← Luxembourg

Arrêté grand-ducal du 13 décembre 2017 portant publication de - l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de

loi n° 8029 relative ä l'échange automatique et obligatoire des informations déclarées par les Opérateurs de Plateforme et portant modification 1° de la loi modifiée du 19 décembre 2008 ayant pour obj

Article 23

GDPR, §68, disponibles sous : https://edpb.europa.eu/our-work-tools/our-documents/quidelines/quidelines-102020restrictions-under-article-23- • d r fr CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 2/23 obligatoire des informations déclarées par les Opérateurs de Plateforme (ci-après le « projet de règlement grand-ducal »). 3. Dans la mesure où le présent projet de loi transpose en droit national la directive (UE) 2021/514 du Conseil du 22 mars 2021 modifiant la directive 2011/16/UE relative ä la coopération administrative dans le domaine fiscal (ci-après la « directive »), la Commission nationale renvoie en ce qui concerne le cadre légal de cette directive ä l'avis 6/2020 du 28 octobre 2020 du Contrôleur européen de la protection des données2 et limitera ses observations aux dispositions légales concernant la mise en œuvre concrète de cette directive au Luxembourg. l. 4. Remarques préliminaires A titre liminaire, la CNPD remarque que le projet de loi touche essentiellement au traitement des données ä caractère personnel des contribuables par les administrations fiscales luxembourgeoises (Administration des contributions directes, Administration de l'enregistrement et des domaines, Administration des douanes et accises) et par l'Administration du cadastre et de la topographie ainsi que par certaines entités privées (Opérateurs de Plateforme, Institutions financières déclarantes luxembourgeoises, intermédiaires) dans le cadre de leurs obligations de déclaration. Outre la modification de plusieurs lois existantes, le projet de loi sous revue introduit un nouveau type d'échange automatique d'informations fiscales entre les États membres. Il ressort de l'exposé des motifs que la mise en place ä la charge des Opérateurs de Plateforme d'une obligation de déclaration normalisée d'un certain nombre de données et informations relatives aux prestataires actifs sur les plateformes numériques (les vendeurs) ainsi qu'à leurs prestations s'applique ä l'ensemble du marché intérieur de l'Union européenne. Les informations ainsi déclarées seront ensuite échangées de manière automatique et obligatoire entre les autorités fiscales afin de permettre aux États membres d'assurer un meilleur contrôle fiscal des activités économiques réalisées par l'intermédiaire d'Opérateurs de Plateforme et de déterminer correctement l'impôt sur le revenu et la taxe sur la valeur ajoutée (TVA) dus. 5. Il semble nécessaire de relever que l'échange automatique, défini comme « la communication systématique ä un autre Etat membre, sans demande préalable, d'informations prédéfinies, intervalles réguliers préalablement fixés »3 soulève des enjeux importants du point de vue de la protection des données personnelles puisqu'il aura pour conséquence la collecte d'un volume important de données et leur transfert systématique et récurrent vers d'autres États membres, voire dans certains cas vers des pays tiers. Bien que la Commission nationale ne souhaite nullement remettre en cause la légitimité des nouvelles mesures introduites par le projet de loi, elle souligne cependant que des garanties suffisantes au regard du respect des principes fondamentaux du droit ä la protection des données ä caractère personnel doivent être mises en œuvre. 2 Contrôleur européen de la protection des données (EDPS), Avis 6/2020 concernant une modification de la directive 2011/16/UE du Conseil relative ä la coopération administrative dans le domaine fiscal, disponibles sous : h tps.//edps.europa.eu/data-protectioniour-workipublications/avis-du-cepd/opinion-proposal-temporary-deroqationsdirective fr 3 Cf. article 2.

