← Luxembourg

Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Personne en charge du dossier: Jean-Luc Schleich 247 - 82954 Luxembourg, le 8 mars 2018 SCL : L 5384 - 410 / ak V/réf. 52.422 Doc. parl. 7184 Objet : Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de rÉtat et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Monsieur le Président, À la demande du Ministre des Communications et des Médias, j'ai l'honneur de vous saisir d'amendements gouvernementaux relatifs au projet de loi sous rubrique. À cet effet, je joins en annexe le texte des amendements avec un commentaire ainsi qu'une version coordonnée du projet de loi tenant compte desdits amendements. Les avis de la Commission nationale pour la protection des données, du Procureur général d'État, de la Cour Supérieure de Justice, des Barreaux de Luxembourg et de Diekirch, de la Commission Consultative des Droits de l'Homme, de l'Ombudsman, de la Chambre des salariés, de la Chambre des fonctionnaires et employés publics, de la Chambre de commerce, de la Chambre des métiers, de la Chambre d'agriculture et de l'Institut des Réviseurs d'Entreprises ont été demandés et vous parviendront dès réception. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Premier Ministre Ministre d'État Le Ministre aux Relations avec le Parlement 171-000039-20 Fernand Etgen 43, boulevard F.-D. Roosevelt Tél. (+352) 247-82952 scl@scl.etat.lu www.gouvernementiu L-2450 Luxembourg Fax (+352) 46 74 58 www.legilux.lu www.luxembourg.lu Projet d'amendements gouvernementaux au projet de loi n°7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physigues à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi du 2 août 2002 relative à la protection des personnes physigues à l'égard du traitement des données à caractère personnel Texte des amendements Amendement 1 L'intitulé du projet de loi est remplacé par les termes suivants : Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physigues à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi du 2 août 2002 relative à la protection des personnes physigues à l'égard du traitement des données à caractère personnel Commentaire Suite aux modifications apportées à l'article L. 261-1 du Code du travail, il y a lieu d'en prendre compte dans l'intitulé du projet de loi. La référence à la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat est redressée, dans la mesure où cette loi a déjà été modifiée, par l'ajout du terme « modifiée ». Amendement 2 ll est inséré un nouveau Titre ler qui prend la teneur qui suit : « Titre ler — Dispositions générales » Commentaire Vu l'introduction d'un chapitre concernant le champ d'application au projet de loi, il s'avère nécessaire de procéder à un nouveau groupement des chapitres et sections existants. Amendement 3 11 est inséré un nouveau chapitre 1er qui prend la teneur qui suit : « Chapitre 1er — Champ d'application » Commentaire Cet amendement est une conséquence logique des amendements 4 et 5, et vise notamment à permettre une vue d'ensemble des dispositions relatives au champ d'application du règlement (UE) 2016/679 et de la présente loi. Du fait de l'insertion de ce nouveau chapitre 1er, la numérotation des chapitres subséquents changera en conséquence. Amendement 4 11 est inséré un nouvel article 1er qui prend la teneur qui suit : « Art. 1". Tout traitement de données à caractère personnel par les organismes du secteur public qui n'est pas couvert par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, désigné ci-après par le terme « règlement (UE) 2016/679 » ni par la loi du jilmm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, est couvert par les dispositions du règlement (UE) 2016/679 et de la présente loi, à l'exception des textes léqaux existants qui prévoient d'autres dispositions spécifiques en matière de protection des données à caractère personnel. » Commentaire L'article 2, paragraphe 2, lettre a, du règlement (UE) 2016/679 exclut du champ d'application dudit règlement les activités qui ne relèvent pas du champ d'application du droit de l'Union. Le champ d'application de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale est également limité. II en résulte que certaines activités pourraient ne relever ni du champ d'application du règlement (UE) 2016/679, ni de celui de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Afin de remédier à cette situation de vide juridique et d'éviter de créer un troisième régime de protection des données à caractère personnel qui ne prêterait qu'à confusion tant pour les personnes concernées que pour les responsables de traitement et sous-traitants, l'amendement 4 vise à couvrir ces activités. L'amendement prévoit que le traitement de données à caractère personnel par un organisme du secteur public qui n'est pas couvert par le champ d'application du règlement (UE) 2016/679 ni par la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale est tout de même couvert par le règlement (UE) 2016/679 et la présente loi. Cet amendement assure que les activités qui ne sont pas couvertes par les dispositions du règlement (UE) 2016/679 et la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale soient couvertes par un régime général relatif à la protection des données à caractère. Du fait de l'insertion de ce nouvel article 1, la numérotation des articles subséquents changera en conséquence. Amendement 5 L'article 55 devient le nouvel article 2 qui prend la teneur qui suit : « Art. 2. La présente loi s'applique aux responsables de traitement et aux sous-traitants établis sur le territoire luxembourgeois. » Commentaire Suite au remaniement des différents chapitres et afin de regrouper les articles relatifs au champ d'application, cet article est déplacé. Amendement 6 A l'article 6 initial, devenant le nouvel article 8, les termes « du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'éqard du traitement des données à caractère personnel et à la libre circulation de ces données, et abroqeant la directive 95/46/CE, désiqné ci-après par le terme « règlement (UE) 2016/679 » » sont supprimés ». Commentaire Cette modification est nécessaire suite à l'introduction du nouvel article 2. Amendement 7 L'article 47 initial, devenant le nouvel article 49, est remplacé par le libellé qui suit : « Art. 49. Les comptes de la CNPD sont tenus selon les règles de la comptabilité commerciale. L'exercice financier coïncide avec l'année civile. Avant le 30 iuin de chaque année, le président du collèqe de la CNPD soumet au collèqe les comptes annuels comprenant le bilan et le compte de profits et pertes ainsi que l'annexe arrêtés au 31 décembre de l'exercice écoulé, ensemble avec son rapport d'activité et le rapport du réviseur d'entreprises aqréé. Le budget annuel de la CNPD est proposé au collèqe par le président du collèqe avant le 31 décembre pour l'année qui suit. Les comptes annuels au 31 décembre de l'exercice écoulé ensemble avec le rapport du réviseur d'entreprises aqréé, le rapport d'activité et le budget annuel sont transmis au Gouvernement en conseil qui décide de la décharqe à donner à la CNPD. La décision constatant la décharqe accordée à la CNPD ainsi que les comptes annuels de la CNPD sont publiés au Journal officiel. Le Gouvernement en conseil nomme un réviseur d'entreprises aqréé sur proposition du collèqe de la CNPD. Le réviseur d'entreprises aqréé a pour mission de vérifier et de certifier les comptes annuels de la CNPD. Le réviseur d'entreprises aqréé est nommé pour une période de 3 ans renouvelable. II peut être charqé par le collèqe de la CNPD de procéder à des vérifications spécifiques. Sa rémunération est à la charqe de la CNPD. » Commentaire L'Institut des réviseurs d'entreprises propose dans son avis un alignement de la mission du réviseur d'entreprises agréé de la CNPD par rapport aux autres lois portant création d'établissements publics. Dans cette optique l'amendement 7 prévoit une reformulation du texte du projet de loi. II s'agit du texte proposé par l'Institut des réviseurs d'entreprises dans son avis. Amendement 8 A l'article 48 initial, devenant le nouvel article 50, le paragraphe 2 est supprimé. Commentaire Compte tenu de l'amendement 7, ce paragraphe devient superflu. Amendement 9 L'article 50 initial, devenant le nouvel article 52, est remplacé par le libellé qui suit : « Art. 52.

(1)La CNPD peut, par voie de décision, infliger au responsable de traitement ou sous-traitant des astreintes jusqu'à concurrence de 5 pour cent du chiffre d'affaires iournalier moyen réalisé au cours de l'exercice social précédent, respectivement au cours du dernier exercice social clos, par iour de retard à compter de la date qu'il fixe dans sa décision, pour le contraindre: 1) à communiquer toute information que la CNPD a demandée en application de l'article 58, paraqraphe 1, lettre a du règlement (UE) 2016/679 ; 2) à respecter une mesure correctrice que la CNPD a adopté en vertu de l'article 58, paraqraphe 2, lettres c), d), e), f), q), h) et i) du règlement (UE) 2016/679. Pour les besoins de l'application du présent paraqraphe, les agents de l'Administration de l'Enregistrement et des Domaines sont tenus de communiquer à la CNPD tous renseignements qu'ils détiennent et qui sont nécessaires à la fixation des astreintes.
(2)Lorsque les responsables de traitement ont satisfait à l'obliqation pour l'exécution de laquelle l'astreinte a été infliqée, la CNPD peut fixer le montant définitif de celle-ci à un chiffre inférieur à celui qui résulte de la décision initiale. Commentaire La CNPD indique dans son avis qu'il serait préférable que la procédure liée à l'exécution des astreintes soit expressément décrite dans la présente loi, plutôt que via une référence aux articles 2059 à 2066 du Code civil. L'amendement 9 vise à répondre à cette demande en introduisant une procédure spécifique liée aux astreintes. Le texte proposé reprend la même procédure que celle appliquée par le Conseil de la concurrence à l'article 22 de la loi modifiée du 23 octobre 2011 relative à la concurrence. Amendement 10 II est inséré un nouvel article 56 qui prend la teneur qui suit : « Art. 56. La CNPD peut ordonner l'insertion intéqrale ou par extraits de ses décisions rendues par la voie des journaux ou de toute autre manière, aux frais de la personne sanctionnée. » Commentaire Conformément à l'article 84 du règlement (UE) 2016/679, les Etats membres peuvent prévoir d'autres sanctions applicables en cas de violations du règlement (UE) 2016/679, de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ou de la présente loi. Cette sanction était déjà prévue dans la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel et s'est avérée être utile et dissuasive. Amendement 11 II est ajouté une nouvelle section XIII qui prend la teneur suivante : « Section XIII. Prescriptions des astreintes » Commentaire L'amendement 11 est une conséquence de l'introduction d'une procédure spécifique en matière d'astreintes. La dérogation au régime général nécessite de prévoir des prescriptions en matière d'astreintes. Amendement 12 11 est ajouté un nouvel article 57 qui prend la teneur suivante : « Art. 57.
