← Luxembourg

Projet de loi portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à cara

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 21 novembre 2016 Personne en charge du dossier: Roland Gaasch se 247 - 82953 SCL : L 5267 — 1697 / ak V/réf. 51.863 Doc. parl. 7049 Objet : Projet de loi portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Monsieur le Président, 1er Comme suite à ma lettre du septembre 2016, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre de Commerce sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard E-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.gouvernement.lu vvvvvv.luxembourglu CHAMBRE De COMMERCE LUXEMBouRG Luxembourg, le 4 novembre 2016 Re 1841-2016 17 t./ anniversaire Objet : Projet de loi n 0 7049 portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. (4700SBE) Saisine : Ministre des Communications et des Médias (23 août 2016) AVIS DE LA CHAMBRE DE COMMERCE Le projet de loi sous avis procède à une modification ciblée de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ci-après, la « Loi du 2 août 2002 »). Dans la perspective de l'entrée en vigueur du règlement européen 2016/679' qui a été adopté le 27 avril 2016 (ci-après, le « Règlement général sur la protection des données ») et qui constitue une profonde réforme de la législation en la matière, le projet de loi sous avis vise à alléger les formalités administratives lors de la mise en place de certains traitements de données à caractère personnel et en cas de transfert de données en dehors de l'Union européenne. Plus précisément, il est proposé de supprimer de la liste de traiternents de données soumis à l'autorisation préalable de la Commission nationale pour la protection des données (ci-après, la « CNPD ») à savoir (

  1. i)les traitements effectués à des fins de surveillance (y compris dans le cadre de la surveillance des salariés sur le lieu de travail), (
  2. ii)l'interconnexion de données2 et (iii) les traitements concernant le crédit et la solvabilité des personnes concernées lorsqu'ils sont effectués par des personnes autres que des professionnels du secteur financier ou des compagnies d'assurance concernant leurs clients (articles 1 et 2 du projet de loi). II est également proposé de ne plus soumettre à l'autorisation préalable de la CNPD, le transfert de données vers des pays tiers assurant un niveau de protection non adéquat, dès lors que ce transfert est entouré des garanties suffisantes (en termes de protection de la vie privée, des libertés et des droits fondamentaux des personnes concernées) par le biais (
  3. i)de clauses contractuelles reprenant les clauses contractuelles types adoptées par la Commission européenne ou (
  4. ii)de règles contraignantes d'entreprise approuvées par les autorités de protection des données des Etats membres concernés (article 3 du projet de loi). 1 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). 2 On peut définir l'interconnexion de données comme la mise en relation automatisée d'informations provenant de fichiers ou de traitements qui étaient au préalable distincts. Cette mise en relation peut consister (
  5. i)à transférer un fichier pour alimenter un autre fichier ou pour réaliser la fusion de ces fichiers, ou encore (
  6. ii)à mettre ponctuellement en relation plusieurs fichiers normalement gérés séparément. GAJURIDIQUE1AvisU016 \4700513E_PL_données à caractère personnetdocx CHAMBRE DE COMMERCE LUXEMBOURG 17 e 1 B41-2016 -2 anniversaire Considérations générales La Chambre de Commerce comprend que les trois types de traitement qui ne seront plus soumis à l'autorisation préalable de la CNPD 3 feront seulement, mais néanmoins encore, l'objet d'un contrôle a posteriori de la CNPD par le biais de la procédure de notification. Elle souligne en tout état de cause que le système de notification actuellement prévu par la Loi du 2 août 20024, sera lui-même remplacé, à compter de l'entrée en vigueur du Règlement général sur la protection des données, par le principe de responsabilité (« accountability ») du responsable de traitement pour tout traitement des données à caractère personnel qu'il effectue lui-même ou qui est réalisé pour son compte. La Chambre de Commerce comprend par ailleurs que si, par principe, les transferts de données vers des pays tiers assurant un niveau de protection non adéquat sont interdits sauf autorisation préalable de la CNPD, cette autorisation sera supprimée et les transferts de données vers les pays tiers seront possibles, toujours à titre de dérogation, pour autant que les exportateurs de données seront en mesure de fournir des garanties suffisantes au regard de l'utilisation qui sera faite de ces données par le destinataire, ainsi qu'au regard de l'exercice des droits des personnes concernées. Concrètement, ces garanties consisteront (
  7. i)soit dans l'insertion dans les accords entre les exportateurs et les destinataires de données, de clauses contractuelles types adoptées par la Commission européenne, (
  8. ii)soit dans la mise en place de règles contraignantes d'entreprise (autrement appelées « BCR » ou « Binding Corporate Rules »), qui peuvent constituer des alternatives plus adaptées pour les groupes de sociétés du fait qu'ils sont amenés à transférer régulièrement des données vers d'autres entités du groupe, établies sur le territoire de l'Union européenne mais également en dehors de celui-ci. Sur le fond, les clauses contractuelles types ressortent de deux décisions de la Commission européenne, qui ont été adoptées sur le fondement de l'article 26 paragraphe 4 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données5 (ci-après, la « Directive 95/46/CE »), à savoir : la décision 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu de la directive 95/46/CE ; la décision 2004/915/CE du 27 décembre 2004 modifiant la décision 2001/497/CE en ce qui concerne l'introduction d'un ensemble alternatif de clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers. Quant aux règles contraignantes d'entreprise, elles doivent reprendre les principes essentiels de la Directive 95/46/CE et être rendues obligatoires au sein du « groupe de travail Article 29 » ou « G29 » (lequel est composé des autorités de protection des données des Etats membres dans lesquels se situent les différentes entités du groupe). 3 Le nombre de traitements soumis à l'autorisation préalable, suivant l'article 14 de la Loi du 2 août 2002, passera ainsi de 7 à 4. 4 Voir spécialement les articles 12 et 13 de la Loi du 2 août 2002. 5 Nonobstant l'abrogation de la Directive 95/46/CE par le Règlement général sur la protection des données, ces deux décisions demeureront en vigueur jusqu'à ce qu'elles soient modifiées, remplacées ou abrogées. GMURIDIQUE \Avis12016\4700SEE_PLdonnées à caractère personnel docx CHAMERE DE COMMERCE LUXEMBOURG 17 3 e 1841-2016 anniversaire Elles constituent donc de véritables chartes ou codes de conduite internes, obligatoires pour toutes les entités juridiques du groupe, dans tous les pays, et sont à même de garantir un niveau adéquat de protection des données traitées par le groupe (données personnelles des employés, des clients et des fournisseurs). La Chambre de Commerce marque pleinement son accord avec l'ensemble des modifications proposées dans la mesure où : - elles s'inscrivent dans la poursuite des efforts de simplification administrative du Gouvernement, qui se traduit par un allègement des formalités à effectuer par les responsables de traitement auprès de la CNPD ; elles ne remettent pas en cause le niveau de protection des personnes visées par les traitements ou les transferts de données ; elles devraient ainsi permettre aux acteurs concernés (CNPD et entreprises) de se consacrer à la préparation et à l'anticipation des nouvelles règles européennes en la matière et donc faciliter la transition vers le Règlement général sur la protection des données. La Chambre de Commerce soutient particulièrement l'idée, exprimée dans l'exposé des motifs, que l'atténuation de l'engorgement de la CNPD devrait lui permettre de dégager du temps en vue de la sensibilisation des entreprises aux nouvelles règles européennes et à l'élaboration des futures lignes directrices prévues par le Règlement général sur la protection des données. Aux yeux de la Chambre de Commerce, cet objectif est d'autant plus essentiel pour les entreprises que les nouvelles règles européennes, à la fois nombreuses et complexes, seront directement applicables au Luxembourg à compter du 25 mai 20186 et qu'à cette même date, sera abrogée la Directive 95/46/CE dont la Loi du 2 août 2002 a effectué la transposition. Commentaire des articles A titre liminaire, la Chambre de Commerce relève que l'insertion, avant le premier article du projet de loi du titre suivant « Chapitre ier Modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. » n'a pas sa place dans le texte du présent projet de loi et demande que ce titre soit biffé. Concernant l'article ler Cet article, qui supprime les lettres (b), (
  9. d)et (
  10. e)du paragraphe

