Résumé de l’avis du contrôleur européen de la protection des données concernant une modification de la directive 2011/16/UE du Conseil relative à la coopération administrative dans le domaine fiscal

Le texte complet de l’avis en anglais, français et allemand est disponible sur le site internet du CEPD www.edps.europa.eu

(2021/C 96/09)

Par le présent avis, rendu conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725, le CEPD émet des recommandations en vue de réduire au minimum l’incidence de la proposition législative de la Commission modifiant la directive 2011/16/UE relative à la coopération administrative dans le domaine fiscal sur le droit fondamental au respect de la vie privée et à la protection des données à caractère personnel des personnes physiques. Ces recommandations visent à garantir le respect du cadre juridique en vigueur en matière de protection des données, tout en évitant de compromettre l’efficacité et l’efficience de l’action administrative de lutte contre l’évasion fiscale.

Si le CEPD reconnaît que le respect des obligations fiscales est un objectif important d’intérêt général, il insiste toutefois sur le fait qu’il convient de trouver le juste équilibre entre la réalisation de cet objectif et le droit au respect de la vie privée et à la protection des données à caractère personnel. À cet égard, il demande qu’une attention particulière soit accordée à la mise en œuvre des principes de protection des données dès la conception et par défaut, à la minimisation des données et à l’exactitude des données dans le cadre des échanges automatiques d’informations entre les autorités fiscales nationales.

S’agissant de la gestion de l’interface centrale sécurisée de coopération administrative dans le domaine fiscal, le CEPD insiste sur la nécessité pour la Commission de veiller au respect des dispositions relatives à la sécurité du traitement prévues par le règlement (UE) 2018/1725, notamment en suivant les «Lignes directrices sur la protection des données à caractère personnel pour la gouvernance informatique et la gestion informatique des institutions européennes». En outre, le CEPD considère que le rôle de la Commission dans la gestion de l’interface centrale sécurisée au titre du règlement (UE) 2018/1725 doit être précisé davantage, notamment à la lumière de toute modalité ultérieure conclue avec les États membres et des circonstances factuelles du soutien technique et logistique fourni dans le cadre de ce système.

Le CEPD souligne également que, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725, il s’attend à être consulté par la Commission, avant leur adoption, sur les actes d’exécution qui définiront les modalités administratives permettant de fournir un soutien technique et logistique à l’interface centrale sécurisée, grâce à laquelle les États membres communiquent au moyen de formulaires types, conformément aux dispositions de la directive 2011/16/UE.

Enfin, il rappelle qu’en sa qualité d’autorité de contrôle compétente en vertu du règlement (UE) 2018/1725, le CEPD peut assurer le suivi d’éventuelles mises à jour concernant l’interface centrale sécurisée et, plus largement, des conséquences découlant du rôle de la Commission dans les opérations de traitement effectuées dans le cadre de la coopération administrative dans le domaine fiscal.

1. INTRODUCTION ET CONTEXTE

1. Le 2 septembre, le CEPD a été consulté par la Commission européenne sur une proposition de directive du Conseil modifiant la directive 2011/16/UE relative à la coopération administrative dans le domaine fiscal, qui a été adoptée le 15 juillet 2020 (ci-après la «proposition»). La présente consultation a lieu conformément à l’article 42 du règlement (UE) 2018/1725.

2. Avant cela, le 29 avril 2020 et le 5 mai 2020, des projets de la proposition ont été soumis au CEPD. Le CEPD salue et encourage la possibilité d’être consulté par la Commission, à un stade précoce du processus décisionnel, afin de réduire au minimum l’incidence des propositions sur les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel ( 1 )

3. Le CEPD note que la proposition vise à améliorer le cadre existant pour l’échange d’informations et la coopération administrative afin de lutter contre l’évasion fiscale, eu égard à la fiscalité directe et à l’importance croissante des plateformes numériques utilisées par des «vendeurs». En plus de renforcer les règles existantes, la proposition souligne qu’«il est nécessaire d’étendre la coopération administrative à de nouveaux domaines dans l’Union, afin de relever les défis que représente la numérisation de l’économie et d’aider les administrations fiscales à améliorer la qualité et l’efficacité de la perception des impôts et à suivre le rythme des évolutions» ( 2 )

