Dossier d’analyse de la Conformité
relative à la PrOtection
des Données à caractère personnel
(DC-POD)
(modèle v8 du DC-POD)
Échanges automatiques d'information (EAI) version 2
Échanges internationaux
1
link to page 2 link to page 2
.1. Contexte
.1.1. Vue d'ensemble
.1.1.1. Présentation du traitement
.1.1.1.1. Contexte du traitement
Le projet EAI (échange automatique d'informations) s'inscrit dans le cadre du renforcement de la coopération
administrative entre États.
Il permet la réalisation d'échanges automatisés d'informations, notamment à caractère financier, entre
administrations fiscales, dans l'objectif de promouvoir la transparence internationale et de mieux lutter contre la
fraude et l'évasion fiscales.
Les instruments relatifs aux échanges automatiques d'informations et leur prise en compte dans
l’application EAI se détaillent comme suit :
Échanges
Échanges
comportant
réalisés dans
Partenaires/dispositifs
Nature des données échangées
des données
l’application
à caractère
EAI
personnel
Informations relatives aux comptes financiers (comptes de dépôts,
comptes conservateurs, contrat d'assurance-vie et parts d'entités
d'investissement) détenus par des contribuables américains :
•
numéro de compte
Accord bilatéral relatif à
•
solde ou valeur portée sur le compte
l'échange
automatique
d'informations financières
•
montant des revenus perçus sur le compte (dividendes,
OUI
OUI
intérêt, de cession, etc.)
avec les États-Unis (dit
« accord FATCA »)
•
identité, adresse, résidence fiscale, NIF du titulaire du
compte et, le cas échéant, de la personne qui en détient
le contrôle.
Dispositif limité aux échanges avec les États-Unis.
Les limites techniques et fonctionnelles de l'application EAI actuelle
1 amènent à une refonte de cette application,
portée par le projet « EAI V2 ».
Cette refonte doit permettre d'une part, d'assurer de manière pérenne, outre le respect des engagements
1 La collecte et le sto
des informations d'origine DGFiP ont
été décrits dans le dossier déposé à la CNIL le 17 avril
2015 (n° DSI 2580) et s'agissant de la collecte des données déposées par les institutions financières dans le dossier
modificatif TéléTD qui a été déposé à la CNIL le 4 mars 2015 (n° DSI 2578). La validation et le suivi des flux d'informations
(soit issus d'un envoi d'un autre État membre soit issus des institutions financières) ont également été décrit dans le dossier
adressé à la CNIL le 17 avril (n° DSI 2580) concernant la collecte des informations.
2
internationaux, une gestion des flux d'échanges automatisés (limitant au maximum les interventions manuelles
des différents acteurs), d'autre part, de répondre aux besoins métiers, notamment en termes de fiabilisation des
données échangées.
Le stockage des données échangées et leur suivi s'effectuera dans un silo de données dédié.
EAI V2 doit ainsi permettre :
•
la collecte des fichiers produits par les institutions financières françaises en application des instruments
d'échanges automatiques d'informations relatives aux comptes financiers : accords bilatéraux UE/pays
tiers, accord FATCA, CRS MCAA, visant à mettre en œuvre la norme commune de déclaration
(
Common Reporting Standard, CRS) de l'OCDE, dans le modèle de droit interne de collecte et de
déclaration des informations ;
•
l'envoi de tous ces fichiers collectés ou confectionnés aux pays partenaires (flux sortants) ;
•
la réception de tous les fichiers en provenance des pays partenaires selon les différentes conventions
(flux entrants) ;
•
le stockage de toutes les données échangées dans un silo ;
•
le transfert en vue de leur fiabilisation des données des personnes physiques et morales ;
•
la consultation de données pour l’assistance aux institutions financières et dans le cadre des échanges
entre États partenaires en cas d'anomalies de transfert ;
•
le suivi des flux et des affaires (déclarations correctives, surveillance des dépôts) et l'automatisation du
retraitement des fichiers ;
•
les statistiques et retours (feedbacks) réglementaires et internes ;
•
la gestion dynamique de la table des pays partenaires des conventions ;
•
EAI V2 devra également être en mesure d'intégrer de nouveaux types d'échanges, particulièrement si la nature,
la volumétrie ou les modalités techniques des échanges le justifient. Ces nouveaux échanges feront alors l’objet
d’une actualisation du dossier.
1.1.1.1
Finalités du traitement
Les échanges réalisés dans le cadre de l'EAI V2 ne pourront pas être utilisées à d'autres fins que fiscales.
La finalité du traitement est en effet de lutter contre la fraude et l'évasion fiscales en améliorant le respect des
obligations fiscales à l’échelle internationale et en assurant l'imposition effective des revenus perçus et du
patrimoine détenus par les contribuables dans un pays autre que celui de leur résidence fiscale.
Les traitements de l'application EAI V2 visent donc, d'une part, à permettre à la France de respecter ses
obligations internationales en matière d'échanges automatiques et, d'autre part, à conserver les données issues
de l'échange automatique en provenance de pays tiers en vue de leur transmission à d’autres applicatifs pour
une exploitation par les services de contrôle et de gestion de la DGFiP :
•
CFVR : pour effectuer des requêtes de type analyse-risque,
•
PILAT- Vue 360, via SRE-SZU (après fiabilisation des données issues d’EAI par SRE-SZU) : pour
obtenir une information sur l'existence des comptes à l'étranger ou de revenus étrangers,
•
SRE-SZU : les données issues d’EAI seront transmises à SRE-SZU en vue de leur fiabilisation.
Les applications concernées feront l’objet en temps utile d’une démarche de conformité sur ce point.
.1.1.1.2.1 Les données échangées dans le cadre de l'EAI V2 :
3
Ne sont abordées ici que les protocoles d’échanges comportant des données à caractère personnel.
•
L
es échanges du
For
eign account tax compliant act (FATCA)
•
L
es fondements juridiques
Il s'agit de l'accord entre le Gouvernement de la République française et le Gouvernement des États-Unis
d'Amérique en vue d'améliorer le respect des obligations fiscales à l'échelle internationale et de mettre en
œuvre la loi relative au respect des obligations fiscales concernant les comptes étrangers, signé à Paris le 14
novembre 2013, approuvé par la loi n°2014-1098 du 29 septembre 2014 et publié par le décret n°2015-1 du 1er
janvier 2015.
Cet accord fait suite au
Hire Act (Hiring incentives to restore employment act), loi adoptée le 18 mars 2010 par
les États-Unis, qui a pour objet de renforcer la lutte contre la fraude et l'évasion fiscales internationales en
imposant aux établissements financiers du monde entier de transmettre automatiquement aux États-Unis des
informations sur les revenus et les actifs des contribuables américains. Il permet d'une part aux institutions
financières de ne pas déclarer ces informations directement à l'administration américaine, comme le prévoit la
loi FATCA, mais de passer par l'intermédiaire de l'administration française, et d'autre part à celle-ci de recevoir
des informations sur les comptes financiers détenus auprès d'institutions financières américaines par des
résidents fiscaux français.
L’article 1649 AC du code général des impôts (CGI), introduit par la loi n° 2013-672 du 26 juillet 2013 relative à
la séparation et à la régulation des activités bancaires, a créé une obligation déclarative spécifique aux
institutions financières.
Dans le cadre des échanges portés par EAI en version 1, le cadre juridique s’appliquant aux transferts FATCA a
fait l’objet d’un arrêt du Conseil d’État qui a retenu l'application du RGPD (requête n° 424216, association des
Américains accidentels).
•
L
a nature des informations échangées
Les comptes à déclarer sont :
- à compter de 2015 : les nouveaux comptes ouverts à compter du 1er juillet 2014 et les comptes de valeur
élevée (dont le solde est supérieur à 1 million de $) préexistants au 30 juin 2014 pour les personnes physiques
s'ils ont été identifiés comme étant déclarables avant le 31 décembre 2014 (les institutions financières ont
jusqu'au 30 juin 2015 pour examiner ces comptes) ;
- à compter de 2016 : l'ensemble des comptes de valeur élevée préexistants au 30 juin 2014 pour les personnes
physiques (dont le solde est supérieur à 1 million de $) ;
- à compter de 2017 : les comptes d'entités préexistants au 30 juin 2014 et les comptes de faible valeur (solde
inférieur à 1 million de $) préexistants au 30 juin 2014 pour les personnes physiques.
Les renseignements à transmettre à l'Internal revenue service (IRS) sont, pour chaque compte déclaré à
la DGFiP par les institutions financières :
•
le nom, l'adresse, la date de naissance (dans le cas d'une personne physique) et le numéro
d'identification fiscal américain de chaque personne qui est titulaire du compte ou qui détient le contrôle
d'une entité titulaire du compte ;
•
le numéro du compte ;
•
le nom et le numéro d'identification de l'institution financière déclarante française ;
•
le solde ou la valeur portée sur le compte à la fin de l'année civile considérée ;
•
le montant des intérêts versés ou crédités sur le compte ;
•
le montant des dividendes versés ou crédités sur le compte ;
•
le montant des autres revenus produits par les actifs détenus sur le compte ;
4
link to page 5 link to page 5
•
le montant du produit brut de la vente ou du rachat d'un bien versé ou crédité sur le compte.
