GRAND-DUCHE DE LUXEMBOURG
COUR ADMINISTRATIVE
Numéro du rôle : 49701C
ECLI:LU:CADM:2024:49701
Inscrit le 13 novembre 2023
----------------------------------------------------------------------------------------------------------------
Audience publique du 12 décembre 2024
Appel formé par
l’association sans but lucratif de droit français (AA), ... (France), et
Monsieur (B), … (France),
contre
un jugement du tribunal administratif du 29 septembre 2023 (n° 45851 du rôle)
dans un litige les opposant à
une décision du directeur de l’administration des Contributions directes
en matière d’échange automatique de renseignements et de protection des
données
----------------------------------------------------------------------------------------------------------------
Vu l’acte d’appel, inscrit sous le numéro 49701C du rôle, déposé au greffe de la Cour
administrative le 13 novembre 2023 par la société à responsabilité limitée NAUTADUTILH
AVOCATS LUXEMBOURG s.à r.l., établie et ayant son siège social à L-1233 Luxembourg,
2, rue Jean Bertholet, inscrite à la liste V du tableau de l’Ordre des avocats du barreau de
Luxembourg, représentée aux fins de la présente procédure par Maître Vincent WELLENS,
avocat à la Cour, inscrit au tableau de l’Ordre des avocats au barreau de Luxembourg, au nom
de :
- l’association sans but lucratif de droit français (AA), établie et ayant son siège
social à F- ... (France), …, enregistrée au Répertoire national des Associations sous
le numéro … et représentée par son instance dirigeante actuellement en fonctions,
et
- Monsieur (B), demeurant à F-… (France), …,
ayant tous deux élu domicile en l’étude de leur litismandataire,
dirigé contre un jugement rendu par le tribunal administratif du Grand-Duché de Luxembourg
le 29 septembre 2023 (n° 45851 du rôle), par lequel ledit tribunal se déclara incompétent pour
connaître du recours subsidiaire en réformation dirigé contre une décision du directeur de
l’administration des Contributions directes datée du 22 mars 2021 ayant rejeté une demande
d’arrêt de l’échange automatique d’informations entre l’administration fiscale du
1
Grand-Duché de Luxembourg et celle des Etats-Unis d’Amérique en application du « Foreign
Account Tax Compliance Act » approuvé par une loi du 24 juillet 2015, reçut le recours
principal en annulation en la forme, au fond, le dit non justifié et partant, en débouta les parties
demanderesses, rejeta la demande en allocation d’une indemnité de procédure de 5.000 euros
formulée par les parties demanderesses et condamna ces dernières aux frais et dépens de
l’instance ;
Vu le mémoire en réponse de Monsieur le délégué du gouvernement
Sandro LARUCCIA déposé au greffe de la Cour administrative le 12 décembre 2023 ;
Vu le mémoire en réplique déposé au greffe de la Cour administrative le
15 janvier 2024 par Maître Vincent WELLENS au nom de la société à responsabilité limitée
NAUTADUTILH AVOCATS LUXEMBOURG s.à r.l., pour compte des appelants ;
Vu les pièces versées en cause et notamment le jugement entrepris ;
Le rapporteur entendu en son rapport, ainsi que Maître Vincent WELLENS et
Monsieur le délégué du gouvernement Eric PRALONG en leurs plaidoiries respectives à
l’audience publique du 29 février 2024.
----------------------------------------------------------------------------------------------------------------
Monsieur (B) est un résident français se considérant comme un Américain
« accidentel », à savoir comme une personne possédant tant les nationalités française et
américaine et s’étant vu attribuer automatiquement la nationalité américaine du seul fait de sa
naissance sur le territoire des Etats-Unis sans avoir d’autre lien significatif avec ce pays.
Par lettre du 19 mai 2020, une banque luxembourgeoise lui indiqua que le 30 juin 2020
au plus tard, elle transmettrait aux autorités fiscales luxembourgeoises des informations
relatives au compte bancaire ouvert par lui auprès de ladite banque et que le 30 septembre
2020 au plus tard, les autorités fiscales luxembourgeoises communiqueraient ces données aux
autorités fiscales américaines, en exécution de la loi modifiée du 24 juillet 2015 portant
approbation de l’Accord entre le Gouvernement du Grand-Duché de Luxembourg et le
Gouvernement des Etats-Unis d’Amérique en vue d’améliorer le respect des obligations
fiscales à l’échelle internationale et relatif aux dispositions des Etats-Unis d’Amérique
concernant l’échange d’informations communément appelées le « Foreign Account Tax
Compliance Act », ci-après respectivement désignés par la « loi du 24 juillet 2015 » et
l’« accord FATCA ».
Par lettre du 22 décembre 2020 de leur mandataire commun, l’association sans but
lucratif de droit français (AA), ci-après l’« (AA) », et Monsieur (B) s’adressèrent à
l’administration des Contributions directes, ci-après l’« ACD », pour souligner que les
données à échanger en vertu de l’accord FATCA reprendraient « en grande partie des données
d’identification, ainsi que des données à caractère économique et financier » qui
constitueraient des données à caractère personnel au sens du règlement (UE) 2016/679 du
Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes
physiques à l’égard des traitements des données à caractère personnel et à la libre circulation
des données, et abrogeant la directive 95/46/CE, ci-après le « RGPD ». Ils lui demandèrent
par conséquent « (…) d’effacer les données à caractère personnel des [A]méricains
accidentels français et de monsieur (B) obtenues en application de l’Accord FATCA, voire de
limiter leur traitement et, en tout état de cause, de procéder à l’arrêt immédiat des échanges
d’informations entre l’ACD et le fisc américain ayant lieu chaque année sur base de l’Accord
et, pour l’année 2019, avant le 31 décembre 2020, en ce que ce transfert de données méconnait
plusieurs principes clés du droit à la protection des données personnelles, tel qu’applicable
2
au Grand-Duché du Luxembourg et, plus généralement, au sein de l’Union européenne.
(…) ».
Par décision du 22 mars 2021, le directeur de l’ACD, ci-après le « directeur », rejeta
cette demande dans les termes suivants :
« (…) Par la présente, je reviens à votre courrier sous rubrique nous parvenu le
22 décembre 2020 véhiculant pour le compte de l’(AA), laquelle a pour objet de défendre et
de représenter les intérêts des personnes de nationalité franco-américaine qui résident hors
des Etats-Unis, ainsi que de Monsieur (B) plusieurs demandes d’exercice de droits accordés
par le règlement général sur la protection des données (RGPD) aux personnes concernées.
Votre mandante, l’(AA), a son siège social à Paris et a pour objet la défense des
intérêts des personnes physiques de nationalité franco-américaine résidant hors des Etats-
Unis, contre les effets néfastes du caractère extraterritorial de la législation américaine.
L’(AA) n’est pas à considérer comme une personne concernée au sens du RGPD, c’est-à-dire
une personne physique identifiée ou identifiable. Puisque le RGPD limite le cercle des
bénéficiaires des droits RGPD aux seules personnes concernées, je ne suis pas en mesure de
réserver une suite favorable à vos demandes pour le compte de l’(AA).
Vous exercez aussi des droits RGPD pour le compte des américains accidentels
français. Or, puisque la seule formulation « américains accidentels français » ne permet pas
à l’Administration des contributions directes (ACD) d’identifier les personnes concernées par
ses propres moyens de manière précise et que vous ne fournissez aucun élément en vue de leur
identification certaine, je vous informe qu’en application de l’article 12(2) RGPD je regrette
de ne pas pouvoir donner une suite favorable à vos demandes concernant les américains
accidentels français.
Concernant l’exercice du droit à l’effacement pour le compte de Monsieur (B), je vous
informe qu’en application de l’article 17(3b) RGPD je ne saurais y donner une suite favorable
puisque le traitement des données à caractère personnel de Monsieur (B) est nécessaire au
respect de la loi modifiée du 24 juillet 2015 relative à FATCA à laquelle le responsable du
traitement est soumis.
Concernant l’exercice du droit à la limitation du traitement pour le compte de
Monsieur (B), je vous informe que l’article 18(1b) cité ne s’applique pas puisque le traitement
est nécessaire en vue du respect de la loi modifiée du 24 juillet 2015 relative à FATCA.
Si souhaité, une réclamation peut être adressée à l’autorité de contrôle :
Commission nationale pour la protection des données
15, Boulevard du Jazz,
L-4370 Belvaux.
Alternativement un recours juridictionnel peut être formé. (…) ».
Par requête déposée au greffe du tribunal administratif le 2 avril 2021 et enrôlée sous
le numéro 45851 du rôle, l’(AA) et Monsieur (B) firent introduire un recours tendant à
l’annulation, sinon à la réformation de la décision directoriale précitée du 22 mars 2021.
Par requête déposée au greffe du tribunal administratif en date du 31 août 2021, inscrite
sous le numéro 46416 du rôle, Monsieur (B) sollicita la suspension de la communication des
3
données le concernant aux autorités fiscales américaines jusqu’à ce que le tribunal se fût
prononcé sur son recours du 2 avril 2021. Cette requête en institution d’une mesure de
sauvegarde fut rejetée par une ordonnance du président du tribunal administratif du
24 septembre 2021.
Par jugement du 29 septembre 2023, le tribunal se déclara incompétent pour connaître
du recours subsidiaire en réformation dirigé contre la décision du directeur du 22 mars 2021,
reçut le recours principal en annulation en la forme, au fond, le dit non justifié et partant en
débouta les parties demanderesses, rejeta leur demande en allocation d’une indemnité de
procédure de 5.000 euros et les condamna aux frais et dépens de l’instance.
Par requête déposée au greffe de la Cour administrative le 13 novembre 2023, inscrite
sous le numéro 49701C du rôle, l’(AA) et Monsieur (B) ont relevé appel de ce jugement.
I. Quant à la recevabilité de l’appel
L’Etat fait remarquer que le jugement entrepris date du vendredi 29 septembre 2023 et
que l’appel n’a été introduit que le 13 novembre 2023, soit 45 jours plus tard. Par conséquent,
selon l’Etat, l’appel devrait être déclaré irrecevable pour cause de tardiveté.
