Délibération n° 2018-178 du 21 novembre 2018 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des demandes d'échange d'informations vers un autre État sur le fondement d'un accord international d'échange sur demande » exploité par le Département des Finances et de l'Économie et de la Direction des Services Fiscaux, présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention de sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.436 du 2 décembre 2016 portant approbation de ratification de la Convention concernant l'assistance administrative mutuelle en matière fiscale ;
Vu la loi n° 1.438 du 2 décembre 2016 portant approbation de ratification du Protocole de modification de l'Accord entre la Principauté de Monaco et la Communauté européenne prévoyant des mesures équivalentes à celles que porte la directive 2003/48/CE du Conseil ;
Vu l'Ordonnance Souveraine n° 3.085 du 25 septembre 1945 relative aux droits et devoirs des agents des services fiscaux ;
Vu l'Ordonnance Souveraine n° 3.037 du 19 août 1963 rendant exécutoire à Monaco la Convention fiscale signée à Paris le 18 mai 1963 ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 2.693 du 23 mars 2010 relative à la coopération internationale en matière fiscale, modifiée ;
Vu l'Ordonnance Souveraine n° 6.205 du 16 décembre 2016 rendant exécutoire la Convention concernant l'assistance administrative mutuelle en matière fiscale ;
Vu la délibération n° 2015-124 du 16 décembre 2015 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d'État concernant le projet de protocole de modification de l'« Accord entre la Communauté européenne et la Principauté de Monaco prévoyant des mesures équivalentes à celles que porte la Directive 2003/48/CE du Conseil » ;
Vu la délibération n° 2017-61 du 19 avril 2017 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d'État relative au projet d'Ordonnance Souveraine portant modification de l'Ordonnance Souveraine n° 2.693 du 23 mars 2010 relative à la coopération internationale en matière fiscale, modifiée ;
Vu la demande d'avis déposée par le Ministre d'État, le 14 septembre 2018, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Gestion des demandes d'échange d'informations vers un autre État sur le fondement d'un accord international d'échange sur demande » ;
Vu la prorogation du délai d'examen de ladite demande d'avis notifiée au responsable de traitement le 13 novembre 2018, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, modifiée, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 21 novembre 2018 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Conformément à l'article 1er de l'Ordonnance Souveraine n° 2.693 du 23 mars 2010 relative à la coopération internationale en matière fiscale, « l'échange de renseignements sur demande prévu en matière fiscale par les conventions ou accords internationaux conclus par la Principauté de Monaco est régi par les dispositions du présent chapitre ».
À cet égard, le responsable de traitement indique que « l'objectif est d'échanger des renseignements [sur demande] entre États sur la base des accords mentionnés ».
Ainsi, le traitement automatisé d'informations nominatives dont s'agit est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion des demandes d'échange d'informations vers un autre État sur le fondement d'un accord international d'échange sur demande ».
Le responsable de traitement indique qu'il concerne les personnels du Département des Finances et de l'Économie et de la Direction des Services Fiscaux en charge de l'instruction, les personnes concernées par la demande (le contribuable) et les personnes physiques ou morales détentrices des renseignements.
Le responsable de traitement indique qu'il a les fonctionnalités suivantes :
« L'objectif est d'échanger des renseignements entre États sur la base des accords mentionnés supra. Par « gestion » sont comprises la réception, la collecte, la transmission desdites informations, ainsi que la tenue de statistiques relatives à l'échange de renseignements sur demande.
Au regard de la tenue de statistiques, le Département des Finances et de l'Économie se doit de respecter les délais impartis, de 90 jours, afin de traiter une demande reçue par un pays requérant.
Ainsi, à la réception d'une demande d'échange d'informations un numéro lui est attribué. Celui-ci et le nom du pays sont inscrits dans un tableau Excel à des fins de statistiques qui permet de suivre de près la procédure et de s'assurer du respect des étapes et des délais. Le tableau sert pour faire un calendrier de « retro-planning » afin de tenir le délai de 90 jours. Ce délai commence à courir à compter de la date de réception du courrier, ainsi cette information est utilisée afin de fixer la date butoir.
Ce tableau permet également d'établir des statistiques en vue d'évaluer les performances de traitement des demandes car l'efficacité de cette procédure est confirmée par les statistiques pendant la période d'évaluation.
Ainsi, dans le cadre des examens de Monaco faits par les évaluateurs de l'OCDE, le pays évalué doit être en mesure de démontrer qu'une réponse est apportée dans un délai approprié, mais le pays évalué doit également fournir d'autres statistiques générales :
- Les statistiques de temps de réponse de Monaco (en moins de 90 jours, sous 180 jours et sous 12 mois) et si le délai est supérieur à 90 jours Monaco doit démontrer avoir averti le pays requérant dans un délai de 90 jours ;
- Les nombres de demandes,  de demandes incomplètes,  de rejets, de demandes retirées par le pays requérant ;
- Le défaut d'obtention et de communication des informations requises ;
- La nature des informations visées par une demande (renseignements d'ordre bancaires, comptables ou autres). Une même demande peut viser la communication simultanée de plusieurs renseignements ;
- Le nombre de demandes individuelles ou groupées ;
- Le nombre de fois où le pays requérant a valablement justifié l'exception de la notification préalable des personnes visées ;
- Le nombre de recours. ».
À cet égard, la Commission observe que la procédure d'instruction des demandes de renseignements est décrite dans les articles 3 à 9 de l'Ordonnance Souveraine n° 2.693 du 23 mars 2010 relative à la coopération internationale en matière fiscale.
La Commission considère que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le respect d'une obligation légale à laquelle est soumis le responsable de traitement ou son représentant.
À cet égard, la Commission constate que cette obligation légale découle des textes  figurant dans les visas et le préambule de la présente délibération.
Aussi, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III.  Sur les informations traitées
Les informations nominatives traitées sont :
- adresses et coordonnées : renseignements sur la résidence en Principauté de la personne concernée : adresse et adresses précédentes pendant la période couverte par la demande d'échange, statut de résident (date d'installation en Principauté de Monaco) et informations liées à la délivrance d'une carte de résidence (type de carte : temporaire, ordinaire ou privilégié), renseignements liés à la qualité de résidence (hébergé, locataire, propriétaire) et les précisions concernant le type de bien (studio, 2 pièces …) ;
- caractéristiques financières : renseignements bancaires portant sur la période concernée : relevés de compte, documents d'ouverture de comptes, l'identité du ou des signataire(s) et du ou des mandataire(s) du compte, date à laquelle le compte a été ouvert et, le cas échéant, la date de sa fermeture, les informations communiquées et documents remis ou générés à l'occasion de l'ouverture ou de la fermeture du compte, les informations relatives au fonctionnement du compte et les instructions données (par courrier, email, fax ou autres) ;
- données d'identification électronique : identifiant et mot de passe des personnes en charge de l'instruction de la demande ;
- tout type d'information visée par le pays requérant : en pratique les autres informations échangées sont principalement : des renseignements sur les propriétaires légaux, les bénéficiaires effectifs et l'identité, des renseignements comptables et des informations concernant le patrimoine mobilier et immobilier détenu en Principauté ;
- données statistiques : les statistiques de temps de réponse de Monaco (en moins de 90 jours, sous 180 jours et sous 12 mois) et si le délai est supérieur à 90 jours Monaco doit démontrer avoir averti le pays requérant dans un délai de 90 jours, les nombres de demandes incomplètes, de rejets, de demandes retirées par le pays requérant, le défaut d'obtention et de communication des informations requises, la nature des informations visées par une demande (renseignements d'ordre bancaires, comptables ou autres), le nombre de demandes individuelles ou groupées, le nombre de fois où le pays requérant a valablement justifié l'exception de la notification préalable des personnes visées, nombre de recours.
Le responsable de traitement indique que les informations relatives aux adresses et coordonnées ont pour origine la Sûreté Publique, que celles se rapportant aux caractéristiques financières proviennent des institutions financières, que les données d'identification électronique sont issues de la Direction Informatique, que les données statistiques ont pour origine la demande reçue des pays requérants ou la Direction des Services Fiscaux, et que les autres informations peuvent provenir des Administrations de l'État, de la Direction des Services fiscaux, du Département des Finances et de l'Économie, des établissements et entreprises sous contrôle de l'Autorité administrative, du contribuable ou des détenteurs des renseignements (sociétés, banques, etc.).
À cet égard, la Commission observe que la collecte des renseignements auprès de la personne concernée ou du détenteur des renseignements est prévue à la section IV- Procédure de notification et de collecte des renseignements de l'Ordonnance Souveraine n° 2.693 du 23 mars 2010 relative à la coopération internationale en matière fiscale et au sein de l'Ordonnance Souveraine n° 3.085 du 25 septembre 1945 relative aux droits et devoirs des agents des services fiscaux.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

