ECLI:BE:GBAPD:2025:AVIS.20250123.1

Avis n° 01/2025 du 23 janvier 2025 Objet: Demande d’avis concernant un projet de décret portant assentiment à l’accord de coopération du 8 juillet 2024 entre l’Etat fédéral et la Région Wallonne relatif à l’exécution des articles 19/1 à 19/3 de la loi du 15 mars 2014 portant exécution du pacte de compétitivité, d’emploi et de relance (CO-A-2024-292) Mots-clés : inondations juillet 2021 – régime d’aide fiscale pour les employeurs – principe de minimisation – sources (authentiques) de données – responsable du traitement – délai de conservation Introduction : L’avis concerne un projet de décret portant assentiment à l’accord de coopération du 8 juillet 2024 entre l’Etat fédéral et la Région wallonne qui entend mettre en œuvre un régime d’aide fiscale instauré par les articles 19/1 à 19/3 de la loi du 15 mars 2014 portant exécution du pacte de compétitivité, d’emploi et de relance (ci-après « l’accord de coopération »), lequel permet aux employeurs touchés par les inondations survenues en Région wallonne en juillet 2021 de bénéficier d’une dispense partielle de versement de précompte professionnel relatifs à la rémunération de leurs travailleurs. L’Autorité relève principalement que l’accord de coopération devrait : - assurer une meilleure prévisibilité en ce qui concerne le recours envisagé aux sources (authentiques) de données visées ; et - mentionner les responsables du traitement et le délai de conservation des données à caractère personnel. Pour une liste exhaustive des observations, se rapporter au dispositif (p. 9) Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité »), Présent.e.s : Mesdames Cédrine Morlière, Nathalie Ragheno et Griet Verhenneman et Messieurs Yves- Alexandre de Montjoye, Bart Preneel et Gert Vermeulen; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA ») ; Vu l’article 43 du règlement d’ordre intérieur selon lequel les décisions du Service d’Autorisation et d’Avis sont adoptées à la majorité des voix ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »); Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD »); Vu la demande d'avis de Monsieur Willy Borsus, Président du Parlement wallon (ci-après « le demandeur »), reçue le 17 décembre 2024; Vu les informations complémentaires reçues le 9 janvier 2025 ; Émet, le 23 janvier 2025, l'avis suivant : I. OBJET ET CONTEXTE DE LA DEMANDE D’AVI 1. En date du 17 décembre 2024, le Président du Parlement wallon a sollicité l’avis de l’Autorité concernant les articles 6 à 9 de l’accord de coopération du 8 juillet 2024 entre l’Etat fédéral et la Région wallonne relatif à l’exécution des articles 19/1 à 19/3 de la loi du 15 mai 2014 portant exécution du pacte de compétitivité, d’emploi et de relance, auquel le projet de décret porte assentiment. 2. Ainsi que son intitulé l’indique, l’accord de coopération entend exécuter les articles 19/1 à 19/3 de la loi du 15 mai 2014 portant exécution du pacte de compétitivité, d’emploi et de relance 1 (ci-après la « loi du 15 mai 2014 »), qui mettent en place un régime d’aide au bénéfice des employeurs touchés par une calamité naturelle ayant eu lieu à partir du 1 er juillet 2021, conforme aux conditions des règlements (UE) n° 651/20142, n° 702/20143, n° 1388/20144. Cette aide peut aller jusqu’à une dispense de 30% du précompte professionnel des rémunérations des travailleurs payées au cours des 40 mois qui suivent le mois endéans lequel la calamité naturelle a eu lieu. A cette fin, l’article 19/2, alinéa 1, de la loi du 15 mai 2014 prévoit que dans le cas où une région est touchée par une inondation ayant été formellement reconnue par la région comme calamité naturelle, cette région peut demander au ministre qui a les Finances dans ses attributions, endéans une période de 24 mois qui débute à partir du premier jour du mois qui suit le mois endéans lequel la calamité naturelle s’est produite, une aide fiscale fédérale sous la forme d’une dispense partielle de versement de précompte professionnel pour les employeurs touchés par ladite calamité naturelle. Pour ce faire, l’article 19/2, alinéa 2, de la loi du 15 mai 2014 prévoit qu’un accord de coopération doit être conclu entre l’Etat fédéral et la région concernée, répondant aux conditions y fixées, afin de mettre en place un processus d’échanges d’information devant garantir que l’aide fournie par l’Etat fédéral ne dépasse pas l’intensité maximale de l’aide telle que déterminée par les règlements européens précités. L’article 19/2, alinéa 2 précité prévoit également que le Roi doit inclure cette calamité dans le champ d’application de l’article 275 9/1 du Code des impôts sur les revenus 1992 (ci-après le « CIR 92 »)5. 