Projet de loi portant mise en place d’un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la séc

(1)Si un investissement direct étranger a été réalisé sans qu’une notification n’ait été effectuée en vertu de l’article -3 ou sans autorisation obtenue dans le cadre de la décision de filtrage en vertu de l’article 8, le ministre peut suspendre l’exercice des droits de vote liés à l’investissement direct étranger et attachés aux titres détenus directement ou indirectement par l’investisseur étranger excédant le seuil de 25 pour cent des droits de vote conférant le contrôle de l’entité de droit luxembourgeois jusqu’à la régularisation de la situation et il le ministre peut enjoindre à l'investisseur étranger de modifier l’opération ou de faire rétablir à ses frais la situation antérieure. Lorsque des droits de vote de cette entité de droit luxembourgeois ont été exercés nonobstant une suspension de leur exercice par décision du ministre prise en application de l’alinéa 1er résultant de la loi, le Tribunal d’arrondissement, siégeant en matière commerciale, dans le ressort duquel l’entité de droit luxembourgeois a son siège peut, sur demande de l’entité de droit luxembourgeois dotée de la personnalité juridique ou de ses actionnaires ou de toute personne justifiant d’un intérêt, prononcer la nullité de tout ou partie des décisions de l’assemblée générale si, sans les droits de vote illégalement exercés, les quorums de présence ou de majorité requis pour lesdites décisions n’avaient pas été réunis. L’action en nullité se prescrit par cinq ans à compter du jour où les droits de vote ont été exercés.

(2)Si les conditions, dont est assortie l’autorisation visée à l’article 8, paragraphes 3 et 4, ne sont pas respectées, le ministre peut : 1° enjoindre à l'investisseur étranger de respecter, dans un délai qu'il fixe, les conditions figurant dans l'autorisation ; 2° enjoindre à l'investisseur étranger d’exécuter, dans un délai qu'il fixe, des prescriptions en substitution de l'obligation non exécutée, y compris le rétablissement de la situation antérieure au non-respect de cette obligation ou la cession de tout ou partie des activités ; 3° suspendre l’exercice des droits de vote liés à l’investissement direct étranger et attachés aux titres détenus, directement ou indirectement, par l’investisseur étranger excédant le seuil de 25 pour cent des droits de vote conférant le contrôle de l’entité de droit luxembourgeois jusqu’à la mise en conformité et la mise en œuvre des conditions susmentionnées ; 4° retirer l'autorisation. » Commentaire Paragraphe 1er La Commission propose de préciser dans le libellé, tel que suggéré par le Conseil d’État dans son avis complémentaire du 14 mars 2023 et afin de lever son opposition formelle pour cause d’insécurité juridique, que seulement les droits de vote des titres appartenant directement ou indirectement à l’investisseur étranger qui excèdent le seuil de 25% peuvent être suspendus par le ministre compétent. De même, il est proposé de reconnaître à l’entité de droit luxembourgeois dotée de la personnalité juridique ou à ses actionnaires le droit d’ester en justice à l’encontre de la décision de suspension des droits de vote prononcée par le ministre compétent. Il est précisé que cette action en nullité est soumise à un délai de prescription de cinq ans. Paragraphe 2 La Commission propose de compléter, à l’instar de son amendement proposé à l’endroit de l’alinéa 1er, paragraphe 1er le point 3° du paragraphe 2 de l’article 9. La Commission suggère d’écrire le terme « lié » en pluriel. Amendement n°2 concernant l’article 12 L’article 12, paragraphe 1er, est complété par l’ajout d’un nouvel alinéa 2 libellé comme suit : « Art. 12

(1)Le ministre responsable du traitement peut limiter, entièrement ou partiellement, le droit d’accès de la personne concernée visé à l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), désigné ci-après par le terme « règlement (UE) 2016/679 » , dès lors et aussi longtemps qu’une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée pour garantir : 1° la sécurité nationale ; 2° la défense nationale ; 3° la sécurité publique ; 4° la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; 5° d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale. La limitation prévue à l’alinéa 1er peut s’appliquer à toutes catégories de données à caractère personnel à l’exception des données à caractère personnel fournies par la personne.

(2)Dans les cas visés au paragraphe 1er, le ministre responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d’accès, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l’un des objectifs énoncés au paragraphe 1er. Le ministre responsable du traitement informe la personne concernée des possibilités d’introduire une réclamation auprès de la Commission nationale pour la protection des données, dénommée ci-après « la CNPD », ou de former un recours juridictionnel.