En vertu de l’article 38 de la loi modifiée du 21 juin 1999 portant règlement de
procédure devant les juridictions administratives, ci-après la « loi du 21 juin 1999 », le délai
pour interjeter appel contre les jugements du tribunal administratif est, sous peine de
forclusion, de quarante jours et il court pour toutes les parties du jour où le jugement leur aura
été notifié par le greffe de la juridiction de première instance. En outre, selon l’article 5 de la
Convention européenne sur la computation des délais, signée à Bâle le 16 mai 1972 et
approuvée par une loi du 30 mai 1984, « lorsque le dies ad quem d’un délai avant l’expiration
duquel un acte doit être accompli est un samedi, un dimanche, un jour férié légal ou considéré
comme tel, le délai est prolongé de façon à englober le premier jour ouvrable qui suit ».
En l’espèce, il ressort du récépissé de la poste que la notification du jugement a été
opérée le 3 octobre 2023. Le délai pour interjeter appel a donc commencé à courir le 3 octobre
2023 et le dernier jour dudit délai a été reporté au lundi 13 novembre 2023, le 11 novembre
2023, quarantième jour à compter de la notification, étant un samedi. L’appel a donc bien été
introduit endéans les délais légaux.
En conséquence, l’appel étant recevable ratione temporis, il y a lieu de rejeter le moyen
d’irrecevabilité de l’Etat pour n’être pas fondé.
L’Etat soulève ensuite l’irrecevabilité « du présent recours » « pour défaut de qualité,
voire défaut d’intérêt » dans le chef de l’(AA), en se prévalant des articles 79 et 80 du RGPD,
des articles 2, 5 et 6 de la loi française modifiée du 1er juillet 1901 relative au contrat
d'association et du principe selon lequel « nul ne plaide par procureur ».
Ce moyen de l’Etat visant à remettre en cause la recevabilité du recours de première
instance en ce qu’il a été introduit par l’(AA), il est à examiner dans la section de l’arrêt relative
au fond de l’affaire. En effet, en appel, la question de la recevabilité du recours de première
instance est une question relevant du fond de l’affaire en appel.
L’appel ayant pour le surplus été introduit selon les formes et délai de la loi, il est
recevable.
4
II. Quant au fond
Les appelants estiment que le tribunal administratif :
- a rejeté à tort leur moyen tiré d’un défaut de motivation de la décision directoriale
déférée ;
- a considéré à tort que le RGPD n’était pas applicable ;
- a refusé à tort de retenir l’existence d’une violation de l’article 11, paragraphe (3),
de la Constitution dans sa numérotation antérieure au 1er juillet 2023 et de la
disposition correspondante de la Constitution révisée ;
- aurait dû annuler, sinon réformer la décision du directeur du 22 mars 2021 pour
défaut de motivation de cette décision et violation de plusieurs dispositions et
principes clés du RGPD et de la directive 95/46/CE du Parlement Européen et du
Conseil du 24 octobre 1995 relative à la protection des personnes physiques à
l’égard du traitement des données à caractère personnel et à la libre circulation de
ces données, ci-après la « directive 95/46 », voire de la Constitution.
Par ailleurs, ils demandent à la Cour de poser plusieurs questions préjudicielles à la
Cour de justice de l’Union européenne, ci-après la « CJUE », ainsi qu’une question
préjudicielle à la Cour constitutionnelle.
La Cour n’étant pas liée par l’ordre des moyens dans lequel ils lui ont été soumis et
détenant la faculté de les toiser suivant une bonne administration de la justice et l’effet utile
qui s’en dégage, il y a lieu d’examiner en premier lieu, dans le respect d’une bonne logique
juridique, la question de la recevabilité du recours de première instance en ce qu’il a été
introduit par l’(AA).
A. Quant à l’intérêt à agir de l’(AA)
Comme indiqué ci-avant, l’Etat remet en cause la recevabilité du recours de première
instance en ce qu’il a été introduit par l’(AA). En instance d’appel, l’Etat peut valablement
remettre dans le débat cette question de recevabilité en tant que moyen de défense de la partie
intimée sans interjeter appel incident contre le jugement dont le dispositif ne lui cause aucun
grief, au vu du rejet au fond du recours des parties demanderesses.
La Cour est cependant amenée à rejeter ce moyen. En effet, c’est à bon droit que les
premiers juges ont rappelé que les groupements régulièrement constitués sous forme de
fondation ou d’association sans but lucratif, qui entendent demander en justice la réparation
de l’atteinte aux intérêts collectifs qu’ils défendent, sont admis à agir du moment que l’action
collective est dictée par un intérêt corporatif caractérisé et que ces actions collectives ont pour
objectif de profiter à l’ensemble des associés. C’est également à bon escient que le tribunal a
relevé que (i) l’(AA) dispose d’un intérêt corporatif caractérisé qui ne se confond pas avec
l’intérêt général, étant donné qu’elle défend, à travers la demande litigieuse ainsi que le recours
sous examen, l’intérêt de l’ensemble de ses membres, à savoir des Américains accidentels
français ayant un compte bancaire au Luxembourg, contre l’application de l’accord FATCA
ayant pour conséquence la transmission des informations bancaires de ses membres, par le
biais des institutions financières luxembourgeoises et de l’ACD, aux autorités fiscales
américaines, et que (ii) ladite action s’inscrit dans l’objet social de l’(AA), tel que circonscrit
à l’article 2 de ses statuts, aux termes duquel celle-ci a pour but « (…) la défense des intérêts
des personnes physiques franco-américaine qui résident hors des Etats-Unis, contre les effets
néfastes du caractère extraterritorial de la législation américaine. (…) ».
5
Par conséquent, c’est à juste titre que les premiers juges ont conclu que l’(AA) dispose
d’un intérêt à agir à l’encontre de la décision directoriale déférée du 22 mars 2021 et ont rejeté
le moyen d’irrecevabilité afférent. Il y a donc lieu de rejeter également en appel ledit moyen.
Toujours dans le respect d’une bonne logique juridique, il y a désormais lieu
d’examiner le moyen des appelants relevant de la légalité externe de la décision du directeur
du 22 mars 2021 avant ceux tenant à sa légalité interne.
B. Quant au défaut allégué de motivation de la décision directoriale litigieuse
1. Moyens des parties
Selon les appelants, à défaut de motivation adéquate, la décision du directeur du
22 mars 2021 violerait l’article 6 du règlement grand-ducal du 8 juin 1979 relatif à la
procédure à suivre par les administrations relevant de l’Etat et des communes, ci-après le
« règlement grand-ducal du 8 juin 1979 ». En effet, la décision directoriale serait extrêmement
succincte et ne contiendrait pas de prise de position par rapport à toutes les demandes
formulées par eux et à toutes les violations qu’ils auraient invoquées. Par conséquent,
conformément à la jurisprudence, ce défaut de motivation manifeste devrait entraîner
l’annulation de la décision directoriale litigieuse.
De son côté, l’Etat n’a pas pris spécifiquement position sur ce point, mais demande au
dispositif de son mémoire en réponse la confirmation du jugement entrepris « dans toute sa
teneur ».
2. Analyse de la Cour
Il y a d’abord lieu de préciser que si l’article 5 de la loi du 1er décembre 1978 réglant
la procédure administrative non contentieuse exclut l’application de cette loi et de ses
règlements d’exécution, notamment du règlement grand-ducal du 8 juin 1979, à la matière des
contributions directes, cette exclusion est justifiée dans les travaux parlementaires relatifs à
cette loi par la considération que « la matière [fait] l’objet d’une réglementation exhaustive et
respectueuse des droits du contribuable » (projet de loi réglant la procédure administrative
non contentieuse, doc. parl. 2209, p. 5) et le terme des contributions directes vise les impôts
tombant sous le droit de procédure créé par une loi spécifique, la loi générale des impôts du
22 mai 1931, dite « Abgabenordnung », en abrégé « AO » (Jean OLINGER, La procédure
administrative non contentieuse, 1992, édit. St-Paul, n° 177). Par voie de conséquence, le
législateur a reconnu l’applicabilité exclusive de l’AO en matière d’impôts directs et prévu
l’exclusion de la matière régie par elle du champ d’application de règles censées constituer le
droit commun en matière administrative.
Or, l’article 4, paragraphe (2), de la loi du 24 juillet 2015 dispose expressément que
l’ACD « dispose des mêmes pouvoirs d’investigation que ceux mis en œuvre dans le cadre des
procédures d’imposition tendant à la fixation ou au contrôle des impôts, droits et taxes, avec
toutes les garanties y prévues ».
Dans la mesure où cette disposition rend applicables en matière des échanges sur base
de l’accord FATCA toutes les dispositions de droit interne qui définissent les pouvoirs et
obligations de l’ACD dans l’exercice de ses propres pouvoirs en matière d’impôts directs, dont
partant nécessairement celles de l’AO, la même disposition entraîne que les dispositions de la
loi du 1er décembre 1978 et du règlement grand-ducal du 8 juin 1979 ne sauraient trouver
application en cette matière des échanges sur base de l’accord FATCA.
6
Il s’ensuit que le moyen des appelants est à écarter en ce qu’il est fondé sur l’article 6
du règlement grand-ducal du 8 juin 1979.
A titre surabondant, la Cour rejoint le constat des premiers juges qu’en l’espèce, la
décision déférée est motivée tant en fait qu’en droit, puisqu’elle fait expressément référence à
la situation factuelle des appelants et fait état de ce que le traitement de données personnelles
litigieux serait nécessaire au respect de la loi du 24 juillet 2015, de sorte à ne pouvoir faire
droit à la demande de l’(AA) et de Monsieur (B). La motivation apportée par le directeur, bien
que succincte, a permis aux appelants d’assurer la défense de leurs intérêts en connaissance de
cause.
C’est donc à bon droit que le tribunal a rejeté le moyen des appelants fondé sur un
défaut d’indication des motifs.
C. Quant à l’applicabilité du RGPD
1. Moyens des parties
Les appelants critiquent le tribunal administratif pour avoir rejeté, sur base de
l’article 2, paragraphe 2, sous a), du RGPD, l’application en l’espèce de ce règlement
communautaire. Or, les activités étatiques en matière fiscale ne seraient manifestement pas
visées par l’exception prévue à cet article, laquelle serait d’interprétation stricte et se limiterait
à des activités étatiques dans le cadre de la sécurité nationale, ainsi que la CJUE l’aurait
souligné dans son arrêt du 22 juin 2021 relatif à l’affaire B c. Latvijas Republikas Saeima (aff.
