La direction générale des finances publiques est autorisée à mettre en œuvre un traitement informatisé et automatisé de données à caractère personnel dénommé « GALAXIE » au sein, d'une part, de ses services chargés d'une mission de contrôle des impôts, droits et taxes prévus par le code général des impôts et, d'autre part, des services de contrôle et d'enquête ainsi que de recouvrement de la direction générale des douanes et des droits indirects.

Le traitement GALAXIE est un outil de visualisation, au niveau national, d'une part, des liens existant entre des entités professionnelles (liens de participation), et entre des entités professionnelles et des personnes physiques (liens de dirigeant, d'associé ou d'actionnaire), et d'autre part, des éléments de contexte sur la situation patrimoniale et fiscale de ces personnes.
Il est consulté par les agents habilités, aux fins d'amélioration du respect des obligations fiscales des usagers, pour mener des opérations de recherche, d'enquête, de programmation, de contrôle et de recouvrement de manquements fiscaux.

I. - Les données à caractère personnel traitées sont :
1° Données d'identification des personnes physiques et morales :

- s'agissant des entreprises et personnes morales ou entités : SIREN, dénomination, dates de création et de cessation d'activité, statut juridique, activité exercée ;
- s'agissant des personnes physiques : numéro fiscal, noms et prénoms de naissance et d'usage, date et lieu de naissance, date de décès, civilité, identité du conjoint ou partenaire ;

2° Données fiscales :

- s'agissant des entreprises et personnes morales ou entités : catégorie de chiffre d'affaires, obligations fiscales (impôts et taxes auxquels sont assujettis les personnes), régime d'imposition, adresse fiscale de taxation ;
- s'agissant des personnes physiques : obligations fiscales (impôts et taxes auxquels sont assujettis les personnes), adresse fiscale de taxation, revenu fiscal de référence, année de déclaration de revenu, numéro fiscal du foyer, indicateur dossier à fort enjeu ;

3° Données de contexte :

- s'agissant des entreprises et personnes morales ou entités : données relatives aux remboursements de crédit de TVA, aux procédures collectives, aux honoraires versés, numéro de téléphone, adresse électronique, indicateur personnes sensibles, données relatives au civisme fiscal, service gestionnaire du dossier fiscal, données relatives au compte bancaire, aux liens de dirigeants et d'associés ;
- s'agissant des personnes physiques : indicateur personnes sensibles, service gestionnaire du dossier fiscal, données relatives aux liens de dirigeants et d'associés.

II. - Les opérations de consultation font l'objet d'une journalisation qui se traduit par la conservation, pour chaque connexion, de l'identifiant de l'auteur, des références des éléments utilisés, de la nature des actions effectuées, du motif de consultation, des exports réalisés ainsi que de la date et l'heure de la consultation.

Sont rendus destinataires des données personnelles strictement utiles à leur mission et conformément au principe du besoin d'en connaître :

- les agents de la direction générale des finances publiques territorialement compétents chargés de la recherche, de la programmation, du contrôle et du recouvrement suite au contrôle des dossiers des personnes à l'égard desquelles ils participent aux travaux de programmation du contrôle fiscal ou exercent les missions de contrôle ou de recouvrement précitées ;
- les agents habilités de la direction générale des douanes et des droits indirects chargés des missions de contrôle et d'enquête, et du recouvrement des créances en lien avec la lutte contre la fraude.

Les données traitées sont issues du traitement de ciblage de la fraude et valorisation des requêtes (CFVR) qui alimente mensuellement le traitement GALAXIE.

Les données consultables ont une profondeur historique maximale de dix ans à compter de la collecte de l'information par la DGFiP dans le traitement CFVR.
Les données mentionnées au II de l'article 3 sont conservées quatre ans.

Les droits d'accès aux informations collectées, à la rectification de ces données ainsi qu'à la limitation de leur traitement s'exercent auprès du service en charge du contrôle fiscal dans les conditions prévues par les articles 15, 16, 17 et 18 du règlement (UE) 2016/679 susvisé à l'adresse suivante : bureau SJCF-1D, bâtiment Sully, 64-70, allée de Bercy, 75574 Paris Cedex 12.
Afin de garantir l'objectif d'intérêt général de civisme fiscal et d'égalité devant l'impôt, le droit d'opposition prévu à l'article 21 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ne s'applique pas au présent traitement en application de l'article 23 du même règlement.
Le droit à l'effacement prévu à l'article 17 du règlement (UE) 2016/679 du 27 avril 2016 susvisé n'est pas applicable au présent traitement, conformément au paragraphe 3 de ce même article.

Le directeur général des finances publiques est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.