Résumé de l’avis du contrôleur européen de la protection des données sur deux propositions législatives relatives à la lutte contre la fraude à la TVA

(Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD www.edps.europa.eu)

(2019/C 140/04)

Résumé

Par cet avis, rendu au titre de l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (1), le CEPD formule des recommandations visant à minimiser l’incidence sur le droit fondamental au respect à la vie privée et sur la protection des données à caractère personnel de deux propositions de la Commission relatives à la lutte contre la fraude à la TVA dans le cadre du «commerce électronique», pour garantir leur conformité avec le cadre juridique applicable en matière de protection des données.

Ce faisant, le CEPD souligne la nécessité de limiter strictement les opérations de traitement envisagées par les propositions aux fins de lutter contre la fraude fiscale, et de limiter la collecte et l’utilisation de données à caractère personnel à ce qui est nécessaire et proportionné à une telle finalité. Notamment, nous soulignons le fait que, dans le cadre desdites propositions, les données faisant l’objet d’un traitement ne devraient pas concerner les consommateurs (les payeurs), mais uniquement les commerces en ligne (les bénéficiaires). Une telle mesure limiterait le risque que les informations soient utilisées à d’autres fins, telles que le contrôle des habitudes d’achat des consommateurs. Nous apprécions le fait que la Commission ait suivi une telle approche, et nous recommandons vivement que ladite approche soit maintenue lors des négociations avec les colégislateurs conduisant à l’approbation finale des propositions.

En outre, le CEPD souhaite attirer l’attention sur le fait qu’en application de l’article 42, paragraphe 1, du règlement (UE) 2018/1725, il s’attend à être consulté au sujet de l’acte d’exécution qui définira à l’avenir le format standard à utiliser par les prestataires de services de paiement pour transmettre les informations aux administrations fiscales nationales, préalablement à son adoption par la Commission.

Dans la mesure où les propositions créeraient, en plus des bases de données nationales, unebase de données électronique centrale (CESOP), développée, entretenue, hébergée et gérée par la Commission, le CEPD rappelle son guide bonnes pratiques pour la gouvernance et la gestion informatiques. Le CEPD assurera le suivi de la création dudit système d’information en tant qu’autorité de supervision compétente au titre du règlement (UE) 2018/1725.

Pour finir, le présent avis fournit des lignes directrices relatives aux conditions et limites nécessaires pour que les restrictions aux droits des personnes concernées soient licites et appropriées, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le «RGPD») et au règlement (UE) 2018/1725.

I. INTRODUCTION ET CONTEXTE

1.1. Contexte des propositions

1. o 282/2011 concernant certaines obligations en matière de taxe sur la valeur ajoutée pour certains assujettis; projet de proposition de règlement du Conseil modifiant le règlement (UE) n o 904/2010 en ce qui concerne des mesures de renforcement de la coopération administrative afin de lutter contre la fraude à la TVA. Le CEPD a présenté des observations informelles le 18 septembre 2018. À cet égard, le CEPD confirme qu’il se réjouit de la possibilité d’échanger des vues avec la Commission tôt dans le processus décisionnel, avec pour objectif de réduire au minimum l’incidence de ces propositions sur le droit à la vie privée et sur le droit à la protection des données Le 10 septembre 2018, le CEPD a été consulté de manière informelle par la Commission européenne au sujet des projets de propositions suivants: projet de proposition de directive du Conseil modifiant la directive 2006/112/CE en ce qui concerne l’instauration de certaines exigences applicables aux prestataires de services de paiement; projet de proposition de règlement d’application modifiant le règlement n282/2011 concernant certaines obligations en matière de taxe sur la valeur ajoutée pour certains assujettis; projet de proposition de règlement du Conseil modifiant le règlement (UE) n904/2010 en ce qui concerne des mesures de renforcement de la coopération administrative afin de lutter contre la fraude à la TVA. Le CEPD a présenté des observations informelles le 18 septembre 2018. À cet égard, le CEPD confirme qu’il se réjouit de la possibilité d’échanger des vues avec la Commission tôt dans le processus décisionnel, avec pour objectif de réduire au minimum l’incidence de ces propositions sur le droit à la vie privée et sur le droit à la protection des données ( 2 )

2. o 904/2010 concernant des mesures destinées à renforcer la coopération administrative aux fins de combattre la fraude à la TVA (ci-après la «proposition de règlement du Conseil») Le 12 décembre 2018, la Commission européenne a publié une proposition de directive 2006/112/CE en ce qui concerne l’instauration de certaines exigences applicables aux prestataires de services de paiement (ci-après la «proposition de directive du Conseil») ( 3 ) , ainsi qu’une proposition de règlement du Conseil modifiant le règlement n904/2010 concernant des mesures destinées à renforcer la coopération administrative aux fins de combattre la fraude à la TVA (ci-après la «proposition de règlement du Conseil») ( 4 ) , ci-après dénommées collectivement les «propositions».

3. Le 14 janvier 2019, la Commission a consulté le CEPD au titre de l’article 42, paragraphe 1, du règlement (UE) 2018/1725.

4. Le CEPD souligne également le fait que les propositions de règlement et de directive établissent, comme il est indiqué plus loin dans le présent avis, des opérations de traitement de données dont la Commission serait le responsable au titre du règlement (UE) 2018/1725. Nous rappelons donc que le CEPD est l’autorité de supervision compétente en ce qui concerne un tel traitement.

1.2. Contenu des propositions

5. Le CEPD note que les propositions, accompagnées d’une analyse d’impact ( 5 ) , visent à remédier au problème de la fraude à la TVA dans le cadre du commerce électronique en améliorant la coopération entre les autorités fiscales et les prestataires de service de paiement (ci-après les «PSP»).

