Projet de loi n° 7216, doc. parl n° 7216/00, p. 11 Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7216B 1) portant transposition de :

1. a)l'article 31 de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n° 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission ; et
2. b)l'article ler, point 16, de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE ; 2) portant modification de la loi modifiée du 27 juillet 2003 relative au trust et aux contrats fiduciaires ; et 3) portant abrogation de la loi du 10 août 2018 relative aux informations à obtenir et à conserver par les fiduciaires et portant transposition de l'article 31 de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n° 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission Délibération n° 6/2020 du 28 février 2020 Conformément à l'article 57, paragraphe ler, lettre (
3. c)du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». [ '« ÇNPD N•110,1Alf Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts 1/17 Par courrier en date du 11 octobre 2019, Monsieur le Ministre des Finances a invité la Commission nationale à se prononcer sur les amendements gouvernementaux au projet de loi n° 7216B instituant un registre des fiducies et portant transposition de l'article 31 de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n° 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission (ci-après « le projet de loi »). Une partie de l'article 31 de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme (ci-après « la directive 2015/849 »), telle que modifiée par la directive (UE) 2018/843 du parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE (ci-après « la directive 2018/843 ») a été transposée par la loi du 10 août 2018 relative aux informations à obtenir et à conserver par les fiduciaires (ci-après « la loi du 10 août 2018 »). Dès lors, afin de ne pas disposer de deux lois distinctes au niveau national transposant un même article de la directive 2015/849, les auteurs proposent d'abroger la loi du 10 août 2018 et d'insérer les dispositions auparavant contenues dans la loi du 10 août 2018 dans ce projet de loi tout en assurant que les modifications apportées par la directive 2018/843 à ces dispositions soient répercutées dans le présent projet de loi n° 7216B. Les auteurs visent également à tenir compte des principes établis par la recommandation 25 du Groupe d'action financière (ci-après « GAFI »). Le projet de loi comporte ainsi deux volets. Premièrement, le projet de loi prévoit l'obligation pour les fiduciaires et les trustees d'obtenir et de conserver des données relatives aux bénéficiaires effectifs ainsi qu'à d'autres personnes spécifiées dans le projet de loi. Deuxièmement, le projet de loi vise à instaurer un registre des fiducies et des trusts (ci-après désigné « le registre ») tenu par l'Administration de l'enregistrement, des domaines et de la TVA (ci-après désignée « l'AED ») dans lequel les fiduciaires et les trustees devront faire inscrire certaines données qu'ils sont obligés de collecter en vertu de la loi en projet. La CNPD a déjà eu l'occasion de se prononcer sur la transposition des directives en matière de lutte contre le blanchiment et contre le financement du terrorisme dans ses avis n°51/2018 du 21 janvier 2018, n°485/2018 du 22 novembre 2018 et n°9/2019 du 17 janvier 2019. Le présent avis de la Commission nationale tiendra compte des amendements gouvernementaux en se basant sur la numérotation du texte coordonné. Elle se réfère également aux articles de la version coordonnée de la directive 2015/849. A titre liminaire, la CNPD note que le projet de loi utilise la notion de « personne concernée » dans le cadre des informations relatives aux personnes physiques et aux personnes morales devant être inscrites dans le registre. Afin d'éviter une quelconque confusion avec la notion de ',:D.CNPD CCF•entlfiC. DES ..Éle 1 Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts 2/17 « personne concernée » relative à une « personne physique » relevant de la règlementation en matière de protection des données, la CNPD recommande aux auteurs du projet de loi d'utiliser une terminologie différente pour ce qui est des « personnes morales ». l. Quant aux données traitées par les trustees et les fiduciaires (articles 2 et 3) La collecte de données par les trustees et les fiduciaires est principalement régie par les articles 2 et 3 du projet de loi. Or, ces articles ne définissent pas clairement les données devant être collectées par les fiduciaires et les trustees. L'article 31, paragraphe l er, alinéa 2 de la directive 2015/849 concernant les données à collecter par les fiduciaires et les trustees prévoit que chaque État membre exige que les « fiduciaires/frustees de toute fiducie expresse/de tout frust exprès administré dans ledit État membre obtiennent et conservent des informations adéquates, exactes et actuelles sur les bénéficiaires effectifs de la fiducie/du trust. Ces informations comprennent l'identité (
4. a)du ou des constituants, (
5. b)du ou des fiduciaires/frustees, (
6. c)du ou des protecteurs (le cas échéant), (
7. d)des bénéficiaires ou de la catégorie de bénéficiaires, et (
8. e)de toute aufre personne physique exerçant un confrôle effectif sur la fiducie/le frust. ». Ces informations incluent, au moins, le nom, le mois et l'année de naissance, le pays de résidence et la nationalité du bénéficiaire effectif, ainsi que la nature et l'étendue des intérêts effectifs détenus (article 31, paragraphe 4, alinéa 2 de la directive 2015/849). En transposant cet article, l'article 2, paragraphe l er du projet de loi impose aux trustees et aux fiduciaires d'obtenir et de conserver « des informations » sur les bénéficiaires effectifs de tout trust exprès administré au Luxembourg ou de toute fiducie pour laquelle ils occupent la fonction de trustee ou de fiduciaire. Ces informations « comprennent » l'identité du ou des constituants, du ou des trustees ou fiduciaires, du ou des protecteurs (le cas échéant), des bénéficiaires ou de la catégorie de bénéficiaires ainsi que de toute autre personne physique exerçant un contrôle effectif sur le trust ou la fiducie. Alors que le projet de loi et le commentaire des articles n'y fait pas référence, le commentaire des articles du projet de loi n° 7216 précisait que « les informations à obtenir et à conserver incluent les informations à inscrire dans le Regisfre des fiducies conformément à l'article 14, paragraphe 2, de la loi en projet »1 . En outre, les trustees et les fiduciaires doivent transmettre aux professionnels « des données relatives aux avoirs du frust et le pafrimoine des fiducies détenus ou gérés dans le cadre de la relation d'affaires » (article 6, paragraphe 2 du projet de loi). Le commentaire des articles n'explique pas quels types de données sont couverts par cette obligation. Par ailleurs, selon l'article 8, paragraphes 5 et 6 du projet de loi, les fiduciaires et les trustees, respectivement les professionnels, fournissent, sur demande, « toute information qu'ils détiennent sur toute fiducie ou tout trust » aux personnes visées à l'article 1er, paragraphe 1er, point l er, lettres
