Délibération n° 2018-83 du 20 juin 2018 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Échange automatique d'informations à des fins fiscales entre Monaco et les juridictions soumises à déclaration » dénommé « Échange automatique d'informations en matière fiscale » de la Direction des Services Fiscaux, présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention de sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.436 du 2 décembre 2016 portant approbation de ratification de la Convention concernant l'assistance administrative mutuelle en matière fiscale ;
Vu la loi n° 1.437 du 2 décembre 2016 portant approbation de ratification de l'Accord multilatéral entre les autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers ;
Vu la loi n° 1.438 du 2 décembre 2016 portant approbation de ratification du Protocole de modification de l'Accord entre la Principauté de Monaco et la Communauté européenne prévoyant des mesures équivalentes à celles que porte la Directive
2003/48/CE du Conseil ;
Vu la loi n° 1.444 du 19 décembre 2016 portant diverses mesures en matière de protection des informations nominatives et de confidentialité dans le cadre de l'échange automatique de renseignements en matière fiscale ;
Vu la loi n° 1.445 du 19 décembre 2016 portant diverses mesures relatives à la prescription et aux sanctions pénales applicables en matière d'échange automatique de renseignements en matière fiscale ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 3.085 du 25 septembre 1945 relative aux droits et devoirs des agents des services fiscaux ;
Vu l'Ordonnance Souveraine n° 6.205 du 16 décembre 2016 rendant exécutoire la Convention concernant l'assistance administrative mutuelle en matière fiscale ;
Vu l'Ordonnance Souveraine n° 6.206 du 16 décembre 2016 rendant exécutoire l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers ;
Vu l'Ordonnance Souveraine n° 6.207 du 16 décembre 2016 rendant exécutoire le Protocole de modification de l'accord entre la Principauté de Monaco et la Communauté européenne prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE du Conseil ;
Vu l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE ;
Vu l'Ordonnance Souveraine n° 6.491 du 27 juillet 2017 portant modification de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux Comptes financiers et du Protocole de modification de l'Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE ;
Vu l'Ordonnance Souveraine n° 6.628 du 2 novembre 2017 portant modification de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE ;
Vu la délibération n° 2018-2 du 17 janvier 2018 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Collecte d'informations nominatives et financières, dans le cadre de l'obligation d'échange automatique d'informations à des fins fiscales » et dénommé « Enregistrement et réception des déclarations des IFMD » de la Direction des Services Fiscaux, présenté par le Ministre d'État ;
Vu la demande d'avis déposée par le Ministre d'État, le 30 avril 2018, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Échange automatique d'informations à des fins fiscales entre Monaco et les juridictions soumises à déclaration » ;
Vu la demande d'autorisation de transfert concomitamment déposée par le Ministre d'État, le 30 avril 2018, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Transmission d'informations à des fins fiscales entre Monaco et les juridictions soumises à déclaration » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 juin 2018 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Conformément à l'article 12 de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, « la Direction des services fiscaux transmet aux autorités compétentes des Juridictions soumises à déclaration les informations concernant les Comptes déclarables reçus des Institutions financières déclarantes de Monaco, en application des dispositions du Chapitre I, au plus tard le 30 septembre suivant la fin de l'année civile à laquelle les informations se rapportent ».
À cet égard, le responsable de traitement indique que « le traitement d'échange automatique d'informations nominatives et financières se fait au travers de la plateforme EAI (Échange Automatique d'Informations) ».
Par ailleurs, il précise que « l'accès à la plateforme EAI pour l'échange automatique d'informations à des fins fiscales entre Monaco et les juridictions soumises à déclaration se fait via le Centre de Supervision EAI qui est une application web accessible via deux postes dédiés aux utilisateurs de la DSF qui doivent gérer les processus liés à l'EAI ».
Ainsi, le traitement automatisé d'informations nominatives dont s'agit est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Échange automatique d'informations à des fins fiscales entre Monaco et les juridictions soumises à déclaration ».
Il est dénommé : « Échange automatique d'informations en matière fiscale ».
Le responsable de traitement indique qu'il concerne « les personnes soumises à déclaration à Monaco et les résidents de Monaco avec compte(s) à l'étranger ».
À l'examen du dossier, la Commission considère que les agents habilités de la Direction des Services Fiscaux sont également des personnes concernées.