6. En particulier, selon la proposition de directive du Conseil, les États membres devraient adopter des législations visant à garantir que les PSP conservent les enregistrements des opérations de paiements transfrontières afin de permettre aux autorités fiscales de détecter les fraudes à la TVA. La proposition de règlement du Conseil complète l’ensemble de mesures anti-fraudes: a) en demandant aux autorités compétentes des États membres de collecter, échanger et analyser les informations relatives aux opérations de paiements transfrontières dans la proposition de directive du Conseil, et b) en créant un système d’information électronique central (ci-après «CESOP») auquel les États membres transmettent les informations enregistrées au niveau national. CESOP serait ensuite accessible aux fonctionnaires de liaison de l’Eurofisc pour analyser les informations qui y sont enregistrées, aux fins d’enquêter sur la fraude fiscale.

7. Le CEPD reconnaît l’importance des objectifs des propositions et en particulier le besoin de réglementer la question de la mise en œuvre de mesures anti-fraudes concernant les opérations du commerce électronique. Le présent avis vise à donner des conseils pratiques sur la manière de réduire au minimum l’incidence du traitement de données à caractère personnel engendré par les propositions, garantissant leur conformité avec le droit applicable en matière de protection des données.

IV. CONCLUSIONS

17. À la lumière de ce qui précède, le CEPD émet les recommandations suivantes: — modifier comme indiqué dans le point 2.1 du présent avis le considérant 11 de la proposition de directive du Conseil et le considérant 17 de la proposition de règlement du Conseil, relatifs à la législation applicable en matière de protection des données, — inclure la spécification de finalité, telle que définie au considérant 11 de la directive du Conseil ainsi qu’au considérant 17du règlement du Conseil, dans leurs dispositifs respectifs, — en ce qui concerne la base de données centrale «CESOP», la Commission doit garantir sa conformité avec les dispositions portant sur la sécurité du traitement au titre du règlement (UE) 2018/1725, en particulier l’observation des «Lignes directrices sur la protection des données à caractère personnel pour la gouvernance informatique et la gestion informatique des institutions européennes», — en ce qui concerne de possibles restrictions des droits des personnes concernées: i. modifier la formulation du règlement (UE) no 904/2010, tel que modifié par le règlement 2018/1541 du Conseil, conformément à l’article 23 du RGPD, soit pour laisser aux États membres la possibilité d’adopter des restrictions (en remplaçant le terme «limitent» par le terme «peuvent limiter»); soit, dans la mesure où des restrictions sont nécessaires, pour les spécifier directement dans le règlement (UE) no 904/2010; ii. inclure dans l’article 24 sexies du règlement du Conseil, parmi les éléments devant être définis plus précisément par la Commission dans le cadre d’un futur acte d’exécution, la possibilité de restreindre les droits des personnes concernées conformément à l’article 25 du règlement (UE) 2018/1725 et aux lignes directrices publiées par le CEPD sur cette question («Lignes directrices concernant l’article 25 du nouveau règlement et le règlement intérieur»); — la Commission doit, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725, consulter le CEPD au sujet de l’acte d’exécution concernant le modèle de formulaire électronique utilisé par les PSP pour transmettre les données aux autorités fiscales compétentes de l’État membre où le PSP est établi, préalablement à son adoption par la Commission.

Bruxelles, le 14 mars 2019. Wojciech Rafał WIEWIÓROWSKI Contrôleur européen de la protection des données

(1) JO L 295 du 21.11.2018, p. 39.

(2) Voir considérant 60 du règlement (UE) 2018/1725: «Afin de garantir la cohérence des règles applicables en matière de protection des données dans l’ensemble de l’Union, la Commission, lorsqu’elle prépare des propositions ou des recommandations, devrait s’efforcer de consulter le Contrôleur européen de la protection des données. La Commission devrait être tenue de procéder à une consultation après l’adoption d’actes législatifs ou pendant l’élaboration d’actes délégués et d’actes d’exécution tels que définis aux articles 289, 290 et 291 du traité sur le fonctionnement de l’Union européenne, ainsi qu’après l’adoption de recommandations et de propositions relatives à des accords conclus avec des pays tiers et des organisations internationales visés à l’article 218 du traité sur le fonctionnement de l’Union européenne, lorsque ces actes, recommandations ou propositions ont une incidence sur le droit à la protection des données à caractère personnel. Dans de tels cas, la Commission devrait être obligée de consulter le Contrôleur européen de la protection des données, sauf lorsque le règlement (UE) 2016/679 prévoit la consultation obligatoire du comité européen de la protection des données, par exemple au sujet de décisions d’adéquation ou d’actes délégués concernant les icônes normalisées et les exigences applicables aux mécanismes de certification».

(3) Proposition de directive du Conseil modifiant la directive 2006/112/CE en ce qui concerne l’instauration de certaines exigences applicables aux prestataires de services de paiement, COM(2018) 812 final, proc. 2018/0412 (CNS).

(4) Proposition de règlement du Conseil modifiant le règlement (UE) no 904/2010 en ce qui concerne des mesures de renforcement de la coopération administrative afin de lutter contre la fraude à la TVA, COM(2018) 813 final, proc. 2018/0413 (CNS).

(5) Document de travail des services de la Commission Analyse d’impact, accompagnant les propositions de directive du Conseil, de règlement d’exécution du Conseil et de règlement du Conseil concernant l’obligation de transmettre et d’échanger des données de paiement relatives à la TVA.