9. a)à
10. c)et point 2 du projet de loi, à savoir le procureur général d'Etat, les 1 Projet de loi n° 7216, doc. parl n° 7216/00, p. 11 Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts re0.1,0. 0.11.1 3/17 procureurs d'Etat ainsi que les membres de leurs parquets, les juges d'instruction, la Cellule de renseignement financier (ci-après « la CRF ») et les autorités de contrôle. En sus des données indiquées ci-avant, il semble que les trustees et les fiduciaires doivent également collecter et, le cas échéant, transmettre à l'AED des pièces justificatives (quelles qu'elles soient) auxquelles le projet de loi fait référence dans son article 18. L'article 3, en son paragraphe 1er dispose que « Nes trustees des trusts exprès administrés au Luxembourg et les fiduciaires obtiennent et conservent des informations élémentaires sur les autres agents réglementés et prestataires de services du trust ou de la fiducie, y compris les conseillers en investissement ou gestionnaires d'investissement, les comptables et les conseillers fiscaux. ». Les personnes visées sont obligées de fournir aux trustees et fiduciaires toutes les informations nécessaires pour que ceux-ci puissent satisfaire aux obligations leur incombant en vertu du paragraphe ler (paragraphe 2). La CNPD note tout d'abord que l'article 3 du projet de loi, contrairement à l'article 2, ne figure pas à l'article 31 de la directive 2015/849, mais est tiré exclusivement de la recommandation 25 du GAFI. Les auteurs des amendements ne fournissant pas d'explications quant à une éventuelle analyse de la nécessité et de la proportionnalité qui aurait été effectuée au sujet d'une telle obligation, de sorte que la CNPD n'est pas en mesure d'analyser la conformité d'une telle disposition avec la réglementation en matière de protection des données. Elle tient néanmoins à souligner que la formulation selon laquelle les trustees et les fiduciaires doivent collecter des informations relatives aux « autres agents réglementés et prestataires de services du trust ou de la fiducie, y compris les conseillers en investissement ou gestionnaires d'investissement, les comptables et les conseillers fiscaux » n'est pas formulée de manière suffisamment précise pour permettre aux trustees, aux fiduciaires et aux personnes visées à l'article d'identifier avec précision les personnes concernées visées. S'y ajoute que l'article prévoit que les trustees et les fiduciaires doivent collecter des « informations élémentaires », sans pour autant préciser ces « informations élémentaires ». Par ailleurs, contrairement à l'article 2, paragraphe 2, l'article 3 n'exige pas que les données soient « adéquates », ce qui contribue au caractère vague de cette disposition. L'article 5, paragraphe 1, lettre (
11. c)du RGPD énonce que seules les données adéquates, pertinentes et nécessaires au regard des finalités poursuivies par le responsable du traitement doivent être collectées (principe de minimisation des données). Afin d'empêcher une collecte de données indifférenciée et arbitraire, il conviendrait d'analyser la nécessité et la proportionnalité des données devant être traitées par les trustees et les fiduciaires dans le cadre du présent projet de loi, y compris la nécessité et la proportionnalité de l'article 3 du projet de loi. Par ailleurs, à l'instar de la recommandation du Contrôleur européen de la protection de données (ci-après « le CEPD ») émise dans son avis sur le projet de directive n° 2015/8492, la CNPD estime nécessaire 2 Avis du Contrôleur européen de la protection des données du 4 juillet 2013 sur une proposition de directive du Parlement européen et du Conseil relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme, et une proposition de règlement du Parlement européen et du Conseil sur les informations accompagnant les virements de fonds, points 83-84. ÇNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts P•OMCI,01.4 ocs 4/17 d'amender le projet de loi afin d'y indiquer les catégories de données, qui doivent être obtenues et conservées par les trustees et les fiduciaires. Si les auteurs du projet de loi estiment nécessaires d'imposer une collecte des pièces justificatives, ils devraient également préciser les pièces justificatives en question. La Commission nationale relève encore que les notions de « catégorie de bénéficiaires effectifs » et « l'étendue des intérêts effectifs détenus » ne sont pas définies dans le projet de loi. Afin de définir clairement les informations devant être conservées et de respecter ainsi le principe de minimisation des données, elle suggère dès lors de clarifier ces notions. 11. Quant à la transmission des données détenues par les fiduciaires et les trustees aux autorités nationales, aux organismes d'autorégulation et aux professionnels (article 5 et 6) L'article 5, paragraphe 1er et 2 du projet de loi dispose que les fiduciaires et les trustees doivent fournir aux autorités nationales aux fins de leurs missions et aux organismes d'autorégulation aux fins de leurs missions en vertu de la présente loi et de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, sur demande, « les informations visées aux articles 2 et 3, ainsi que, le cas échéant, le numéro d'immatriculation unique visé à l'article 13, paragraphe 3, ou une attestation apportant la preuve de l'enregistrement dans un registre équivalent mis en place par un autre Etat membre ou un extrait des informations sur les bénéficiaires effectifs conservées dans un tel registre ». Les « autorités nationales » sont toutes les autorités, administrations et entités indiquées à l'article 1er, paragraphe 1er, point 1er du projet de loi. Cet article vise à transposer l'article 31, paragraphe 3 de la directive 2015/8493, qui prévoit que « Les États membres exigent que les autorités compétentes et les CRF puissent accéder en temps utile aux informations visées au paragraphe 1 ». Quant aux finalités de l'accès aux données, le commentaire des articles du projet de loi explique que ce paragraphe vise non seulement à transposer la directive 2018/843, mais encore l'article 22, paragraphe 'Ibis de la directive 2011/16/UE du Conseil du 15 février 2011 relative à la coopération administrative dans le domaine fisca14. Afin d'assurer la conformité avec la législation en matière de protection de données, le texte du projet de loi devrait préciser les missions des autorités pouvant accéder aux données et identifier clairement les finalités de l'accès. En effet, l'article 8, paragraphe 2 de la Charte des droits fondamentaux exige que les données à caractère personnel soient traitées loyalement et à des fins déterminées. Ainsi, conformément au principe de la limitation des finalités, les données à caractère personnel doivent être collectées 3 Projet de loi n° 7216B, doc. parl n° 72166/03, Commentaire des articies, p. 11. 