  1. p)de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n 8029 3/23 II. Sur les traitements de données ä caractère personnel par les Opérateurs de Plateforme 1. Les personnes concernées 6. L'article 4.1 du projet de loi prévoit que : « Les Opérateurs de Plateforme déclarants sont tenus d'accomplir les procédures de diligence raisonnable et de remplir les obligations de déclaration énoncées ä l'annexe, sections II et Ill. » L'Annexe relative aux « Procédures de diligence raisonnable, obligations de déclaration et autres règles applicables aux Opérateurs de Plateforme » précise que pour chaque Vendeur personne physique n'ayant pas la qualité de Vendeur exclu, l'Opérateur de Plateforme déclarant collecte un certain nombre d'informations. La CNPD comprend que tout Vendeur exclu, défini dans le point B 4) de la Section I comme celui « pour lequel l'Opérateur de Plateforme a facilité, au moyen de la vente de Biens, moins de 30 Activités concernées, pour lesquelles le montant total de la Contrepartie versée ou créditée n'a pas dépassé 2 000 euros au cours de la Période de déclaration » n'est pas visé par le traitement de données ä caractère personnel prévu par le projet de loi. Ce dernier n'impose donc pas aux Opérateurs de Plateforme de collecter les informations des personnes physiques ayant pour activité la vente de biens en-dessous d'un certain seuil (moins de trente opérations de vente de biens pour lesquelles le montant total de la contrepartie n'excède pas 2 000 euros sur la Période de déclaration). ä considérer comme Vendeur exclu, une Entité Or, le commentaire des articles précise qu' « publique, une Entité dont les actions font l'objet de transactions régulières sur un marché boursier réglementé ou une Entité liée ä une Entité dont les actions font l'objet de transactions régulières sur un marché boursier réglementé, une Entité pour laquelle l'Opérateur de Plateforme a facilité plus de 2000 locations de biens immobiliers ou moins de 30 ventes de biens pour lesquelles le montant total de la Contrepartie versée ou créditée n'a pas dépassé 2000 euros au cours de la Période de déclaration. » La CNPD regrette que cette formulation laisse ä penser que seules des Entités, ä l'exclusion des personnes physiques, peuvent être des Vendeurs exclus. La CNPD tient ä souligner dans ce contexte l'importance du principe de minimisation des données prévu ä l'article 5.1.
  2. c)du RGPD, prévoyant que les données doivent être adéquates, pertinentes et limitées ä ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. La Commission nationale se félicite qu'un tel seuil d'exemption soit prévu, y compris pour les personnes physiques, puisque cela permettra de limiter de manière importante le nombre de personnes concernées par le traitement prévu par le projet de loi. En effet, le traitement des données des Vendeurs pour des opérations de vente occasionnelles engendrant de faibles revenus n'apparaît pas autant pertinent au regard de la finalité d'aide des administrations fiscales ä améliorer la qualité et l'efficacité de la perception des impôts dans le cadre de la lutte contre l'évasion fiscale. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi rl° 8029 4/23 2. Les traitements de données ä caractère personnel mis en place par le projet de loi 7. Il ressort de l'article 4 du projet de loi que les Opérateurs de Plateforme devront mettre en place deux traitements : d'une part, les procédures de diligence raisonnable et d'autre part, les obligations de déclaration énoncées dans l'Annexe. 8. En premier lieu, les procédures de diligence raisonnable impliquent la collecte et la conservation des données listées dans la Section II de l'Annexe au projet de loi. Pour chaque Vendeur personne physique n'ayant pas la qualité de Vendeur exclu seraient collectées les données suivantes : les nom et prénom, l'adresse principale, le Numéro d'Identification Fiscale (ci-après le « NIF ») et, en l'absence de NIF, le lieu de naissance du Vendeur, le Numéro d'identification TVA du Vendeur, la date de naissance (point B 1 ) de la Section II de l'Annexe). Le point E de la Section II de l'Annexe prévoit également la collecte d'informations telles que l'adresse d'un bien immobilier, le numéro d'enregistrement foncier, des documents justificatifs, données ou informations attestant que le bien immobilier appartient au même propriétaire, qui, si elles se rapportent ä une personne physique identifiée ou identifiable, sont ä considérer comme des données ä caractère personnel. Une telle collecte n'aurait toutefois pas lieu lorsque l'Opérateur de Plateforme s'appuie sur une confirmation directe de l'identité et de la résidence du Vendeur obtenue par l'intermédiaire d'un service d'identification mis ä disposition par un État membre ou par l'Union européenne afin d'établir l'identité et la résidence fiscale du Vendeur (point B 3) de la Section II de l'Annexe). 9. En ce qui concerne plus spécifiquement le NIF des personnes physiques, il convient de noter qu'au Luxembourg, cette donnée correspond au numéro d'identification des personnes physiques (connu également sous le nom de « matricule »). La CNPD souhaite rappeler que cette donnée, faisant l'objet d'une réglementation spécifique (ce n'est qu'exceptionnellement et dans les conditions fixées ä l'article 2 de la loi modifiée du 1 9 juin 201 3 relative ä l'identification des personnes physiques que l'utilisation du matricule par le secteur privé est autorisée), ne pourra être traitée par l'Opérateur de Plateforme que pour les finalités prévues par le projet de loi. 1 O. Le point C 3) de la Section II de l'Annexe prévoit par ailleurs que dans le cas où l'Opérateur de Plateforme a tout lieu de savoir qu'une donnée du Vendeur est susceptible d'être inexacte en raison des informations fournies par l'autorité compétente d'un État membre, il demande au Vendeur de fournir des documents justificatifs, des données ou des informations fiables et émanant d'une source indépendante, tels qu'un document d'identification délivré par les autorités nationales, en cours de validité ou un certificat de résidence fiscale récent. La Commission nationale comprend que le traitement de tels documents d'identité par l'Opérateur de Plateforme a pour finalité la vérification des données communiquées par le Vendeur. Elle rappelle ä cet égard que, conformément au principe de minimisation des données énoncé ä l'article 5.1 .
  3. c)du RGPD, les données ä caractère personnel doivent être adéquates, pertinentes et limitées ä ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Elle souligne également qu'il CNPIEl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 5/23 ne doit pas s'agir d'un traitement systématique mais que la demande de tels documents doit être strictement limitée au cas prévu dans la section II, point C 3) de l'Annexe. Il convient également de rappeler le principe de la limitation de la conservation (article 5.1.
  4. b)du RGPD), d'après lequel les données ä caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. La seule finalité étant la vérification des données fournies par la personne concernée, l'Opérateur de Plateforme ne devrait pas conserver de tels documents pour une durée de 10 ans comme cela est prévu par l'article 5 du projet de loi pour les registres des démarches entreprises et toute information utilisée en vue d'assurer l'exécution des procédures de diligence raisonnable et des obligations de déclaration. La CNPD recommande l'effacement des documents d'identification immédiatement après la vérification des données. 11. Concernant la vérification des informations relatives aux Vendeurs (point C de la Section II de l'Annexe), la CNPD s'interroge également sur la notion d' « ensemble des informations et des documents dont il dispose dans ses registres » et de « registres interrogeables en ligne » de l'Opérateur de Plateforme. Dans ce cadre, une attention particulière doit être accordée aux principes de minimisation (article 5.1.
  5. c)du RGPD) et d'exactitude (article 5.1.
  6. d)du RGPD) dans l'utilisation des sources par les Opérateurs de Plateforme. La Commission nationale recommande aux auteurs du projet de loi de préciser que ces sources doivent être exactes et fiables. 12. En deuxième lieu, les obligations de déclaration impliquent la communication des données précédemment citées ä l'Administration des contributions directes (article 4.3). L'article 4.5 précise que la forme et les modalités en matière de déclaration des informations sont déterminées par règlement grand-ducal. Or, le texte du projet de règlement grand-ducal ne donne aucune précision ä ce sujet et se limite ä indiquer que l'enregistrement, la notification et la communication des informations sont organisés par voie électronique sécurisée suivant les procédures définies par l'Administration des contributions directes. La Commission nationale souligne par ailleurs l'importance des principes d'intégrité et de confidentialité (Article 5.1.
  7. f)du RGPD) conformément auxquels les données ä caractère personnel doivent être traitées de façon ä garantir une sécurité appropriée de ces données, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, ä l'aide de mesures techniques ou organisationnelles appropriées. En tout état de cause, toute communication de données ä caractère personnel par les Opérateurs de Plateforme ä l'Administration des contributions directes devra respecter les dispositions de l'article 32 du RGPD relatif ä la sécurité du traitement. 13. Les obligations de déclaration des Opérateurs de Plateforme impliquent la communication ä l'Administration des contributions directes des données traitées dans le cadre de leurs procédures de diligence raisonnable ((point B) de la Section III de l'Annexe). L'Annexe du projet de loi prévoit également la communication de l'Identifiant du compte financier et, lorsqu'il diffère du nom du Vendeur ä déclarer, le nom du titulaire du compte financier sur lequel la Contrepartie est versée ou créditée « ainsi que toute autre information d'identification financière dont dispose l'Opérateur de Plateforme déclarant en ce qui concerne le titulaire de ce compte » (points B) 2.
  8. c)et 3.
  9. c)de la Section Ill). Le considérant

