Projet de loi portant modification de : 1° la loi modifiée du 19 décembre 2008 ayant pour objet la coopération interadministrative et judiciaire et le

CONSEIL D’ÉTAT =============== N° CE : 60.741 N° dossier parl. : 7872 Projet de loi portant modification de : 1° la loi modifiée du 19 décembre 2008 ayant pour objet la coopération interadministrative et judiciaire et le renforcement des moyens de l’Administration des contributions directes, de l’Administration de l’enregistrement et des domaines et de l’Administration des douanes et portant modification de - la loi modifiée du 12 février 1979 concernant la taxe sur la valeur ajoutée ; - la loi générale des impôts (« Abgabenordnung ») ; - la loi modifiée du 17 avril 1964 portant réorganisation de l’Administration des contributions directes ; - la loi modifiée du 20 mars 1970 portant réorganisation de l’Administration de l’enregistrement et des domaines ; - la loi modifiée du 27 novembre 1933 concernant le recouvrement des contributions directes et des cotisations d’assurance sociale ; 2° la loi modifiée du 27 décembre 1817 sur la perception du droit de succession ; 3° la loi modifiée du 7 août 1920 portant majoration des droits d’enregistrement, de timbre, de succession, etc. ; Avis du Conseil d’État (1er février 2022) Par dépêche du 23 août 2021, le Premier ministre, ministre d’État, a soumis à l’avis du Conseil d’État le projet de loi sous rubrique, élaboré par le Ministre des Finances. Au texte du projet de loi étaient joints un exposé des motifs, un commentaire des articles, une version coordonnée par extraits des textes modifiés, une fiche financière ainsi qu’une fiche d’évaluation d’impact. Les avis de la Chambre de commerce, de la Chambre des fonctionnaires et des employés publics et de la Chambre des salariés sont parvenus au Conseil d’État par dépêches respectivement des 1er octobre 2021, 13 octobre 2021 et 15 octobre 2021. Considérations générales Le projet de loi sous avis a pour objet d’améliorer les conditions de coopération entre les différentes administrations nationales en apportant des modifications à la loi modifiée du 19 décembre 2008 ayant pour objet la coopération interadministrative et judiciaire et le renforcement des moyens de l’Administration des contributions directes, de l’Administration de l’enregistrement et des domaines et de l’Administration des douanes (ci-après, la « loi sur la coopération interadministrative »). Le Conseil d’État constate, à titre liminaire, que la plupart des dispositifs prévus par le projet de loi sous rubrique impliquent la transmission de données à caractère personnel encadrée par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après le « RGPD ». À cet égard, le Conseil d’État rappelle la jurisprudence de la Cour de Justice de l’Union européenne au titre de laquelle « tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs au traitement des données énoncés à l’article 5 du RGPD et, d’autre part, répondre à l’un des principes relatifs à la licéité du traitement énumérés à l’article 6 dudit règlement » 1. Le Conseil d’État tient ensuite à rappeler qu’aux termes de l’article 6, paragraphe 1, lit.

1. e)du RGPD, la licéité du traitement dans le secteur public est vérifiée si le traitement est nécessaire au respect d’une obligation légale ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique 2. Dans cette logique, il ne s’impose pas de donner à chaque traitement de données une base spécifique légale ou réglementaire. En ce qui concerne les principes et conditions du traitement, le règlement s’applique. Certes, l’article 6, paragraphe 3, du règlement n’exclut pas des bases juridiques nationales qui peuvent « contenir des dispositions spécifiques ». La création d’un tel cadre légal ou réglementaire relatif aux diverses administrations n’est dès lors pas, en tant que telle, contraire au règlement, mais ne s’impose que s’il s’agit de prévoir des règles spécifiques par rapport à des aspects particuliers du secteur concerné qui ne sont pas prévues dans le dispositif européen 3. 1 CJUE, C-439/19, Latvijas Republikas Saeima, 22 juin 2021, §96 ; C-496/ 17, Deutsche Post, 19 janvier 2019, §57. Cette jurisprudence est constante et existait déjà sous l’empire de la Directive 95/46 : C-465/00, C-138/01 et C-139/01, Österreichischer Rundfunk e. a., 20 mai 2003, §65, ainsi que du C-131/12, Google Spain et Google, 13 mai 2014, §71. 2 CJUE, C-439/19, Latvijas Republikas Saeima, §99-113. 3 Cf. Avis du Conseil d’État n° 52.422 du 30 mars 2018 sur le projet de loi portant organisation de la Commission nationale pour la protection des données et mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État (doc. parl. n° 718412, p. 5) ; Avis du Conseil d’État n° 53.322 du 12 juillet 2019 sur le projet de loi sur les armes et les munitions (doc. parl. n° 74254, p. 11-12). 2 Le Conseil d’État relève enfin que la condition de licéité du traitement prévue à l’article 6, paragraphe 1, lit.
