Loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ain

(1)du RGPD. Ainsi, la collecte des informations sur le bénéficiaire effectif (article 6 paragraphe 1

(1)du projet de loi), constitue un traitement des données personnelles puisqu'elle concerne une personne physique, conformément à la définition du bénéficiaire effectif dans l'article ler, paragraphe 7, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, et la participation au capital. A contrario, d'autres informations, relatives à des personnes morales et sans lien direct ou indirect avec une personne physique, ne seraient pas soumises aux principes et obligations du RGPD. En effet, le considérant 14 du RGPD précise que le RGPD « (...) ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier des entreprises dotées de la personnalité juridique, y compris le nom, la forme juridique et les coordonnées de la personne morale ». Toutefois, précisons que des informations ayant trait à des personnes morales peuvent, le cas échéant, concerner également des personnes physiques (par exemple : si elles incluent le nom du gérant de la société) et devraient dès lors être considérées comme des données à caractère personnel article 5 paragraphe 1 du projet de loi Définition de l article 3 paragraphe 2 du projet de loi 3 article 15zaragraphe 1 du projet de la loi 2 CNPD r Avis de la Commission nationale pour la protection des données relatif au projet de loi n'78135 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à tordre public aux fins de la mise en œuvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour ie filtrage des investissements d:rects étrangers dans l Union tel que modifié ainsi que le projet de règlement grand-ducal déterminant la composition et ie fonctionnement du Cenité interministériel pour le filtrage des investissements 2/9 Dans ce contexte, il est important de noter qu'en ce qui concerne la collecte des informations complémentaires4, il est difficile pour la Commission nationale de savoir si des données à caractère personnel seraient effectivement demandées. En effet, aucune précision n'est donnée par rapport à ces informations dans le projet de loi. Dans l'hypothèse où des traitements de données seraient effectués dans le cadre de mise en œuvre du projet de loi, il y a lieu de rappeler qu'un traitement de données à caractère personnel doit reposer sur une condition de licéité de l'article 6 du RGPD. Parmi ces conditions de licéité, figure l'article 6 paragraphe 1 lettre (

1. c)du RGPD, selon lequel « le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ». Conformément à l'article 6 paragraphe 3 du RGPD, cette obligation légale doit définir les finalités du traitement et peut contenir « des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX [du RGPD]». Le considérant 41 du RGPD précise encore que cette mesure législative devrait 'être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme'. Or, la CNPD s'interroge sur le respect de ces conditions en ce qui concerne les catégories de données à caractère personnel qui font objet d'un traitement et la durée de conservation de ces données.
2. a)Sur les catégories de données à caractère personnel L'article 6 paragraphe 1 du projet de loi énumère les informations que l'investisseur étranger doit communiquer, dont les informations sur le bénéficiaire effectif. Toutefois, le projet de loi ne précise pas les catégories des données qui doivent être soumise dans le cadre de cette notification. L'article 6 paragraphe 3 du projet de loi précise encore que « Si les informations obtenues de l'investisseur étranger ne permetten( pas de prendre une décision relative au déclenchement de la procédure de filtrage, une demande de fournir toute information complémentaire à celles visées 5 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p,470. n°619. Voir entre autres CourEDH, Zakharov e. Russie [Gu. n°47413/061, § 228-229 4 décembre 2015. CourEDH, Vavrieka et autres c République tchèque (requétes n°47621/13 et 5 autres), § 276 ä 293, 8 avril 20 CNPD Avis de la Commission nationale poui la protection des données relatif au projet de loi n 7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte ã la sécurité ou ¿ l'ordre public aux fins de la rnise en œuvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l Union, tel que modifié ainsi que le projet de règlement grand-ducal cletem"iinant la composition et le fonctionnement du comité interministériel pour le filtrage des investissements 3/9 au paragraphe 1 du présent article sera adressée à l'investisseur étranger ». L'article 8 prévoit dans son paragraphe 2 également la possibilité pour les ministres de demander des informations complémentaires à celles visées à l'article 6 dudit projet de loi et ce pendant toute la durée de la procédure de filtrage. En l'absence de précision quant aux types d'informations complémentaires et des données sur les bénéficiaires effectifs qui peuvent être demandées à l'investisseur étranger par les ministres, la CNPD estime que le projet de loi sous avis ne respecte pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme'. Afin de parer à cette insécurité juridique quant à cette interprétation et d'assurer la conformité du cadre légal luxembourgeois au RGPD et à la jurisprudence européenne, la CNPD suggère aux auteurs du projet de loi de clarifier le type de données personnelles que les investisseurs étrangers devraient communiquer. Par ailleurs, la Commission nationale constate que les activités d'investisseur illégales ou criminelles et sa participation dans les activités portant atteinte à la sécurité ou à l'ordre public dans un Etat membre sont inclues dans la liste des facteurs de filtrage qui peuvent être pris en compte pour la décision dans la procédure de filtrage'. Dès lors, la Commission nationale souhaite rappeler que le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées'.
3. b)Sur la durée de conservation Selon l'article 5 paragraphe