(45)du RGPD précise que « Norsque le traitement est effectué [ CNPIE) Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 6/23 conformément ä une obligation légale ä laquelle le responsable du traitement est soumis [...] », « (...] ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données ä caractère personnel, établir les spécifications visant ä déterminer le responsable du traitement, le type de données ä caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données ä caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant ä garantir un traitement licite et loyal. [...] ». Le projet de loi devrait donc établir des dispositions spécifiques visant ä déterminer, entre autres, les types de données traitées. Or, la Commission nationale se doit de souligner le manque de précision des dispositions prévoyant le traitement de « toute autre information d'identification financière dont dispose l'Opérateur de Plateforme déclarant »). Ces dispositions ne permettent pas de prévoir de manière suffisamment précise quelles données seront communiquées par l'Opérateur de Plateforme ä l'Administration des contributions directes et créent ainsi la possibilité d'un traitement abusif par l'Opérateur de Plateforme. Il convient également de noter que certaines données financières, lorsqu'elles peuvent être utilisées pour commettre des fraudes au paiement (par exemple des numéros de carte bancaire ou autres identifiants de paiement), sont ä considérer comme des « données hautement personnelles » dans la mesure où leur violation aurait clairement des incidences graves dans la vie quotidienne de la personne concernée 4. 3. La durée de conservation des données par les Opérateurs de Plateforme 14. Selon l'article 5.1.
  1. e)du RGPD, les données ä caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delä, les données doivent être supprimées ou anonymisées. Le projet de loi prévoit que « Illes informations traitées conformément ä la présente loi ne sont pas conservées plus longtemps que nécessaire aux fins de la présente loi et, dans tous les cas, conformément aux dispositions légales applicables ä chaque responsable du traitement des données concernant le régime de prescription » et que les Opérateurs de Plateforme « sont tenus de conserver des registres des démarches entreprises et de toute information utilisée en vue d'assurer l'exécution des procédures de diligence raisonnable et des obligations de déclaration pour une période de dix ans ä l'issue de la Période de déclaration sur laquelle ils portent. » (article 5). La CNPD relève que la disposition selon laquelle « Ales informations traitées conformément ä la présente loi ne sont pas conservées plus longtemps que nécessaire aux fins de la présente loi » n'apporte pas de réelle plus-value dans la mesure où elle ne fait que reprendre le principe de l'article 5.1.
  2. e)du RGPD. Elle constate par ailleurs qu'une telle durée de conservation est en ligne avec l'article 7.5 prévoyant que « files pouvoirs d'investigation de l'Administration des contributions directes se prescrivent par dix ans ä l'issue de la Période de déclaration . ». Groupe de travail « Article 29 » sur la protection des données, Lignes directrices concernant l'analyse d'impact relative ä la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d'engendrer un risque élevé » aux fins du règlement (UE) 2016/67, page 11, disponibles sous : https://ec.europa.eu/newsroomlarticle29/items/611236/en 4 [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 7/23 15. La CNPD se pose néanmoins la question, comme évoqué précédemment, de la durée de conservation des documents d'identification et des certificats de résidence fiscale (section II, point C 3) de l'Annexe). En effet, le traitement de ces documents justificatifs a pour seul finalité la vérification des données de la personne concernée ä un instant précis et ne devrait pas être couvert par l'article 5 du projet de loi. La Commission nationale est d'avis que l'Opérateur de Plateforme devrait procéder ä l'effacement de ces documents dès que la vérification est opérée. 4. Les droits de la personne concernée 16. La CNPD accueille favorablement la disposition selon laquelle « [c]haque Opérateur de Plateforme déclarant a l'obligation de :
  3. a)d'informer chaque personne physique concernée que des informations la concernant seront recueillies et transférées conformément ä la présente loi ;
  4. b)de transmettre ä chaque personne physique concernée toutes les informations auxquelles elle peut avoir accès qui proviennent du responsable du traitement dans un délai suffisant pour lui permettre d'exercer ses droits en matière de protection des données et, en tout état de cause, avant que les informations ne soient communiquées ä l'Administration des contributions directes » (article 10.3 du projet de loi). La Commission nationale comprend que cette obligation d'information, conformément au principe d'exactitude tel qu'énoncé ä l'article 5.1.
  5. d)du RGPD permettant de garantir que des données exactes et ä jour sont transférées, devra être mise en application avant chaque transmission des données ä l'autorité fiscale et ce afin de permettre ä la personne concernée d'exercer son droit de rectification prévu ä l'article 16 du RGPD. La CNPD tient toutefois ä rappeler que ces obligations sont ä respecter par l'Opérateur de Plateforme sans préjudice des droits des personnes concernées prévus au Chapitre Ill du RGPD dans la mesure où ceux-ci sont applicables. Ill. Sur les traitements de données ä caractère personnel par l'administration fiscale 1. Les traitements de données ä caractère personnel mis en place par le projet de loi 17. La CNPD observe que le projet de loi introduit l'échange automatique de données personnelles concernant la propriété de biens immobiliers avec l'autorité compétente de l'État membre de résidence de la personne concernée (article 14.6° du projet de loi). Il ressort de l'article 12 du projet de loi que l'Administration du cadastre et de la topographie transmet ä cette fin les informations disponibles dans les registres fonciers relatives aux personnes physiques résidant dans un autre État membre de l'Union européenne et qui sont propriétaires d'un bien immobilier au Luxembourg ä l'Administration des contributions directes. Le commentaire des articles (article 12) précise qu' « [a]fin de permettre au Grand-Duché de Luxembourg d'échanger des informations dans la catégorie supplémentaire relative ä la propriété de biens immobiliers, l'Administration du Cadastre et de la Topographie transmet, pour les transactions se rapportant aux périodes imposables ä compter du 1 er janvier 2025, par voie [CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 8/23 informatique ä l'ACD, les informations disponibles dans les registres fonciers, relatives aux personnes physiques et morales résidant dans un autre État membre de l'Union européenne et qui sont propriétaires d'un bien immobilier sis au Grand-Duché de Luxembourg. » La Commission nationale en prend note et comprend que les catégories de données traitées dans ce cadre sont précisées dans l'article 6.2° du règlement grand-ducal du 10 août 2018 portant fixation des conditions et modalités de consultation et de délivrance de la documentation cadastrale, topographique, cartographique et géodésique gérée par l'administration du cadastre et de la topographie [...]. Les informations contenues dans les registres fonciers et qui seraient transférées dans le cadre de l'échange automatique seraient : la commune et la section cadastrale de la situation, numéro de parcelle, lieudit et contenance, la désignation cadastrale et la quote-part d'un lot de copropriété, le droit de propriété et autres droits réels immobiliers, leurs détenteurs et titres respectifs, l'historique des modifications survenues aux parcelles, aux lots de copropriété et aux droits réels immobiliers. La CNPD rappelle toutefois que conformément au principe de minimisation (article 5.1.
  6. c)du RGPD), seules les données strictement nécessaires au finalités prévues dans la directive (et plus spécifiquement ä la détermination de l'impôt) devront être communiquées aux autorités des autres États membres. 2. La limitation des droits de la personne concernée 18. Les auteurs du projet de loi ont souhaité prévoir dans l'article 23 de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal la possibilité pour les responsables de traitement de limiter le droit ä l'information (articles 13 et 14.1 du RGPD) et le droit d'accès (article 15 du RGPD) des personnes concernées. Après avoir précisé que tous les échanges d'informations au titre de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal sont soumis au RGPD, le nouvel article 23, paragraphe 1er indique : « Toutefois, aux fins de la bonne application de la loi, la portée des obligations et des droits prévus ä l'article 13, ä l'article 14, paragraphe 1er, et ä l'article 15 du règlement (UE) 2016/679, est limitée dans la mesure où cela est nécessaire afin de sauvegarder les intérêts visés ä l'article 23, paragraphe 1 er, point e), dudit règlement. » Dans la mesure où un renvoi aux dispositions de l'article 23 de la loi modifiée du 29 mars 2013 y est opéré, ce nouvel article prévoyant la limitation du droit ä l'information et du droit d'accès a vocation ä s'appliquer également dans le cadre de la loi modifiée du 18 décembre 2015 relative ä la Norme commune de déclaration (NCD) (nouvel article 5.6), de la loi modifiée du 23 décembre 2016 relative ä la déclaration pays par pays (nouvel article 7.2) et de la loi modifiée du 25 mars 2020 relative aux dispositifs transfrontières devant faire l'objet d'une déclaration (nouvel article 14.4). Il ressort de toutes ces dispositions que tous les échanges d'informations basés sur ces lois (et ayant éventuellement lieu avec d'autres États) peuvent être l'objet de limitations quant aux droits ä l'information et d'accès des personnes concernées. La Commission nationale constate que le nouvel article 23 de la loi modifiée du 29 mars 2013 est une reprise quasi textuelle de l'article 25 de la directive (« Toutefois, aux fins de la bonne application de la présente directive, les États membres limitent la portée des obligations et des droits prévus ä l'article 13, ä l'article 14, paragraphe 1, et ä l'article 15 du règlement (UE) 2016/679, dans la mesure où cela est nécessaire afin de sauvegarder les intérêts visés ä l'article 23, paragraphe 1, point e), dudit règlement.»). La CNPD regrette que les auteurs du projet de loi [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 9/23 n'aient pas compris cette disposition comme une opportunité d'encadrer certaines limitations aux droits des personnes concernées conformément au RGPD. En effet, le projet de loi omet d'indiquer concrètement le champ d'application et les conditions des limitations au droit d'accès et au droit ä l'information. La CNPD regrette par ailleurs que les auteurs du projet de loi n'aient formulé aucun commentaire au sujet de ces limitations. Les formules employées dans le projet de loi sous revue sont en effet d'une telle généralité qu'elles ne permettent pas de déterminer de façon précise l'ampleur des dérogations aux droits de la personne concernée. En plus d'être vague, cet article n'apporte pas de garanties aux droits de la personne concernée. 19. Le RGPD confère en particulier dans son chapitre Ill (articles 12 ä 23) différents droits aux personnes concernées, leur permettant de contrôler l'usage des données ä caractère personnel les concernant. Son article 23 prévoit cependant que le droit d'un État membre peut, par la voie de mesures législatives, limiter la portée de ces droits, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs prévus limitativement ä l'article 23.1 ä condition que cette mesure législative prévoie des dispositions spécifiques relatives au moins aux éléments visés ä l'article 23.2. Par ailleurs, les limitations doivent respecter les exigences énoncées par la Charte des droits fondamentaux de l'Union européenne (ci-après la « Charte ») et par la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales5. 20. La CNPD a déjà eu l'occasion de se prononcer sur les clauses d'ouverture de l'article 23 du RGPD dans le cadre de son avis du 29 mars 2018 relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif ä la protection des personnes physiques ä l'égard du traitement des données ä caractère personnel et ä la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses, dans lequel elle a fourni des précisions quant aux modalités de mise en œuvre des clauses d'ouverture et des garanties, qui doivent être intégrées dans la mesure législative pour assurer le respect du RGPD6. La CNPD rappelle également que le CEPD a récemment publié des lignes directrices sur les restrictions prévues ä l'article 23 du RGPD7 ä la lumière desquelles elle examinera les dispositions du projet de loi sous revue. Cet examen requiert dans un premier temps une analyse du bien-fondé des limitations prévues par le projet de loi au regard de l'article 23.1 du RGPD puis, dans un 2e temps, un contrôle des conditions de l'article 23.2 du RGPD. a. Le respect des conditions de l'article 23.1 du RGPD 5 Cf. RGPD, considérant
(73)6 Délibération n° 219/2018 du 29 mars 2018 de la Commission nationale pour la protection des données, doc. parl. n° 7250/01, pages 2 ä 6. 7 Comité européen de la protection des données (EDPB), Guidelines 10/