Les renseignements que les États-Unis transmettent annuellement , pour chaque compte déclarable par
les institutions financières américaines2 (points visés à l’alinéa b du paragraphe 2 de l’article 2 de
l’accord précité) :
•
le nom, l'adresse, la date de naissance et le numéro d'identification fiscal français de chaque personne
qui est titulaire du compte ou qui détient le contrôle d'une entité titulaire du compte ;
•
le numéro du compte ;
•
le nom et le numéro d'identification de l'institution financière déclarante américaine ;
•
le montant brut des intérêts versés sur un compte de dépôt ;
•
le montant brut des dividendes de source américaine versés ou crédités sur les compte ;
•
le montant brut des autres revenus de source américaine versés ou crédités sur le compte s'ils ont fait
l'objet d'une déclaration en application des obligations fiscales américaines ;
•
le numéro d'identification fiscal américain de chaque personne qui est titulaire du compte ou qui détient
le contrôle d'une entité titulaire du compte ;
•
le numéro du compte ;
•
le nom et le numéro d'identification de l'institution financière déclarante française ;
•
le solde ou la valeur portée sur le compte à la fin de l'année civile considérée.
◦ L e calendrier des échanges
Les institutions financières déclarantes doivent déclarer chaque année à la DGFiP les données FATCA via Télé-
TD. Elles peuvent également fournir, au besoin, des déclarations rectificatives à la suite de leur déclaration
initiale.
Pour les déclarations d'une année N sur les données relatives à l'année fiscale N-1, les institutions financières
transmettront les données qu'elles auront collectées à compter de mai N et jusqu’au 31 juillet N pour la fin de
période de déclaration. Elles pourront en outre transmettre des données rectificatives ou des déclarations
initiales qui seront transmises à l'IRS.
La DGFiP doit ensuite
transmettre à l'IRS les informations collectées dans les 9 mois qui suivent la fin de
l’année civile à laquelle ces informations se rattachent, soit avant le 30 septembre de chaque année pour les
informations relatives à l'exercice fiscal précédent. Pour les données rectificatives, il peut être procédé a minima
à un second envoi à l'IRS avant le 31 décembre.
•
◦
2 L'expression compte déclarable français est définie par l'accord dans son article 1er comme « un compte financier
auprès d'une institution financière déclarante américaine qui remplit les conditions suivantes : (i) dans le cas d'un
compte de dépôt, le titulaire du compte est une personne physique qui réside en France et qui perçoit plus de 10 $
d'intérêts sur ce compte chaque année civile ou (ii) dans le cas d'un compte financier autre qu'un compte de dépôt,
le
titulaire du compte est un résident de France, y compris une entité qui certifie qu'elle est résidente de France (à des fins
fiscales), auquel un revenu de source américaine soumis à une obligation de déclaration en vertu du chapitre 3 du sous-
titre A ou du chapitre 61 du sous-titre F de l'
Internal Revenue Code (IRC) des États-Unis est versé ou porté à son crédit.
5
◦
.1.1.1.2.2 Le respect par la France de ses obligations internationales en matière d’échanges
automatiques d'informations
L'article 1649 AC du CGI requiert des institutions financières qu'elles collectent et déclarent les informations
mentionnées dans les conventions conclues par la France permettant un échange automatique d'informations à
des fins fiscales. Le décret n° 2016-1683 du 5 décembre 2016 précise cet article et notamment les modalités
déclaratives. Pour l'application de ce décret, l’arrêté du 19 avril 2019 modifiant l'arrêté du 9 décembre 2016
détaille la liste des États et territoires auxquels la France transmet des informations.
.1.1.1.2.3 La conservation des données issues des échanges automatiques en provenance de
pays tiers en vue de leur exploitation par la DGFiP
Dans le cadre des échanges automatiques d'information la France dispose directement, sans demande
préalable, d’informations relatives à des contribuables français détenant un patrimoine ou des revenus à
l’étranger. Le développement de l’assistance automatique constitue un enjeu important pour l’efficacité de la
lutte contre la fraude et l’évasion fiscales.
Les informations obtenues des partenaires étrangers permettront ensuite aux services de contrôle et de gestion
de la DGFiP de vérifier le respect par les contribuables français de leurs obligations fiscales. En outre, les
informations transmises par les pays partenaires, concernant les résidents français, pourront être indiquées à
titre informatif dans la déclaration pré-remplie des contribuables concernés. Cette évolution pourrait intervenir
avec la prise en charge de la fiabilisation des données EAI par SRE-SZU qui intégrerait ces données tiers
collectées à partir de début 2024 (le dossier SRE-SZU sera actualisé).
Dès lors, l'applicatif EAI V2 aura pour fonction de conserver l'ensemble des données reçues de nos partenaires
étrangers. Les informations collectées par les institutions financières et transmises à la DGFiP dans le cadre du
dispositif CRS/DAC2 seront également conservées au sein de l'application EAI V2. (voir .1.2.1.1 Conservation
dans EAI).
Aux termes de l’article 1729 C bis et en application du 5 du I de l'article 1736 du CGI, la DGFiP est chargée de
veiller au dépôt dans les délais, par ces mêmes institutions financières, de leurs déclarations prévues aux
articles L. 102 AG du LPF et 1649 AC du CGI. de
Par ailleurs, l'ACPR (Autorité de Contrôle Prudentiel et de Résolution) et l'AMF (Autorité des Marchés
Financiers) sont chargées du contrôle du respect des obligations de diligence des institutions financières.
Aux termes du 7° du II de l’article L. 612-1 du Code monétaire et financier (ci-après « CMF »), l’ACPR est
chargée de veiller au respect de la mise en œuvre des contrôles internes prévus par l’article L. 564-2 du CMF
par les institutions financières mentionnées au I de l’article L. 612-2 du même code, soumises aux obligations
prévues aux articles 1649 AC du CGI.
Aux termes de l’article L. 621-20-6 du CMF, l’AMF est chargée de veiller au respect de la mise en œuvre des
contrôles internes prévus par l’article L. 564-2 du CMF par les institutions financières mentionnées au 2° du I de
l’article L. 561-36 du même code. Ces autorités peuvent obtenir de la DGFiP tout document ou informations
nécessaires à l’exécution de leur mission (ACPR - art. L. 135 ZI du LPF et L. 612-1 du CMF et l’AMF - art. L.135
F du LPF). La DGFiP met à disposition des autorités de supervision les informations nécessaires à la
programmation et à la réalisation des contrôles diligentés conformément aux dispositions précitées.
Cette mise à disposition des informations DAC2 collectées se fait par le biais notamment d’un accès automatisé
à un applicatif permettant la consultation par les agents des autorités de supervision, des informations
pertinentes déclarées par les institutions financières établies en France à l’administration fiscale, et notamment
la consultation de listes spécifiques. En effet, ACPR/AMF vérifient les déclarations déposées et donc les
données les composant.
Cette consultation a aussi vocation à faciliter, dans le cadre de leur mission de contrôle, l’échange, le
croisement et le traitement des informations.
6
.1.1.1.3. Enjeux du traitement
La mondialisation de l’économie, combinée aux nouvelles technologies, facilite l’évasion des capitaux et accroît
la complexité de la lutte contre la fraude fiscale internationale. L’échange automatique d'informations constitue
un levier puissant de lutte contre la fraude dès lors qu’il porte des informations sur des revenus ou patrimoines
détenus par des résidents français à l’étranger.
Les organisations internationales s’inscrivent désormais dans une logique d’affichage, voire de surveillance des
moyens mis en œuvre pour l’échange automatique de données. Ainsi, conformément à la directive 2011/16/UE,
la Commission européenne (CE) a présenté un rapport en 2018 présentant un bilan de l’assistance
automatique, élaboré principalement à partir des restitutions statistiques des États membres. De même, les
restitutions statistiques demandées par l’OCDE ont tendance à se préciser au cours des dernières années.
Il importe donc que l'EAI V2 :
•
centralise les informations reçues de l’étranger et celles qui y seront envoyées, dans le but d'alimenter
les services de la DGFiP ;
•
puisse les rechercher, les classer et les analyser par origine, catégorie de revenus, ou pays concernés
dans le cadre du suivi des flux ;
•
établisse des statistiques demandées par les instances internationales, les organes de contrôle
nationaux et les bureaux métiers.
1.1.1.2
Sous-traitant(s)
THALES/OPEN SAS/TALAN/CAP GEMINI / THESOP / DELOITTE CONSEIL pour le développement avec
uniquement des jeux de données fictifs ou anonymisés
.1.1.2. Recensement des référentiels applicables au traitement et prise en
compte
Homologation RGS v2 (14/12/20 pour 5 ans)
7
.1.2. Données, processus et supports
.1.2.1. Description des processus et supports
L’applicatif Échange automatique d’informations (EAI V2) a pour objectif d’assurer la collecte des données
CRS, FATCA, la réception, la transmission et le stockage des données échangées dans le cadre de l’assistance
automatique internationale.
