Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. Délibération n°7/AV6/2021 du 3 mars 2021 Conformément à l'article 57, paragraphe le', lettre (
- c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du le' août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier du 6 juillet 2020, le Ministre des Communications et des Médias a invité la Commission nationale à se prononcer au sujet du projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. Ladite directive (UE) 2018/1972 est censée remplacer quatre directives actuellement en vigueur. Parmi les directives à remplacer ne figure pas la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive dite vie privée et communications électroniques ou « directive ePrivacy ») transposée au Luxembourg par la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. Si une proposition de règlement européen devant succéder à ladite directive est en voie d'élaboration, la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques restera en vigueur pour l'instant. CNK1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 1 /9 Dans ce contexte, la CNPD tient à faire part de ses observations par rapport à certains articles du projet de loi présentant des aspects ayant trait à la protection des données à caractère personnel, ainsi que concernant les interactions entre le projet de loi sous objet, la loi précitée du 30 mai 2005 et, le cas échéant, le Règlement dit « ePrivacy » en projet'. A la différence de ses textes prédécesseurs, la directive (UE) 2018/1972 et le projet de loi sous avis incluent les fournisseurs de services dits « over the top » ou « OTT » dans leur champ d'application. En effet, sont visés non seulement les services « traditionnels » basés sur la numérotation mais également les services de communications interpersonnelles non fondés sur la numérotation. Ad article 2 Comme il a été mentionné en introduction du présent avis, la notion de service de communications électroniques est élargie de manière à intégrer les « over the top players» offrant des services de communications interpersonnelles non fondés sur la numérotation. Cependant, à la différence de ce qui est prévu par le projet de loi sous avis2, la nouvelle définition du service de communications électroniques devra s'appliquer non seulement à la future loi sur les réseaux et les services de communications électroniques, mais également à la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. En effet, l'article 125 troisième alinéa de la directive (UE) 2018/1972 à transposer dispose ce qui suit : « Les références faites aux directives abrogées s'entendent comme faites à la présente directive et sont à lire selon le tableau de correspondance figurant à l'annexe xlll. » Selon le tableau de l'annexe XIII, toute référence à l'article 2, point
- c)de la directive 2002/21/CE (qui définit les services de communications électroniques) s'entendra désormais comme faite à l'article 2, point 4) de la directive (UE) 2018/1972 (repris par l'article 2 paragraphe
(4)du projet de loi). Or, l'article 2 de la directive ePrivacy (2002/58/CE) se réfère justement — sans le mentionner de manière explicite - à l'article 2, point c) de la directive 2002/21/CE par les termes suivants : « Sauf disposition contraire, les définitions figurant dans la directive 95/46/CE et dans la directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et les services de communications électroniques (directive "cadre")
(8)s'appliquent aux fins de la présente directive. » A l'heure actuelle, la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques qui transpose la directive ePrivacy se base en son article 2 lettre (
- j)sur l'ancienne définition de l'article 2, point
- c)de la directive 2002/21/CE. Le projet de loi sous avis devrait donc comporter une disposition modificative de la loi modifiée du 30 mai 2005 à ce sujet. 1 Proposition de règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement « vie privée et communications électroniques ») 2 Et la CNPD n'a pas connaissance qu'un projet de loi à part aurait été déposé pour modifier la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 2/9 De même, la conformité des autres définitions de l'article 2 de la loi modifiée du 30 mai 2005 à l'article 2 de la directive 2018/1972 devrait être vérifiée et des modifications devraient le cas échéant être apportées. Par ailleurs, la CNPD constate, à l'instar du Conseil d'Etat, que le point 37 de l'article 2 du projet de loi fait référence à la notion d'« autorités compétentes ». Dans la suite du texte, différents articles du projet de loi évoquent ces « autorités compétentes » sans toutefois apporter des précisions à cet égard. Or, la Commission nationale est susceptible de faire partie des autorités compétentes, auquel cas certaines dispositions du projet de loi lui seraient applicables, telles que les articles 3, 9 et 13. En vertu du principe de sécurité juridique, elle estime nécessaire que les auteurs du projet de loi clarifient quelles sont les autorités compétentes visées et précisent les compétences et tâches respectives. La CNPD reviendra sur ce point dans ses développements relatifs à l'article 8 du projet de loi. Ad article 5 L'article 5 paragraphe