(1)de l'article 14 de la Loi du 2 août 2002, a notamment pour effet de soustraire trois catégories de traitements de la procédure d'autorisation préalable, parmi lesquels les traitements à des fins de surveillance sur le lieu de travail (lettre (b)). Etant donné que l'article L. 261-1 du Code du travail (qui précise les conditions dans lesquelles un tel traitement peut être mis en ceuvre par l'employeur) renvoie à l'article 14 de la Loi du 2 août 2002, il conviendrait également de le modifier dans un souci de cohérence juridique. En particulier, le renvoi (opéré par l'article L. 261-1 du Code du travail) à l'article 14 6 Les dispositions du Règlement général sur la protection des données seront « directement applicables dans les Etats membres », ce qui signifie qu'elles ne nécessiteront pas l'adoption de mesures nationales de transposition. G*1JURIDIQUE\Atu12016\4700SBE_PL_données é caractère personnel.clocx CHAMBRE DE COMMERCE LUXEMBOURG 17 4 e 1841-2016 anniversaire de la Loi du 2 août 2002 devrait être supprimé. Concernant l'article 3 Le paragraphe
(2)de l'article 3 du projet de loi complète l'article 19, paragraphe
(1)de la Loi du 2 août 2002 qui, à titre de dérogation, fixe les conditions alternatives suivant lesquelles un transfert de données vers un pays n'assurant pas un niveau adéquat de protection, peut toutefois être effectué. II prévoit que « le transfert ou l'ensemble de transferts de données soit entouré de garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes concernées, ainsi qu'à l'exercice des droits correspondants, résultant de clauses contractuelles reprenant les clauses contractuelles types adoptées par la Commission européenne en application de l'article 26 paragraphe
(4)de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 ou de règles contraignantes d'entreprise approuvées par les autorités de protection des données des Etats membres concernés». La Chambre de Commerce se demande si, pour plus de lisibilité, il ne serait pas préféra ble : soit de mentionner les décisions de la Commission européenne fixant les clauses contractuelles types directement dans le (au lieu des « clauses contractuelles types adoptées par la Commission européenne en application de l'article 26 paragraphe
(4)de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 )>) ; soit, à tout le moins, de faire figurer la référence de ces deux décisions en note de bas de page. Après consultation de ses ressortissants, la Chambre de Commerce approuve le projet de loi sous avis. SBE/DJI 7 Pour rappel, s'agit de : - la décision 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu de la directive 95/46/CE ; la décision 2004/915/CE du 27 décembre 2004 modifiant la décision 2001/497/CE en ce qui concerne l'introduction d'un ensemble alternatif de clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers. G. \JURIDIQUE \Avis \201614700SEE2Ldonnées à caractère personnel docx

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.