Projet de loi concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données

LE GOUVERNEMENT 3,e1l DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 15 mars 2019 Personne en charge du dossier: Jean-Luc Schleich 247 - 82954 SCL : L 5563 - 339 / ak V/réf. 53.126 Doc. parl. 7373 Objet : Projet de loi concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données et portant : 1. exécution, en matière de surveillance du secteur financier et des assurances, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 2. modification de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et 3. modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. Monsieur le Président, Comme suite à ma lettre du 23 octobre 2018, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre de commerce sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu Luxembourg, le 12 mars 2019 CHAMBRE DE COMMERCE LUXEMBOURG Objet : Projet de loi n°7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données et portant : 1. exécution, en matière de surveillance du secteur financier et des assurances, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 2. modification de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et 3. modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. (5200MEM/SBE) Saisine : Ministre des Finances (23 octobre 2018) AVIS DE LA CHAMBRE DE COMMERCE Le projet de loi sous avis a pour objet d'introduire certaines dispositions spécifiques dans la législation nationale afin d'adapter l'application du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel' (ci-après, le « RGPD ») en matière de surveillance du secteur financier et des assurances. Se fondant sur l'article 6 du RGPD2, le projet de loi sous avis introduit dans la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier (ci-après, la « Loi CSSF ») et la loi modifiée du 7 décembre 2015 sur le secteur des assurances (ci-après, la « Loi Assurances ») des dispositions législatives consacrant la licéité des traitements réalisés par la Commission de surveillance du secteur financier (ci-après, la « CSSF ») et le Commissariat aux assurances (ci-après, le « CAA ») ainsi que des dispositions ajoutant des conditions relatives au changement de finalité d'un traitement3. Par ailleurs et sur base de l'article 23 du RGPD, qui prévoit que les Etats membres peuvent, par la voie de mesures législatives, limiter la portée de certaines obligations ainsi que de certains droits de la personne concernée prévus par le RGPD, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir l'intérêt public général dans les domaines budgétaire et fiscal notamment, le projet de loi sous avis entend introduire des dispositions législatives particulières dans la Loi CSSF et 1 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 2 Cf. lettre

1. b)du paragraphe 3 de l'article 6 du RGPD qui prévoit entre autres que lorsque le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis, le droit national intègre les finalités du traitement dans la base juridique nationale. 3 En effet, la CSSF et le CAA sont destinataires de données à caractère personnel et sont également amenés, dans le cadre de l'exercice de leurs missions respectives, à traiter des données à caractère personnel en qualité de « responsable du traitement ». ^ CHAMBRE DE COMMERCE LUXEMBOURG 2 la Loi Assurances visant à limiter ou différer, sous certaines conditions, (
2. i)l'exécution par la CSSF et le CAA de leurs obligations d'information, ainsi que (
3. ii)l'exercice par la personne concernée par un traitement de données de ses droits d'accès", de limitation du traitement' et d'opposition au traitement' vis-à-vis de ces autorités de surveillance. Le projet de loi sous avis procède enfin à des adaptations ponctuelles concernant la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d'investissement (ci-après, la « Loi du 18 décembre 2015 ») afin d'étendre l'application des limitations et garanties insérées dans la Loi CSSF aux missions légales du Fonds de Garantie des Dépôts Luxembourg (ci-après, le « FGDL ») et du Fonds de Résolution Luxembourg (ci-après, le « FRL »). Considérations générales A titre liminaire, la Chambre de Commerce juge utile de relever que l'intitulé du projet de loi sous avis ne reflète pas rigoureusement son contenu étant donné que ledit projet de loi comporte trois articles modifiant respectivement la Loi CSSF et la Loi Assurances mais également la Loi du 18 décembre 2015. En conséquence, la Chambre de Commerce propose de compléter l'intitulé du projet de loi sous avis comme suit : « Projet de loi concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données et portant : 1. exécution, en matière de surveillance du secteur financier et des assurances, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 2. modification de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ;et 3. modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurancesz • et 4. modification de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d'investissement. » Dans le cadre des présentes considérations générales, la Chambre de Commerce concentrera ses commentaires sur les articles du projet