(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées Conformément à l'article 13 paragraphe 2 du projet de loi « Les données à caractère personnel liées à la mise en œuvre de la présente loi sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Même si cet article renvoie au principe de limitation de la conservation des données d'ores et déjà prévu dans le RGPD, la Commission nationale regrette que les auteurs du projet de loi n'aient pas indiqué avec plus de précision les durées de conservation des données traitées dans le cadre des procédures de notification et de filtrage En effet, à défaut de pouvoir apprécier concrètement cette durée, elle n'est pas en mesure d'apprécier si en l'occurrence, ce principe est respecté in concreto. il serait opportun de prévoir une durée égale à celle de la procédure de 6 En ce sens. voir M. Besch, « Traitement de données à caractère personnel dans le secteur pubhc », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; Voir entre autres CourEDI-1, Zakharov e. Russie (GCL n47413/06], § 228-229, 4 décembre 2015. 7 Article 9 paragraphe 2

(2)et

(3)du projet de la loi 8 Article 10 du RGPD. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi r 7885 portant mise en place d'Un mécanisme de titrage national des investissements directs étrangers susceptibles de porter atteinte ¿ la sécurité ou à l'ordre public aux fins de la mise en couvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 rnars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union tel que modrhé ainsi que Fe projet de règlement grand-ducal déterminant la composition et le fonctionnement du comité oterministé,iel pour le filtrage des investissements 4/9 filtrage ou de prévoir qu'elles sont conservées pendant une courte période fixée au préalable dans la loi, après la procédure de filtrage. Dans le cas d'impossibilité de déterminer un délai précis de durée de conservation dans le projet de loi, celui-ci devrait a minima préciser les critères qui seraient pris en compte ou utilisés, pour déterminer la durée de conservation des données à caractère personnel. Par ailleurs, la CNPD souhaite rappeler qu'en tout état de cause le responsable de traitement est tenu d'informer la personne concernée de la durée de conservation des données personnelles précise dans le cadre de ses obligations d'information préalable conformément à l'article 12 et 13 du RGPD. De plus, il semble à la lecture de cet article que des données personnelles autres que celles communiquées par l'investisseur étranger conformément à l'article 6 paragraphes 1 et 3 ou à l'article 8 paragraphe 2 du projet de loi peuvent être conservées. Dans ce contexte, la Commission nationale rappelle que le projet de loi ne peut pas constituer une base légale pour le traitement des données personnelles qui ne sont pas collectées auprès de l'investisseur étranger car il ne mentionne pas le traitement de ces données. Dès lors, la Commission nationale suggère aux auteurs du projet de loi d'inclure une référence aux données personnelles collectées conformément aux articles 6 paragraphe 1 et 3 ou article 8 paragraphe 2 du projet de loi au lieu de mentionner « les données à caractère personnel liées à la mise en oeuvre de la loi. », afin de clarifier quelles sont précisément les catégories de données conservées. II. Sur la définition des responsables de traitement des données Selon l'article 13 paragraphe 1 du projet de loi « Wes ministres sont les responsables conjoints du traitement des données réalisées en application de