Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7650 portant modification 1° du Code de la consommation ; 2° de la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des spécialités pharmaceutiques et des médicaments préfabriqués ; 3° de la loi modifiée du 27 juillet 1991 sur les médias électroniques ; 4° de la loi modifiée du 27 juillet 1997 sur le contrat d'assurance ; 5° de la loi modifiée du 14 août 2000 relative au commerce électronique ; 6° de la loi modifiée du 24 mai 2011 relative aux services dans le marché intérieur ; 7° de la loi modifiée du 23 décembre 2016 sur les ventes en soldes et sur trottoir et la publicité trompeuse et comparative ; 8° de la loi du 26 juin 2019 relative à certaines modalités d'application et à la sanction du règlement (UE) 2018/302 du Parlement européen et du Conseil du 28 février 2018 visant à contrer le blocage géographique injustifié et d'autres formes de discrimination fondée sur la nationalité, le lieu de résidence ou le lieu d'établissement des clients dans le marché intérieur, et modifiant les règlements (CE) n°2006/2004 et (UE) 2017/2394 et la directive 2009/22/CE, en vue de la transposition de la directive (UE) 2020/1828 du Parlement européen et du Conseil du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs et abrogeant la directive 2009/22/CE Délibération n° 54/AV22/2024 du 16 août 2024 1. Conformément à l'article 57. 1.
- e)du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des donnéesà caractère personnel et à la libre circulationde ces données,et abrogeant la directive 95/46/CE(règlementgénéralsur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législativeset administrativesrelatives à la protection des droits et libertés des personnes physiques à l'égarddu traitement ». [ CNPD] Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7650 [...] 1/9 Par ailleurs, l'article 36. 4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptéepar un parlement national, ou d'une mesure réglementairefondéesur une telle mesure législative, qui se rapporte au traitement. » 2. En date du 05 mai 2023, la Commission nationale a avisé le projet de loi n°7650 portant modification 1° du Code de la consommation ; 2° de la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des spécialités pharmaceutiques et des médicamentspréfabriqués; 3° de la loi modifiéedu 27juillet 1991 sur les médiasélectroniques ; 4° de la loi modifiéedu 27juillet 1997 sur le contrat d'assurance ; 5° de la loi modifiéedu 14 août 2000 relative au commerce électronique ; 6° de la loi modifiée du 24 mai 201 1 relative aux services dans le marché intérieur ; 7° de la loi modifiée du 23 décembre 2016 sur les ventes en soldes et sur trottoir et la publicitétrompeuse et comparative ; 8° de la loi du 26juin 2019relative à certaines modalités d'application et à la sanction du règlement (UE) 2018/302 du Parlement européen et du Conseil du 28 février 2018 visant à contrer le blocage géographique injustifié et d'autres formes de discrimination fondée sur la nationalité, le lieu de résidence ou le lieu d'étabtissement des clients dans le marché intérieur, et modifiant les règlements (CE) n°2006/2004 et (UE) 2017/2394 et la directive 2009/22/CE, en vue de la transposition de la directive (UE) 2020/1828 du Parlement européen et du Conseil du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs et abrogeant la directive 2009/22/CE (ci-après le « projet de loi »)1. 3. Par courrier du 29 mars 2024, Madame la Ministre de l'Agriculture, de l'Alimentation et de la Viticulture - Direction de la protection des consommateurs - a invité la Commission nationale à se prononcer sur les amendements gouvernementaux au projet de loi, qui ont étéapprouvés par le Conseil de gouvernement dans sa séance du 08 avril 2024 (ci-après les « amendements gouvernementaux »). 4. Il y a lieu de rappeler que le texte sous avis est destiné à transposer ta directive (UE) 2020/1828 du Parlement européenet du Conseil du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêtscollectifs des consommateurs et abrogeant la directive 2009/22/CE. Les derniers amendements gouvernementaux ont pour objectif, quant à eux, de répondre aux objections du Conseil d'Etat, telles que délivrées dans son dernier avis en date du 20 juin 2023 concernant plus particulièrement ta procédure judiciaire, le règlement extrajudiciaire du litige collectif ou encore les titulaires de l'action, et ce afin d'assurer une transposition fidèle de la directive (UE) 2020/1828 précitée. Délibération n°34/AV20/2023 du 5 mai 2023 de la Commission nationale pour la protection des données. r CNPol Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7650 [...] 2/9 La Commission nationale limitera ses observations aux dispositions légales concernant la protection des données personnelles et aux interactions potentielles avec la procédure d'enquête formelle devant la CNPDsuite à l'instruction d'une réclamation. Tout en réitérantcertaines de ses observations émises dans son avis initial, elle s'interroge aussi sur certaines modifications apportées par les derniers amendements gouvernementaux. A titre liminaire, la CNPD salue d'ores et déjà la correction de l'erreur matérielle quant à sa dénomination notamment au sein de l'article 6 du projet de loi et l'article L. 321-4 du Code de la consommation tels que modifiés.
