← Luxembourg

Projet de loi n° 7467, Commentaire des articles, page 51. CNP11 C01.4453., woCK1.1.1 PkOnCterd uti.n.t3 Avis de la Commission nationale pour la protec

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7467 portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE ; et portant modification de :

  1. a)la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme ;
  2. b)la loi modifiée du 9 décembre 1976 relative à l'organisation du notariat ;
  3. c)la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice ;
  4. d)la loi modifiée du 10 août 1991 sur la profession d'avocat ;
  5. e)la loi modifiée du 10 juin 1999 portant organisation de la profession d'expert-comptable ;
  6. f)la loi modifiée du 23 juillet 2016 relative à la profession de l'audit Délibération n°5/2020 du 28 février 2020 Conformément à l'article 57, paragraphe ler, lettre (
  7. c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 8 août 2019, Monsieur le Directeur du Trésor, pour le Ministre des Finances, a invité la Commission nationale à se prononcer au sujet du projet de loi n°7467 portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE ; et portant modification de :
  8. a)la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme ;
  9. b)la loi modifiée du 9 décembre 1976 relative à l'organisation du notariat ;
  10. c)la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice ;
  11. d)la loi modifiée du 10 août 1991 sur la profession d'avocat ;
  12. e)la loi modifiée du 10 juin 1999 portant organisation de la profession d'expert-comptable ;
  13. f)la loi modifiée du 23 juillet 2016 relative à la profession de l'audit (ci-après « le projet de loi »). Selon l'exposé des motifs, l'objectif du projet de loi est d'apporter à la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme (ci-après « la loi de 2004 ») les adaptations nécessaires pour assurer la transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du Avis de la Commission nationale pour la protection des données • .01A LA 1.1.1,J.ES relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 1/11 blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE (ci-après « la directive 2018/843 ») et d'assurer la mise en œuvre des recommandations du GAFI, notamment dans le cas où ces recommandations ne font pas l'objet de dispositions équivalentes dans la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE (ci-après « la directive 2015/849 »). Le projet de loi vise encore à compléter les pouvoirs des autorités de contrôles et des organismes d'autorégulation et à renforcer la coopération des autorités de contrôles avec leurs homologues étrangers. L'article 5 de la directive 2015/849 permet aux États membres d'« arrêter ou maintenir en vigueur, dans le domaine régi par la présente directive, des dispositions plus strictes pour prévenir le blanchiment de capitaux et le financement du terrorisme, dans les limites du droit de l'Union ». La Cour de Justice dans un affaire concernant l'article correspondant de la directive 2005/60/CE du Parlement européen et du Conseil, du 26 octobre 2005, relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme, telle que modifiée, a rappelé que la législation nationale adoptée doit, entre autres, être proportionnelle, ce qui nécessite une évaluation « ...du degré d'interférence des mesures de vigilance à l'égard de la clientèle qu'elle prévoit avec d'autres droits et intérêts protégés par le droit de l'Union, comme la protection des données à caractère personnel prévue à l'article 8 de la Charte La CNPD rappelle que la protection des données à caractère personnel est un droit fondamental distinct et indépendant dans l'ordre juridique de l'UE, garanti par l'article 8 de la Charte des droits fondamentaux de l'Union européenne. La Cour de Justice a ainsi souligné qu'un acte est « constitutiy] d'une ingérence dans le droit fondamental à la protection des données à caractère personnel garanti par l'article 8 de la charte puisqu'elle prévoit un traitement des données à caractère personnel »2. Ce droit n'est pas absolu et peut être limité conformément à l'article 52, paragraphe 1 de la Charte, qui exige que la limitation soit prévue par la loi, respecte le contenu essentiel du droit à la protection des données et, dans le respect du principe de proportionnalité, qu'elle soit nécessaire et qu'elle répond effectivement à des objectifs d'intérêt général reconnus par l'Union ou au besoin de protection des droits et libertés d'autrui. La Cour de justice a rappelé dans les affaires C-293/12 et C-594/12 Digital Rights que la lutte contre le terrorisme international et les crimes graves constitue une finalité d'intérêt généra13. La CNPD souscrit à cet égard aux remarques du Contrôleur européen de la protection des données relatives à la proposition de directive 2015/849, qui a estimé plus précisément « que les normes européennes en matière de protection des données n'ont pas d'équivalent à l'échelle internationale du GAFI, et que la recherche de cohérence entre les politiques de lutte contre le blanchiment de capitaux à l'échelle internationale ne devrait pas ignorer les exigences de l'Union européenne en matière de protection des données. Le CEPD rappelle que le droit d'un individu à la protection de ses données à caractère personnel est garanti par l'article 16 du TFUE et l'article 8 de la Charte des droits fondamentaux de l'Union européenne. 