(1)Le pouvoir conféré à la CNPD en vertu de l'article 52 est soumis au délai de prescription de trois ans.
(2)La prescription court à compter du jour où le traitement a pris fin.
(3)La prescription est interrompue par tout acte de la CNPD. L'interruption de la prescription prend effet le jour où l'acte est notifié au responsable de traitement ou soustraitant ayant participé au traitement.
(4)L'interruption de la prescription vaut à l'éqard du responsable de traitement et du soustraitant ayant participé à l'infraction.
(5)La prescription court à nouveau à partir de chaque interruption. Toutefois, la prescription est acquise au plus tard le jour où un délai éqal au double du délai de prescription arrive à expiration sans que la CNPD ait prononcé une astreinte. Ce délai est prorogé de la période pendant laquelle la prescription est suspendue conformément au paraqraphe 6.
(6)La prescription d'astreintes est suspendue aussi lonqtemps que la décision de la CNPD fait l'objet d'une procédure pendante devant le Tribunal administratif. » Commentaire L'amendement 12 introduit la prescription du pouvoir de la CNPD de prononcer une astreinte. Le délai de prescription est de trois ans et commence à courir dès la fin du traitement. Le délai de prescription peut être interrompu par tout acte de la CNPD et il recommence à courir après chaque interruption. Ayant pris en compte toutes les interruptions, le délai de prescription ne peut pas dépasser six ans. Après six ans au plus tard, la prescription est acquise. La prescription en matière de prononciation d'astreinte est suspendue aussi longtemps que la décision de la CNPD fait l'objet d'un recours devant le Tribunal administratif. Le texte proposé reprend les mêmes procédures et délais que ceux appliqués par le Conseil de la concurrence à l'article 23 de la loi modifiée du 23 octobre 2011 relative à la concurrence. Amendement 13 II est ajouté un nouvel article 58 qui prend la teneur suivante : « Art. 58.
(1)Les astreintes prononcées en application de l'article 52 se prescriront par cinq années révolues.
(2)La prescription court à compter du jour où la décision est devenue définitive.
(3)La prescription de l'exécution de la décision d'infliger des astreintes est interrornpue:
  1. par la notification d'une décision modifiant le montant initial de l'astreinte ou rejetant une demande tendant à obtenir une telle modification;
  2. par tout acte de l'Administration de l'Enregistrement et des Domaines visant au recouvrement forcé de l'astreinte.
(4)La prescription court à nouveau à partir de chaque interruption.
(5)La prescription de l'exécution de la décision d'infliger des astreintes est suspendue: 1. aussi lonqtemps qu'un délai de paiement est accordé; 2. aussi lonqtemps que l'exécution forcée du paiement est suspendue en vertu d'une décision juridictionnelle. » Commentaire L'amendement 13 porte sur les prescriptions concernant l'exécution des astreintes. Le délai de prescription est fixé à cinq ans et commence à courir dès que la décision de prononcer une astreinte est devenue définitive. Les interruptions du délai de prescription de l'exécution sont limitées à deux cas de figure à savoir, la notification d'une décision modifiant le montant initial de l'astreinte ou rejetant une demande tendant à obtenir une telle modification ainsi que tout acte de l'Administration de l'Enregistrement et des Domaines effectué en vue d'un recouvrement forcé de l'astreinte prononcée. Après chaque interruption le délai recommence à courir. En matière de prescription de l'exécution des astreintes, le délai est suspendu aussi longtemps qu'un délai de paiement est accordé et aussi longtemps que l'exécution forcée du paiement est suspendue en vertu d'une décision juridictionnelle. Le texte proposé reprend les mêmes procédures et délai que ceux appliqués par le Conseil de la concurrence à l'article 24 de la loi modifiée du 23 octobre 2011 relative à la concurrence. Amendement 14 II est inséré au Titre lerun nouveau chapitre 3 intitulé comme suit : « Chapitre 3 — Commissariat du Gouvernement à la protection des banques de données de l'Etat ». Commentaire L'article 37, paragraphe 1 du règlement (UE) 2016/679 prévoit la désignation obligatoire d'un délégué à la protection des données dans le secteur public, tout en précisant qu'un même délégué peut être désigné pour plusieurs autorités ou organismes publics, compte tenu de leur structure organisationnelle et de leur taille. Alors qu'il s'avère excessif de recruter un spécialiste disposant des connaissances et de l'expérience pratique afférente auprès de chacune des plus d'une centaine d'entités étatiques opérant des traitements de données, il est apparu indiqué de créer au niveau du ministère d'Etat une structure spécialisée centrale ayant vocation à mettre à disposition de tous les départements une expertise juridique et pratique solide dans cette matière complexe à laquelle nos concitoyens sont de plus en plus attentifs au vu des progrès rapides des technologies numériques et de l'administration électronique. Amendement 15 II est inséré un nouvel article 60 qui prend la teneur qui suit : « Art. 60.11 est créé une administration dénommée « Commissariat du Gouvernement à la protection des banques de données de l'Etat », désignée ci-après par le terme « Commissariat ». Le Commissariat est placé sous l'autorité du Premier ministre, ministre d'Etat. » Commentaire En prévoyant la création d'un Commissariat du Gouvernement à la protection des banques de données de l'Etat, l'amendement 15 répond au souci d'assurer une démarche homogène et effective dans la gestion de la conformité des départements ministériels et administrations publiques avec le nouveau régime de la protection des données à caractère personnel et ses exigences de mise en ceuvre proactive. Le Commissariat sera appelé à jouer le rôle de délégué à la protection des données par défaut, ainsi qu'un rôle d'appui et de coordination à travers toute l'administration étatique, en étroite liaison avec les interlocuteurs internes au sein des départements ministériels et administrations publiques et leurs dirigeants qui maîtrisent les besoins et choix de fonctionnement et la configuration des applications-métier. Amendement 16 II est inséré un nouvel article 61 qui prend la teneur qui suit : « Art. 61. Les ministres du ressort ou, sous leur autorité, les chefs d'administrations compétents désignent un ou plusieurs déléqués à la protection des données. Les ministres du ressort ou, sous leur autorité, les chefs d'administration compétents, peuvent désigner le Commissariat comme leur déléqué à la protection des données. La désignation est notifiée au Commissariat. » Commentaire Conformément à l'article 37, paragraphe 1, lettre
  1. a)du règlement (UE) 2016/679, le premier paragraphe du nouvel article 61 prévoit que les ministres du ressort ou sous leur autorité, les chefs d'administration compétents, doivent désigner un ou plusieurs délégués à la protection des données. Ils peuvent désigner un délégué à la protection des données spécifique pour leur département ministériel ou administration publique, ou, conformément à l'article 37, paragraphe 3 du règlement (UE) 2016/679, un délégué à la protection des données en commun aux entités de l'administration étatique. L'alinéa 2 du nouvel article 61 entend attribuer ce rôle au Commissariat. Le Gouvernement en Conseil pourrait notamment prévoir de confier un rôle de délégué à la protection des données par défaut au Commissariat ici créé. La désignation du délégué à la protection des données doit être notifiée au Commissariat afin de lui permettre de tenir à jour une liste des délégués à la protection des données. Amendement 17 11 est inséré un nouvel article 62 qui prend la teneur qui suit : « Art. 62. Le Commissariat a pour mission : 1. de développer la protection des données à caractère personnel au sein de l'administration étatique ; 2. de promouvoir les bonnes pratiques à travers l'administration étatique et de stimuler la sensibilisation des agents ; 3. de contribuer à une mise en ceuvre cohérente des politiques dans ce domaine (
  2. a)en proposant au qouvernement un programme de aestion de la conformité des activités de traitement de données des entités de l'administration étatique avec la législation applicable, en quidant et accompagnant les chefs d'administration compétents dans la mise en place des mesures appropriées, de procédures et lianes de conduite pour les agents de l'Etat ; (
  3. b)en assistant les déléqués à la protection des données de l'administration étatique; (
  4. c)en conseillant, sur demande, les membres du Gouvernement ; 4. d'assurer, en cas d'application de l'article 61, alinéa 2, la fonction de déléqué à la protection des données telle que définie à l'article 38 du règlement (UE) 2016/679 avec les missions décrites à l'article 39 du règlement (UE) 2016/679 ; 5. de tenir à jour une liste des déléqués à la protection des données, désiqnés auprès d'un département ministériel ou d'une administration publique ; 6. de collaborer étroitement avec le ministre avant la législation relative à la protection des données dans ses attributions ; 7. d'établir un rapport annuel sur ses activités qui est à transmettre au Premier Ministre. » Commentaire Les points 1, 2 et 3 lettre
  5. a)indiquent que le Commissariat assurera la continuité des travaux du groupe de travail interministériel mis en place en 2015 pour coordonner et contribuer à la préparation de l'Etat à la mise en ceuvre du règlement (UE) 2016/679 et qui vise à développer une approche commune et une application cohérente dans les différentes structures étatiques. Afin de permettre une cohérence entre le travail des différents délégués à la protection des données de l'Etat, le point 3, lettre
  6. b)prévoit que le Commissariat assiste les délégués des autres départements ministériels et administrations publiques dans leurs missions. Conformément à l'article 39 du règlement (UE) 2016/679, le point 3, lettre
  7. c)prévoit qu'il pourra être consulté par les membres du Gouvernement au sujet de toute question concernant le traitement de données à caractère personnel effectué par l'Etat. Le point 4 précise que le Commissariat est chargé d'assurer la fonction de délégué à la protection des données, conformément aux dispositions prévues par le règlement (UE) 2016/679. Le point 5 attribue au Commissariat la mission de tenir à jour la liste des délégués désignés et notifiés en vertu de l'article 61. Le point 6 assure que le Commissariat collabore de manière étroite avec le ministre ayant la législation relative à la protection des données à caractère personnel dans ses attributions afin de permettre de contribuer à une mise en ceuvre cohérente des politiques dans ce domaine. En vertu du point 7, il établit un rapport annuel de ses activités, qui peut comprendre une liste des actions de sensibilisation, ainsi que les procédures mises en place, qu'il transmet au Premier Ministre. Amendement 18 II est inséré un nouvel article 63 dont la teneur suivante : « Art. 63. Le Commissariat est diriqé par un commissaire du Gouvernement à la protection des banques de données de l'Etat. Le commissaire peut être assisté d'un commissaire adjoint auquel il peut déléquer certaines de ses attributions et qui le remplace en cas d'absence. » Commentaire Pour le commentaire, il y a lieu de se référer à celui de l'amendement 19. Amendement 19 11 est inséré un nouvel article 64 dont la teneur suivante : « Art. 64.