- l)7. Quanta la qualité pour agir Au vu de l'article 3 des amendements gouvernementaux et l'article L. 321-2 du Code de la Consommation, en lien avec le nouvel article L. 321-4 du Code de la Consommation, tels que modifiés, la Commission nationale constate et salue le fait de pouvoir introduire, comme déjà prévu par les précédentsamendementsgouvernementauxdu 16 septembre 2022, une action en cessation ou en interdiction après la constatation d'une violation en lien avec la réglementation sur la protection des donnéeset notamment les dispositionsdu RGPDtel que listéà l'annexe 1, tout comme un recours collectif en réparation en tant qu'entité régulatrice sectorielle ainsi que rappelé par le présent projet de loi. 8. Concernant plus spécifiquement le recours collectif, le projet initial qui attribuait qualité pour agir à cinq catégories de titulaires exclut désormais cette qualité, dans sa version modifiée, au profit du consommateur individuel qui pourra seulement opter de se joindre au groupe ainsi que celle de l'attribution facultative de la qualité pour agir à des associations non agréées désignées ad hoc par le tribunal compétent. La CNPD comprend donc que les amendements sous revue maintiennent la qualité pour agir aux entités qualifiées c'est-à-dire les entités régulatrices sectorielles dont elle fait partie, les associations agréées et les entités qualifiées désignées par un Etat membre de t'Union européenne. L'article L. 321-3 du Code de la consommation, tel que modifié, prévoit quant à lui une liste des « entités qualifiées désignéesà l'avance » communiquée parchaque Etat membre puis publiéepar la Commission européennepour les actions et recours transfrontières et par le ministre ayant la Protection des consommateurs dans ses attributions pour les actions et recours nationaux. 9. La Commission nationale se demande donc si lesdits changements répondent à ses interrogations soulevées dans son avis initial. Pour rappel, la CNPD avait soulevé dans son CNPDl Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7650 [...] 3/9 précédent avis2 l'importance que les dispositions en question prévoient bien les mêmes critères pour déterminer une entité qualifiée pouvant exercer l'action en cessation ou en interdiction ou un recours collectif que ceux énoncés par l'article 80 du RGPD et tel que d'ailleurs soutenu par le Contrôleur européen de la protection des données (ci-après le « CEPD ») dans son avis 8/20183. Ainsi, comment ces deux dispositions légales prévoyant chacune des dispositions particulières pour la détermination d'une entité qualifiée s'articuleront donc entre elles en pratique ? 10. De plus, la CNPD s'interroge toujours sur le fait de savoir comment dans les faits pourrait-elle, exercer ces nouveaux pouvoirs, voire si et comment d'autres entités qualifiées, non encore concrètement déterminées, pourraient intenter une action ayant pour cause commune un manquement de même nature aux dispositions du RGPD ? En effet, la loi du 1eraoût2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données4 reste muette en la matière. La loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel ainsi qu'en matière de sécurité nationale5, quant à elle, prévoit dans son article 46 « représentation des personnes concernées » certaines conditions dédiées à la représentation de la personne concernée de manière générale par une personne morale. A titre comparatif, la loi organique française « Informatique et Libertés »6 prévoit explicitement un article 37 dédié à l'action de groupe qui avait déjà étéintroduite en France par la loi n°2014-344 du 17 mars 2014 relative à la consommation et rappelle également les différents titulaires de cette action. La Commission nationale réitère donc à ce titre son questionnement sur la nécessitéde modifier d'un point de vue légistique la loi du 1eraoût 2018 portant organisation de la Commission nationale pour la protection des données et du régime généralsur la protection des données7. Il) 11. Quant à la publication des jugements, décisions ou accords Les derniers amendements gouvernementaux ont apporté ici une modification au projet de loi initial de sorte que le livre 5 du Code de la consommation précise désormais une publication 2 Voir Délibérationn°34/AV20/2023du 5 mai 2023 de la Commission nationale pour la protection des données, point 12. 3 Avis 8/2018, CEPD, « Une nouvelle donne pour les onsommateurs », point 63. 4 Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, Mém. A686. 5 Loi du 1eraoût2018 relative à la protection des personnes physiques à l'égarddu traitement des données à caractèrepersonnelen matièrepénaleainsiqu'en matièrede sécuriténationale, Mém.A 689. 