Introduction
Le Règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) est entré en vigueur le 25 mai 2018.
Vous êtes invités à prendre connaissance des informations qui suivent.
Droits de la personne concernée
Conformément au chapitre III de ce règlement, la personne concernée faisant l’objet d’un traitement de ses données à caractère personnel, dispose des droits suivants :
- Transparence des informations et des communications (art. 12)
- Droit à l’information (art. 13 et 14)
- Droit d’accès aux informations (art. 15)
- Droit de rectification (art. 16)
- Droit à l’effacement (art. 17)
- Droit à la limitation du traitement (art. 18)
- Droit à la portabilité (art. 20)
- Droit d’opposition (art. 21)
- Droit de contestation des décisions automatisées (art. 22)
Pour l’exercice de ces droits, veuillez utiliser les Formulaires pour l’exercice des droits RGPD.
L’exercice de ces droits s’effectue dans les conditions et limites prévues par le RGPD et le droit national applicable en matière fiscale, notamment l’obligation de secret fiscal (§ 22 et 22bis de la loi générale des impôts modifiée du 22 mai 1931 dite « Abgabenordnung ») et les dispositions spécifiques encadrant l’assistance administrative internationale.
Informations relatives à la collecte des données à caractère personnel
a) L’Administration des contributions directes, ci-après ACD, représentée par le directeur des contributions, est le responsable du traitement. Coordonnées :
Administration des contributions directes
Le directeur des contributions
L-2982 Luxembourg
b) Les coordonnées du délégué à la protection des données sont les suivantes :
Administration des contributions directes
Aux mains du délégué à la protection des données
L-2982 Luxembourg
c) La finalité du traitement de données à caractère personnel est la mise en œuvre des flux d’informations internationaux en vue d’une imposition équitable prévus par les lois et règlements et concernant l’ACD en qualité de destinataire et / ou d’émetteur depuis et / ou vers des juridictions étrangères et / ou des entités publiques internationales, dans le cadre de la coopération administrative et de l’assistance mutuelle en matière fiscale.
d) Le traitement est fondé, au sens de l’article 6 du RGPD, sur le respect d’obligations légales auxquelles est soumise l’ACD (article 6, paragraphe 1, point c) prenant leurs sources dans :
- la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fiscal, transposant la directive 2011/16/UE (DAC1) et ses modifications successives ;
- la loi modifiée du 18 décembre 2015 relative à la Norme commune de déclaration (NCD), transposant la directive 2014/107/UE (DAC2) ;
- la loi du 23 juillet 2016 transposant la directive (UE) 2015/2376 du Conseil en matière d’échange automatique et obligatoire d’informations dans le domaine fiscal (DAC3) ;
- la loi du 23 décembre 2016 relative à la déclaration pays par pays (DAC4 / CBCR) et le règlement grand-ducal du 13 février 2018 portant exécution de son article 4, paragraphe 2 ;
- la loi du 25 mars 2020 transposant la directive (UE) 2018/822 modifiant la directive 2011/16/UE (DAC6) ;
- la loi du 16 mai 2023 relative à l’échange automatique et obligatoire des informations déclarées par les Opérateurs de Plateforme et portant modification de plusieurs lois (DAC7) ;
- la loi du 27 mars 2026 relative à l’échange automatique et obligatoire des informations déclarées par les Prestataires de Services sur Crypto-actifs (DAC8).
- la loi du 24 juillet 2015 portant approbation de l’Accord entre le Gouvernement du Grand-Duché de Luxembourg et le Gouvernement des États-Unis d’Amérique en vue d’améliorer le respect des obligations fiscales à l’échelle internationale et relatif aux dispositions des États-Unis d’Amérique concernant l’échange d’informations communément appelées le « Foreign Account Tax Compliance Act » (FATCA) ;
- la loi du 21 juillet 2012 concernant l’assistance mutuelle en matière de recouvrement des créances relatives aux taxes, impôts, droits et autres mesures dans l’Union européenne, transposant la directive 2010/24/UE ;
- la Convention concernant l’assistance administrative mutuelle en matière fiscale (OCDE) et son protocole, approuvés en droit luxembourgeois ;
- les conventions bilatérales tendant à éviter les doubles impositions et à prévenir la fraude fiscale en matière d’impôts sur le revenu et sur la fortune conclues par le Grand-Duché de Luxembourg ;
- les accords conclus par l’Union européenne avec les pays tiers européens concernés (Andorre, Liechtenstein, Monaco, Saint-Marin et Suisse) en matière d’échange automatique de renseignements relatifs aux comptes financiers ;
- la loi du 4 décembre 1967 concernant l’impôt sur le revenu ;
- la loi du 17 avril 1964 portant réorganisation de l’administration des contributions directes ;
- la loi générale des impôts modifiée du 22 mai 1931 (« Abgabenordnung »).