2. e)du RGPD ne concerne que la collecte et le traitement initial de données personnelles par les autorités publiques. Or, dans la mesure où, dans le cadre du projet sous avis, des données à caractère personnel seront transférées à une autorité publique autre que le responsable du traitement initial pour une finalité différente de celle pour laquelle ces données ont été collectées, cette autorité devra vérifier les conditions alternatives de l’article 6, paragraphe 4, du RGPD qui permettent le traitement ultérieur des données 4. Le transfert des données entre autorités publiques peut être légitime si le traitement ultérieur est fondé sur une disposition légale qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs visés à l’article 23, paragraphe 1, du RGPD. Le projet sous avis vise à créer cette base légale nécessaire au traitement ultérieur de données pour une finalité différente de celle pour laquelle ces données ont été collectées et le Conseil d’État vérifiera dans le cadre de l’examen des articles si les dispositions sous avis poursuivent un but énuméré à l’article 23, paragraphe 1, du RGPD 5 et si le traitement envisagé est proportionné par rapport à ce but. Le projet propose également des modifications à la loi modifiée du 27 décembre 1817 sur la perception du droit de succession et à la loi modifiée du 7 août 1920 portant majoration des droits d’enregistrement, de timbre, de succession, etc. Examen des articles Article 1er La disposition sous avis vise à modifier le libellé de l’article 10 de la loi sur la coopération interadministrative. Le Conseil d’État relève que la disposition sous avis est similaire à la disposition en vigueur. Le Centre commun de la sécurité sociale transmet déjà les informations en cause à l’Administration des contributions directes. Cf. Avis du Conseil d’État n° 53.126 du 11 juin 2019 sur le projet de loi concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données et portant : 1. exécution, en matière de surveillance du secteur financier et des assurances, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 2. modification de la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier ; et 3. modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances (doc. parl. n° 73733, p. 4) ; Avis n°60.001 du 27 avril 2021 sur le projet de loi relative à la concurrence (doc. parl. n° 74798, p. 14). 5 RGPD, art. 23, para. 1 : «
3. a)la sécurité nationale ;
4. b)la défense nationale ;
5. c)la sécurité publique ;
6. d)la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;
7. e)d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale ;
8. f)la protection de l’indépendance de la justice et des procédures judiciaires ;
9. g)la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière ;
10. h)une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points
11. a)à
12. e)et
13. g);
14. i)la protection de la personne concernée ou des droits et libertés d’autrui ;
15. j)l’exécution des demandes de droit civil. » 4 3 Il est proposé d’étendre le régime de coopération en matière de recouvrement des impôts directs existant entre le Centre commun de la sécurité sociale et l’Administration des contributions directes à la matière du recouvrement de la taxe sur la valeur ajoutée. La disposition crée ainsi une obligation pour le Centre commun de la sécurité sociale de transmettre, par voie électronique, le relevé des travailleurs indépendants à l’AED. Le but poursuivi par la mesure est « l’établissement correct des impôts directs et de la taxe sur la valeur ajoutée relatifs à des revenus et chiffres d’affaires provenant de l’exercice d’une profession agricole, libérale, artisanale ou commerciale ». Ce but entre dans le champ d’application de l’article 23, paragraphe 1, lit.