4 Projet de loi n° 7216B, doc. parl n° 72166/03, Commentaire des articles, p. 11. CNPII VC UV mrtrEelle, DE31)0.. Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts 5/17 pour des finalités déterminées, explicites et légitimes, et ne doivent pas être traitées d'une manière incompatible avec ces finalités. Pour satisfaire à l'exigence de spécificité, la finalité doit être clairement et pleinement identifiée afin de déterminer quel traitement est ou n'est pas inclus dans la finalité spécifiée et permettre l'évaluation du respect de la loi et l'application des garanties en matière de protection des données5. Les finalités doivent encore être explicites, c'est-à-dire claires, expliquées ou exprimées sous une forme ou une autre afin de s'assurer que toutes les personnes concernées ont la même compréhension univoque des finalités du traitement, indépendamment de toute diversité culturelle ou linguistique La CNPD se rallie à cet égard à l'avis du CEPD sur la proposition de la Commission européenne modifiant la directive (UE) 2015/849 et la directive 2009/101/CE, selon lequel « À cet égard, nous considérons que des instruments législatifs permettant le traitement multiple et/ou simultané de données à caractère personnel par différents responsables du traitement des données et à des fins incompatibles, sans préciser dans quel but chaque traitement de données est effectué, risque de causer une très grande confusion en ce qui conceme l'application du principe de proportionnalité. Dans les cas pour lesquels les finalités du traitement des données sont définies par des termes généraux ou vagues, ou pour lesquels les divers responsables du traitement des données ont une relation complètement différente avec la finalité poursuivie tant sur le plan de la structure ou des ressources que de la capacité de chaque responsable à respecter les règles dans certaines circonstances données, le principe de limitation des finalités est compromis formellement et de façon substantielle et, par conséquent, le principe de proportionnalité ne sera pas non plus dûment appliqué ». Ainsi, afin de respecter le principe de la limitation des finalités, le projet de loi devrait préciser les finalités pour lesquelles les autorités nationales peuvent recevoir des données. De plus, la CNPD ne peut que se rallier à l'avis du Conseil d'Etat relatif à l'article 1er du projet de loi n° 7216A concernant les « autorités nationales », selon lequel les auteurs du projet de loi devraient restreindre l'accès aux « officiers de police judiciaire agréés par le directeur général de la Police grand-ducale ou le directeur de l'Administration des douanes et accises » et devraient supprimer le point h), à savoir l'Administration des douanes et accises. Quant à la forme de la demande, à savoir « sur demande », il est encore utile de rappeler que les autorités publiques, telles que les autorités fiscales et douanières, les cellules d'enquête financière, les autorités administratives indépendantes ou les autorités des marchés financiers responsables de la réglementation et de la surveillance des marchés de valeurs mobilières, qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre 5 6 Groupe de travail « Article 29 », Avis 03/2013 sur la limitation de la finalité (WP203), page 39. Groupe de travail « Article 29 », Avis 03/2013 sur la limitation de la finalité (WP203), page 39. '- CNPD [ Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts MM, CON (.....1 6/17 d'une mission d'enquête particulière conformément au droit de l'Union ou au droit d'un État membre ne sont pas considérées comme des destinataires. Les demandes de communication adressées par les autorités publiques devraient toujours être présentées par écrit, être motivées et revêtir un caractère occasionnel, et elles ne devraient pas porter sur l'intégralité d'un fichier ni conduire à l'interconnexion de fichiers et le traitement de données par les autorités publiques en question doit être conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement7. Quant aux professionnels, le projet de loi exige que les trustees et les fiduciaires fournissent aux professionnels, sur demande, aux seules fins de la mise en oeuvre de leur obligation de vigilance découlant de la loi modifiée du 12 novembre 2004 « des informations sur les avoirs du trust et le patrimoine des fiducies détenus ou gérés dans le cadre de la relation d'affaires » (l'article 6, paragraphe 2 du projet de loi). Selon le commentaire des articles, cette disposition assure la mise en œuvre des exigences découlant de la note interprétative de la recommandation 25, point 2 du GAFI8. Faute d'explications dans le projet de loi, la CNPD n'est pas en mesure d'apprécier la nécessité et la proportionnalité d'une telle disposition. Quant à l'article 8, paragraphes 5 et 6 III. En sus de l'obligation prévue à l'article 5 du projet de loi, l'article 8, paragraphes 5 et 6 du projet de loi oblige les fiduciaires et les trustees, respectivement, les professionnels à fournir, sur demande, toute information qu'ils détiennent sur toute fiducie ou tout trust aux personnes visées à l'article ler, paragraphe ler, point 1er, lettres
12. a)à
13. c)et point 2 du projet de loi, à savoir le procureur général d'Etat, les procureurs d'Etat ainsi que les membres de leurs parquets, les juges d'instruction, la CRF et les autorités de contrôle. Etant donné que l'article 5 du projet de loi oblige les trustees et les fiduciaires à transmettre les inforrnations relatives à toute fiducie et tout trust exprès, la disposition sous revue semble concerner tout trust et non seulement les trusts exprès. A part la mention que les dispositions assurent la mise en œuvre des exigences découlant de la note interprétative 25, point 4 du GAFI, le commentaire des articles ne fournit aucune explication sur la nécessité ou la proportionnalité d'une telle obligation additionne11e9. Il ressort de l'article 31, paragraphe 3 de la directive 2015/849 que les autorités compétentes et les CRF doivent pouvoir accéder en temps utile aux informations visées aux paragraphe 1 de l'article 31, à savoir aux informations collectées par « les fiduciaires/trustees de toute fiducie express/de tout trust exprès ». Par ailleurs, les dispositions ne mentionnent pas les finalités pour lesquelles les personnes indiquées à l'article ler, paragraphe ler, point ler, lettres