Cet outil permettra également, à terme, d’assurer la production de statistiques ainsi que la gestion et le suivi des
échanges.
1.2.1.1.
8
1.2.1.2. Fonctionnalités du traitement
•
L
a collecte des données
◦ Auprès des institutions financières :
La collecte des données vise les données collectées auprès des institutions financières dans le cadre des
échanges CRS et FATCA.
•
L
a fiabilisation des données
Pour exploiter les données échangées et répondre à la finalité du contrôle fiscal, une action de fiabilisation des
données des personnes physiques et morales est à mettre en œuvre préalablement afin de pouvoir rapprocher
ces données échangées du dossier fiscal. Ce rapprochement des données fait l’objet d’un retour d’informations
sur la qualité des échanges aux partenaires européens appelé feedback. Il permettra d’indiquer le taux de
reconnaissance des personnes en base DGFIP et n° fiscal validé, à terme.
Cette fiabilisation est effectuée par le projet CFVR pour les besoins du contrôle fiscal (analyse risque). À
partir de début 2024, cette action de fiabilisation sera aussi prise en charge par le projet existant SRE-
SZU à partir des données fournies par le projet EAI (données des flux entrants et sortants) avec une validation
du n° fiscal fourni dans les échanges ou la recherche de ce n° fiscal à partir des données nominatives fournies
dans les échanges (état civil et adresse pour une personne physique).
L’identification du SPI du contribuable donnera lieu à une restitution à EAI pour intégration en base.
Une modification du dossier de conformité SRE-SZU sera effectuée pour tenir compte de ces nouveautés.
•
L
e stockage des données
En raison des durées légales du droit de reprise de l'administration fiscale prévues dans les cas les plus
frauduleux, les données seront conservées au sein de l'application EAI V2 pour une durée de 10 ans pour
répondre au besoin de preuve.
EAI V2 sera dotée d'un silo de données qui a pour objectif l'intégration de l'ensemble des données des fichiers
9
EAI des conventions CRS, FATCA, dans une base de données (données collectées, flux sortants, flux entrants,
messages statuts, alertes), l’amélioration du suivi des flux, la gestion des correctifs, la confection des fichiers
sortants (ventilation des fichiers collectés par pays destinataire), la production des statistiques et retours
(
feedbacks aux pays partenaires).
Trois natures d'information seront stockées : les données métiers, les données de suivi des flux, les données
pour les statistiques et
feedbacks. Les données fiabilisées par SRE-SZU intégreront également le silo EAI V2.
(SPI et élément de
feedback) ).
Les données d'EAI V1 depuis son démarrage seront intégrées dans le silo EAI V2 dans le but de :
•
restituer ces données aux applications du contrôle fiscal et de gestion après fiabilisation ;
•
établir des statistiques a minima sur les trois dernières années ;
•
assurer le contrôle des identifiants en doublons ;
•
assurer le contrôle du chaînage des déclarations correctives.
L'ensemble des informations issues des échanges automatiques pourra être consulté par les utilisateurs de la
DGFiP habilités à EAI.
Les utilisateurs DGFIP des services centraux habilités (cf paragraphe 3.1 TABLEAU DES PROFILS ET
HABILITATIONS) peuvent consulter, à partir de critères de recherche, les données des fichiers, des déclarants
et des enregistrements mentionnés au paragraphe 1.2.2. Les agents de la DGFiP habilités ont accès à des
profils leur permettant de visualiser les données utiles à l’exercice de leur mission de gestion et de suivi des
échanges, de contrôle fiscal et d’assistance des institutions financières et des pays partenaires.
Les agents de l’ACPR et de l’AMF habilités ont accès, à partir de critères de recherche uniquement aux
données collectées CRS / DAC2 pour l’exercice de leurs missions légales et dans le cadre de leur périmètre
propre (les habilitations prévues discriminent la restitution des résultats pour ne restituer que les institutions
financières dont ils ont compétence). L'utilisation par l'ACPR et l'AMF des données a pour objet de garantir
l'effectivité et la bonne mise en œuvre des obligations des institutions financières
via les contrôles réalisés. À ce
titre, la directive prévoit la nécessité que chaque État prenne les mesures nécessaires pour garantir la mise en
œuvre effective des procédures de diligence et de déclaration.
En France, le choix a été fait de faire porter ce pouvoir de contrôle par les autorités prudentielles (cf. art. L 612-
1, II, 7° et L 612-2 du CMF pour l'ACPR et L 621-20-6 du CMF pour l'AMF), concernant le dispositif de contrôle
interne de chaque institution financière soumise aux obligations en la matière
. Pour exercer leur pouvoir de
contrôle du respect des obligations de diligence des institutions financières et maintenir une supervision
effective de la population des institutions financières françaises soumise à ces obligations, les autorités
prudentielles doivent pouvoir disposer d'un accès aux données déclarées par les institutions financières
françaises auprès de la DGFiP, seul moyen de s'assurer de l'effectivité du remplissage, par les institutions
financières, de leurs obligations de collecte d'informations.
•
L
es flux sortants
◦ S'agissant des
échanges avec les États membres de l'UE :
Pour les échanges CRS, la transmission des données vise l'envoi des données précédemment collectées par la
DGFiP aux autorités compétentes des États et territoires en application du MCAA ainsi qu'aux États ayant
signés avec l'UE un accord d'échange automatique d'informations. Compte tenu du nombre de destinataires, il
n'est pas imposé aux institutions financières une unicité de pays destinataire par fichier transmis. L'application
EAI V2 doit donc reconstituer les fichiers à transmettre aux pays destinataires à partir des données collectées,
afin d'envoyer un fichier global à chacun d'eux.
•
L
es flux entrants
10
EAI V2 est le réceptacle des données transmises par les autorités fiscales étrangères en application des
dispositifs juridiques prévoyant les échanges automatiques. Les données transférées par les autres États sont
donc intégrées dans le traitement EAI V2
.
Ces données sont restituées aux applications du contrôle fiscal et de gestion après fiabilisation pour les
données reçues en tant qu’autorité compétente de la France.
•
L
es retours (
F
eedbacks ) aux partenaires
◦ Aux institutions financières dans le cadre des échanges FATCA, CRS et DAC2 :
Un compte-rendu sur la qualité des données nominatives collectées à la suite d'une fiabilisation, sera adressé
aux institutions financières.
La qualité des informations déclarées (taux de comptes bancaires non documentés, taux de TIN déclarés) fera
l'objet d'un retour auprès des institutions financières.
Les résultats de la fiabilisation (taux d'identification des personnes) seront également adressés aux institutions
financières en ce qui concerne les résidents français détenant le contrôle de compte bancaire dont le titulaire est
installé dans un autre État.
◦
•
L
es flux in
ternes
Une fois la fiabilisation effectuée, les données (flux entrants et flux sortants) sont transmises aux applications de
contrôle fiscal et de gestion par SRE-SZU.
•
S
tatistiques
Les statistiques sont assurées par un module déployé sur la plateforme DATALAB qui sera alimenté par EAI :
•
des fichiers « sortants », suite aux traitements de transmission (fichiers nécessaires à la réalisation des
statistiques réglementaires UE) ;
•
au fil de l’eau pour l’ensemble des fichiers reçus par EAI (1 à 4 fois par jour).
Les fichiers sont transmis par EAI sans anonymisation (il s’agit des fichiers XML traités ou générés par EAI). Les
fichiers restitués par DATALAB ne contiendront pas de données à caractère personnel.
La restitution des statistiques produites par DATALAB est réalisée au moyen d’un CSV, stocké en base EAI, et
téléchargeable en cible directement par l’utilisateur via une IHM EAI.
Les statistiques peuvent être confectionnées sur des périodes remontant jusqu'à quatre ans avant l'année en
cours.
Troi
s types de statistiques sont effectuées via EAI :
1/ Les statistiques DATAVIZ pour la sécurisation de la campagne d’envoi CRS/DAC2
•
2
) Les statistiques O
CDE
Ces statistiques portent sur les fichiers entrants et sortants
•
Identification des partenaires d'échange qui ont envoyé les fichiers initiaux principaux pour un millésime
donné en retard
•
liste de tous les pays qui ont envoyé des fichiers correctifs ou complémentaires
•
liste de tous les pays qui ont envoyé leur Message Statut plus de 15 jours après l'envoi des fichiers
sortants FR
11
•
liste de tous les pays avec fichiers entrants rejetés ou acceptés avec anomalies
Dans le cadre des échanges prévus CRS, EAI V2 élaborera des statistiques sur :
•
le pourcentage de fichiers rejetés par pays ;
•
le pourcentage de fichiers acceptés avec des erreurs par pays ;
•
le pourcentage d'enregistrements avec des erreurs par pays ;
•
le nombre de comptes non documentés ;
•
le nombre d'institutions financières déclarantes qui ont déclaré des renseignements ;
•
le nombre de comptes financiers pour lesquels de l'information a été communiquée ;
•
le pourcentage de comptes pour lesquels un TIN a été déclaré ;
•
le pourcentage de comptes pour lesquels une date de naissance a été déclarée ;
•
le pourcentage de comptes pour lesquels un numéro au format « IBAN » a été déclaré ;
•
le nombre de notifications reçues avec indication des partenaires ;
•
le nombre d'erreurs identifiées à la suite d'une notification d'un partenaire ;
•
le nombre de notifications envoyées avec indication du partenaire.