(2)prévoit que « les opérateurs et les entreprises offrant des services de communications électroniques mettent d'office et gratuitement à la disposition des autorités compétentes en la matière les données techniques et les équipements permettant à celles-ci l'accomplissement de leurs missions légales de surveillance des communications ». La CNPD suppose que par « missions légales de surveillance des communications », il faut comprendre les mesures pouvant être ordonnées sur base des articles 67-1 et 88-1 à 88-4 du code de procédure pénale ainsi que de l'article 7, paragraphes
(1)et
(2)de la loi du 5 juillet 2016 modifiée portant réorganisation du Service de renseignement de l'Etat. En vertu de la jurisprudence de la Cour européenne des droits de l'homme, toute ingérence dans le droit au respect de la vie privée requiert une loi qui doit être « accessible aux personnes concernées et prévisible quant à ses répercussions»
- Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne — bénéficiant éventuellement d'une assistance appropriée — d'adapter son comportement »
- « Le degré de précision requis de la "loi" à cet égard dépendra du sujet en question. »
- Pour améliorer le caractère prévisible et précis de la disposition ci-dessus, la CNPD suggère de faire une référence explicite aux textes de loi prévoyant les mesures de surveillance en question. Il convient en effet d'éviter qu'une disposition légale ne prévoyant pas de manière explicite la surveillance de communications puisse être utilisée à cette fin (par exemple les dispositions du Code de procédure pénale relatives aux perquisitions, diverses dispositions légales accordant des pouvoirs d'investigation à des autorités administratives ou l'article 3 de la loi 3 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; voir également CouEDH, Kopp c. Suisse, n° 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 février 2009, para.
- 4 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 56 ; voir également CouEDH, Malone c. Royaume-Uni, n° 8691/79, 26 avril 1985, para. 66 ; CouEDH, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
- 5 CouEDH, The Sunday Times c. Royaume-Uni, n° 6538/74, 26 avril 1979, para. 49 ; voir également CouEHD, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
- CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 3/9 modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État qui définit des missions du Service de renseignement). En effet, les dispositions spécifiques, outre de répondre à l'exigence de prévisibilité de la jurisprudence de la Cour européenne des droits de l'homme, doivent contenir des conditions limitant les mesures de surveillance à un minimum. A titre d'exemple, en procédure pénale, un accès judiciaire aux données de connexion (article 67-1 du Code de procédure pénale) ou au contenu de communications électroniques (articles 88-1 et suivants) n'est possible que dans le contexte de faits qui emportent une peine criminelle ou une peine correctionnelle dont le maximum est égal ou supérieur à un an d'emprisonnement (article 67-1) respectivement deux ans d'emprisonnement (article 88-2), alors que les dispositions relatives au perquisitions et saisies ne comprennent pas de telles conditions. Par ailleurs, les mesures de surveillance nécessitent l'intervention d'un juge d'instruction, même en cas de crime ou de délit flagrant
- Cependant, afin de tenir compte de l'apparition de nouvelles formes de services de communication électronique (offerts par les « over the top players » mentionnés ci-dessus en introduction), couvertes par la définition élargie de l'article 2 paragraphe
