Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») ; de la loi modifiée du 27 novembre contributions directes, 1933 concernant le recouvrement des droits d'accise sur l'eau-de-vie des et des cotisations d'assurance sociale ; de la loi modifiée du 19 décembre 2008 ayant pour objet la coopération interadministrative et judiciaire et le renforcement des moyens de l'Administration des contributions directes, de ('Administration de l'enregistrement et des domaines, de l'Administration des douanes et accises et portant modification de la loi modifiée du 12 février 1979 concernant la taxe sur la valeur ajoutée; la loi générale des impôts (« Abgabenordnung ») ; la loi modifiée du 17 avril 1964 portant réorganisation de l'Administration des contributions directes; la loi modifiée du 20 mars 1970 portant réorganisation de l'Administration de l'enregistrement et des domaines ; la loi modifiée du 27 novembre 1933 concernant le recouvrement des contributions directes et des cotisations d'assurance sociale Délibération n°53/AV21/2024 du 7 août 2024 Conformément à l'article 57. 1.
(2019)250 final. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois onnexes. 5/12 finalités pour lesquelles le traitement ultérieur devrait être considérécomme compatible et licite. (... ) La base juridique prévue par le droit de l'Union ou le droit d'un État membre en ce qui concerne le traitement de données à caractère personnel peut également constituer la base juridique pour un traitement ultérieur. Afin d'établir si les finalités d'un traitement ultérieur sont compatibles avec celles pour lesquelles les données à caractère personnel ont été collectées initialement, le responsable du traitement, après avoir respecté toutes les exigences liées à la licéité du traitement initial, devrait tenir compte, entre autres: de tout lien entre ces finalités et les finalitésdu traitement ultérieurprévu; du contexte dans lequel les donnéesà caractèrepersonnel ont étécollectées, en particulier les attentes raisonnables des personnes concernées, en fonction de leur relation avec le responsable du traitement, quant à l'utilisation ultérieure desdites données; la nature des données à caractère personnel; les conséquences pour les personnes concernéesdu traitement ultérieurprévu; et l'existence de garanties appropriéesà la fois dans le cadre du traitement initial et du traitement ultérieur prévu ». 18. L'article 6.4 du RGPD précise les conditions à respecter dans le cadre d'un traitement à une fin autre que celle pour laquelle les données ont été collectées et dispose que « [IJorsque le traitement à une fin autre que celle pour laquelle les données ont étécollectées n'est pas fondé sur le consentement de la personne concernée ou sur le droit de l'Union ou le droit d'un Etat membre qui constitue une mesure nécessaire et proportionnée dans une sociétédémocratique pour garantir les objectifs visés à l'article 23, paragraphe 1, le responsable du traitement, afin de déterminersi le traitement à une autre fin est compatible avec la finalitépour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres : a. de l'existence éventuelle d'un lien entre les finalités pour lesquelles les données à caractèrepersonnel ont étécollectées et les finalités du traitement ultérieur envisagé; b. du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement; e. de la nature des données à caractère personnel, en particulier si le traitement porte sur ofes catégories particulières de données à caractère personnel, en vertu de l'article 9, ou s/ des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, en vertu de l'article 10; d. des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées; e. afe l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation ». 19. Il y a lieu de relever que dans son avis relatif au projet de loi n°7872, le Conseil d'Étata relevé que « la condition de licéité du traitement prévue à l'article 6, paragraphe 1, lit.
- e)du RGPDne concerne que la collecte et le traitement initial de données personnelles par les autorités publiques. Or, dans la mesure où, dans le cadre du projet sous avis, des données à caractère personnel seront transféréesà une autoritépublique autre que le responsable du traitement initial pour une finalité différente de celle pour laquelle ces données ont été collectées, cette autorité devravérifier les conditions alternatives de l'article 6, paragraphe 4, du RGPD qui permettent le CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186Aportant modification de la loi généraledes impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois onnexes. 6/12 traitement ultérieur des données. Le transfert des données entre autorités publiques peut être légitime si le traitement ultérieur est fondé sur une disposition légale qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs visés à l'article 23, paragraphe 1, du RGPD. Le projet sous avis vise à créer cette base légale nécessaire au traitement ultérieur de données pour une finalité différente de celle pour laquelle ces données ont étécollectées et le Conseil d'Étatvérifiera dans le cadre de l'examen des articles s/ tes dispositions sous avis poursuivent un but énuméréà l'article 23, paragraphe 1, du RGPD et si le traitement envisagéest proportionnépar rapport à ce but »8. 20. Par ailleurs, le Conseil d'État a souligné, dans son avis relatif au texte sous examen, que rétablissement correct de l'impôt constitue un intérêt public légitime, tout comme la bonne marche du contrôle prudentiel ainsi que la lutte contre le blanchiment de capitaux et la lutte contre le financement du terrorisme9. La Commission nationale se rallie à l'avis du Conseil d'Etat et considère que cette finalité « constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés l'article 23 [du RGPD] »10. 21. En effet, l'article 23. 1 .