Les statistiques demandés par l'OCDE ont été pour la première fois produites en 2019 et pourraient évoluer
dans le temps, les demandes se faisant plus précises.
3
/ Les statistiques internes
L'applicatif EAI V2 restituera des statistiques, en vue de satisfaire notamment aux demandes des organismes
extérieurs (corps d'audit, Parlement, etc.) et des métiers.
Les statistiques porteront sur les données de gestion : nombre de fichiers (valide/en rejet/état néant), nombre
d'enregistrements valides/rejetés, les montants en jeu. Elles seront produites par requêtage, sur une période
donnée, pour tous les fichiers entrants/sortants, valides/non valides.
Critères de requêtage seront :
•
le dispositif d'échanges ;
•
flux Entrants/Sortants ;
•
période ;
•
pays d'envoi ;
•
pays destinataires ;
•
fichiers valides/non valides ;
•
millésime concerné ;
•
qualité du bénéficiaire ;
•
type de revenus et de paiements ;
•
identification du bénéficiaire, TIN/pas de TIN, date de naissance/pas de date de naissance, adresse/pas
d'adresse, NIF/pas de NIF ;
•
état des comptes pour CRS/FATCA.
En cible, EAIV2 alimentera le lac des données à partir des fichiers entrants et sortants CRS/DAC2 et DAC1 pour
les besoins de restitution par DATAVIZ.
12
1.1.1.3
Conservation dans EAI
La durée de conservation des données en base EAI est fixée à dix ans pour intégrer les besoins suivants :
•
Le délai de reprise du contrôle fiscal, qui s'exerce jusqu'à la fin de la dixième année qui suit celle au titre
de laquelle l'imposition est due ou au titre de laquelle la taxe est devenue exigible, en vertu de l’art.
L169 du LPF. Dans le cadre des contrôles fiscaux pouvant être engagés par la DGFIP, le contribuable
peut demander l'origine des sources d'informations le concernant (besoin de preuve). Il conviendra alors
d'être en mesure, pendant toute la durée de prescription, de lui fournir l'information relative aux
échanges de données internationaux utilisés dans cette procédure. Il s'agira notamment d'identifier le
dispositif légal de transfert de données et les dates de réception de ces informations (données de suivi
des flux stockées dans EAI).
•
Le délai de conservation des données dans l'application EAI V2 fixé à 10 ans est lié au délai de reprise
dont dispose l'administration dans certaines circonstances. Ainsi, le délai général de reprise en matière
de contrôle fiscal est fixé à 6 ans par les dispositions de l'article L 186 du LPF, sauf dispositions
contraires prévues par un autre article.
Toutefois, en matière d'impôt sur le revenu et d'impôt sur les sociétés, le délai de reprise peut s'exercer
jusqu'à la fin de la dixième année qui suit celle au titre de laquelle l'imposition est due ou au titre de
laquelle la taxe est devenue exigible, dans les conditions prévues au deuxième alinéa de l'article L 169
du LPF, c'est-à-dire en cas d'activité occulte :
« Par exception aux dispositions du premier alinéa, le droit de reprise de l'administration s'exerce
jusqu'à la fin de la dixième année qui suit celle au titre de laquelle l'imposition est due, lorsque le
contribuable exerce une activité occulte ou lorsqu'il est bénéficiaire de revenus distribués par une
personne morale exerçant une activité occulte. L'activité occulte est réputée exercée lorsque le
contribuable ou la personne morale mentionnée à la première phrase du présent alinéa n'a pas déposé
dans le délai légal les déclarations qu'il était tenu de souscrire et soit n'a pas fait connaître son activité à
l'organisme mentionné au deuxième alinéa de l'article L. 123-33 du Code de commerce, soit s'est livré à
une activité illicite. »
Ce cas de figure nécessite donc de pouvoir conserver dans EAI V2 et accéder aux informations
concernées sur une durée maximum de 10 ans.
•
Le contrôle des obligations de diligence des IF : en application du 5 du I de l'article 1736 du CGI, la
DGFiP peut appliquer une amende à raison des déclarations déposées hors délai par les institutions
financières
Par ailleurs, l'ACPR (Autorité de Contrôle Prudentiel et de Résolution) et l'AMF (Autorité des Marchés
Financiers) sont chargées du contrôle du respect des obligations de diligence des institutions
financières.
Ces autorités n'étant pas destinataires des données déclarées par les institutions financières, il est
prévu que la DGFIP peut, sur demande, transmettre à l’ACPR (art. L. 135 ZI du LPF et L. 612-1 du
CMF) ainsi qu’à l’AMF (art. L. 135 F du LPF et L. 621-20-6 du CMF) tout document ou information
nécessaires à l’exécution de leur mission.
L'IHM EAIV2 permet de suivre les échanges (dates de réception des fichiers collecte, date d'envoi des fichiers
sortants, date de réception des fichiers entrants) et de consulter les données des fichiers échangés (données
des déclarants et de leurs enregistrements,
Cf § 1.2.2 Description des données).
Les autorités ACPR ou AMF ayant pour mission de s'assurer que les institutions financières ont respecté les
exigences réglementaires, ils auront accès aux données des seuls fichiers collectés CRS/DAC2 et pour les
13
institutions financières relevant de leur compétence propre.
Afin de veiller à la bonne application, par les institutions financières, de leurs obligations prévues aux articles
1649 AC du CGI et L. 102 AG du Livre des procédures fiscales. La DGFiP met à disposition des autorités de
supervision les informations nécessaires à la programmation et à la réalisation des contrôles diligentés
conformément aux dispositions précitées. Elle s’est notamment engagée dans le cadre d’un protocole tripartite
signé avec l’ACPR et l’AMF à mettre à disposition des agents de ces deux autorités de supervision en charge
des contrôles, un accès automatisé à un applicatif consignant ces informations. Cet accès doit permettre à ces
deux autorités de supervisions la consultation, au sein des informations déclarées par les institutions financières
auprès de la DGFIP, de listes spécifiques (comptes non-documentés, de comptes sans TIN ou sans date de
naissance) permettant un suivi adéquat des informations déclarées d’une année sur l’autre, et de faciliter
l’échange, le croisement et le traitement des informations nécessaires à leur mission de contrôle.
Les autorités de supervision pourront ainsi :
•
avoir accès à des données de gestion afin de vérifier que des institutions financières ne sont pas
défaillantes et détecter les institutions financières dont la déclaration a été rejetée par le système de la
DGFiP (ces informations seront disponibles par institution financière à la demande via l’IHM ou par
consultation de listes récapitulatives présentes dans l’IHM) ;
•
avoir accès en consultation à chaque déclaration déposée par extraction pour vérifier que les éléments
la constituant sont bien conformes aux exigences de la norme ;
•
avoir accès à des listes d’anomalies détectées répertoriées par institution financière (comptes non-
documentés, de comptes sans TIN ou sans date de naissance) en vue de programmation de contrôle
des institutions financières révélant des anomalies significatives.
Les dispositions législatives permettant un tel accès sont en cours d’élaboration (préparation du PLF).
1.2.1.2. Conservation dans le Datalab
Les statistiques sont réalisées dans une base dédiée du Datalab.
La réalisation des statistiques dans le Datalab sont réalisés sur un périmètre déterminé (par exemple les fichiers
CRS transmis et accusés réception correspondants) et sur des millésimes donnés (généralement les trois
derniers millésimes). Les données transmises à Datalab une fois le traitement statistique réalisé et le résultat
obtenu validés par le bureau métier demandeur, celles-ci sont supprimées du Datalab. Si des fichiers font l’objet
d’une nouvelle campagne statistique (par exemple l’année suivante) ou d’une nouvelle exploitation statistique,
ces fichiers seront transmis et supprimés autant de fois qu’il y aura de traitements les concernant.