la présente loi, à l'exception des traitements de données mises à disposition par le Service de renseignement de l'État pour lesquels le Service de renseignement de l'État reste responsable de traitement. ». Cet article défini les rninistres comme « responsables conjoints du traitement des données en application de la présente loi », sans toutefois préciser les traitements de données y relatifs. a. Sur la notion de responsables conjoints de traitements Relevons à ce sujet que l'article 26 du RGPD prévoit que les responsables conjoints du traitement des données « définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du [RGPD], notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à /a communication des informations visées aux articles 13 et 14, par voie d'accord entre eux sauf si, et dans la mesure où, leurs obligation respectives sont définies par le droit de l'Union ou par le droit de l'État membre auquel les responsables du traitement sont soumis ». Or, la CNPD constate que la répartition des obligations susmentionnées n'est pas reprise dans le texte sous avis. La Commission nationale note également que la définition des « ministres » ne se trouve pas dans le projet de loi mais dans l'article 1 paragraphe 2 du projet de règlement grand-ducal qui porte le titre « Comité interministériel pour le filtrage des investissements ». 11 en résulte une difficulté pour les personnes concernées d'identifier les responsables de traitement afin d'exercer leurs droits. L'inclusion d'une définition des responsables de traitement dans le projet de loi est [CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n'7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public aux fins de la mise en œuvre du règlement ILIE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union tel que modifié ainsi que le projet de règlement grand-duca, déterminant la composition et le fonctionnement du comité interministériel pour le filtrage des investissements 5/9 d'autant plus souhaitable vu le nombre de différents acteurs qui sont impliqués dans la mise en œuvre des procédures décrites dans le projet de loi. b. Sur la désignation séparée du Service de renseignement de l' État comme responsable de traitement D'après l'article 13 du projet de loi sous examen, le Service de renseignement de I' État (ci-après le « SRE ») « reste responsable de traitement pour les des traitements de données mises à disposition par le Service de renseignement de l'État ». Malheureusement, il ne ressort pas clairement de cette formulation si le SRE devrait être considéré comme le seul responsable de traitement, ou plutôt comme responsable conjoint avec les ministres pour le traitement de ce type des données. La CNPD comprend cependant du commentaire de l'article 13 paragraphe 1 du projet de loi que le SRE devrait être le seul responsable du traitement des données personnelles qu'il met à disposition du comité interministériel. Or, la Commission nationale s'interroge sur la désignation de différents responsables de traitements pour les traitements réalisés dans le contexte du comité interministériel, suivant l'origine des données. Bien que selon l'article 4

(7)du RGPD il est possible pour le législateur national de désigner un ou plusieurs responsables de traitement lorsque les finalités et les moyens d'un traitement sont spécifiés dans un acte législatif, cette désignation doit refléter la réalité du pouvoir décisionnel de l'organisme désigné comme responsable de traitement. En effet, conformément à l'article 4