14. a)à
15. c)et point 2 du projet de loi pourraient recevoir les données. S'y ajoute que toute information sur toute fiducie ou tout trust 7 Article 4, point 9 et considérant 31 du RGPD, article 2, paragraphe I er, point 10 de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, article 3, point 10 et considérant 22 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil. 8 Projet de loi n° 7216B, doc. parl n° 72166/03, Commentaire des articles, p. 12. 9 Projet de loi n° 7216B, doc. parl n° 721613/03, Commentaire des articles, p. 12. , CNPD emoNmt rotOléCIR.. OF31:10MMES Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts 7/17 pourrait être demandée. S'agit-il des données visées à l'article 14 du projet de loi ou encore d'autres données ? Par ailleurs, les responsables de traitement qui doivent transmettre les informations aux personnes indiquées à l'article ler, paragraphe ler, point ler, lettres
16. a)à
17. c)et point 2 du projet de loi ne sont pas définis avec précision, de sorte que le champ d'application de cette disposition est incertain et vague. IV. Quant au registre (chapitres 3 à 5) a. Quant aux rôles et responsabilités (articles 16 à 18) La CNPD note que l'AED serait à considérer comme le responsable du traitement au sens du RGPD (article 16, paragraphe ler du projet de loi) pour le registre des fiducies et des trusts, dont les finalités sont la conservation et la mise à disposition des informations visées à l'article 14 (article 12 du projet de loi). Le Centre des technologies et de l'information de l'Etat serait à considérer comme le sous-traitant au sens du RGPD (article 16, paragraphe 5 du projet de loi). Le projet de loi précise que l'AED n'est pas responsable du contenu de l'information inscrite (article 16, paragraphe 3 du projet de loi), mais qu'elle peut refuser une inscription incomplète ou non conforme aux dispositions légales ou réglementaires (article 18 du projet de loi). La CNPD se demande sur base de quels documents ou données l'AED vérifierait la conformité de l'inscription. Aucune précision n'est fournie ni dans le projet de loi, ni dans le commentaire des articles. Pour le cas où il est envisagé que l'AED consulte des bases de données de tiers pour vérifier l'exactitude des données, de telles consultations devraient être prévues par la loi, qui précise les bases de données à consulter, les modalités de la consultation et les mesures de sécurité. Quant à l'article 18, paragraphe 2 du projet de loi, celui-ci prévoit qu'en cas de refus d'une demande d'inscription, le requérant doit introduire les pièces justificatives requises, sans pour autant indiquer les pièces justificatives qui pourraient être demandées. La Commission nationale s'interroge sur la nécessité et la proportionnalité de la transmission des pièces justificatives à l'AED et de la conservation de ces pièces par ce dernier. La directive 2015/849 ne fait aucune mention des pièces justificatives dans le cadre des informations contenues dans le registre. Par ailleurs, comme soulevé ci-avant, l'article 2 du projet de loi oblige les fiduciaires et les trustees à obtenir et à conserver des informations relatives aux bénéficiaires effectifs et l'article 5 les oblige à transmettre ces informations aux autorités nationales et aux organismes d'autorégulation, sur demande. La CNPD est dès lors à se demander s'il est nécessaire que des pièces justificatives soient transmises à l'AED et conservées par cette dernière. Nonobstant ceci, dans le mesure où le trust ou la fiducie devrait transmettre des pièces justificatives à l'AED, il convient d'indiquer la nature Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts r.c.nbcte. DU Damne.% 8/17 ou les catégories de ces pièces dans un texte légal. En défaut d'une telle indication, les responsables du traitement risqueraient de transmettre des informations non-pertinentes. b. Quant à l'accès au registre par les autorités nationales, les organismes d'autorégulation et les professionnels (articles 25 et 26) Quant aux finalités de l'accès au registre, il ressort de l'article 25 du projet de loi sous avis que les autorités nationales ont accès aux informations visées à l'article 14 du projet de loi « dans l'exercice de leurs missions » sans que ces missions soient précisées. L'article 26 précise que les organismes d'autorégulation pourront accéder aux données « dans l'exercice de leur mission de surveillance en matière de lutte contre le blanchiment et contre le financement du terrorisme ». A l'instar de ses remarques faites au point Ill, la CNPD estime nécessaire de préciser les missions des autorités nationales aux fins desquelles elles peuvent accéder aux données détenues dans le registre, afin de circonscrire clairement l'accès à ces données et l'utilisation qui peut en être faite. Quant aux données accessibles, le projet de loi utilise la même formulation pour encadrer l'accès au registre par les autorités nationales, les organismes d'autorégulation et les professionnels. Ainsi, ceux-ci « ont accès aux informations visées à l'article 14 inscrites dans le Registre des fiducies et des trusts »10. Ces mêmes données seront, à l'avenir, également disponibles par l'intermédiaire du système d'interconnexion des registres nationaux, conformément à la législation nationale de l'État membre mettant en œuvre les dispositions de la directive 2015/849 (article 31, paragraphe 9 de la directive 2015/849). L'article 33, paragraphe 2 du projet de loi, qui transpose ladite disposition de la directive, indique ainsi que les données visées en son article 14 seront disponibles « conformément aux modalités d'accès prévues par la présente loi et les mesures prises pour son exécution ». La CNPD se demande si la formulation des articles 25, paragraphe ier et 26, paragraphe ier et 2 implique que les modalités d'accès au registre, y compris les données accessibles et les critères de recherche, seront identiques pour les autorités nationales, les organismes d'autorégulation et les professionnels. Par ailleurs, est-ce qu'il est visé de permettre aux autorités nationales, aux organismes d'autorégulation et aux professionnels d'accéder aux données conservées dans le registre conformément à l'article 20 du projet de loi ? Or, dans le cadre de la loi du 13 janvier 2019, les organismes d'autorégulation et les professionnels ne peuvent accéder qu'a une sélection limitée des données enregistrées dans le registre des bénéficiaires effectifs au moment de la consultation, à savoir le nom, le(