(1)Le cadre du personnel comprend un commissaire du Gouvernement, un commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat nommés par le Grand-Duc sur proposition du Gouvernement en conseil, ainsi que des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le réqime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat.
(2)Ce cadre peut être complété par des fonctionnaires staqiaires, des employés et salariés de l'Etat suivant les besoins du service et dans la limite des crédits budqétaires.
(3)Les candidats aux fonctions de commissaire du Gouvernement de la protection des banques de données de l'Etat ou de commissaire du Gouvernement adjoint doivent disposer de connaissances spécialisées de la législation et des pratiques de protection des données et remplir les conditions d'admission au qroupe de traitement A
  1. » Commentaire Pour assurer les missions à caractère transversal dévolues à la nouvelle entité centrale instituée auprès du Premier ministre, ministre d'État, le cadre du Commissariat sera formé d'un commissaire du Gouvernement et d'un commissaire du Gouvernement adjoint à la protection des banques de données au sein de l'Etat. Le cadre comprendra par ailleurs des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat. II pourra être complété par des employés et salariés de l'Etat suivant les besoins du service et dans les limites des crédits budgétaires. Tant le commissaire du Gouvernement que le commissaire du Gouvernement adjoint devront disposer des connaissances spécialisées et d'une expérience pratique avérée pour être en mesure de guider et conseiller à la fois les responsables des départements ministériels, des administrations publiques et leurs éventuels délégués à la protection des données désignés. lls devront aussi faire preuve d'une sensibilité et compréhension transversale et des capacités de jugement et de conviction pour affronter les défis inhérents à la nouvelle fonction et à sa vocation coordinatrice. Aussi appert-il approprié de leur attribuer un titre visé par la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'Etat. Amendement 20 Les termes « Chapitre 2 » sont remplacés par « Titre II ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 21 Au nouveau Titre II, les termes « Section I. Champ d'application des dispositions spécifiques » sont supprimées. Commentaire Pour le commentaire, iI y a lieu de se référer à celui de l'amendement
  2. Amendement 22 Au nouveau Titre II, les termes « Section II » sont remplacés par « Chapitre 1er ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 23 Au nouveau Titre II, les termes « Section III » sont remplacés par « Chapitre 2 ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 24 Au nouveau Titre II, les termes « Section IV » sont remplacés par « Chapitre 3 ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 25 Les termes « Chapitre 3 » sont remplacés par « Titre III ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 26 Au nouveau Titre III, les termes « Section I. Disposition modificative » sont remplacés par « Chapitre ler — Dispositions modificatives ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 27 L'article 61 initial, devenant le nouvel article 70, est modifié comme suit : 1° Au paraqraphe ler, la lettre (a) est complétée comme suit : « et les termes « de commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat, » sont ajoutés après les termes « de commissaire du Gouvernement adjoint du commissariat charqé de l'instruction disciplinaire, ». » 2° Au même paraqraphe est inséré une nouvelle lettre (b) qui prend la teneur suivante, les lettres subséquentes étant renumérotées en conséquence : « (b) Au paraqraphe 1, sub 9° la mention de « et de commissaire du Gouvernement à la protection des banques de données de l'Etat » est ajoutée après celle de « commissaire du Gouvernement charqé de l'instruction disciplinaire ». » 3°Au paraqraphe 3, la lettre a) est complétée comme suit : « et la fonction de « commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat, » est ajoutée après celle de « commissaire du Gouvernement adjoint du commissariat du Gouvernement charqé de l'instruction disciplinaire, ». » 4° Au même paraqraphe, la lettre b) est complétée comme suit : « et la fonction de « commissaire du Gouvernement à la protection des banques de données de l'Etat, » est aioutée après celle de « commissaire du Gouvernement charqé de l'instruction disciplinaire, » .» 5° Au paraqraphe 4, le point (a) est remplacé comme suit: « (a) Au paraqraphe 1, les termes « de commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat, » sont ajoutés après « de commissaire du Gouvernement adjoint du commissariat du Gouvernement charqé de l'instruction disciplinaire, » et les termes « • de membre effectif de la Commission nationale_pour la protection des données » sont supprimés. » Commentaire Cet amendement n'appelle pas d'observations. Amendement 28 11 est inséré un nouvel article 71, qui prend la teneur qui suit : « Art.
  3. L'article L. 261-1 du Code du travail est remplacé par ce qui suit :
(1)Le traitement des données à caractère personnel à des fins de surveillance des salariés sur le lieu de travail peut être mis en ceuvre, conformément au règlement (UE) 2016/679 par l'employeur s'il en est le responsable. Lorsque le traitement des données à caractère personnel est mis en ceuvre :
  1. pour les besoins de sécurité et de santé des salariés, ou
  2. pour le contrôle temporaire de production ou des prestations du salarié, lorsqu'une telle mesure est le seul moven pour déterminer le salaire exact, ou
  3. dans le cadre d'une organisation de travail selon l'horaire mobile conformément au présent code, les dispositions prévues aux articles L.211-8 respectivement L.414-9 respectivement L.423-1 s'appliquent. En cas de désaccord, la partie la plus diliciente peut soumettre une demande d'avis préalable relative à la conformité du projet de traitement à des fins de surveillance à la Commission nationale pour la protection des données, qui doit se prononcer dans le mois de la saisine. Le consentement de la personne concernée ne rend pas légitime le traitement mis en ceuvre par l'emploveur.
(2)Sans préjudice du droit à l'information de la personne concernée, sont informés préalablement par l'emploveur : la personne concernée, ainsi que pour les personnes tombant sous l'empire de la législation sur le contrat de droit privé : le comité mixte ou, à défaut, la déléqation du personnel ou, à défaut encore, l'inspection du travail et des mines ; pour les personnes tombant sous l'empire d'un réqime statutaire : les organismes de représentation du personnel tels que prévus par les lois et règlements afférents.