Le responsable de traitement indique que l'information préalable des personnes concernées est effectuée au moyen d'un courrier adressé à l'intéressé.
À cet égard, la Commission observe que la décision du Ministre d'État de faire suite à la demande de renseignement est notifiée à la personne concernée et le cas échéant au détenteur de renseignement par voie postale, sauf les hypothèses visées à l'article 6 alinéa 2 de l'Ordonnance Souveraine n° 2.693 du 23 mars 2010, conformément à l'article 14 alinéa 2 de la loi n° 1.165 du 23 décembre 1993.
Aussi, elle constate que la procédure de notification et de collecte des renseignements est décrite aux articles 6 à 8 de l'Ordonnance Souveraine n° 2.693 du 23 mars 2010, conformément à l'article 14 alinéa 2 de la loi n° 1.165 du 23 décembre 1993.
Par ailleurs, relevant que certains personnels du Département des Finances et de l'Économie et de la Direction des Services Fiscaux sont également des personnes concernées par le traitement, la Commission demande que le responsable de traitement s'assure de leur information préalable, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le responsable de traitement indique que le droit d'accès s'exerce sur place auprès du Département des Finances et de l'Économie pour les demandes venant de pays autres que la France et de la Direction des Services Fiscaux pour les demandes émanant de la France.
Les droits de rectification, de suppression et de mise à jour des données sont réalisés suivant les mêmes modalités.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165 du 23 décembre 1993.