Article 23

GDPR, disponibles sous : https://edpb.europa.eu/our-work-tools/our-documents/quidelines/quidelines-102020-restrictionsunder-article 23 d r fr CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 10/23 i. Les limitations respectent l'essence des libertés et des droits fondamentaux (article 23.1 du RGPD)

  1. D'après l'article 23.1 du RGPD, la mesure législative peut limiter la portée des obligations et des droits prévus aux articles 12 ä 22 « lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux ». En vertu de l'article 23 de la loi modifiée du 29 mars 2013, la portée des obligations et des droits prévus ä l'article 13 (droit ä l'information lorsque des données ä caractère personnel sont collectées auprès de la personne concernée), ä l'article 14.1 (droit ä l'information lorsque les données ä caractère personnel n'ont pas été collectées auprès de la personne concernée) et ä l'article 15 du RGPD (droit d'accès de la personne concernée) est limitée. Le droit ä l'information et le droit d'accès sont considérés comme des droits essentiels pour permettre l'exercice par la personne concernée de ses autres droits prévus par le RGPD. Ils tendent ä assurer l'effectivité du contrôle de l'individu sur la gestion de ses données ä caractère personnel. Plus spécifiquement, le droit d'accès figure explicitement dans l'article 8.2 de la Charte.
  2. La CNPD constate qu'aucune précision n'est donnée par les auteurs du projet de loi quant ä l'étendue de cette limitation, ce qui ouvre de nombreuses possibilités quant aux restrictions des droits d'accès et d'information des personnes concernées. A cet égard, la CNPD tient ä rappeler qu'une restriction généralisée, dans la mesure où elle viderait un droit fondamental de son contenu de base, ne peut être justifiée. En tout état de cause, une exclusion générale des droits des personnes concernées ä l'égard de l'ensemble ou de certaines opérations de traitement de données ou ä l'égard de responsables de traitement spécifiques ne respecterait pas l'essence du droit fondamental ä la protection des données ä caractère personnel, tel que consacré ä l'article 8, paragraphe 2 de la Charte'. ii. Les limitations constituent une mesure nécessaire et proportionnelle dans une société démocratique (test de proportionnalité et de nécessité, article 23.1 du RGPD)
  3. D'après l'article 23.1 du RGPD, la mesure législative peut limiter la portée des obligations et des droits prévus aux articles 12 ä 22 lorsqu'elle « constitue une mesure nécessaire et proportionnée dans une société démocratique [...] ». Un test de proportionnalité et de nécessité doit donc être exécuté avant d'instaurer une limitation'.
  4. Les dispositions sous revue doivent constituer dans un premier temps une mesure strictement nécessaire afin d'atteindre les objectifs de lutte contre la fraude et l'évasion fiscales, de préservation des recettes fiscales et de promotion d'une fiscalité équitable'''. Pour ce qui est des 8 Comité européen de la protection des données (EDPB), Guidelines 10/

Article 23GDPR, §14 9 Comité européen de la protection des données (EDPB), Guidelines 10/2020 on restrictions Linder Article 23 GDPR, §40 '° Considérant

(36)de la directive (UE) 2021/514 du Conseil du 22 mars 2021 modifiant la directive 2011/16/UE relative ä la coopération administrative dans le domaine fiscal CNPll Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 11/23 revenus provenant d'activités commerciales réalisées par l'intermédiation de plateformes numériques, l'exposé des motifs du projet de loi indique que les administrations fiscales ne disposent généralement pas d'informations suffisantes et concrètes pour évaluer et contrôler de manière correcte ces revenus. Bien qu'il ne ressorte pas des documents accompagnant le projet de loi qu'un test de nécessité ait été effectué, la CNPD comprend que le bon fonctionnement de l'administration fiscale constitue un objectif légitime et que le droit ä l'information et le droit d'accès d'un contribuable ne devrait pas empêcher l'administration de mener ä bien ses missions.
  1. La Commission nationale s'interroge toutefois sur le caractère potentiellement disproportionné des limitations prévues par le projet de loi dans la mesure où en l'absence de précisions, cellesci pourraient s'appliquer de manière arbitraire ä tous les traitements mis en œuvre par l'administration fiscale et sans limitation de temps. Pour satisfaire ä l'exigence de proportionnalité, la Cour de justice de l'Union européenne a énoncé qu'une telle réglementation doit prévoir des règles claires et précises régissant la portée et l'application de la mesure en cause et imposant des exigences minimales, de sorte que les personnes dont les données ä caractère personnel sont concernées disposent de garanties suffisantes permettant de protéger efficacement ces données contre les risques d'abus. Cette réglementation doit être légalement contraignante en droit interne et indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, garantissant ainsi que l'ingérence soit limitée au strict nécessaire". La CNPD invite les auteurs du projet de loi ä prendre en compte l'exemple donné par le CEPD dans ses lignes directrices sur l'article 23 du RGPD concernant la limitation du droit d'accès par une administration fiscale'. iii. Les limitations doivent être prévues par la voie de mesures législatives (article 23.1 du RGPD)
  2. Le considérant
(41)du RGPD indique : « Lorsque le présent règlement fait référence ä une base juridique ou ä une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un Cf. l'arrêt de la CJUE du 2 mars 2021, Prokuratuur, C-746/18, ECLI:EU:C:2021:152, point 48 ; arrêt de la CJUE du 21 décembre 2016, Tele
  1. C-203/15 et C-698/15, ECLI:EU:C:2016:970, points 117 et 118 ; arrêt de la CJUE du 6 octobre 2020, Privacy International, C-623/17, ECLI:EU:C:2020:790, point 68 ; arrêt de la CJUE du 6 octobre 2020, La Quadrature du Net e.a., C-511/18, C-512/18 et C-520/18, ECLI:EU:C:2020:791, point
  2. 12 Comité européen de la protection des données (EDPB), Guidelines 10/