(3)Dans tous les cas de traitement de données à caractère personnel visés au présent article la déléqation du personnel, ou à défaut les salariés concernés, peuvent soumettre une demande d'avis préalable relative à la conformité du projet de traitement à des fins de surveillance à la Commission nationale pour la protection des données, qui doit se prononcer dans le mois de la saisine. Cette demande a un effet suspensif. » Commentaire Le règlement (UE) 2016/679 du 27 avril 2016 a pour objet de réformer la législation européenne en matière de protection des données. Ce règlement abroge la directive 95/46/CE qui a été transposée en droit national par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ci-après « la loi modifiée du 2 août 2002 »). Le règlement européen étant d'application directe dans les Etats membres de l'UE et entrant en vigueur à la date du 25 mai 2018, le projet de loi 7184 portant mise en ceuvre du règlement européen précité abroge la loi modifiée du 2 août 2002 sur la protection des données. Actuellement l'article L.261-1 du Code du travail fait référence à l'article 14 de la loi modifiée du 2 août
  1. Comme la loi modifiée du 2 août 2002 n'existera plus à partir du 25 mai 2018, il y a lieu de modifier l'article L.261-1 du Code du travail et de l'adapter, afin de le rendre conforme aux règles et dispositions du règlement (UE) 2016/
  2. L'article 88 du règlement (UE) 2016/679 précise que les Etats membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement de données à caractère personnel des employés dans le cadre des relations de travail, dans les limites des règles du règlement (UE) 2016/
  3. Par le présent amendement, il est proposé de tirer l'option de l'article 88 du règlement (UE) 2016/679 et de prévoir des dispositions particulières en matière de surveillance dans le cadre des relations de travail. L'amendement vise notamment à renforcer le dialogue social dans le cadre de l'introduction ou de l'application d'installations techniques ayant pour objet de contrôler le comportement et les performances des salariés sur leur lieu de travail et de mieux protéger les salariés contre d'éventuels abus. Pour le cas où un employeur entend mettre en ceuvre un traitement des données à caractère personnel soumis à codécision, l'amendement prévoit la possibilité, pour les parties impliquées, de soumettre, en cas de désaccord, une demande d'avis préalable relative à la conformité de ce projet à la Commission nationale pour la protection des données. Si à la fin de la procédure, le cas échéant après avoir soumis le litige à l'Office national de conciliation, aucun accord n'est trouvé, le projet de traitement à des fins de surveillance ne pourra pas être mis en ceuvre. A côté du droit individuel à l'information dont dispose de toute façon chaque salarié en vertu des articles 13 et 14 du règlement (UE) 2016/679, l'actuel paragraphe 2 prévoit en plus un droit collectif à l'information des salariés. Cette information a comme corollaire le droit accordé à la délégation du personnel ou aux salariés, dans les entreprises qui ne sont pas assujetties à l'obligation d'installer une délégation de demander un avis de conformité préalable à la CNPD. A noter que le fait de demander un avis préalable tient en suspens toute exécution de la mesure envisagée. A noter qu'eu égard à la sensibilité et aux risques inhérents aux traitements de données à caractère personnel destinés à contrôler l'activité des salariés sur le lieu de travail, l'actuel article L.261-2 prévoit déjà, en plus des sanctions administratives que la CNPD peut prononcer, des sanctions pénales en cas de violation des dispositions du présent article. Enfin, il convient de relever que suivant le droit commun du règlement (UE) 2016/679, chaque salarié individuel dispose du droit d'introduire une réclamation (plainte) auprès de la CNPD ou de mandater à cet effet un organisme, une organisation (syndicale) ou une association, conformément à l'article 80 du règlement (UE) 2016/
  4. Amendement 29 Au nouveau Titre III, les termes « Section II » sont remplacés par « Chapitre 2 ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 30 A l'article 62 initial, devenant le nouvel article 72, les termes «, ainsi que toutes les autorisations délivrées sur base des articles 14 et 19 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'éqard du traitement des données à caractère personnel et les aqréments délivrés aux actuels charqés à la protection des données sur base de l'article 40 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'éqard du traitement des données à caractère personnel » sont ajoutés après les termes « est abrogée ». Commentaire Dans un souci de sécurité juridique, il est nécessaire de clarifier le sort des décisions prises sur base de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Conformément au règ lement (UE) 2016/679, il n'y a plus d'autorisations préalables et l'identité du délégué à la protection des données sera dorénavant simplement communiquée à la CNPD, sans obligation de publicité et sans procédure d'agrément ou de certification quelconque. Amendement 31 Au nouveau Titre III, les termes « Section 111 » sont remplacés par « Chapitre 3 ». Commentaire Suite au remaniement des différentes dispositions s'est avéré nécessaire de revoir les divisions utilisées. Amendement 32 A l'article 64 initial, devenant le nouvel article 74, les termes « et des membres suppléants » sont ajoutés après les termes « membres du collège ». Commentaire II faut préciser que les membres suppléants, nommés avant l'entrée en vigueur de la présente loi, continuent leur mandat jusqu'à expiration de celui-ci. Ce mandat sera pris en compte pour le renouvellement. Ils tombent ensuite sous la procédure de l'article 22 de la loi du jj/mm/aaaa portant création de la Commission nationale pour la protection des données et du régime général sur la protection des données. Amendement 33 A l'article 65 initial, devenant le nouvel article 75, les termes « à la valeur de l'échelon barémique atteint la veille de l'entrée en viqueur de la présente loi ou à défaut à la valeur de l'échelon barémique immédiatement supérieur » sont remplacés par les termes « au même numéro d'échelon, diminué d'un échelon ou, à défaut d'un tel échelon, au dernier échelon du qrade auquel ils ont été reclassés ». Commentaire Au vu du projet de loi portant reclassement de certaines carrières de fonctionnaires et d'employés de l'Etat, prévoyant, pour les carrières reclassées dans le cadre des réformes dans la Fonction publique, le remplacement du reclassement à la même valeur d'échelon par un reclassement au même numéro d'échelon, diminué d'un échelon, il y a lieu d'adapter également le mécanisme du reclassement des membres de la CNPD, prévu par le présent projet de loi. Amendement 34 Au nouveau Titre III, les termes « Section IV » sont remplacés par « Chapitre 4 ». Commentai re Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. Amendement 35 Au nouveau Titre III, les termes « Section V » sont remplacés par « Chapitre 5 ». Commentaire Suite au remaniement des différentes dispositions il s'est avéré nécessaire de revoir les divisions utilisées. • Texte coordonné Proiet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel Titre ler — Dispositions générales Chapitre ler — Champ d'application Art. 1er. Tout traitement de données à caractère personnel par les organismes du secteur public qui n'est pas couvert par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, désigné ci-après par le terme « règlement (UE) 2016/679 », ni par la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, est couvert par les dispositions du règlement (UE) 2016/679 et de la présente loi, à l'exception des textes légaux existants qui prévoient d'autres dispositions spécifiques en matière de protection des données à caractère personnel. Art.
  5. La présente loi s'applique aux responsables de traitement et aux soustraitants établis sur le territoire luxembourgeois. Chapitre 1-ef 2 - Commission nationale pour la protection des données Section I. Statut juridique et indépendance Art. 34er. II est institué une autorité de contrôle indépendante dénommée « Commission nationale pour la protection des données », désignée ci-après par le terme « CNPD ». Art.
  6. La CNPD est une autorité publique qui prend la forme d'un établissement public. Son siège est fixé par règlement grand-ducal. Art.
  7. La CNPD dispose de la personnalité juridique et jouit de l'autonomie financière et administrative, sous la tutelle du ministre chargé des relations avec la CNPD en ce qu'elle dispose d'un budget annuel public propre qui fait partie du budget global national. Art.
  8. La CNPD agit en toute indépendance dans l'exercice de ses missions et pouvoirs. Elle demeure libre de toute influence extérieure, qu'elle soit directe ou indirecte, et ne sollicite ni n'accepte d'instructions de quiconque. Art. Z. La CNPD peut adopter des règlements qui sont publiés au Journal officiel et sur le site Internet de la CNPD. Ces règlements sont applicables quatre jours après leur publication au Journal officiel, à moins qu'ils ne déterminent une entrée en vigueur plus tard ive. Section II.Compétences de la CNPD Art.