14
1.2.2. Description des données, destinataires et durées de conservation
1.2.1.1 Les données traitées dans le cadre des échanges FATCA, CRS
1.2.1.2.1 Les données reçues des institutions financières via Télé-TD (collecte)
Durée de
Catégories
Données
Justification
Origine
Destinataires
Justification
Justification
conservation
L'état civil,
Titulaire du compte (personne physique, entité et
Données à
Télé TD
L’autorité compétente des États
Données à transmettre –
10 ans
Le droit de reprise de
p
ersonnes qui détiennent le contrôle de l'entité) :
transmettre –
Cadre légal des échanges
l’administration peut
identité, données
Cadre légal des
Membres ou États tiers
automatiques
s’exercer jusqu’à la fin
d’identification
Personnes physiques :
échanges
signataires de l’accord
d'information
de la 10ème année qui
(nom, prénom,
- le nom de famille
automatiques
SRE-SZU
suit celle au titre de
(Données collectées par
adresse, etc…)
d'information
laquelle l’imposition est
- les prénoms
(SPI après
TéléTD avant
due ou au titre de
fiabilisation)
transmission aux pays
- l'adresse
laquelle la taxe est
partenaires)
Données
devenue exigible (cas
- la ou les résidences fiscales
nécessaires à
d’activité occulte) et de
détention d'actifs
- le ou les NIF
l’identification de la
Agents habilités de la DGFiP
personne titulaire
données utilisées dans le
financiers à l'étranger)
- la date et le lieu de naissance
du compte et à
cadre de l’assiette et du
l’identification de
recouvrement
- SPI (renvoyé par SRE-SZU)
l’institution
Données utilisées pour le
Recherche de données
financière
suivi des échanges
suite à une demande
déclarante
ou une anomalie
Entités :
constatée par les pays
Agents habilités ACPR/AMF
étrangers
pour les données collectées
- la dénomination
CRS
Réponse aux
- l’adresse
Données utilisées pour
contrôler les institutions
demandes statistiques
- la ou les résidences fiscales
financières et suivi des
et/ou aux enquêtes des
corps de contrôles
- le ou les NIF
affaires
(Cour des comptes,
L
'identité du déclarant e
t le cas échéant de son
IGF, etc.)
m
andant :
CFVR (hormis pour les données
- la dénomination
reçues des IF néo-
- la raison sociale
calédoniennes en vue de leur
- l’adresse
transmission vers des pays tiers) Données utilisées dans le
- le numéro SIREN
cadre du contrôle fiscal
- le numéro d'identification (éventuel) : Numéro fiscal
DATALAB
15
Durée de
Catégories
Données
Justification
Origine
Destinataires
Justification
Justification
conservation
SRE-SZU (hormis pour les
Données utilisées pour la
données reçues des IF néo-
confection des statistiques
calédoniennes en vue de leur
transmission vers des pays tiers)
Données utilisées pour la
fiabilisation et en cible
pour leur intégration à
l’écosystème des données
tiers collectées à des fins
de gestion et de contrôle
fiscaux
Informations
1. le numéro de compte (ou son équivalent fonctionnel Données
à Télé TD
L’autorité compétente des États Données à transmettre – 10 ans
Le droit de reprise de
en l’absence de numéro de compte)
transmettre
–
Membres ou États tiers Cadre légal des échanges
l’administration peut
d’ordre
Cadre légal des
signataires de l’accord
automatiques
s’exercer jusqu’à la fin
économique et
échanges
d'information
de la 10ème année qui
financier
2. le solde ou la valeur portée sur le compte (y compris, automatiques
suit celle au titre de
(Données collectées par
dans le cas d’un contrat d’assurance avec valeur de d'information
laquelle l’imposition est
TéléTD
avant
rachat ou d’un contrat de rente, la valeur de rachat) à la
due ou au titre de
transmission aux pays
fin de l’année civile considérée ou d’une autre période
laquelle la taxe est
partenaires)
de référence adéquate ou, si le compte a été clos au Données relatives
devenue exigible (cas
cours de l’année ou de la période en question, la clôture au
compte
d’activité occulte) et de
du compte ;
financier de la
détention
d'actifs
personne et faisant
financiers à l'étranger)
Agents habilités de la DGFiP
l’objet
d’un
Données utilisées pour le
3. dans le cas d’un compte conservateur :
échange
suivi des échanges
le montant brut total des intérêts, le montant brut total
des dividendes et le montant brut total des autres
Recherche de données
revenus produits par les actifs détenus sur le compte,
suite à une demande
versés ou crédités sur le compte (ou au titre du compte)
ou une anomalie
Agents habilités ACPR/AMF Données utilisées pour
au cours de l’année civile ou d’une autre période de
contrôler les institutions
constatée par les pays
référence adéquate ;
pour les données collectées financières et suivi des
étrangers Étant donné
CRS
que la France peut être
le produit brut total de la vente ou du rachat des actifs
affaires
en mesure de solliciter
financiers versés ou crédités sur le compte au cours de
ses
partenaires
l’année civile ou d’une autre période de référence
étrangers sur les dix
adéquate au titre de laquelle l’Institution financière
dernières (en règle des
déclarante a agi en tant que dépositaire, courtier, prête-
règles de prescription
nom ou représentant du titulaire du compte ;
allongée en cas de
4.dans le cas d’un compte de dépôt, le montant brut
non-déclaration d'avoirs
total des intérêts versés ou crédités sur le compte au
CFVR (hormis pour les données
à l'étranger), le principe
Données utilisées dans le
cours de l’année civile ou d’une autre période de
reçues des IF néo-
de réciprocité exige que
cadre du contrôle fiscal
référence adéquate
calédoniennes en vue de leur
la DGFiP soit en
transmission vers des pays tiers)
mesure de répondre à
;
des
sollicitations
similaires de la part de
5- dans le cas d’un compte qui n’est pas visé au point 3
ses partenaires.
ou 4, le montant brut total versé au titulaire du compte
ou porté à son crédit au titre de ce compte, au cours de
DATALAB
16
link to page 17 link to page 17
Durée de
Catégories
Données
Justification
Origine
Destinataires
Justification
Justification
conservation
l’année civile ou d’une autre période de référence
Données utilisées pour la
Réponse
aux
confection des statistiques
demandes statistiques
adéquate, dont l’institution financière déclarante est la
et/ou aux enquêtes des
débitrice, y compris le montant total de toutes les
SRE-SZU (hormis pour les
corps de contrôles
sommes remboursées au titulaire du compte au cours
données reçues des IF néo- Données utilisées pour la
(Cour des comptes,
de l’année civile ou d’une autre période de référence
calédoniennes en vue de leur fiabilisation et en cible
IGF, etc.)
transmission vers des pays tiers) pour leur intégration à
adéquate.
l’écosystème des données
tiers collectées à des fins
de gestion et de contrôle
fiscaux
Données relatives - login du déclarant,
3
TéléTD
Utilisateurs habilités de EAI
Données générées lors du 10 ans
Le droit de reprise de
aux déclarations
dépôt dans TéléTD et
l’administration peut
des institutions - horodatage du dépôt
Données
transmis à EAI pour le
s’exercer jusqu’à la fin
financières
nécessaires au
- type de filière de dépôt (EDI)
suivi des échanges
de la 10ème année qui
suivi de la collecte
suit celle au titre de
FATCA/CRS
laquelle l’imposition est
- type de déclaration (initiale, rectificative...)
due ou au titre de
laquelle la taxe est
- dépôt réel ou fichier de test, l'année de versement des
devenue exigible (cas
revenus déclarés
d’activité occulte) et de
détention
d'actifs
financiers à l'étranger)
- données de l'AR (accusé de dépôt, compte-rendu
d'anomalies, avis de rejet)
Recherche de données
- nom du fichier
suite à une demande
ou une anomalie
constatée par les pays
étrangers
Réponse
aux
demandes statistiques
et/ou aux enquêtes des
corps de contrôles
(Cour des comptes,
IGF, etc.)
3 En plus du SIREN et du code GIIN (
Global Intermediary Identification Number), TELE-TD acceptera l’Identifiant d’entité juridique (
Legal Entity Identifier, LEI) et le numéro AMF (Autorité des
marchés financiers)
17
1
.2.1.2.2 Les données reçues cadre des échanges FA
TCA, CRS ( flux entrants)
Durée de
Catégories
Données
Justification
Origine
Destinataires
Justification (*A)
Justification
conservation
L’Etat-civil,
Titulaire du compte (personne physique, entité et
Données reçues
Les autorités
Agents habilités de la
Données utilisées pour
10 ans
Le droit de reprise de
identité,
p
ersonnes qui détiennent le contrôle de l'entité) :
– Cadre légal
compétentes des
le suivi des échanges
l’administration peut
données
des échanges
États tiers
DGFiP
s'exercer jusqu’à la fin
d’identification
Personnes physiques :
automatiques
signataires de
de la 10ème année
(nom, prénom,
- le nom de famille
d'information
l’accord
qui suit celle au titre
adresse, etc…)
de laquelle
- les prénoms
Données utilisées dans
l’imposition est due ou
le cadre du contrôle
- l'adresse
Données
SRE-SZU (SPI
CFVR (hormis pour les
au titre de laquelle la
nécessaires à
fiscal
taxe est devenue
données reçues de pays
- la ou les résidences fiscales
l’identification de
après fiabilisation)
exigible (cas d’activité
tiers concernant des
occulte et de
- le ou les NIF
la personne
titulaire du
résidents néo-
détention d'actifs
- la date et le lieu de naissance
compte et à
financiers à l'étranger)
calédoniens)
l’identification de
- SPI (renvoyé par SRE-SZU)
l’institution
financière
déclarante
Entités :
Recherche de
Données utilisées pour
DATALAB
données suite à une
- la dénomination
la confection des
demande ou une
statistiques
anomalie constatée
- l’adresse
par les pays étrangers
- la ou les résidences fiscales
- le ou les NIF
SRE-SZU (hormis pour
Réponse aux
les données reçues de
Données utilisées pour
demandes
pays tiers concernant des
la fiabilisation et en cible
statistiques et/ou aux
L'identité du déclarant et le cas échéant de son
résidents néo-
pour leur intégration à
enquêtes des corps
m
andant :
calédoniens)
l’écosystème des
données tiers collectées
de contrôles (Cour
- la dénomination
à des fins de gestion et
des comptes, IGF,
de contrôle fiscaux
etc.)