Le responsable de traitement indique qu'il a pour fonctionnalités :
« 1ère fonctionnalité : Transmission des informations nominatives et financières des personnes soumises à déclaration sur la plateforme CTS mise en place par l'OCDE ;
Étape 1 : initiation de la transmission ;
Étape 2 : [chiffrement] des fichiers ;
Étape 3 : Transmission des fichiers [chiffrés] à la plateforme CTS mise en œuvre par l'OCDE ;
2ème fonctionnalité : Réception des informations nominatives et financières des résidents de Monaco avec comptes à l'étranger ;
Étape 1 : Récupération des fichiers [chiffrés] sur la plateforme CTS mise en œuvre par l'OCDE ;
Étape 2 : [Déchiffrement] des fichiers ;
Étape 3 : Analyse des déclarations reçues ».
La Commission considère que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le respect d'une obligation légale à laquelle est soumis le responsable de traitement.
À cet égard, la Commission constate que cette obligation légale découle des textes figurant dans les visas et le préambule de la présente délibération.
Aussi, la Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité/adresses et coordonnées :
personnes physiques : nom, prénom, adresse postale, NIF (numéro d'identification fiscale), date et lieu de naissance, entités : dénomination, adresse postale, NIF ;
- caractéristiques financières : numéro de compte ou équivalent fonctionnel, nom et numéro d'identification (éventuel) de l'IFMD, solde ou valeur portée sur le compte au 31 décembre, montant brut total des intérêts, des dividendes et des autres revenus produits par les actifs détenus sur le compte, versés ou crédités sur le compte (ou au titre du compte) au cours de l'année civile, produit brut total de la vente ou du rachat d'actifs financiers versé ou crédité sur le compte au cours de l'année civile, montant brut total versé au titulaire du compte ou porté à son crédit au titre de ce compte, au cours de l'année civile, dont l'IFMD est la débitrice, y compris le montant total de toutes les sommes remboursées au titulaire du compte au cours de l'année civile.
Le responsable de traitement indique que les informations ont pour origine, suivant le cas (personnes soumises à déclaration à Monaco ou résidents de Monaco avec compte(s) à l'étranger) l'institution financière monégasque déclarante ou la juridiction soumise à déclaration.
Par ailleurs à l'examen du dossier la Commission constate que sont également collectés les identifiant et mot de passe des agents habilités de la Direction des Services Fiscaux et les logs de connexion (horodatage, login, actions réalisées par l'utilisateur).
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
IV. Sur les droits des personnes concernées
Sur l'information préalable des personnes concernées
Le responsable de traitement indique que l'information préalable des personnes concernées est effectuée au moyen d'une mention sur la plateforme informatique de collecte.
À cet égard, la Commission rappelle :
- qu'une information préalable des personnes concernées soumises à déclaration est effectuée conformément à l'article 1er de la loi n° 1.444 du 19 décembre 2016 portant diverses mesures en matière de protection des informations nominatives et de confidentialité dans le cadre de l'échange automatique de renseignements en matière fiscale (information prodiguée par l'IFMD elle-même dans le cadre du traitement ayant pour finalité « la gestion des obligations légales relatives aux échanges automatiques d'informations à des fins fiscales ») ;
- qu'une information préalable est assurée par une mention sur la plateforme informatique de collecte (https://eai.gouv.mc) ;
- que les communications d'informations en provenance des juridictions étrangères sont expressément prévues par des dispositions législatives ou règlementaires.
Par ailleurs, constatant que les agents habilités de la Direction des Services Fiscaux [DSF] en charge de la gestion de l'échange automatique d'informations sont également des personnes concernées par le traitement, la Commission demande que le responsable de traitement s'assure de leur information préalable, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993\.
Sur l'exercice du droit d'accès, de modification et de mise à jour
Le responsable de traitement indique que le droit d'accès s'exerce sur place ou par voie postale auprès de la Direction des Services Fiscaux. Les droits de rectification, de suppression et de mise à jour des données sont réalisés suivant les mêmes modalités.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165 du 23 décembre 1993.
V. Sur les destinataires et les personnes ayant accès au traitement
Sur les accès au traitement
Le responsable de traitement indique que les catégories de personnes habilitées à avoir accès aux informations sont :
- Direction des Services Fiscaux : réception et consultation des informations nominatives et financières des résidents de Monaco en matière fiscale disposant de compte(s) financier(s) dans une juridiction soumise à déclaration ; transmission des informations nominatives et financières des résidents fiscaux de juridictions soumises à déclaration disposant de compte(s) financier(s) à Monaco ;
- la Direction Informatique : accès pour la maintenance (pas d'accès aux données nominatives) ;
- les prestataires externes : accès pour la maintenance (pas d'accès aux données nominatives).
À cet égard, la Commission rappelle que ces accès doivent être limités aux seuls personnels dûment habilités de la Direction des Services Fiscaux et de la Direction Informatique de la Principauté.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que ces accès sont justifiés.