(3)Le ministre responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de la CNPD sur demande. » Commentaire Le Conseil d’État, dans l’avis complémentaire du 14 mars 2023, déclare s’opposer formellement à l’article 12, paragraphe 1er tel que proposé pour contrariété avec l’article 23, paragraphe 2, du règlement (UE) n°2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. Le Conseil d’Etat estime que « le texte sous examen omet de prendre les dispositions requises par le paragraphe 2 de l’article 23 de ce règlement, qui énonce un certain nombre de dispositions que toute mesure législative doit, le cas échéant, et pour le moins, comporter si elle limite, comme en l’occurrence, la portée du droit d’accès de la personne concernée à ses données à caractère personnel ». La Commission propose de tenir compte des observations soulevées par le Conseil d’État dans son avis complémentaire du 14 mars 2023 eu égard aux dispositions contenues à l’article 23, paragraphe 2, dudit Règlement (UE) 2016/679 de la manière détaillée suivante :

1. a)Les finalités du traitement (Art. 23, paragraphe 2, lettre
2. a)du Règlement (UE) 2016/679) Les finalités du traitement des données à caractère personnel, à savoir l’examen de la notification et la procédure de filtrage, sont énoncées avec précision à l’article 11, paragraphe 2, du projet de loi.
3. b)Les catégories de données à caractère personnel pouvant faire l’objet des limitations (Art. 23, paragraphe 2, lettre
4. b)du Règlement (UE) 2016/679) La Commission propose d’adjoindre un nouvel alinéa 2 au paragraphe 2 de l’article 12 libellé de la manière suivante « La limitation prévue au paragraphe 1er peut s’appliquer à toutes catégories de données à caractère personnel à l’exception des données à caractère personnel fournies par la personne concernée. » Dans son avis complémentaire du 14 mars 2023, le Conseil d’Etat soulève que le libellé de l’article 12, paragraphe 1er, tel que proposé ne comporte pas les dispositions telles que devant découler nécessairement de l’article 23, paragraphe 2, du Règlement précitée (UE) 2016/679. En effet, l’article 23, paragraphe 2, point
5. b)dudit Règlement (UE) 2016/679 exige que toute mesure législative limitant les droits de la personne concernée doit contenir des dispositions spécifiques relatives aux catégories de données à caractère personnel destinées à être concernées par les limitations prévues. Le texte tel que proposé n’énonce pas, selon le Conseil d’État, quelles catégories de données à caractère personnel sont concernées par la limitation du droit d’accès. Il convient de noter, comme indiqué dans l’exposé des motifs de l’amendement gouvernemental concernant l’article 12 sous examen, que la limitation du droit d’accès tel que prévue à l’article 12, paragraphe 1er, vise uniquement les données à caractère personnel qui ne sont pas directement fournies par la personne concernée elle-même. Il s’agit, d’après ledit exposé des motifs « ce sont les données qui ne sont pas fournies par l’investisseur étranger lui-même ou toute autre personne physique elle-même qui peuvent faire l’objet d’une limitation en fonction de l’évaluation des risques opérée ». Il s’ensuit que ces limitations du droit d’accès aux données à caractère personnel ne s’appliqueront pas aux informations fournies par la personne concernée en application de l’article 4 du projet de loi, mais uniquement, dans la mesure du nécessaire, aux données dont la personne concernée, que ce soit une personne à l’origine d’une notification ou un tiers, n’est pas au courant qu’elles sont traitées. Il s’ensuit que la limitation du droit d’accès, dont est question à l’article 12, paragraphe 1er, du projet de loi, peut donc s’appliquer aux données à caractère personnel fournies par les membres du futur comité interministériel et du groupe d’experts. A raison de la diversité des acteurs précités, ces derniers peuvent être amenés à contribuer, dans l’exercice de leurs fonctions respectives, des données de nature très diverse, de sorte que toutes les catégories de données à caractère personnel peuvent faire l’objet de la limitation du droit d’accès.
6. c)L’étendue des limitations (Art. 23, paragraphe 2, lettre
7. c)du Règlement (UE) 2016/679) Il résulte de l’exposé des motifs des derniers amendements gouvernementaux et notamment du commentaire de l’article 12 tel qu’amendé par le Gouvernement, que l’étendue de la limitation du droit d’accès varie en fonction de l’évaluation, au cas par cas, des risques que l’accès présenterait eu égard aux intérêts à protéger. Ainsi, en ce qui concerne les données à caractère personnel auxquelles l’accès est, le cas échéant, refusé, sans préjudice du nouvel alinéa 2 qu’il est proposé d’insérer à l’endroit du premier paragraphe de l’article 12, la limitation du droit d’accès peut, selon le libellé du paragraphe 1er dudit article 12, être partielle ou totale. En ce qui concerne la durée pendant laquelle une limitation du droit d’accès aux données à caractère personnel est maintenue, le paragraphe 1er de l’article 12 autorise la limitation « aussi longtemps qu’une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée » et le commentaire de l’article 12 explique que « la limitation n’est pas maintenue ad vitam aeternam, mais aussi longtemps que le risque le justifie ».
8. d)Les garanties destinées à prévenir les abus ou l’accès ou le transfert illicites (Art. 23, paragraphe 2, lettre
9. d)du Règlement (UE) 2016/679) L’article 14 énonce les modalités d’exercice des droits de la personne concernée et la vérification par l’intermédiaire de la Commission nationale pour la protection des données à caractère personnel (CNPD), l’autorité de contrôle. Il s’agit en l’espèce d’une garantie appropriée pour prévenir les abus. Il importe de soulever que l’exercice des droits de la personne concernée par l’intermédiaire de ladite autorité de contrôle fait partie des garanties proposées par le Comité Européen de la Protection des Données (CEPD) dans ses lignes directrices 10/2020 sur les restrictions en application de l’article 23 du règlement (UE) 2016/679. 