4. Le CEPD prend acte des objectifs de la proposition et, en particulier, de la nécessité d’aborder la dimension transfrontière des services proposés par l’intermédiaire d’opérateurs de plateformes numériques. Comme le rappelle le sixième considérant de la proposition, «le respect des obligations fiscales n’est pas optimal et la valeur des revenus non déclarés est importante. Les administrations fiscales des États membres disposent d’informations insuffisantes pour évaluer et contrôler de manière correcte les revenus bruts perçus dans leur pays, qui proviennent d’activités commerciales réalisées avec l’intermédiation de plateformes numériques. Cette situation pose notamment des problèmes lorsque les revenus ou le montant imposable passent par des plateformes établies dans une autre juridiction.» ( 3 )

5. Le présent avis se concentre sur les aspects de la proposition qui sont pertinents pour la protection des données à caractère personnel et vise à donner un avis pragmatique sur la manière de réduire au minimum l’incidence du traitement de données à caractère personnel requis par la proposition à des fins fiscales, tout en préservant l’efficacité des mesures envisagées.

3. CONCLUSIONS

20. À la lumière des observations qui précèdent, le CEPD émet les recommandations suivantes: — suivre une approche respectueuse des droits en matière de protection des données, notamment les principes de protection des données dès la conception et par défaut, de minimisation des données et d’exactitude des données dans les systèmes créés et utilisés pour l’échange d’informations, — modifier l’annexe V, section III.B.2.c), de la proposition afin de définir plus précisément les «informations d’identification» à déclarer et de les limiter aux informations d’identification financière, — garantir la conformité de l’interface centrale sécurisée avec les dispositions relatives à la sécurité du traitement en vertu du règlement (UE) 2018/1725, en particulier le respect des «Lignes directrices sur la protection des données à caractère personnel pour la gouvernance informatique et la gestion informatique des institutions européennes», — s’agissant de l’interface centrale sécurisée, reconsidérer la référence au rôle de la Commission en tant que «sous-traitant» dans la proposition (dans le nouvel article 25, paragraphes 2 et 5, de la directive 2011/16/UE, introduit par l’article 1, paragraphe 19, de la proposition et au considérant de la proposition).

Bruxelles, le 28 octobre 2020. Wojciech WIEWIÓROWSKI

(1) Voir considérant 60 du règlement (UE) 2018/1725: «Afin de garantir la cohérence des règles applicables en matière de protection des données dans l’ensemble de l’Union, la Commission, lorsqu’elle prépare des propositions ou des recommandations, devrait s’efforcer de consulter le Contrôleur européen de la protection des données. La Commission devrait être tenue de procéder à une consultation après l’adoption d’actes législatifs ou pendant l’élaboration d’actes délégués et d’actes d’exécution tels que définis aux articles 289, 290 et 291 du traité sur le fonctionnement de l’Union européenne («TFUE»), ainsi qu’après l’adoption de recommandations et de propositions relatives à des accords conclus avec des pays tiers et des organisations internationales visés à l’article 218 TFUE, lorsque ces actes, recommandations ou propositions ont une incidence sur le droit à la protection des données à caractère personnel. Dans de tels cas, la Commission devrait être obligée de consulter le Contrôleur européen de la protection des données, sauf lorsque le règlement (UE) 2016/679 prévoit la consultation obligatoire du comité européen de la protection des données, par exemple au sujet de décisions d’adéquation ou d’actes délégués concernant les icônes normalisées et les exigences applicables aux mécanismes de certification».

(2) Voir exposé des motifs de la proposition.

(3) Le CEPD tient à rappeler qu’en ce qui concerne la fiscalité indirecte, les questions d’évasion fiscale liée aux plateformes numériques ont fait l’objet de l’avis no 1/2019 du CEPD sur deux propositions législatives relatives à la lutte contre la fraude à la TVA, disponible à l’adresse suivante: https://edps.europa.eu/sites/edp/files/publication/19-03-15_edps_opinion_combating_vat_fraud_en_fr.pdf dans lequel le CEPD avait notamment fait remarquer ce qui suit: «Notamment, nous soulignons le fait que, dans le cadre desdites propositions, les données faisant l’objet d’un traitement ne devraient pas concerner les consommateurs (les payeurs), mais uniquement les commerces en ligne (les bénéficiaires). Une telle mesure limiterait le risque que les informations soient utilisées à d’autres fins, telles que le contrôle des habitudes d’achat des consommateurs. Nous apprécions le fait que la Commission ait suivi une telle approche, et nous recommandons vivement que ladite approche soit maintenue lors des négociations avec les colégislateurs conduisant à l’approbation finale des propositions».