18. s)prénom(s), la (ou les) nationalité(s), le jour de naissance, le mois de naissance, l'année de naissance, le lieu de naissance, le pays de résidence, la nature des intérêts effectifs détenus et l'étendue des intérêts effectifs détenus (article 12 de la loi du 13 janvier 2019). Par ailleurs, les critères de recherche ne sont pas identiques pour les professionnels et les organismes d'autorégulation, d'une part, et les autorités nationales, d'autre 1 ° Article 25, paragraphe ler du projet de loi en ce qui concerne les autorités nationales, l'article 26, paragraphe ler du projet de loi en ce qui concerne les organismes d'autorégulation et l'article 26, paragraphe 2 du projet de loi en ce qui concerne les professionnels. Avis de la Commission nationale pour la protection des données :0.0•111.110.ne NA11,1,1, OtOtt-CINied 0.1001reldES relatif au projet de loi instituant un Registre des fiducies et des trusts 9/17 part. Etant donné que tout traitement de données doit être limité à ce qui est strictement nécessaire et en tenant également en compte l'article 31, paragraphe 9, alinéa 3 de la directive 2015/849, qui exige explicitement que l'accès par l'intermédiaire du système d'interconnexion des registres aux informations renseignées dans le registre doit se faire « dans le respect des règles en matière de protection des données », il se pose entres autres la question de la nécessité pour les professionnels d'avoir accès à toutes les données renseignées dans le registre dans le cadre du projet de loi sous avis. Au vu de ce qui précède, la CNPD considère que la formulation actuelle du projet de loi permet un accès trop large au registre et estime nécessaire de préciser dans le texte du projet de loi les modalités d'accès au registre, y compris les données accessibles et les critères de recherche, dans le respect des règles en matière de protection des données, en particulier en limitant l'accès aux seules données nécessaires. En ce qui concerne les professionnels, il s'agit tout au plus des données considérées comme étant nécessaires dans le cadre de la loi du 13 janvier 2019. La Commission nationale note finalement que les modalités d'accès pour les autorités nationales seront fixées par règlement grand-ducal. Elle regrette que le projet de règlement grand-ducal n'accompagne pas le projet de loi, ce qui lui aurait permis d'analyser l'ensemble du futur cadre légal. c. Quant à l'accès par le grand public sur base de l'intérêt légitime (article 27) L'article 27 du projet de loi accorde un accès à certaines données renseignées dans le registre « sur base d'une décision au cas par cas du directeur de l'AED ou de son délégué, à toute personne physique ou morale qui démontre un intérêt légitime dans le cadre de la prévention de l'utilisation du système financier aux fins de blanchiment ou de financement du terrorisme ». Cette disposition vise à transposer l'article 31, paragraphe 4 de la directive 2015/849. Il convient à cet égard de rappeler le considèrent 28 de la directive 2018/843 qui précise que « Quand ils fixent le niveau de transparence des informations sur les bénéficiaires effectifs de ces fiducies/trusts ou constructions juridiques similaires, les États membres devraient dûment tenir compte de la protection des droits fondamentaux des personnes, notamment du droit à la vie privée et du droit à la protection des données à caractère personnel. ». La collecte et la mise à disposition des données des personnes concernées, à savoir les bénéficiaires effectifs des trusts et fiducies, constitue une ingérence dans les droits fondamentaux au respect de la vie privée et familiale et à la protection des données à caractère personnel consacrés par les articles 7 et 8 de la Charte des droits fondamentaux (ci-après « la Charte »). Conformément à l'article 52, paragraphe ier de la Charte, l'exercice de ces droits peut être limité, à condition que : • • • • l'ingérence soit prévue par la loi ; l'ingérence respecte le contenu essentiel des droits et libertés ; l'ingérence est nécessaire, sous réserve du principe de proportionnalité; et l'ingérence répond effectivement à des objectifs d'intérêt général reconnus par l'Union ou au besoin de protection des droits et libertés d'autrui. Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts reOitt,ieta 10/17 Afin d'être proportionne!, le législateur doit s'assurer que les actes sont « aptes à réaliser les objectifs légitimes poursuivis par la réglementation en cause et ne dépassent pas les limites de ce qui est approprié et nécessaire à la réalisation de ces objectifs »11 . En ce qui concerne la balance entre la transparence et la protection des données à caractère personnel, la Cour de Justice a jugé que « Nes institutions sont tenues de mettre en balance, avant de divulguer des informations concernant une personne physique, l'intérêt de l'Union à garantir la transparence de ses actions et l'atteinte aux droits reconnus par les articles 7 et 8 de la Charte. Aucune prééminence automatique ne saurait être reconnue à l'objectif de transparence sur le droit à /a protection des données à caractère personnel [...j, même si des intérêts économiques importants sont en jeu. »12. En conséquence, le législateur devrait être en mesure de démontrer que les dérogations et les limitations se limitent au stricte nécessaire. i. Les données accessibles Ces personnes pourraient accéder au nom, aux prénoms, aux nationalités, au mois et à l'année de naissance, au pays de résidence ainsi qu'a la nature de l'implication de la personne concernée dans la fiducie ou dans le trust et l'étendue des intérêts effectifs détenus (article 27, paragraphe er du projet de loi). La CNPD salue le choix des auteurs du projet de loi de limiter l'accès aux seules données requises par l'article 31, paragraphe 4, alinéa 2 de la directive 2015/849. ii. La condition de l'intérêt légitime Quant à la condition de l'intérêt légitime, le projet de loi précise dans son article 27, paragraphe 2, alinéa 4 que le demandeur doit joindre « tout document de nature à justifier l'existence d'un intérêt légitime ». Par ailleurs, le paragraphe 3 énonce qu'« [a]ux fins de l'appréciation de l'existence d'un intérêt légitime, le directeur de l'AED ou son délégué tient compte de toute circonstance pertinente, susceptible d'indiquer si l'accès à l'information est demandé en vue d'une contribution à la détection ou à la poursuite de violations de la législation relative à la lutte contre le blanchiment et contre le financement du terrorisme". En outre, le directeur de l'AED ou son délégué tient compte de la protection des droits fondamentaux des personnes, notamment du droit à la vie privée et du droit à la protection des données à caractère personnel lors de sa prise de décision ». Il ressort du commentaire des articles que le directeur de l'AED ou son délégué peut fonder sa décision sur tous les faits relatifs à la demande qui lui est soumise, y compris ceux qui n'auraient pas été soulevés par la personne physique ou morale demanderessen. 