16. e)du RGPD qui vise les mesures ayant pour finalité « d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale ». À cet égard, le Conseil d’État rappelle que la Cour de Justice de l’Union européenne a reconnu que « contribuer à la lutte contre la fraude et l’évasion fiscales internationales […] constitue un objectif d’intérêt général reconnu par l’Union » 6. Il ne fait aucun doute que l’établissement correct de l’impôt constitue également un intérêt public général. Le Conseil d’État est d’avis que la transmission des données concernées est nécessaire et n’a ainsi pas d’observations supplémentaires sur le dispositif sous avis. Article 2 La disposition sous avis vise à insérer un article 10bis dans la loi sur la coopération interadministrative. Cette disposition crée une obligation pour le Centre commun de la sécurité sociale de transmettre par voie électronique le nombre total de salariés employés par entreprise ainsi que la masse salariale totale par entreprise sur une base annuelle à l’Administration de l’enregistrement, des domaines et de la TVA. Le but poursuivi est légitime au sens de l’article 6, paragraphe 4 du RGPD 7 et n’appelle pas d’autres observations de la part du Conseil d’État. Article 3 La disposition sous avis vise à ajouter un second paragraphe à l’article 14 de la loi sur la coopération interadministrative qui concerne la transmission par le Ministère des Transports d’informations sur les véhicules immatriculés aux administrations fiscales et douanières. Le Conseil d’État relève ainsi que le Ministère des Transports transmet déjà des informations à l’AED. Le texte en vigueur dispose : 6 7 CJUE, C‑245/19 et C‑246/19, État luxembourgeois, 6 octobre 2020, §86-87. Cf. observations à l’égard de l’article 1er du projet sous avis. 4 « Le ministère des Transports transmet les informations relatives à la détention des véhicules automoteurs à l’Administration de l’enregistrement et des domaines, à l’Administration des douanes et accises ainsi qu’à l’Administration des contributions directes, afin de leur permettre l’établissement correct et le recouvrement des impôts, droits et taxes dont la perception leur est attribuée, à l’aide de procédés automatisés ou non. » Le Conseil d’État comprend donc que le premier alinéa de la disposition en projet entend préciser l’obligation à la charge du Ministère des Transports, de transmission des données relatives aux véhicules soumis à l’immatriculation détenus par les assujettis à la TVA. Le commentaire de la disposition précise que les données supplémentaires ont pour objectif de renforcer le contrôle du statut fiscal des véhicules d’entreprises. Le second alinéa prévoit qu’un règlement grand-ducal fixera les conditions, critères et modalités de l’échange entre le Ministère et l’AED. Le Conseil d’État regrette qu’un projet de règlement grand-ducal n’ait pas été transmis en même temps que le projet de loi sous avis, étant donné qu’il n’entrevoit pas quelles seraient les conditions et critères additionnels qui ne seraient pas déjà prévus dans le dispositif de la loi à modifier et du RGPD. Le Conseil d’État rappelle que selon la jurisprudence de la Cour constitutionnelle 8, l’article 32, paragraphe 3, de la Constitution exige que dans les matières réservées à la loi, « la fixation des objectifs des mesures d’exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises. L’orientation et l’encadrement du pouvoir exécutif doivent, en tout état de cause, être consistants, précis et lisibles, l’essentiel des dispositions afférentes étant appelé à figurer dans la loi. ». Le règlement grand-ducal à prendre sur le fondement de la disposition sous avis ne pourra intervenir que dans ce cadre, et, dès lors, le Conseil d’État demande de supprimer les termes « conditions » et « critères ». Article 4 La disposition sous avis vise à insérer des articles 15bis, 15ter, 15quater, 15quinquies dans la loi sur la coopération interadministrative. Ad article 15bis L’article 15bis crée un accès direct pour l’AED au registre des autorisations d’établissement. Le Conseil d’État comprend qu’il s’agit ici de créer une simple solution technique pour permettre à l’AED d’avoir un accès plus aisé au registre des autorisations d’établissement, qui, par ailleurs, est déjà accessible au public via le site Guichet.lu 9. 