Projet de loi n° 8029, doc. parl. n° 8029/08 3 Cf. l'arrêt de la CJUE du 4 décembre 2018, Minister for Justice and Equality and Commissioner of the Ga

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8029 relative ä l'échange automatique et obligatoire des informations déclarées par les Opérateurs de Plateforme et portant modification 10 de la loi modifiée du 19 décembre 2008 ayant pour objet la coopération interadministrative et judiciaire et le renforcement des moyens de l'Administration des contributions directes, de l'Administration de l'enregistrement et des domaines et de l'Administration des douanes et accises et portant modification de - la loi modifiée du 12 février 1979 concernant la taxe sur la valeur ajoutée ; - la loi générale des impôts (« Abgabenordnung ») ; - la loi modifiée du 17 avril 1964 portant réorganisation de l'Administration des contributions directes ; - la loi modifiée du 20 mars 1970 portant réorganisation de l'Administration de l'enregistrement et des domaines ; - la loi modifiée du 27 novembre 1933 concernant le recouvrement des contributions directes et des cotisations d'assurance sociale ; 2° de la loi du 21 juillet 2012 portant transposition de la directive 2010/24/UE du Conseil du 16 mars 2010 concernant l'assistance mutuelle en matière de recouvrement des créances relatives aux taxes, impôts, droits et autres mesures ; 3° de la loi modifiée du 29 mars 2013 relative ä la coopération administrative dans le domaine fiscal ; 4° de la loi modifiée du 18 décembre 2015 relative ä la Norme commune de déclaration (NCD) ; 5° de la loi modifiée du 23 décembre 2016 relative ä la déclaration pays par pays ; 6° de la loi modifiée du 25 mars 2020 relative aux dispositifs transfrontières devant faire l'objet d'une déclaration ; 7° de la loi modifiée du 25 mars 2020 instituant un système électronique central de recherche de données concernant des comptes IBAN et des coffres-forts ; en vue de transposer la directive 2021/514 du Conseil du 22 mars 2021 modifiant la directive 2011/16/UE en ce qui concerne l'échange automatique et obligatoire d'informations dans le domaine fiscal Délibération n°14/AV8/2023 du 17 février

2. Conformément ä l'article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif ä la protection des personnes physiques ä l'égard du traitement des données ä caractère personnel et ä la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives ä la protection des droits et libertés des personnes physiques ä l'égard du traitement ». L'article 36.4 du RGPD dispose que « Nes États membres consultent l'autorité de contröle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une teiie mesure législative, qui se rapporte au traitement. » CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°8029 1/4
3. En date du 2 décembre 2022, la Commission nationale a avisé le projet de loi n°8029 relative ä l'échange automatique et obligatoire des informations déclarées par les Opérateurs de Plateforme et portant modification des certaines autres lois (ci-après le « projet de loi »)
5. En date du 10 janvier 2023, Madame la Ministre des Finances a invité la CNPD ä se prononcer au sujet de dix amendements parlementaires au projet de loi qui ont été approuvés par la Commission des Finances et du Budget lors de sa réunion du 9 janvier 2023 (ci-après les « amendements parlementaires »). I. Ad amendement 7 concernant l'article 10
6. Dans son avis du 2 décembre 2022 relatif aux articles 10.2, 15.1 et 15.3 du projet de loi, la CNPD recommandait « de reconsidérer la qualification de l'Administration des contributions directes et respectivement des Opérateurs de Plateforme déclarants, des institutions financières déclarantes luxembourgeoises ou des intermédiaires en tant que responsables conjoints du traitement. ». Il en ressortait également que « fila CNPD est d'avis que dans le cadre des différentes dispositions précitées, l'Administration des contributions directes devrait être qualifiée de responsable séparé du traitement. »
7. Il y a lieu de saluer les auteurs des amendements parlementaires pour avoir modifié l'article 10.2 qui dispose ä présent que « Nes Opérateurs de Plateforme déclarants et l'Administration des contributions directes sont considérés comme des responsables de traitement, chacun pour le traitement qu'il met en œuvre, lorsqu'ils déterminent les finalités et les moyens d'un traitement de données ä caractère personnel au sens [...] du règlement général sur la protection des données [...]». II. Ad amendements 8 et 9 concernant l'article 15
8. Il y a également lieu de saluer les auteurs des amendements parlementaires pour avoir modifié l'article 15.1, numéro 2 qui dispose ä présent que « Nes Institutions financières déclarantes luxembourgeoises et l'Administration des contributions directes sont considérées comme des responsables de traitement, chacunfel pour le traitement qu'elle met en œuvre, lorsqu'elles déterminent les finalités et les moyens d'un traitement de données ä caractère personnel au sens [...] du règlement général sur la protection des données [...]» et l'article 15.3 qui dispose ä présent que « ffles intermédiaires et l'Administration des contributions directes sont considérés comme des responsables de traitement, chacun pour le traitement qu'il met en œuvre, lorsqu'ils déterminent les finalités et les moyens d'un traitement de données ä caractère personnel au sens [...] du règlement général sur la protection des données [...]».