1 Le troisième paragraphe de l’article 12 prévoit que « le ministre consigne les motifs de fait ou de droit sur lesquels se fonde la décision » de limitation du droit d’accès et que « ces informations sont mises à la disposition de la CNPD sur demande. ». Ainsi, tel que mentionné dans le commentaire de l’article 13 tel qu’amendé par le Gouvernement, cela donne à la CNPD la possibilité de procéder à des contrôles portant sur la légitimité et la proportionnalité des limitations du droit de fournir les informations relatives à l’exercice des droits de la personne concernée faites par le responsable du traitement à tout moment (et même en absence de demande d’une personne concernée), ce qui constitue une garantie supplémentaire pour prévenir les abus. Le responsable du traitement devra s’assurer, afin de prévenir des accès ou des transferts illicites, de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques en l’espèce, tel que prévu à l’article 32 du Règlement général sur la protection des données. Le cas échéant, le traitement d’informations classifiées au sens de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité aura lieu dans les conditions prévues au chapitre 3 de la loi précitée. Vu que le responsable du traitement est déjà tenu au respect des dispositions précitées, une mention dans l’article 12 semble superfétatoire, même si ces mesures de sécurité constituent des garanties destinées à prévenir les accès et le transfert illicite.
10. e)La détermination du responsable du traitement (Art. 23, paragraphe2, lettre
11. e)du Règlement (UE) 2016/679) Le responsable du traitement est déterminé à l’article 11, paragraphe 1er, du projet de loi.
12. f)La durée de conservation (Art. 23, paragraphe 2, lettre
13. f)du Règlement (UE) 2016/679) La durée de conservation est spécifiée à l’article 11, paragraphe 3, du projet de loi.
14. g)Les risques pour les droits et libertés des personnes concernées (Art. 23, paragraphe 2, lettre
15. g)du Règlement (UE) 2016/679) Les lignes directrices 10/2020 du CEPD sur les restrictions en application de l’article 23 du Règlement (UE) 2016/679 2 prévoient au point 63 que les risques et libertés pour les personnes concernées ne doivent pas figurer dans le texte même de la mesure législative prévoyant la limitation, mais peuvent être abordés dans les commentaires des articles. En application des articles 12 et 13 du présent projet de loi, les personnes concernées risquent de ne pas disposer de toutes les informations relatives au traitement des données à caractère personnel les concernant que le règlement général sur la protection des données EDPB Guidelines 10/2020 on restrictions under article 23 GDPR, point 56. EDPB Guidelines 10/2020 on restrictions under article 23 GDPR https://edpb.europa.eu/system/files/202110/edpb_guidelines202010_on_art23_adopted_after_consultation_en.pdf 1 2 (dénommé ci-après le RGPD) prévoit de façon générale. Ainsi, il est proposé de donner un aperçu des risques : - Les risques pour les investisseurs Les personnes concernées qui soumettent une notification au responsable du traitement profitent du droit à l’information visé par l’article 13 du RGPD qui n’est pas limité. Par conséquent ils sont conscients des traitements de données et des modalités de ces traitements. Pourtant, si le droit à l’information visé par l’article 14 du RGPD est limité en application de l’article 13 du présent projet de loi, une personne concernée peut éventuellement ne pas être au courant de toutes les données à caractère personnel la concernant qui sont traitées par le responsable du traitement, ainsi que de leur source, et elle peut être confrontée à une limitation (partielle ou totale) de leur droit d’accès et surtout de leur droit d’obtenir une copie de toutes les données traitées. Pour citer un exemple, une personne concernée pourrait, si le responsable du traitement décide que le droit d’accès doit être limité, être au courant que le responsable du traitement traite les données fournies par elle-même lors de la notification, mais ne pas être au courant de données mises à disposition du responsable du traitement par les experts des administrations relevant des ministères constituant le Comité interministériel. - Les risques pour les tiers Une tierce personne qui n’est pas à l’origine de la notification mais qui est liée à une personne physique ou morale qui a soumis la notification peut éventuellement, si le droit à l’information visé par l’article 14 du RGPD est limité, ne pas être au courant que des données à caractère personnel la concernant sont traitées par le responsable du traitement. Cependant il convient de souligner le caractère proportionnel des limitations proposées. Les limitations proposées se trouvent déjà insérées dans la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale (transposant la Directive (UE) 2016/680) dans une optique de sauvegarde des objectifs importants d’intérêt public pré-mentionnés. Les limitations proposées présentent certes des risques pour les droits et libertés des personnes concernées. Cependant, les dispositions légales proposées en tiennent compte pour retenir toutes les mesures possibles permettant de limiter ces risques pour les droits des personnes concernées au minimum nécessaire et proportionné dans une société démocratique et ce afin de garantir des objectifs importants d'intérêt public qui justifient ces limitations. Vu que les limitations proposées s’alignent étroitement sur celles déjà prévues par la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, pour la sauvegarde des mêmes objectifs, les dispositions proposées entendent refléter le juste équilibre entre les droits de la personne concernée et les objectifs importants d'intérêt public.
16. h)Le droit de la personne concernée d’être informée de la limitation (Art. 23, paragraphe 2, lettre
17. h)du RGPD) Le droit de la personne concernée d’être informée de la limitation d’accès est prévu par l’article 12. Ce droit peut être limité si l’information relative à la limitation du droit d’accès risque de compromettre l’objectif poursuivi par la limitation. Afin d’informer les personnes concernées de la meilleure façon possible sans compromettre l’objectif poursuivi par la limitation au cas où une information individuelle concernant les limitations n’est pas possible, le responsable du traitement pourra mettre à disposition des personnes concernées une notice d’information générale, tel que suggéré par l’EDPB dans les lignes directrices précitées 3. * * * J’envoie copie de la présente au Ministre aux Relations avec le Parlement avec prière de transmettre les amendements aux instances à consulter. Veuillez agréer, Monsieur le Président, l’expression de ma considération très distinguée. (s.) Fernand Etgen Président de la Chambre des Députés Annexe : - texte coordonné proposé par la Commission des Affaires étrangères et européennes, de la Coopération, de l’Immigration et de l’Asile “Article 23