1 Arrêt du 10 mars 2016, Safe Interenvios, C-235/14, ECLI:EU:C:2016:154, point 109 et également points 94 à 110, concernant l'article 5 de la directive 2005 2 Arrêt du 8 avril 2014, Digital Rights Ireland, affaires jointes C-293/12 et C-594/12, ECLI:EU:C:2014:238, point 36; voir également Arrêt du 9 novembre 2010, Volker und Markus Schecke, affaires C-92/09 et C93/09, ECLI:EU:C:2010:662, point 58. Voir encore Contrôleur européen de la protection des données, Guide pour l'évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel (11 avril 2017). 3 Arrêt du 8 avril 2014, Digital Rights Ireland, affaires jointes C-293/12 et C-594/12, ECLI:EU:C:2014:238, points 41-42. CNPID COM•165ON LaSLON7.1 Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 2/11 Assurer la transparence des sources de paiements, des dépôts et virements de fonds afin de combattre le terrorisme et le blanchiment de capitaux est un intérêt légitime, mais cet objectif doit être poursuivi dans le respect des exigences en matière de protection des données.»4. Par ailleurs, le législateur européen a souligné l'importance du respect des droits fondamentaux lors de la mise en œuvre des recommandations du GAFI dans le considérant 43 de la directive 2015/849, qui énonce qu'« est essentiel que l'alignement de la présente directive sur les recommandations révisées du GAF1 s'effectue dans le plein respect du droit de l'Union, en particulier en ce qui concerne le droit de l'Union en matière de protection des données et la protection des droits fondamentaux consacrée dans la charte ». Ainsi, dans la mesure où les auteurs du projet de loi vont au-delà de ce qui est prévu dans la directive 2015/849, ils doivent veiller à la conformité des dispositions avec la réglementation en matière de protection des données à caractère personnel. La CNPD ignore si une telle évaluation a été faite. Elle constate cependant qu'un grand nombre des modifications proposées ont un impact sur le droit à la protection des données et au respect de la vie privée des personnes physiques, dans la mesure où le nombre des traitements mis en œuvre et les données traitées tant par les professionnels que par les autorités compétentes et les organismes d'autorégulation accroitront. De manière générale, les auteurs du projet de loi devraient analyser la nécessité et la proportionnalité des mesures proposées, d'autant plus si les mesures à mettre en œuvre en droit national n'ont pas fait l'objet d'une telle évaluation lors de leur élaboration. La Commission nationale a déjà eu l'occasion de se prononcer sur la transposition des directives en matière de lutte contre le blanchiment et contre le financement du terrorisme dans ses avis n°51/2018 du 21 janvier 2018, n°485/2018 du 22 novembre 2018 et n°9/2019 du 17 janvier 2019. Elle souhaite ainsi profiter de l'occasion pour réitérer les remarques faites dans ces avis, notamment en ce qui concerne les catégories particulières de données, les données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté et les transferts de données vers des pays tiers par les professionnels. Dans le présent avis, la Commission nationale se réfère aux articles de la version coordonnée de la directive 2015/849. l. Quant à la conservation des données à caractère personnel La loi en projet sous avis vise dans son article 5, point 7, lettre
  14. c)à modifier l'article 3, paragraphe 6, lettre
  15. a)de la loi de 2004 relatif à la durée de conservation des données traitées par les professionnels en remplaçant les mots « peuvent conserver » par « conservent ». Cette durée de conservation s'applique selon le nouvel alinéa 2 du paragraphe 6 de l'article 3 de la loi de 2004 également aux données accessibles par l'intermédiaire des mécanismes centralisés visés à l'article 32bis de la directive (UE) 2015/849. 4 Contrôleur européen de la protection des données, avis du 4 juillet 2013 sur une proposition de directive du Parlement européen et du Conseil relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme, et une proposition de règlement du Parlement européen et du Conseil sur les informations accompagnant les virements de fonds, paragraphes 10-11. [7 ' CNPD xn1,Onnti •OUR 1.