C-439/19).
D’ailleurs, la Commission européenne et le Comité européen de la protection des
données (également connu sous sa dénomination anglaise European Data Protection Board
ou l’acronyme EDPB) auraient déclaré que les accords internationaux d’échange automatique
de données en matière fiscale devraient être revus à la lumière du RGPD et l’autorité belge
pour la protection des données aurait déclaré, dans une affaire similaire à la présente affaire,
que les transferts de données opérés en vertu de l’accord FATCA étaient illégaux.
Les appelants avancent que la partie étatique n’aurait jamais invoqué l’exception
susmentionnée et que le cas échéant, il conviendrait de saisir la CJUE de la question
préjudicielle suivante :
« Est-ce que l’article 2, paragraphe 1er, a) [lire article 2, paragraphe (2), sous a)] du
Règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection
des personnes physiques à l’égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données) exclut-il [sic] du champ d’application de ce règlement le domaine
fiscal des Etats membres, y compris leurs accords bilatéraux d’échange automatique
d’informations à des fins fiscales conclus avec des Etats tiers ? »
De son côté, l’Etat demande à la Cour de confirmer les premiers juges en ce qu’ils ont
retenu que le traitement de données personnelles litigieux ne relève pas du champ
d’application du droit de l’Union, de sorte à ne pas être soumis au RGPD conformément à
l’article 2, paragraphe 2, sous a), dudit règlement communautaire.
L’Etat reproche encore aux appelants l’absence de mise en intervention des institutions
financières luxembourgeoises impliquées dans la collecte des données faisant l’objet du
transfert dont l’illégalité est pourtant affirmée par les appelants.
7
2. Analyse de la Cour
Il convient d’abord de retracer le cadre factuel et juridique du présent litige.
En l’espèce, les appelants critiquent la collecte, par l’ACD, de données relatives à des
Américains accidentels ayant un compte bancaire auprès de banques établies au Luxembourg
et le transfert subséquent de ces données par l’ACD à l’administration fiscale américaine.
Puisque la demande d’effacement, sinon de limitation des données collectées et de
cessation du transfert de ces données a été introduite le 22 décembre 2020 auprès de l’ACD,
après information de Monsieur (B) en mai 2020 par une banque luxembourgeoise que la
collecte et le transfert des données allaient avoir lieu respectivement à partir de juin et
septembre 2020, il y a lieu de retenir, à défaut d’éléments contraires, que la collecte et le
transfert litigieux ont eu lieu au plus tôt en 2020, soit après le 25 mai 2018, date à laquelle le
RGPD a commencé à être applicable en vertu de son article 99, paragraphe (2).
Par ailleurs, il n’est pas contesté que la collecte et le transfert des données litigieux ont
été effectués par l’ACD en vertu de la loi du 24 juillet 2015, dans le but d’assurer le respect,
par le Luxembourg, des engagements qu’il a pris en concluant l’accord FATCA.
En effet, l’article 1er, paragraphe (1), de la loi du 24 juillet 2015 énonce que :
« Sont approuvés :
1. l’Accord entre le Gouvernement du Grand-Duché de Luxembourg et le Gouvernement
des Etats-Unis d’Amérique en vue d’améliorer le respect des obligations fiscales à
l’échelle internationale et relatif aux dispositions des Etats-Unis d’Amérique
concernant l’échange d’informations communément appelées le "Foreign Account Tax
Compliance Act", y compris ses deux annexes ainsi que le "Memorandum of
Understanding" y relatif, signés à Luxembourg le 28 mars 2014 ;
2. l’échange de notes y relatives, signées les 31 mars et 1er avril 2015 ;
désignés ci-après par "l’Accord". »
Or, en vertu de l’article 2 de l’accord FATCA, intitulé « Obligations to Obtain and
Exchange Information with Respect to Reportable Accounts », le Luxembourg doit collecter
un certain nombre d’informations liées aux « comptes bancaires américains déclarables »
(« U.S. Reportable Accounts »), telles que le nom, l’adresse et le numéro d’identification
fiscale américain du détenteur du compte, le numéro du compte et le solde de ce dernier, et
doit les fournir annuellement et de manière automatique à l’administration fiscale américaine.
L’article 3, paragraphe (3), de la loi du 24 juillet 2015 précise que « [l]’Administration
des contributions directes et les Institutions financières déclarantes luxembourgeoises sont
considérées comme étant les responsables du traitement des données aux fins de la loi
modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des
données à caractère personnel, chacune pour le traitement qu’elle met en œuvre », la loi
susmentionnée du 2 août 2002 étant ci-après désignée par la « loi du 2 août 2002 ».
En l’espèce, les appelants contestent en substance la légalité du transfert des données
aux Etats-Unis d’Amérique (cf. « ce transfert de données méconnait plusieurs principes clés
du droit à la protection des données personnelles » dans la demande des appelants adressée à
l’ACD), mais non pas la communication des mêmes données par les institutions financières
luxembourgeoises à l’ACD. Or, eu égard à l’article 3, paragraphe (3), de la loi du 24 juillet
8
2015 cité ci-avant, c’est l’ACD, en tant qu’auteur dudit transfert des données collectées vers
les Etats-Unis, qui est à considérer comme responsable de ce traitement.
Il y a donc lieu d’écarter comme non fondé le reproche de l’Etat relatif à l’absence de
mise en intervention des institutions financières luxembourgeoises impliquées dans la collecte
des données faisant l’objet du transfert, étant donné que les traitements de données
personnelles effectués par elles ne font pas l’objet des critiques des appelants. Il y a lieu
d’ajouter que l’Etat ne s’est pas prononcé sur les conséquences juridiques qu’il entendait
attacher à ce reproche et qu’en l’espèce, il n’existe de toute manière pas d’obligation à charge
des administrés de poursuivre tous les responsables potentiels de la violation qu’ils allèguent.
La loi du 2 août 2002 transposait la directive 95/46, laquelle a entretemps été abrogée
et remplacée par le RGPD.
La loi du 2 août 2002 a été abrogée par la loi du 1er août 2018 portant organisation de
la Commission nationale pour la protection des données et mise en œuvre du règlement (UE)
2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre
circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), portant modification du Code du travail et de la loi modifiée du
25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des
fonctionnaires de l’Etat, ci-après la « loi du 1er août 2018-RGPD ».
En outre, la loi du 1er août 2018 relative à la protection des personnes physiques à
l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière
de sécurité nationale, ci-après la « loi du 1er août 2018-matière pénale », régit également
certains volets de la matière de la protection des données. Cependant, le traitement de données
personnelles litigieux par l’ACD en vertu de l’accord FATCA n’a pas un but répressif et ne
relève pas de la politique étrangère et de sécurité commune de l’Union européenne. Par
conséquent, la collecte et le transfert de données litigieux ne relèvent pas de la loi du 1er août
2018-matière pénale. Aucune des parties n’a par ailleurs soulevé cette question de
l’applicabilité ou non de la loi du 1er août 2018-matière pénale.
Avant un examen des éventuelles implications de la loi du 1er août 2018-RGPD et, plus
particulièrement, de son article 1er, paragraphe (1), qui opère une extension du champ
d’application de certaines règles du RGPD, il convient de prime abord d’examiner la question
de l’applicabilité de ce règlement communautaire en vertu de ses propres dispositions afin de
déterminer correctement le cadre de référence par rapport auquel il conviendra d’apprécier la
légalité des traitements de données litigieux opérés par l’ACD.
Comme souligné à juste titre par la partie étatique, la question de l’incidence de
l’article 2, paragraphe 2, sous a), du RGPD a été soulevée d’office par le tribunal administratif.
Dans ces circonstances, contrairement à ce que laissent entendre les appelants, le fait que la
partie étatique ne soit pas à l’initiative du débat sur les conséquences de l’application de cette
disposition n’est pas pertinent.
Le tribunal a en effet soulevé d’office la question de l’applicabilité du RGPD au regard
du moyen étatique relatif à l’irrecevabilité du recours introduit par l’(AA) fondé sur les articles
79 et 80, paragraphe 1, du RGPD. Le tribunal a jugé en substance que le traitement de données
personnelles litigieux ne relève pas du champ d’application du droit de l’Union en raison de
l’applicabilité de l’exclusion prévue à l’article 2, paragraphe 2, sous a), du RGPD, entraînant
que ledit règlement communautaire ne serait pas applicable. Il a fondé cette analyse
essentiellement sur la considération que ledit traitement est basé sur une convention
9
internationale bilatérale conclue entre les Etats-Unis d’Amérique et le Grand-Duché de
Luxembourg, et portant sur un échange automatique d’informations de la part d’institutions
financières à des fins fiscales, lequel ne constitue pas une matière relevant, de manière
générale, du droit communautaire. Se fondant encore sur le considérant n° 16 du RGPD, il a
conclu que la référence aux activités relatives à la sécurité nationale, à la politique étrangère
des Etats membres et de sécurité commune de l’Union serait une énumération non exhaustive
d’exemples de domaines dans lesquels le RGPD n’est pas applicable et que l’arrêt précité de
la CJUE du 22 juin 2021, limité à la catégorie des activités ayant pour but la préservation de
la sécurité nationale, ne remettrait pas en cause sa conclusion de l’inapplicabilité en l’espèce
du RGPD.
L’article 2, paragraphe 2, sous a), du RGPD prévoit que :
« Le présent règlement [le RGPD] ne s’applique pas au traitement de données à
caractère personnel effectué : a) dans le cadre d’une activité qui ne relève pas du champ
d'application du droit de l’Union ».
Au regard de la jurisprudence de la CJUE, force est à la Cour de constater que,
contrairement à ce que semble suggérer le tribunal, l’article 2, paragraphe 2, sous a), du RGPD
ne signifie pas que pour qu’un traitement de données personnelles soit couvert par ce
règlement, il faudrait que le responsable du traitement effectue ledit traitement sur le
fondement d’une disposition du droit de l’Union européenne.
