Vendre quelque chose sur Vinted ? Là va votre vie privée

Une nouvelle directive oblige les plateformes numériques comme Airbnb et Vinted à conserver à grande échelle les numéros de service citoyen (BSN). Une situation très indésirable, à mon avis. C'est pourquoi j'ai écrit la tribune ci-dessous, publiée aujourd'hui dans le quotidien national néerlandais Trouw.  

Une nouvelle directive européenne oblige des centaines de plateformes numériques et de marketplaces à collecter des informations sur leurs vendeurs et à les échanger avec les autorités fiscales locales. Il s'agit d'une nouvelle mesure de lutte contre la fraude fiscale. Cette directive, appelée DAC7, s'applique dans toute l'Union européenne et est intégrée dans la législation nationale de chaque pays. Y compris aux Pays-Bas.

La nouvelle directive vise les plateformes numériques et marketplaces actives en Europe sur lesquelles des utilisateurs génèrent des revenus. Parmi ces utilisateurs figurent aussi de nombreux consommateurs. Pensez par exemple aux personnes qui louent leur logement ou leur voiture, qui proposent leurs services via des plateformes en ligne ou qui vendent des vêtements d'occasion. Toute personne réalisant au moins 2 000 euros de chiffre d'affaires par an sera concernée par cette déclaration.

La solution est-elle proportionnée ?

L'idée derrière la directive est claire, mais la solution est-elle proportionnée ? C'est toute la question. Aux Pays-Bas, la loi semble devoir être mise en œuvre de telle sorte que notre BSN sera enregistré, puisqu'il s'agit aussi du numéro fiscal du consommateur. Si vous louez votre maison via Airbnb (une entreprise basée en Irlande et aux États-Unis) ou vendez vos vêtements d'occasion sur Vinted (Lituanie), ces entreprises enregistreront donc votre BSN. Cela concerne des centaines de plateformes aux Pays-Bas et en Europe, qui devront conserver à grande échelle des bases de données de numéros de service citoyen. Reste à savoir si cela sera fait partout correctement et en toute sécurité, surtout à une époque où la cybercriminalité et l'usurpation d'identité sont monnaie courante.

Aux Pays-Bas, nous avons toujours accordé une grande importance à la protection de la vie privée liée au BSN. Si cette législation est adoptée, cette protection sera compromise. On ne comprend absolument pas pourquoi cette collecte massive de données est nécessaire ni pourquoi le principe de minimisation des données n'a pas été appliqué. Pourquoi ne pas simplement enregistrer et vérifier les comptes bancaires ? Moins pratique pour l'administration fiscale, mais des millions de fois plus sûr. Et l'Autorité de protection des données ? Elle semble elle aussi avoir renoncé à protéger le BSN, puisqu'elle n'a pas réagi de manière significative au projet de loi. Le texte a été adopté par la Chambre sans grand bruit et, d'un point de vue européen, doit entrer en vigueur au 1er janvier 2023.