(1)

La directive 2006/112/CE du Conseil (2), modifiée par la directive (UE) 2020/284 (3), introduit des obligations en matière de déclaration incombant aux prestataires de services de paiement à partir du 1er janvier 2024. À compter de cette date, les prestataires de services de paiement qui sont établis ou fournissent des services de paiement dans l’Union européenne doivent tenir certains registres des paiements transfrontaliers provenant de payeurs situés dans les États membres et conserver certaines informations sur les bénéficiaires, et les transmettre aux États membres aux fins de la lutte contre la fraude à la taxe sur la valeur ajoutée (TVA).

(2)

Conformément au règlement (UE) no 904/2010, modifié par le règlement (UE) 2020/283 (4), les États membres doivent transmettre ces registres à un système électronique central concernant les informations sur les paiements («CESOP»), dont le développement, la maintenance, l’hébergement et la gestion technique sont assurés par la Commission.

(3)

Afin d’assurer le bon fonctionnement du CESOP, et conformément aux dispositions de l’article 24 sexies, point a), du règlement (UE) no 904/2010, il est nécessaire d’adopter les mesures techniques pour la mise en place du CESOP. Ces mesures devraient prévoir les fonctionnalités du CESOP nécessaires au développement des fonctionnalités du système décrites à l’article 24 quater du règlement (UE) no 904/2010. Elles devraient également garantir une grande facilité d’utilisation en dotant le CESOP d’outils de recherche et de visualisation. En outre, le CESOP devrait faciliter les échanges d’informations entre les fonctionnaires de liaison Eurofisc en leur permettant d’échanger, de façon rapide et sécurisée, des informations sur la fraude à la TVA directement dans le CESOP. Il y a également lieu de définir les mesures à prendre par la Commission pour assurer la maintenance du CESOP après sa mise en service, afin de garantir les normes de qualité opérationnelle de l’infrastructure informatique du CESOP et de ses fonctionnalités et de faire en sorte que les mises à jour nécessaires soient effectuées, le cas échéant, pour le traitement des incidents du système entre la Commission et les États membres.

(4)

Les États membres, en tant que responsables du traitement du CESOP, sont chargés de sa gestion, tandis que la Commission, en tant qu’hébergeur et sous-traitant, assume un ensemble de responsabilités limitées à la gestion technique du CESOP, conformément à l’article 24 sexies, point b), du règlement (UE) no 904/2010. Ces responsabilités devraient comprendre les tâches techniques nécessaires à l’administration quotidienne du CESOP, telles que la tenue de registres des fonctionnaires de liaison Eurofisc qui accèdent au CESOP, la tenue de registres des prestataires de services de paiement ayant transmis des données aux États membres, la mise en place de mesures de sécurité organisationnelles appropriées pour le CESOP, ainsi que la mise à disposition de la formation et de l’assistance nécessaires pour permettre aux fonctionnaires de liaison Eurofisc d’utiliser efficacement le CESOP.

(5)

Conformément aux dispositions de l’article 24 ter, paragraphe 1, point b), du règlement (UE) no 904/2010, les États membres transmettent les données au CESOP dans un format commun. Il convient de définir les éléments de données que les prestataires de services de paiement doivent déclarer sous la forme d’un document XML. Afin de garantir l’interopérabilité globale entre les systèmes électroniques nationaux et le CESOP dans le cadre de l’article 24 ter, paragraphe 3, du règlement (UE) no 904/2010, les États membres devraient vérifier que les données transmises par les prestataires de services de paiement comprennent les éléments de données obligatoires et corrects d’un point de vue syntaxique visés à l’article 243 quinquies de la directive 2006/112/CE, étant donné que le CESOP ne peut fonctionner que si les données obligatoires sont correctement enregistrées dans le système.

(6)

Les États membres devraient désigner les fonctionnaires de liaison Eurofisc qui auront accès au CESOP et informer la Commission de leur décision. À cet égard, la Commission devrait fournir à ces fonctionnaires un identifiant unique leur permettant d’accéder au CESOP et tenir à jour une liste de tous les fonctionnaires de liaison Eurofisc qui ont accès au CESOP sur la base des informations communiquées par les États membres.

(7)

Conformément aux dispositions de l’article 24 sexies, point g), du règlement (UE) no 904/2010, la Commission doit établir des procédures visant à garantir que des mesures de sécurité techniques et organisationnelles appropriées pour le développement et le fonctionnement du CESOP sont en place. Plusieurs aspects de la sécurité des composantes centrales du CESOP dépendent également de la mise en œuvre de mesures nationales de sécurité, telles que des mesures visant à contrôler la sûreté des données transmises et des mesures visant à garantir que seul un fonctionnaire de liaison Eurofisc disposant d’un identifiant unique valide puisse accéder au CESOP. Par conséquent, les États membres devraient communiquer à la Commission des informations sur leurs propres mesures de sécurité. Les États membres et la Commission devraient se tenir mutuellement informés des mesures de sécurité prises et de la nécessité d’une mise à niveau de ces mesures.

(8)

Le traitement des données à caractère personnel au titre du présent règlement ainsi que les responsabilités des États membres et de la Commission sont soumis aux règles énoncées dans le règlement (UE) 2016/679 du Parlement européen et du Conseil (5) et dans le règlement (UE) 2018/1725 du Parlement européen et du Conseil (6). Conformément aux dispositions de l’article 24 sexies, point h), du règlement (UE) no 904/2010, il convient de définir les rôles et responsabilités des États membres et de la Commission en ce qui concerne la responsabilité du traitement du CESOP. Les États membres devraient conjointement être considérés comme responsables du traitement du CESOP, étant donné qu’ils décident des moyens de traitement et d’utilisation des données dans le CESOP. La Commission devrait être considérée comme un sous-traitant, dans la mesure où elle agit pour le compte des États membres dans l’accomplissement de toutes ses tâches.

(9)

Le présent règlement ne devrait s’appliquer qu’à partir du 1er janvier 2024 afin de faire coïncider son application avec celles du règlement (UE) 2020/283 et de la directive (UE) 2020/284.

(10)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 et a rendu un avis le 2 février 2022.

(11)

Les mesures prévues par le présent règlement sont conformes à l’avis du comité permanent de la coopération administrative,

a)

conserver et mettre à jour la liste des fonctionnaires de liaison Eurofisc qui ont accès au CESOP et de leur identifiant d’utilisateur personnel unique, conformément à l’article 5;

b)

mettre en œuvre les mesures de sécurité organisationnelles et techniques visées à l’article 6;

c)

établir, conserver et tenir à jour, sur la base des données fournies par les États membres, une liste des prestataires de services de paiement qui ont communiqué des données en application de l’article 24 ter, paragraphe 1, du règlement (UE) no 904/2010;

d)

accorder aux fonctionnaires de liaison Eurofisc qui ont accès au CESOP un accès automatisé à la liste tenue à jour conformément au point c);

e)

fournir une assistance technique aux fonctionnaires de liaison Eurofisc lorsqu’ils utilisent le CESOP;

f)

assurer la formation des fonctionnaires de liaison Eurofisc à l’utilisation du CESOP.