- e)du RGPD dispose que « [l]e droit de l'Union ou le droit de l'Etat membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l'article 34, ainsi qu'à l'article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu'une telle limitation respecte /'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : (... ) d'autres objectifs importants d'intérêt public général de l'Union ou d'un État membre, notamment un intérêt économique ou financier important de l'Union ou d'un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale ». 22. De plus, il convient encore de relever que la Cour de Justice de l'Union européenne a reconnu que « contribuer à la lutte contre la fraude et l'évasion fiscales internationales [... ] constitue un objectif d'intérêtgénéralreconnu par l'Union »11. Il y a, dès lors, lieu de féliciter les auteurs du projet de loi d'avoir établi une base légale pour le traitement ultérieurde données personnelles pour une finalité différente de celle pour laquelle ces données ont été initialement collectées. 23. Finalement, il faut souligner que lorsqu'une restriction aux droits des personnes est prévue par une mesure législative, celle-ci doit inclure des dispositions spécifiques concernant les informations énumérées à l'article 23. 2 du RGPD. Ainsi, le projet de loi devrait contenir des dispositions précises relatives aux finalités ou catégories de traitement, aux catégories de données à caractère personnel, à retendue des limitations introduites, aux garanties visant à prévenir les abus ou les accès et transferts illicites, à la détermination du responsable du traitement, aux durées de conservation, aux risques pour les droits et libertés des personnes 8 V. Avis n°60. 741 du Conseil d'Etat du 1erfévrier2022, doc. pari. n° 7872/04, p. 2. 9 V. Avis n°61. 390 du Conseil d'Etat du 1 1 juillet 2023, doc. pari. n° 8186/04, p.14. 10Article 6.4 du RGPD. 11 CJUE, C-245/19 et C-246/19, Étatluxembourgeois, 6 octobre 2020, § 86-87. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois connexes. 7/12 concernées et au droit de celles-ci d'être informéesde la limitation. La CNPDconstate néanmoins que le projet de loi omet de prendre en compte les dispositions obligatoires énoncées au paragraphe 2 de l'article 23 du RGPD, qui précise les éléments que toute mesure législative fondée sur l'article 23. 1 doit inclure. C. Quant à rechange de donnéesentre l'ACD et la CSSF 24. L'article 3 du projet de loi introduit un nouvel article 16bis dans la loi modifiée du 19 décembre 2008 dont les nouvelles dispositions prévoient un échange de données entre l'ACD et la CSSF « sur demandes motivées respectives » qui porterait sur les « renseignements, actes et documents en leur possession qui concernent des contribuables qui sont des entités soumises à la surveillance prudentielle de la Commission de surveillance du secteur financier ou pour lesquelles la Commission de surveillance du secteur financier est l'autorité compétente pour assurer le respect des obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme »12. 25. Le paragraphe 2 dudit article 16bis prévoit quant à lui que « tes renseignements, actes et documents transmis par la Commission de surveillance du secteur financier à l'Administration des contributions directes en vertu du paragraphe 1er doivent être nécessaires dans le cadre de l'exécution de la législation en matière de divers impôts directs ou de l'exercice des attributions et perceptions confiéesà l'Administration des contributions directes par les dispositions légales spéciales ». 