Ainsi, à titre d’illustration, dans l’arrêt du 16 juillet 2020 (aff. C-311/18, Facebook
Ireland et Schrems, dit arrêt Schrems II), le traitement de données litigieux, à savoir le transfert
de données à caractère personnel effectué à des fins commerciales par un opérateur
économique établi dans un Etat membre vers un autre opérateur économique établi dans un
pays tiers, avait eu lieu en raison, en substance, de la volonté du groupe Facebook d’adopter
un modèle commercial comportant un tel transfert, puisque, comme expliqué par la CJUE au
considérant 51 de son arrêt, « [t]oute personne résidant sur le territoire de l’Union et désirant
utiliser Facebook [était] tenue de conclure, lors de son inscription, un contrat avec Facebook
Ireland, filiale de Facebook Inc., elle-même établie aux États-Unis. Les données à caractère
personnel des utilisateurs de Facebook résidant sur le territoire de l’Union [étaient], en tout
ou en partie, transférées vers des serveurs appartenant à Facebook Inc., situés sur le territoire
des États-Unis, où elles [faisaient] l’objet d’un traitement ».
Ensuite, dans l’affaire précitée B c. Latvijas Republikas Saeima, était en cause un
traitement d’informations relatives aux points de pénalité imposés aux conducteurs de
véhicules, traitement effectué en vertu de la loi sur la circulation routière lettone et d’un décret
ministériel letton relatif aux règles de mise en œuvre du système des points de pénalité.
Dans l’arrêt C-306/21 du 20 octobre 2022, Koalitsia « Demokratichna Bulgaria –
Obedinenie », des enregistrements vidéo avaient été réalisés dans le cadre d’un processus
électoral sur le fondement d’instructions édictées par l’équivalent bulgare de la CNPD et par
la Commission centrale électorale bulgare.
Enfin, dans l’arrêt C-33/20 du 16 janvier 2024, Österreichische Datenschutzbehörde
c. WK, le traitement de données litigieux consistait en la publication non anonymisée, sur le
site du Parlement autrichien, du compte rendu d’une audition réalisée dans le cadre d’une
enquête menée par une commission mise en place en vertu de la loi constitutionnelle fédérale
autrichienne et chargée de faire la lumière sur l’existence d’une éventuelle influence politique
sur le Bundesamt für Verfassungsschutz und Terrorismusbekämpfung.
10
Dans ces quatre affaires, le traitement de données litigieux n’avait donc pas eu lieu en
vertu du droit primaire de l’Union européenne, ni d’un règlement européen ou de dispositions
nationales transposant une directive européenne.
Or, dans ces quatre affaires, la CJUE a retenu dans les termes suivants que l’exception
prévue à l’article 2, paragraphe 2, sous a), du RGPD n’était pas applicable, de sorte que les
traitements de données à caractère personnel litigieux relevaient bien du champ d’application
du RGPD :
- « (…) l’article 2, paragraphes 1 et 2, du RGPD doit être interprété en ce sens que
relève du champ d’application de ce règlement un transfert de données à caractère
personnel effectué à des fins commerciales par un opérateur économique établi
dans un État membre vers un autre opérateur économique établi dans un pays tiers,
nonobstant le fait que, au cours ou à la suite de ce transfert, ces données sont
susceptibles d’être traitées par les autorités du pays tiers concerné à des fins de
sécurité publique, de défense et de sûreté de l’État » (arrêt précité Facebook
Ireland et Schrems, point 89) ;
- « (…) l’article 2, paragraphe 2, sous a) et b), du RGPD s’inscrit partiellement
dans la continuité de l’article 3, paragraphe 2, premier tiret, de la directive 95/46.
Il s’ensuit que l’article 2, paragraphe 2, sous a) et b), du RGPD, ne saurait être
interprété comme disposant d’une portée plus large que l’exception découlant de
l’article 3, paragraphe 2, premier tiret de la directive 95/46, lequel excluait déjà
du champ d’application de cette directive notamment le traitement de données à
caractère personnel ayant lieu dans le cadre "d’activités qui ne relèvent pas du
champ d’application du droit communautaire, telles que celles prévues aux titres
V et VI du traité [UE, dans sa version antérieure au traité de Lisbonne], et, en tout
état de cause, [les] traitements ayant pour objet la sécurité publique, la défense, la
sûreté de l’État [...]".
65. Or, ainsi que la Cour l’a itérativement jugé, seuls les traitements de
données à caractère personnel mis en œuvre dans le cadre d’une activité propre
aux États ou aux autorités étatiques et expressément mentionnée audit article 3,
paragraphe 2, ou dans le cadre d’une activité pouvant être rangée dans la même
catégorie, étaient exclus du champ d’application de ladite directive (voir, en ce
sens, arrêts du 6 novembre 2003, Lindqvist, C‑101/01, EU:C:2003:596, points 42
à 44 ; du 27 septembre 2017, Puškár, C‑73/16, EU:C:2017:725, points 36 et 37,
ainsi que du 10 juillet 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551,
point 38).
66. Il en résulte que l’article 2, paragraphe 2, sous a), du RGPD, lu à la lumière
du considérant 16 de ce règlement, doit être considéré comme ayant pour seul objet
d’exclure du champ d’application dudit règlement les traitements de données à
caractère personnel effectués par les autorités étatiques dans le cadre d’une
activité qui vise à préserver la sécurité nationale ou d’une activité pouvant être
rangée dans la même catégorie, de telle sorte que le seul fait qu’une activité soit
propre à l’État ou à une autorité publique ne suffit pas pour que cette exception
soit automatiquement applicable à une telle activité (voir, en ce sens, arrêt du
9 juillet 2020, Land Hessen, C‑272/19, EU:C:2020:535, point 70).
67. Les activités qui ont pour but de préserver la sécurité nationale visées à
l’article 2, paragraphe 2, sous a), du RGPD couvrent, en particulier, ainsi que l’a
également relevé en substance M. l’avocat général aux points 57 et 58 de ses
11
conclusions, celles ayant pour objet de protéger les fonctions essentielles de l’État
et les intérêts fondamentaux de la société.
68. Or, les activités relatives à la sécurité routière ne poursuivent pas un tel
objectif et ne sauraient, en conséquence, être rangées dans la catégorie des
activités ayant pour but la préservation de la sécurité nationale, visées à l’article
2, paragraphe 2, sous a), du RGPD. » (arrêt précité B c. Latvijas Republikas
Saeima, points 64 à 68) ;
- « (…) l’article 2, paragraphe 2, sous a), du RGPD doit être interprété en ce sens
que n’est pas exclu du champ d’application de ce règlement le traitement des
données à caractère personnel dans le contexte de l’organisation d’élections dans
un État membre » (arrêt précité Koalitsia « Demokratichna Bulgaria –
Obedinenie », point 42) ;
- « (…) l’article 2, paragraphe 2, sous a), du RGPD, lu à la lumière du
considérant 16 de celui-ci, doit être interprété en ce sens que ne sauraient être
considérées, en tant que telles, comme des activités relatives à la sécurité nationale
situées en dehors du champ d’application du droit de l’Union, au sens de cette
disposition, les activités d’une commission d’enquête mise en place par le
parlement d’un État membre dans l’exercice de son pouvoir de contrôle du pouvoir
exécutif, ayant pour objet d’enquêter sur les activités d’une autorité policière de
protection de l’État en raison d’un soupçon d’influence politique sur cette
autorité » (arrêt précité Österreichische Datenschutzbehörde c. WK, point 57).
Il découle ainsi de ces extraits de la jurisprudence que la CJUE entend limiter le champ
de l’exclusion prévue par l’article 2, paragraphe 2, sous a), du RGPD aux activités qui visent
à préserver la sécurité nationale ou qui peuvent être rangées dans la même catégorie en ce
qu’elles ont pour objet de protéger les fonctions essentielles de l’Etat et les intérêts
fondamentaux de la société.
La question qui se pose dès lors est celle de savoir si les activités des Etats membres
liées à l’exercice de leurs compétences nationales en matière de fixation et de recouvrement
des impôts prévus par leurs droits internes, y compris les mesures d’échanges et de coopération
prévues en vue de la perception correcte des impôts et de la lutte contre l’évasion et la fraude
fiscales, rentrent dans cette catégorie des activités ayant pour objet de protéger les fonctions
essentielles de l’Etat et les intérêts fondamentaux de la société.
Or, l’applicabilité du RGPD aux demandes de renseignements adressés par
l’administration fiscale d’un Etat membre à une personne tierce et les exigences qui en
découlent ont fait l’objet d’une analyse par la CJUE dans le cadre d’une affaire lettone ayant
porté sur une demande de renseignements adressée par l’administration fiscale lettone à un
opérateur économique exploitant un site d’annonces de ventes de voitures et tendant à obtenir
les données de toutes les ventes de voitures (texte de l’annonce, marque, modèle, numéro de
châssis et prix de la voiture et numéro de téléphone du vendeur) pour une période antérieure
d’un mois et demi et pour le futur mensuellement sans aucune limite de temps.
Dans son arrêt du 24 février 2022 (aff. C-175/20, « SS » SIA c/ Valsts ieņēmumu
dienests), la CJUE a écarté l’exception prévue par l’article 2, paragraphe 2, sous d), du RGPD,
en vertu de laquelle le RGPD ne s’applique pas au traitement de données à caractère personnel
effectué « par les autorités compétentes à des fins de prévention et de détection des infractions
pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y
compris la protection contre des menaces pour la sécurité publique et la prévention de telles
12
menaces ». Elle a en effet considéré que le terme « autorité compétente » vise des autorités
qui sont compétentes dans les domaines spécifiques énumérés au point d) précité, mais qu’une
autorité nationale qui est compétente pour la perception de l’impôt et la lutte contre la fraude
fiscale ne relève pas de cette catégorie (points 43 et 44 de l’arrêt). Si la CJUE n’a certes pas
examiné expressément l’applicabilité de l’exception prévue par l’article 2, paragraphe 2, sous
a), du RGPD relative au champ d’application du droit de l’Union, elle a néanmoins confirmé
l’applicabilité du RGPD à une administration fiscale d’un Etat membre plus particulièrement
à l’égard de la sollicitation, par elle, de données à caractère personnel auprès d’un opérateur
économique qui constitue un processus de « collecte » de ces données au sens de l’article 4,
point 2, du RGPD, entraînant que celle-ci doit respecter, notamment, les principes relatifs au
traitement des données à caractère personnel énoncés à l’article 5 de ce règlement.