11 Arrêt du 8 avril 2014, Digital Rights Ireland, C-293/12 et C-594/12, EU:C:2014:238, point 46 et les jurisprudences y citées. 12 Arrêt du 9 novembre 2010, Volker und Markus Schecke, C-92/09 et C-93/09, EU:C:2010:662, point 85. 13 Projet de loi n° 7216B, doc. parl n°72166/03, Commentaire des articles, p. 23. ''7CNF'D " W11,0x VonrCredf Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts F•OUCIV. MS DOR». 1 11/17 Selon le considérant 28 de la directive 2018/843, « les critères et les conditions d'octroi de l'accès aux demandes d'informations sur les bénéficiaires effectifs des fiducies/trusts et des constructions juridiques similaires devraient être suffisamment précis et conformes aux objectifs de la présente directive ». Ainsi, « Nes États membres devraient définir l'intérêt légitime dans leur droit national, à la fois en tant que notion générale et en tant que critère déterminant l'accès aux informations sur les bénéficiaires effectifs » (considérant 42 de la directive 2018/843). Ainsi, afin de satisfaire à l'exigence de prévisibilité, la loi devrait comporter des critères objectifs permettant de définir la notion d'« intérêt légitime » de manière précise et non équiv0que14 et les critères sur lesquelles se fonderait la décision par le directeur de l'AED ou de son délégué. La simple mention dans le commentaire des articles que la décision pourrait être fondé sur tous les éléments relatifs à la demande n'est pas suffisamment claire pour satisfaire à l'exigence de prévisibilité et de précision d'une loi. Une définition claire de l'intérêt légitime est importante, car, comme l'a soulevé à juste titre le CEPD, une définition trop large du concept d'intérêt légitime risquerait d'encourager les personnes souhaitant accéder à ces informations pour des raisons purement opportunistes15. Il convient dès lors d'exiger un lien direct entre la justification et l'intérêt et exiger que l'utilisation des informations obtenues contribue manifestement à la réalisation de l'objectif public en question16. Ainsi, comme l'a précisé le service juridique du Conseil de l'Union européenne lors de l'élaboration de la directive 2018/843, « [i]l serait nécessaire d'intégrer au dispositif de la proposition une définition contenant des critères objectifs et vérifiables. En d'autres termes, les déclarations de mission auto-proclamées d'organisations axées sur la transparence (ou, accessoirement, sur la lutte contre le blanchiment de capitaux) ne sauraient être considérées comme suffisantes en soi, mais elles doivent être combinées à une preuve attestant que l'utilité publique des actions menées par l'organisation dans ce domaine a été reconnue de manière indépendante. »17 . La définition d'« intérêt légitime » devrait prévoir au moins qu'une personne ne pourrait accéder aux données que si « elle est en mesure de démontrer aux autorités nationales compétentes qu'elle a la capacité et l'intention d'utiliser ces informations pour le seul intérêt public en cause (qui doit être défini avec précision), et ce d'une manière ne portant pas atteinte de façon disproportionnée au droit au respect de la vie privée, et si elle accepte d'être soumise à l'autorisation et au contrôle des autorités nationales compétentes dans l'exercice de toute activité où il est fait usage de l'ensemble ou d'une partie des informations ainsi obtenues »18. 14 Avis du 16 décembre 2016 du service juridique du Conseil de l'Union européenne, doc 15655/16, point 47. 15 Avis 1/2017 du Contrôleur européen sur la proposition de la Commission modifiant la directive (UE) 2015/849 et la directive 2009/101/CE, point 59. 16 Avis du 16 décembre 2016 du service juridique du Conseil de l'Union européenne, doc 15655/16, point 46. 17 Avis du 16 décembre 2016 du service juridique du Conseil de l'Union européenne, doc 15655/16, point 49. 18 Avis du 16 décembre 2016 du service juridique du Conseil de l'Union européenne, doc 15655/16, point 49. [ï, CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts r•OICCTIOna 130.0.3 12/17 iii. Les données nécessaires pour obtenir accès au registre Il ressort de l'article 27, paragraphe 2 du projet de loi qu'une personne physique souhaitant obtenir des informations du registre sur base de son intérêt légitime doit fournir les données à caractère personnel suivantes à l'appui de sa demande: ses noms, prénoms, nationalités, date de naissance, lieu de naissance et domicile ou résidence. La personne demanderesse doit encore fournir un extrait du casier judiciaire. Aucune information n'est fournie quant à la nécessité de ces données et du casier judiciaire, le commentaire des articles se limitant à expliquer que « le casier judiciaire devra être donné pour chaque personne qui aura accès aux données divulguées »19. Par ailleurs, le projet de loi ne précise ni quel type de bulletin du casier judiciaire devrait être fourni, ni la durée de rétention du casier judiciaire suite au dépôt de la demande d'accès au registre. La CNPD s'interroge encore sur l'imprécision de la formulation employée dans le corps du projet de loi par rapport à la précision dans le commentaire des articles sur les personnes devant fournir un casier judiciaire. En effet, si plusieurs personnes auraient accès aux données, il s'ensuit que les casiers judiciaires de toutes ces personnes devraient être fournis. Qu'en-est-il de la demande faite par une personne morale, faut-il également fournir un casier judiciaire de toutes les personnes engagées auprès de la personne morale qui pourraient avoir accès aux données? S'il tel est le cas, est-ce que l'employeur devrait les collecter et les transmettre à l'AED ou est-ce que les employés seraient censés les transmettre individuellement? En l'absence d'une explication de la nécessité et de la proportionnalité de ces données et de plus de précision dans le corps du texte, la CNPD n'est pas en mesure d'analyser la conformité de la disposition à la législation en matière de protection des données. iv. L'utilisation des données obtenues Par ailleurs, selon le paragraphe 4, l'extrait comportant les informations sur les bénéficiaires effectifs fourni en cas de décision favorable « indique l'utilisation aux fins de laquelle l'accès est accordé. La personne physique ou morale demanderesse ne peut utiliser l'information à des fins autres que celles précisées par l'extrait ». La CNPD estime que l'utilisation aux fins de laquelle l'accès est accordé devrait se situer exclusivement dans le contexte du projet de loi et ne peut en aucun cas aller au-delà de ce cadre. Elle s'interroge ainsi sur le pouvoir du directeur de l'AED ou de son délégué de déterminer les finalités aux fins desquelles peuvent servir les données provenant du registre et elle considère que la disposition devrait être précisée afin de circonscrire ce pouvoir. d. Quant à l'accès aux informations relatives à une fiducie ou un trust qui détient ou possède une participation de contrôle dans une société ou dans 19 Projet de loi n°7216B, doc. parl. n° 7216B/03, page 22. CNPD mkno,m, 0014.1. Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts 13/17 une autre entité juridique autres que celles visées à l'article 30 de la directive 2015/849 (article 29) L'article 29 du projet de loi transpose l'article 31, paragraphe 4, lettre