26. L'article 16bis.3 prévoit encore que «/es renseignements, actes et documents transmis par l'Administration des contributions directes à la Commission de surveillance du secteur financier en vertu du paragraphe 1erdoivent être nécessaires pour l'exercice de la surveillance prudentielle exercée par la Commission de surveillance du secteur financier ou pour assurer le respect par tes entités visées au paragraphe 1er de leurs obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme ». 27. La Commission nationale note que le premier paragraphe de l'article 16bis précise les modalités de rechange des données ainsi que les personnes concernées par ce traitement. Elle salue particulièrement le fait que cet échange de données se fasse uniquement sur demande motivée, ce qui exclut un échangeautomatique de données. Les deuxièmeet troisième paragraphesénoncent les finalitésrespectives de la transmission des données. À ce sujet, les auteurs du projet de loi précisent dans le commentaire de l'article 3 (nouvel article 16bis) que « [l]a coopération entre l'ACD et la CSSF est nécessairepour éviter qu'un contribuable qui est en même temps un établissement surveillé par la CSSF en tant qu'autorité prudentielle ou pour lequel la CSSF contrôle le respect des obligations professionnelles en matière d'AMUFT puisse faire des déclarations incohérentes ou contradictoires à la CSSF respectivement à l'ACD ». La Commission nationale comprend donc que la finalité poursuivie par le transfert de données entre l'ACD et la CSSF serait d'assurer que 12_Nouvel article 16bis. 1 introduit par l'article 3 du projet de loi. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois connexes. 8/12 les contribuables, qui sont en même temps des entités soumises à la surveillance de la CSSF, émettent des déclarations cohérentes à l'égard de l'administration fiscale ou à l'égard de ta CSSF. 28. L'article 3 du projet de loi introduit également un article 16ter qui prévoit de nouvelles communications de données entre l'ACD et la CSSF. Le premier paragraphe de l'article 16ter énumère la finalité de la transmission à savoir « de vérifier que les institutions financières déclarantes luxembourgeoises n'adoptent pas de pratiques ayant pour but de contourner la communication d'informations prévuepar la loi modifiéedu 18 décembre2015relative à la Norme commune de déclaration(NCD) et la loi modifiéedu 24juillet 2015 relative à FATCA ». En outre, il ressort du commentaire de l'article que « /es renseignements, actes et documents échangés [... ] ont uniquementtrait à d'éventuellespratiques ayant pour but de contourner la communication d'informations prévue parla loi modifiéedu 18 décembre 2015 relative à la Norme commune de déclaration (NCD) et la loi modifiée du 24 juillet 2015 relative à FATCA. La mise en place de cet échange d'information n'a pas pour objectif de vérifier la conformité fiscale des clients des institutions financièresconcernées ». La CNPD se félicite que les auteurs du projet de loi aient préciséles finalités pour lesquelles les données seraient transmises. 29. Néanmoins, la Commission nationale constate que dans le cadre de l'article 16ter, rechange de données ne se fait pas sur demande motivée comme prévu par l'article 16bis. 1 et s'interroge sur les raisons pour lesquelles les auteurs du projet de loi ont décidé d'omettre cette précision. Elle suggère fortement de rajouter également dans l'article 16ter étant donné que le texte sous avis entend déroger aux dispositions de la loi modifiée du 18 décembre 2015 relative à la Norme commune de déclaration(NCD)et la loi modifiéedu 24juillet 2015 relative à FATCA qui disposent que les données doivent être utilisées uniquement pour les finalités prévues dans ces lois1 3. 30. Enfin, bien que les traitements envisagéspar les dispositionssous examen soient fondéssur une disposition légale qui constitue une mesure nécessaire et proportionnée dans une société démocratique, le principe de minimisation des données consacré à l'article 5. 1 .