Article 23

GDPR, Version 2.0, adoptées le 13 octobre 2021, §27: "As an example a Direct Tax Administration may impose restrictions to the rights of access by the data subject where he or she is under an investigation led by the Tax Administration in the framework of its legal duty. in so far as this access would jeopardise the ongoing investigation. However such restriction should be limited to the time necessary for the specific investigation and should be lifted as soon as the Tax Administration closes the investigation. The data subject should be informed without delay and be notified with the justifications contained in the decision of the controller and with the date from which he or she may again exercise his or her right of access. Also appropriate safeguards should be ensured such as for instance an indirect access - when it is foreseen in national law - so as to ensure that an independent Authority may check the lawfulness of the processing." 11 [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 12/23 acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément ä la jurisprudence de la Cour de justice de l'Union européenne [...I et de la Cour européenne des droits de l'homme. » À cet égard, la Cour de justice de l'Union européenne a jugé que la réglementation comportant une mesure permettant une ingérence telle que celles prévues par l'article 23 du RGPD doit prévoir des règles claires et précises régissant la portée et l'application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données ä caractère personnel ont été transférées disposent de garanties suffisantes permettant de protéger efficacement ces données contre les risques d'abus". Toute mesure adoptée en vertu de l'article 23 du RGPD doit ainsi être claire et précise et son application être prévisible pour les justiciables. En particulier, ces derniers doivent être en mesure d'identifier les circonstances et les conditions dans lesquelles la portée des droits que leur confère le RGPD est susceptible de faire l'objet d'une limitation par le responsable de traitement'''. 27. Or, la CNPD relève lä encore l'absence de précision dans l'article 23 de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal. Les auteurs du projet de loi pourraient ä cet égard s'inspirer de la législation allemande et notamment des articles 32a, 32b et 32c du code fiscal allemand'. A titre d'exemple, en ce qui concerne les informations ä fournir lorsque des données ä caractère personnel sont collectées auprès de la personne concernée, l'article 32a limite le droit d'information de la personne concernée uniquement en ce qui concerne un traitement ultérieur des données ä caractère personnel pour une finalité autre que celle pour laquelle les données ä caractère personnel ont été collectées (limitation de l'article 13.3 du RGPD). Cette disposition allemande précise qu'une telle limitation ne peut être mise en place que dans 4 hypothèses : si le respect d'un tel droit pourrait

(1)compromettre la bonne exécution des missions de l'administration dans le domaine fiscal par exemple, et que les intérêts de l'administration fiscale ä ne pas fournir les informations prévalent sur ceux de la personne concernée ;
(2)mettre en péril la sécurité publique ou bien nuire au bien général de l'État fédéral ou du Land, et que les intérêts de l'administration fiscale ä ne pas fournir les informations prévalent sur ceux de la personne concernée ;
(3)empêcher la capacité d'un représentant légal de l'administration fiscale ä la constatation, ä l'exercice ou ä la défense d'un droit en justice en matière civile et que l'administration fiscale n'est pas soumise ä une obligation d'information en application du droit civil ; ou
(4)pourrait empêcher la divulgation ä titre confidentiel de données protégées aux autorités publiques :
(1)Die Pflicht der Finanzbehörde zur Information der betroffenen Person gemäß Artikel 13 Absatz 3 der Verordnung (EU) 2016/679 besteht ergänzend zu der in Artikel 13 Absatz 4 der Verordnung 13 Cf. l'arrêt de la CJUE du 24 février 2022, « SS » SIA c. Valsts ienörnumu dienests, C-175/20, ECLI:EU:C:2022:124, point 55 ; l'arrêt de la CJUE du 2 mars 2021, Prokuratuur, C-746/18, ECLI:EU:C:2021:152, point 48 14 Cf. l'arrêt de la CJUE du 24 février 2022, « SS » SIA c. Valsts ienärnumu dienests, C-175/20, ECLI:EU:C:2022:124, point 56 ; Cf. également Comité européen de la protection des données (EDPB), Guidelines 10/

Article 23

GDPR, § 17 15 Abgabeordnung, §§ 32a, 32b, 32c [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n 8029 13/23 (EU) 2016/679 genannten Ausnahme dann nicht, wenn die Erteilung der Information über die beabsichtigte Weiterverarbeitung oder Offenbarung

  1. die ordnungsgemä ße Erfüllung der in der Zuständigkeit der Finanzbehörden liegenden Aufgaben im Sinne des Artikels 23 Absatz 1 Buchstabe d bis h der Verordnung (EU) 2016/679 gefährden würde und die Interessen der Finanzbehörden an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen,
  2. die öffentliche Sicherheit oder Ordnung gefährden oder sonst in und die Interessen der Finanzbehörde an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen,
  3. den Rechtsträger der Finanzbehörde in der Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche oder in der der Verteidigung gegen ihn geltend gemachter zivilrechtlicher Ansprüche im Sinne des Artikels 23 Absatz 1 Buchstabe j der Verordnung (EU) 2016/679 beeinträchtigen würde und die Finanzbehörde nach dem Zivilrecht nicht zur Information verpflichtet ist, oder
  4. eine vertrauliche Offenbarung geschützter Daten gegenüber öffentlichen Stellen gefährden würde. L'article 32a

