La directive de l’Union européenne 2011/16 du 15 février 2011 relative à la coopération administrative dans le domaine fiscal établit un cadre harmonisé répondant aux besoins des Etats membres en matière d’assistance mutuelle dans le domaine fiscal et de coopération administrative entre autorités fiscales. Cette directive a été modifiée par la directive 2021/514 du 22 mars 2021 (ci-dessous « DAC 7 ») et par la directive 2023/2226 du 17 octobre 2023 (ci-dessous « DAC 8 »).

DAC 7 a été transposée au Luxembourg par la loi du 16 mai 2023, son objectif principal est d’introduire de nouvelles obligations à charge des opérateurs de plateforme numérique. En ce qui concerne DAC 8, son objectif principal est de prévoir un échange d’informations sur les cryptos-actifs. DAC 8 n’a pas encore été transposée au Luxembourg, ceci devant être fait pour la plupart de ses dispositions pour le 31 décembre 2025.

A côté de ces objectifs principaux, DAC 7 et DAC 8 prévoient d’autres dispositions amendant la directive 2014/107 du 9 décembre 2014 (ci-dessous « DAC 2 ») et, par voie de conséquence, elles modifient la loi luxembourgeoise du 18 décembre 2015 relative à la Norme Commune de Déclaration, mieux connue sous le nom de CRS (ci-dessous «la loi CRS »).

Nous avons repris ci-dessous certaines modifications apportées à la loi CRS par DAC 7 et DAC 8, soit déjà effectives soit encore à venir, afin d’en résumer les conséquences pratiques pour les institutions financières soumises à des obligations de reporting à l’Administration de Contributions Directes (ci-dessous « ACD ») sur base de la loi CRS.

• DAC 7 oblige les institutions financières à informer des personnes physiques du reporting CRS 

Suite à la transposition de DAC 7, l’article 5§4 de la loi CRS dispose que « chaque institution financière déclarante luxembourgeoise a l’obligation a) d’informer chaque personne physique concernée que des informations la concernant seront recueillies et transférées (…) ; et b) de transmettre à chaque personne physique concernée toutes les informations auxquelles elle peut avoir accès (…) dans un délai suffisant pour lui permettre d’exercer ses droits en matière de protection des données (…). »

Depuis le reporting CRS effectué en 2023, les institutions financières ont l’obligation d’informer les personnes physiques devant faire l’objet d’une déclaration, i.e. les titulaires de comptes et les personnes qui détiennent le contrôle d’une Entité Non-Financière Passive, qu’elles vont communiquer des informations les concernant à l’ACD sur base de la loi CRS. Les institutions financières ont dorénavant l’obligation d’informer ces personnes au moins une fois tous les ans, y compris en l’absence de changement de circonstances. Afin de respecter la condition du « délai suffisant », la pratique généralement admise est de considérer que l’information est à effectuer au moins un mois avant l’envoi du reporting CRS à l’ACD, et ce au moyen du canal habituel de communication entre l’institution financière et ces personnes.

En pratique, les informations qui doivent préalablement être notifiées aux personnes sont celles qui sont à communiquer à l’ACD dans le reporting CRS, à savoir le nom, l’adresse, le numéro d’identification fiscal, le(s) pays de résidence fiscale de la personne au(x)quel(s) le reporting CRS sera communiqué ainsi que les catégories de revenus et gains perçus sur le compte. La personne doit également être informée qu’elle peut, sur demande, accéder aux informations financières détaillées par catégorie de revenu si elles ne sont pas communiquées spontanément par l’institution financière.

Les institutions financières doivent donc inclure cette étape supplémentaire dans leur processus de production annuel du reporting CRS ainsi que dans leurs procédures internes. Elles peuvent par ailleurs s’attendre à recevoir des questions de clients qui ne comprendraient pas la justification ou l’utilité de cette information annuelle (surtout en l’absence de changement de circonstances) et/ou demander à accéder à leurs informations pour, le cas échéant, les faire modifier.

• DAC 8 oblige les institutions financières à confirmer la validité des auto-certifications

Pour se conformer à DAC 8, la loi CRS devra prévoir que chaque institution financière aura l’obligation de déclarer à l’ACD si une personne devant faire l’objet d’une déclaration lui a fourni « une auto-certification valide ».

Les commentaires de l’OCDE publiés dès 2014 concernant CRS prévoyaient déjà cette obligation d’effectuer un test de vraisemblance des auto-certifications « en s’appuyant sur les renseignements obtenus dans le cadre de l’ouverture du compte, y compris les documents recueillis en application des procédures AML/KYC ». Ce test doit inclure une vérification formelle de l’auto-certification ainsi que la vérification de la cohérence des informations fournies dans celle-ci au regard des informations obtenues dans le cadre de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme (ci-dessous « loi AML »). Cette cohérence doit être présente à l’entrée en relation et maintenue jusqu’à sa clôture, avec une attention spécifique portée sur les conséquences de changements de circonstance pouvant émailler la relation.

Selon les mêmes commentaires de l’OCDE, une institution financière peut considérer vraisemblable une auto-certification dès lors « qu’elle ne pense pas ou n’a pas de raison de savoir que l’auto-certification est inexacte ou n’est pas fiable ». Une auto-certification qui échouerait au test de vraisemblance doit en revanche être considérée comme non-valide et une nouvelle doit être obtenue, cohérente au regard des autres informations dont dispose l’institution financière.

L’obligation de vérifier la validité des auto-certifications n’est donc pas nouvelle, la modification apportée par DAC 8 est d’obliger les institutions financières à confirmer formellement leur validité à l’ACD dans le reporting CRS.