(2)(h) GDPR states that, unless it may be prejudicial to the purpose of the restriction, data subjects shall be informed of the restriction. This means that data subjects should be informed about the restriction to their right to information as a rule. To that purpose, a general data protection notice may be sufficient.”, EDPB Guidelines 10/2020 on restrictions under article 23 GDPR, point 64. 3 Texte coordonné (Les amendements parlementaires sont indiqués en caractères gras, les textes repris du Conseil d’État figurent en caractères soulignés) Chapitre 1 - Mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l’ordre public Section 1re - Champ d’application et définitions Art.1er. Définitions Aux fins de la présente loi, on entend par :

(1)« contrôle » : 1° Le fait directement ou indirectement

1. a)d’avoir la majorité des droits de vote des actionnaires ou associés d’une entité de droit luxembourgeois ; ou
2. b)d’avoir le droit de nommer ou de révoquer la majorité des membres de l’organe de l’administration, de direction ou de surveillance d’une entité de droit luxembourgeois et d’être en même temps actionnaire ou associé de cette entité ; ou
3. c)d’être actionnaire ou associé d’une entité de droit luxembourgeois et de contrôler, en vertu d’un accord conclu avec d’autres actionnaires ou associés de cette entité, la majorité des droits de vote des actionnaires ou associés de celle-ci ; 2° ou également, le fait de franchir directement ou indirectement le seuil de 25 pour cent de détention des droits de vote d’une entité de droit luxembourgeois ;

(2)« décision de filtrage » : le fait d'autoriser, de soumettre à condition ou d'interdire un investissement direct étranger à l’issue de la procédure de filtrage.

(3)« État membre » : un État membre de l’Union européenne ;

(4)« facteurs de filtrage » : les critères permettant de déterminer si un investissement direct étranger porte atteinte à la sécurité ou à l'ordre public ;

(5)« investisseur étranger » : une personne physique ou une entité de droit étranger qui n'est ressortissante ni d'un État membre, ni d'un État partie à l'accord sur l'Espace économique européen autre qu’un État membre de l’Union européenne et qui a l’intention de réaliser ou a réalisé un investissement direct étranger ;

(6)« investissement direct étranger » : un investissement de toute nature auquel procède un investisseur étranger et qui vise à établir ou à maintenir des relations durables et directes entre l’investisseur étranger et une entité de droit luxembourgeois à qui ces fonds sont destinés, permettant ainsi à l’investisseur étranger de participer seul, de concert ou par interposition au contrôle de cette entité exerçant au Grand-Duché de Luxembourg une activité énumérée à l’article 2;

(7)« investissement de portefeuille » : une acquisition de titres d’une entité de droit luxembourgeois effectuée dans l’intention de réaliser un placement financier et qui ne permet pas à l’investisseur étranger d’exercer, directement ou indirectement, le contrôle de l’entité de droit luxembourgeois ;

(8)« procédure de filtrage » : le fait d'évaluer et d'examiner un investissement direct étranger en vertu des facteurs de filtrage ; Art. 2. Champ d’application

(1)Le mécanisme de filtrage national s’applique aux investissements directs étrangers, hormis les investissements de portefeuille, susceptibles de porter atteinte à la sécurité ou à l’ordre public, dans une entité de droit luxembourgeois exerçant des activités critiques au Luxembourg.