19. d)de la directive 2015/849, en accordant un accès aux informations relatives à une fiducie ou un trust qui détient ou possède une participation de contrôle dans une société ou dans une autre entité juridique autres que celles visées à l'article 30, paragraphe ler de la directive (UE) 2015/849 par propriété directe ou indirecte, notamment au moyen d'actions au porteur ou par le biais d'un contrôle par d'autres moyens, à toute personne physique ou morale qui introduit une demande écrite portant sur une telle fiducie ou un tel trust. Selon le considérant 28 de la directive 2018/843, « Les États membres devraient pouvoir refuser une demande écrite s'il existe des motifs raisonnables de soupçonner que la demande écrite n'est pas conforme aux objectifs de la présente directive. ». La CNPD note que les auteurs du projet de loi n'ont pas repris cette possibilité dans la loi en projet. Par ailleurs, le projet de loi n'encadre pas cet accès. Par exemple, il ne détermine ni quelles informations devant accompagner la demande d'accès, ni comment identifier le trust ou la fiducie, ni le délai endéans lequel l'AED doit répondre à la demande. Le projet de loi devrait dès lors être amendé afin d'encadrer clairement cet accès. e. Quant à l'interconnexion du registre (article 33) L'article 33 du projet de loi encadre la future interconnexion du registre avec les registres instaurés dans les autres États membres. Les informations visées à l'article 14 inscrites dans le Registre des fiducies et des trusts sont disponibles par l'intermédiaire du système d'interconnexion des registres institué par l'article 22, paragraphe 2, de la directive (UE) 2017/1132 conformément aux modalités d'accès prévues par le projet de loi et les mesures prises pour son exécution (paragraphe 2). La directive 2015/849 dispose que seules les informations qui sont à jour et qui correspondent aux véritables bénéficiaires effectifs doivent être mises à disposition par l'intermédiaire du registre national et du système d'interconnexion des registres. L'accès à ces informations doit avoir lieu dans le respect des règles en matière de protection des données (article 31, paragraphe 9, alinéa 3 de la directive 2015/849). Dès lors, au cas où des données incorrectes auraient été mises à disposition, il convient d'assurer que l'AED transmette les données corrigées ultérieurement aux destinataires conformément à l'article 19 du RGPD. A l'instar de l'avis du CEPD sur la proposition de directive du Parlement européen et du Conseil modifiant les directives 89/666/CEE, 2005/56/CE et 2009/101/CE en ce qui concerne l'interconnexion des registres centraux, du commerce et des sociétés, la CNPD relève qu'une meilleure accessibilité des données à caractère personnel entraîne également des risques accrus pour celles-ci20. 20 Avis du 6 mai 2011 Contrôleur européen de la protection des données sur la proposition de directive du Parlement européen et du Conseil modifiant les directives 89/666/CEE, 2005/56/CE et 2009/101/CE en ce qui concerne l'interconnexion des registres centraux, du commerce et des sociétés, (2011/C 220/01), point 21. [ CNPD etiu• Ptortcf oN Of.SITON.E1 Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts 14/17 Quant aux données accessibles et les finalités de l'accès, étant donné que les données enregistrées seront disponibles par l'intermédiaire du système d'interconnexion des registres, la CNPD se demande si toutes les données prévues à l'article 14, y compris le numéro d'identification national (« matricule ») au sens de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques, devraient être accessibles. Elle se réfère à cet égard aux remarques faites ci-avant au point II. Par ailleurs, il convient d'assurer le respect du principe des finalités, même lors des échanges de données. Quant à la durée de conservation des données, l'article 33, paragraphe 3 de la loi en projet prévoit que les données visées à l'article 14 sont disponibles par l'intermédiaire du système d'interconnexion des registres pendant cinq ans après que les motifs de l'inscription visés à l'article 13, paragraphes 1er ou 2 ont cessé. La directive laissant aux États membres le choix entre une durée minimale de cinq ans et une durée maximale de dix ans, la CNPD se félicite du choix des auteurs du projet de loi de limiter l'accès aux données à cinq ans. V. Quant aux droits des personnes concernées Pour ce qui est du responsable du traitement du registre des bénéficiaires effectifs, à savoir l'AED, celui-ci collectera les données de manière indirecte et devra, dès lors, en principe fournir toutes les informations prévues à l'article 14 du RGPD endéans les délais prévus à l'article 14, paragraphe 3 du RGPD. En vertu de l'article 14, paragraphe 5, lettre (
20. c)du RGPD, le responsable du traitement est exempté de cette obligation, si l'obtention ou la communication est prévue par la loi, qui doit prévoir « des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ». A cet égard, le considérant 38 de la directive 2018/843 précise que « les personnes physiques dont les données à caractère personnel sont conservées dans des registres nationaux en tant que bénéficiaires effectifs devraient être informées en conséquence ». En tenant compte de la publication des données contenues dans le registre et afin de protéger les intérêts légitimes des personnes concernées, la CNPD estime nécessaire de prévoir, à l'instar de l'article 21, alinéa 2 de l'arrêté royal belge du 30 juillet 2018 relatif aux modalités de fonctionnement du registre UBO, que le responsable du traitement devrait informer chaque personne physique de son inscription dans le registre21. Les personnes concernées devraient également recevoir les autres informations indiquées à l'article 14, dont notamment les 21 « Les redevables d'information informent leurs bénéficiaires effectifs sur un support durable: 1° de l'obligation dans le chef des redevables d'information de communiquer au registre les données visées aux articles 3 et 4 ; 2° de l'enregistrement et de la conservation de ces données dans le registre ; 3° du nom et de l'adresse du service chargé de la gestion du