Projet de loi portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Personne en charge du dossier: Luxembourg, le 26 avril 2018 Jean-luc Schleich ît 247 - 82954 SCL : L 5447 — 741 / nb V/réf. 52.706 Doc. parl. 7250 Objet : Projet de loi portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification : 1) de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») ; 2) de la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fisca I , 3) de la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) ; 4)de la loi du 24 juillet 2015 relative à FATCA. Monsieur le Président, À la demande du Ministre des Finances, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement Jean-Luc Schleich lnspecteur 43, boulevard E-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourgiu Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses Délibération n° 219/2018 du 29 mars 2018 Conformément à l'article 32, paragraphe 3, lettre (

1. e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Le 23 février 2018, Monsieur le Ministre des Finances a déposé à la Chambre des députés le projet de loi n°7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification: 1) de la loi générale des impôts modifiée du 22 mai 1931 («Abgabenordnung») ; 2) de la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fiscal ; 3) de la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) ; 4) de la loi du 24 juillet 2015 relative à FATCA. Selon l'exposé des motifs, ce projet de loi entend permettre à l'Administration des contributions directes (ci-après « l'ACD ») de se prévaloir de certaines des limitations énoncées à l'article 23, paragraphe 2 du règlement général sur la protection des données (UE) 2016/6791 (ciaprès « le RGPD ») dans l'accomplissement des missions dévolues légalement à l'ACD, y compris les obligations découlant d'accords internationaux. Au vu de la nature des dispositions contenues dans ce projet de loi, qui ont directement trait à la matière de la protection des données à caractère personnel, et plus particulièrement aux droits des personnes concernées, la Commission nationale regrette de ne pas avoir été formellement saisie à ce stade du projet de loi par Monsieur le Ministre des Finances. Dès lors et en application de l'article 32, paragraphe 3, lettre (
2. f)de la loi modifiée du 2 août 2002, la Commission nationale a pris la décision de se saisir elle-même pour aviser le présent projet de loi. ' Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). CNPD, Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses 1 /15 Le RGPD, qui sera d'application directe dans tous les Etats membres de l'Union européenne à partir du 25 mai 2018, entend protéger les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel (article ler, paragraphe 2). II vise à harrnoniser les règles européennes existantes afin « d'assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physique.s à l'égard du traitement des données à caractère personnel dans l'ensemble de l'Union »2 et à moderniser la directive 1995/46/CE (transposée en droit luxembourgeois par la loi modifiée du 2 août 2002) dans une société de plus en plus digitale en redonnant aux citoyens le contrôle des données qui les concernent, que celles-ci soient collectées et utilisées par les acteurs économiques privés ou par les acteurs du service publie L'article 23 du RGPD prévoit cependant que le droit d'un Etat membre peut, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus notamment aux articles 12 à 22 du RGPD, c'est-à-dire des droits des personnes concernées relatifs aux données à caractère personnel les concernant, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs prévus limitativement à l'article 23, paragraphe ler, à condition que cette mesure législative prévoit des dispositions spécifiques relatives au moins aux éléments visés à l'article 23, paragraphe 24. Par ailleurs, les limitations doivent respecter les exigences énoncées par la Charte des droits fondamentaux de l'Union européenne (ci-après « la Charte ») et par la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales (ci-après « la Convention »)5. La Commission nationale souhaite rappeler à cet égard que la protection des données à caractère personnel est consacrée comme un droit fondamental par l'article 8 la Charte6. De plus, la protection des données constitue également une des dimensions du droit au respect de la vie privée consacré par l'article 8 de la Convention. Or, l'article 52, paragraphes 1 er et 2 de la Charte et l'article 8, paragraphe 2 de la Convention, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'homme7, retiennent que toute ingérence ou limitation de ce droit fondamental ne peut être justifiée qu'à condition qu'elle 2 Cf RGPD, considérant 10. 