-01ECDOM UkS DO11.4.3 Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 3/11 Selon le commentaire des articles, cette modification a pour but « d'appuyer le caractère obligatoire de la conservation pour une période supplémentaire de cinq ans lorsque cette conservation est nécessaire pour la mise en œuvre efficace des mesures internes de prévention ou de détection des actes de blanchiment ou de financement du terrorisme tel que prévu par l'article 40, paragraphe 1", alinéa 2, de la directive (UE) 2015/849.e. Comme déjà soulevé dans l'avis de la CNPD n°51/2018 du 21 janvier 2018, l'article 40, paragraphe er, alinéa 2 de la directive 2015/849 fixe la durée de conservation des données collectées à 5 ans après la fin de la relation d'affaires ou de la transaction occasionnelle. Les Etats membres peuvent permettre ou exiger que les données soient conservées pour une durée ne dépassant pas cinq années supplémentaires, « après avoir minutieusement évalué la nécessité et la proportionnalité de cette conservation prolongée et si elle a été jugée nécessaire aux fins de prévenir ou de détecter des actes de blanchiment de capitaux ou de financement du terrorisme ou d'enquêter en la matière ». Les auteurs du projet de loi n'ayant pas procédé à une analyse minutieuse de la nécessité et la proportionnalité de la prolongation de la durée de conservation, la CNPD n'est pas en mesure d'apprécier la nécessité et la proportionnalité de la disposition en question. Elle se réfère pour le surplus à ses remarques faites dans son avis n°51/2018 du 21 janvier 2018. 11. Quant aux droits des personnes concernées La CNPD prend note de l'alignement des alinéas 3 et 4 de l'article 3, paragraphe 6bis de la loi de 2004, telle que modifiée par le projet de loi, sur le RGPD. Elle remarque que les auteurs du projet de loi ont précisé le champ d'application de la limitation du droit d'accès de la personne concernée. Ainsi, conformément à l'article modifié, le droit d'accès prévu à l'article 15 du RGPD peut être limité « en application de l'article 5, paragraphe

(5), alinéa 1 », à savoir lorsque « des informations sont, seront ou ont été communiquées ou fournies aux autorités en application des paragraphes
(1), (1 bis),
(2)et
(3)[de l'article 5] ou qu'une enquête de la cellule de renseignement financier sur le blanchiment ou le financement du terrorisme est en cours ou pourrait être ouverte » (article 5, paragraphe 5, alinéa ler). La disposition sous revue constitue une limitation des droits des personnes concernées au sens de l'article 23 du RGPD, selon lequel la portée du droit d'accès peut être limitée par le droit de l'Union ou d'un Etat membre, lorsque cette limitation respecte l'essence des libertés et droits fondamentaux et constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs prévus limitativement à l'article 23, paragraphe ler du RGPD. Les mesures législatives doivent prévoir des dispositions spécifiques relatives, au moins, aux éléments visés au paragraphe 2 de l'article en question, y compris des dispositions relatives à la formulation des finalités ou catégories de finalités, les catégories de données à caractère personnel concernées et l'étendue des limitations. Dans un souci de sécurité juridique et afin de délimiter avec suffisamment de précision les cas dans lesquels le droit d'accès des personnes concernées pourrait être limité, le projet de loi devrait être précisé afin de satisfaire aux exigences de l'article 23 du RGPD, en indiquant, entre autres, les conditions précises s'appliquant à la limitation du droit de la personne concernée. La CNPD se réfère à cet égard à ses avis et aux avis du Conseil d'Etat relatifs au projets de loi n°7250 et n°
  1. Dans le cas d'espèce, la Commission nationale s'interroge, notamrnent, sur la possibilité de limiter 5 Projet de loi n° 7467, Commentaire des articles, page
  2. CNP11 C01.4453., woCK1.1.1 PkOnCterd uti.n.t3 Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 4/11 le droit d'accès, dans l'hypothèse où une enquête ne serait pas ouverte mais « pourrait l'être » par la CRF. En effet, la disposition ne précise pas quand et comment un responsable du traitementprofessionnel pourrait estimer qu'une enquête pourrait être ouverte par la CRF. A l'instar de son avis n°51/2018 du 21 janvier 2018, la CNPD insiste encore sur la nécessité de prévoir un droit d'accès indirect si le droit d'accès de la personne concernée a été limité. Ill. Quant à la coopération entre la CRF, les autorités de contrôle et les organismes d'autorégulation a. Le principe de limitation des finalités i. Considérations générales Conformément à l'article 8, paragraphe 2 de la Charte des droits fondamentaux, les données à caractère personnel doivent être traitées loyalement et à des fins déterminées. Ainsi, conformément au principe de limitation