9. La CNPD prend également note des amendements visant ä adapter le cadre légal ä l'arrêt du 8 décembre 2022 de la Cour de Justice de l'Union européenne (ci-après la « CJUE ») dans l'affaire C-694/
10. ' Délibération 57/AV29/2022 du 2 décembre 2022, doc.parl. n° 8029/
11. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°8029 2/4 La 2e phrase du nouvel article 3.2 de la loi modifiée du 25 mars 2020 relative aux dispositifs transfrontières devant faire l'objet d'une déclaration disposerait ainsi que : « L'intermédiaire tenu en vertu de l'alinéa / er de notifier au contribuable concerné les obligations de déclaration qui incombent ä celui-ci en vertu de la présente loi lui met ä disposition les informations nécessaires au respect de l'obligation de déclaration visée ä l'article
12. », supprimant ainsi l'obligation de notification ä tout autre intermédiaire dans les cas où le paragraphe 1er, alinéa 1er , de cet article 3 est applicable (dérogations ä l'obligation de déclaration pour les avocats, experts-comptables ou professionnels de l'audit).
13. La CNPD constate cependant que les amendements proposés reviennent ä aller au-delä de la portée de l'arrêt de la CJUE qui concerne uniquement la dispense de l'obligation de déclaration au bénéfice de l'avocat intermédiaire soumis au secret professionnel et couvre le secret professionnel des avocats tel que protégé par l'article 7 de la Charte des droits fondamentaux de l'Union européenne et l'article 8.1 de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales. La Commission nationale se rallie dès lors ä l'avis du Conseil de l'Ordre des avocats du barreau de Luxemburg du 1er février 2023 (notamment en ce qui concerne l'application de obligations de notification par les experts-comptables et les professionnels de l'audit ainsi que l'obligation de notification au contribuable concerné) et préconise d'apporter les modifications nécessaires afin de se conformer avec l'arrêt du 8 décembre 2022 de la CJUE2 tout en préservant le secret professionnel liant l'avocat ä son client. Ill. Remarques finales
14. La CNPD constate plus généralement que les amendements ne répondent pas ä toutes les autres observations soulevées dans son avis du 2 décembre
16. Il y a notamment lieu de regretter que les auteurs des amendements n'aient pas tenu compte des développements de la Commission nationale sur la limitation des droits de la personne concernée. Il convient de rappeler que le Comité européen de la protection des données a précisé dans ses lignes directrices que le non-respect des dispositions de l'article 23 du RGPD peut entraîner certaines conséquences telles que l'intervention de la Commission européenne (à qui appartient, en tant que « gardienne des traités », de s'assurer que les violations par les États membres des obligations qui leur incombent en vertu du droit de l'Union soient corrigées) ou encore le devoir de laisser inappliquée une disposition nationale contraire au droit de l'Union par les juridictions nationales ou les autorités administratives
17. 2 Projet de loi n° 8029, doc. parl. n° 8029/08 3 Cf. l'arrêt de la CJUE du 4 décembre 2018, Minister for Justice and Equality and Commissioner of the Garda Siochäna, C- 378/17, ECLI:EU:C:2018:979, point 38 ; Cf. également Comité européen de la protection des données (EDPB), Guidelines 10/2020 on restrictions under Article 23 GDPR, §§ 72-
18. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°8029 3/4
19. Dès lors, la CNPD réitère sa position exprimée et ses observations formulées dans son avis du 2 décembre 2022, 4 notamment en ce qui concerne la limitation des droits des personnes concernées
20. Ainsi adopté ä Belvaux en date du 17 février
21. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date 20210/17 1131113 +0100' Tine A. Larsen Présidente 4 Dig ttally signed by Thierry Thierry Lallemang D t e3: 250822%107 Lallemang 1 o : 1 . Thierry Lallemang Commissaire Marc Ernest Jean-Pierre Lemmer Digttally signed by Marc Ernest Jean-Pierre lernmer Date 2023.02.17 1412128 +01'00' Marc Lemmer Commissaire Délibération 57/AV29/2022 du 2 décembre
22. 5 Délibération 57/AV29/2022 du 2 décembre 2022, doc. parl. n° 8029/04, points 18-
23. CNP11 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°8029 4/ 4