8 9 Arrêt de la Cour constitutionnelle no 166 du 4 juin 2021 (Mém. A, N°440 du 10 juin 2021). https://guichet.public.lu/fr/outils/autorisations.html 5 La légitimité du but poursuivi par la mesure au sens de l’article 6, paragraphe 4 du RGPD et sa proportionnalité ne font aucun doute 10. Le Conseil d’État n’a pas d’autres observations. Ad article 15ter L’article 15ter organise un système d’échange d’informations entre l’AED et l’Agence pour le développement de l’emploi (ci-après, « ADEM »). Le paragraphe 1er prévoit que l’ADEM transmet à l’AED « des informations et des pièces relatives aux abus constatés en matière de travail clandestin réalisé par des bénéficiaires de prestations de chômage ». Le paragraphe 2 prévoit que l’AED « informe [l’ADEM] des infractions constatées en matière de TVA par des bénéficiaires de prestations de chômage ». Selon le commentaire des articles, « pour le cas seulement où l'une des administrations visées serait amenée à constater une infraction en matière de travail clandestin, [l’article 15ter, paragraphe 1er, nouveau de la loi sur la coopération interadministrative] introduit la possibilité d'un échange d'informations limité entre services compétents, permettant d'agir plus efficacement contre ces distorsions de concurrence par rapport aux secteurs économiques concernés et de sécuriser les intérêts du Trésor en matière de TVA à percevoir, d'une part, et de prestations de chômage à rembourser, d'autre part ». Le Conseil d’État souligne qu’en vertu de l’article 3, paragraphe 2, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, les traitements effectués par le même ou par un autre responsable du traitement à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales sont autorisés, même si ces traitements poursuivent d’autres finalités que celles pour lesquelles les données ont été collectées, à la condition cependant que ces traitements soient nécessaires et proportionnés par rapport aux nouvelles finalités (à visée pénale) poursuivies. Le Conseil d’État comprend cependant que l’échange de données qu’il est prévu d’organiser entre l’AED et l’ADEM aura exclusivement pour finalités l’exécution par ces deux administrations de leurs missions respectives, à savoir le recouvrement de l’impôt pour l’AED et la réalisation des missions et attributions énoncées à l’article 621-1 du Code du travail pour l’ADEM, en ce compris le recouvrement des prestations de chômage indûment perçues. En ce qui concerne l’échange de données de l’ADEM vers l’AED, visé à l’article 15ter, paragraphe 1er, nouveau de la loi sur la coopération interadministrative, même si les abus constatés ne font pas encore l’objet d’une condamnation, le Conseil d’État comprend que la transmission d’informations ou de pièces au stade de la constatation d’abus est proportionnée au but visé par le législateur. En ce qui concerne l’échange de données de l’AED vers l’ADEM, visé à l’article 15ter, paragraphe 2, nouveau de la loi sur la coopération 10 Cf. observations à l’égard de l’article 1er du projet sous avis. 6 interadministrative, le Conseil d’État estime que la notion d’« infraction constatée » est, d’une part, équivoque, en ce qu’elle présuppose qu’au stade de la transmission des données les faits constatés aient reçus une qualification pénale et d’autre part, dépasse le cadre des missions administratives confiées à l’ADEM. Comme l’indique le commentaire des articles, l’ADEM dispose déjà en vertu de l’article L-621-3, paragraphe 1er, lettre h), d’un accès « au fichier des déclarations sur la taxe sur la valeur ajoutée déposées par les assujettis et exploité par l’Administration de l’enregistrement et des domaines afin de vérifier le chiffre d’affaire déclaré pour vérifier la disponibilité des demandeurs d’emploi pour le marché de l’emploi et l’importance de l’activité des demandeurs d’emploi qui sont titulaires d’une autorisation d’établissement ». Le Conseil d’État constate que l’article 15ter, paragraphe 2, nouveau de la loi sur la coopération interadministrative n’indique au contraire aucune finalité précise au traitement des données. Or tant les dispositions du RGPD que l’article 32, paragraphe 3, de la Constitution, tel qu’interprété par la jurisprudence de la Cour constitutionnelle précitée, dans les matières réservées à la loi, exigent que la finalité du traitement des données à caractère personnel soient indiquées explicitement dans la loi. Pour les raisons qui précèdent, le Conseil d’État doit s’opposer formellement à l’article 15ter, paragraphe 2, nouveau de la loi sur la coopération interadministrative. Afin de lever cette opposition formelle, le Conseil d’État peut d’ores et déjà marquer son accord avec un amendement ayant pour objet de libeller la disposition sous avis comme suit : «