des finalités, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne doivent pas être traitées ultérieurement d'une manière incompatible avec ces finalités. Ce principe s'applique aux traitements de données effectués par les autorités, y compris dans le cadre de la coopération nationale et internationale. La CNPD souscrit entièrement à l'avis du Contrôleur européen de la protection de données sur la proposition de la Commission européenne modifiant la directive (UE) 2015/849 et la directive 2009/101/CE que le principe de limitation des finalités est particulièrement important « en ce qui concerne l'ingérence de l'ordre public dans la protection des données à caractère personnel, car la proportionnalité de leur traitement devra être évaluée en fonction de l'objectif politique défini par le législateur. À cet égard, nous considérons que des instruments législatifs permettant le traitement multiple et/ou simultané de données à caractère personnel par différents responsables du traitement des données et à des fins incompatibles, sans préciser dans quel but chaque traitement de données est effectué, risque de causer une très grande confusion en ce qui concerne l'application du principe de proportionnalité. Dans les cas pour lesquels les finalités du traitement des données sont définies par des termes généraux ou vagues, ou pour lesquels les divers responsables du traitement des données ont une relation complètement différente avec la finalité poursuivie tant sur le plan de la structure ou des ressources que de la capacité de chaque responsable à respecter les règles dans certaines circonstances données, le principe de limitation des finalités est compromis formellement et de façon substantielle et, par conséquent, le principe de proportionnalité ne sera pas non plus dûment appliqué »
  3. Il convient donc d'indiquer avec précision les finalités des traitements entrepris par les autorités. Pour satisfaire à l'exigence de spécificité, la finalité doit être clairement et pleinement identifiée afin de déterminer quel traitement est ou n'est pas inclus dans la finalité spécifiée et de permettre l'évaluation du respect de la loi et l'application de garanties en matière de protection des données. Contrôleur européen de la protection des données, Avis du 2 février 2017 sur la proposition de la Commission modifiant la directive (UE) 2015/849 et la directive 2009/101/CE, paragraphes 20-
  4. 6 CNPI:14 11.4.1.ALE ,07,11 LA CON.k3 Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 5/11 Les finalités doivent encore être explicites, c'est-à-dire claires, expliquées ou exprimées sous une forme ou une autre afin de s'assurer que toutes les personnes concernées ont la même compréhension univoque des finalités du traitement, indépendamment de toute diversité culturelle ou linguistique'. Par ailleurs, le fondement du traitement devrait être clair et précis et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme.' ii. Obligation de coopération avec la CRF, les autorités de contrôle et les organismes d'autorégulation (articles 5 et 9-1 de la loi de 2004, telle que modifiée par le proiet de loi) Selon le nouvel article 5, paragraphe 1er de la loi de 2004, les professionnels, leurs dirigeants et employés doivent coopérer avec « les autorités luxembourgeoises responsables de la lutte contre le blanchiment et contre le financement du terrorisme et les organismes d'autorégulation, en particulier dans le cadre de l'exercice de leurs pouvoirs de surveillance respectifs conférés par les articles 8-2 et 8-2bis ». La CNPD s'interroge sur la portée de cette disposition. En effet, vu la référence aux pouvoirs des autorités responsables et des organismes d'autorégulation conférés par les articles 8-2 et 8-2b1s, faut-il comprendre que l'article 5, paragraphe 1er de la loi de 2004 concerne uniquement les autorités de contrôle et les organismes d'autorégulation ? Dans un souci de sécurité juridique, la Commission nationale estime nécessaire de préciser davantage cette disposition, notamment en précisant les entités couvertes par la notion d'« autorités luxembourgeoises responsables de la lutte contre le blanchiment et contre le financement du terrorisme ». Par ailleurs et en tenant compte de ce qui précède concernant la limitation des finalités, la CNPD estime nécessaire de supprimer les mots « en particulier » et de préciser le cadre dans lequel les professionnels doivent coopérer avec les autorités en question. En outre, il convient de rappeler à cet égard l'article 5, paragraphe 2 de la loi de 2004, qui précise que « files informations et pièces fournies aux autorités, autres que les autorités judiciaires, en application des paragraphes
(1)et (1 bis) peuvent être utilisées uniquement à des fins de lutte contre le blanchiment ou contre le financement du terrorisme. » En accord avec la modification de l'article 5, paragraphe 1er, le paragraphe 2 devrait être modifié afin d'y intégrer les organismes d'autorégulation. 7 Groupe de travail « Article 29 », Avis 03/2013 sur la limitation de la finalité (WP203), page
  1. 8 Considérant 41 du RGPD (« cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne (ci-après dénommée «Cour de justice») et de la Cour européenne des droits de l'homme ») et considérant 33 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (« ce droit d'un État membre, cette base juridique ou cette mesure législative devrait être clair et précis et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice et de la Cour européenne des droits de l'homme. ») CNPD • rOft ,L11 PROIECIIOM Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 6/11 En ce qui concerne l'article 9-1 de la loi de 2004, tel qu'il résulte du projet de loi, celui-ci prévoit que la CRF, les autorités de contrôle et les organismes d'autorégulation coopèrent étroitement entre eux. Quant à la forme et les finalités de la coopération, l'alinéa 2 précise que « les autorités de contrôle et la cellule de renseignement financier sont autorisées à échanger les informations nécessaires à l'accomplissement de leurs missions respectives dans le cadre de la lutte contre le blanchiment et contre le financement du terrorisme. Les autorités de contrôle et la cellule de renseignement financier utilisent les informations échangées uniquement pour l'accomplissement de ces missions. » Aucune information n'est fournie ni sur la forme, ni sur les finalités de la coopération entre la CRF, les autorités de contrôle et les organismes d'autorégulation. Plus précisément, le projet de loi n'indique pas si les organismes d'autorégulation pourraient échanger des données à caractère personnel avec la CRF et les autorités de contrôle. En tenant compte de l'alinéa 2 de l'article 9-1 cité ci-avant, il semble dès lors qu'il n'y aura pas d'échange de données entre les organismes d'autorégulation, d'une part, et la CRF et les autorités de contrôle, d'autre part. Si malgré ceci les organismes d'autorégulation pourraient être amenés à échanger des données avec la CRF et les autorités de contrôle, le Conseil d'Etat a souligné à plusieurs reprises que la communication de données à des tiers peut constituer une ingérence dans la vie privée9 et constitue ainsi en vertu de l'article 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle. Il faut donc que les points essentiels soient fixés par la loi. Ainsi, en tenant compte de ce qui précède et si la CRF, les autorités de contrôle et les organismes d'autorégulation seraient amenés à échanger des données à caractère personnel, le projet de loi devrait encadrer la coopération de tous les responsables du traitement en question, en précisant la forme et la finalité de cette coopération pour tous les responsables du traitement, y compris les organismes d'autorégulation. iii. Coopération nationale entre la CSSF et la CAA aciissant aux fins de la lutte contre le blanchiment et contre le financement du terrorisme et aux fins de la surveillance prudentielle des établissements de crédit et des établissements financiers ou de la surveillance des marchés financiers (article 9-1bis de la loi de 2004, telle que modifiée par le projet de loi) L'article ler, paragraphe 37 de la directive 2018/843 introduit des dispositions spécifiques concernant l'échange d'informations entre les autorités compétentes en insérant un nouvel article 57 bis dans la directive 2015/
  2. Conformérnent à cet article, les autorités compétentes chargées de la surveillance des établissements de crédit et des établissements financiers au sein d'un État membre et dans différents États membres conformément à la directive ou à d'autres actes législatifs relatifs à la surveillance des établissements de crédit et des établissements financiers peuvent échanger des données. Le paragraphe 3 de l'article 57 bis de la directive 2015/849 énumère les finalités aux fins desquelles les données échangées peuvent être utilisées. Il s'agit entres autres de « ... l'accomplissement des devoirs qui leur incombent en vertu de la présente directive ou d'autres actes législatifs dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme, de la réglementation prudentielle et de la surveillance des établissements de crédit et des établissements financiers, notamment l'imposition de sanctions » et « dans le cadre de procédures 9 Avis du Conseil d'Etat du 21 novembre 2017 relatif au projet de loi n° 7182, doc. parl. 7182/02, page
  3. Avis du Conseil d'Etat du 7 juin 2016 relatif au projet de loi n° 6975, page