La Cour en déduit que la jurisprudence de la CJUE va clairement en ce sens que
l’exception prévue à l’article 2, paragraphe 2, sous a), du RGPD n’est pas applicable à
l’activité des Etats membres relevant de l’exercice de leurs compétences nationales en matière
d’impôts nationaux non harmonisés au niveau européen et ne relevant pas directement de la
compétence de l’Union européenne.
Il convient d’ajouter que le Conseil d’Etat français, également saisi par l’(AA) en vue
de statuer sur la validité des traitements de données personnelles effectués par les autorités
fiscales françaises en vertu des équivalents français de l’accord FATCA et de la loi du
24 juillet 2015, a conclu dans un arrêt du 19 juillet 2019 (n° 424216) que le traitement litigieux
relevait du champ d’application du RGPD et a procédé à l’examen de la compatibilité de
l’équivalent français de l’accord FATCA avec plusieurs dispositions du RGPD.
Par ailleurs, la Cour d’appel de Luxembourg, dans un arrêt du 6 décembre 2023
(n° 141/23-II-CIV, numéro CAL-2021-00650 du rôle), a appliqué les dispositions du RGPD
dans une affaire concernant la transmission aux autorités américaines, par une banque suisse,
des données bancaires relatives à une personne physique qui avait ouvert des comptes auprès
de la succursale luxembourgeoise de cette banque suisse.
Finalement, il est renvoyé à un arrêt récent du Bundesfinanzhof allemand du 13 août
2024 (n° IX R 6/23) qui a également confirmé l’applicabilité du RGPD à une mesure
d’instruction de l’administration fiscale allemande qui requérait de la part d’un contribuable
la fourniture des contrats de bail relatifs à son activité de location immobilière et qui a écarté
au fond les moyens du contribuable liés au non-respect de différentes dispositions du RGPD.
La Cour arrive à la conclusion que l’analyse de toutes ces jurisprudences permet
clairement de conclure qu’aucune des exceptions prévues par l’article 2, paragraphe 2, du
RGPD ne trouve application à l’égard des traitements de données litigieux en l’espèce, qui
rentrent dans l’exercice par les Etats membres de leurs compétences en matière d’impôts et,
plus particulièrement, en matière de coopération mutuelle en matière d’impôts à travers
l’échange automatique de renseignements.
Dès lors, même si l’article 267, alinéa (3), du Traité sur le fonctionnement de l’Union
européenne (TFUE) pose le principe de l’obligation pour une juridiction de dernier ressort de
saisir la CJUE à titre préjudiciel d’une question d’interprétation du droit de l’Union soulevée
devant elle, la Cour estime qu’en application des principes retenus dans les arrêts de la CJUE
du 6 octobre 1982 (aff. C-283/81, CILFIT) et du 6 octobre 2021 (aff. C-561/19, Consorzio
Italian Management et Catania Multiservizi SpA c. Rete Ferroviaria Italiana SpA, également
dit arrêt CILFIT II), elle est en droit d’admettre que l’interprétation existante de la CJUE
permet de conclure sans doute raisonnable que le RGPD doit trouver application à l’égard des
traitements de données personnelles litigieux en l’espèce, sans qu’elle ne soit tenue de
13
demander à la CJUE de statuer à titre préjudiciel sur cette question. Il n’y a dès lors pas lieu
de soumettre à la CJUE la question préjudicielle proposée par les appelants.
Il s’ensuit que c’est à tort que les premiers juges ont conclu à l’application en l’espèce
de l’exception prévue par l’article 2, paragraphe 2, sous a), du RGPD et qu’ils ont rejeté le
recours sous examen sur base de cette seule analyse.
Dans la mesure où en adoptant cette conclusion, les premiers juges ont néanmoins
statué sur le fond du litige et où la Cour est dès lors saisie de l’intégralité du litige du fait de
l’effet dévolutif de l’appel, il y a lieu d’examiner encore les autres moyens au fond développés
par les parties en instance d’appel.
D. Quant à l’application de l’article 96 du RGPD
Dans le cadre de son examen des différents moyens des parties suivant une bonne
administration de la justice et l'effet utile s'en dégageant, il y a lieu de procéder au présent
stade à l’analyse des moyens des parties relatifs à l’incidence de l’article 96 du RGPD. Ce
dernier constitue une disposition particulière visant les accords internationaux conclus par les
Etats membres avant l’entrée en vigueur du RGPD et dont ils entendent continuer l’exécution.
1. Moyens des parties
Selon les appelants, pour autant que la partie étatique se base sur l’article 96 du RGPD,
ce serait à elle de prouver la conformité de l’accord FATCA avec le droit de l’Union tel qu’il
était applicable avant le 24 mai 2016. En tout état de cause, le transfert de données dans le
contexte de l’accord FATCA constituerait sans aucun doute une violation du droit de l’Union
applicable avant le 24 mai 2016 et, plus particulièrement, de la directive 95/46.
Dans ce cadre, les appelants soulignent que dans deux lettres adressées en 2012 au
directeur général de la direction « Taxation and Customs Union » de la Commission
européenne, le groupe de travail « Article 29 », prédécesseur du Comité européen de la
protection des données, aurait émis de nombreux doutes quant à la compatibilité de l’accord
FATCA avec la directive 95/46. Par la suite, en 2017, le Comité européen de la protection des
données aurait lui-même invité les Etats membres à évaluer et, le cas échéant, à revoir leurs
accords internationaux – en particulier les accords nationaux correspondant à l’accord FATCA
– à la lumière des évolutions légales et jurisprudentielles dans le domaine du droit européen
relatif à la protection des données à caractère personnel, et en tenant compte de ses lignes
directrices 2/2020 relatives à l’article 46, paragraphe 2, point a), et paragraphe 3, point b), du
règlement (UE) 2016/679 pour les transferts de données à caractère personnel, adoptées le
15 décembre 2020, ci-après les « lignes directrices 2/2020 ».
Les appelants avancent ensuite plusieurs arguments pour démontrer que le transfert de
données à caractère personnel vers le fisc américain en vertu de l’accord FATCA ne serait pas
licite, du fait notamment de la violation de plusieurs dispositions de la directive 95/46 – à
supposer que celle-ci soit la norme de référence du fait de l’application de l’article 96 du
RGPD –, sinon des dispositions du RGPD lui-même.
De son côté, l’Etat rappelle que l’accord FATCA serait antérieur au 24 mai 2016, de
sorte qu’en vertu de l’article 96 du RGPD, ce serait le droit de l’Union applicable avant cette
date qu’il faudrait prendre en compte. L’Etat souligne aussi que l’article 96 du RGPD
prévoirait que les accords internationaux conclus restent en vigueur et estime qu’apprécier
14
l’accord FATCA à la lumière des dispositions du RGPD priverait l’article 96 du RGPD de
toute sa substance.
Le droit de l’Union applicable avant le 24 mai 2016 serait la directive 95/46 transposée
en droit national par la loi du 2 août 2002, de sorte que l’accord FATCA devrait être apprécié
au regard de cette loi.
2. Analyse de la Cour
La Cour rappelle qu’aux termes de l’article 96 du RGPD : « Les accords
internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou
à des organisations internationales qui ont été conclus par les États membres avant le
24 mai 2016 et qui respectent le droit de l’Union tel qu’il est applicable avant cette date
restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation ».
Par conséquent, il convient d’ores et déjà de rejeter l’argument de l’Etat selon lequel il
faudrait évaluer l’accord FATCA par rapport à la loi transposant la directive 95/46, soit la loi
du 2 août 2002. En tout état de cause, une telle évaluation n’aurait pas lieu d’être, puisqu’en
raison du principe de primauté du droit international sur le droit national admis en droit
luxembourgeois, en cas de conflit entre les dispositions d’un traité international et celles d’une
loi nationale, même postérieure, la norme internationale devrait prévaloir sur la norme
nationale. Par conséquent, dans l’hypothèse d’un conflit entre l’accord FATCA et la loi du
2 août 2002, ce serait l’accord FATCA qui prévaudrait.
La Cour note ensuite que les appelants ont formulé au dispositif de leur requête d’appel
deux questions préjudicielles portant sur l’article 96 du RGPD (regroupées sous la question
n° 2, d’après la numérotation figurant au dispositif de leur mémoire en réplique), sans que la
pertinence de ces questions ne fasse l’objet d’une quelconque démonstration au sein du corps
de la requête d’appel et du mémoire en réplique. Ces deux questions sont formulées comme
suit :
« Est-ce que l’article 96 du [RGPD], pris isolément ou lu en combinaison avec
l’article 4, alinéa 3 du Traité sur l’Union européenne et/ou l’article 351 du Traité sur le
fonctionnement de l’Union européenne, [doit] être interprété en ce sens que les Etats membres
ont l’obligation de déployer leurs meilleurs efforts afin de modifier, remplacer ou révoquer
les traités internationaux auxquels ils sont parties qui ne respectent pas les dispositions de ce
règlement ?
Dans l’affirmative, est-ce qu’un Etat membre qui en 2023 n’aurait pas déployé ses
meilleurs efforts afin de modifier, remplacer ou révoquer un traité international, auquel il est
partie, qui ne respecte pas les dispositions du [RGPD], peut invoquer l’article 96 de ce
règlement pour justifier un comportement incompatible avec ce règlement ? »
La Cour relève que si certes, selon l’arrêt CILFIT précité de la CJUE, « une juridiction
dont les décisions ne sont pas susceptibles d’un recours juridictionnel de droit interne est
tenue, lorsqu’une question de droit communautaire se pose devant elle, de déférer à son
obligation de saisine, à moins qu’elle n’ait constaté que la question soulevée n’est pas
pertinente (…) », il n’en reste pas moins que la Cour constate que les questions suggérées par
les appelants ne sont pas nécessaires à la solution du présent litige. En effet, la Cour rappelle
qu’elle est saisie dans le cadre d’un recours en annulation dirigé contre un acte administratif –
la décision du directeur du 22 mars 2021 –, ce qui implique, premièrement, qu’elle a à juger
un acte et non, comme le suggèrent les deux questions susmentionnées, le comportement de
l’Etat et, deuxièmement, qu’elle a à effectuer son analyse en se plaçant au moment de
15
l’adoption de l’acte, de sorte que le comportement de l’Etat en 2023 est a priori sans pertinence
aucune en l’espèce.