6 Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, Article 37, II). 7 Voir Délibération n"34/AV20/2023 du 5 mai 2023 de la Commission nationale pour la protection des données, point 10. r CNPDl Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi no7650 [...] 4/9 intégrale du jugement définitif de recevabilité ou d'irrecevabilité ou, le cas échéant la décision définitive en appel8, l'accord homologué9, lejugement de responsabilité ou de rejet10, ainsi que le jugement en cessation et en interdiction11. A cet effet, le projet de loi tel que modifié indique1 2 que le ministre ayant la Protection des consommateurs dans ses attributions doit publier sans retard sur son site Internet tous les Jugements en cessation, en interdiction ou en recours collectif ainsiquetout accord extrajudiciaire pour donner aux consommateurs et aux professionnels la possibilité d'agirou de se manifester. 12. La CNPD comprend d'après le nouvel article L. 524-8 du Code de la consommation en lien avec l'article L. 524-11 du Code de la consommation, tel que modifié, relatif aux mentions d'information - certes non exhaustives - dujugement en responsabilité que les coordonnées du liquidateur ou celle du représentant du groupe seraient indiquées auxfins de faire valoir la demande d'adhésion ou d'exclusion ou de rejet notamment par un consommateur individuel dont la dénomination individuelle ne figurerait pas dans lesdites mentions. A toutes fins utiles, la Commission nationale tient à rappeler l'importance de garantir la protection des données à caractère personnel de toute personne physique identifiée ou identifiable dans toute décision judiciaire accessible publiquement. Malgré l'absence de cadre légal particulier existant au Luxembourg, la CNPD se réfère à la pratique actuelle d'anonymisation de toutes mentions comme les noms, prénoms, adresse, etc. permettant d'identifier une personne physique que cesoit tant les parties au litige qued'éventuels tiers intervenants par les juridictions supérieures et inférieures dans leur publication notamment sur le portail Internet de la Justice. 13. Selon le modèle usité, les dénominations des personnes morales, sont aussi en principe anonymisées bien que le RGPD ne s'applique qu'aux personnes physiques. A ce titre, il est aussi utilederappelerquelesinformations liéesauxnomsdesadministrateurs oureprésentants légaux constituent des données à caractère personnel lorsqu'elles se rapportent à des personnes identifiéesou identifiables. Dans l'optique du projet de loi sous étude, la CNPDcomprend que le but de ces publications soit notamment de permettre aux personnes concernées individuelles de se joindre au groupe. Ces dernières devraient donc pouvoir avoir un intérêt à reconnaître les Voir nouvel article L. 521-2
(3)du Codede la consommation auxfinsdetransposition des paragraphes 3 et4 de l'article 13 de la directive (UE) 2020/1828. 9 Voir nouvel article L. 522-5
(5)du Code de la onsommation. 10Voir nouvel article L. 524-3
(5)du Code de la consommation. " Voir nouvel article L. 523-1
(3)du Code de la consommation. 12Voir notamment articles L. 521-2, 522-4, 523-1
(4)et 524-3du Codede la onsommation. f CNPD| Avis complémentairede la Commission nationale pour la protection des données relatifau projet de loi n°7650 [...] 5/9 décisions concernant leur cas d'espèce et donc d'identifier le professionnel, le cas échéant le responsable du traitement en cause. 14. Ainsi la CNPD se demande quelles seraient, au final, les mentions précises qui figureraient en accès public, en particulier si des données à caractère personnel sont concernées. Si l'obligation de publication des actes mentionnés au point 11 ci-avant s'avère répondre à une exigence légale, encore faudrait-il veiller à bien octroyer des garanties appropriées pour préserver les éventuelles données personnelles des personnes concernées une fois les finalités de traitement réalisées comme notamment par la détermination et le respect de durée(
- s)de conservation, de publication limitée(
- s)sur le(
- s)site(
- s)Internet concerné(