  9. La CNPD est chargée de contrôler et de vérifier si les données soumises à un traitement sont traitées en conformité avec les dispositions :
(1)du règlement (UE) 2016/679 • t t ! : , t
(2)de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Art. 9-7. La CNPD n'est pas compétente pour contrôler les opérations de traitement de données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles. Art. 108. La CNPD représente le Luxembourg au « Comité européen de la protection des données » institué par l'article 68 du règlement (UE) 2016/679 et contribue à ses activités. Section 111. Les missions de la CNPD Sous-section 1. Dans le cadre du règlement 2016/679 Art. 119. La CNPD exerce en toute indépendance les missions dont elle est investie en vertu de l'article 57 du règlement (UE) 2016/679. Sous-section 2. Dans le cadre de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale Art. 121-0. Dans le cadre de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, la CNPD : (
  1. a)contrôle l'application des dispositions et des mesures d'exécution et veille au respect de celles-ci ; (
  2. b)favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement des données personnelles ; (
  3. c)conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ; (
  4. d)encourage la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent ; (
  5. e)fournit, sur demande, à toute personne concernée, des informations sur l'exercice de ses droits et, le cas échéant, coopère à cette fin avec les autorités de contrôle d'autres États membres ; (
  6. f)traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association conformément à l'article 47 de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire ; (
  7. g)vérifie la licéité du traitement, et informe la personne concernée dans un délai raisonnable de l'issue de la vérification, conformément au paragraphe 3 de l'article 17 de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, ou des motifs ayant empêché sa réalisation ; (
  8. h)met en place des mécanismes efficaces pour encourager le signalement confidentiel des violations des traitements de données à caractère personnelles ; (
  9. i)coopère avec d'autres autorités de contrôle, y compris en partageant des informations, et leur fournit une assistance mutuelle dans ce cadre en vue d'assurer une application cohérente de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et des mesures prises pour en assurer le respect ; (
  10. j)effectue des enquêtes sur l'application, y compris sur la base d'informations reçues d'une autre autorité de contrôle ou d'une autre autorité publique ; (
  11. k)suit les évolutions pertinentes, dans la mesure où elles ont une incidence sur la protection des données à caractère personnel, notamment dans le domaine des technologies de l'information et de la communication ; (
  12. l)fournit des conseils sur les opérations de traitement visées à l'article 28 de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Art. 134. La CNPD facilite l'introduction des réclamations visées à l'article 120, lettre f, par des mesures telles que la fourniture d'un formulaire de réclamation qui peut être rempli également par voie électronique, sans que d'autres moyens de communication ne soient exclus. Sous-section 3. Dispositions communes Art. 142. La CNPD établit un rapport annuel sur ses activités, qui peut comprendre une liste des types de violations notifiées et des types de sanctions imposées en vertu du règlement 2016/679 et de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Les rapports sont transmis à la Chambre des Députés, au Gouvernement, à la Commission européenne et au Comité européen de la protection des données et sont rendus publics. Art. 152. L'accomplissement des missions est gratuit pour la personne concernée et, le cas échéant, pour le délégué à la protection des données dans le cadre de ses missions qui lui sont propres. Lorsqu'une demande est manifestement infondée ou excessive, la CNPD peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. II incombe à la CNPD de démontrer le caractère manifestement infondé ou excessif de la demande. Section IV. Les pouvoirs de la CNPD Art. 164. Dans le cadre des missions de l'article 119, la CNPD dispose des pouvoirs tels que prévus à l'article 58 du règlement (UE) 2016/679. Art. 175. La CNPD a le droit d'ester en justice dans l'intérêt du règlement (UE) 2016/679 conformément à son article 58 et dans l'intérêt de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Art. 186. Dans le cadre des missions de l'article 120, la CNPD dispose des pouvoirs suivants : (
  13. a)obtenir du responsable du traitement ou du sous-traitant l'accès à toutes les données à caractère personnel qui sont traitées et à toutes les informations nécessaires à l'exercice de ses missions ; (
  14. b)avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions adoptées en vertu de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ; (
  15. c)ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions adoptées en vertu de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, le cas échéant, de manière spécifique et dans un délai déterminé, en particulier en ordonnant la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement en application de l'article 16 de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ; (
  16. d)limiter temporairement ou définitivement, y compris d'interdire, un traitement ; (
  17. e)conseiller le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 28 de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ; (
  18. f)émettre, de sa propre initiative ou sur demande, des avis à l'attention de la Chambre des députés et de son Gouvernement ou d'autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel. Section V. Certification Art. 197. Les organismes de certification visés à l'article 43, paragraphe 1, du règlement (UE) 2016/679 doivent être agréés par la CNPD. Section Vl. Composition et nomination de la CNPD Art. 2048. La CNPD est composée d'un organe collégial et d'agents conformément à la Section VII. Art. 219. La CNPD est dirigée par un organe collégial composé de quatre membres, dont un Président. Les membres sont appelés Commissaires à la protection des données et sont autorisés à porter le titre de « Commissaire » sans que cela ne modifie ni leur rang ni leur traitement. Sont également nommés quatre membres suppléants. Art. 220. Les membres du collège et membres suppléants sont nommés et révoqués par le Grand-Duc sur proposition du Gouvernement en conseil. Le Président est désigné par le Grand-Duc. Les membres du collège et membres suppléants sont nommés pour un terme de six ans, renouvelable une fois. Le Président est, outre sa fonction de membre du collège, chargé de la gestion administrative de la CNPD. Art. 234. Le Gouvernement en conseil propose au Grand-Duc comme membres du collège et membres suppléants des personnes remplissant les conditions d'admission pour l'examen-concours du groupe de traitement A1. Le profil combiné des membres du collège doit être tel que soit assurée au sein du collège une expérience professionnelle solide à la fois en matière juridique, en technologies de l'information et des communications, en matière de protection des données et dans le domaine de la prévention, la recherche, la constatation et la poursuite des infractions pénales. Art. 242. Avant d'entrer en fonction, le président prête entre les mains du Grand-Duc ou de son représentant le serment suivant: « Je jure fidélité au Grand-Duc, obéissance à la constitution et aux lois de l'Etat. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité. » Avant d'entrer en fonction, les membres et membres suppléants prêtent entre les mains du Président le serment suivant: « Je jure fidélité au Grand-Duc, obéissance à la Constitution et aux lois de l'Etat. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité. » Art. 252. Les membres du collège ont la qualité de fonctionnaire en ce qui concerne leur statut, leur traitement et leur régime de pension. lls bénéficient d'une indemnité spéciale tenant compte de l'engagement requis par les fonctions, à fixer par règlement grand-ducal sans que pour autant le total du traitement barémique et de l'indemnité spéciale ne puisse dépasser le traitement barémique du grade S1. Art. 264. Le membre du collège, qui bénéficiait auparavant du statut d'agent de l'Etat, dont le mandat n'est pas renouvelé ou qui est révoqué, est nommé au dernier grade de la fonction la plus élevée de la catégorie de traitement A, groupe de traitement A1 de son administration d'origine, à l'échelon de traitement correspondant à l'échelon de traitement atteint dans la fonction précédente ou, à défaut d'échelon correspondant, à l'échelon de traitement immédiatement inférieur. Les indemnités spéciales attachées à sa fonction de membre du collège ne sont pas maintenues. II peut faire l'objet d'un changement d'administration dans une autre administration ou un établissement public, conformément à l'article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l'Etat. Art. 275. Le membre du collège, qui ne bénéficiait pas auparavant du statut d'agent de l'Etat, dont le mandat n'est pas renouvelé ou qui est révoqué, est nommé au dernier grade de la fonction la plus élevée de la catégorie de traitement A, groupe de traitement A1d'un département ministériel, à l'échelon de traitement correspondant à l'échelon de traitement atteint dans la fonction précédente ou, à défaut d'échelon correspondant, à l'échelon de traitement immédiatement inférieur. Les indemnités spéciales attachées à sa fonction de membre du collège ne sont pas maintenues. II peut faire l'objet d'un changement d'administration dans une autre administration ou un établissement public, conformément à l'article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l'Etat. Art. 286. En cas d'absence de vacance de poste budgétaire dans le groupe de traitement visé aux articles 264 et 275, l'effectif du personnel est augmenté temporairement jusqu'à la survenance de la prochaine vacance de poste dans ce groupe de traitement. Art. 2971. Les membres suppléants touchent une indemnité dont le montant est fixé par règlement grand-ducal. Art. 3028. Les membres et membres suppléants ne peuvent être démis de leurs fonctions que s'ils ont commis une faute grave ou s'ils ne remplissent plus les conditions nécessaires à l'exercice de ses fonctions. Dans ces cas, la révocation a lieu par le GrandDuc sur proposition du Gouvernement en conseil. Art. 3129. En cas de cessation de mandat par un membre du collège ou un membre suppléant, il est désigné un successeur conformément aux articles 220 à 242. Art. 320. Les membres du collège ou membres suppléants ne peuvent être membre du Gouvernement, de la Chambre des députés, du Conseil d'Etat ou du Parlement européen, ni exercer d'activité professionnelle ou détenir directement ou indirectement des intérêts dans une entreprise ou tout autre organisme opérant dans le champ des traitements de données. Section VIL Les agents de la CNPD Art. 334. Le cadre personnel de la CNPD comprend quatre membres du collège, dont un Président, et des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat. Le cadre du personnel peut être complété, selon les besoins et dans la limite des crédits budgétaires, par des stagiaires, des employés et des salariés de l'Etat. Art. 342. Les rémunérations et autres indemnités de tous les membres du collège, membres suppléants et agents de la CNPD sont à charge de la CNPD. Art. 352. La CNPD peut faire appel à des experts externes dont les prestations sont définies et rémunérées sur la base d'un contrat de droit privé. Section VIII. Fonctionnement de la CNPD Art. 364. La CNPD établit son règlement d'ordre intérieur pris à l'unanimité des membres du collège