(2)Sont considérées comme activités critiques au sens de la présente loi les activités suivantes : 1° le développement, l’exploitation et le commerce de biens à double usage au sens de l’article 2, point 1), du règlement (CE) n° 428/2009 du Conseil du 5 mai 2009 instituant un régime communautaire de contrôle des exportations, des transferts, du courtage et du transit des biens à double usage, tel que modifié ; 2° dans le secteur de l’énergie : la production et la distribution d’électricité, le conditionnement et la distribution de gaz et le stockage et le commerce e pétrole ; les technologies quantiques et nucléaires ; 3° dans le secteur des transports : le transport terrestre, le transport par eau et le transport aérien ; 4° dans le secteur de l’eau : le captage, le traitement et la distribution de l’eau, la collecte et le traitement des eaux usées, ainsi que la collecte, le traitement et l’élimination des déchets ; 5° dans le secteur de la santé : les activités liées aux soins de santé et les laboratoires d’analyses médicales ; les nanotechnologies et biotechnologies ; 6° dans le secteur des communications : les télécommunications filaires, les télécommunications sans fil, les télécommunications par satellite et les services postaux et d courrier ; 7° dans le secteur du traitement ou du stockage e données : les installations informatiques de traitement de données, d’hébergement de services d’information et de portails internet ; les technologies concernant l'intelligence artificielle, les semi-conducteurs, la cybersécurité; 8° dans le secteur de l’aérospatial : les opérations spatiales et l’exploitation de ressources spatiales ; 9° dans le secteur de la défense : les activités en lien avec la défense nationale ; la production et le commerce d'armes, de munitions, de poudres et substances explosives destinées à des fins militaires ou de matériels de guerre ; 10° dans le secteur de la finance : les activités de la banque centrale ainsi que les infrastructures et les systèmes d’échange, de paiement et de règlement des instruments financiers ; 11° dans le secteur des médias : l’édition, les activités audiovisuelles et de radiodiffusion. 12° dans le secteur agroalimentaire : les activités en lien avec la sécurité alimentaire.

(3)Sont également considérées comme activités critiques au sens de la présente loi : 1° les activités de recherche directement liées aux activités énumérées au paragraphe 2 ; 2° les activités de production directement liées aux activités énumérées au paragraphe 2 ; 3° les activités connexes susceptibles de permettre un accès aux informations sensibles, y compris à des données à caractère personnel, directement liées aux activités énumérées au paragraphe 2 ; 4° les activités connexes susceptibles de permettre un accès aux lieux dans lesquels les activités énumérées au paragraphe 2 sont exercées. Section 2 – Notification obligatoire et examen Art. 3. Notification obligatoire

(1)Sont soumis à une notification auprès du ministre ayant l'Économie dans ses attributions, désigné ci-après « ministre », les investissements directs étrangers tels que définis à l’article 1, paragraphe 6.

(2)Les notifications doivent être effectuées par l’investisseur étranger avant la réalisation de l’investissement direct étranger.

(3)Par dérogation au paragraphe 2, l’investisseur étranger dispose d’un délai de quinze jours calendaires dans le cas où il l’investisseur étranger franchit le seuil de 25 pour cent de détention des droits de vote d’une entité de droit luxembourgeois à la suite d’évènements modifiant la répartition du capital.

(4)Le ministre accuse réception de la notification à l’investisseur étranger. Art. 4. Informations requises dans le cadre de la notification

(1)Dans le cadre de la notification, l’investisseur étranger communique au ministre les informations suivantes : 1° la structure de propriété de l'investisseur étranger et de l’entité de droit luxembourgeois avant la réalisation de l’investissement direct étranger ou à la suite d’évènements ayant modifié la répartition du capital conformément à l’article 5, paragraphe 3, y compris des informations sur le bénéficiaire effectif, tel que défini à l’article 1er, paragraphe 7, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, et la participation au capital ; 2° la valeur approximative de l'investissement direct étranger ; 3° les produits, les services et les opérations commerciales de l'investisseur étranger et de l’entité de droit luxembourgeois ; 4° les pays dans lesquels l'investisseur étranger et l’entité de droit luxembourgeois mènent des activités commerciales ; 5° le financement de l'investissement direct étranger et sa source ; 6° la date à laquelle l’investissement direct étranger est prévu ou a été réalisé.

(2)Si l’investisseur étranger n’a pas fourni les informations visées au paragraphe 1er, une demande de fournir les informations manquantes sans retard indu lui est adressée. Le délai visé à l’article 5, paragraphes 2 et 3, est réputé suspendu jusqu’à l’obtention des informations manquantes.

