Échanges de données CAF-police : La Quadrature du Net saisit le Conseil d'État au nom du RGPD

· Par Edouard Schlumberger
👈 les autres actualités

La Quadrature du Net a rendu publique le 12 novembre 2026 une requête au Conseil d'État, datée du 11 novembre, contre le cadre des échanges de données entre la police, la gendarmerie et les organismes sociaux (CAF, Assurance maladie, France Travail) au sein des comités opérationnels départementaux anti-fraude, les CODAF. L'association invoque trois principes de l'article 5 du RGPD et l'interdiction de traiter des données sensibles, et l'accompagne d'une question prioritaire de constitutionnalité. Pour un DPO du secteur public, la question est concrète : que vaut un échange autorisé par la loi, mais organisé par de simples protocoles ?

Ce que La Quadrature du Net attaque

La requête vise le refus implicite, né le 29 septembre 2026, du chef de la mission interministérielle de coordination anti-fraude (MICAF) d'abroger deux textes : le protocole national sur les fraudes aux prestations sociales du 8 février 2013 et le protocole national sur la fraude documentaire du 29 décembre 2021. L'association lui en avait demandé l'abrogation par un courrier du 26 juillet 2026, reçu le 29 juillet. Elle vise aussi la décision non formalisée, révélée selon elle par ces protocoles, d'organiser les échanges d'informations dans les CODAF.

Ces échanges reposent sur les articles L. 114-16 à L. 114-16-3 du code de la sécurité sociale. L'article L. 114-16 habilite l'autorité judiciaire à communiquer « toute indication qu'elle recueille, à l'occasion de toute procédure judiciaire, de nature à faire présumer une fraude ». L'article L. 114-16-1 permet aux agents habilités de « s'échanger tous renseignements et tous documents utiles ». Selon la requête, ces dispositions ne renvoient à aucun décret d'application : l'organisation des échanges tient aux CODAF et à ces protocoles.

Le protocole de 2013 organise les transmissions de la police et de la gendarmerie aux CAF pour « mettre en évidence d'éventuelles fraudes aux ressources, à l'isolement ou à la résidence ». Celui de 2021 prévoit notamment la transmission de l'état civil des auteurs présumés, de copies de documents d'identité, de justificatifs de domicile, de RIB, d'avis d'imposition et de bulletins de paie. Interrogée par l'association, la MICAF a indiqué le 20 avril 2026 qu'il n'existait que ces deux protocoles nationaux, sans avenant.

Pourquoi c'est important

La requête soutient d'abord que ces échanges relèvent du RGPD et non de la directive police-justice : à l'exception de l'autorité judiciaire, les administrations signataires, responsables de traitement, ne seraient pas des « autorités compétentes » au sens de cette directive. Elle invoque ensuite quatre griefs :

  • la minimisation (article 5, paragraphe 1, c)), parce que le seul critère est l'« utilité » des données pour la lutte contre la fraude ;
  • la loyauté et la transparence (article 5, paragraphe 1, a)) envers les personnes concernées ;
  • la limitation des finalités (article 5, paragraphe 1, b)), des données collectées pour d'autres finalités, par exemple au cours d'une procédure judiciaire, étant transmises pour le contrôle ;
  • à titre subsidiaire, l'interdiction de traiter des données sensibles (article 9).

L'association demande l'annulation du refus et une injonction d'abroger sous astreinte de 1 024 euros par jour de retard. À titre subsidiaire, elle demande au Conseil d'État de poser trois questions préjudicielles à la CJUE, une par principe de l'article 5. Sa QPC vise les trois premiers alinéas de l'article L. 114-16 et les deux premiers de l'article L. 114-16-1, au nom du droit au respect de la vie privée, du secret de l'enquête et de l'instruction, et du droit à un recours effectif.

La requête s'appuie aussi sur la délibération n° 2022-101 du 6 octobre 2022 de la CNIL, qui distinguait les échanges réalisés pour répondre aux demandes de l'usager de ceux réalisés « à des fins de police administrative, de surveillance ou de détection des fraudes, pour lesquels il convient d'avoir une vigilance particulière ».

Ce que ça change pour les organisations

Rien n'est jugé à ce stade : le Conseil d'État doit d'abord se prononcer sur la transmission de la QPC. Mais tout organisme qui reçoit ou transmet des données à une autre administration peut déjà vérifier :

  • que chaque flux sortant ou entrant figure au registre, avec sa base légale exacte, sa finalité et les catégories de données échangées ;
  • que la liste des données transmises est fermée, et non définie par un critère d'« utilité » ;
  • que la réutilisation de données collectées pour une autre finalité a fait l'objet d'un test de compatibilité documenté ;
  • que les données sensibles éventuellement transmises reposent sur une exception de l'article 9, paragraphe 2, identifiée.

Ce que Leto en pense

Le fond appartient au juge, mais ce recours rappelle une règle de documentation : un texte qui autorise un échange ne dispense pas de le cartographier. Un protocole signé entre administrations n'est ni une analyse de minimisation ni un test de compatibilité des finalités. Les flux inter-administrations sont souvent les moins documentés du registre, parce qu'ils semblent couverts par la loi : les décrire flux par flux est ce qui permet de répondre le jour d'un contrôle ou d'un contentieux. Si vous voulez voir comment Leto tient ces flux dans le registre, demandez une démo.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo