeu, les services reconnaissent tout de même que « compte tenu de la qualité des professions étudiées, les enjeux fiscaux ne sont pas nécessairement au rendez-vous ». En clair, le fisc ne fera pas son beurre en redressant des particuliers qui réparent un joint au black. Malgré tout, ils estiment que des campagnes de régularisation et de courrier à l’attention de ces indélicats pourraient « renforcer le civisme fiscal » et lutter contre la concurrence déloyale de ces offres.
Haro sur les ventes de voitures
Depuis l’automne 2021, une nouvelle campagne a été lancée pour s’intéresser cette fois aux ventes de véhicules, sans doute plus profitables pour Bercy. En identifiant le numéro de téléphone, les agents ont pu regrouper les annonces par des vendeurs uniques, même s’ils utilisaient plusieurs pseudonymes. Bercy a mis en œuvre par deux fois son droit de communication auprès des opérateurs de téléphonies et des sites d’annonces pour obtenir l’ensemble des offres publiées sur les six derniers mois par un même annonceur. « Cette opération a permis la collecte d’environ 280 000 offres de véhicules et d’identifier au sein de ces annonces, 6 380 annonces correspondant à 1 434 vendeurs de véhicules a priori occultes. Sur ces 1 434 vendeurs, 645 ont pu être identifiés. Leurs dossiers ont été envoyés dans les services pour contrôle en mars 2022 ». Ces 645 vendeurs correspondent en réalité à 416 personnes différentes. 416 dossiers qui « ont donné lieu à ouverture de 229 enquêtes, 115 contrôles sur pièces et 5 propositions de contrôle sur place ».
Finalement, « l’activité occulte a été confirmée dans 13 % des dossiers, non confirmée dans 66 % des dossiers et l’expertise est toujours en cours dans 21 % des dossiers ». Pour les cas confirmés ou suspicieux, le montant total des intérêts en jeu s’élève à 22 millions d’euros. Voilà pourquoi, malgré un taux de déchets importants, le résultat est jugé « très encourageant » par les équipes de Bruno Le Maire, puisqu’obtenu après une seule journée de collecte.
Les vœux au Parlement
L’expérimentation s’achèvera le 12 février 2024. L’année prochaine, le législateur devra donc décider de la pérennisation du dispositif. Sans attendre le bilan définitif, les deux directions vantent « l’intérêt de la collecte et de l’exploitation des données des réseaux sociaux et des plateformes d’échanges ». Et militent donc pour une inscription dans la durée comme on pouvait s’y attendre.
Si ce système de surveillance a de fortes « potentialités », il connaît tout de même d’importantes limites que le législateur est invité à résoudre : la traque des fraudes à la domiciliation est très difficile à mettre en œuvre en raison des règles en vigueur interprétées par le Conseil constitutionnel. « Les recherches visant à l’identification des personnes faussement domiciliées à l’étranger peuvent difficilement être effectuées, car elles reposent sur l’analyse des données des réseaux sociaux qui, même manifestement rendus publiques par leurs utilisateurs et correspondant à des contenus librement accessibles, ne peuvent être collectées en raison de la nécessité de se connecter au préalable auxdits réseaux sociaux ».
Mais l’obstacle majeur auquel se heurtent ces nouveaux outils, c’est que la loi les empêche pour l’heure de créer un compte sur les réseaux sociaux. « Le faible nombre d’annonces frauduleuses présentes sur les plateformes choisies pour l’expérimentation sans authentification préalable ne permet pas de disposer d’un nombre suffisant d’exemples exploitables pour la phase d’apprentissage du modèle (environ 80 exemples d’annonces frauduleuses par mois) » regrettent les rapporteurs. Dit autrement, le modèle d’apprentissage automatisé ne dispose pas encore de beaucoup de matières pour s’entraîner et aiguiser son flair.
De leur avis, la situation actuelle est « particulièrement paradoxale » : « alors que la rédaction actuelle du texte interdit à l’administration de collecter et exploiter les contenus publiés sur les réseaux sociaux avec un statut de confidentialité « public » puisqu’il faut se connecter à la plateforme pour y accéder, ces contenus sont en revanche librement accessibles aux dizaines de millions d’utilisateurs de ces réseaux sociaux actifs mensuellement en France ». De plus, « les plateformes elles-mêmes mettent à disposition des outils permettant de cibler, extraire et collecter les données de leurs utilisateurs et de nombreux logiciels existent sur le marché pour parvenir aux mêmes fins. Seules les administrations fiscales et douanières en sont empêchées alors qu’elles poursuivent l’objectif de valeur constitutionnelle de lutte contre la fraude et l’évasion fiscales ».
Autre souci que le législateur est invité à corriger : l’impossibilité de détecter d’éventuelles minorations ou dissimulation des recettes. Le système est en effet taillé pour détecter les activités occultes, qui concernent uniquement le contribuable professionnel qui « cumulativement, soit n’a pas fait connaître son activité à un centre de formalité des entreprises ou au greffe du tribunal de commerce, soit s’est livré à une activité illicite, et n’a pas accompli ses obligations déclaratives dans les délais légaux ». Les sociétés prétendument en sommeil ou celles éphémères qui oublient de déposer leurs déclarations fiscales sont donc hors radar des robots puisque dotées d’un numéro SIREN.
Enfin, les deux entités voudraient aussi pouvoir collecter et exploiter les commentaires publiés sur les réseaux sociaux, toujours dans l’objectif de traquer les fraudes avec des outils automatisés.