(3)Si les informations obtenues de l’investisseur étranger ne permettent pas de prendre une décision relative au déclenchement de la procédure de filtrage, une demande de fournir toute information complémentaire à celles visées au paragraphe 1er est adressée à l’investisseur étranger. Le délai visé à l’article 5, paragraphes 2 et 3, est réputé suspendu jusqu’à l’obtention des informations complémentaires demandées. Art. 5. Examen de la notification

(1)Le ministre décide si l’investissement direct étranger ayant été notifié en vertu de l’article 3 doit faire ou non l’objet d’une procédure de filtrage.

(2)La décision visée au paragraphe 1er est notifiée à l’investisseur étranger dans les deux mois suivant la date de l’accusé de réception. Section 3 – Procédure de filtrage et décision de filtrage Art. 6. Procédure de filtrage

(1)La durée de la procédure de filtrage ne peut dépasser les soixante jours calendaires après son déclenchement.

(2)Le ministre peut durant toute la durée de la procédure de filtrage demander des informations complémentaires à celles visées à l’article 4. Le délai visé au paragraphe 1er est réputé suspendu jusqu’à l’obtention des informations complémentaires demandées.

(3)En cas de déclenchement de la procédure de filtrage, l’investissement direct étranger ne peut être réalisé avant qu’une décision de filtrage autorisant l’investissement direct étranger en question n’ait été ne soit prise. Art. 7. Facteurs de filtrage

(1)Pour déterminer si un investissement direct étranger est susceptible de porter atteinte à la sécurité ou à l'ordre public, sont pris en considération ses effets potentiels sur : 1° l’intégrité, la sécurité et la continuité de l'approvisionnement des infrastructures critiques, qu’elles soient physiques ou virtuelles, liées aux activités visées à l’article 2 ; 2° la pérennité des activités liées aux technologies critiques et biens à double usage au sens de l’article 2, point 1, du règlement (CE) n° 428/2009 du Conseil du 5 mai 2009 instituant un régime communautaire de contrôle des exportations, des transferts, du courtage et du transit des biens à double usage, tel que modifié ; 3° l’approvisionnement en intrants essentiels y compris les matières premières ainsi que la sécurité alimentaire ; 4° l'accès à des informations sensibles, y compris des données à caractère personnel, ou la capacité à contrôler de telles informations ; 5° la liberté et le pluralisme des médias.

(2)Peuvent également être pris en compte, en particulier : 1° le fait que l'investisseur étranger soit contrôlé directement ou indirectement par le gouvernement d'un pays tiers , y compris des organismes publics ou les forces armées; 2° le fait que l'investisseur étranger ait déjà participé à des activités portant atteinte à la sécurité ou à l'ordre public dans un État membre ; 3° le fait qu'il existe un risque grave que l'investisseur étranger exerce des activités illégales ou criminelles. Art. 8. Décision de filtrage

(1)La décision de filtrage est prise par le ministre.

(2)La décision de filtrage est notifiée par écrit à l’investisseur étranger avant l’expiration du délai visé à l’article 6, paragraphe 1er.

(3)L’autorisation d’un investissement direct étranger peut être assortie de conditions.

(4)Les conditions dont peut être assortie l’autorisation d’un investissement direct étranger sont déterminées au regard des facteurs de filtrage et visent à assurer que l’investissement direct étranger envisagé ne porte pas atteinte à la sécurité ou l’ordre public.

(5)Toute autorisation visée au paragraphe 3 du présent article est assortie d’une obligation pour l’investisseur étranger de rendre compte de la mise en œuvre des conditions, conformément aux modalités fixées par les ministres dans la décision de filtrage. Section 4 – Mesures et sanctions Art. 9. Mesures et sanctions administratives

(1)Si un investissement direct étranger a été réalisé sans qu’une notification n’ait été effectuée en vertu de l’article 3 ou sans autorisation obtenue dans le cadre de la décision de filtrage en vertu de l’article 8, le ministre peut suspendre l’exercice des droits de vote liés à l’investissement direct étranger et attachés aux titres détenus, directement ou indirectement, par l’investisseur étranger excédant le seuil de 25 pour cent des droits de vote conférant le contrôle de l’entité de droit luxembourgeois jusqu’à la régularisation de la situation et il le ministre peut enjoindre à l'investisseur étranger de modifier l’opération ou de faire rétablir à ses frais la situation antérieure. Lorsque des droits de vote de cette entité de droit luxembourgeois ont été exercés nonobstant une suspension de leur exercice par décision du ministre prise en application de l’alinéa 1er résultant de la loi, le Tribunal d’arrondissement, siégeant en matière commerciale, dans le ressort duquel l’entité de droit luxembourgeois a son siège peut, sur demande de l’entité de droit luxembourgeois dotée de la personnalité juridique ou de ses actionnaires ou de toute personne justifiant d’un intérêt, prononcer la nullité de tout ou partie des décisions de l’assemblée générale si, sans les droits de vote illégalement exercés, les quorums de présence ou de majorité requis pour lesdites décisions n’avaient pas été réunis. L’action en nullité se prescrit par cinq ans à compter du jour où les droits de vote ont été exercés.