S’agissant des comptes ouverts postérieurement à l’entrée en vigueur de CRS, il est obligatoire d’obtenir à l’ouverture des comptes (et de la renouveler en cas de changement de circonstances) une auto-certification ayant franchi avec succès le test de vraisemblance, et ce pour chaque personne devant faire l’objet d’une déclaration CRS. Dès lors que l’ouverture de comptes a été validée par une institution financière, il semble peu probable qu’elle ne confirme pas la validité des auto-certifications reçues en relation avec ceux-ci. Il est cependant important que l’institution financière puisse justifier sa décision de considérer valide une auto-certification sur base de l’ensemble des informations qu’elle a reçues en conformité avec ses procédures internes d’ouverture de comptes.

Cependant, dans certains cas, il pourrait être justifiable qu’une institution financière ne confirme pas la validité d’une auto-certification, par exemple si le titulaire du compte est une société récemment constituée ou bien en cas d’un changement de résidence dès lors que le numéro fiscal n’aurait pas encore été délivré à la date d’envoi du reporting. Dans de tels cas, une bonne pratique serait que l’institution financière documente la ou les raisons qui l’aurait amené à indiquer que l’auto-certification n’est pas valide car l’ACD pourrait utiliser cette information pour investiguer plus en détails et poser des questions supplémentaires à l’institution financière.

• DAC 8 rappelle les interactions entre CRS et AML

L’article premier 7) a) de DAC 8 complète la précédente version de la directive en prévoyant que « les informations communiquées entre Etats membres [sur base de CRS] peuvent servir (…) à la lutte contre le blanchiment de capitaux et le financement du terrorisme. » Cette nouvelle référence à la lutte contre le blanchiment et le financement du terrorisme dans une directive sur l’échange d’informations fiscales met en évidence le rapprochement entre ces deux sujets.

Ce rapprochement devrait se concrétiser à deux niveaux. Tout d’abord dans l’organisation interne des institutions financières, qui doit lui permettre de vérifier la cohérence d’ensemble ainsi que la validité, de fond et de forme, des informations obtenues sur base des lois CRS et AML. Ensuite, dans la coopération entre l’ACD (en charge du contrôle des obligations de diligence incombant aux institutions financières sur base de la loi CRS) et les régulateurs du secteur financier, i.e. la Commission de Surveillance du Secteur Financier et le Commissariat Aux Assurances (en charge de vérifier que les institutions financières respectent leurs obligations dans le cadre de la lutte contre le blanchiment et le financement du terrorisme).

Aucun texte ne prévoyait de coopération entre les régulateurs du secteur financier et l’ACD jusqu’au vote de la loi du 20 décembre 2024 (entrée en vigueur au 27 décembre 2024). Une telle collaboration est à présent prévue par le nouvel article 16ter introduit dans la loi du 19 décembre 2008 sur la coopération inter-administrative et judiciaire. Cet article prévoit que : « l’ACD transmet [aux régulateurs du secteur financier] les informations recueillies dans le cadre de ses missions de vérification en matière de FATCA et de CRS susceptibles d’être utiles (…) pour assurer le respect, par les entités pour lesquelles [ils sont] l’autorité compétente, des obligations professionnelles en matière de lutte contre le blanchiment (…). » Cette nouvelle coopération prendra donc la forme d’un échange spontané de la part de l’ACD des informations permettant aux régulateurs du secteur financier de cibler efficacement leurs contrôles des institutions financières en ce qui concerne leurs obligations de lutte contre le blanchiment. Cet article 16ter introduit une exception à l’article 6 de la loi CRS qui prévoit que les informations recueillies par l’ACD lors de contrôles d’institutions financières ne peuvent être utilisées qu’aux fins de l’application de la loi CRS elle-même, mais pas pour lutter contre le blanchiment.

Inversement, l’article16ter prévoit un échange spontané d’informations des régulateurs du secteur financier vers l’ACD dès lors qu’ils auraient recueilli des informations dans le cadre de leur mission de contrôle susceptibles d'être utiles à l’ACD pour vérifier le respect de la loi CRS par les institutions financières.

Conclusion

Ces évolutions illustrent que la frontière entre les obligations prévues par les lois AML et CRS est de plus en plus poreuse.

Au niveau des institutions financières, la convergence des législations devrait se traduire par une vigilance renforcée portée sur la cohérence et la validité des informations reçues sur base des lois CRS et AML afin de, notamment, pouvoir confirmer qu’une auto-certification est valide. Les politiques internes et les procédures opérationnelles en vigueur au sein des institutions financières pourraient le cas échéant être amenées à évoluer pour refléter cette évolution.

Cette convergence devrait également se traduire par une collaboration plus régulière et efficace entre les différentes autorités de contrôle. Dans un cadre de collaboration renforcée, ces autorités devraient disposer de moyens de contrôle mieux adaptés et plus efficaces sur les institutions financières, lesquelles seraient dès lors davantage soumises à un risque de sanction en cas de manquement à leurs obligations découlant des lois CRS ou AML.

Enfin, l’obligation d’informer annuellement les personnes physiques du reporting CRS rajoute indéniablement une charge administrative supplémentaire aux institutions financières. Cependant, elles pourraient tirer avantage de cette obligation légale en rappelant régulièrement à leurs clients l’importance de fournir des informations exhaustives, valides et à jour pour leur permettre de produire un reporting CRS de qualité. Il en va de l’intérêt partagé des clients et des institutions financières.