- e)du RGPD selon lequel les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, devra également être respecté. D. Quant à rechange de donnéesentre l'ACD et le CAA 31. L'échange des données entre t'ACD et le CAA est introduit par l'article 17bis dans la loi modifiée du 19 décembre 2008, qui prévoit dans son premier paragraphe que « sur demandes motivées respectives, l'Administration des contributions directes et le Commissariat aux Assurances échangent les renseignements, actes et documents en leur possession qui concernent des contribuables qui sont des entités soumises à la surveillance prudentielle du Commissariat aux Assurances ou pour lesquelles le Commissariat aux Assurances est l'autorité compétente pour 13 V. Art. 6. 1 de la loi modifiée du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) et art. 4. 1 6e la loi modifiéedu 24 juillet 2015 relative à FATCA. CNPDi Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois connexes. 9/12 assurer le respect des obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme ». 32. Le paragraphe 2 dudit article 17bis prévoit quant à lui que « tes renseignements, actes et documents transmis par la Commissariat aux Assurances à l'Administration des contributions directes en vertu du paragraphe 1er doivent être nécessaires dans le cadre de l'exécution de la législation en matière de divers impôts directs ou de l'exercice des attributions et perceptions confiéesà l'Administration des contributions directes parles dispositions légalesspéciales ». 33. L'article 17bis. 3 dispose, en outre, que « /es renseignements, actes et documents transmis par l'Administration des contributions directes au Commissariat aux Assurances en vertu du paragraphe 1er doivent être nécessaires pour l'exercice de la surveillance prudentielle exercée par le Commissariat aux Assurances ou pour assurer le respect par les entités visées au paragraphe 1er de leurs obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme ». 34. Le projet de loi introduit également un article 17ter qui prévoit la transmission des informations recueillies par le CAA « dans le cadre de ses missions légales et susceptibles d'être utiles aux fins de vérifierque les institutions financièresdéclarantes luxembourgeoises n'adoptent pas de pratiques ayant pour but de contourner la communication d'informations prévue par la loi modifiée du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) et la loi modifiée du 24 juillet 2015 relative à FATCA » à l'ACD. 35. La CNPD note que les dispositions concernant la coopération entre l'ACD et le CAA sont axées sur les dispositions des articles 16bis et 16ter relatives à la coopération entre l'ACD et la CSSF et réitère ses observations formulées ci-avant14. Elle se félicite que les auteurs du projet de loi définissent les finalités pour lesquelles les renseignements, actes et documents peuvent être transmis et rappelle que seules les données à caractère personnel qui sont nécessaires à la réalisation des finalités poursuivies par le responsable du traitement doivent être transmises (principe de minimisation des données). E. Quant aux dérogationsau secret fiscal et au secret professionnel 36. Il y a lieu de rappeler que les violations du secret professionnel sont punies par les sanctions pénales prévues à l'article 458 du Code pénal. Il en découleque les exceptions au secret doivent être prévues par la loi et qu'elles sont d'interprétation stricte. Le cadre régissant rechange d'informationsdoitdoncêtreétabliparla loi afind'assurerun niveauadéquatde sécuritéjuridique. 37. En l'espèce, les échanges de données prévues par l'article 3 du projet de loi sont considérés comme une dérogation au secret professionnel respectivement au secret fiscal1 5. 14 Voir points 23 et s. du présent avis. 15V. Article 3 du projet de loi qui introduit un article 16ter. 3 et un article 17ter. 3 dans la loi modifiée du 19 décembre 2008. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois connexes. 10/12 38. Dans le commentaire des articles, les auteurs du projet de loi sous avis soulignent que « tes informations reçues par l'ACD sont toutes soumises au secret fiscal prévu au paragraphe 22 AO et les informations reçues parla CSSF sont soumises au secret professionnel visé à l'article 16 de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier »16. 39. Ainsi, les informations transmises à la CSSF ou au CAA en vertu du présent projet de loi bénéficierontd'une protection au moins équivalente à celle imposée à l'ACD, conformément à l'article 16 de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier respectivement l'article 7 de la loi du 7 décembre 2015 sur le secteur des assurances. 40. La CNPDse félicite,dèslors, que les auteurs du projet de loi aient prévu une dérogationau secret fiscal et au secret professionnel dans le texte de loi. F. Sur la sécurité de l'information 41. Conformément à l'article 5. 1.
- f)du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autoriséou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». L'article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant mettent en ouvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». 42. Ainsi, dans le cadre de la mise en ouvre d'échangesde données entre les différentes autorités publiques par voie informatique, ou via des procédés automatisés ou non, de telles mesures de sécurité devraient être mises en ouvre par tes différents responsables du traitement afin d'assurer la confidentialité et la sécurité des données. Dans ce contexte, il est vivement recommandéde définirune politique de gestion des accès, afin de pouvoir identifierdès le début la personne ou le service, au sein de chaque administration concernée et à quelles données précises cette personne ou ce service aurait accès. 43. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. 44. Finalement, la Commission nationale souligne l'importance d'effectuer proactivement des contrôles en interne. A cet effet, il convient conformément à l'article 32. 1.
- d)du RGPD de mettre en ouvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécuritédu traitement ». 'ley. Ad art 3 (nouvel article 16bis) du projet de loi. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186Aportant modification de la loi généraledes impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois connexes. 11/12 Ainsi adopté à Belvaux en date du 7 août 2024. La Commission nationale pour la protection des données ^ . Thierry Lallemang Marc Lemmer Alain hlerrmann Commissaire Commissaire Commissaire CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») et certaines lois onnexes. 12/12