(2)Si les conditions, dont est assortie l’autorisation visée à l’article 8, paragraphes 3 et 4, ne sont pas respectées, le ministre peut : 1° enjoindre à l'investisseur étranger de respecter, dans un délai qu'il fixe, les conditions figurant dans l'autorisation ; 2° enjoindre à l'investisseur étranger d’exécuter, dans un délai qu'il fixe, des prescriptions en substitution de l'obligation non exécutée, y compris le rétablissement de la situation antérieure au non-respect de cette obligation ou la cession de tout ou partie des activités ; 3° suspendre l’exercice des droits de vote liés à l’investissement direct étranger et attachés aux titres détenus, directement ou indirectement, par l’investisseur étranger excédant le seuil de 25 pour cent des droits de vote conférant le contrôle de l’entité de droit luxembourgeois jusqu’à la mise en conformité et la mise en œuvre des conditions susmentionnées ; 4° retirer l'autorisation.

(3)Sauf en cas d’atteinte imminente à la sécurité ou à l’ordre public, le ministre informe préalablement l’investisseur étranger par écrit des faits qui ont été constatés et qui lui sont reprochés et l’avertit qu’il envisage d’adopter une des mesures énoncées aux paragraphes 1er à 2.

(4)L’investisseur étranger dispose d’un délai de quinze jours calendaires pour faire connaître ses observations par écrit. Il peut en outre, dans le même délai, demander à être entendu et, le cas échéant, se faire assister par un défenseur de son choix.

(5)Dans les trente jours calendaires de l’expiration du délai fixé au paragraphe précédent, le ministre prend, s’il y a lieu, la mesure annoncée.

(6)Après expiration du délai visé au paragraphe 5, le ministre notifie à l’investisseur étranger par écrit la décision prise. Cette décision produit ses effets à compter de la date de la notification.

(7)Si l’investisseur étranger ne donne pas suite à l’injonction prononcée en vertu des paragraphes 1er ou 2 dans un délai d’un mois à partir de la notification, le ministre peut prononcer une amende d’un montant maximal de 1 000 000 d’euros si l’investisseur étranger est une personne physique et d’un montant maximal de 5 000 000 d’euros s’il s’agit d’une entité juridique.

(8)Les amendes administratives sont perçues par l'Administration de l'enregistrement, des domaines et de la TVA. Le recouvrement se fait comme en matière de droits d'enregistrement.

(9)Les amendes administratives sont acquittées dans les trente jours suivant la date de la notification de la décision. Passé ce délai, un rappel est adressé par voie de lettre recommandée. Le rappel fait courir des intérêts de retard calculés au taux légal.

(10)Au moment de déterminer le type des mesures et le montant des sanctions administratives, les ministres tient compte de toutes les circonstances pertinentes, y compris, le cas échéant : 1° de la gravité et de la durée de la violation ; 2° du degré de responsabilité de l’investisseur étranger tenu pour responsable de la violation ; 3° de la situation financière de l’investisseur étranger tenu pour responsable de la violation ; 4° de l'avantage tiré de la violation par l’investisseur étranger, dans la mesure où il est possible de le déterminer ; 5° des préjudices subis par des tiers du fait de la violation, dans la mesure où il est possible de les déterminer ; 6° du degré de coopération de l’investisseur étranger tenu pour responsable avec le ministre ; 7° des violations antérieures commises par l’investisseur étranger tenu pour responsable ; 8° des conséquences potentielles de la violation sur l'intégrité, la sécurité et la continuité de l’exploitation ou l'approvisionnement des infrastructures critiques. Section 5 – Recours Art. 10. Recours administratif Les décisions prévues à l’article 9, paragraphe 7, sont susceptibles d’un recours en réformation devant le tribunal administratif. Le recours doit être introduit sous peine de forclusion dans le délai d’un mois à partir de la date de la notification de la décision. Section 6 – Traitement des données Art. 11. Traitement des données

(1)Le ministre est responsable du traitement des données à caractère personnel réalisé en application de la présente loi.

(2)En vue de l’examen de la notification et de la procédure de filtrage, le traitement de données à caractère personnel est autorisé pour les finalités suivantes : 1° mettre mise en œuvre des dispositions de la présente loi ; 2° suivre suivi l’évolution du respect des obligations, y inclus au travers de suivis statistiques, d’études et de recherche ; 3° répondre réponse aux demandes d’informations et aux obligations de communication d’informations provenant des autorités compétentes des autres États membres ou de la Commission européennes.

