Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant modifi

Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant modification du règlement grand-ducal du 22 janvier 2009 concernant la coopération interadministrative de l'Administration des Contributions Directes et de l'Administration de l'enregistrement et des Domaines Délibérationn°57/AV25/2024du 30 août2024 Conformément à l'article 57. 1.

1. e)du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égarddu traitement des donnéesà caractèrepersonnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement généralsur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime généralsur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits e/ libertés des personnes physiques à l'égard du traitement ». Par ailleurs, l'article 36. 4 du RGPD dispose que « [l]es États membres consultent /'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». Par courrier du 22 août 2024, Monsieur le Ministre des Finances a invité la Commission nationale à aviser le projet de règlement grand-ducal portant modification du règlement grand-ducal du 22 janvier 2009 concernant la coopération interadministrative de l'Administration des Contributions Directes et de l'Administration de l'enregistrement et des Domaines (ci-après le « projet de règlementgrand-ducal »). Le projet de règlement grand-ducal comporte un article unique qui a pour objet d'introduire un chapitre lllù/'s intitulé « Echange automatique ». Il ressort de l'exposé des motifs que les dispositions de l'article 1er du projet de règlementgrand-ducal ont pour objet de « permettre la transmission automatique des données relatives aux extraits de mutations immobilières de CNPD Avis de la Commission nationale pour la protection des données relatifau projet de règlementgrand-ducalportant modificationdu règlementgrand-ducaldu 22 janvier 2009 concernant la coopération interadministrative de l'Administration des Contributions Directes et de l'Administration de l'enregistrement et des Domaines 1/4 l'Administration de l'enregistrement, des domaines et de la TVA à l'Administration des contributionsdirectes, pour les besoinsde l'impôtfoncieret pourrétablissementdes revenus ou bénéfices imposables résultant de mutations immobilières ». Les auteurs du projet de règlement grand-ducal précisent encore dans le commentaire des articles que « cet échange existe sous format papierdepuis 1948 ». 4. Sans préjuger du bienfondé d'un tel échange, la Commission nationale se demande si de telles dispositions ne devraient pas figurer dans la loi du 19 décembre 2008 ayant pour objet la coopération interadministrative et judiciaire et le renforcement des moyens de l'Administration des contributions directes, de l'Administration de l'enregistrement et des domaines et de l'Administration des douanes et accises et portant modification d'autres lois, alors que le Conseil d'Etat a relevé dans son avis relatif au projet de loi portant organisation de l'Administration du cadastre et de la topographie que : « l'article 31 de la Constitution, qui figure dans la section consacrée aux libertés publiques, dispose que : « [tjoute personne a droit à l'autodétermination informationnelleétalaprotectiondesdonnéesà caractèrepersonnellaconcernant. Cesdonnées ne peuvent être traitées qu'à des fins et dans les conditions déterminées par la loi », tandis que l'article 37dela Constitutionprécise,danssapremièrephrase,que « [t]oute limitation à l'exercice des libertéspubliquesdoitêtreprévuepar la loi et respecterleur contenu essentiel ». « // s'ajoute à ce rappel des textes fondamentaux que la Cour constitutionnelle, en affinant sa jurisprudence antérieure, a, dans son arrêtn"177 du 3 mars 2023, retenu que « [d]'après l'article 32, paragraphe 32. de la Constitution, dans les matières réservées par la Constitution à la loi, la fixation des objectifs des mesures d'exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises. L'orientation et l'encadrement du pouvoir exécutifdoivent, en tout état de cause, être consistants, préciset lisibles, l'essentiel des dispositions afférentes étant appelé à figurer dans la loi ». «Il y a lieu de déterminer, dans /'ordre juridique national, les conditions dans lesquelles les donnéesà caractèrepersonnelpeuventêtretraitéespourunefinalitéautrequecellepourlaquelle e//es ont été collectées au sens de l'article 6, paragraphe 4, du règlement (UE) 2016/679 du Parlementeuropéenet duConseildu 27avril2016relatifà laprotectiondespersonnesphysiques à l'égarddutraitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ce qui couvre les hypothèses dans lesquelles des données sont communiquées par une administration à des tiers. Cette communication de données à caractère personnel à des tiers doit être strictement encadrée, ceci en application du droit à la sécuritéet la confidentialitédécoulantdu règlementeuropéenprécité. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de règlementgrand-ducalportant modificationdu règlementgrand-ducaldu 22janvier2009concernantla coopérationinteradministrativede rAdministrattondes Contributions Directes et de l'Administratton de l'enregistrement et des Domaines 2/4 « Afin d'assurer la conformité de la disposition sous examen aux articles 31 et 37 de la Constitution, il convient, sous peine d'opposition formelle, de compléter cette disposition en précisantnotamment la nature des donnéesà caractèrepersonnelcommuniquéesà destiers, la qualitédu « tiersintéressédûmentidentifié», ainsique la finalitéet lesconditionsdanslesquelles cet échangea lieu »1. Enoutre, auvu decequi précède,et pourplusdecohérence,nefaudrait-ilpaségalementintégrer dans la loi du 19 décembre 2008 précitée l'ensemble des articles du règlement grand-ducal modifiédu 22 janvier 2009 concernant la coopération interadministrative de t'Administration des contributions directes et de l'Administration de l'enregistrement, des domaines et de la TVA. Eneffet, les articlesduditrèglementgrand-ducalont pourobjet la gestiond'unebasede données commune, prévoient également le principe d'échanges de données entre l'Administration des contributions directes (ci-après l' « ACD ») et l'Administration de l'enregistrement, des domaines et de la TVA (ci-après l' « AED ») ainsi que le principe de contrôles simultanés et communs pouvant être effectués par l'ACD et l'AED concernant des contribuables ou assujettis. En tout étatde cause, un tel échangeautomatiquede donnéesdevra notamment respecter : le principe de minimisation des données visé à l'article 5. 1 .
2. e)du RGPD; et le principe d'intégrité et de confidentialité visé à l'article 5. 1.
3. f)du RGPD Ainsi, en vertu du principe de minimisation des données « [l]es donnéesà caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaireau regard des finalités pour lesquelles elles sont traitées ». Dès lors, seules les données qui sont adéquates, pertinentes et nécessaires aux fins de la détermination de l'impôt foncier et pour rétablissement des revenus ou bénéficesimposables résultantde mutations immobilières, devraientfaire l'objet de rechange automatique visé par le texte sous avis. Parailleurs, conformémentà l'article 5. 1 .
4. f)du RGPD les donnéesà caractèrepersonnel doivent être « traitées de façon à garantir une sécuritéappropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégritéet confidentialité) ». 1 V. Avis n°61.798 du 12juillet 2024 du Conseild'État,doc. pari. n°8330B/2. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de règlementgrand-ducalportant modificationdu règlementgrand-ducaldu 22 janvier 2009 concernant la coopération interadministrative de l'Administration des Contributions Directes et de l'Administration de l'enregistrement et des Domaines 3/4 L'article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant mettent en ouvre les mesures techniques et organisationnelles appropriéesafin de garantir un niveau de sécuritéadapté au risque ». Pareilles mesures doivent être mises en ouvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. Ily a lieuderappelerqu'ilestvivementrecommandédedéfinirunepolitiquedegestiondesaccès, afin de pouvoiridentifierdèsle débutla personne ou le service, au sein de l'entitéoncernée, et à quelles donnéesprécisescette personne ou ce service aurait accès. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délaiaprès lequel elles sont effacées,sauf lorsqu'elles font l'objet d'une procédurede contrôle. La Commission nationale souligne aussi l'importance d'effectuer proactivement des contrôles en interne. Àcet effet, il convient conformément à l'article 32. 1 .
5. d)du RGPD de mettre en ouvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efTicacité des mesures techniques et organisationnellespour assurer la sécuritédu traitement ». Detelles mesures devront, dès lors, être mises en ouvre dans le cadre de rechangeautomatique de données, entre l'AED et l'ACD. Ainsi adopté à Belvaux en date du 30 août 2024. La Commission nationale pour la protection des données 4)W Tine A. Larsen Présidente CNPD Thierry Lallemang Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatifau projet de règlementgrand<lucal portant modificatkindu règlementgrand-ducaldu 22 janvier 2009 concernant la coopératton interadministrative de l'Administration des Contributuns Directes et de l'Administratton de l'enregistrement et des Domaines 4/4