Par conséquent, il y a lieu de rejeter pour défaut de pertinence les deux questions
énoncées sous le n° 2 du dispositif du mémoire en réplique.
Les appelants ont formulé d’autres questions préjudicielles en relation avec l’article 96
du RGPD, mais celles-ci ne visent pas l’interprétation de l’article 96 lui-même. En effet, elles
font simplement référence audit article pour dire que s’il était applicable, alors il y aurait lieu
de répondre auxdites questions également au regard de certaines dispositions de la
directive 95/46. Ces questions ne sont dès lors pas non plus pertinentes dans le cadre du présent
examen.
La disposition de l’article 96 du RGPD constitue en substance une disposition
transitoire qui permet aux Etats membres de continuer à appliquer des accords internationaux
qui prévoient des transferts de données personnelles protégées vers des Etats tiers et qu’ils
avaient conclu avant le 24 mai 2016, date d’entrée en vigueur du RGPD, même si les modalités
convenues dans ces accords ne correspondent pas aux standards édictés par le RGPD et ce,
afin d’éviter que la continuation de l’exécution desdits accords ne se heurte à des exigences
nouvelles ou plus sévères du nouveau règlement communautaire. L’exemption du respect du
RGPD admise par cette disposition se trouve néanmoins conditionnée par le respect du « droit
de l’Union tel qu’il [était] applicable avant [le 24 mai 2016] », soit des standards applicables
avant le 24 mai 2016. En outre, cette exemption n’est appelée à perdurer que jusqu’à la
modification, le remplacement ou la révocation de ces accords internationaux antérieurs.
Cette notion renvoie nécessairement à la directive 95/46 en tant que norme de référence
dans le domaine de la protection des données à caractère personnel ayant précédé le RGPD,
puisque ce dernier l’a précisément abrogé avec effet au 25 mai 2018 à travers son article 94.
L’accord FATCA ayant été signé le 28 mars 2014 et approuvé par la loi du 24 juillet
2015, il a été conclu avant l’entrée en vigueur du RGPD et rentre partant dans le champ
d’application de l’article 96 du RGPD.
Par voie de conséquence, la légalité de la décision directoriale du 22 mars 2021 ayant
refusé d’arrêter les transferts de données personnelles fournies par les institutions financières
luxembourgeoises à travers l’échange automatique d’informations vers l’administration
fiscale des Etats-Unis en exécution de l’accord FATCA doit être examinée exclusivement par
rapport aux dispositions de la directive 95/46, maintenue en vigueur en tant que cadre de
référence dans cette mesure, aucune modification ou révocation de l’accord FATCA n’ayant
été invoquée en cause.
Il s’ensuit que tous les moyens et développements des parties basés sur les seules
dispositions de fond du RGPD doivent être écartés comme n’étant pas pertinents.
Toujours dans le cadre de son examen des différents moyens des parties suivant une
bonne administration de la justice et l’effet utile s’en dégageant, il convient de procéder dans
la suite à l’examen des moyens des parties liés aux articles 25 et 26 de la directive 95/46, au
vu du constat que l’échange automatique d’informations prévu par l’accord FATCA est
constitutif d’un transfert de données personnelles à destination d’un Etat tiers, de sorte à être
régi par ces dispositions particulières, inscrites au chapitre IV de la directive 95/46, intitulé
« transfert de données à caractère personnel vers des pays tiers ».
16
E. Quant à la violation alléguée des articles 25 et 26 de la directive 95/46
1. Moyens des parties
Selon les appelants, tant l’article 25, paragraphe 1, de la directive 95/46 que l’article 45
du RGPD auraient prévu qu’un transfert de données à caractère personnel hors de l’Espace
économique européen ne pourrait avoir lieu que pour autant que le pays de l’importateur des
données assurât un niveau de protection équivalent à celui prévu par l’Union européenne et ce
pour autant que la Commission européenne ait pris une décision d’adéquation relative à ce
pays. Or, une telle décision d’adéquation n’existerait pas pour les Etats-Unis et il ressortirait
de l’arrêt précité Schrems II de la CJUE que le niveau de protection offert par la réglementation
interne aux Etats-Unis ne répondrait pas aux exigences requises par le droit de l’Union.
Il reviendrait donc au responsable du traitement et au destinataire d’assurer, par des
garanties appropriées et des mesures effectives, le niveau de protection requis par le droit de
l’Union. Pour que l’ACD puisse transférer des données à caractère personnel au fisc américain,
elle aurait dû prévoir des garanties appropriées soit dans l’accord FATCA, soit dans « un autre
arrangement administratif » sous le contrôle de la CNPD. De telles garanties feraient défaut,
car l’accord FATCA se contenterait de renvoyer à quelques mesures prévues par la Convention
contre la double imposition de 1996 conclue entre les Etats-Unis d’Amérique et le
Grand-Duché de Luxembourg telle que modifiée par un protocole de 2009. Or, ces mesures
viseraient à circonscrire les finalités de l’usage des informations échangées et à assurer leur
confidentialité, mais seraient loin de représenter des garanties appropriées. Par exemple, elles
ne prévoiraient pas de garantie quant à la conservation des données (notamment une période
de conservation et un mécanisme de suppression et d’anonymisation), à l’exercice des droits
des personnes concernées (y compris le droit à un recours effectif), à la mise en place d’une
procédure en cas de violation des données et de mesures techniques ou organisationnelles, ou
encore à la possibilité d’un contrôle à l’encontre du destinataire.
En outre, pour les besoins de l’analyse de la situation au regard de la directive 95/46,
les appelants font remarquer qu’en vertu de l’article 26, paragraphe 2, de la directive 95/46 et
de l’article 19, paragraphe (3), de la loi du 2 août 2002, l’ACD aurait préalablement dû obtenir
l’autorisation de la CNPD, sur base d’une demande dûment motivée, pour effectuer les
transferts de données dans le cadre de l’accord FATCA, autorisation qui ne serait octroyée que
« lorsque le responsable du traitement offre des garanties suffisantes au regard de la
protection de la vie privée et des libertés et droits fondamentaux des personnes concernées,
ainsi qu’à l’exercice des droits correspondants ». Or, une telle autorisation n’aurait jamais été
délivrée par la CNPD. Cette dernière n’aurait d’ailleurs même pas été consultée lors de la
négociation de l’accord FATCA et n’aurait ainsi pu à aucun moment « valablement se
prononcer » sur la compatibilité de l’accord FATCA avec le droit de la protection des données
tel qu’applicable au Luxembourg avant le 24 mai 2016.
Faute de pouvoir justifier le transfert des données litigieux sur la base de l’article 26,
paragraphe (2), de la directive 95/46, l’Etat aurait encore uniquement pu tenter d’invoquer,
parmi les situations exceptionnelles au sens de l’article 26, paragraphe 1, de la directive 95/46,
celle du transfert « nécessaire pour des motifs importants d’intérêt public », mais comme le
Comité européen de la protection des données l’aurait clarifié dans ses lignes directrices
2/2020, le recours à cette exception ne se prêterait pas à des transferts de données à grande
échelle, tels que ceux prévus par l’accord FATCA. En outre, selon les appelants, la dérogation
relative à l’existence d’un « intérêt public » contiendrait une exigence de réciprocité, laquelle
devrait de surcroît être équivalente et effective, mais qui, en l’espèce, ferait défaut, puisque
même si l’accord FATCA prévoirait formellement une réciprocité dans les obligations
d’échange d’informations, cet accord ne bénéficierait qu’aux Etats-Unis d’Amérique. Or,
17
faute de réciprocité dans les faits – élément qui aurait notamment été critiqué dans une lettre
envoyée en décembre 2019 par la présidence finnoise du Conseil de l’Union européenne au
ministre des Finances américain, et qui aurait été reconnu le 7 avril 2022 par le commissaire à
la tête de l’administration fiscale américaine, lors d’une audition devant le Sénat américain –,
l’accord FATCA ne bénéficierait qu’aux Etats-Unis, de sorte que le critère de l’intérêt public
ne serait pas rempli en l’espèce.
En conclusion, le transfert de données litigieux n’aurait pas de base légale au regard
des articles 25 et 26 de la directive 95/46.
En cas de doute à ce sujet, les appelants demandent à la Cour de poser à la CJUE la
question préjudicielle suivante :
« Est-ce qu’une législation nationale approuvant un accord international entre un Etat
membre et les Etats-Unis d’Amérique dans le cadre des dispositions des derniers [sic]
concernant l’échange d’informations en vertu du "Foreign Account Tax Compliance Act"
américain, telle que la loi luxembourgeoise du 24 juillet 2015 relative à FATCA, en vertu
duquel l’autorité fiscale de cet Etat membre est obligée de communiquer automatiquement des
données à caractère personnel de personnes par rapport à des comptes financiers qui sont
détenus directement ou indirectement par des citoyens américains et des personnes résidant
aux Etats-Unis auprès d’une institution financière dans cet Etat membre, peut fonder un
"intérêt public" au sens de l’article 49, paragraphe 1er, d) du [RGPD], voire de l’article 26,
paragraphe 1er, d) de la [directive 95/46] (compte tenu de l’éventuelle application de
l’article 96 du [RGPD]), étant entendu que les Etats-Unis ne garantissent pas de réciprocité
effective et que l’autorité fiscale américaine ne fournit pas à l’autorité fiscale de l’Etat
membre en question les mêmes types de données par rapport à des comptes détenus par les
citoyens et résidents de cet Etat membre auprès des institutions financières aux Etats-Unis ? »
De son côté, l’Etat concède que certains principes directeurs applicables en matière de
protection des données, comme la licéité du traitement, la légitimité, la proportionnalité, la
finalité et les droits de recours, seraient prévus tant dans la loi du 2 août 2002 que dans le
RGPD, mais avance que la portée de certains articles ne serait pas exactement la même et que
des obligations telles que celle d’effectuer une analyse d’impact, instaurée aux articles 35 et
suivants du RGPD, n’existeraient pas, que ce soit dans la directive 95/46 ou dans la loi du
2 août 2002. Par ailleurs, si ces deux dernières dispositions exigeraient un niveau de protection
adéquat, les règles relatives aux décisions d’adéquation et celles applicables aux transferts de
données avec les pays tiers énoncées dans le RGPD diffèreraient de celles prévues à
l’article 18, paragraphe (3), de la loi du 2 août 2002. Dans ce contexte, l’Etat insiste sur le fait
que, contrairement à ce qu’affirmeraient les appelants, l’article 26, paragraphe 1, sous d), de
la directive 95/46, transposé par l’article 19 de la loi du 2 août 2002, ne prévoirait aucune
réciprocité. Même à supposer que le caractère réciproque du traitement soit pertinent, ce
caractère ressortirait de l’article 3, paragraphe (1), de la loi du 24 juillet 2015, visant le
traitement des informations à communiquer aux Etats-Unis d’Amérique ou reçues de leur part.