- s)ou, dans la mesure du possible, par remploi de techniques d'anonymisation. Outre les actes visésau point 11 ci-avant, la Commission nationale note également que le nouvel article L. 511-5 du Code de la consommation prévoit aussi certaines informations publiques à mettre à disposition par le demandeur sur leur site Internet et plus particulièrement « tes recours collectifs qu'il a décidéd'intenter, leur état d'avancement et les résultats obtenus ». III) Quant à l'articulation des différentes actions et mécanismes existants 15. Dans son avis initial, la CNPD avait déjà évoqué plusieurs interrogations quant aux interactions entre les différents acteurs impliqués, en particulier entre le tribunal d'arrondissement siégeant en matière commerciale et la CNPD. Elle avait aussi soulevé l'importance de veiller à la cohérence globale de l'application uniforme de la législation en matière de protection des données1 3. 16. Les derniers amendements gouvernementaux ont apporté certaines modifications premièrement sur le système dit d'opt-in et d'opt-out de sorte qu'une fois les délais tels que définis dans le jugement de responsabilité par le juge pour l'adhésion ou l'exclusion passés, le consommateur qui aurait manifesté sa volonté explicite ou implicite de rejoindre le groupe ne pourrait plus « entamer une action future quelconque ayant le même objet et la même cause contre le même professionnel »14. Tel qu'exposé dans les commentaires de l'article L.524-4 du Code de la consommation, cette modification est justifiée par la transposition de l'article 9 paragraphe 4 de la directive (UE) 2020/1828 afin notamment d'éviter que les consommateurs ne soient indemnisés plus d'une fois pour une action avec les mêmes objet, cause et partie adverse. 13Voir Délibérationn" 34/AV20/2023du 5 mai 2023 de la Commission nationalepour la protection des données, points 14 et s. 14Voir articles L. 524-12 et L. 524-13 du Code de la consommation, tels que modifiés. CNPDl Avis complémentairede la Commission nationale pour la protection des données relatif au projet de loi n"7650 [...] 6/9 17. La Commission nationale constate que le terme « action » n'est nullement définicomme terme isolé dans le projet de loi ou les amendements gouvernementaux. Néanmoins le nouvel article L.524-4
(3)du Code de la consommation précise le fait que le ou les consommateurs ayant manifestéleur volontéd'êtrereprésenté(s)dans le cadre d'un recours collectifse verront exclure « tout autre recours collectif, accord de médiation ou action à titre individuel ayant le même objet et la même cause contre le même professionnel ». Ainsi la CNPD se demande quelles sont les actions précisément sous-entendues par cette exclusion ? S'agit-il uniquement d'actions en justice que tout consommateur pourrait intenter à titre individuel en tant que partie demanderesse ? Les réclamations auprès de la CNPD qui pourraient être introduites par un consommateur individuel sont-elles ainsi ou non comprises par les auteurs des amendements dans cette exclusion ?
- Aussi si les auteurs des amendements gouvernementaux n'entendaient pas exclure le cas d'actions hors voie judiciaire, la Commission nationale estime que la procédure telle que désormais décrite pourrait toujours s'avérer problématique au regard du risque de l'existence d'une procédure parallèle similaire via l'introduction d'une réclamation auprès de la CNPD ou de la décision d'ouverture d'une d'enquête par la CNPD. Les mêmes questions d'ordre procédural tels qu'exposées dans l'avis initial de la CNPD risqueraient alors encore de se poser
- En particulier comment le tribunal compétent et la CNPD obtiendraient-ils connaissance mutuellement des recours respectifs ? La CNPD devrait-elle alors systématiquement consulter les sites Internet des demandeurs potentiels pour prendre connaissance des recours collectifs intentés1 6? Hormis les incertitudes d'ordre procédural, la CNPD s'inquiète toujours plus particulièrement des risques de contradictions potentielles quant à l'interprétation d'une violation des dispositions du RGPD entre les différents recours possibles en lien avec la protection des données devant les différents acteurs impliqués. Un consommateur qui ne serait pas ou plus partie d'un groupe ne pourrait certes pas prétendre à une indemnisation individuelle via une réclamation intentée auprès de la CNPD. Pour autant la violation des dispositions du RGPD par le même professionnel pourrait être constatée et jugée en parallèle. La CNPD estime donc qu'il serait utile, le cas échéant, que les procédures nationales prévoient avec plus de précisions les modalités d'articulation entre les différentes actions en matière de protection des données au sein d'un même Etat membre incluant, au besoin, des mécanismes de mise en suspens ou de dessaisissement17 et se permet de renvoyer pour le surplus aux questions et développements déjà évoqués dans son avis initial. 15Voir Délibération no34/AV20/2023 du 5 mai 2023 de la Commission nationale pour la protection des données, points 15, 16 et
- 16Voirle nouvelarticleL.511-5duCodede laconsommationet point 1 1