V. Sur les destinataires et les personnes ayant accès au traitement

• Sur les accès au traitement

Le responsable de traitement indique que les catégories de personnes habilitées à avoir accès aux informations sont « les personnes dûment habilitées du Département des Finances et de l'Économie et de la Direction des Services Fiscaux en charge du traitement de la demande d'informations [tous droits] ».
Par ailleurs, il précise que « le personnel de la Direction Informatique n'a pas accès aux données », mais procède uniquement au paramétrage des droits d'accès sur le dossier partagé.
La Commission considère que ces accès sont justifiés.

• Sur les communications d'informations

Le responsable de traitement indique que les informations sont susceptibles d'être communiquées aux membres et personnels habilités par l'Autorité Compétente du pays requérant, sauf en ce qui concerne les données d'identification électronique qui sont  communiquées à la Direction Informatique et les données statistiques qui sont communiquées aux membres et personnels habilités de l'OCDE.
À l'examen du dossier, la Commission constate que les membres et personnels habilités par l'Autorité Compétente du pays requérant sont susceptibles d'être localisés dans des pays ne disposant pas d'un niveau de protection adéquat au sens de la loi n° 1.165 du 23 décembre 1993.
À cet égard, la licéité des communications d'informations nominatives vers des pays ne disposant pas d'un niveau de protection adéquat sera analysée dans la demande d'autorisation de transfert concomitamment soumise.

VI. Sur les rapprochements et les interconnexions
Le responsable de traitement indique le traitement dont s'agit fait l'objet de  rapprochements avec les traitements exploités par la Direction des Services Fiscaux ayant pour finalité respective « Échange de renseignements » et « Assistance administrative », légalement mis en œuvre.
Par ailleurs, à l'analyse du dossier la Commission constate un rapprochement et/ou une interconnexion avec le traitement ayant pour finalité « Gestion des techniques automatisées de communication » mis en œuvre en 2005.
À cet égard, la Commission rappelle que si ledit traitement a été modifié au sens des articles 8 et 9 de la loi n° 1.165, il incombe au responsable de traitement de procéder aux formalités nécessaires auprès d'elle.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations nominatives sont conservées « 5 ans sauf l'hypothèse d'un recours en justice alors conservation jusqu'à une décision de justice devenue définitive », à l'exception des données d'identification électronique qui sont conservées « Identifiant : pour la durée de l'habilitation, mot de passe : changé chaque 90 jours ».
La Commission considère que ces durées de conservation sont conformes à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
Après en avoir délibéré, la Commission :
Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- si le traitement ayant pour finalité « Gestion des techniques automatisées de communication » a été modifié, il incombe au responsable de traitement de procéder aux formalités nécessaires auprès d'elle.
Demande que le responsable de traitement s'assure de l'information préalable des personnels concernés du Département des Finances et de l'Économie et de la Direction des Services Fiscaux, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des demandes d'échange d'informations vers un autre État sur le fondement d'un accord international d'échange sur demande » du Département des Finances et de l'Économie et de la Direction des Services Fiscaux, présenté par le Ministre d'État.

Le Président de la Commission de Contrôle des Informations Nominatives.