  4. e.-r'CNPD ed,10.4 YPOIECIION UOPOIEES a_ 1 Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 7/11 juridictionnelles engagées en vertu de dispositions spéciales prévues par le droit de l'Union dans le domaine de la présente directive ou dans celui de la réglementation prudentielle et de la surveillance des établissements de crédit et des établissements financiers. ». Selon le commentaire des articles du projet de loi, l'article 57bis de la directive 2015/849 serait transposé par l'article 9-1bis de la loi de 2004, telle que modifiée par le projet de loi, selon lequel que la CSSF et le CAA peuvent échanger des données « (...) aux fins de la lutte contre le blanchiment et contre le financement du terrorisme ainsi qu'aux fins d'autres actes législatifs relatifs à la réglementation et à la surveillance prudentielle des établissements de crédit et des établissements financiers ou relatifs à la surveillance des marchés financiers »1°. A l'instar de la directive, le paragraphe 3 énonce les finalités aux fins desquelles les données peuvent être échangées, en se référant également à « ...d'autres acte législatifs dans le domaine ... de la réglementation et de la surveillance prudentielle des établissements de crédit et des établissements financiers ainsi que de la surveillance des marchés financiers. ». Le commentaire des articles précise que « [c]e nouvel article tient compte du fait que les informations à caractère prudentiel relatives aux établissements de crédit et aux établissements financiers, telles que les données relatives à l'honorabilité des directeurs et des actionnaires, aux mécanismes de contrôle interne, à la gouvernance ou à la conformité et à la gestion des risques, sont souvent indispensables à la surveillance appropriée de ces institutions en termes de lutte contre le blanchiment et le financement du terrorisme. De la même manière, les informations sur la lutte contre le blanchiment et le financement du terrorisme sont également importantes pour la surveillance prudentielle de ces institutions. C'est dans cette optique que la directive 2018/843 vise à fournir un cadre juridique en élargissant l'échange d'informations confidentielles et la coopération entre autorités compétentes en matière de lutte contre le blanchiment et le financement du terrorisme ainsi qu'en matière de surveillance prudentielle des établissements de crédit et des établissements financiers. Dans tous les cas, les informations échangées devront présenter un élément pertinent en matière de lutte contre le blanchiment et le financement du terrorisme. »11 Au vu de ce qui précède et en tenant compte du principe de limitation des finalités, la Commission nationale considère que la finalité telle qu'actuellement rédigée, à savoir « (. .) aux fins d'autres actes législatifs relatifs à la réglementation et à la surveillance prudentielle des établissements de crédit et des établissements financiers ou relatifs à la surveillance des marchés financiers » est formulée de manière trop vague. Elle estime dès lors nécessaire de préciser les actes législatifs sur base desquels la CSSF et le CAA pourraient échanger des données à caractère personnel. Par ailleurs, afin d'assurer le principe de limitation des finalités et pour éviter toute ambiguïté, la précision dans le commentaire des articles que les informations échangées doivent être nécessaire en matière de lutte contre le blanchiment et le financement du terrorisme devrait figurer dans le corps même du texte. iv. La coopération internationale des autorités de contrôle avec leurs autorités homologues étrangères (article 9-2bis de la loi de 2004, telle que modifiée par le projet de loi) et la coopération internationale de la CSSF et du CAA avec leurs autorités homologues étrangères (article 9-2quater de la loi de 2004, telle que modifiée par le projet de loi) Les articles 9-2bis et 9-2ter de la loi de 2004, telle que modifiée par le projet de loi, visent à instaurer un cadre juridique pour la coopération des autorités de contrôle avec leurs autorités homologues bis, paragraphe ler de la loi de 2004, telle que modifiée par le projet de loi. " Projet de loi n° 7467, Commentaires des articles, pages 65-
  5. 10 Article 9-1 ÇNP C1 COun•US.O. NA, 1+1.0.ttClerà . Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 8/11 étrangères (article 9-2b1s), respectivement pour la coopération de la CSSF et du CAA avec leurs autorités homologues étrangères agissant aux fins de la lutte contre le blanchiment et contre le financement du terrorisme et aux fins de la surveillance prudentielle des établissements de crédit et des établissements financiers ou de la surveillance des marchés financiers (article 9-2quater). La CNPD note que le projet de loi sous avis ne distingue pas entre la coopération européenne et la coopération internationale avec des autorités des pays tiers, tel qu'il est le cas dans la directive 2015/