(2)duprésentaviscomplémentaire. 17Dansle mêmesens,voirconclusionsde l'AvocatGénéralJeanRicharddelaTourprésentées,le 8 septembre 2022, affaire C-132/21, point 49. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7650 [...] 7/9 Sur ce point, la Commission nationale aimerait rappeler à son soutien la conclusion de l'arrêt de la Cour dejustice de l'Union européenne du 12janvier 2023 (C-132/21)18. Si la Cour valide bien lapossibilitéd'introduire demanièreconcomitante desrecours contentieux devant desjuridictions administratives et judiciaires prévus par le RGPD, elle précise aussi qu'en l'absence de réglementation de l'Union en la matière et eu égard au risque de décisions contradictoires, il appartient à chaque Étatmembre, en vertu du principe d'autonomie procédurale, de prévoir « tes modalités d'articulation de ces voies de recours afin que soient assurés l'effectivité de la protection des droits garantis par ce règlement [2016/679], l'application cohérente et homogène des dispositions de ce dernier ainsi que le droit à un recours effectif devant un tribunal, visé à l'article 47 de la Charte des droits fondamentauxde l'Union européenne »19. 19. La Commission nationale souhaite revenir, deuxièmement, sur une autre modification apportée par les derniers amendements concernant l'ajout des termes « national(
- es)ou transfrontière(
- s)» après les termes « en cessation ou en interdiction » et « recours collectif » à l'article L. 321-4 du Code de la consommation, tel que modifié, et plus spécifiquement sur l'aspect transfrontalier. Il est donc désormais précisé que les entités régulatrices sectorielles instituées, comme la CNPD, peuvent intenter une action en cessation ou en interdiction, ou un recours collectif, national ou transfrontière, autrement dit la possibilité, selon la définition précisée à l'article L. 511-1 du Code de la consommation, tel que modifié, d'intenter un recours dans un Etat membre autre que celui où l'entité a étédésignée. 20. La CNPD se demande ainsi si cet ajout ne risquerait pas quelque peu de venir perturber le mécanisme de coopération et de cohérence tel que prévu par le Chapitre VII du RGPD. Ce dernier implique en effet la désignation d'un interlocuteur unique, en d'autres termes l'autoritéchefdefile qui est l'autorité de protection des données du pays où se trouve rétablissement principal de l'entreprise ou du professionnel concerné. Cette autorité chef de file est ensuite chargée de coordonner la prise de décisions avec les autorités de protection des données concernées par le traitementtransfrontalier. L'interventiondu CEPDest égalementprévueen cas de désaccord.De ce fait, si désormais n'importe quelle autorité nationale de protection des données déciderait d'elle-même d'introduire un recours dans un autre Etat membre que celui lié au professionnel en cause alors que l'autorité chef de file - pouvant être distincte de l'entité régulatrice à l'origine de l'action - devrait en principe coordonner la plainte, n'y aurait-il pas là un nouveau risque de frictions entre lesdites réglementationset procéduresen cause ? 21. Finalement, la CNPD se questionne sur les possibles répercussions en cas d'urgence pour la protection des données des droits et libertés des personnes concernées. Le RGPD prévoit ainsi dans son article 66 une dérogationau mécanismede contrôlede la cohérenceet de coopération 18Arrêtdu 12janvier2023, BEe/ NemzetiAdatvédelmies InformâciôszabadsàgHatôsàg,C-132/21,EU:C:2023:2. 19 Ibid., point 57. \ CNPDl Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7650 [...] 8/9 entre l autorité de contrôle chef de file et les autres autorités de contrôle concernées permettant à une autorité de contrôle concernée d'adopter immédiatement des mesures provisoires dans l'attente éventuelle d'une décision contraignante d'urgence au comité. Ladite procédure d'urgence n'est pas retranscrite au sein de la législation nationale luxembourgeoise dédiée à la protection des données contrairement à d'autres pays voisins2 0 dont l'interruption temporaire du traitement litigieux figure parmi l'une des mesures possibles. Le juge administratif, juge des décisions de la CNPD et/ou le juge judiciaire devrait-il être saisi en pareil cas et comment les décisions s'articuleraient-elles de nouveau entre elles ? 22. En conclusion, la CNPD insiste sur l'importance de veiller à la cohérence globale du système et des procédures nationales dans leur ensemble afin de garantir la sécurité juridique de la protection juridictionnelle obtenue. Ainsi adopté à Belvaux en date du 16 août 2024. îr la'Commission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang Commissaire lare Lemmer y Commissaire Alain Herrmann Commissaire 20Voirnotamment article 21 de la loifrançaise n° 78-17du 6 janvier 1978relative à l'informatique, auxfichiers etaux libertés. CNPD Avis complémentairede la Commission nationale pour la protection des données relatif au projet de loi n°7650 [...] 9/9