3 Pour plus d'informations à ce sujet, voir l'avis de la Commission nationale pour la protection des données du 28 décembre 2017 relatif au projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du reglement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, document parlementaire 7184/3. 4 Cf. la partie I du présent avis. 5 Cf. RGPD, considérant 73. Voir également l'article 16, paragraphe le, du traité sur le fonctionnement de l'Union européenne, ainsi que le 1er considérant du RGPD. 7 Cf. notamment les arrêts de la CouEDH, Amann c. Suisse [GC], n° 27798/95, ECHR 2000-11, § 50 CouEDH, Kopp c. Suisse, n° 23224/94, Rapports des jugernents et des décision 1998-11, § 55 et CouEDH, lordachi et autres c. Moldavie, re 25198/02, 10 février 2009, § 50. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personn& et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses 2/15 soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité respecte le contenu essentiel du droit à la protection des données réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui8. La Commission européenne a déjà eu l'occasion de mentionner publiquement que les clauses d'ouvertures de l'article 23 ne doivent pas remettre en cause et mettre à néant les droits et libertés contenus dans le RGPD. Ainsi, elle s'est dit prête à lancer des procédures d'infraction sur base de l'article 258 du Traité sur le fonctionnement de l'Union européenne à l'encontre de tout Etat membre dont la législation amoindrirait la protection des personnes concernées à l'égard des données à caractère personnel les concernant8. II n'est donc pas possible pour les auteurs du projet de loi de faire usage des dérogations de l'article 23 sans prévoir en contrepartie des garanties appropriées afin de ne pas remettre en cause l'essence des droits fondamentaux des personnes concernées, au risque de s'exposer à une éventuelle procédure d'infraction de la Commission européenne. Or, la Commission nationale constate que dans certains cas, l'essence des droits et libertés fondamentaux des personnes concernées est remise en cause par les articles 1er et 2 du projet de loi sous objet, comme cela sera développé ci-dessous10. Ces articles entendent, plus spécifiquement, limiter l'application des articles 15 (droit d'accès), 16 (droit de rectification) et 18 (droit à la limitation du traitement) du RGPD à l'égard de l'ACD. Enfin, les articles 3 à 5 du même projet prévoient des adaptations ponctuelles concernant 1) la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fiscal, 2) la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) et 3) la loi du 24 juillet 2015 relative à FATCA. Selon l'exposé des motifs, ces adaptations ont été rendues nécessaires suite à l'abrogation envisagée de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel par le projet n° 7184 et qui sera amenée à être remplacée à compter du 25 mai 2018 par le RGPD. Dans une première partie générale, la CNPD entend préciser l'étendue des limitations de l'article 23 du RGPD, et les garanties appropriées qui doivent être mises en place afin que les conditions des paragraphes 1er et 2 de cet article soient respectées. Dans une seconde partie, elle examinera plus en détail chacun des articles 1 et 2 du projet de loi sous objet, afin de déterminer si ceux-ci présentent des garanties appropriées. Enfin, elle fera part de certains commentaires plus spécifiques, ayant trait aux articles 4 et 5 du projet de loi. 8 Cf. l'arrêt de la CJUE du 22 janvier 2013, Sky Österreich GmbH c. Österreichicher Rundfunk, C-283/11, ECLI:EU:C:2013:28, point 48 . l'arrêt du 8 avril 2014, Digital Rights lreland Ltd, C-293/12 et C-594/12, ECLI:EU:C:2014:238, point 38. 9 Intervention de Mme Karolina Mojzesowicz à la conférence « Computers, Privacy & Data Protection », Bruxelles, suivante internet à l'ad resse Sur 2018, disponible 24-25-26 janvier https /fwww.youtube.corn/watch?v=1 dKx3nMrn 8#1.17m. '° Cf. en particulier la partie II lettres (