réunis au complet et comprenant ses procédures et méthodes de travail dans le mois de son installation. Le règlement intérieur est publié au Journal officiel. Art. 37e. Sous réserve des dispositions de la présente loi et sans préjudice des textes cités à l'article 86, le règlement d'ordre intérieur fixe: 1. les règles de procédure applicables devant la CNPD, 2. les conditions de fonctionnement de la CNPD, 3. l'organisation des services de la CNPD, 4. les modalités de la convocation des membres du collège et la tenue des réunions collégiales. Art. 386. Le collège ne peut valablement siéger ni délibérer qu'à condition de réunir trois membres du collège au moins. Art. 397. Les membres du collège et membres suppléants ne peuvent siéger, délibérer ou décider dans une affaire dans laquelle ils ont un intérêt direct ou indirect. Art. 4038. Les délibérations sont prises à la majorité des voix. Les abstentions ne sont pas recevables. Section IX. Enquête et décision sur l'issue de l'enquête Art. 4139. L'ouverture d'une enquête peut être proposée à tout moment par un membre du collège. II soumet cette proposition au collège qui l'approuve endéans un délai d'un mois par la majorité des voix et qui désigne un membre du collège en tant que chef d'enquête. Le président ne peut être désigné chef d'enquête. Art. 420. L'enquête doit se faire à charge et à décharge. Art. 434. Lorsque le chef d'enquête estime que l'enquête est terminée, 1 transmet un rapport d'enquête au collège. Le collège peut demander un complément d'enquête. Art. 442. Le collège prend une décision sur l'issue de l'enquête dans les meilleurs délais. Le chef d'enquête ne peut ni siéger, ni délibérer lorsque le collège décide sur l'issue de l'enquête. Section X. Secret professionnel Art. 453. Sans préjudice de l'article 23 du Code de procédure pénale, toutes les personnes exerçant ou ayant exercé une activité pour la CNPD sont tenues au secret professionnel et passibles des peines prévues à l'article 458 du Code pénal en cas de violation de ce secret. Ce secret implique que les informations confidentielles qu'ils reçoivent à titre professionnel ne peuvent être divulguées à quelque personne ou autorité que ce soit, excepté sous une forme sommaire ou agrégée de façon que les personnes soumises à surveillance ne puissent être identifiées, sans préjudice des cas relevant du droit pénal en cas de violation de ce secret. Art. 464. Sans préjudice à l'interdiction de divulgation et de communication prévue à l'article 453 de la présente loi et à l'article 458 du Code pénal, les membres du collège, membres suppléants et agents de la CNPD sont autorisés, pendant l'exercice de leur activité, à communiquer aux autorités et services publics les informations et documents nécessaires à ceux-ci pour l'exercice de leur missions, à condition que ces autorités, organes et personnes tombent sous un secret professionnel équivalent à celui visé au à l'article 453 de la présente loi. Art. 475. Sans préjudice à l'interdiction de divulgation et de communication prévue à l'article 453 de la présente loi et à l'article 458 du Code pénal, les membres du collège, membres suppléants et agents de la CNPD sont autorisés, pendant l'exercice de leur activité, à communiquer aux autorités de contrôle des autres Etats membres, au comité européen de la protection des données ainsi qu'à la Commission européenne les informations et documents nécessaires à ceux-ci pour l'exercice de leur surveillance, à condition que ces autorités, organes et personnes tombent sous un secret professionnel équivalent à celui visé à l'article 453 de la présente loi et dans la mesure où ces autorités, organes et personnes accordent les mêmes informations à la CNPD. Section Xl. Dispositions financières Art. 486. L'exercice financier de la CNPD coïncide avec l'année civile. Art. 497. Avant le 31 mars de chaquc annéc, la CNPD arrête son compte .eee. • e -e .teta. Les comptes de la CNPD sont tenus selon les règles de la comptabilité commerciale. Avant le 30 juin de chaque année, le président du collège de la CNPD soumet au collège les comptes annuels comprenant le bilan et le compte de profits et pertes ainsi que l'annexe arrêtés au 31 décembre de l'exercice écoulé, ensemble avec son rapport d'activité et le rapport du réviseur d'entreprises agréé. Le budget annuel de la CNPD est proposé au collège par le président du collège avant le 31 décembre pour l'année qui suit. Les comptes annuels au 31 décembre de l'exercice écoulé ensemble avec le rapport du réviseur d'entreprises agréé, le rapport d'activité et le budget annuel sont transmis au Gouvernement en conseil qui décide de la décharqe à donner à la CNPD. La décision constatant la décharge accordée à la CNPD ainsi que les comptes annuels de la CNPD sont publiés au Journal officiel. Le Gouvernement en conseil nomme un réviseur d'entreprises agréé sur proposition du collège de la CNPD. Le réviseur d'entreprises agréé a pour mission de vérifier et de certifier les comptes annuels de la CNPD. Le réviseur d'entreprises agréé est nommé pour une période de 3 ans renouvelable. II peut être chargé par le collège de la CNPD de procéder à des vérifications spécifiques. Sa rémunération est à la charqe de la CNPD. Art. 5048. (11 La CNPD bénéficie d'une dotation d'un montant à déterminer sur une base annuelle et à inscrire au budget de l'Etat. Sans préjudice de l'article 153, la CNPD peut percevoir des redevances dans le cadre de ses pouvoirs d'autorisation et de consultation en vertu de l'article 58, paragraphe 3, du règlement (UE) 2016/679. Un règlement de la CNPD déterminera le montant et les modalités de paiement des redevances à percevoir. de l'Etat, un réviscur d'entrcpriscs cst nommé pour unc périodc dc trois annécs ; sen-mandat est-reneuvelable, -eee Section XII. Sanctions Art. 5140.
(1)La CNPD peut imposer les amendes administratives telles que prévues à l'article 83 du règlement (UE) 2016/679, y compris à l'égard de toute personne morale de droit public.
(2)Dans le cadre d'une violation de l'article 10 du règlement (UE) 2016/679 par une personne physique ou une personne morale de droit privé ou public, la CNPD peut imposer les amendes administratives prévues à l'article 83, paragraphe 4, du règlement (UE) 2016/
  1. Art.
  2. La CNPD peut imposer une astreinte pour le cas où le responsable de traitement ne satisfait pas à sa décision administrative. Toutefois, l'astrcintc nc pcut êtrc prononcee cas d'imposition d'une amende administrative. Sont également applicables les articles 2059 à 2066 du Code civil.
(1)La CNPD peut, par voie de décision, infliqer au responsable de traitement ou sous-traitant des astreintes jusqu'à concurrence de 5 pour cent du chiffre d'affaires journalier moyen réalisé au cours de l'exercice social précédent, respectivement au cours du dernier exercice social clos, par jour de retard à compter de la date qu'il fixe dans sa décision, pour le contraindre: 3) à communiquer toute information que la CNPD a demandée en application de l'article 58, paragraphe 1, lettre a du règlement (UE) 2016/679 ; 4) à respecter une mesure correctrice que la CNPD a adopté en vertu de l'article 58, paragraphe 2, lettres c), d), e), f), q), h) et j) du règlement (UE) 2016/679. Pour les besoins de l'application du présent paragraphe, les agents de l'Administration de l'Enregistrement et des Domaines sont tenus de communiquer à la CNPD tous renseignements qu'ils détiennent et qui sont nécessaires à la fixation des astreintes.
(2)Lorsque les responsables de traitement ont satisfait à l'obligation pour l'exécution de laquelle l'astreinte a été infligée, la CNPD peut fixer le montant définitif de celle-ci à un chiffre inférieur à celui qui résulte de la décision initiale. Art. 534. Le recouvrement des amendes ou astreintes prononcées à l'égard des personnes physiques et morales de droit privé est confié à l'Administration de l'enregistrement et des domaines. II se fait comme en matière d'enregistrement. Art. 542.
(1)A la requête : (
  1. a)du Procureur d'Etat qui a déclenché une action publique pour violation de la présente loi ; (
  2. b)de la CNPD, dans l'hypothèse d'une décision prise par la CNPD conformément au règlement (UE) 2016/679, à la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ou à la présente loi ; ou (
  3. c)d'une personne lésée, dans l'hypothèse où la CNPD n'a pas pris position sur une saisine intervenue sur la base de l'article 77 du règlement (UE) 2016/679 ou de l'article 45 de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ; le président du tribunal d'arrondissement de Luxembourg-Ville, ou le juge qui le remplace, ordonne la suspension provisoire du traitement contraire aux dispositions du règlement (UE) 2016/679, de la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ou de la présente loi.
(2)L'action est introduite et jugée comme en matière de référé conformément aux articles 932 à 940 du Nouveau Code de procédure civile. Toutefois, par dérogation à l'article 939, alinéa 2 du Nouveau Code de procédure civile, l'ordonnance de référé n'est pas susceptible d'opposition.
(3)La publication de la décision peut être ordonnée, en totalité ou par extrait, aux frais du contrevenant, par voie des journaux ou de toute autre manière.11ne peut être procédé à la publication qu'en vertu d'une décision judiciaire coulée en force de chose jugée.
(4)La suspension provisoire du traitement peut être ordonnée indépendamment de l'action publique. La suspension provisoire du traitement ordonnée par le président du tribunal d'arrondissement, ou par le juge qui le remplace, prend toutefois fin en cas de décision de non-lieu ou d'acquittement, et au plus tard à l'expiration d'un délai de deux ans à partir de la décision initiale de suspension provisoire du traitement prise par le président du tribunal d'arrondissement. Art. 55.
  1. Quiconque empêche ou entrave sciemment, de quelque manière que ce soit, l'accomplissement des missions incombant à la CNPD, est puni d'un emprisonnement de huit jours à un an et d'une amende de 251 à 125.000 euros ou d'une de ces peines seulement. Art.
  2. La CNPD peut ordonner l'insertion intégrale ou par extraits de ses décisions rendues par la voie des journaux ou de toute autre manière, aux frais de la personne sanctionnée. Section Xlll. Prescriptions des astreintes Art. 57.
(1)Le pouvoir conféré à la CNPD en vertu de l'article 52 est soumis au délai de prescription de trois ans.
(2)La prescription court à compter du jour où le traitement a pris fin.
(3)La prescription est interrompue par tout acte de la CNPD. L'interruption de la prescription prend effet le jour où l'acte est notifié au responsable de traitement ou sous-traitant ayant participé au traitement.
(4)L'interruption de la prescription vaut à l'égard du responsable de traitement et du sous-traitant ayant participé à l'infraction.
(5)La prescription court à nouveau à partir de chaque interruption. Toutefois, la prescription est acquise au plus tard le jour où un délai égal au double du délai de prescription arrive à expiration sans que la CNPD ait prononcé une astreinte. Ce délai est prorogé de la période pendant laquelle la prescription est suspendue conformément au paragraphe 6.
(6)La prescription d'astreintes est suspendue aussi longtemps que la décision de la CNPD fait l'objet d'une procédure pendante devant le Tribunal administratif. Art. 58.
(1)Les astreintes prononcées en application de l'article 52 se prescriront par cinq années révolues.
(2)La prescription court à compter du jour où la décision est devenue définitive.
(3)La prescription de l'exécution de la décision d'infliger des astreintes est interrompue:
  1. par la notification d'une décision modifiant le montant initial de l'astreinte ou rejetant une demande tendant à obtenir une telle modification;.