3. C’est dans ces conditions que l’accord de coopération auquel le projet de décret porte assentiment vise à rendre opérationnel ce régime d’aide6 pour les employeurs7 touchés par les inondations ayant eu lieu en Région wallonne en juillet 2021 en définissant les conditions d’obtention de l’aide, déterminant les modalités de calcul et en organisant la procédure nécessaire à son obtention de manière à coordonner l’action de l’Etat fédéral et de la Région wallonne. 4. Concrètement, l’article 6 de l’accord de coopération prévoit que l’employeur concerné doit remplir le formulaire visé à l’article 2759/1 CIR 92 et le soumettre auprès de la société anonyme Wallonie Entreprendre (ci-après « WE »)8 ou du Service Public de Wallonie Agriculture, Ressources naturelles et Environnement (ci-après le « SPW ARE ») selon que l’aide demandée entre dans le champ d’application respectivement de l’article 50 du règlement (UE) n° 651/2014, ou de l’article 37 du règlement (UE) n° 2022/2472 ou de l’article 49 du règlement (UE) n° 2022/2473. En vertu des articles 8 et 10 de l’accord de coopération, il revient à WE ou SPW ARE d’émettre une attestation établissant notamment le montant maximal éligible à l’aide fédérale, ainsi que le montant définitivement constaté du dommage matériel aux actifs et le montant définitivement constaté des pertes de revenus. En vertu des articles 9 et 11 de l’accord de coopération, cette attestation est ensuite transmise sous forme électronique par WE ou SPW ARE au « Centre PME Matières spécifiques – Précompte professionnel compétent » qui prend alors en charge le traitement du dossier. 5. Le projet se limite à porter assentiment à l’accord de coopération précité du 8 juillet 2024 (qui est déjà signé par les parties concernées). Interrogé sur le point de savoir dans quelle mesure les observations éventuelles de l’Autorité pourraient être prises en compte, le demandeur a répondu qu’il ne sera « pas en mesure d’intégrer les éventuelles remarques du SAA dans l'accord de coopération car toute modification de celui-ci entraînerait une nouvelle date d’adoption, risquant ainsi de rendre le régime d’aide caduc. Cela s’explique par l’exigence fixée à l’article 50, paragraphe 3, du Règlement 651/2014, qui impose que l’accord de coopération soit adopté dans les trois ans suivant les inondations de juillet 2021. Cette condition, actuellement respectée, pourrait ne plus l’être en cas de modification du texte. […] » Il aurait été préférable que l’Autorité soit consultée à un stade antérieur afin que ses observations éventuelles puissent être répercutées dans l’accord de coopération du 8 juillet 2024. 6. Seules les dispositions de l’accord de coopération appelant des commentaires seront examinées dans le cadre du présent avis. II. EXAMEN DE LA DEMANDE D’AVI 1. Finalités 7. Il ressort de manière certaine et non ambiguë de l’article 2, 1° de l’accord de coopération, lequel se réfère aux articles 19/2 de la loi du 15 mai 2014 et 275 9/1 CIR 92 qu’il s’agit de permettre aux employeurs touchés par les inondations qui sont survenues en Région wallonne en juillet 2021 de bénéficier d’une dispense partielle de versement de précompte professionnel de la rémunération de leurs travailleurs et de permettre aux autorités/entités publiques compétentes (régionales et fédérales) d’examiner la demande d’aide et de réaliser les contrôles nécessaires à cette fin. Il s’agit d’une finalité déterminée, explicite et légitime au sens de l’article 5.1.b) du RGPD. 2. Personnes concernées (art. 2, 2° de l’accord de coopération) 8. Une définition claire et sans ambiguïté des personnes concernées dont les données à caractère personnel sont traitées participe à assurer la prévisibilité d’une norme encadrant des traitements de données à caractère personnel. A cet égard, l’Autorité estime que la définition d’« employeur » visée à l’article 2, 2° de l’accord de coopération peut poser question dans la mesure où elle se réfère à un « entrepreneur » ainsi qu’à « une entreprise inscrite à la BCE ». Or, en vertu des articles I.1° et III.16 du Code de droit économique est une entreprise inscrite à la BCE « toute personne physique qui exerce une activité professionnelle à titre indépendant » et « toute personne morale ». Il semble dès lors redondant de viser tant un « entrepreneur » (personne physique) qu’une « entreprise » vu que la notion d’entreprise au sens du Code de droit économique comprend déjà la notion de personne physique exerçant une activité professionnelle à titre d’indépendant. Ce point de détail légistique mériterait d’être clarifié. 