3. a)et (
4. b)du présent avis. CNPD1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses 3/15 l. La limitation des droits des personnes concernées Avant de passer à l'analyse individueHe des articles du projet de loi, il convient de vérifier, en détail, si les exigences de l'article 23, paragraphe 1er du RGPD sont respectées. ll ressort en effet de cet article que les limitations des droits des personnes concernées ne peuvent être mises en ceuvre que si
5. a)elles sont prévues par la voie de mesures législatives,
6. b)ces limitations respectent l'essence des libertés et droits fondamentaux et
7. c)qu'elles constituent une mesure nécessaire et proportionnée dans une société démocratique
8. d)pour garantir un des objectifs limitativement prévus par l'article 23, paragraphe l er. Ces conditions correspondent pour l'essentiel aux exigences énoncées par la Charte et la Convention et doivent être interprétées à la lumière de la jurisprudence de la Cour de Justice de l'Union européenne (ci-après « la CJUE ») et de la Cour européenne des droits de l'homme (ci-après « la CouEDH »)" Enfin,
9. e)une mesure législative répondant à ces quatre conditions doit encore contenir au moins les dispositions spécifiques énumérées à l'article 23, paragraphe 2 de cet article. a. Les limitations sont prévues par la voie de mesures lédislatives Tout d'abord, la limitation doit être prévue « par la voie de mesures législatives ». Selon le considérant 41 du RGPD, « ...cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne (ci-après dénommée « Cour de justice ») et de la Cour européenne des droits de l'homme. » A cet égard, la CJUE a précisé que la base légale doit être suffisamment claire et précise et doit offrir une protection contre d'éventuelles atteintes arbitraires, en définissant elle-même la portée de la limitation de l'exercice du droit garanti par la Charte12. Pour ce qui est de la notion claire et précise de la base légale, la Cour européenne des droits de l'homme (ci-après « CouEDH ») a énoncé qu « on ne peut considérer comme une 7or qu'une norme énoncée avec assez de précision pour permettre au citoyen de régler sa conduite; en s'entourant au besoin de conseils éclairés, doit être à même de prévoir, à un degré raisonnable dans les circonstances de la cause, les conséquences de nature à dériver d'un acte déterminé »13 , 11 Voir aussi le considérant 41 du RGPD. 12 Cf. l'arrêt du 17 novembre 2015, WebMindLicenses Kft. c. iVemzeti Adó- és Vamhiyatal Kiemelt Adee- és Várn Fóigazgatóság, C-419/14, ECLI:EU:C:2015:832, point 81 13 Cf. les arrêts de la CouEDH, Sunday Times c. Royaume-Uni du 26 avril 1979, série A n° 30, § 61 et CouEDH, Sitver et autres c. Royaume-Uni, n° 5947/72; 6205[73; 7052/75; 7061/75; 7107/75: 7113/75; 7136/75, série A n° 61, § 86-88. CNPti- Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses 4/15 La loi doit dès lors être accessible aux personnes concernées et formulée avec une précision suffisante pour que les personnes concernées puissent connaître les conséquences de la loi. Par exemple, la CJUE a retenu que la précision des données pouvant être transmises entre deux administrations publiques dans un protocole, qui n'a pas fait l'objet d'une publication officielle, ne pouvait pas être considérée comme étant prévue par la b. Les limitations respectent l'essence des libertés et droits fondamentaux L'article 23, paragraphe ier du RGPD dispose que les limitations qu'il prévoit ne peuvent être mises en ceuvre que si elles « [respectent] ressence des libertés et droits fondamentaux A l'instar du Contrôleur européen de la protection des données (ci-après « le CEPD »), la CNPD estime que si la limitation vidait le droit de ses éléments fondamentaux et empêchait l'exercice du droit, cette limitation ne respecterait pas l'essence des libertés et droits fondamentaux15. Le contrôle par une autorité indépendante du respect du niveau de protection garanti par le droit de l'Union en matière de protection des données à caractère personnel, tel que prévu explicitement