  2. par tout acte de l'Administration de l'Enregistrement et des Domaines visant au recouvrement forcé de l'astreinte.
(4)La prescription court à nouveau à partir de chaque interruption.
(5)La prescription de l'exécution de la décision d'infliger des astreintes est suspendue: 1. aussi lonqtemps qu'un délai de paiement est accordé; 2. aussi lonqtemps que l'exécution forcée du paiement est suspendue en vertu d'une décision juridictionnelle. Section XIV. Recours contre les décisions de la CNPD Art. 594. Un recours contre les décisions de la CNPD prises en application de la présente loi est ouvert devant le Tribunal administratif qui statue comme juge du fond. Chapitre 3 — Commissariat du Gouvernement à la protection des banques de données de l'Etat Art. 60. II est créé une administration dénommée « Commissariat du Gouvernement à la protection des banques de données de l'Etat », désignée ci-après par le terme « Commissariat ». Le Commissariat est placé sous l'autorité du Premier ministre, ministre d'Etat. Art. 61. Les ministres du ressort ou, sous leur autorité, les chefs d'administrations compétents désignent un ou plusieurs déléqués à la protection des données. Les ministres du ressort ou, sous leur autorité, les chefs d'administration compétents, peuvent désigner le Commissariat comme leur déléqué à la protection des données. La désignation est notifiée au Commissariat. Art. 62. Le Commissariat a pour mission : 8. de développer la protection des données à caractère personnel au sein de l'administration étatique ; 9. de promouvoir les bonnes pratiques à travers l'administration étatique et de stimuler la sensibilisation des agents ; 10.de contribuer à une mise en ceuvre cohérente des politiques dans ce domaine : (
  1. d)en proposant au gouvernement un programme de qestion de la conformité des activités de traitement de données des entités de l'administration étatique avec la législation applicable, en quidant et accompagnant les chefs d'administration compétents dans la mise en place des mesures appropriées, de procédures et lignes de conduite pour les agents de l'Etat ; (
  2. e)en assistant les délégués à la protection des données de l'administration étatique; (
  3. f)en conseillant, sur demande, les membres du Gouvernement ; 11 . d'assurer, en cas d'application de l'article 61, alinéa 2, la fonction de délégué à la protection des données telle que définie à l'article 38 du règlement (UE) 2016/679 avec les missions décrites à l'article 39 du règlement (UE) 2016/679 ; 12. de tenir à jour une liste des déléqués à la protection des données, désignés auprès d'un département ministériel ou d'une administration publique ; 13. de collaborer étroitement avec le ministre ayant la législation relative à la protection des données dans ses attributions ; 14. d'établir un rapport annuel sur ses activités qui est à transmettre au Premier Ministre. Art. 63. Le Commissariat est diriqé par un commissaire du Gouvernement à la protection des banques de données de l'Etat. Le commissaire peut être assisté d'un commissaire adjoint auquel il peut déléquer certaines de ses attributions et qui le remplace en cas d'absence. Art. 64.
(1)Le cadre du personnel comprend un commissaire du Gouvernement, un commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat nommés par le Grand-Duc sur proposition du Gouvernement en conseil, ainsi que des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le réqime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat.
(2)Ce cadre peut être complété par des fonctionnaires staqiaires, des employés et salariés de l'Etat suivant les besoins du service et dans la limite des crédits budgétaires.
(3)Les candidats aux fonctions de commissaire du Gouvernement de la protection des banques de données de l'Etat ou de commissaire du Gouvernement adjoint doivent disposer de connaissances spécialisées de la législation et des pratiques de protection des données et remplir les conditions d'admission au groupe de traitement A1. Titre II-Chapitre-2 - Dispositions spécifiques selon le règlement (UE) 2016/679 t Art. 55. Les dispositions du présent chapitre s'appliquent aux responsables du traitement •• ee. e-e geotion-11,-, Chapitre 1 - Traitement et liberté d'expression et d'information Art. 65.56. Sans préjudice des dispositions prévues dans la loi modifiée du 8 juin 2004 sur la liberté d'expression dans les médias et dans la mesure où les dérogations ci-après s'avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d'expression, le traitement mis en ceuvre aux seules fins de journalisme ou d'expression universitaire, artistique ou littéraire n'est pas soumis : 1. (
  1. a)à la prohibition de traiter les catégories particulières de données telle que prévue à l'article 9, paragraphe 1, du règlement (UE) 201 6/679 ; (
  2. b)aux limitations concernant le traitement de données judicaires prévues à l'article 10 du règlement (UE) 2016/679 ; lorsque le traitement se rapporte à des données rendues manifestement publiques par la personne concernée ou à des données qui sont en rapport direct avec la vie publique de la personne concernée ou avec le fait dans lequel elle est impliquée de façon volontaire ; 2. au chapitre V relatif aux transferts vers des pays tiers ou à des organisations internationales du règlement (UE) 2016/679 ; 3. à l'obligation d'information de l'article 13 du règlement (UE) 2016/679, lorsque son application compromettrait la collecte des données auprès de la personne concernée ; 4. à l'obligation d'information de l'article 14 du règlement (UE) 2016/679, lorsque son application compromettrait soit la collecte des données, soit une publication en projet, soit la mise à disposition du public, de quelque manière que ce soit de ces données ou fournirait des indications permettant d'identifier les sources d'information ; 5. au droit d'accès de la personne concernée qui est différé et limité en ce qu'il ne peut pas porter sur des informations relatives à l'origine des données et qui permettraient d'identifier une source. Sous cette réserve l'accès doit être exercé par l'intermédiaire de la CNPD en présence du Président du Conseil de Presse ou de son représentant, ou le Président du Conseil de Presse ou son représentant, ou le Président du Conseil de Presse dûment appelé. SpeGtien-1-1-1, Chapitre 2 - Traitement à des fins de recherche scientifique ou historique ou à des fins statistiques Art. 6657. Lorsque les données à caractère personnel sont traitées à des fins de recherche scientifique ou historique, ou à des fins statistiques, les droits des articles 15, 16, 18 et 21 du règlement (UE) 2016/679 peuvent être limités dans la mesure où ces droits risquent de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques, sous réserve de mettre en place des mesures appropriées telles que visées à l'article 6758. La limitation des obligations du responsable du traitement doit être proportionnée à la finalité et prendre en considération la nature des données à caractère personnel et de leur traitement. Art. 6758. Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable d'un traitement mis en ceuvre à des fins de recherche scientifique ou historique, ou à des fins statistiques, doit mettre en ceuvre des mesures appropriées additionnelles: (
  3. a)la désignation d'un délégué à la protection des données ; (
  4. b)la réalisation d'une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel ; (
  5. c)l'anonymisation, la pseudonymisation au sens de l'article 4, paragraphe 5, du règlement (UE) 2016/679 ou d'autres mesures de séparation fonctionnelle garantissant que les données collectées à des fins de recherche scientifique ou historique, ou à des fins statistiques, ne puissent être utilisées pour prendre des décisions ou des actions à l'égard des personnes concernées ; (
  6. d)le recours à un tiers de confiance fonctionnellement indépendant du responsable du traitement pour l'anonymisation ou la pseudonymisation des données; (
  7. e)le chiffrement des données à caractère personnel en transit et au repos, ainsi qu'une gestion des clés conformes à l'état de l'art ; (
  8. f)l'utilisation de technologies renforçant la protection de la vie privée des personnes concernées ; (
  9. g)la mise en place de restrictions de l'accès aux données à caractère personnel au sein du responsable du traitement ; (
  10. h)des fichiers de journalisation qui permettent d'établir le motif, la date et l'heure de la consultation et l'identification de la personne qui a collecté, modifié ou supprimé les données à caractère personnel ; (
  11. i)la sensibilisation du personnel participant au traitement des données à caractère personnel et au secret professionnel ; (
  12. j)l'évaluation régulière de l'efficacité des mesures techniques et organisationnelles mises en place à travers un audit indépendant ; (
  13. k)la mise en place de règles procédurales spécifiques, qui en cas d'un transfert de données à caractère personnel pour un traitement ultérieur ou d'un traitement de données à caractère personnel à des fins autres que celles pour lesquelles elles ont été collectées, assurent la conformité du traitement avec le règlement (UE) 2016/679 ; (I) l'établissement au préalable d'un plan de gestion des données ; (
  14. m)l'adoption de Codes de conduite sectoriel tels que prévus à l'article 40 du règlement (UE) 2016/679 approuvés par la Commission européenne en vertu de l'article 40, paragraphe 9, du règlement (UE) 2016/679 ; (
  15. n)le traitement doit avoir lieu conformément aux standards éthiques reconnus. Le responsable de traitement doit documenter et justifier pour chaque projet de recherche l'application respectivement l'exclusion des mesures non limitativement énumérées à cet article. Chapitre 3 - Traitement de catégories particulières de données à caractère personnel par les services de la santé Art. 6859.
(1)Le traitement de catégories particulières de données à caractère personnel tel que définies à l'article 9, paragraphe 1 du règlement (UE) 2016/679 peut être mis en œuvre par des instances médicales s'il est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements.