(2)précise également les cas dans lesquels la bonne exécution des missions de l'administration pourrait être compromise, dans le cas où la communication de l'information pourrait permettre aux personnes concernées ou ä des tiers de dissimuler des faits pertinents ä des fins fiscales, d'effacer des indices pertinents ä des fins fiscales, d'ajuster la manière et l'étendue de leur devoir de collaboration au niveau de connaissance des autorités fiscales ou encore dans le cas où la communication de l'information permettrait de déduire la conception des systèmes de gestion des risques automatisés ou les mesures de contrôles et de vérification et rendrait ainsi difficile la découverte de faits pertinents ä des fins fiscales :
(2)Die ordnungsgemä ße Erfüllung der in der Zuständigkeit der Finanzbehörden liegenden Aufgaben im Sinne des Artikels 23 Absatz 1 Buchstabe d bis h der Verordnung (EU) 2016/679 wird insbesondere gefährdet, wenn die Ertellung der Information 1. die betroffene Person oder Dritte in die Lage versetzen könnte,
  1. a)steuerlich bedeutsame Sachverhalte zu verschleiem,
  2. b)steuerlich bedeutsame Spuren zu verwischen oder
  3. c)Art und Umfang der Erfüllung steuerlicher Mitwirkungspflichten auf den Kenntnisstand der Finanzbehörden einzustellen, oder 2. Rückschlüsse auf die Ausgestaltung automationsgestützter Risikomanagementsysteme oder geplante Kontroll- oder Prüfungsmaßnahmen zulassen und damit die Aufdeckung steuerlich bedeutsamer Sachverhalte wesentlich erschwert würde. 28. Il découle des considérations qui précèdent que l'administration fiscale ne saurait déroger aux dispositions des articles 13, 14 et 15 du RGPD en l'absence d'une base juridique claire et précise, dont l'application est prévisible pour les justiciables, prévoyant les circonstances et les conditions dans lesquelles la portée des obligations et des droits prévus ä ces articles peut être limitée. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 14123 iv. Les limitations répondent ä des objectifs importants d'intérêt public général (article 23.1.
  4. e)du RGPD) 29. Il ressort du projet de loi que la portée des droits ä l'information et d'accès de la personne concernée est limitée dans la mesure où cela est nécessaire afin de sauvegarder des objectifs importants d'intérêt public de l'Union européenne ou d'un État membre, d'ordre économique ou financier. La Commission nationale comprend ä la lecture de l'exposé des motifs que les domaines budgétaire et fiscal sont visés par le projet de loi. Elle prend également note de l'ensemble des objectifs énoncés dans la directive, notamment au considérant
(6)qui indique : « Le respect des obligations fiscales est lacunaire et la valeur des revenus non déclarés est importante. Les administrations fiscales des États membres disposent d'informations insuffisantes pour évaluer et contrôler de manière correcte les revenus bruts perçus dans leur pays, qui proviennent d'activités commerciales réalisées avec l'intermédiation de plateformes numériques. Cela est particulièrement problématique lorsque les revenus ou le montant imposable passent par des plateformes numériques établies dans une autre juridiction. » b. Sur la présence de dispositions spécifiques conformément ä l'article 23.2 du RGPD 30. La mesure législative limitant les droits des personnes concernées doit également prévoir des dispositions spécifiques relatives aux garanties énumérées dans le paragraphe 2 de l'article 23 du RGPD. Le projet de loi sous revue devrait ainsi comprendre des dispositions spécifiques relatives aux finalités ou catégories du traitement, aux catégories de données ä caractère personnel, ä l'étendue des limitations introduites, aux garanties destinées ä prévenir les abus ou l'accès ou le transfert illicites, ä la détermination du responsable du traitement, aux durées de conservation, aux risques pour les droits et libertés des personnes concernées et au droit des personnes concernées d'être informées de la limitation. La CNPD relève que le projet de loi contient un certain nombre de précisions quant aux catégories de données ä caractère personnel et ä leur durée de conservation. Toutefois, elle constate que les dispositions du projet de loi, en particulier le nouvel article 23 de la loi modifiée du 29 mars 2013, l'article 10 du projet de loi, le nouvel article 5 de la loi du 18 décembre 2015, le nouvel article 7 de la loi modifiée du 23 décembre 2016 et le nouvel article 14 de la loi modifiée du 25 mars 2020, ne sont pas suffisamment précises ou ne contiennent tout simplement pas de dispositions relatives ä l'étendue des limitations introduites, aux garanties destinées ä prévenir les abus ou l'accès ou le transfert illicites, ä la détermination du responsable du traitement, aux risques pour les droits et libertés des personnes concernées et au droit des personnes concernées d'être informées de la limitation. 31. Ces considérations amènent la CNPD ä la conclusion que les dispositions sous revue ne respectent que partiellement les conditions requises par l'article 23 du RGPD. La Commission nationale estime donc nécessaire de tirer des conclusions plus précises par rapport aux [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 15/23 développements du point 2 relatif ä la limitation des droits de la personne concernée et de compléter les dispositions du projet de loi afin d'assurer le respect de l'article 23 du RGPD. 3. Sur le transfert des données personnelles des contribuables dans des pays tiers 32. L'article 15 du projet de loi prévoit l'introduction d'un paragraphe 6 dans l'article 5 de la loi modifiée du 18 décembre 2015 relative ä la Norme commune de déclaration : « Les échanges d'informations en vertu de la présente loi et ayant lieu avec d'autres États membres de l'Union européenne sont soumis aux dispositions de l'article 23 de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal. » Cette dernière disposition reste néanmoins muette quant aux échanges de données personnelles avec des pays tiers ä l'Espace économique européen (EEE). En effet, la loi modifiée du 18 décembre 2015 relative ä la Norme commune de déclaration prévoit l'échange automatique de renseignements relatifs aux comptes financiers en matière fiscale avec les États membres de l'Union européenne mais également avec les autres juridictions partenaires du Luxembourg16. L'article 96 du RGPD dispose que : « Les accords internationaux impliquant le transfert de données ä caractère personnel vers des pays tiers ou ä des organisations internationales qui ont été conclus par les États membres avant le 24 mai 2016 et qui respectent le droit de l'Union tel qu'il est applicable avant cette date restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation. » 33. A ce titre, la CNPD souhaite rappeler que malgré l'existence de cette disposition et son application potentielle aux transferts sur base de la Norme commune de déclaration, le CEPD a invité les États membres ä évaluer et, le cas échéant, ä réexaminer leurs accords internationaux impliquant des transferts internationaux de données ä caractère personnel, tels que ceux relatifs ä la fiscalité (par exemple ä l'échange automatique de données ä caractère personnel ä des fins fiscales) qui ont été conclus avant le 24 mai 201617. Ce réexamen devrait être effectué afin de déterminer si, tout en poursuivant les intérêts publics importants couverts par les accords, il pourrait être nécessaire de les aligner davantage sur la législation et la jurisprudence actuelles de l'Union en matière de protection des données, ainsi que sur les orientations du CEPD. 34. La Commission nationale saisit l'opportunité de ce projet de loi pour rappeler certains éléments importants afin d'assurer au mieux le respect des dispositions du RGPD en ce qui concerne les transferts de données ä caractère personnel vers des pays tiers ne bénéficiant pas d'une décision d'adéquation de la Commission européenne. 16 Liste des juridictions partenaires dans le règlement grand-ducal du 15 mars 2016 portant exécution de l'article 2, paragraphe 4 de la loi du 18 décembre 2015 relative ä la Norme commune de déclaration 17 Comité européen de la protection des données (EDPB), Déclaration 04/2021 sur les accords internationaux, y compris les transferts, disponible sous : https://edpb.europa.eu/our-work-tools/our-documents/statements/statement042021-international-agreements-including fr [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 16123 L'article 46.1 du RGPD prévoit : « En l'absence de décision en vertu de l'article 45. paragraphe 318 , le responsable du traitement ou le sous-traitant ne peut transférer des données ä caractère personnel vers un pays tiers ou ä une organisation internationale que s'il a prévu des garanties appropriées et ä la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. » La CNPD rappelle qu'au titre des garanties minimales, les accords internationaux entre les organismes publics devraient notamment contenir des dispositions relatives au champ d'application et aux finalités du traitement, aux catégories de données ä caractère personnel concernées et au type de traitement des données, aux définitions des principales notions en matière de droit ä la protection des données ä caractère personnel, au principe de limitation des finalités, aux principes d'exactitude et de minimisation des données, au principe de limitation de la conservation, ä la sécurité et ä la confidentialité des données, aux droits des personnes concernées (transparence, accès, rectification, effacement, limitation du traitement, droit d'opposition), ä l'absence de décision fondée exclusivement sur une décision individuelle automatisée, aux droits de recours, aux mécanismes de contrôle indépendant afin de vérifier la bonne application de l'accord'. Ces garanties appropriées peuvent être fournies par un instrument juridiquement contraignant et exécutoire entre les organismes publics (article 46.2.
  1. a)du RGPD) ou, avec l'autorisation de l'autorité de contrôle compétente, par des dispositions ä intégrer dans des arrangements administratifs entre les organismes publics (article 46.3.
