Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant exécution de l'alinéa 2 du paragraphe 22bis de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») Délibération 71/AV31/2024 du 13 décembre

2. Conformément à l'article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
3. En date du 7 août 2024, la CNPD a rendu un avis 1 sur le projet de loi n° 8186A portant modification de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») ; de la loi modifiée du 27 novembre 1933 concernant le recouvrement des contributions directes, des droits d’accise sur l’eau-de-vie et des cotisations d’assurance sociale ; de la loi modifiée du 19 décembre 2008 ayant pour objet la coopération interadministrative et judiciaire et le renforcement des moyens de l'Administration des contributions directes, de ('Administration de l’enregistrement et des domaines, de l’Administration des douanes et accises et portant modification de la loi modifiée du 12 février 1979 concernant la taxe sur la valeur ajoutée; la loi générale des impôts (« Abgabenordnung ») ; la loi modifiée du 17 avril 1964 portant réorganisation de l’Administration des contributions directes; la loi modifiée du 20 mars 1970 portant réorganisation de l’Administration de l'enregistrement et des domaines ; la loi modifiée du 27 novembre 1933 ' Délibération n°53/AV21/2024 du 7 août 2024 de la Commission nationale pour la protection des données, doc. pari. 8186A/
4. " CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant exécution de l'alinéa 2 du paragraphe 22bis de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») 1/3 concernant le recouvrement des contributions directes et des cotisations d’assurance sociale (ciaprès le « projet de loi »).
5. En parallèle, la Commission nationale a été saisie de quatre projets de règlements grand-ducaux élaborés dans le cadre des dispositions modifiées ou introduites par le projet de loi, dont le projet de règlement grand-ducal portant exécution de l’alinéa 2 du paragraphe 22bis de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») (ci-après le « projet de règlement grand-ducal »). La CNPD n'a pas pu identifier de questions relatives à la protection des données à caractère personnel et n’a dès lors pas estimé nécessaire de se prononcer sur les projets de règlements grand-ducaux lui soumis
7. Par courrier du 31 octobre 2024, le Ministre des Finances a invité la Commission nationale à se prononcer sur le projet d’amendements gouvernementaux au projet de règlement grand-ducal portant exécution de l’alinéa 2 du paragraphe 22bis de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») (ci-après les « amendements gouvernementaux »).
8. Le projet de règlement a pour objet de déterminer les travaux ponctuels que l’Administration des contributions directes est autorisée à confier à des contractants ainsi qu'à leurs sous-traitants conformément à l'alinéa 2 du paragraphe 22bis de la loi générale des impôts modifiée du 22 mai 1933 (« Abgabenordnung »). Cette possibilité a été introduite par le projet de loi. Ces dispositions ont été commentées par la Commission nationale dans son avis en date du 7 août 2024
10. La CNPD prend acte que les amendements gouvernementaux visent à reprendre principalement les observations d’ordre légistique proposées par le Conseil d'État dans son avis du 21 juillet
11. Par ailleurs, un nouveau point 6 est ajouté à la liste des travaux selon lequel l’Administration des contributions directes est autorisée à confier à des contractants et soustraitants successifs, libellé comme suit : « [l]es travaux effectués par des consultants externes et ayant pour objet de mettre en oeuvre un programme de réorganisation et de modernisation concernant la gestion du personnel, l'organisation interne de l’Administration des contributions directes, le processus de digitalisation interne et les relations avec les contribuables ».
12. Après examen des amendements gouvernementaux, la CNPD considère qu’ils ne soulèvent pas de nouvelles questions relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement de données à caractère personnel. Cependant, il y a lieu de rappeler que l'article 4.8 du RGPD définit le sous-traitant comme « la personne physique ou morale, l'autorité 2 Délibération n°53/AV21/2024 du 7 août 2024 de la Commission nationale pour la protection des données, doc.parl. 8186A/02, point
13. 3 Délibération n°53/AV21/2024 du 7 août 2024 de la Commission nationale pour la protection des données, doc.parl. 8186A/
14. 4 Avis du Conseil d'Etat n° 61.391 du 21 juillet
15. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant exécution de l'alinéa 2 du paragraphe 22bis de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») 2/3 publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement » et que le traitement de données à caractère personnel effectué par le sous-traitant doit être régi par un contrat ou un autre acte juridique conformément aux exigences de l'article 28 du RGPD
16. Finalement, le responsable du traitement ainsi que le sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles appropriées afin d'éviter des accès non-autorisés aux données, des fuites de données ou des modifications non désirées conformément à l'article 32 du RGPD 6 . Ainsi adopté à Belvaux en date du 13 décembre
17. Alain Herrmann Commissaire 5 Délibération n°53/AV21/2024 du 7 août 2024 de la Commission nationale pour la protection des données, doc.parl. 8186A/02, point
18. 6 Ibidem. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant exécution de l'alinéa 2 du paragraphe 22bis de la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung ») 3/3