de loi qui ont trait à la levée de l'option offerte par l'article 23 du RGPD. Elle tient en premier lieu à indiquer qu'elle soutient parfaitement l'idée que les limitations des droits des personnes concernées par des traitements effectués par la CSSF, le CAA, le FRL et le FGDL peuvent être nécessaires dans le contexte de l'exercice des missions légales de ces autorités de surveillance telles qu'elles découlent des lois sectorielles concernées. Il va de soi que les personnes concernées ne peuvent pas, par exemple, se prévaloir de leur droit d'accès pour être informées et ainsi faire obstacle à des Conformément à l'article 15 du RGPD, la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, raccès auxdites données à caractère personnel ainsi que d'autres informations. 5 Conformément à l'article 18 du RGPD, la personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement lorsque
4. a)l'exactitude des données à caractère personnel est contestée par la personne concernée ;
5. b)le traitement est illicite ;
6. c)le responsable du traitement n'a plus besoin des données ;
7. d)la personne concernée s'est opposée au traitement. 6 Conformément à l'article 21 du RGPD, la personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement de données à caractère personnel la concernant. 4 • CHAMBRE DE COMMERCE 3 LUXEMBOURG contrôles et procédures prudentielles (misions préventives) ou des enquêtes et procédures de sanction (missions punitives) de la part de la CSSF et du CAA. Si des limitations aux droits des personnes concernées peuvent donc apparaître comme légitimes en matière de surveillance du secteur financier et des assurances et sont, dans leur principe, admises par ledit article 23 du RGPD lorsqu'elles constituent une « mesure nécessaire et proportionnée pour garantir (...) d'autres objectifs importants d'intérêt public général (...) notamment un intérêt économique ou financier important »7 , la Chambre de Commerce s'interroge néanmoins sur la compatibilité de certaines dispositions du projet de loi avec l'article 23 du RGPD. l. Concernant la limitation des droits de l'autorité de surveillance et des obligations de la personne concernée En guise d'avertissement, la Chambre de Commerce souligne que le raisonnement exposé ci-après vaut à la fois concernant les dispositions modificatives de la Loi CSSF (article I du projet de loi) et les dispositions modificatives de Loi Assurances (article II du projet de loi), puisque les dispositions légales amendant la Loi CSSF sont reprises mutatis mutandis dans les dispositions amendant la Loi Assurances. Ce même raisonnement concerne encore les dispositions légales ayant vocation à être introduites dans la Loi du 18 décembre 2015 (article Ill du projet de loi) car ces dernières opèrent un renvoi aux dispositions de la Loi CSSF8.
8. a)Quant aux conditions prévues à l'article 23 paragraphe 1 du RGPD A l'instar de ses commentaires relatifs au projet de loi n°7250 portant exécution, en matière fiscale, des dispositions du RGPD9, avisé en date du 8 mai 2018, la Chambre de Commerce soutient parfaitement l'idée que les restrictions des droits d'accès, de limitation et d'opposition des personnes concernées aux traitements des données personnelles effectués par les autorités de surveillance (CSSF et CAA) peuvent être nécessaires dans le cadre de l'exercice de leurs missions. Néanmoins, la Chambre de Commerce s'interroge quant à la conformité des restrictions que le projet de loi sous avis insère aux futurs articles 16-3 à 167 de la Loi CSSF et aux futurs articles 13-3 à 13-7 de la Loi Assurances, au regard des conditions de l'article 23 paragraphe 1 du RGPD, notamment quant au fait que ces restrictions doivent constituer des mesures nécessaires et proportionnées dans une société démocratique. En effet, la Chambre de Commerce est réservée quant à la liste des motifs que ces autorités de surveillance peuvent invoquer pour limiter ou différer l'exercice de leurs obligations d'information ou des droits de la personne concernée figurant au futur article 163 de la Loi CSSF et au futur article 13-3 de la Loi Assurances - tous deux sous les lettres
9. a)à
10. f)- à savoir si le plein ou immédiat exercice des droits de la personne concernée ou la pleine ou immédiate exécution des obligations de chaque autorité de surveillance : 7 Extrait de l'article 23, paragraphe 1, sous
11. c)du RGPD 8 Les dispositions de l'article Ill du projet de loi, ne renvoient expressément qu'aux futurs articles 16-2 à 16-9 de la Loi CSSF. 9 11 s'agit du projet de loi n°7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification: 1) de la loi générale des impôts modifiée du 22 mai 1931 («Abgabenordnung») ; 2) de la loi modifiée du 29 mars 2013 relative à la coopération administrative dans le domaine fiscal ; 3) de la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) ; 4) de la loi du 24 juillet 2015 relative à FATCA CHAMBRE DE COMMERCE 4 LUXEMBOURG
12. a)compromet, ou risque de compromettre, l'exercice des missions et compétences de l'autorité de surveillance et des pouvoirs légaux de celle-ci, pour autant que l'intérêt poursuivi par l'autorité de surveillance de ne pas informer la personne concernée prime sur l'intérêt privé de celle-ciw ;