(4)du projet de loi, la Commission nationale se pose la question de savoir si les dispositions actuelles du Code de procédure pénale (articles 67-1 et 88-1 à 88-4) relatives au contrôle des communications électroniques sont suffisantes ou si, par contre, il faudrait introduire des dispositions spécifiques dans le Code de procédure pénale, voire modifier les dispositions existantes. La CNPD constate par ailleurs que les termes utilisés pour désigner les entreprises devant coopérer avec les autorités ne sont pas uniformisés dans le Code de procédure pénale («opérateur de télécommunications » et « fournisseur d'un service de télécommunications » à l'article 67-17, «opérateur des postes et télécommunications» à l'article 88-4) et à l'article 5 paragraphe
(2)du projet de loi (« opérateurs et les entreprises offrant des services de communications électroniques »). L'article 5 paragraphe
(2)précise par ailleurs qu' « un règlement de l'institut précise au besoin le format et les modalités de mise à disposition des données techniques et des équipements ». La CNPD croit comprendre que cette disposition réglemente les mesures techniques préalables permettant l'interception des données par les fournisseurs de service ou opérateurs. Par opposition, la transmission des données ainsi obtenues par les fournisseurs de service ou opérateurs aux autorités judiciaires et au Service de renseignement de l'Etat relève de l'article 3 paragraphe
(2)du projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification :
- du code de procédure pénale,
- de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat. Cet article prévoit ce qui suit : « Le format et les modalités d'exécution suivant lesquelles les données collectées au sens des articles 43-1, 67-1 du code de procédure pénale et de l'article 7, paragraphe 2, de la loi du 5 juillet 2016 modifiée portant réorganisation du Service de renseignement de l'Etat sont à transmettre, respectivement aux autorités judiciaires et au Service de renseignement de l'Etat, sont définis par règlement grandducal. ». Ledit projet de loi a fait l'objet de l'avis 40/2019 du 5 juin 2019 de la CNPD
- 6 Pour ce qui est de l'article 67-1 du Code de procédure pénale, cf. un arrêt de la Cour d'appel, cinquième chambre, 26 février 2008, arrêt 106/08 V 7 L'article 7 paragraphe
(2)de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État utilise les mêmes termes. 8 https://cnpd.public.1u/content/dam/cnpd/fildecisions-avis/2019/40-plateforme-unique-de-transmission- electronique-securisee.pdf. CNPI51 i Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 4/9 Ad article 8 L'article 8 paragraphe
(2)lettre d) prévoit que l'Institut Luxembourgeois de Régulation (ciaprès « l'ILR ») a la charge de « contribuer à la protection des droits des utilisateurs finaux dans le secteur des communications électroniques en coordination, le cas échéant, avec d'autres autorités compétentes ». La CNPD se demande si elle figure parmi les autorités compétentes en question. Elle note aussi que la « coordination » prémentionnée n'est réglementée que par les dispositions sommaires des paragraphes
(3)et
(4)de l'article 8. Pour des raisons de prévisibilité juridique et afin d'assurer une coordination efficace entre autorités compétentes, la Commission nationale estime nécessaire, d'une part, de nommer dans le projet de loi les autorités compétentes en la matière ainsi que de clarifier leurs compétences et tâches respectives, et d'autre part, de préciser les modalités d'une telle coordination. Ad article 19 L'article 19 énumère les obligations dont est assortie l'autorisation générale, obligations à charge des entreprises qui fournissent un réseau ou un service de communications électroniques à l'exception des services de communications interpersonnelles non fondés sur la numérotation. L'article 19 paragraphe
(1)4° prévoit « la facilitation de l'interception légale par les autorités nationales compétentes, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et à la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques». Comme elle l'a mentionné précédemment à propos de l'article 5, la CNPD estime qu'il serait préférable que l'article 19 paragraphe
(1)4° se réfère à des dispositions précises du Code de procédure pénale et de la loi du 5 juillet 2016 modifiée portant réorganisation du Service de renseignement de l'Etat, afin d'améliorer le caractère prévisible de la loi au sens de la jurisprudence de la Cour européenne des droits de l'homme. La CNPD note également que l'article 19 paragraphe
(1)4° ne s'applique pas aux services de communications interpersonnelles non fondés sur la numérotation alors que l'article 5 paragraphe