e) Dans le cadre du traitement, des données à caractère personnel portant sur les personnes physiques soumises aux lois et règlements dont l’exécution a été confiée à l’ACD peuvent être communiquées, selon l’instrument juridique applicable, aux destinataires suivants :
- les autorités compétentes des États membres de l’Union européenne dans le cadre de la coopération administrative dans le domaine fiscal (DAC1, DAC2, DAC3, DAC4/CBCR, DAC6, DAC7 et DAC8) ;
- les autorités compétentes des États non-membres de l’Union européenne dans le cadre de la Norme commune de déclaration (NCD), de la déclaration pays par pays (CBCR), de DAC7 et DAC8 ;
- les autorités compétentes des États-Unis dans le cadre de l’accord FATCA ;
- les autorités compétentes des États membres de l’Union européenne dans le cadre de l’assistance mutuelle en matière de recouvrement des créances relatives aux taxes, impôts, droits et autres mesures ;
- les autorités compétentes des États membres et non membres de l’Union européenne dans le cadre des conventions bilatérales tendant à éviter les doubles impositions et à prévenir la fraude fiscale ;
- les autorités compétentes des États membres et non membres de l’Union européenne dans le cadre de la Convention concernant l’assistance administrative mutuelle en matière fiscale (OCDE) ;
- les autorités compétentes des pays tiers européens (Andorre, Liechtenstein, Monaco, Saint-Marin et Suisse) dans le cadre des accords conclus par l’Union européenne avec ces États.
Dans ce même cadre, l’ACD est également destinataire de données à caractère personnel transmises par les autorités compétentes étrangères et les entités publiques internationales susmentionnées.
f) Certains destinataires visés au point e) sont établis dans des pays tiers à l’Union européenne. Les transferts de données à caractère personnel vers ces destinataires sont réalisés sur le fondement des instruments juridiques précités et sont encadrés par des garanties appropriées, notamment à travers les exigences de confidentialité et les standards internationaux en matière de protection des données (« data safeguards ») définis par l’OCDE, ainsi que, le cas échéant, par les décisions d’adéquation adoptées par la Commission européenne conformément à l’article 45 du RGPD.
g) La durée de conservation des données est définie dans le tableau de tri selon la loi du 17 août 2018 relative à l’archivage. Les données sont conservées pour toute la durée nécessaire à la réalisation de la finalité décrite au point c), à l’accomplissement des obligations légales incombant à l’ACD, et le cas échéant, plus longtemps dans le cadre d’une affaire en situation de contestation (réclamation, recours hiérarchique formel adressé au directeur des contributions ou affaire pendante devant les juridictions).
h) Pour l’exercice de leurs droits par les personnes concernées, il est renvoyé au paragraphe « Droits de la personne concernée » ci-dessus.
i) Les catégories de données collectées sont selon les cas :
- données d’identification (notamment numéro d’identification national, nom, prénom, coordonnées) ;
- caractéristiques personnelles (notamment état civil, nationalité) ;
- données bancaires et financières (notamment comptes financiers au sens de la loi relative à la NCD) ;
- formation et profession ;
- revenus.
j) Une réclamation peut être adressée à :
Commission nationale pour la protection des données (CNPD)
15, Boulevard du Jazz
L-4370 Belvaux
k) Les données à caractère personnel traitées proviennent, selon l’instrument juridique applicable :
- des autorités compétentes des États membres et non membres de l’Union européenne et des entités publiques internationales dans le cadre de la coopération administrative et de l’assistance mutuelle en matière fiscale ;
- des institutions financières déclarantes luxembourgeoises soumises aux obligations de déclaration dans le cadre de la Norme commune de déclaration (NCD) et de l’accord FATCA ;
- des entités déclarantes soumises à l’obligation de déclaration pays par pays (CBCR);
- des intermédiaires et contribuables concernés soumis à l’obligation de déclaration des dispositifs transfrontières devant faire l’objet d’une déclaration (DAC6) ;
- des opérateurs de plateformes soumis à l’obligation de déclaration dans le cadre de DAC7 ;
- de l’administration de l'Enregistrement, des domaines et de la TVA pour les mutations immobilières ;
- des prestataires de services sur crypto-actifs déclarants dans le cadre de la loi DAC8.
Ces données ne sont pas issues de sources accessibles au public.
l) Le traitement ne donne pas lieu à une prise de décision exclusivement automatisée au sens de l’article 22 du RGPD, y compris un profilage, produisant des effets juridiques concernant la personne concernée ou l’affectant de manière significative de façon similaire.