13. b)menace la stabilité du système bancaire et financier ou des marchés, le maintien de l'ordre public ou la sécurité publique, pour autant que la protection de ces intérêts publics légitimes prévaut sur les intérêts privés de la personne concernée";
14. c)entrave la défense des intérêts légitimes de l'autorité de surveillance liés à l'exercice de ses missions légales dans le cadre de procédures juridictionnelles ;
15. d)entrave la poursuite par l'autorité de surveillance d'une procédure administrative dans laquelle elle est partie, en ce comprise, mais sans s'y limiter, une procédure administrative en non-application ou en violation du droit de l'Union européenne ;
16. e)entrave la communication confidentielle et licite de données en provenance d'autorités ou d'organismes nationaux, étrangers, européens ou internationaux qui transmettent ces données dans l'exercice de leurs compétences respectives, ou qui leur sont transmises par l'autorité de surveillance dans le cadre de l'exercice de ses compétences légales ;
17. f)porte atteinte à des intérêts légitimes protégés de tiers. La Chambre de Commerce se demande si les limitations introduites par le projet de loi sous avis remplissent bien la condition de « mesure nécessaire et proportionnée » posée par l'article 23 paragraphe 1 du RGPD car, à ses yeux, les critères d'application des limitations sont exprimés en des termes trop larges et partant susceptibles d'une application disproportionnée. La Chambre de Commerce observe en outre que la précision apportée sous le point
18. a)par la phrase « pour autant que l'intérêt public poursuivi [par l'autorité de surveillance] prime sur l'intérêt privé de la personne concernée », et sous le point
19. b)par la phrase « pour autant que la protection de ces intérêts publics légitimes prévaut sur les intérêts privés de la personne concernée » n'est pas suffisant pour justifier la portée des restrictions.
20. b)Quant aux conditions prévues à l'article 23 paragraphe 2 du RGPD La Chambre de Commerce est d'avis que le projet de loi sous avis ne se conforme pas entièrement aux conditions posées par le second paragraphe de l'article 23 du RGPD. A cet égard, et contrairement aux commentaires des articles dudit projet, la Chambre de Commerce maintient sa position déjà exprimée dans son avis relatif au projet de loi n°7250 précité portant exécution, en matière fiscale, des dispositions du RGPD en ce qu'il convient que le projet de loi sous avis soit complété pour répondre entièrement aux exigences du paragraphe 2 de l'article 23 du RGPD qui requiert que toute mesure législative introduisant des limitations sur la base du premier paragraphe de l'article 23 du RGPD contienne « des dispositions spécifiques relatives, au moins'', le cas échéant :
21. a)aux finalités du traitement ou des catégories de traitement;
22. b)aux catégories de données à caractère personnel;
23. c)à l'étendue des limitations introduites; 10 Texte souligné par la Chambre de Commerce 11 Texte souligné par la Chambre de Commerce 12 Texte souligné par la Chambre de Commerce • CHAMBRE DE COMMERCE 5 LUXEMBOURG
24. d)aux garanties destinées à prévenir les abus ou l'accès ou le transfert illicites;
25. e)à la détermination du responsable du traitement ou des catégories de responsables du traitement13;
26. f)aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement;
27. g)aux risques pour les droits et libertés des personnes concernées14; et h ) au droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. » Ainsi, la Chambre de Commerce relève que les conditions prévues aux lettres
28. e)et
29. g)du paragraphe 2 de l'article 23 RGPD ne figurent pas dans le projet de loi sous avis. Afin de se conformer tout d'abord à la condition de la lettre e), la Chambre de Commerce, propose d'amender : d'une part, le libellé de la lettre
30. c)du futur article 3 de la Loi CSSF introduit par le projet de loi sous avis" comme suit : «
31. c)est autorisé à effectuer, en qualité de responsable du traitement, le traitement de données à caractère personnel dans le cadre de l'application de ses compétences légales, et en vue des finalités visées aux articles 2 à 2-3 et dans les lois sectorielles qui y sont référencées et qui déterminent les missions, compétences et pouvoirs de la CSSF », et d'autre part, le libellé de l'article 5 de la Loi Assurances introduit par le projet de loi sous avis" comme suit : « Le CAA est autorisé, en vue des missions visées aux articles 2 et 3 et dans le cadre des pouvoirs énoncés à l'article 4, à effectuer un traitement de données à caractère personnel en qualité de responsable du traitement. » Par ailleurs, la Chambre de Commerce propose l'insertion de dispositions relatives aux risques pour les droits et libertés des personnes concernées, dans la Loi CSSF et la Loi Assurances afin de se conformer aux exigences de la lettre
32. g)du paragraphe 2 de l'article 23 du RGPD. 11. Concernant les informations à fournir à la Commission Nationale pour la Protection des Données par l'autorité de surveillance Les alinéas premiers des paragraphes