  2. b)du RGPD). Ces instruments et arrangements peuvent être de nature bilatérale ou multilatérale. 35. La CNPD constate que certaines de ces garanties sont prévues dans la loi modifiée du 18 décembre 2015 relative ä la Norme commune de déclaration mais elles ne sont de ce fait pas opposables aux organismes des pays tiers. La CNPD note que certaines garanties apparaissent notamment dans l'article 22 (« Secret ») de la Convention concernant l'assistance administrative mutuelle en matière fiscale (entrée en vigueur le 1 er juin 2011) et de son protocole d'amendement, signée ä Paris le 29 mai 2013 par les différents pays appliquant la norme commune de déclaration (« Multilateral Convention on Mutual Administrative Assistance in Tax Matters ») mais ne sont toutefois pas suffisantes eu égard au RGPD et aux Lignes directrices du CEPD20. Enfin, la Commission nationale constate l'existence d'un Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et la déclaration signée ä Berlin le 29 octobre 2014 (« CRS Multilateral Competent Authority Agreement » ou « CRS MCAA ») contenant une section 5 relative ä la Confidentialité et 18 Décisions d'adéquations adoptées par la Commission européenne (liste des pays concernés disponible ici: https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions t') 19 Comité européen de la protection des données (EDPB). Lignes directrices 2/2020 relatives ä l'article 46, paragraphe 2, point a), et paragraphe 3, point b), du règlement (LJE) 2016/679 pour les transferts de données ä caractère personnel entre les autorités et organismes publics établis dans l'EEE et ceux établis hors de l'EEE, disponibles sous : httpsjiedpb.europa.euiour-work-toolsiour-documentsiquidelinesiquidelines-22020-articles-46-2-and-46-3-bregulation fr 20 Comité européen de la protection des données (EDPB), Lignes directrices 2/2020 relatives ä l'article 46, paragraphe 2, point a), et paragraphe 3, point b), du règlement (UE) 2016/679 pour les transferts de données ä caractère personnel entre les autorités et organismes publics établis dans l'EEE et ceux établis hors de FEEE CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi ri° 8029 17/23 ä la Protection des Données et une Annexe C relative ä des précisions concernant la protection des données personnelles. La CNPD regrette qu'une telle annexe n'apparaisse pas dans le Journal Officiel du Grand-Duché du Luxembourg'', ne facilitant pas pour les personnes concernées la connaissance de leurs droits en matière de protection des données ä caractère personnel. A cet égard, il convient également de rappeler que d'après l'article 14.1 du RGPD, le responsable du traitement a l'obligation d'informer les personnes concernées sur le fait qu'il a l'intention d'effectuer un transfert de données ä caractère personnel ä un destinataire dans un pays tiers, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission européenne ou, dans le cas des transferts visés ä l'article 46 du RGPD, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises ä disposition. Or, l'absence de publication de l'annexe précédemment citée rend difficile la mise en application de ces dispositions par l'Administration des contributions directes. 36. Eu égard ä ce qui précède, la Commission nationale s'interroge d'une part sur le caractère approprié des garanties prévues dans l'annexe au CRS MCAA par rapport ä l'article 46.1 du RGPD et aux Lignes directrices du CEPD22. D'autre part, elle se pose la question de la qualification d'un tel instrument comme juridiquement contraignant et exécutoire (conformément ä l'article 46.2.
  3. a)du RGPD). La CNPD rappelle que conformément ä l'article 46.3.
  4. b)du RGPD, de telles garanties pourraient également être prévues dans un arrangement administratif entre l'Administration des contributions directes et l'autorité publique ou organisme public du pays tiers mais un tel arrangement devrait être préalablement soumis ä l'autorisation de la CNPD. 37. L'article 49 du RGPD prévoit un nombre limité de situations particulières dans lesquelles des transferts internationaux de données peuvent avoir lieu en l'absence de décision d'adéquation de la Commission européenne. Cependant, les dérogations prévues ä cet article doivent être interprétées de manière restrictive et concernent principalement les activités de traitement qui sont occasionnelles et non répétitives23 (ce qui est par exemple le cas d'un échange d'informations sur demande), mais ce qui n'est pas le cas de l'échange automatique de renseignements relatifs aux comptes financiers tel que prévu par la loi modifiée du 18 décembre 2015 relative ä la Norme commune de déclaration. 21 Arrêté grand-ducal du 13 décembre 2017 portant publication de - l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et la déclaration signée ä Berlin le 29 octobre 2014 - l'Accord multilatéral entre autorités compétentes portant sur l'échange des déclarations pays par pays et la déclaration signée ä Paris le 27 janvier 2016 - la "Declaration on the effective date for exchanges of information under the muttilateral competent authority agreement on automatic exchange of financial account information" signée ä Luxembourg le 21 décembre 2016 - la "Declaration on the effective date for exchanges of information under the multilateral competent authority agreement on the exchange of country-by-country reports" signée ä Luxembourg le 30 juin 2017. 22 Comité européen de la protection des données (EDPB), Lignes directrices 2/2020 relatives ä l'article 46, paragraphe 2, point a), et paragraphe 3, point b), du règlement (UE) 2016/679 pour les transferts de données ä caractère personnel entre les autorités et organismes publics établis dans l'EEE et ceux établis hors de l'EEE, 23 Comité européen de la protection des données (EDPB). Lignes directrices 2/2020 relatives ä l'article 46, paragraphe 2, point a), et paragraphe 3, point b), du règlement (UE) 2016/679 pour les transferts de données ä caractère personnel entre les autorités et organismes publics établis dans l'EEE et ceux établis hors de l'EEE, disponibles sous : https://edpb.europa.eu/our-work-tools/our-documentsfauidelines/auidelines-22020-articles-46-2-and 46 3 b re ulation fr CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 18/23 Ri. Sur l'allocation des responsabilités 38. L'article 10.2 du projet de loi prévoit que les Opérateurs de Plateforme déclarants et l'Administration des contributions directes sont « considérés comme des responsables de traitement, lorsque. agissant seuls ou conjointement. ils déterminent les finalités et les moyens d'un traitement de données ä caractère personnel ». Le commentaire de cette disposition indique même que l'ACD et les Opérateurs de Plateforme sont « coresponsables » du traitement des données échangées dans le cadre du projet de loi. L'article 15.1 du projet de loi modifiant l'article 5 de la loi modifiée du 18 décembre 2015 relative ä la Norme de commune de déclaration prévoit de manière similaire que les Institution financières déclarantes luxembourgeoises et l'Administration des contributions directes sont « considérées comme des responsables de traitement, lorsque, agissant seuls ou conjointement. elles déterminent les finalités et les moyens d'un traitement de données ä caractère personnel [...] ». L'article 15.3 du projet de loi modifiant l'article 14 de la loi modifiée du 25 mars 2020 relatif aux dispositifs transfrontalières prévoit que les intermédiaires et l'Administration des contributions directes sont « considérés comme des responsables de traitement, lorsque, agissant seuls ou conjointement, ils déterminent les finalités et les moyens d'un traitement de données ä caractère ». personnel 39. A titre liminaire, la CNPD estime nécessaire de préciser que dans le cas d'une entité publique, c'est bien en vertu de la loi que celle-ci est chargée de certaines tâches administratives. Ce n'est donc pas l'Administration des contributions directes qui détermine elle-même les finalités et les moyens du traitement de données ä caractère personnel mais les dispositions légales mettant en place le traitement. Il appartient donc au texte du projet de loi de déterminer qui sont les responsables de traitement. 40. La notion de responsabilité conjointe est prévue ä l'article 26.1 du RGPD et correspond ä l'hypothèse où deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement. Or, le fait que plusieurs acteurs participent au même traitement ne signifie pas qu'ils agissent nécessairement en tant que responsables conjoints de ce traitement. Tous les types de partenariat, de coopération ou de collaboration n'impliquent pas que les entités soient des responsables conjoints du traitement, étant donné que cette qualité requiert une analyse au cas par cas de chaque traitement et du rôle précis que joue chaque entité dans chaque traitement'. Dans le cadre de la coopération administrative dans le domaine fiscal, des entités comme les Opérateurs de Plateforme déclarants, les institutions financières déclarantes luxembourgeoises ou les intermédiaires traitent les données des personnes concernées afin de respecter leurs 24 Comité européen de la protection des données (EDPB). Lignes directrices 07/2020 concernant ies notions de responsable du traitement et de sous-traitant dans le RGPD, §69, disponibles sous : https://edpb.europa.eu/our-worktools/our-documents/ou nes/guidelines-072020-concepts-controller-and-processor-qdpr fr [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 19/23 obligations de déclaration qui sont prévues par la loi. L'Administration des contributions directes traite quant ä elle ces données pour des finalités différentes, par exemple l'établissement et le recouvrement des impôts, ou pour respecter ses propres obligations de coopération avec des autorités compétentes étrangères. 