Délibération n° 2018-2 du 17 janvier 2018 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Collecte d'informations nominatives et financières, dans le cadre de l'obligation d'échange automatique d'informations à des fins fiscales » et dénommé « Enregistrement et réception des déclarations des IFMD » de la Direction des Services Fiscaux, présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention de sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.436 du 2 décembre 2016 portant approbation de ratification de la Convention concernant l'assistance administrative mutuelle en matière fiscale ;
Vu la loi n° 1.437 du 2 décembre 2016 portant approbation de ratification de l'Accord multilatéral entre les autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers ;
Vu la loi n° 1.438 du 2 décembre 2016 portant approbation de ratification du Protocole de modification de l'Accord entre la Principauté de Monaco et la Communauté européenne prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE du Conseil ;
Vu la loi n° 1.444 du 19 décembre 2016 portant diverses mesures en matière de protection des informations nominatives et de confidentialité dans le cadre de l'échange automatique de renseignements en matière fiscale ;
Vu la loi n° 1.445 du 19 décembre 2016 portant diverses mesures relatives à la prescription et aux sanctions pénales applicables en matière d'échange automatique de renseignements en matière fiscale ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré ;
Vu l'Ordonnance Souveraine n° 6.205 du 16 décembre 2016 rendant exécutoire la Convention concernant l'assistance administrative mutuelle en matière fiscale ;
Vu l'Ordonnance Souveraine n° 6.206 du 16 décembre 2016 rendant exécutoire l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers ;
Vu l'Ordonnance Souveraine n° 6.207 du 16 décembre 2016 rendant exécutoire le Protocole de modification de l'accord entre la Principauté de Monaco et la Communauté Européenne prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE du Conseil ;
Vu l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'accord entre la Communauté Européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE ;
Vu l'Ordonnance Souveraine n° 6.491 du 27 juillet 2017 portant modification de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'Accord entre la Communauté Européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE ;
Vu l'Ordonnance Souveraine n° 6.628 du 2 novembre 2017 portant modification de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'accord entre la Communauté Européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE ;
Vu la saisine du Ministre d'État en date du 2 janvier 2018 concernant un projet d'arrêté ministériel portant application de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention administrative mutuelle concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, modifiée ;
Vu la délibération n° 2018-1 du 17 janvier 2018 de la Commission de Contrôle des Informations Nominatives portant avis sur le projet d'arrêté ministériel portant application de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention administrative mutuelle concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, modifiée ;
Vu la demande d'avis déposée par le Ministre d'État, le 3 janvier 2018, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité  « Collecte d'informations nominatives et financières, dans le cadre de l'obligation d'échange automatique d'informations à des fins fiscales  » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 janvier 2018 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Conformément à l'article 3 de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'accord entre la Communauté Européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, « les institutions financières déclarantes sont soumises aux obligations de déclaration et de diligence raisonnable énoncées par la Norme Commune de Déclaration (…) ».
À cet égard, cette déclaration « doit être transmise chaque année, auprès de la Direction des services fiscaux, au plus tard le 30 juin suivant la fin de l'année civile à laquelle les informations se rapportent », conformément à l'article 4 - 1° de l'Ordonnance Souveraine n° 6.208 précitée et « la Direction des services fiscaux contrôle le respect par les institutions financières de Monaco de leurs obligations déclarative et de diligence raisonnable », conformément à l'article 6 de la même Ordonnance Souveraine.
Afin d'organiser la collecte de ces déclarations, la Direction des Services Fiscaux envisage de se doter d'une plateforme dédiée qui sera accessible à l'adresse https://eai.gouv.mc et qui constituera un téléservice au sens de l'article 42 de l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré.
Ainsi, le traitement automatisé d'informations nominatives dont s'agit est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Collecte d'informations nominatives et financières, dans le cadre de l'obligation d'échange automatique d'informations à des fins fiscales ».
Il est dénommé : « Enregistrement et réception des déclarations des IFMD [Institution Financière Monégasque Déclarante] ».
Le responsable de traitement indique qu'il concerne « les personnes dûment habilitées (utilisateurs primaires) et les personnes soumises à déclaration ».
