LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Madame la Présidente du Conseil d'État Luxembourg Luxembourg, le 8 mai 2019 Personne en charge du dossier: Jean-Luc Schleich 247 - 82954 SCL : L 5596 — 568 / sp V/réf. 53.314 Doc. parl. 7427 Objet : Projet de loi portant modification de la loi modifiée du 14 août 2000 relative au commerce électronique. Madame la Présidente, Comme suite à ma lettre du 12 mars 2019, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre de commerce sur le projet de loi sous rubrique. Veuillez agréer, Madame la Présidente, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxem bourgiu Luxembourg, le 2 mai 2019 Objet: Projet de loi n°7427 portant modification de la loi modifiée du 14 août 2000 relative au commerce électronique. (5261SMI) Saisines : Ministre de l'Economie (12 mars 2019) AVIS DE LA CHAMBRE DE COMMERCE Le projet de loi sous avis a pour objet de modifier la loi modifiée du 14 août 2000 relative au commerce électronique afin de mettre la législation nationale en conformité avec le règlement (UE) n°910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE (ci-après le règlement « e I DAS »). Considérations générales Le règlement eIDAS a pour objectif de susciter une confiance accrue dans les transactions électroniques au sein du marché intérieur en fournissant un socle commun pour des interactions électroniques sécurisées entre les citoyens, les entreprises et les autorités publiques. Il vise également à accroître l'efficacité des services en lignes publics et privés, ainsi qu'à favoriser le développement du commerce électronique au sein de l'Union européenne. Le règlement eIDAS instaure un mécanisme de reconnaissance mutuelle des moyens d'identification électronique des États membres sur l'ensemble des services en ligne des autres États membres. Le règlement eIDAS a également pour objectif d'instaurer un cadre juridique pour l'utilisation des services de confiance'. Il prévoit ainsi des exigences relatives à la signature électronique, au cachet électronique, à l'horodatage électronique, à l'envoi recommandé électronique ou bien encore à l'authentification de sites internet. Le règlement eIDAS établit une distinction entre les services de confiance qualifiés et les services de confiance non qualifiés. Les services de confiance qualifiés sont assurés par des prestataires de services de confiance qualifiés et sont soumis à des exigences particulières. Ces exigences particulières s'expliquent notamment par les effets juridiques spécifiques que confère le règlement eIDAS aux services de confiance qualifiés. Les services de confiance qualifiés bénéficient ainsi d'une présomption d'intégrité et d'exactitude des données' y reprises, dispensant leurs utilisateurs de la charge de la preuve en cas de contestation, alors que les services de confiance non-qualifiés ne bénéficient pas d'une telle présomption. 1 Aux termes de l'article 3 point 16 du règlement eIDAS, on entend par service de confiance : « un service électronique normalement fourni contre rémunération qui consiste:
- a)en la création, en la vérification et en la validation de signatures électroniques, de cachets électroniques ou d'horodatages électroniques, de services d'envoi recommandé électronique et de certificats relatifs à ces services; ou
- b)en la création, en la vérification et en la validation de certificats pour l'authentification de site internet; ou
- c)en la conservation de signatures électroniques, de cachets électroniques ou des certificats relatifs à ces services ». 2 Articles 35, 41 et 43 du règlement eIDAS 2 De même, le règlement eIDAS rappelle que l'effet juridique et la recevabilité d'un document électronique comme preuve en justice ne peuvent être refusés au seul motif que ce document se présente sous une forme électronique3. Dans ce contexte, une signature électronique qualifiée est notamment considérée comme étant équivalente à une signature manuscrite par le règlement el DAS4. Le règlement eIDAS est entré en vigueur le ler juillet 2016. Il nécessite néanmoins la modification et la réorganisation de la loi modifiée du 14 août 2000 relative au commerce électronique, notamment d'un point de vue terminologique afin d'assurer la cohérence de la législation nationale avec le règlement eIDAS. L'adoption de certaines mesures au niveau national concernant notamment la désignation de l'organe de contrôle au niveau national et la détermination de ses pouvoirs ainsi que les sanctions applicables en cas de manquement aux dispositions du règlement el DAS s'est également révélée nécessaire. Le présent projet de loi définit ainsi les pouvoirs de l'Institut Luxembourgeois de la Normalisation, de l'Accréditation, de la Sécurité et Qualité des produits et services (ILNAS) en sa qualité d'autorité de contrôle. L'ILNAS sera par conséquent chargé de: - contrôler les prestataires de services de confiance qualifiés afin de s'assurer, par des activités de contrôle a priori et a posteriori, que ces prestataires de services de confiance qualifiés et les services de confiance qualifiés qu'ils fournissent satisfont aux exigences fixées dans la législation européenne applicable, la législation nationale et les règlements pris en son exécution; - prendre des mesures, si nécessaire, en ce qui concerne les prestataires de services de confiance non qualifiés par des activités de contrôle a posteriori, lorsqu'il est informé que ces prestataires de services de confiance non qualifiés ou les services de confiance qu'ils fournissent ne satisferaient pas aux exigences fixées dans la législation européenne applicable ou la législation nationale ou les règlements pris en son exécution. Le présent projet de loi introduit également un régime de sanctions administratives et pénales applicable en cas de non-respect des dispositions européennes et/ou nationales en la matière. Ainsi, l'ILNAS pourra infliger une amende administrative de 250 euros à 15.000 euros à tout prestataire de services de confiance qui: (