41. A cet égard, la CNPD invite les auteurs du projet de loi ä se référer aux lignes directrices du CEPD concernant les notions de responsable du traitement et de sous-traitant dans le RGPD. Il convient notamment de se référer ä l'exemple de la communication par une entreprise de données relatives au personnel ä l'administration fiscale, une loi l'obligeant ä transmettre toutes les données relatives aux salaires ä l'administration fiscale afin de renforcer le contrôle fiscal. Dans cet exemple, le CEPD indique que même si l'entreprise et l'administration fiscale traitent les mêmes données relatives aux salaires, l'absence de finalités et de moyens déterminés conjointement concernant ce traitement aura pour effet que les deux entités seront considérées comme deux responsables distincts du traitement. 42. Au vu de ce qui précède, la Commission nationale recommande de reconsidérer la qualification de l'Administration des contributions directes et respectivement des Opérateurs de Plateforme déclarants, des institutions financières déclarantes luxembourgeoises ou des intermédiaires en tant que responsables conjoints du traitement. La CNPD est d'avis que dans le cadre des différentes dispositions précitées, l'Administration des contributions directes devrait être qualifiée de responsable séparé du traitement. 43. La CNPD relève également que l'article 14 (18°) du projet de loi modifiant l'article 23 de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal prévoit que l'autorité compétente luxembourgeoise (le Ministre ayant les Finances dans ses attributions) est « considérée comme un responsable de traitement, lorsque, agissant seule ou conjointement avec les autres autorités compétentes des autres Etats membres, elle détermine les finalités et les moyens d'un traitement de données ä caractère personnel [...] ». La Commission nationale s'interroge d'une part sur les hypothèses où le Ministre ayant les Finances dans ses attributions et les autres autorités compétentes des autres États membres pourraient être responsables conjoints du traitement. Une telle situation pourrait apparaitre dans le cadre des contrôles conjoints par l'autorité compétente luxembourgeoise et l'autorité compétente d'un autre État membre (prévu au nouvel article 13bis de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal). 44. D'autre part, la CNPD s'interroge sur la qualification ä donner aux différentes administrations fiscales traitant les données personnelles des contribuables sur base de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal (l'Administration des contributions directes, l'Administration de l'enregistrement et des domaines et l'Administration des douanes et accises). Par exemple, dans le cadre de l'échange automatique et obligatoire d'informations (article 9b1s de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal), c'est l'Administration des contributions directes qui communique aux autorités des autres États membres les données personnelles dont elle dispose et qui devrait être considérée comme responsable du traitement (de manière similaire ä ce qui Avis de la Commission nationale pour la protection des données reiatif au projet de toi ri° 8029 20/23 est prévu par le projet de loi pour le traitement des données reçues par l'Administration des contributions directes de la part des Opérateurs de Plateforme). 45. En tout état de cause, la CNPD tient ä rappeler qu'afin de respecter les conditions de l'article 26.1 du RGPD, les responsables conjoints du traitement doivent conclure un accord prévoyant de manière transparente leurs obligations respectives, y compris en ce qui concerne l'exercice des droits de la personne concernée et leurs obligations respectives quant ä la communication des informations visées aux articles 13 et 14 du RGPD. La Commission nationale souligne ä cet égard que d'après l'article 25.7 de la directive, « [lies États membres, assistés par la Commission, arrêtent les modalités pratiques nécessaires ä la mise en œuvre du présent article, y compris [...], le cas échéant, un accord conjoint entre les responsables du traitement, un accord entre les sous-traitants et les responsables du traitement, ou des modèles de ces accords. » 46. La Commission nationale relève par ailleurs que dans le cadre de leurs procédures de diligence raisonnable telles que prévues par l'article 4 du projet de loi, les Opérateurs de Plateforme peuvent « s'appuyer sur des prestataires de seivice tiers pour remplir les obligations en matière de diligence raisonnable [...] ». Un tel recours ä un tiers devra être qualifié de relation de soustraitance au sens de l'article 4.8) RGPD et respecter les conditions de l'article 28 du RGPD. V. Quant ä l'accès au système électronique central de recherche de données étendu aux autorités fiscales 47. La CNPD observe qu'un accès « de manière directe, immédiate et non filtrée » au système électronique central de recherche de données n'est actuellement prévu que pour la CRF (article 8.1 de la loi modifiée du 25 mars 2020 instituant un système électronique central de recherche de données concernant des comptes IBAN et des coffres-forts). La Commission nationale prend note que l'article 16 du projet de loi vise ä créer un tel accès pour l'Administration des contributions directes (pour les finalités qui découlent de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal, de la loi modifiée du 18 décembre 2015 relative ä la Norme commune de déclaration et de la loi du 21 juillet 2012 concernant l'assistance mutuelle en matière de recouvrement des créances relatives aux taxes, impôts, droits et autres mesures), pour l'Administration de l'enregistrement, des domaines et de la TVA et pour l'Administration des douanes et accises (pour les finalités qui découlent de la loi du 21 juillet 2012 concernant l'assistance mutuelle en matière de recouvrement des créances relatives aux taxes, impôts, droits et autres mesures). 48. La Commission nationale accueille favorablement les dispositions actuellement en vigueur et relatives au nombre limité de personnes autorisées au sein des autorités nationales ä accéder au système de recherche et ä la communication de listes de ce personnel spécifiquement désigné et autorisé ä la CSSF (article 8.3 de la loi modifiée du 25 mars 2020). Elle note cependant que l'Administration des contributions directes et l'Administration des douanes et accises ne sont pas définies en tant qu'autorités nationales dans l'article 1 de la loi modifiée du 25 mars 2020. La CNPD recommande donc aux auteurs du projet de loi de modifier cet article afin que l'ensemble Avis de la Commission nationale pour la protection des données relatif au projet de loi ri° 8029 21/23 des dispositions relatives aux autorités nationales soient également applicables ä l'Administration des contributions directes et ä l'Administration des douanes et accises. 49. La CNPD accueille également avec intérêt la mesure prévue ä l'article 9.2 et 9.3 relative ä la consignation des données relatives ä chaque accès et recherche effectuée dans le système de recherche (système de journalisation des accès). Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans ä partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. Toutefois, la CNPD note que l'article 9.2 de la loi modifiée du 25 mars 2020 ne fixe pas avec assez de précision les modalités de recherches par les autorités nationales et les organismes d'autorégulation. Afin d'éviter que les recherches par les autorités nationales et les organismes d'autorégulation ne puissent revêtir un caractère exploratoire (((fishing expeditions»), constitutives d'une collecte disproportionnée, voire abusive, de données ä caractère personnel, la loi devrait par exemple exiger l'indication d'un motif d'accès et préciser les données d'identification devant être communiquées pour procéder ä une recherche ciblée dans le système. De telles conditions permettraient d'éviter la possibilité d'effectuer des recherches approximatives, c'est-à-dire des recherches qui génèrent des plages de résultats plus larges, même si un terme est mal orthographié ou incomplet, élargissant ainsi les résultats de concordances. 50. La CNPD souligne aussi l'importance d'effectuer pro-activement des contrôles en interne. A cet effet, il convient conformément ä l'article 32.1.
  5. d)du RGPD de mettre en œuvre une procédure « visant ä tester, ä analyser et ä évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Vl. Conclusion La CNPD estime qu'en l'état actuel, les textes sous avis ne respectent pas les exigences de précision et de prévisibilité auxquelles doit répondre un texte légal. Elle estime nécessaire que le texte soit précisé notamment sur les points suivants : — le traitement et la conservation des documents d'identification dans la cadre des procédures de diligence raisonnable des Opérateurs de Plateforme ; - le recours aux registres interrogeables en ligne des Opérateurs de Plateforme dans le cadre de leurs procédures de diligence raisonnable ; - la forme et les modalités en matière de déclaration des informations par les Opérateurs de Plateforme ; - les informations d'identification financière relatives au titulaire du compte financier sur lequel la Contrepartie est versée ou créditée dans le cadre des informations ä communiquer par les Opérateurs de Plateforme ; - la limitation des droits de la personne concernée eu égard aux administrations fiscales ; - la détermination des responsables du traitement séparés et éventuellement conjoints. [CNP15- Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 22/23 Concernant le transfert des données personnelles des contribuables vers des pays tiers, la Commission nationale invite le Ministère des Finances ä évaluer et, le cas échéant, ä réexaminer les accords internationaux impliquant l'échange automatique de données ä caractère personnel ä des fins fiscales. Ce réexamen devrait être effectué afin de déterminer si, tout en poursuivant les intérêts publics importants couverts par les accords, il serait nécessaire de les aligner sur les dispositions du RGPD et la jurisprudence actuelle de l'Union européenne en matière de protection des données, en tenant compte des orientations du CEPD. Ainsi adopté ä Belvaux en date du 2 décembre 2022. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNPli Thierry Lallemang Commissaire ZZA • ' arc Lemmer Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 23/23

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.