Projet de loi portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016

'1e41! LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 15 mai 2018 Personne en charge du dossier: lean-Luc Schleich 247 - 82954 SCL : L 5447 — 869 / sp V/réf. 52.706 Doc. parl. 7250 Objet : Projet de loi portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification : 1) de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») ; 2) de la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fisca I ; 3) de la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) ; 4) de la loi du 24 juillet 2015 relative à FATCA. Monsieur le Président, Comme suite à ma lettre du 22 février 2018, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre de commerce sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement „lohn Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernementiu www.luxembourg.lu CHAMBREDE COMMERCE Luxembourg, le 8 mai 2018 LUXEMBOURG Objet : Projet de loi n°7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification: 1) de la loi générale des impôts modifiée du 22 mai 1931 («Abgabenordnung»); 2) de la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fiscal; 3) de la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD); 4) de la loi du 24 juillet 2015 relative à FATCA. (5013GKA) Saisine : Ministre des Finances (23 février 2018) AVIS DE LA CHAMBRE DE COMMERCE Le projet de loi sous avis a pour objet de porter exécution de l'article 23 du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel' (ci-après le « RGPD ») en matière fiscale. En effet, l'article 23 du RGPD dispose que les Etats membres peuvent, par la voie de mesures législatives, limiter la portée de certaines obligations ainsi que de certains droits de la personne concernée prévus par ledit règlement lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir l'intérêt public général dans les domaines budgétaire et fiscal notamment. Le projet de loi sous avis entend lever l'option dudit article 23 du RGPD et insérer des dispositions législatives particulières, dans la loi générale des impôts modifiée du 22 mai 1931 («Abgabenordnung»), en vue de limiter l'exercice par la personne concernée (ici le contribuable) de ses droits d'accès2, de rectification3 et de limitation du traitement4 - prévus aux articles 15, 16 et 18 du RGPD - vis-à-vis de l'Administration des contributions directes (ci-après, l'« ACD »). Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE 2 La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que d'autres informations énumérées à l'article 15 du RGPD. 3 La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire. 4 La personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement lorsque

1. a)l'exactitude des données à caractère personnel est contestée par la personne concernée ;
2. b)le traitement est illicite ;
3. c)le responsable du traitement n'a plus besoin des données ;
4. d)la personne concernée s'est opposée au traitement. g \junclique \avis12018\5013gka_sbe_traitement des données à caractère personnel en matière fiscale doc * CHAMBREDE COMMERCE 2 LUXEMBOURG Le projet de loi sous avis procède également à des adaptations ponctuelles concernant (
5. i)la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fiscal, (
6. ii)la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) et (iii) la loi du 24 juillet 2015 relative à FATCA, ces adaptations étant rendues nécessaires suite à l'abrogation prochaine de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Les dispositions prévues dans le projet de loi sous avis ont vocation à entrer en vigueur le 25 mai 2018, à l'instar du RGPD. Considérations générales Les présentes considérations générales se concentrent sur les deux premiers articles du projet de loi sous avis qui ont trait à la levée de l'option offerte par l'article 23 du RGPD, les autres articles du projet de loi n'appelant pas de commentaires particuliers de la part de la Chambre de Commerce. La Chambre de Commerce soutient parfaitement l'idée que les limitations aux droits d'accès, de rectification et de limitation du traitement du contribuable peuvent être nécessaires dans le domaine fiscal. II va de soi que le contribuable ne peut pas, par exemple, se prévaloir de son droit d'opposition au traitement pour s'opposer à la procédure d'imposition ou bien encore user de son droit d'accès pour être informé et ainsi faire obstacle à des enquêtes fiscales ou poursuites pénales pour infraction à la législation fiscale. Si des limitations aux droits d'accès, de rectification et de limitation du traitement du contribuable peuvent donc apparaître comme légitimes dans le domaine fiscal et sont, dans leur principe, admises par ledit article 23 du RGPD lorsqu'elles constituent une « mesure nécessaire et proportionnée pour garantir (...) d'autres objectifs importants d'intérêt public général (...) notamment un intérêt économique ou financier important »5 , la Chambre de Commerce s'interroge néanmoins sur la compatibilité des dispositions des deux premiers articles du projet de loi avec l'article 23 du RGPD. 1. Rappel de ce que prévoit l'article 23 du RGPD La Chambre de Commerce juge utile pour la bonne compréhension de ses développements de reproduire in extenso le libellé de l'article 23 du RGPD : « 1. Le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits* prévus aux articles 12 à 22 et à l'article 34, ainsi qu'à l'article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée* dans une société démocratique pour garantir:
7. a)la sécurité nationale;
8. b)la défense nationale;
9. c)la sécurité publique; 5 Extrait de l'article 23, paragraphe 1, sous
10. c)du RGPD * Texte souligné par la Chambre de Commerce ejundique\avis \2018\5013gka_sbe_traiternent des données à caractère personnel en matière tiscale doc CHAMBREDE COMMERCE 3 LUXEMBOURG
11. d)la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou Pexécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;
12. e)d'autres obiectifs importants d'intérêt public qénéral* de l'Union ou d'un État membre, notamment un intérêt économique ou financier important de l'Union ou d'un État membre, y compris dans les domaines monétaire, budqétaire et fiscal*, de la santé publique et de la sécurité sociale;
13. f)la protection de Pindépendance de la justice et des procédures judiciaires;
14. g)la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière;
15. h)une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique, dans les cas visés aux points
16. a)à
17. e)et g); la protection de la personne concernée ou des droits et libertés d'autrui;
18. j)l'exécution des demandes de droit civil. 2. En particulier, toute mesure législative visée au paraqraphe 1 contient des dispositions spécifiques relatives, au moins*, le cas échéant:
19. a)aux finalités du traitement ou des catégories de traitement;
20. b)aux catégories de données à caractère personnel;
21. c)à l'étendue des limitations introduites;
22. d)aux garanties destinées à prévenir les abus ou Paccès ou le transfert illicites;
23. e)à la détermination du responsable du traitement ou des catégories de responsables du traitement;
24. f)aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement;
25. g)aux risques pour les droits et libertés des personnes concernées; et
26. h)au droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. » 2. Quant aux limitations apportées aux droits de rectification et de limitation du traitement (article 1er du projet de loi) La Chambre de Commerce relève d'abord que les paragraphes 2 et 3 de l'article 1er du projet de loi sous avis disposent que les dispositions du RGPD relatives au droit de rectification (article 16) et au droit à la limitation du traitement (article 18, points a et
27. d)« ne s'appliquent pas » à l'ACD. Etant donné que larticle 23 du RGPD offre la possibilité aux Etats de « limiter la portée » des obligations et des droits prévus aux articles 12 à 22, la Chambre de Commerce se demande si le législateur ne va pas trop loin en écartant purement et simplement l'application des articles 16 et 18 du RGPD. Aux yeux de la Chambre de Commerce, le fait que le paractraphe 4 du même article du projet de loi sous avis dispose ensuite que « Les paragraphes 94, 131, 205, 237, 299 et 303 la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») offrent des garanties suffisantes au regard du droit à la rectification et à la limitation du traitement », ne justifient pas que les articles pertinents du RGPD soient écartés. er En tout état de cause, la Chambre de Commerce relève une contradiction au sein même de l'article 1er puisque : ejuridique \avis1201815013gka_sbe_traitement des données à caractère personnel en matière fiscale.doc CHAMBRE DE COM MERCE 4 LUXEMBOURG d'un côté, le paragraphe 1er énonce que conformément à l'article 23 du RGPD, « des limitations à l'application des articles 16 et 18 » du RGPD s'appliquent au profit de l'ACD ; de l'autre, les paragraphes 2 et 3 disposent que que les articles 16 et 18, points
28. a)et
29. d)du RGPD « ne s'appliquent pas » à l'ACD. Ensuite, nonobstant les interrogations formulées ci-avant, la Chambre se demande si les paragraphes 1 et 4 dudit article 1er ne seraient pas à omettre au motif que leurs dispositions sont dépourvues de portée juridique6. En effet - le paragraphe 1er qui énonce que des limitations à l'application des articles 16 et 18 du Règlement 2016/679 s'appliquent au profit de l'ACD, vise à apporter une motivation du texte (en justifiant la mise en place de limitations aux paragraphes suivants par la référence à l'objectif d'intérêt public général) et à annoncer les paragraphes suivants ; - quant au paragraphe 4, qui constate que la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordung ») offre des garanties suffisantes au regard du droit à la rectification et à la limitation du traitement, il ne fait que constater un état de fait. 3. Quant aux limitations apportées au droit d'accès (article 2 du projet de loi) L'article 2 du projet de loi sous avis prévoit en second lieu des limitations au droit d'accès en insérant dans l'« Abgabenordung »un nouveau « § 22bis » qui dispose sous le point