- i)refuse de fournir les documents et informations ou autres renseignements demandés par l'ILNAS dans le cadre du contrôle des prestataires de services de confiance ; (
- ii)fait obstacle à l'exercice de contrôle ; ou (iii) enfreint les dispositions de l'article 23 du règlement européen eIDAS relatives à l'utilisation du label de confiance de l'Union européenne5. L'ILNAS pourra également infliger une amende de 250 euros à 15.000 euros aux personnes physiques ou morales en cas d'utilisation dans leur dénomination sociale, leur nom commercial ou toute communication commerciale, de la dénomination de prestataire de services de confiance qualifié ou de services de confiance qualifiés sans être inscrites sur la liste de confiance nationale publiée par l'ILNAS. D'un point de vue pénal, le projet de loi sous avis prévoit que sera punie d'une amende de 251 euros jusqu'à 25.000 euros toute personne (
- i)en cas de prestation de services 'Articles 25, 35, 41 et 46 du règlement eIDAS Articles 25 du règlement eIDAS 5 L'article 23 du règlement eIDAS prévoit que seuls les prestataires de services de confiance qualifiés figurant sur la liste de confiance publiée par chaque Etat membre peuvent utiliser le label de confiance de l'UE. 4 3 de confiance prétendument qualifiés sans être inscrits sur la liste de confiance nationale publiée par l'ILNAS, ou (
- ii)qui n'est pas conforme à l'article 21, paragraphe 1 du règlement e I DAS6. Le projet de loi prévoit également une peine d'amende de 251 euros à 25.000 euros, et/ou une peine d'emprisonnement de 8 jours à 6 mois ou une de ces peines seulement, pour toute personne qui ne se conforme pas aux dispositions légales relatives à l'arrêt d'activité du prestataire de service de confiance et au transfert d'activité du prestataire de service de confiance qualifié', ainsi qu'aux exigences de contrôle des prestataires de service de confiance qualifiée. Finalement, sera encore punie d'une amende de 251 euros à 500.000 euros et d'une peine d'emprisonnement de 8 jours à trois ans ou d'une de ces peines seulement : (
- i)toute infraction aux dispositions légales relatives au secret professionnel des administrateurs, membres des organes directeurs et de surveillance, des dirigeants, des employés et de toutes les autres personnes au service d'un prestataire de service de confiance, prévues à l'article 19 du présent projet de loi, (
- ii)toute infraction aux dispositions relatives à l'obligation de notification à l'organe de contrôle de toute atteinte à la sécurité ou de toute perte d'intégrité ayant une incidence importante pour le service de confiance fourni prévues à l'article 19 du règlement eIDAS, ainsi que (iii) toute infraction aux obligations de notification imposées aux prestataires de services de confiance qualifiés en cas de révocation d'un certificat en vertu des dispositions de l'article 24 du règlement el DAS. Si la Chambre de Commerce n'a pas de commentaires à formuler quant au fond du présent projet de loi, elle a néanmoins certaines remarques d'ordre textuel à formuler, reprises ci-après. Commentaire des articles Concernant l'article 1 paragraphe 1 du projet de loi La Chambre de commerce relève une erreur matérielle à l'article 1er du projet de loi sous avis alors qu'il convient de le compléter comme suit : « la loi modifiée du 14 août 2000 relative au commerce électronique est modifiée comme suit : » Concernant l'article 1 paragraphe 26 du projet de loi La Chambre de Commerce relève une incohérence dans le libellé du point 2 du paragraphe 26 de l'article 1er du projet de loi. En effet, afin de permettre à ce dernier de produire ses effets légaux, il convient de le compléter comme suit : « L'ILNAS peut infliger une amende de 250 euros à 15.000 euros aux personnes physiques ou morales en cas d'utilisation dans leur dénomination sociale, leur nom commercial ou toute communication commerciale, de la dénomination de prestataire de services de confiance qualifié ou de services de confiance qualifiés sans être inscrit sur la liste de confiance nationale publiée par l'ILNAS. » 'L'article 21 paragraphe 1 du règlement eIDAS prévoit que lorsque des prestataires de services de confiance, sans statut qualifié, ont l'intention de commencer à offrir des services de confiance qualifiés, ils doivent au préalable soumettre à l'organe de contrôle national une notification de leur intention accompagnée d'un rapport d'évaluation de la conformité délivré par un organisme d'évaluation de la conformité. 'Articles 32 paragraphes 1 et 2 du présent projet de loi Article 20 paragraphe 1 du règlement eIDAS et articles 24 paragraphes 1 et 2 du règlement eIDAS 4 Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d'approuver le projet de loi sous avis. SMI/DJI