par l'article 8, paragraphe 3 de la Charte, constitue également un élément essentiel du respect de la protection des personnes à l'égard du traitement des données à caractère personnel16. En effet, d'après la jurisprudence de la CJUE, « [sFil en était autrement, les personnes dont les données à caractère personnel ont été conservées seraient privées du droit, garanti à rarticle 8, paragraphes 1 et 3, de la Charte, de saisir les autorités nationales de contrôle d'une demande aux fins de la protection de leurs données »17 . c. Les limitations constituent une mesure nécessaire et proportionnelle dans une société démocratioue Pour être considérée comme « nécessaire et proportionnelle », une mesure doit être limitée à ce qui est strictement nécessaire, doit être véritablement efficace et doit étre la moins intrusive au regard des droits fondamentaux limités18. Ainsi, « [ljes mesures qui «pourraient sàvérer utiles» aux fins d'un objectif donné ne sont pas toutes «souhaitables ou ne sauraient être toutes considérées comme une mesure nécessaire dans une société démocratique» »16. Quant au caractère proportionnel d'une mesure, ce principe impose, selon une jurisprudence constante de la CJUE, que les actes de l'Union ne doivent pas dépasser « les limites de ce qui est approprié et nécessaire à la réalisation des objectifs légitimes poursuivis par la 14 Cf. l'arrêt du 1er octobre 2015, Smaranda Bara et autres C-201/14, ECLI:EU:C:2015:638, points 40 et 41. 15 Contrôleur européen de la protection des données, Guide pour l'évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017), p. 4. 16 Cf. rarrêt du 21 décembre 2016, Tele2 Sverige AB, C-203/15 et C-698/15, ECLI:EU:C:2016:970, point 123. Voir aussi Contrôleur européen de la protection des données, Guide pour l'évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017), p. 4. 17 Cf. l'arrèt du 21 décembre 2016, Tele2 Svenge AB, C-203/15 et C-698/15, ECLI:EU:C:2016:970, point 123. Voir aussi Contrôleur européen de la protection des données, Guide pour révaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017), p. 4. 18 Contrôleur européen de la protection des données, Guide pour l'évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017), p. 17-19. Concemant l'efficacité d'une mesure, cf. rarre de la CJUE du 22 janvier 2013, Sky Österreich GmbH c. Osterreichicher Rundfunk C-283/11, ECLI:EU:C:2013:28, points 54 et 57. 19 Contrôleur européen de la protection des données, Guide pour l'évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017), p. 18. CNPC1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses 5115 réglementation en cause, étant entendu que, lorsqu'un choix s'offre entre plusieurs mesures appropriées, 11 convient de recourir à la moins contraignante et que les inconvénients causés ne doivent pas être démesurés par rapport aux buts visés »20. La détermination de la nécessité et de la proportionnalité d'une mesure nécessite une analyse factuelle et individuelle de chaque limitation21. La CNPD procédera à une telle analyse pour chaque article du projet de loi dans les sections suivantes. Notons encore que selon la Cour de justice de l'Union européenne, « lorsque plusieurs droits et libertés fondamentaux protégés par Pordre juridique de l'Union sont en cause, rappréciation de réventuel caractère disproportionné d'une disposition du droit de l'Union doit s'effectuer dans le respect de la conciliation nécessaire des exigences liées à la protection de ces différents droits et libertés et d'un juste équilibre entre eux »22. d. Les limitations répondent à des obiectifs d'intérêt pénéral ou aux besoins de protection des droits et libertés d'autrui 11 faut encore que la limitation réponde effectivement à des objectifs d'intérêt général reconnus par l'Union ou aux besoins de protection des droits et libertés d'autrui, énumérés à l'article 23, paragraphe 1er lettres (
10. a)à (
11. j)du RGPD. Comme la nécessité d'une mesure23 dépend de l'objectif qu'elle vise à atteindre, la détermination précise de cet objectif s'avère dès lors primordial24. e. La mesure léaislative limitant les droits des personnes concernées contient des dispositions spécifiques Enfin, toute mesure législative qui répond aux conditions de larticle 23, paragraphe 1er du RGPD doit prévoir au moins les dispositions spécifiques énumérées au paragraphe 2 de cet article, lettres (