- la raison sociale
- l’adresse
- le numéro SIREN
- le numéro d'identification (éventuel)
Informations
1. le numéro de compte (ou son équivalent
Données reçues
Les autorités
Agents habilités de la
Données utilisées pour
10 ans
Le droit de reprise de
d’ordre
fonctionnel en l'absence de numéro de compte)
– Cadre légal
compétentes des
le suivi des flux EAI
l’administration peut
économique et
des échanges
États tiers
DGFiP
s’exercer jusqu’à la fin
financier
automatiques
signataires de
de la 10ème année
2. le solde ou la valeur portée sur le compte (y
d'information
l’accord
Données utilisées dans
qui suit celle au titre
compris, dans le cas d’un contrat d’assurance avec
CFVR (hormis pour les
le cadre du contrôle
de laquelle
valeur de rachat ou d’un contrat de rente, la valeur de
l’imposition est due ou
données reçues de pays
fiscal et pour le suivi des
rachat) à la fin de l’année civile considérée ou d’une
Données
échanges
au titre de laquelle la
autre période de référence adéquate ou, si le compte
relatives au
tiers concernant des
taxe est devenue
18
Durée de
Catégories
Données
Justification
Origine
Destinataires
Justification (*A)
Justification
conservation
a été clos au cours de l’année ou de la période en
compte financier
résidents néo-
exigible (cas d’activité
question, la clôture du compte ;
de la personne
occulte et de
et faisant l’objet
calédoniens)
détention d'actifs
d’un échange
financiers à l'étranger)
3. dans le cas d’un compte conservateur :
le montant brut total des intérêts, le montant brut total
Recherche de
des dividendes et le montant brut total des autres
Données utilisées pour
DATALAB
données suite à une
revenus produits par les actifs détenus sur le compte,
la confection des
demande ou une
versés ou crédités sur le compte (ou au titre du
statistiques
anomalie constatée
compte) au cours de l’année civile ou d’une autre
par les pays étrangers
période de référence adéquate ;
Données utilisées pour
le produit brut total de la vente ou du rachat des actifs
la fiabilisation et en cible
financiers versés ou crédités sur le compte au cours
pour leur intégration à
Réponse aux
de l’année civile ou d'une autre période de référence
SRE-SZU (hormis pour
l’écosystème des
demandes
adéquate au titre de laquelle l'Institution financière
les données reçues de
données tiers collectées
statistiques et/ou aux
déclarante a agi en tant que dépositaire, courtier,
pays tiers concernant des
à des fins de gestion et
enquêtes des corps
prête-nom ou représentant du titulaire du compte ;
résidents néo-
de contrôle fiscaux
de contrôles (Cour
calédoniens)
des comptes, IGF,
etc.)
4. dans le cas d’un compte de dépôt, le montant brut
total des intérêts versés ou crédités sur le compte au
cours de l’année civile ou d’une autre période de
référence adéquate ;
5. dans le cas d’un compte qui n’est pas visé au point
3 ou 4, le montant brut total versé au titulaire du
compte ou porté à son crédit au titre de ce compte,
au cours de l’année civile ou d’une autre période de
référence adéquate, dont l’institution financière
déclarante est la débitrice, y compris le montant total
de toutes les sommes remboursées au titulaire du
compte au cours de l’année civile ou d’une autre
période de référence adéquate.
19
1.2.1.3.1
20
1.2.1.3.2
21
1.2.1.4 Données tracées
Catégories
Données
Justification
Origine
Destinataires
Justification
Durée de conservation
Justification
Consultation des
- Données de
Données nécessaires à
EAI
Personnes habilitées à
Sécurité informatique
3 ans
Durée nécessaire au
fichiers DATA entrants
connexion
l’identification de
consulter les traces
contrôle interne et à la
et sortants
l’utilisateur, des
Contrôle interne
sécurité informatique
- Date et heure de
données et du
connexion /
traitement réalisé
déconnexion
- Identifiant du poste de
travail
- Identifiant de
l’utilisateur
- Référence de
données accédées
(identifiants des
fichiers, des déclarants
et des enregistrements
consultés)
Modifications manuelles
- Nom et prénom de
Données nécessaires à
EAI
Personnes habilitées à
Sécurité informatique
3 ans
Durée nécessaire au
du statut d’un échange
l’utilisateur
l’identification de
consulter les traces
contrôle interne et à la
ou d'un enregistrement
l’utilisateur
Contrôle interne
sécurité informatique
22
.1.3. Évaluation de la procédure
•
Choix de
l’instrument juridique (règlement, directive ou loi de 1978) :
RGPD
•
Choix de la
procédure : consultation obligatoire de la CNIL ou non :
O/N
◦ RGPD article 36.5. Pas de cas en l’état du droit.
◦ Directive article 89 et 31. Toujours.
•
Analyse d’impact obligatoire ou non au sens du RGPD. (Cf
. 131) :
N
•
Analyse d’impact obligatoire ou non (liste noire CNIL). (Cf.
132) :
N
•
Analyse d’impact obligatoire ou non selon le résultat de l’étude de risque au sens G29 (voir
133) :
risque élevé.
1.3.1. Analyse d’impact obligatoire au sens du RGPD
1. Évaluation
systématique et approfondie d'aspects personnels concernant des personnes physiques, fondée
sur un traitement automatisé, y compris le
profilage, et sur la base de laquelle sont prises des
décisions
produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de
façon similaire (RGPD Article 35.3.a)
: N
2. Traitement à
grande échelle de catégories
particulières de données ou de données à caractère personnel
relatives à des condamnations pénales ou des
infractions (RGPD Article 35.3.b)
: N
3. Surveillance systématique à grande échelle d'une zone accessible au public (RGPD Article 35.3.c)
: N
.1.3.2. Analyse d’impact obligatoire au sens de la
Caractéristique correspondante du traitement
Choix
Type d’opérations de traitement
et justification du choix
(O/N)
1. Traitements portant sur des données
génétiques de personnes dites « vulnérables »
N
(patients, employés, enfants, etc.)
2. Traitements établissant des
profils de
personnes physiques à des fins de gestion des
N
ressources humaines (évaluation, notation)
3. Traitements ayant pour finalité de
surveiller de manière constante l'activité des
employés
N
concernés
4. Traitements ayant pour finalité la gestion des
alertes et des signalements en matière
sociale
N
et sanitaire
5. Traitements ayant pour finalité la gestion des
alertes et des signalements en matière
N
professionnelle
6. Traitements de
profilage faisant appel à des
N
données provenant de
sources externes
7. Traitements de données
biométriques aux
N
fins de reconnaissance des personnes parmi
lesquelles figurent des personnes dites
23
Caractéristique correspondante du traitement
Choix
Type d’opérations de traitement
et justification du choix
(O/N)
« vulnérables » (élèves, personnes âgées,
patients, demandeurs d'asile, etc.)
8. Instruction des demandes et gestion des
N
logements sociaux
9. Traitements ayant pour finalité
l'accompagnement social ou médico-social
N
des personnes
10. Traitements de données de
localisation à
N
large échelle
.1.3.3. Étude de risques au sens du G29
Caractéristique correspondante du traitement et justification du
Choix
Facteurs de risques G29
choix
(O/N)
1. Evaluation-notation-profilage
N
2. Décision automatisée avec
N
effet.
3. Surveillance systématique
N
(vidéosurveillance en général)
Données ayant une sensibilité particulière : données bancaires
4. Données particulières
et financières (valeur de solde bancaire, intérêts, dividendes,
O
(au sens du RGPD. Définition)
produits des actifs), données fiscales et patrimoniales (revenus
et propriétés)
Collecte : 11 M
5. Grande échelle
Flux sortants : 11 M
O
Flux entrants : 20 M
6. Croisement de données
N
7. Personnes vulnérables
N
8. Nouvelle technologie
N
9. Droits non exerçables
N
1.3.4. USAGE DU NIR
SO
1.3.5. USAGE DES DONNÉES DE SANTÉ
SO
24
.2. Principes fondamentaux
.2.1. Évaluation des mesures garantissant la proportionnalité et la
nécessité du traitement
.2.1.1. Explication et justification des finalités
Finalités
Légitimité
Permettre à la France de respecter ses
obligations internationales en matière d'échanges Les finalités du traitement sont légitimés par les
automatiques et conserver les données issues de engagements internationaux pris par la France.
l'échange automatique en provenance de pays
tiers
Restituer les données stockées pour leur
utilisation dans le cadre de l'assiette, du contrôle
Finalité d’assiette, de contrôle fiscal et de recouvrement
et du recouvrement des impôts.
