Projet de loi portant modification de : 10 la loi modifiée du 5 avril 1993 relative au secteur financier ; 2° la loi du ler avril 2015 portant créatio

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Madame la Présidente du Conseil d'État Luxembourg Luxembourg, le 26 août 2019 Personne en charge du dossier: Roland Gaasch 247 - 82953 SCL : L 5417 - 1009 / nb V/réf. 52.581 Doc. parl. 7218 Objet : Projet de loi portant modification de : 10 la loi modifiée du 5 avril 1993 relative au secteur financier ; 2° la loi du ler avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg ; en vue d'instaurer des mesures macroprudentielles portant sur les crédits immobiliers résidentiels. Madame la Présidente, À la demande du Ministre des Finances, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données portant sur l'amendement gouvernemental du 30 juillet 2019 relatif au projet de loi sous rubrique. Veuillez agréer, Madame la Présidente, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu Avis de la Commission nationale pour la protection des données à l'égard des amendements gouvernementaux au projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de la loi modifiée du 5 avril 1993 relative au secteur financier, et de la loi du ler avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg Délibération n°44/2019 du 8 août 2019 Conformément à l'article 57, paragraphe l er, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 29 juillet 2019, Monsieur le Directeur du Trésor, pour le Ministre des Finances, a invité la Commission nationale à se prononcer au sujet d'amendements gouvernementaux au projet de loi n°7218 relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de : la loi modifiée du 5 avril 1993 relative au secteur financier ; la loi du 1 er avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg. Ce projet de loi a pour objectif de compléter le dispositif législatif en matière d'outils macroprudentiels à disposition des autorités luxembourgeoises par l'introduction de mesures macroprudentielles pouvant être utilisées spécifiquement en cas de menace pour la stabilité financière du système financier national émanant d'évolutions dans le secteur immobilier au Luxembourg. Selon l'exposé des motifs, les amendements gouvernementaux ont pour objectif de « donner suite aux oppositions formelles formulées par le Conseil d'Etat en précisant un cadre normatif strict dans lequel la CSSF peut agir lorsqu'elle décide de l'application des mesures susmentionnées ». Dans son avis du 29 mars 2018 (document parlementaire 7218/06), la Commission nationale avait déjà eu l'occasion de se prononcer au sujet du projet de loi sous examen, et s'était limitée à des remarques relatives à son article 2, en particulier concernant l'utilisation des termes « informations agrégées », qu'elle recommandait de remplacer par « données agrégées et anonymisées » (s'il s'agit en effet de données anonymes ou rendues anonymes). [ CNP1 1,110.110N Avis de la Commission nationale pour la protection des données à l'égard des amendements gouvernementaux au projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de la loi modifiée du 5 avril 1993 relative au secteur financier, et de la loi du ler avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg 1/2 La CNPD constate que les auteurs du projet de loi n'ont pas suivi cette suggestion, alors que l'article 2 du projet de loi prévoit toujours que « (...) la Banque centrale du Luxembourg a un droit d'accès à des informations agrégées disponibles auprès d'administrations étatiques, d'établissements publics autres que ceux placés sous la surveillance des communes et d'autres autorités étatiques compétentes pour autant que ces informations soient nécessaires à ses activités de recherche et d'analyses en relation avec la mission du comité du risque systémique ». Or, sans plus de précisions sur ce qu'il faut entendre par « informations agrégées », elle se demande si ces termes correspondent à des données anonymisées ou à des données pseudonymisées ? La Commission nationale réitère donc sa suggestion de remplacer ces termes par « données agrégées et anonymisées », afin d'ôter toute ambiguïté possible sur la nature des données qui pourraient faire l'objet d'un droit d'accès par la BCL. Dans ce cas, le RGPD n'aurait pas vocation à s'appliquer à la collecte de telles données. La CNPD entend encore rappeler à toutes fins utiles qu'au cas où les « informations agrégées » devraient être qualifiées de données pseudonymisées, et donc de données à caractère personnel, le RGPD s'appliquera avec toutes les conséquences qui en découlent. Or, si tel était le cas, la disposition sous examen serait manifestement trop vague et ne respecterait dès lors pas le principe de légalité et de prévisibilité qu'exige le droit et la jurisprudence européenne. En effet, comme l'explique le considérant 41 du RGPD, une base juridique ou une mesure législative qui sert de base à un traitement de données « devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme ». Pour le surplus, les modifications apportées au projet de loi sous examen n'entraînent aucun changement en matière de protection des données à caractère personnel, et n'appellent par conséquent aucun commentaire supplémentaire de la part de la CNPD. Ainsi décidé à Esch-sur-Alzette en date du 8 août 2019. La Commission nationale pour la protection des données ouliret) Tine A. Larsen Présidente [-'ICNPD COU.See. mAnOwAte .010 Mr0/tC110> I.. vo...us Thierry Lallemang Commissaire Chr' top e Buschmann / arc Lemmer Commissaire / Commissaire Avis de la Commission nationale pour la protection des données à l'égard des amendements gouvernementaux au projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de la loi modifiée du 5 avril 1993 relative au secteur financier, et de la loi du ler avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg 2/2