(2)traitant également la coopération des entreprises aux mesures de surveillance ordonnées par les autorités est d'application générale. Elle se demande si cette différence de traitement est voulue. [ CNP6- Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 5/9 Ad article 33 L'article 33 prévoit les sanctions que l'ILR peut infliger à des entreprises ne respectant pas certaines dispositions du projet de loi. La CNPD se demande si cet article 33 ne pourrait pas engendrer en pratique un risque de procédures administratives parallèles pouvant aboutir à des de sanctions devant l'ILR et la CNPD pour les mêmes faits. On peut songer à des faits constituant à la fois une violation de l'article 42 du projet de loi et de l'article 32 du RGPD, articles mettant des obligations de sécurité à charge des entreprises. De même, un fait constituant une violation du secret des correspondances viole aussi bien l'article 19 paragraphe
(1)point 2 du projet de loi que l'article 4 de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. En effet, en vertu de l'article 12 de la loi modifiée du 30 mai 2005, la Commission nationale pour la protection des données est chargée d'assurer l'application des dispositions de ladite loi du 30 mai 2005 et de ses règlements d'exécution. On peut également penser à certaines violations de l'article 10 bis de la loi modifiée du 30 mai 2005. En effet, l'article 33 paragraphe
(4)du projet sous avis mentionne expressément ledit article 10 bis parmi les dispositions légales dont la violation peut donner lieu à une amende d'ordre par l'ILR. Or, en vertu de l'article 12 précité de la loi modifiée du 30 mai 2005, la CNPD est chargée d'assurer l'application dudit article 10 bis. Plusieurs questions se posent à ce sujet. Serait-il indiqué qu'une autorité suspende une procédure pouvant aboutir à une sanction quand elle a connaissance de la procédure parallèle devant l'autre autorité ? En l'absence de procédure d'échange d'information réglementée de manière précise, il se pose aussi la question de savoir comment une des deux autorités aura connaissance qu'une procédure est en cours devant l'autre autorité. Est-ce que l'autorité qui est ou s'est saisie la première devrait en informer l'autre autorité? Si on admet qu'un même fait peut donner lieu à ces procédures devant les deux autorités, estce qu'un même fait peut alors également donner lieu à des sanctions administratives à la fois par l'ILR ou la CNPD, ou par contre, une telle double sanction administrative devrait-elle être exclue d'office à l'image du principe non bis in idem existant en droit pénal ? La CNPD estime dès lors nécessaire de clarifier cette problématique dans le projet de loi. Ad article 43 L'article 43 paragraphe
(5)prévoit une coopération entre l'ILR et de la CNPD dans le domaine de la sécurité des réseaux et services dans les termes suivants : « En fonction des besoins et conformément au droit national, l'institut consulte les autorités judiciaires compétentes, la Commission de surveillance du secteur financier, et la Commission nationale pour la protection des données et coopère avec elles. » CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 6/9 La CNPD se demande quelles formes pourra prendre la coopération prévue par cet article. S'agit-il seulement de coordonner les positions des deux autorités sur des questions de principe touchant à la sécurité des communications et des traitements? Ou peut-il y avoir une coopération sur des affaires dont une des autorités est saisie, par exemple dans le cadre de procédures de sanction de l'article 33 mentionnées ci-dessus. Une telle coopération impliquerait un échange d'informations sur des dossiers entre l'ILR et la CNPD, informations qui sont protégées par le secret professionnel. Ad Article 112 L'article 112 reprend l'article 100 de la directive (UE) 2018/1972 qui impose le respect des droits fondamentaux dans le secteur des communications électroniques. La CNPD tient à rendre attentif au fait que cette disposition de la directive doit non seulement être inscrite dans un article de la loi de transposition, mais que, par ailleurs, les dispositions légales nationales applicables et la pratique doivent respecter les principes établis dans la directive et ne pas entrer en contradiction avec ladite loi. Ceci vaut en particulier pour le secret des communications protégé notamment par l'article 7 de la Charte des droits fondamentaux de l'Union européenne. A l'heure actuelle, le secret des communications en matière de communications électroniques est notamment protégé au niveau national par la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques et en particulier par l'article 4 de cette loi. Cependant, à l'heure actuelle, la définition du « service de communications électroniques » de l'article 2 lettre (j) de la loi modifiée du 30 mai 2005 précitée est plus étroite que celle de l'article 2 paragraphe