  6. En effet, la directive encadre la coopération entre les autorités des Etats membres, par exemple en fixant les cas dans lesquels les autorités nationales peuvent rejeter une demande d'assistance. Les conditions entourant la coopération européenne ne sont pas imposées par la directive 2015/849 pour la coopération avec des autorités avec des pays tiers, mais sont introduites par le projet de loi sous avis afin d'encadrer la coopération avec les autorités des pays tiers. Ainsi, les autorités nationales ne pourraient à l'avenir rejeter des demandes des autorités des pays tiers que conformément aux critères prévus à l'article 9-2ter. La Commission nationale remarque qu'une demande de coopération pourrait être refusée, si « l'autorité homologue requérante n'est pas en mesure de protéger efficacement ces informations » (articles 9-2ter, lettre b) et 9-2quater, paragraphe 4 de la loi de 2004, telle que modifiée par le projet de loi). Afin d'assurer la protection des données lors de la coopération, l'évaluation de la protection des informations devraient également inclure une évaluation du niveau de protection des données à caractère personnel. En ce qui concerne les finalités des échanges, la CNPD renvoie à ses observations faites au point Ill.a.i. et iii. ci-dessus concernant la précision des finalités. En outre, le paragraphe 6 de l'article 92b1s et le paragraphe 6 de l'article 9-2quater de la loi de 2004, telle que modifiée par le projet de loi, restreint l'utilisation des données reçues par les autorités nationales par des autorités étrangères. Dans la mesure où la liste des finalités constitue une liste limitative, il faudrait supprimer les mots « en particulier » de la disposition. En outre, la Commission nationale s'interroge sur la portée de cette coopération, entres autres en ce qui concerne les données pouvant être transmises. Par exemple, les autorités doivent transmettre « toute information requise » (articles 9-2bis, paragraphe 2, alinéa 1er et 9-2quater, paragraphe 2, alinéa ier de la loi de 2004, telle que modifiée par le projet de loi). Le paragraphe 9 du nouvel article 9-2quater de la loi de 2004 prévoit une liste des « types d'informations » pouvant être échangés par la CSSF et le CAA dans le cadre de la coopération internationale avec leurs autorités homologues étrangères, en particulier les autorités homologues partageant une responsabilité commune vis-à-vis des établissements de crédit ou des établissements financiers qui opèrent au sein du même groupe. Par ailleurs, les autorités doivent prendre « sans délais les mesures nécessaires pour recueillir les informations sollicitées en faisant usage des pouvoirs dont elle dispose en vertu des pouvoirs qui lui sont conférés par la loi » (articles 9-2bis, paragraphe 2, alinéa 3 et 9-2quater, paragraphe 2, alinéa 2 de la loi de 2004, telle que modifiée par le projet de loi). Il n'est pas clair en vertu de quelle loi les autorités pourraient recueillir les informations sollicitées. En tenant compte également du fait que les finalités aux fins desquelles les données pourraient être échangées ne sont pas indiquées avec suffisamment de précision (voir ci-avant), la Commission nationale estime que la formulation employée dans l'article 9-2bis et 9-2quater est trop vague et estime nécessaire d'encadrer davantage la coopération des autorités, notamment en fixant avec plus de précision les données qui pourraient être échangées, les sources des données ainsi que les garanties entourant ces échanges. Il faudrait également remplacer le mot « requise » par le mot « nécessaire ». [ C(...01v et,10,,LE ,r01.1:0.1 MS COR.. ...... Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 9/11 b. La confidentialité des données échangées par les autorités de contrôle Quant à la confidentialité, la CNPD note que les articles 9-2bis„ paragraphe 7 et 9-2quater, paragraphe 8 de la loi de 2004, telle que modifiée par le projet de loi, prévoient que les autorités « assurent un degré de confidentialité approprié à toute demande de coopération et aux informations échangées, de manière à protéger l'intégrité des enquêtes ou des recherches d'informations, dans le respect des obligations des deux parties en matière de respect de la vie privée et de protection des données. ». La CNPD rappelle que les autorités doivent, en tout état de cause, agir en conformité avec la législation en matière de protection des données et vie privée et que l'assurance d'un « degré de confidentialité approprié » ne peut en aucun cas conduire à une réduction du niveau de protection offert par la législation en matière de protection des données. c. Les transferts de données vers des pays tiers La CNPD rappelle que tout transfert de données à caractère personnel par la CRF, les autorités de contrôle et les organismes d'autorégulation vers des pays