À cet égard, il précise que « les personnes dûment habilitées (ou utilisateurs primaires) désignent a) les personnes autorisées par la direction de leur IFMD à s'enregistrer et soumettre des déclarations pour le compte de cette IFMD et b) les agents de la Direction des Services Fiscaux [DSF] en charge de la gestion de l'échange automatique d'informations » et que « les personnes soumises à déclaration désignent les personnes devant faire l'objet d'une déclaration dans le cadre de l'échange automatique d'informations en matière fiscale. Ces personnes peuvent être soit des titulaires de compte(s) financier(s) auprès d'une IFMD (personnes physiques ou entités) soit des personnes physiques détenant le contrôle d'entités non financières passives titulaires de compte(s) financier(s) auprès d'une IFMD ».
Il indique qu'il a pour fonctionnalités :
« Le traitement de collecte d'informations nominatives et financières se fait au travers de la plateforme EAI (Échange Automatique d'Informations) et recoupe deux fonctionnalités.
L'accès à la plateforme EAI se fait via deux interfaces :
- le Portail EAI (échange automatique d'informations) : application web accessible via internet aux utilisateurs des IFMD qui devront effectuer des déclarations à destination de la DSF ;
- le Centre de Supervision EAI : application web accessible via deux postes dédiés aux utilisateurs de la DSF qui devront gérer les processus liés à l'EAI.
1ère fonctionnalité : Enregistrement et/ou modification des Institutions Financières Monégasques Déclarantes (IFMD)
Étape 1 : Soumission du formulaire d'enregistrement (préalablement à la première connexion) - Utilisateurs primaires ;
Étape 2 : Délivrance de l'accusé d'enregistrement et délivrance des accès - DSF
2ème fonctionnalité : Collecte et suivi des déclarations des IFMD
Étape 1 : Connexion des utilisateurs des IFMD - Utilisateurs primaires
Étape 2 : Soumission des déclarations - Utilisateurs primaires
Étape 3 : Suivi des déclarations des IFMD - DSF »
À l'examen du dossier, la Commission constate que le traitement dont s'agit a également pour fonctionnalité d'identifier l'Institution Financière déclarante et l'utilisateur primaire, et pour ce dernier, notamment au moyen de la collecte de la copie d'un document officiel (pièce d'identité ou passeport en cours de validité) barré et en noir et blanc.
À cet égard, elle a considéré, dans sa délibération n° 2018-1 du 17 janvier 2018 de la Commission de Contrôle des Informations Nominatives portant avis sur le projet d'arrêté ministériel portant application de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention administrative mutuelle concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, modifiée, qu'une telle collecte effectuée dans le cadre du projet d'arrêté ministériel précitée, était conforme à sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Aussi, sous la réserve de l'entrée en vigueur de l'arrêté ministériel précité, la Commission considère que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le respect d'une obligation légale à laquelle est soumis le responsable de traitement ou son représentant.
À cet égard, et outre les textes figurant dans les visas et le préambule de la présente délibération, la Commission observe, à la lecture du projet d'arrêté ministériel ayant donné lieu ce jour à un avis favorable de la Commission, que le Portail d'Échange Automatique  constitue un téléservice mis en œuvre par la Direction des Services Fiscaux et régit par les dispositions relatives à l'administration électronique figurant aux articles 42 et suivants de l'Ordonnance Souveraine n° 3.413 du 29 août 2011.
Aussi, à la condition de l'entrée en vigueur de l'arrêté ministériel précité, la Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité/adresses et coordonnées : personnes physiques : nom, prénom, adresse postale, NIF (numéro d'identification fiscale), date et lieu de naissance, entités : dénomination, adresse postale, NIF ; pour les personnes dûment habilitées : nom, prénom, adresse email, numéro de téléphone portable ;
- vie professionnelle : pour les personnes dûment habilitées : fonction exercée au sein de l'IFMD ;
- caractéristiques financières : numéro de compte ou équivalent fonctionnel, nom et numéro d'identification (éventuel) de l'IFMD, solde ou valeur portée sur le compte au 31 décembre, montant brut total des intérêts, des dividendes et des autres revenus produits par les actifs détenus sur le compte, versés ou crédités sur le compte (ou au titre du compte) au cours de l'année civile, produit brut total de la vente ou du rachat d'actifs financiers versé ou crédité sur le compte au cours de l'année civile, montant brut total versé au titulaire du compte ou porté à son crédit au titre de ce compte, au cours de l'année civile, dont l'IFMD est la débitrice, y compris le montant total de toutes les sommes remboursées au titulaire du compte au cours de l'année civile ;
- autres documents collectés : pour les personnes dûment habilitées : document d'identité (copie de la pièce d'identité ou du passeport en cours de validité, en noir et blanc et barrée), document d'habilitation (lettre d'autorisation signée par la direction de l'IFMD) ;
- logs de connexion : enregistrement des logs de connexion.