3. (Catégories de) données (art. 6, §2 de l’accord de coopération) 9. L’article 6, §2 de l’accord de coopération prévoit que l’employeur introduit sa demande sur la plateforme web prévue à cet effet et joint à sa demande l’ensemble des documents listés sur ladite plateforme web. 10. Interrogé quant aux documents qui devront être joints à la demande, il a été répondu qu’il s’agit de : • « Arrêté du Ministre-Président et ses annexes reprenant la décision d'octroi de l'aide à la réparation, émise par le Ministre-Président wallon et transmise par le SRC ou Quittance de la compagnie d'assurance confirmant le montant de l'indemnisation accordée pour les dommages matériels ; • Fichier Excel permettant d'établir la perte d'exploitation + attestation sur l'honneur complétée par le comptable mandaté par l'entreprise. » 11. L’APD en prend note et estime que dans la mesure où les documents qui doivent être joints par l’employeur à sa demande d’aide peuvent être déduits de manière certaine et non équivoque de l’article 2759/1 CIR 929 ou de l’accord de coopération10, il n’est pas nécessaire de les mentionner explicitement dans l’accord de coopération. Cela étant dit, rien n’empêche les parties à l’accord de coopération d’ajouter cette précision afin de respecter au mieux le principe de légalité. 4. Collectes indirectes de données (art. 7, alinéa 3 de l’accord de coopération) 12. L’article 7 alinéa 3 de l’accord de coopération prévoit que WE ou le SPW ARE « peut recourir aux banques de données officielles ou à d’autres sources d’informations authentiques nécessaires à l’examen du dossier ». 13. Interrogé sur le point de savoir ce qui était visé concrètement par « les banques de données officielles » et « autres sources d’informations authentiques » audit article 7, alinéa 3 de l’accord de coopération, il a été répondu ce qui suit : « Il pourrait être fait appel aux sources authentiques suivantes : • la Banque-carrefour des entreprises (open source) • la Banque-carrefour de sécurité sociale, (uniquement consultable par le SPF Finance) • la Banque nationale de Belgique (centrale des bilans - open source) • le Registre national et l’Office national de sécurité sociale (uniquement consultable par le SPF Finance) Des informations pourraient également être trouvées via des sources publiques officielles telles que le Moniteur belge. » 14. Il ressort de la réponse du demandeur que les auteurs de l’accord de coopération ont bel et bien une idée claire des sources (authentiques) de données qui seront consultées. Afin d’assurer la prévisibilité requise à la consultation des sources (authentiques) de données qui est concrètement envisagée à l’article 7, alinéa 3 de l’accord de coopération, il conviendrait de mentionner les sources de données visées, en lieu et place de se référer à des « banques de données officielles » et d’ « autres sources d’informations authentiques ». Cela permettrait aux employeurs concernés d’avoir une vision claire et prévisible des collectes indirectes de données les concernant11. 15. Toujours afin de respecter le principe de prévisibilité, il conviendrait de veiller à ce que le libellé de l’article 7, alinéa 3 de l’accord de coopération, reflète correctement la consultation des sources de données qui est réellement envisagée. En d’autres termes, cette disposition devrait être libellée de manière telle qu’il puisse être compris quelle(s) autorité(s) publique(s) (fédérales ou régionales) peut consulter quelle(s) source(s) (authentique(s)) de données afin d’examiner le dossier. Tel ne semble en effet pas être le cas en l’état, à la lumière des informations complémentaires reçues : ce serait le SPF Finances (et non WE ou le SPW ARE) qui consulteraient certaines sources de données visées. 16. Afin de respecter le principe de nécessité, il conviendrait également de veiller à ce que seules les sources de données nécessaires à la réalisation de la finalité poursuivie soient mentionnées. Ainsi, a priori, l’Autorité ne comprend pas pour quelle raison le recours au Registre national serait nécessaire pour examiner le dossier relatif à une demande de dispense partielle de versement de précompte professionnel pour les employeurs touchés par les inondations de juillet 2021. A défaut d’une justification du caractère nécessaire du recours au Registre National dans l’Exposé des motifs de l’accord de coopération, la consultation de cette source authentique de données ne pourra pas être effectuée. 17. Toujours afin de respecter le principe de nécessité, il conviendra de veiller également à ce que le SPF Finances (« Centre PME Matières spécifiques – Précompte professionnel ») ne consulte pas une source (authentique) de données visée si la donnée pertinente et nécessaire est déjà disponible auprès de WE ou de SPW ARE et qu’elle lui est transmise. 