(4)du projet de loi qui englobe aussi les « over the top players ». Comme il a été expliqué ci-dessus dans le commentaire relatif à l'article 2 projet de loi, et conformément à l'article 125 troisième alinéa de la directive (UE) 2018/1972, les définitions de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques devraient être adaptées pour être conformes à l'article 2 de la directive (UE) 2018/1972. A défaut, il y aurait un risque que certaines nouvelles formes de communications électroniques ne soient pas couvertes par les dispositions relatives au secret des correspondances de la loi modifiée du 30 mai 2005, du moins aussi longtemps que le futur Règlement « ePrivacy » n'est pas adopté et en vigueur. Ad article 124 L'article 124 paragraphe
(5)tend à garantir une localisation rapide de l'auteur d'un appel d'urgence. La CNPD note qu'à l'heure actuelle, la question de la localisation des appels d'urgence est traitée par l'article 7 paragraphe
(5)de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 7/9 D'ailleurs, une modification dudit article 7 est en cours d'être effectuée par le projet de loi n° 7526 portant modification de la loi modifiée du 30 mai 2005 relative aux dispositions spécifiques de protection de la personne à l'égard du traitement des données à caractère personnel dans le secteur des communications électroniques et portant modification des articles 88-2 et 88-4 du Code d'instruction criminelle. Ledit projet de loi a fait l'objet de l'avis 11/2020 du 24 avril 2020 de la CNPD9. Cette modification tend à permettre la localisation des appels via des informations obtenues à partir de l'appareil mobile de l'appelant (c'est-à-dire en particulier via des informations de localisation par le système mondial de navigation par satellite (GNSS) ou via un réseau Wifi). La CNPD comprend que l'article 124 paragraphe
(5)projeté complète l'article 7 précité de la loi modifiée du 30 mai 2005 qui reste en vigueur après l'entrée en vigueur de la loi projetée sous avis. Elle estime nécessaire de préciser dans le projet de loi comment cette disposition s'articule avec la modification apportée par le projet de loi n°7526. Ad article 131 L'article 131 du projet de loi régit les factures détaillées. Pour ce qui est des appels gratuits, le paragraphe
(2)alinéa 4 dispose ce qui suit: « Les appels qui sont gratuits pour l'utilisateur final appelant, y compris les appels aux lignes d'assistance, ne doivent pas nécessairement être indiqués sur la facture détaillée de l'utilisateur final appelant ». Cet alinéa laisse un choix — apparemment au bénéfice du fournisseur de service et non au client — d'inclure ou de ne pas inclure ces appels dans les factures détaillées. Ceci contredit l'actuel article 6 paragraphe
(2)de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, paragraphe qui reste en vigueur et qui dispose ce qui suit: « Les appels gratuits y compris ceux aux lignes d'assistance ne sont pas indiqués sur la facture détaillée indépendamment de son degré de détail. » Une clarification s'impose dès lors dans le projet de loi. Ad article 132 L'article 132 paragraphes
(1)et
(2)régit l'identification de la ligne d'appel. La CNPD comprend que l'article 132 paragraphes
(1)et
(2)projeté complète les paragraphes
(1)à
(4)de l'article 7 de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, paragraphes qui resteront en vigueur après l'entrée en vigueur de la loi projetée sous avis. Les auteurs du projet de loi devraient donc clarifier l'articulation du projet de loi sous avis avec les dispositions de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. https://cnpd.publicluicontent/dam/cnpd/fedecisions-avis/2020/11 -communication -electroniques- PL7526.pdf CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat 8/9 Ainsi décidé à Belvaux en date du 3 mars 2021. La Commission nationale pour la protection des données Digitally signed by Tine CHRISTOPHE Tine Annema ne Annemarie Larsen Date: 2021.03.03 Larsen 09:48:23 +01'00' Tine A. Larsen Présidente [ CNPD Digitally signed by CHRISTOPHE NICOLAS BUSCHMANN Date: 2021.03.03 09:50:54 +01'00' NICOLAS BUSCHMANN Christophe Buschmann Commissaire signed by Marc Ernest Digitally Marc Ernest JeanJea n-Pierre Pierre Lemmer Date: 2021.03.03 Lemmer 11:34:19 +0100' Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7632 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant: 1) organisation de l'Institut Luxembourgeois de Régulation; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat. 9/9