À l'exception des logs qui sont générés par le système, les informations ont pour origine, suivant le cas, l'IFMD ou la personne concernée.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées soumises à déclaration est effectuée conformément à l'article 1er de la loi n° 1.444 du 19 décembre 2016 portant diverses mesures en matière de protection des informations nominatives et de confidentialité dans le cadre de l'échange automatique de renseignements en matière fiscale (information prodiguée par l'IFMD elle-même dans le cadre du traitement ayant pour finalité « la gestion des obligations légales relatives aux échanges automatiques d'informations à des fins fiscales »). Aussi, l'information préalable des utilisateurs primaires des IFMD est assurée par une mention sur la plateforme informatique de collecte (https://eai.gouv.mc).
Par ailleurs, constatant que les agents de la Direction des Services Fiscaux [DSF] en charge de la gestion de l'échange automatique d'informations sont également des personnes concernées par le traitement, la Commission demande que le responsable de traitement s'assure de leur information préalable, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993\.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé sur place à l'accueil de la Direction des Services Fiscaux ou par un accès en ligne à son dossier après authentification.
Les droits de rectification, de suppression et de mise à jour des données sont réalisés suivant les mêmes modalités.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165 du 23 décembre 1993.

V. Sur les destinataires et les personnes ayant accès au traitement
Le responsable de traitement indique que les catégories de personnes habilitées à avoir accès aux informations sont :
- les utilisateurs primaires des IFMD : en inscription, modification (concernant les informations de l'IFMD et les déclarations de l'IFMD), consultation, soumission de déclarations XML ou manuelles ;
- la Direction des Services Fiscaux : accusé des enregistrements IFMD, consultation et modification des utilisateurs primaires des IFMD (sur la demande des IFMD) ;
- la Direction Informatique de la Principauté de Monaco : accès pour la maintenance (pas d'accès aux données nominatives) ;
- les prestataires externes : plateforme SMS, accès pour la maintenance (aucun accès aux données nominatives).
À cet égard, la Commission rappelle que ces accès doivent être limités aux seuls personnels dûment habilités de la Direction des Services Fiscaux et de la Direction Informatique de la Principauté.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que ces accès sont justifiés.

VI. Sur les interconnexions
Le responsable de traitement indique le traitement dont s'agit n'est l'objet d'aucun rapprochement ni d'aucune interconnexion.
La Commission en prend donc acte.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les informations nominatives relatives à l'identité, aux adresses et coordonnées et aux caractéristiques financières des personnes soumises à déclaration sont conservées 5 ans. Celles se rapportant aux personnes dûment habilitées sont conservées pour la durée de l'habilitation plus 3 ans. Les logs sont conservés 1 an.
À cet égard, et observant que ces durées de conservation sont en adéquation avec l'article 3 de la loi n° 1.444 du 19 décembre 2016 portant diverses mesures en matière de protection des informations nominatives et de confidentialité dans le cadre de l'échange automatique de renseignements en matière fiscale, l'article 5 du projet d'arrêté ministériel portant application de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention administrative mutuelle concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, modifiée, et l'article 118 du Code des taxes sur le chiffre d'affaires, la Commission considère que ces durées ne sont pas excessives au sens de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
Après en avoir délibéré, la Commission :
Conditionne la mise en œuvre du traitement dont s'agit à l'entrée en vigueur de l'arrêté ministériel portant application de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention administrative mutuelle concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, modifiée ;
Constate que le traitement dont s'agit a également pour fonctionnalité d'identifier l'Institution Financière déclarante et l'utilisateur primaire.
Rappelle que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Demande que le responsable de traitement s'assure de l'information préalable des agents de la Direction des Services Fiscaux [DSF] en charge de la gestion de l'échange automatique d'informations, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Collecte d'informations nominatives et financières, dans le cadre de l'obligation d'échange automatique d'informations à des fins fiscales » et dénommé « Enregistrement et réception des déclarations des IFMD » de la Direction des Services Fiscaux.

Le Président de la Commission
de Contrôle des Informations Nominatives.