registre au sein de l'Administration de la Trésorerie ; 4° de l'accès possible au registre des entités et personnes listées aux articles 6 et 7 ; 5° du droit du bénéficiaire effectif; conformément à l'article 22, de prendre connaissance des données enregistrées à son nom dans le registre ; 6° du droit du bénéficiaire effectif à la rectification et à la suppression des données inexactes enregistrées à son nom dans le registre, qui doit être exercé auprès du redevable d'information concerné conformément à l'article 23 ; 7° du délai de conservation des données enregistrées dans le registre déterminé à l'article 25. L'Administration de la Trésorerie informe les bénéficiaires effectifs de leur inscription dans le registre et leur communique les informations enregistrées à leur nom. » Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts ,e,ereo,o. or.00mitu 15/17 informations relatives à leurs droits, ainsi que les procédures applicables à l'exercice de ces droits, conformément au considérant 38 de la directive 2018/843. La Commission nationale estime que cette information devrait avoir lieu endéans les délais prévus à l'article 14, paragraphe 3 du RGPD. Il convient encore de souligner que les trustees et les fiduciaires, qui collectent les données directement auprès des bénéficiaires effectifs, ont l'obligation de fournir à ces derniers les informations figurant à l'article 13 du RGPD. Afin de protéger les personnes concernées, le responsable du traitement devrait informer les personnes concernées des spécificités de l'enregistrement de leurs données. Les auteurs du projet de loi pourraient s'inspirer de l'article 21 de l'arrêté royal belge du 30 juillet 2018 relatif aux modalités de fonctionnement du registre UBO. Pour ce qui est du droit à la rectification, la CNPD note que le projet de loi prévoit un régime spécifique quand des personnes constatent une divergence entre les informations sur les bénéficiaires effectifs disponibles dans le registre et les informations sur les bénéficiaires effectifs dont elle dispose et en informent l'AED (article 19 du projet de loi). Pour informer les personnes consultant le registre que les données ont été déclarées comme étant incorrecte, une mention est insérée dans le registre et les personnes demandant accès sont informées qu'une mise à jour a été demandée (article 19, alinéa 3 du projet de loi). Dans un souci de clarté, il pourrait être opportun d'ajouter au projet de loi une disposition précisant la procédure de rectification des données à suivre par la personne concernée, à l'instar de la procédure décrite à l'article 23 de l'arrêté royal belge du 30 juillet 2018 relatif aux modalités de fonctionnement du registre U BO : « § ler. Toute personne physique peut, directement ou par l'intermédiaire de l'Administration de la Trésorerie, demander sans frais au redevable d'information dont il est le bénéficiaire effectif la rectification ou la suppression des données inexactes enregistrées à son nom. § 2. Le redevable d'information est tenu, sous sa responsabilité exclusive, de rectifier ou supprimer les données inexactes enregistrées en rapport avec ses bénéficiaires effectifs dans ses propres fichiers et de communiquer sans délai ces modifications au registre. » Vl. Quant à la coopération entre la CRF, les autorités de contrôle et les organismes d'autorégulation (article 32) Il ressort de l'article 32 du projet de loi que la CRF, les autorités de contrôle et les organismes d'autorégulation coopèrent étroitement entre eux. Quant à la forme et les finalités de la coopération, l'alinéa 2 précise que « les autorités de contrôle et la cellule de renseignement financier sont autorisées à échanger les informations nécessaires à l'accomplissement de leurs missions respectives dans le cadre de la lutte contre le blanchiment et contre le financement du terrorisme. Les autorités de contrôle et la cellule de renseignement financier utilisent les informations échangées uniquement pour l'accomplissement de ces missions. » Aucune information n'est fournie ni sur la forme, ni sur les finalités de la coopération entre la CRF, les autorités de contrôle et les organismes d'autorégulation. Plus précisément, le projet de loi Avis de la Commission nationale pour la protection des données [ C....H relatif au projet de loi instituant un Registre des fiducies et des trusts reOrt.ClaN 16/17 n'indique pas si les organismes d'autorégulation pourraient échanger des données avec la CRF et les autorités de contrôle. Si malgré ceci les organismes d'autorégulation pourraient être amenés à échanger des données à caractère personnel avec la CRF et les autorités de contrôle, le Conseil d'Etat a souligné à plusieurs reprises que la communication de données informations à des tiers peut constituer une ingérence dans la vie privée22 et constitue ainsi en vertu de l'article 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle. Il faut donc que les points essentiels soient fixés par la loi. Ainsi, dans la mesure où la CRF, les autorités de contrôle et les organismes d'autorégulation échangeraient des données à caractère personnel, le projet de loi devrait encadrer la coopération de ces responsables du traitement, en précisant la forme et la finalité de cette coopération pour tous les responsables du traitement, y compris les organismes d'autorégulation. Quant à la coopération internationale, l'article 32, paragraphe 2 du projet de loi instaure un cadre légal de coopération internationale par lequel les autorités de contrôle coopèrent avec leurs autorités homologues étrangères dans le respect des limites des dispositions de l'article 9-2 de la loi modifiée du 12 novembre 2004. Or, il ressort de l'article 31, paragraphe 7 de la directive 2015/849 que « files États membres veillent à ce que les autorités compétentes et les CRF soient en mesure de fournir, en temps utile et gratuitement, les informations visées aux paragraphes 1 et 3 aux autorités compétentes et aux CRF d'autres États membres ». La directive envisage dès lors un échange européen et non pas un échange avec des pays tiers. En l'absence d'une analyse de la nécessité et la proportionnalité de l'extension de ce régime de coopération aux pays tiers, la CNPD estime que ces dispositions devraient se limiter à transposer les dispositions de la directive 2015/849. Ainsi décidé à Esch-sur-Alzette en date du 28 février 2020. La Commission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang Commissaire ann Commissaire Marc Lemmer Commissaire 22 Avis du Conseil d'Etat du 21 novembre 2017 relatif au projet de loi n° 7182, doc. parl. 7182/02, page 7. Avis de la Commission nationale pour la protection des données relatif au projet de loi instituant un Registre des fiducies et des trusts 17/17