12. a)à (h). II ne suffit donc pas de justifier que les conditions du paragraphe 1er sont respectées, pour mettre en 03uvre des limitations aux droits des personnes concernées sans en préciser concrètement les garanties appropriées. Le paragraphe 2 de l'article 23 prévoit que ces dispositions spécifiques doivent être « relatives, au moins, le cas échéant:
13. a)aux finalités du traitement ou des catégories de traitement;
14. b)aux catégories de données à caractère personnel;
15. c)à Pétendue des limitations introcluites; d)aux garanties destinées à prévenir les abus ou Paccès ou le transfert illicites; 20 Cf. l'arrêt de la CJUE du 22 janvier 2013, Sky Österreich GmbH c. Österreichicher Rundfunk C-283/11, ECLI:EU:C:2013:28, point 50. Voir aussi Digital Rights lreland Ltd, C-293/12 et C-594/12, ECLI:EU:C:2014:238, point 46. 21 Contrôleur européen de la protection des données, Guide pour l'évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017), p. 8 et les jurisprudences y citées. 22 Cf. l'arrêt de la CJUE du 22 janvier 2013, Sky Österreich GmbH c. Österreichicher Rundfunk C-283/11, ECLI:EU:C:2013:28, point 60. 23 Cf. supra, partie l, lettre (c). 24 Contrôleur européen de la protection des données, Guide pour l'évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017), p. 4. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses 6115 e)à la détermination du responsable du traitement ou des catégories de responsables du traitement; Oaux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement;
16. g)aux risques pour les droits et libertés des personnes concernées; et h)au droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation ». 11. Examen des articles du projet de loi a Limitation de l'application des articles 16 et 18 du RGPD (article ier du projet de loi) En vertu de lartácle ler, paragraphes 2 et 3 du projet de loi, l'article 16 (à savoir le droit de rectification) et l'article 18, lettres (
17. a)et (
18. d)(à savoir le droit à la limitation du traitement) du RGPD ne s'appliquent pas aux traitements effectués par l'ACD. Pour ce qui est du droit de rectification, la CNPD rappelle que ce droit figure explicitement dans l'article 8, paragraphe 2 de la Charte des droits fondamentaux de l'Union européenne et qu'il permet à une personne concernée d'obtenir du responsable du traitement la rectification des données la concernant qui sont inexactes. En fonction de la finalité du traitement, la personne concernée pourrait fournir une déclaration complémentaire afin de compléter des données qui seraient éventuellement incomplètes. Le droit de rectification peut être exercé à n'importe quel moment à partir duquel la personne concernée découvre que les données la concernant rte sont pas ou ne sont plus exactes, par exemple, après une communication de la part du responsable du traitement ou après l'exercice du droit d'accès. II importe encore de souligner que le droit de rectification ne concerne que les données incorrectes ou incomplètes. Donc, si les données se rapportent à un instant donné et qu'elles étaient correctes à ce moment-là, elles ne deviendront pas fausses, parce que les circonstances de la personne concernées ont changé par après25. Par ailleurs, le droit de rectification ne s'applique pas à une analyse juridique faite par une administration publique sur base des données26. L'article 1eY, paragraphe 2 du projet de loi vise dès lors à refuser aux personnes concernées la possibilité d'exercer leur droit de rectification, tel qu'accordé par le RGPD et la Charte. Cette disposition ne limite donc pas le droit de rectification, mais introduit une interdiction absolue pour la personne concernée d'exercer son droit. Les auteurs du projet de loi justifient cette limitation en expliquant que « ce droit est entièrement garanti par les dispositions des paragraphes 94, 131, 205, 228, 237, 299 et 303 de la loi générale des impôts. Le contribuable peut donc faire utilement valoir son droit auprès du préposé du bureau d'imposition, auprès du directeur des contributions par le biais d'un 25 Voir Albrecht J P et Jotzo F, Das neue Datenschutzrecht der EU