Réaliser les traitements statistiques relatifs aux
Finalité légitimée par les engagements internationaux
échanges demandés par la Commission
pris par la France
européenne et l’OCDE et à usage interne
Permettre à la Nouvelle-Calédonie d’utiliser les
données concernant des résidents néo-
Finalité d’assiette, de contrôle fiscal et de recouvrement
calédoniens pour l’assiette, le contrôle et le
relevant de la collectivité de Nouvelle-Calédonie
recouvrement de ses impôts
Mise à disposition des données nécessaires au
contrôle des institutions financières par l’APCR et Mission de contrôle confié à l’AMF et l’APCR
l’AMF
.2.1.2. Explication et justification du fondement
Critères de licéité
Applicable
Justification
- Accord bilatéral relatif à
Le traitement est nécessaire au
l'échange automatique
respect d'une
obligation légale à
OUI
d'informations financières avec les
laquelle le responsable du
États-Unis (dit « accord FATCA »)
traitement est soumis
.2.1.3. Explication et justification de la minimisation des données
SO données prévues par les textes
.2.1.4. Explication et justification de la qualité des données
Mesures pour la qualité des données
Justification
25
Le n° fiscal (SPI ) pourra être complété dans la base EAI à l’issue de la
fiabilisation (lorsqu’elle sera réalisée par SRE-SZU) pour permettre aux
agents des bureaux MOA et MOE en charge du suivi des échanges EAI
d’accéder par IHM aux données des personnes.
Les contrôles de forme des données entrantes sont effectués par EAI à
partir du schéma XSD et des contrôles métier (cohérence des données au
sein du fichier).
Les contrôles qualitatifs sur les données nominatives seront effectués au
moment de leur fiabilisation par SRE-SZU.
.2.1.5. Explication et justification des durées de conservation
Durée de
Justification de la durée Mécanisme de suppression à
Types de données
conservation
de conservation
la fin de la conservation
Données courantes
10 ans
Besoins du contrôle fiscal
purge automatique
Pas d'archivage des
Données archivées
données
Contrôle interne et sécurité
Traces fonctionnelles
3 ans
purge automatique
informatique
Journaux techniques
3 ans
Débogage
purge automatique
(logs)
.2.1.6. Évaluation des mesures
Mesures garantissant la proportionnalité et la
Acceptable ou à
Mesures correctives
nécessité du traitement
améliorer ?
1. Finalités : déterminées, explicites et légitimes
Acceptable
2. Fondement : licéité du traitement, interdiction
Acceptable
du détournement de finalité
3. Minimisation des données : adéquates,
Acceptable
pertinentes et limitées
4. Qualité des données : exactes et tenues à
Acceptable
jour
5. Durées de conservation : limitées
Acceptable
26
.2.2. Évaluation des mesures protectrices des droits des personnes des
personnes concernées
.2.2.1. Détermination et description des mesures pour l’information des
personnes (RGPD art. 13 et 14)
.
2.2.1.1 Exemption
Si le traitement bénéficie d’une
exemption au droit d’information :
Dispense d’information des personnes concernées
Justification
SO
SO
.
2.2.1.2 Pas d’exemption
Justification des modalités ou
Modalités de mise en
Mesures pour le droit à l’information
de l’impossibilité de leur mise
œuvre
en œuvre
La présentation sur les droits
Mention d’information sur
des personnes concernées
Mention d’information
le site impots.gouv
fera l’objet d’une mesure
d’information sur le site internet
Information sur la possibilité de définir des
so
so
directives post-mortem.
Dans le cas de transmission de données à des
destinataires :
Justification des modalités
Mesures pour le droit à l’information
Modalités de mise en œuvre ou de l’impossibilité de leur
mise en œuvre
Présentation détaillée des finalités de
Mention d’information sur le
transmission aux destinataires
site impots.gouv
Mention d’information sur le
site impots.gouv néanmoins
Présentation détaillée des données
la réglementation
personnelles transmises aux destinataires
n’imposant une présentation
détaillée elle n’est faite que
par catégorie
Mention d’information sur le
Indication de l'identité des destinataires
site impots.gouv à prévoir
.2.2.2 Détermination et description des mesures pour le recueil du
consentement (RGPD notamment Art. 7 et 8)
.2.2.2.1 Si le traitement n’est
pas concerné par le recueil du consentement.
Justification
La licéité s’appuie sur une obligation légale
27
.2.2.2.2 Dans le cas contraire
Justification des modalités ou
Modalités de mise en
Mesures pour le recueil du consentement
de l’impossibilité de leur mise
œuvre
en œuvre
Consentement exprès à l’inscription
SO
SO
Consentement segmenté (par finalité)
SO
SO
Consentement présenté de manière
compréhensible et adapté à la personne
SO
SO
cible (notamment pour les enfants)
Recueil du consentement des parents
SO
SO
pour les mineurs de moins de 13 ans
Après une longue période sans utilisation,
demande à la personne concernée de
SO
SO
réaffirmer son consentement
28
.2.2.3. Détermination et description des mesures pour les droits des personnes concernées
Justification de l’exemption et
Exemption
modalités d’information aux
Mesures
O/N
personnes concernées
Modalités d’exercice
Le droit d’accès s’exerce :
- les contribuables résidents français
Accès via le responsable
exercent leur droit d'accès auprès de
de traitement
DROIT D’ACCÈS
l'autorité compétente française (Direction
Générale des Finances Publiques, bureau
GF-1A)
- les contribuables résidents français
Possibilité d’accéder à
exercent leur droit d'accès auprès
l’ensemble des données
de l'autorité compétente française
personnelles de
SO
(Direction Générale des Finances
Mentions d’information sur
l’utilisateur, via les
Publiques, bureau GF-1A)
N
impots.gouv.fr
interfaces courantes
Possibilité de consulter,
- les contribuables résidents des
de manière sécurisée,
autres États et territoires exercent
les traces d’utilisation
SO
leur droit auprès de l'autorité
liées à la personne
compétente de leur État ou territoire
concernée
de résidence
Possibilité de télécharger
une archive de
l’ensemble des données
SO
à caractère personnel
liées à la personne
concernée
Modalité d’exercice
DROIT A LA PORTABILITÉ
O
Traitement régalien
Possibilité de récupérer,
sous une forme aisément
réutilisable, les données
29
Justification de l’exemption et
Exemption
modalités d’information aux
Mesures
O/N
personnes concernées
personnelles qui ont été
fournies par la personne
concernée, afin de
pouvoir les transférer à
un service tiers
Modalités d’exercice
- les contribuables résidents français
exercent leur droit de rectification auprès de
l'autorité compétente française (Direction
Mentions d’information sur
Générale des Finances Publiques, bureau
DROIT DE RECTIFICATION
N
impots.gouv.fr
Description des mesures
GF-1A)
à détailler
- les contribuables résidents des autres
États et territoires exercent leur droit de
rectification auprès de l'autorité compétente
de leur État ou territoire de résidence
Modalités d’exercice
Possibilité de supprimer
les données
SO
personnelles
Traitement fondé sur une
DROIT D’EFFACEMENT
N
Indication des données
obligation légale
personnelles qui seront
conservées malgré tout
SO
(contraintes techniques,
obligations légales, etc.)
Mise en œuvre du droit à
SO
l’oubli pour les mineurs
30
N
Modalités d’exercice
Description Le droit de limitation s’exerce :- les contribuables résidents
DROIT DE LIMITATION
des
français exercent leur droit auprès de l'autorité compétente
SO
mesures
française (Direction Générale des Finances Publiques, bureau
générales
GF-1A)
- les contribuables résidents des autres Etats et territoires
exercent leur droit auprès de l'autorité compétente de leur Etat ou
territoire de résidence
Modalités d’exercice
Description
SO
des
mesures
générales
DROIT D’OPPOSITION
O
Traitement fondé sur une obligation
légale
Conformité
SO
en matière
de traçage
Adaptation
SO
s pour les
enfants de
– de 13ans
31
.2.2.4. Détermination et description des mesures pour la sous-traitance
(RGPD art. 28 et 30)
Nom du sous-
Référence du
Conformité art.28 et
Finalité
Périmètre
traitant
contrat
s. RGPD ou 96 LIL6
n°CHORUS
Travaux de
Titulaire du marché
Avenant RGPD
développement et
Technique
1300165755
NTIC ( THESOP)
notifié le 15/11/2022
AMOE
CHORUS :
Avenant RGPD
Deloitte/Talan
Assistance Métier
Métier
1300145491
notifié le 29/09/2023»
n° ibis marché :
1900038
CHORUS :
1300164935
Avenant RGPD
CAP GEMINI
Assistance Métier
Métier
n° ibis marché :
notifié le 23/11/2021
1900043
.2.2.5. Détermination et description des mesures pour le transfert de
données en dehors de l’Union européenne (RGPD art. 44 à 49)
Pays
Justification et encadrement
reconnu
Données
France
UE
Autre pays
(clauses contractuelles
adéquat
types…)
par l’UE
1. le numéro de
compte (ou son
équivalent
fonctionnel en
l’absence de numéro
de compte)
2. le solde ou la
valeur portée sur le
compte (y compris,
dans le cas d’un
contrat d’assurance
avec valeur de rachat
ou d’un contrat de
rente, la valeur de
rachat) à la fin de
l’année civile
considérée ou d’une
autre période de
référence adéquate
ou, si le compte a été
clos au cours de
l’année ou de la
période en question,
la clôture du compte ;
3. dans le cas d’un
32
compte
conservateur :
le montant brut total
des intérêts, le
montant brut total
des dividendes et le
montant brut total
des autres revenus
produits par les actifs
détenus sur le
compte, versés ou
crédités sur le
compte (ou au titre
du compte) au cours
de l’année civile ou
d’une autre période
de référence
adéquate ;
le produit brut total
de la vente ou du
rachat des actifs
financiers versés ou
crédités sur le
compte au cours de
l’année civile ou
d’une autre période
de référence
adéquate au titre de
laquelle l’Institution
financière déclarante
a agi en tant que
33
dépositaire, courtier,
prête-nom ou
représentant du
titulaire du compte ;
4.dans le cas d’un
compte de dépôt, le
montant brut total
des intérêts versés
ou crédités sur le
compte au cours de
l’année civile ou
d’une autre période
de référence
adéquate ;
5- dans le cas d’un
compte qui n’est pas
visé au point 3 ou 4,
le montant brut total
versé au titulaire du
Justification et encadrement des transferts CRS vers les pays reconnus non adéquats par l’UE :
En vertu de l’article 46, les transferts vers les pays non reconnus adéquats sont possibles à la condition de
l’existence de garanties appropriées et à la condition que les personnes concernées disposent de droits
opposables et de voies de droits effectives.