En outre, la CNPD aurait joué un rôle beaucoup plus actif sous l’empire de la loi du 2 août
2002.
L’Etat argue encore que la loi du 2 août 2002 ne contiendrait pas les obligations
prévues par l’article 46, paragraphes 2 et 3, du RGPD au sujet du transfert de données vers des
pays tiers et l’argumentation des appelants fondée sur l’invalidation par la CJUE du « privacy
shield », dans l’arrêt précité Schrems II, ne serait pas pertinente, puisque la présente affaire ne
concernerait pas l’exécution de clauses contractuelles vers des entreprises américaines.
18
L’Etat souligne encore quant à l’intérêt public visé à l’article 26, paragraphe 1, sous
d), de la directive 95/46, que la CJUE aurait reconnu la lutte contre la fraude et l’évasion
fiscales internationales comme objectif d’intérêt général reconnu par l’Union européenne.
Affirmant qu’en première instance, les questions préjudicielles suggérées par les
appelants auraient été uniquement axées sur le RGPD, de sorte qu’en appel, en ajoutant les
dispositions de la directive 95/46 qu’ils estimeraient similaires, les appelants auraient
« changé leur fusil d’épaule », l’Etat donne encore à considérer que « ceci [ne serait]
contextuellement pas possible », du fait des divergences entre le RGPD et la directive 95/46.
2. Analyse de la Cour
L’article 25 de la directive 95/46 dispose dans ses paragraphes 1 et 2 comme suit :
« 1. Les États membres prévoient que le transfert vers un pays tiers de données à
caractère personnel faisant l'objet d’un traitement, ou destinées à faire l’objet d'un traitement
après leur transfert, ne peut avoir lieu que si, sous réserve du respect des dispositions
nationales prises en application des autres dispositions de la présente directive, le pays tiers
en question assure un niveau de protection adéquat.
2. Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au
regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de
données; en particulier, sont prises en considération la nature des données, la finalité et la
durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles
de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles
professionnelles et les mesures de sécurité qui y sont respectées ».
Ce cadre doit être complété par les dispositions des paragraphes (2) à (4) de l’article 18
de la loi du 2 août 2002, lesquels sont de la teneur suivante :
« (2) Le caractère adéquat du niveau de protection offert par un pays tiers doit être
apprécié par le responsable du traitement au regard de toutes les circonstances relatives à un
transfert ou une catégorie de transferts de données, notamment la nature des données, la
finalité et la durée du ou des traitements envisagés, le pays d’origine et le pays de destination
finale, les règles de droit générales et sectorielles en vigueur dans le pays en cause, ainsi que
les règles professionnelles et les mesures de sécurité qui y sont respectées.
(3) En cas de doute, le responsable du traitement informe sans délai la Commission
nationale qui apprécie si un pays tiers assure un niveau de protection adéquat. La Commission
nationale notifie conformément à l’article 20 à la Commission européenne les cas dans
lesquels elle estime que le pays tiers n’assure pas un niveau de protection adéquat.
(4) Lorsque la Commission européenne ou la Commission nationale constate qu’un
pays tiers ne dispose pas d’un niveau de protection adéquat, tout transfert de données vers ce
pays est prohibé ».
Au regard de ces dispositions, les appelants font pertinemment valoir que l’ACD, en
sa qualité de responsable du traitement des données personnelles recueillies de la part des
institutions financières luxembourgeoises en exécution de l’accord FATCA lui conférée par
l’article 3, paragraphe (3), de la loi du 24 juillet 2015, était tenue d’examiner la question du
caractère adéquat du niveau de protection offert par les Etats-Unis, au regard des critères
prévus par l’article 25, paragraphe 2, de la directive 95/46 et repris par l’article 18,
19
paragraphe (2), de la loi du 2 août 2002, avant d’entamer sa mise en œuvre à travers
l’exécution du premier transfert des données recueillies à l’administration fiscale américaine.
Or, il ressort d’une publication figurant dans le Mémorial A n° 156 du 10 août 2015
(p. 3796) que « [l]es conditions requises pour l’entrée en vigueur de l’Accord et échanges de
notes désignés ci-dessus [échange de notes relatives à l’accord FATCA, signées les 31 mars
et 1er avril 2015] ayant été remplies le 29 juillet 2015, lesdits Actes sont entrés en vigueur à
l’égard des deux Parties contractantes le 29 juillet 2015, conformément à l’article 10 de
l’Accord. ».
Il semblerait donc que dès le 29 juillet 2015, l’Etat ait disposé d’éléments suffisants
pour qu’il conclue à l’existence, aux Etats-Unis d’Amérique, de garanties suffisantes pour que
les données personnelles échangées demeurent confidentielles, ne soient utilisées que pour des
fins fiscales et soient traitées par le biais d’infrastructures assurant une telle confidentialité.
Or, en l’espèce, l’Etat ne fournit aucun élément quant à son analyse faite à l’époque à cet
égard.
C’est encore de manière pertinente que les appelants arguent que suite aux conclusions
de la CJUE dans son arrêt Schrems II concernant la protection accordée aux données
personnelles par le système juridique américain, l’ACD aurait dû douter de la réalité d’une
protection adéquate, en conformité avec l’article 25, paragraphe 2, de la directive 95/46,
accordée aux données personnelles de personnes physiques communiquées en exécution de
l’accord FATCA. Par conséquent, elle aurait dû saisir la CNPD de la question de savoir si les
Etats-Unis pouvaient encore être considérés comme un pays tiers assurant un niveau de
protection adéquat. Or, il ne se dégage d’aucun élément du dossier - et l’Etat ne le soutient pas
- que l’ACD se serait conformée à cette obligation légale de saisine de la CNPD, étant précisé
que cette obligation ne saurait être écartée comme étant prévue par une simple loi nationale
qui ne saurait affecter l’exécution d’une convention internationale au vu de la prévision de ces
obligations par les articles 25 et 28 de la directive 95/46, ce dernier article définissant les
pouvoirs dont une autorité de contrôle nationale doit nécessairement être munie.
Afin de contrer cette conclusion a priori d’un défaut de respect de la directive 95/46 et
de la loi du 2 août 2002 qui pourrait affecter la légalité de la décision directoriale du 22 mars
2021, l’Etat invoque l’article 26, paragraphe 1, point d), de la directive 95/46 qui est de la
teneur suivante :
« 1. Par dérogation à l'article 25 et sous réserve de dispositions contraires de leur
droit national régissant des cas particuliers, les États membres prévoient qu’un transfert de
données à caractère personnel vers un pays tiers n’assurant pas un niveau de protection
adéquat au sens de l’article 25 paragraphe 2 peut être effectué, à condition que: (…)
d) le transfert soit nécessaire ou rendu juridiquement obligatoire pour la sauvegarde
d'un intérêt public important, ou pour la constatation, l’exercice ou la défense d’un droit en
justice ».
L’article 19, paragraphe (1), point d), de la loi du 2 août 2002 reprend exactement le
même libellé.
L’article 26, paragraphe 1, point d), de la directive 95/46 autorise partant les Etats
membres à prévoir ou autoriser des transferts de données personnelles vers un pays tiers alors
même que le système juridique de ce dernier n’assure pas un niveau de protection adéquat,
notamment en cas de nécessité pour l’Etat membre concerné de préserver un « intérêt public
important ».
20
Cette disposition doit être comprise comme accordant aux Etats membres une certaine
discrétion quant au contenu de la notion de l’« intérêt public important » qu’ils entendent
sauvegarder par le biais de transferts de données personnelles vers un pays tiers ne garantissant
pas un niveau de protection adéquat, étant donné que les intérêts méritant d’être sauvegardés
ne sont pas nécessairement entièrement les mêmes pour tous les Etats membres.
D’une manière générale, l’Etat fait valoir à juste titre que la CJUE qualifie la lutte
contre la planification fiscale agressive et la prévention des risques d’évasion et de fraude
fiscales comme objectifs d’intérêt général reconnus par l’Union qui permettent des limitations
à l’exercice de droits garantis par la Charte des droits fondamentaux de l’Union européenne
(cf. CJUE 8 décembre 2022, aff. C-694/20, Orde van Vlaamse Balies e.a. ; CJUE 29 juillet
2024, aff. C-623/22, Belgian Association of Tax Lawyers).
Or, ainsi qu’il se dégage du préambule de l’accord FATCA, les échanges automatiques
de renseignements en vertu de ses dispositions s’insèrent dans cette finalité d’améliorer le
respect des lois fiscales, finalité que le Luxembourg déclare soutenir en signant cet accord, et
la coordination internationale des obligations de déclarations portant sur des avoirs financiers
à des fins fiscales.
Il s’ensuit que l’exécution de l’accord FATCA est a priori susceptible d’être prévue
pour la sauvegarde d’un intérêt public important.
Les appelants contestent cependant cette analyse en se référant d’abord aux lignes
directrices 2/2020 du Comité européen de la protection des données et à l’analyse y faite
suivant laquelle les dispositions dérogatoires devraient être interprétées de manière restrictive
et concerneraient principalement les activités de traitement occasionnelles et non répétitives,
mais ne sauraient justifier des transferts de données à grande échelle, tels que ceux prévus par
l’accord FATCA.
Or, une telle restriction ne se dégage ni du libellé de l’article 26, paragraphe 1, point d),
de la directive 95/46, ni des considérants y relatifs de la directive 95/46. Si ledit Comité se
voit certes reconnaître un certain rôle en vue de l’application uniforme déjà de la directive
95/46 et ensuite du RGPD par tous les Etats membres, ses analyses faites dans des lignes
directrices ne bénéficient d’aucun effet contraignant.