(3)Les données à caractère personnel traitées en application de la présente loi sont détruites au plus tard dix années à compter de la clôture du dossier. Art. 12. Limitations du droit d’accès

(1)Le ministre responsable du traitement peut limiter, entièrement ou partiellement, le droit d’accès de la personne concernée visé à l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), désigné ci-après par le terme « règlement (UE) 2016/679 », dès lors et aussi longtemps qu’une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée pour garantir : 1° la sécurité nationale ; 2° la défense nationale ; 3° la sécurité publique ; 4° la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; 5° d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale. La limitation prévue à l’alinéa 1er peut s’appliquer à toutes catégories de données à caractère personnel à l’exception des données à caractère personnel fournies par la personne.

(2)Dans les cas visés au paragraphe 1er, le ministre responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d’accès, ainsi que des motifs du refus ou de limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l’un des objectifs énoncés au paragraphe 1er. Le ministre responsable du traitement informe la personne concernée des possibilités d’introduire une réclamation auprès de la Commission nationale pour la protection des données, dénommée ci-après « la CNPD », ou de former un recours juridictionnel.

(3)Le ministre responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de la CNPD sur demande. Art.

1. Limitations du droit à l’information Le ministre responsable du traitement peut retarder ou limiter la fourniture des informations visées à l’article 14 du règlement (UE) 2016/679 précité, ou ne pas fournir ces informations, dès lors et aussi longtemps qu’une mesure de cette nature constitue une mesure nécessaire et proportionnée pour garantir les intérêts énumérés à l’article 12, paragraphe 1er. Art.
2. Exercice des droits de la personne concernée et vérification par l’autorité de contrôle

(1)Dans les cas visés aux articles 12 et 13, les droits de la personne concernée peuvent être exercés par l’intermédiaire de la CNPD l’autorité de contrôle compétente.

(2)Le ministre responsable du traitement informe la personne concernée de la possibilité qu’elle a d’exercer ses droits par l’intermédiaire de la CNPD en application du paragraphe 1er.

(3)Lorsque le droit visé au paragraphe 1er est exercé, la CNPD informe au moins la personne concernée du fait qu’elle a procédé à toutes les vérifications nécessaires ou à un examen. L’autorité de contrôle La CNPD informe également la personne concernée de son droit de former un recours juridictionnel. Art.

1. Communication à la personne concernée d’une violation de données à caractère personnel Le ministre responsable du traitement peut retarder ou limiter la fourniture des informations visées à l’article 34, paragraphes 1er et paragraphe 2, du règlement (UE) 2016/679 précité, ou ne pas fournir ces informations, dès lors et aussi longtemps qu’une mesure de cette nature constitue une mesure nécessaire et proportionnée pour garantir les intérêts énumérés à l’article 12, paragraphe 1er. Chapitre II - Dispositif de coopération entre les États membres et la Commission européenne Section 1re – Point de contact national Art.
2. Point de contact national

(1)Le ministre ayant les Affaires étrangères et européennes dans ses attributions est le point de contact national unique en ce qui concerne l’échange d’informations avec les autorités compétentes des autres États membres et avec la Commission européenne, conformément à l’article 11 du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l’Union, tel que modifié, ci-après « règlement (UE) 2019/452 ».

(2)Le point de contact national est associé à toutes les questions liées à la mise en œuvre du règlement (UE) 2019/452 précité et du mécanisme de filtrage national. Section 2 – Dispositif de coopération du règlement (UE) 2019/452 Art. 17. Notification et examen

(1)Lorsqu’une procédure de filtrage est lancée conformément à l’article 6, paragraphe 1er, du règlement (UE) 2019/452 le ministre ayant les Affaires étrangères et européennes dans ses attributions notifie les autres États membres ainsi que la Commission européenne en fournissant les informations visées à l’article 9, paragraphe 2, du règlement (UE) 2019/452.

(2)Si un investissement direct étranger prévu ou réalisé dans un autre État membre est susceptible de porter atteinte à la sécurité ou à l’ordre public du Grand-Duché de Luxembourg, le ministre ayant les Affaires étrangères et européennes dans ses attributions, peut demander des informations à l’État membre dans lequel l’investissement direct étranger est prévu ou a été réalisé.

(3)Conformément aux articles 6, paragraphe 4, et 7, paragraphe 3, du règlement (UE) 2019/452, le ministre ayant les Affaires étrangères et européennes dans ses attributions, peut demander à la Commission européenne d’émettre un avis et aux États membres de formuler des commentaires. Chapitre III - Dispositions finales Art.

1. Intitulé de citation La référence à la présente loi pourra se faire sous une forme abrégée en utilisant les termes « Loi du [.] portant mise en place d’un mécanisme de filtrage des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public ». Art.
2. Entrée en vigueur La présente loi entre en vigueur le premier jour du deuxième mois qui suit sa publication au Journal officiel du Grand-Duché de Luxembourg.