18. Il revient encore aux auteurs de l’accord de coopération de vérifier que la consultation envisagée des sources authentiques de données pour la réalisation de la finalité qui est poursuivie respecte la norme législative qui encadre chacune des sources authentiques de données visée, à défaut de quoi celle-ci ne pourra pas avoir lieu. 5. Responsable(s) du traitement 19. L’Autorité constate que l’identité du ou des responsable(s) du traitement n’est pas indiquée dans l’accord de coopération. La détermination par la loi du ou des responsable(s) du traitement participe également à la prévisibilité de la loi et à l’effectivité des droits des personnes concernées consacrés par le RGPD. L’Autorité en profite pour rappeler que la désignation des responsables du traitement doit être adéquate au regard des circonstances factuelles 12. En d’autres termes, il est nécessaire de vérifier pour chaque traitement de données à caractère personnel quelle entité, dans les faits, poursuit la finalité du traitement et dispose de la maitrise du traitement. 20. En l’espèce, il semble ressortir des articles 6, 10 et 11 de l’accord de coopération que WE et SPW ARE sont responsables du traitement des traitements de données effectués à partir de la réception du formulaire de demande d’aide vise à l’article 275 9/1 CIR92 jusqu’à la transmission de l’attestation visée à l’article 8 de l’accord de coopération et que le SPF Finances (« Centre PME Matières spécifiques – Précompte professionnel ») est responsable du traitement dès qu’il reçoit l’attestation précitée. 21. Il conviendrait dès lors de compléter l’accord de coopération en désignant les responsables du traitement. 6. Délai de conservation 22. En vertu de l'article 5.1.e) du RGPD, les données à caractère personnel ne peuvent pas être conservées sous une forme permettant l’identification des personnes concernées pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées. 23. L'Autorité constate que le projet ne prévoit aucun délai de conservation des données à caractère personnel traités. 24. Interrogé quant à la durée du délai de conservation, il a été répondu ce qui suit : « En ce qui concerne la durée de conservation des données à caractère personnel, il convient de préciser que les organismes compétents en Région wallonne ne recueilleront que des données comptables, excluant ainsi toute donnée à caractère personnel. Les données ne seront conservées par Wallonie Entreprendre que pendant la durée nécessaire au SPF Finances pour calculer le montant final de l'intervention. » 25. Dans la mesure où l’employeur concerné peut être une personne physique, des données comptables se rapportant à cet employeur sont des données à caractère personnel au sens de l’article 4.1) du RGPD13. De plus, sont également traités en vertu de l’accord de coopération d’autres données à caractère personnel, telles que l’identité de l’employeur, l’adresse, le numéro de parcelle de l’établissement ou des établissements ayant subi la calamité naturelle. 26. Dans ces conditions, à la lumière de l'article 6.3 du RGPD, il conviendrait de préciser dans l’accord de coopération le délai de conservation (maximal) des données à caractère personnel qui feront l’objet du traitement, ou à tout le moins, que les données des employeurs concernés seront conservées le temps nécessaire pour permettre au SPF Finances (« Centre PME Matières spécifiques – Précompte professionnel ») de calculer le montant final de l’intervention. PAR CES MOTIFS, L’Autorité estime qu’il convient de : - Clarifier la définition d’ « employeur » visée à l’article 2, 2° de l’accord de coopération (point 8) ; - Mentionner, à l’article 7, alinéa 3 de l’accord de coopération, les sources authentiques de données visées, en lieu et place de se référer à des « banques de données officielles » et d’« autres sources d’informations authentiques » (point 14) ; - Veiller à ce que le libellé de l’article 7, alinéa 3 de l’accord de coopération, reflète correctement la consultation des sources de données qui est réellement envisagée (point 15) ; - Veiller à ce que seules les sources authentiques de données nécessaires à la réalisation de la finalité poursuivie soient mentionnées (point 16) ; - compléter l’accord de coopération en désignant les responsables du traitement (point 20) ; - préciser dans l’accord de coopération le délai de conservation des données traitées (point 26). Pour le Service d’Autorisation et d’Avis, (sé) Cédrine Morlière, Directrice Document PDF ECLI:BE:GBAPD:2025:AVIS.20250123.1 Publication(s) liée(s) précédé par: ECLI:BE:GBAPD:2025:DEC.20250107.1