Sur les communications d'informations
À la lecture du dossier, la Commission constate que les informations collectées sont susceptibles d'être communiquées à des fins fiscales, au travers de la plateforme EAI (Échange Automatique d'Informations) :
- à des juridictions soumises à déclaration situées dans des pays disposant d'un niveau de protection adéquat ;
- à des juridictions soumises à déclaration situées dans des pays ne disposant pas d'un niveau de protection adéquat au sens de la loi n° 1.165 du 23 décembre 1993.
Aussi, la Commission rappelle que la liste des juridictions étrangères dites « juridictions soumises à déclaration » est consultable sur le site du Gouvernement Princier :
http://www.gouv.mc/Action-Gouvernementale/Monaco-a-l-International/Les-accords-en-matiere-fiscale/Foire-aux-questions-Faq-sur-l-echange-automatique-d-informations-en-matiere-fiscale
À cet égard, la licéité des communications d'informations nominatives vers des pays ne disposant pas d'un niveau de protection adéquat sera analysée dans la demande d'autorisation de transfert concomitamment soumise.
VI. Sur les rapprochements et les interconnexions
Le responsable de traitement indique le traitement dont s'agit fait l'objet d'une interconnexion avec le traitement ayant pour finalité la « Collecte d'informations nominatives et financières, dans le cadre de l'obligation d'échange automatique d'informations à des fins fiscales » et d'un rapprochement avec le traitement ayant pour finalité « Déclaration de résultats ».
S'agissant du traitement ayant pour finalité la « Collecte d'informations nominatives et financières, dans le cadre de l'obligation d'échange automatique d'informations à des fins fiscales », la Commission rappelle que sa mise en œuvre avait été conditionnée par l'entrée en vigueur d'un arrêté ministériel portant application de l'Ordonnance Souveraine n° 6.208 du 20 décembre 2016 portant application de la Convention administrative mutuelle concernant l'assistance administrative mutuelle en matière fiscale, de l'Accord multilatéral entre autorités compétentes concernant l'échange automatique de renseignements relatifs aux comptes financiers et du Protocole de modification de l'Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE, modifiée.
À cet égard, elle constate que ledit arrêté ministériel n° 2018‑111 du 13 février 2018 est applicable depuis le 19 février 2018\.
La Commission en prend donc acte et constate que le traitement susvisé a été légalement mis en œuvre.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations nominatives sont conservées 7 jours sur la plateforme CTS et 10 ans au sein de la Direction des Services Fiscaux.
À cet égard, il précise que « les données seront détruites au 31/12 de la dixième année suivant la transmission des informations. Cette durée de conservation correspond aux exigences déjà en place dans le cadre des accords d'échanges de renseignements fiscaux entre la Principauté et la France ainsi que les pays de l'Union européenne ».
La Commission en prend donc acte.
Par ailleurs, ayant constaté la collecte de données d'identification électroniques (identifiant et mot de passe) des agents habilités de la Direction des Services Fiscaux et des logs de connexion (horodatage, login, actions réalisées par l'utilisateur), la Commission rappelle que, sauf dispositions légales ou règlementaires prévoyant une durée de conservation plus longue, les données d'identification électronique doivent être conservées pour la durée de l'habilitation et la durée de conservation des logs de connexion ne doit pas excéder 1 an.
En outre, s'agissant des mots de passe, la Commission recommande au responsable de ne les conserver que 3 mois ou bien d'adopter 9 caractères (majuscule, minuscule, alphanumérique et caractère spécial) s'il désire les conserver 6 mois.
Après en avoir délibéré, la Commission :
Considère que les Agents habilités de la Direction des Services Fiscaux sont concernés par le présent traitement.
Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort ;
- sauf dispositions légales ou règlementaires prévoyant une durée de conservation plus longue, les données d'identification électronique doivent être conservées pour la durée de l'habilitation et la durée de conservation des logs de connexion ne doit pas excéder 1 an.
Recommande au responsable de ne conserver les mots de passe que 3 mois ou bien d'adopter 9 caractères (majuscule, minuscule, alphanumérique et caractère spécial) s'il désire les conserver 6 mois.
Demande que le responsable de traitement s'assure de l'information préalable des agents habilités de la Direction des Services Fiscaux [DSF] en charge de la gestion de l'échange automatique d'informations, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Échange automatique d'informations à des fins fiscales entre Monaco et les juridictions soumises à déclaration » et dénommé « Échange automatique d'informations en matière fiscale » de la Direction des Services Fiscaux.
Le Président de la Commission de
Contrôle des Informations Nominatives.