(2)Le traitement de catégories particulières de données à caractère personnel tel que définies à l'article 9, paragraphe 1 du règlement (UE) 2016/679 peut être mis en ceuvre par des instances médicales, ainsi que par les organismes de recherche et par les personnes physiques ou morales dont le projet de recherche a été approuvé en vertu de la législation applicable en matière de recherche biomédicale s'il est nécessaire aux fins de la recherche en matière de santé ou de la recherche scientifique et si le responsable de traitement remplit les conditions de l'article 6758. Si le responsable est une personne morale, il indique un responsable délégué soumis au secret professionnel.
(3)Le traitement de catégories particulières de données à caractère personnel tel que définies à l'article 9, paragraphe 1 du règlement (UE) 2016/679 et nécessaire aux fins de la gestion de services de santé peut être mis en ceuvre par des instances médicales, ainsi que lorsque le responsable du traitement est soumis au secret professionnel, par les organismes de sécurité sociale et les administrations qui gèrent ces données en exécution de leurs missions légales et réglementaires, par les entreprises d'assurance, les sociétés gérant les fonds de pension, la Caisse médico-chirurgicale mutualiste et par celles des personnes physiques ou morales bénéficiant d'un agrément dans le domaine médico-social ou thérapeutique en vertu de la loi du 8 septembre 1998 réglant les relations entre l'Etat et les organismes ceuvrant dans les domaines social, familial et thérapeutique lorsqu'ils développent leur activité dans l'un des domaines à énumérer par règlement grand-ducal.
(4)Sous réserve que leur traitement soit en lui-même licite, les données visées à l'article 9, paragraphe 1, du règlement (UE) 2016/679 peuvent être communiquées à des tiers ou utilisées à des fins de recherche, d'après les modalités et suivant les conditions à déterminer par règlement grand-ducal. Les prestataires de soins et les fournisseurs peuvent communiquer les données relatives à leurs prestations au médecin traitant et à un organisme de sécurité sociale ou à la Caisse médico-chirurgicale mutualiste aux fins de remboursement des dépenses afférentes. Chapitre 3 Titre III - Autres dispositions Seotien-I, Chapitre ler - Dispositions modificatives Art.
  1. Toute référence à la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel est remplacée par une référence au règlement (UE) 2016/679, à la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et la présente loi. Art.
  2. La loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat est complétée comme suit :
(1)L'article 12 est modifiée comme suit : (
  1. a)Au paragraphe 1, sub 8° la mention « de membre effectif de la Commission nationale pour la protection des données » est supprimée et les termes « de commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat, » sont ajoutés après les termes « de commissaire du Gouvernement adjoint du commissariat charqé de l'instruction disciplinaire (
  2. b)Au paraqraphe 1, sub 9° la mention de « et de commissaire du Gouvernement à la protection des banques de données de l'Etat » est ajoutée après celle de « commissaire du Gouvernement charqé de l'instruction disciplinaire » ; (
  3. c)Au paragraphe 1, sub 16° la mention « président de la Commission nationale pour la protection des données » est remplacée par « commissaire à la protection des données » ; (
  4. d)Au paragraphe 1, sub 23° la mention «, de président de la Commission nationale pour la protection des données » est ajoutée après « de président de l'association d'assurance contre les accidents ».
(2)L'article 16, paragraphe 3, lettre g, est supprimé.
(3)L'annexe A — Classification des fonctions - est modifiée comme suit : (
  1. a)au grade 16, la fonction de « membre effectif de la Commission nationale pour la protection des données » est supprimée et la fonction de « commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat, » est ajoutée après celle de « commissaire du Gouvernement adjoint du commissariat du Gouvernement chargé de l'instruction disciplinaire, »; (
  2. b)au grade 17, la fonction de « président de la Commission nationale pour la protection des données » est remplacée par « commissaires à la protection des données » et la fonction de « commissaire du Gouvernement à la protection des banques de données de l'Etat, » est ajoutée après celle de « commissaire du Gouvernement chargé de l'instruction disciplinaire, » ; (
  3. c)au grade 18, la fonction de « président de la Commission nationale pour la protection des données » est ajoutée.
(4)L'Annexe B — B2) Allongements — est modifiée comme suit : (
  1. a)au paragraphe 1, les termes « de membre effectif de la Commi,,sion nationalc pour la protection des données » sont supprimés. (
  2. a)au paragraphe 1, les termes « de commissaire du Gouvernement adjoint à la protection des banques de données de l'Etat, » sont ajoutés après « de commissaire du Gouvernement adjoint du commissariat du Gouvernement chargé de l'instruction disciplinaire, » et les termes « , de membre effectif de la Commission nationale pour la protection des données » sont supprimés. Art. 71. L'article L. 261-1 du Code du travail est remplacé par ce qui suit
(1)Le traitement des données à caractère personnel à des fins de surveillance des salariés sur le lieu de travail peut être mis en ceuvre, conformément au règlement (UE) 2016/679 par l'employeur s'il en est le responsable. Lorsque le traitement des données à caractère personnel est mis en ceuvre :
  1. pour les besoins de sécurité et de santé des salariés, ou
  2. pour le contrôle temporaire de production ou des prestations du salarié, lorsqu'une telle mesure est le seul moven pour déterminer le salaire exact ou
  3. dans le cadre d'une organisation de travail selon l'horaire mobile conformément au présent code, les dispositions prévues aux articles L.211-8 respectivement L.414-9 respectivement L.423-1 s'appliquent. En cas de désaccord, la partie la plus diligente peut soumettre une demande d'avis préalable relative à la conformité du projet de traitement à des fins de surveillance à la Commission nationale pour la protection des données, qui doit se prononcer dans le mois de la saisine. Le consentement de la personne concernée ne rend pas légitime le traitement mis en ceuvre par remployeur.
(2)Sans préiudice du droit à l'information de la personne concernée, sont informés préalablement par l'employeur : la personne concernée, ainsi que pour les personnes tombant sous l'empire de la législation sur le contrat de droit privé : le comité mixte ou, à défaut, la délégation du personnel ou, à défaut encore, l'inspection du travail et des mines ; pour les personnes tombant sous l'empire d'un régime statutaire : les organismes de représentation du personnel tels que prévus par les lois et règlements afférents.
(3)Dans tous les cas de traitement de données à caractère personnel visés au présent article la délégation du personnel, ou à défaut les salariés concernés, peuvent soumettre une demande d'avis préalable relative à la conformité du projet de traitement à des fins de surveillance à la Commission nationale pour la protection des données, qui doit se prononcer dans le mois de la saisine. Cette demande a un effet suspensif. Seetien-1-1, Chapitre 2 - Disposition abrogatoire Art.
  1. La loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel est abrogée, ainsi que toutes les autorisations délivrées sur base des articles 14 et 19 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'éqard du traitement des données à caractère personnel et les aqréments délivrés aux actuels chares à la protection des données sur base de l'article 40 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'éqard du traitement des données à caractère personnel . geotien-11-1, Chapitre 3 - Dispositions transitoires Art.
  2. La CNPD continue la personnalité juridique, y compris le personnel et les engagements juridiques, de la Commission nationale pour la protection des données telle que créée par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Art.
  3. La durée du mandat des membres du collège et des membres suppléants, nommés avant l'entrée en vigueur de la présente loi, est calculée à partir de la date de nomination de leur mandat en cours lors de l'entrée en vigueur de la présente loi. Art.
  4. Les membres du collège, nommés avant l'entrée en vigueur de la présente loi, sont classés dans le nouveau grade à la valeur de l'échelon baremique atteint la vcille dc l'entrée en vigueur de la présente loi ou à défaut à la valeur de l'échelon barernique immédiatement supérieur au même numéro d'échelon, diminué d'un échelon ou, à défaut d'un tel échelon, au dernier échelon du qrade auquel ils ont été reclassés, sans préjudice du report de l'ancienneté d'échelon acquise sous l'ancienne législation. Art.
  5. En cas de non-renouvellement ou de révocation d'un mandat d'un membre du collège, nommé avant l'entrée en vigueur de la présente loi, celui-ci devient conseiller général auprès de la CNPD avec maintien de son statut et de son niveau de rémunération de base, à savoir le grade 17 pour le Président et le grade 16 pour les deux autres membres, à l'exception des indemnités spéciales attachées à sa fonction antérieure. II peut faire l'objet d'un changement d'administration dans une administration ou dans un autre établissement public, conformément à l'article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l'Etat. Art.
  6. Pour les agents engagés comme fonctionnaires ou employés de l'Etat avant l'entrée en vigueur de la présente loi et actuellement en service auprès de la CNPD, les lois ou règlements régissant leur statut restent applicables. Art.
  7. Nonobstant les dispositions contenues dans la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l'Etat et concernant notamment la protection et la discipline, et celles contenues dans la loi du 25 mars 2015 déterminant le régime et les indemnités des employés de l'Etat et concernant notamment la résiliation du contrat, les décisions et interventions que les lois ou règlements régissant le statut de ce personnel attribuent au Gouvernement en conseil ou à un membre du Gouvernement sont prises respectivement soit par le ministre compétent soit par le président du collège. SeGtien-l-Chapitre 4 - Entrée en vigueur Art.
  8. La présente loi entre en vigueur le 25 mai
  9. Sestien-V, Chapitre 5 - Intitulé de citation Art. La référence à la présente loi peut se faire sous une forme abrégée en recourant à l'intitulé suivant: « Loi du jj/mm/aaaa portant création de la Commission nationale pour la protection des données et du régime général sur la protection des données ».

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.