tiers, à savoir en dehors de l'Espace Economique Européen, doit être conforme au chapitre 3 de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, respectivement au chapitre V du RGPD. Quant au RGPD, il ressort de l'article 44 du RGPD que toutes les dispositions du chapitre V doivent être appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le RGPD ne soit pas compromis. Ainsi, en l'absence de décision d'adéquation au sens de l'article 45 du RGPD ou de garanties appropriées au sens de l'article 46 du RGPD, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu que dans les cas limitativement énumérés par l'article 49 du RGPD. En ce qui concerne le recours à l'article 49 du RGPD, la CNPD renvoie aux lignes directrices 2/2018 du Comité européen de la protection des données 2/2018 relatives aux dérogations prévues à l'article 49 du règlement (UE) 2016/
  7. A l'instar de ces lignes directrices, la CNPD tient à souligner que ces dérogations « doivent être interprétées de manière à ne pas contredire la nature même des dérogations, qui sont des exceptions à la règle qui veut que les données à caractère personnel ne peuvent être transférées vers un pays tiers à moins que ce pays offre un niveau adéquat de protection des données ou que des garanties appropriées soient mises en place »12 . nt. Quant aux pouvoirs des autorités de contrôle et des organismes d'autorégulation La Commission nationale a déjà eu l'occasion d'aviser les pouvoirs des autorités de contrôle dans son avis n°51/2018 du 21 janvier
  8. Elle note que l'article 8-2bis de la loi de 2004, telle que modifiée par le projet de loi vise à accorder des nouveaux pouvoirs aux organes compétentes des organismes d'autorégulation, par exemple le droit d'avoir accès à tout document sous quelque forme que ce soit et d'en recevoir ou prendre copie et le droit d'exiger la communication des enregistrement téléphoniques, des communications électroniques ou des enregistrement de données relatives aux trafic détenues par des personnes soumises à leur pouvoir de surveillance respectif
  9. Selon le commentaire des articles, les articles 12 Lignes directrices 2/2018 relatives aux dérogations prévues à l'article 49 du règlement (UE) 2016/679 du Comité européen de la protection des données, p.
  10. 13 Nouvel article 8 - 2bis de la loi de 2004, telle que modifiée par le projet de loi. L CNPD 1 COmu I 3 3 ON Pe01.110ed unueretits Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 10/1 visent à aligner les pouvoirs de surveillance des organismes d'autorégulation sur ceux des autorités de contrôle'. Selon l'article 48, paragraphes 2 et 9 de la directive 2015/849, lorsque les organismes d'autorégulation sont investis de la mission de surveillance prévue au paragraphe 1er dudit article, les Etats membres doivent veiller ce qu'ils disposent « des pouvoirs appropriés, dont le pouvoir d'exiger la production de toute information pertinente pour contrôler le respect des obligations et le pouvoir d'effectuer des vérifications... ». L'article 61 de la directive dispose que les autorités compétentes et les organismes d'autorégulation doivent mettre en place des mécanismes de « whistleblowing ». Or, selon l'article 60 de la directive 2015/849, uniquement les autorités compétentes doivent publier les décisions n'ayant fait l'objet d'aucun recours et instituant une sanction ou une mesure administrative en raison d'une infraction. La CNPD s'interroge donc sur la proportionnalité et la nécessité de l'introduction de tels pouvoirs et missions pour les organismes d'autorégulation. Etant donné que l'article 48, paragraphe 3 de la directive 2015/849 prévoit que « Les autorités compétentes disposent de pouvoirs renforcés en matière de surveillance en ce qui concerne les établissements de crédit, les établissements financiers et les prestataires de services de jeux d'argent et de hasard. », il semble qu'il n'est pas envisagé que toutes les autorités compétentes et les organismes d'autorégulation disposent des pouvoirs identiques. La CNPD recommande dès lors aux auteurs du projet de loi d'analyser s'il est nécessaire et proportionnel de conférer aux organismes d'autorégulation des pouvoirs identiques à ceux conférés aux autorités de contrôle. Ainsi décidé à Esch-sur-Alzette en date du 28 février
  11. La Commission nationale pour la protection des données Tine A. Larsen Présidente 14 Thierry Lallemang Commissaire stophe Buschmann T arc Lemmer Commissaire Commissaire Projet de loi n° 7467, Commentaires des articles, pages 59-
  12. CNPD .oUw PleOnClIcm Avis de la Commission nationale pour la protection des données relatif au projet de loi portant transposition de certaines dispositions de la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE 11/1 1 ë

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.