Au cas présent, les garanties appropriées peuvent être fournies par un instrument juridiquement contraignant et
exécutoire entre les autorités ou organismes publics (a) du paragraphe 2 de l’art. 46 du RGPD) :
- l’Accord bilatéral relatif à l'échange automatique d'informations financières avec les États-Unis (dit « accord
FATCA »).
Garanties en matière de protection des données
•
34
•
D
ans le cadre de FATCA
En réponse à la requête n° 424216 (Association des Américains Accidentels), le Conseil d’État a indiqué : « Au
regard des garanties spécifiques dont l’accord du 14 novembre 2013 entoure le traitement litigieux et du niveau
de protection assuré par la législation applicable aux États-Unis en matière de protection des données
personnelles permettant d’établir la situation fiscale des contribuables, le moyen tiré de la méconnaissance de
l’article 46 du règlement du 27 avril 2016 doit être écarté. »
.2.2.6. Évaluation des mesures
Mesures protectrices des droits des personnes
Acceptable / à
Mesures correctives
concernées
améliorer ?
6. Information des personnes concernées
A améliorer
Mentions d’information à prévoir
(traitement loyal et transparent)
7. Recueil du consentement
SO
8. Exercice du droit d’accès
Acceptable
9. Exercice du droit à la portabilité
SO
10. Exercice du droit de rectification
Acceptable
11. Exercice du droit d’effacement
Acceptable
12. Exercice du droit de limitation
Acceptable
13. Exercice du droit d’opposition
SO
14. Sous-traitance : identifiée et
Acceptable
contractualisée
15. Transferts : respect des obligations en
matière de transfert de données en dehors de
Acceptable
l’Union européenne
35
.3. Étude des risques liés à la sécurité des données
.3.1. Évaluation des mesures
.3.1.1
36
3.1.2.
.3.1.3. Description et évaluation des mesures organisationnelles
(gouvernance)
Mesures organisationnelles
Modalités de mise en œuvre
Acceptable /
Mesures correctives
(gouvernance)
ou justification sinon
à améliorer ?
I-Gouvernance ministérielle :
cf instruction du 18 mai 2018
– Coordonnées du délégué à
la protection des données :
Délégué à la protection des
données des ministères
économiques et financiers.
Délégation aux systèmes
d’information.
139, rue de Bercy 75572 Paris
CEDEX 12
le-delegue-a-la-protection-des-
donnees-
xxxxxxxxxxxx@xxxxxxxx.xxxx.xx
II. Gouvernance au sein de la
DGFiP : cf notes du
12/03/2018 et du 25/05/2018.
L’équipe
CNIL
du
36. Organisation
Département
de
la
Acceptable
Gouvernance et du Support
(DGS) est pilote de la
conformité aux règles de
protection des données
personnelles et tient pour
chaque
traitement
la
documentation nécessaire :
l’analyse de conformité ou
l’étude
d’impact/
les
documents relatifs aux
transferts de données hors
Union européenne/ le registre
des traitements.
Les notes de procédure du
12/03/2018 et du 25/05/2018
encadrent la démarche de
conformité mise en œuvre à la
DGFiP. Ces notes sont
consultables sur l’intranet de
la DGFiP sur Nausicaa.
37. Politique (gestion des règles)
Charte ministérielle
Acceptable
Dans le cadre des nouveaux
traitements, des modifications
de traitements existants ayant
un impact sur la protection des
données et de la veille
38. Gestion des risques
triennale sur l’ensemble des
Acceptable
traitements le dispositif de
gestion des risques décrit ci-
dessous est mis en place :
- les projets de création ou
37
Mesures organisationnelles
Modalités de mise en œuvre
Acceptable /
Mesures correctives
(gouvernance)
ou justification sinon
à améliorer ?
d’évolution de traitement qui ne
présenteraient pas a priori un
risque élevé pour les droits et
libertés des personnes
concernées font l’objet d’une
analyse de conformité. Cette
analyse est basée sur un
questionnaire comprenant une
description systématique du
contexte, du traitement et une
analyse du respect des
principes fondamentaux ainsi
que les mesures garantissant
la sécurité des traitements.
- pour les traitements
considérés comme présentant
un risque élevé pour les droits
et libertés des personnes
concernées, une étude
d’impact relative à la protection
des données sera réalisée. A
cet effet, sera notamment
réalisée une étude de risque
basée sur la méthode EBIOS.
Les tests de recette réalisés
sur EAIv2 sont effectués via
des jeux de données
39. Gestion des projets
anonymisés et/ou fictifs.
Ségrégation des
environnements mis en
œuvre.
Sur signalement du bureau
chargé de la sécurité du
système d’information de la
DGFiP (bureau SI-2B) ou de
toute autre structure ayant
connaissance d’une violation
de données à caractère
personnel, la cellule du
DGSSI , en concertation avec
le DPD, notifiera à la CNIL,
dans les 72 heures après en
avoir pris connaissance, ces
violations qui résulteraient
40. Gestion des incidents et des
d’incidents de sécurité et plus
Acceptable
violations de données
généralement, d’accès non
autorisés, de modification non
désirée ou de disparition de
données, si elles engendrent
un risque pour les droits et
libertés des personnes
concernées. Le DPD sera
informé du signalement.
Un registre des violations est
tenu par l’équipe CNIL du
DSSSI.
L’information des personnes
concernées est également
requise si cette violation est
38
Mesures organisationnelles
Modalités de mise en œuvre
Acceptable /
Mesures correctives
(gouvernance)
ou justification sinon
à améliorer ?
susceptible d’engendrer un
risque élevé pour les droits et
libertés d’une personne.
Seront conservés pour chaque
traitement concerné :
- les références des violations
de données figurant au registre
correspondant ;
- le cas échéant, les
références de l’information des
personnes concernées.
En cas de perte ou de vol de
support stockant des données
à caractère personnel
(portable, clé USB, disque dur
amovible,
impressions
papier…), il incombe au
bureau ou service impacté de
le signaler par courriel avec
l’équipe CNIL du DGS (dgs-
protection-
xxxxxxx@xxxxx.xxxxxxxx.xxxx
.fr). Ce signalement devra
décrire la nature de la violation
de données à caractère
personnel y compris, si
possible, les catégories et le
nombre approximatif de
personnes concernées par la
violation et les catégories et le
nombre
approximatif
d’enregistrements de données
à caractère personnel
concernés.
La sensibilisation des agents
de la DGFiP aux principes de
protection des données à
caractère personnel est
assurée par :
- une formation en présentiel
organisé par le service Cap
numérique à destination de
tous les agents en charge de
41. Gestion des personnels
Acceptable
projets informatiques ;
- une e-formation ;
- un livret CNIL ;
- la publication sur le portail
informatique d’une page
exposant les grands principes
de la protection des données à
caractère personnel.
Les sous-traitants s’engagent
à respecter une clause de
42. Relations avec les tiers
confidentialité lors de la
Acceptable
signature de leur contrat.
Les modalités d’accès à
39
Mesures organisationnelles
Modalités de mise en œuvre
Acceptable /
Mesures correctives
(gouvernance)
ou justification sinon
à améliorer ?
l’application décrites supra
leur est également applicable.
EAIv2 fait l’objet de travaux
d’analyse de risques dans le
cadre de son homologation de
sécurité, conformément au
Référentiel Général de
Sécurité (RGS V2). Cette
43. Supervision
homologation sera révisée
Acceptable
régulièrement.
Par ailleurs, la cellule CNIL du
DGS assure un suivi régulier
du dossier au regard de sa
conformité au RGPD.
40
Document Outline