Toujours dans le contexte de l’interprétation de la notion d’ « intérêt public
important » contenue dans l’article 26, paragraphe 1, point d), de la directive 95/46, les
appelants mettent ensuite en avant l’existence d’une exigence de réciprocité équivalente et
effective dans les obligations d’échange d’informations, qui ferait défaut, puisque même si
l’accord FATCA prévoyait formellement une réciprocité, cet accord ne bénéficierait qu’aux
Etats-Unis d’Amérique.
Il est certes vrai que les documents invoqués à l’appui de cet argument par les
appelants, dont notamment une étude publiée en 2018 par le Département thématique des
droits des citoyens et des affaires constitutionnelles du Parlement européen, une lettre du
3 décembre 2019 adressée à l’administration fiscale américaine par le ministre des Finances
finlandais au nom des Etats membres de l’Union européenne, sous la présidence finnoise du
Conseil de l’Union européenne, et un document publié par le Forum mondial sur la
transparence et l’échange de renseignements à des fins fiscales de l’OCDE, intitulé « Échange
Automatique de Renseignements (EAR) : statut des engagements » et à jour au 23 avril 2024,
fournissent un certain faisceau d’indices concernant l’absence d’une réciprocité effective dans
la mise en œuvre de l’accord FATCA, la réciprocité semblant se cantonner à un niveau
21
théorique, à travers la prise d’engagements politiques de la part des Etats-Unis d’Amérique
qui doivent encore se traduire par l’adoption de normes juridiquement contraignantes.
Néanmoins, ici encore, le constat s’impose qu’une telle exigence d’une réciprocité
équivalente et effective ne se dégage ni du libellé de l’article 26, paragraphe 1, point d), de la
directive 95/46, ni des considérants y relatifs de la directive 95/46. Si la prétention en
substance que le transfert des données personnelles d’ordre financier de nationaux américains,
collectées par les institutions financières européennes, vers l’administration fiscale américaine
en vertu d’accords FATCA conclus par les Etats membres de l’Union européenne sous un
régime dérogatoire à la directive 95/46 ou au RGPD ait comme contrepartie un transfert
équivalent des mêmes données, collectées auprès d’institutions financières américaines,
concernant des ressortissants ou résidents des Etats membres de la part de l’administration
fiscale américaine vers les autorités fiscales des Etats membres correspond certes à une logique
de coopération équivalente en vue de la lutte commune contre l’évasion fiscale, cette question
de réciprocité se situe à un niveau politique, voire de droit international public, mais non pas
au niveau de l’interprétation d’une réglementation de droit communautaire.
Il s’ajoute qu’au vu de la nécessaire discrétion accordée aux Etats membres quant au
contenu de la notion de l’« intérêt public important » qu’ils entendent sauvegarder par le biais
de transferts de données personnelles vers un pays tiers ne garantissant pas un niveau de
protection adéquat, il faut admettre qu’au regard de l’importance du secteur financier
luxembourgeois pour l’économie et les finances publiques nationales, même en l’absence d’un
échange effectif et équivalent de données d’ordre financier fourni par l’administration fiscale
américaine, la finalité, évoquée en son principe dans les documents invoqués par les appelants
et visés ci-avant, de garantir aux institutions financières luxembourgeoises, obligées par cette
loi américaine de fournir des données à caractère personnel de leurs clients, la sécurité
juridique dans la mise en œuvre du régime FATCA et de prévenir l’application à leur égard
de la sanction de la retenue à la source de 30% prévue par la législation américaine à l’égard
de tout paiement à destination d’une institution financière étrangère qui ne livrerait pas ces
données, doit être considérée comme correspondant à un « intérêt public important » au sens
de l’article 26, paragraphe 1, point d), de la directive 95/46.
Au regard de ces développements, la Cour considère que l’exécution de l’accord
FATCA et de la loi du 24 juillet 2015 par l’ACD se trouve légitimée par la disposition
dérogatoire de l’article 26, paragraphe 1, point d), de la directive 95/46, bien que le transfert
de données personnelles d’ordre financier de nationaux américains collectées auprès
d’institutions financières nationales vers l’administration fiscale américaine soit exécuté sans
la garantie que les Etats-Unis assurent aux données personnelles reçues un niveau de
protection adéquat, au sens de l’article 25, paragraphe 1, de la directive 95/46. Les moyens en
sens contraire des appelants doivent partant être rejetés.
Au vu de la dispense du respect des principes et des règles de fond prévus par la
directive 95/46 découlant de cette dérogation, il n’y a plus lieu d’examiner les moyens
afférents des appelants.
La Cour considère encore que même si l’article 267, alinéa (3), TFUE pose le principe
de l’obligation pour une juridiction de dernier ressort de saisir la CJUE à titre préjudiciel d’une
question d’interprétation du droit de l’Union soulevée devant elle, elle est en droit d’admettre,
en application des principes retenus dans les arrêts CILFIT et CILFIT II, que l’analyse ci-avant
lui permet de conclure sans doute raisonnable à l’application de l’article 26, paragraphe 1,
point d), de la directive 95/46 en l’espèce, de sorte à ne pas être tenue de demander à la CJUE
de statuer à titre préjudiciel sur cette question. Il y a partant lieu de rejeter les questions
préjudicielles proposées par les appelants.
22
F. Quant à la violation alléguée de la Constitution
La Cour constate qu’au dispositif de leur requête d’appel et de leur mémoire en
réplique, les appelants lui demandent de saisir la Cour constitutionnelle de la question
suivante :
« Est-ce que le traitement de données à caractère personnel en vertu de l’Accord
FATCA viole-t-il [sic] l’article 11(3) de la Constitution (dans sa version du 1er juillet 2023 et
dans sa disposition équivalente en vigueur après cette date), notamment compte tenu de son
caractère disproportionné ? ».
Les appelants ne développent pas de moyen au soutien de cette demande, se contentant
d’alléguer que le tribunal aurait refusé à tort de retenir l’existence d’une violation de
l’article 11, paragraphe (3), de la Constitution dans sa numérotation antérieure au
1er juillet 2023 et de la disposition correspondante de la Constitution révisée.
La Cour constate que le tribunal a indiqué qu’il « ne saurait prendre position quant à
un tel moyen simplement suggéré, les parties demanderesses restant en effet en défaut de
préciser en quoi ledit article aurait été violé en l’espèce, alors que leur argumentation
juridique se focalise, dans leur recours, sur des violations du RGPD, respectivement, dans
leur mémoire en réplique sur le RGPD, respectivement les articles correspondants de la
directive 95/46/CE, ainsi que de la loi du 2 août 2022, sans que lesdits écrits contiennent une
quelconque explication circonstanciée concernant une éventuelle violation de la prédite
disposition constitutionnelle, étant encore rappelé à cet égard qu’il n’appartient pas au
tribunal de suppléer la carence des parties demanderesses dans la présentation de leurs
moyens et de rechercher lui-même les moyens juridiques qui auraient pu se trouver à la base
de leurs conclusions ».
Or, les appelants n’apportent pas d’éléments pour contredire cette analyse. De plus, il
convient de rappeler le principe de primauté du droit international, en vertu duquel un traité
international – en l’espèce, l’accord FATCA –, incorporé dans la législation interne par une
loi approbative – en l’espèce, la loi du 24 juillet 2015 – est une loi d’essence supérieure ayant
une origine plus haute que la volonté d’un organe interne (Cour adm., 11 décembre 1997,
nos 9805C et 10191C, Pas. adm. 2023, V° Lois et règlements, n° 80 et les autres références y
citées). Par voie de conséquence, en cas de conflit entre les dispositions d’un traité
international et celles d’une loi nationale, même postérieure et fût-elle la Constitution, la loi
internationale doit prévaloir sur la loi nationale. Autrement dit, compte tenu du principe de
primauté du droit international, la question de constitutionnalité suggérée par les appelants
n’est de toute façon pas pertinente pour trancher le présent litige.
Il s’ensuit que la Cour n’est pas tenue de poser à la Cour constitutionnelle ladite
question préjudicielle.
G. Conclusion
Il découle de l’ensemble des développements qui précèdent que c’est à bon droit que
le directeur a rejeté dans sa décision déférée du 22 mars 2021 la demande des appelants de
procéder à l’arrêt immédiat des échanges d’informations entre l’ACD et le fisc américain ayant
lieu chaque année sur base de l’accord FATCA. C’est partant encore à bon droit que les
premiers juges ont rejeté le recours contentieux des appelants contre cette décision comme
n’étant pas justifié, quoique le jugement a quo soit à confirmer pour des motifs différents.
23
Les appelants demandent encore l’allocation d’une indemnité de procédure de
5.000 euros pour la première instance, par réformation du jugement entrepris, et d’une
indemnité de procédure de 5.000 euros pour l’instance d’appel en se prévalant de la contrariété
manifeste de la décision directoriale du 22 mars 2021 au RGPD et à la Constitution
luxembourgeoise.
Au vu notamment de l’analyse ci-avant des moyens des appelants et de la solution au
fond, il n’appert pas des éléments du dossier en quoi il serait inéquitable de laisser à charge
des appelants les frais non compris dans les dépens, de sorte que cette double demande est à
rejeter en son intégralité.
Par voie de conséquence, l’appel sous examen encourt le rejet.
PAR CES MOTIFS
la Cour administrative, statuant à l’égard de toutes les parties en cause,
reçoit l’appel en la forme,
au fond, le rejette comme n’étant pas fondé,
partant, confirme le jugement entrepris, quoique pour des motifs partiellement
différents,
rejette la demande des appelants tendant à l’allocation d’une indemnité de procédure
de 5.000 euros pour la première instance et de 5.000 euros pour l’instance d’appel,
condamne les appelants aux dépens de l’instance d’appel.
Ainsi délibéré et jugé par :
Henri CAMPILL, vice-président,
Serge SCHROEDER, premier conseiller,
Annick BRAUN, conseiller,
et lu par le vice-président à l’audience publique du 12 décembre 2024 au local ordinaire
des audiences de la Cour, en présence du greffier de la Cour Jean-Nicolas SCHINTGEN.
s. SCHINTGEN s. CAMPILL
Reproduction certifiée conforme à l’original
Luxembourg, le 13 décembre 2024
Le greffier de la Cour administrative
24