(7)du RGPD, le responsable de traitement est celui qui « détermine les finalités et les moyens des traitements ». Selon les lignes directrices 7/2020 du Comité Européen de la Protection des Données (EDPB) sur les concepts de contrôleur et de sous-traitant dans le GDPR, le responsable de traitement est l'organisme qui décide sur les questions essentielles du traitement9. Or, la CNPD ne voit pas pourquoi les pouvoirs décisionnels relèveraient dans un cas conjointement de différentes ministères, et dans d'autres cas du SRE, suivant l'origine des données traitées. Dès lors, la désignation du SRE comme seul responsable de traitement pour le traitement des données mises à disposition par le SRE et des ministres pour les autres types des données lui semble artificiel. La CNPD comprend à la lecture du commentaire de l'article 13 du projet de loi que les auteurs du projet de loi ont en réalité souhaité clarifier que les traitements des données mises à disposition par le SRE resteraient soumis à la loi du 1 er août 2018 relative aux traitements de données en matière pénale ») Il est vrai que, d'après son article 1el , paragraphe 1, cette « loi s'applique aux traitements de données à caractère personnel mis en œuvre à des fins de prévention et de détection des 9 Page 11, section 20, 2.1,2 « Determines » dans les lignes directrices 7/2020 sur les concepts de contrôleur et de sous-traitant dans le GDPR du Comité Européen de la Protection des Données (EDPB), disponibles en version —[Gols/our-documents/quidelinE,,,J, .'_, ,nes-072020anglaise à l'adresse suivante : https://edpb.euruua concepts-controller-ano-processor-qdpr en CNPD Avis de la Commission nationale pour la protection des données relatif au projet de lof n17885 portant mise en place d'un mecariisme de filtrage nathonal des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à rordre public aux fins de la mise en ceuvre du règlement lUE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union, tel que modifié, ainsi que le projet de réglement grand-duce déterminant la composition et le fonctionnement du comité interministénel pour le filtrage des inveslssernents 6/9 infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénates, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à gui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés « autorité compétente ». Dès lors, des traitements des données tombent sous le champ d'application de la loi du 1er août 2018 relative aux traitements de données en matière pénale dans la mesure où ils sont mis en œuvre pour les finalités spécifiées ci-dessus par une autorité compétente conformément à l'article 2, paragraphe 1 e', point 7 de ladite loi. Or, aux yeux de la CNPD, les traitements des données personnelles mis en œuvre dans le cadre des procédures de notification et d'autorisation ne pourraient pas être considérés comme des traitements de données « à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales ». En effet, bien que l'objet du projet de loi en question est selon l'article 1er d'instituer un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public et de mettre en place le dispositif de coopération entre les États membres de l'Union européenne, la Commission nationale comprend que les traitements ont pour but de permettre une prise de décision dans les procédures administratives et ne poursuivent pas la prévention ou protection des menaces pour la sécurité publique. Au vu de ces observations, une application de la loi du 1e' août 2018 relative aux traitements de données en matière pénale ne semble donc pas être possible pour les traitements des données personnelles dans le cadre de procédures décrites dans le projet de la loi sous examen, indépendamment de l'origine des données personnelles traitées. La nécessité d'introduire une responsabilité distincte pour le traitement des données mises à disposition par le SRE semble donc inappropriée si le seul objectif des auteurs du texte est de clarifier l'application de la loi du ler août 2018 relative aux traitements de données en matière pénale, au-delà du fait que cette responsabilité distincte lui semble artificielle, comme développé plus haut. Par ailleurs, si un autre objectif de l'introduction de la responsabilité du SRE est de limiter les droits de la personne concernée par rapport aux données personnelles transmises par le SRE, il y a lieu de relever que l'article 23 du RGPD ouvre la possibilité de limiter ce droit d'accès en ajoutant une disposition dans le texte comme expliqué dans la partie IV de cet avis intitulé « Sur le droit des personnes concernées ». Si toutefois les auteurs du projet de loi entendent maintenir cette différenciation en fonction de l'origine des données, il y a lieu de relever que l'article 4, paragraphe 7 du RGPD ainsi que l'article 2, paragraphe 1 er, point 8 de la Loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (ci-après la « loi du 1 er août 2018 relative aux traitements de données en matière pénale ») prévoient la possibilité de désigner le responsable du traitement dans le droit d'un État membre, sous condition que les finalités et les moyens de ce traitement y sont déterminés. Or, la CNPD constate que le projet de loi sous examen ne mentionne pas quelles seraient les finalités et moyens de traitement de données spécifiquement mises à disposition par le SRE . CNPE1 L Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public aux fins de la mise en œuvre du règlement (UE) 2019'452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour te filtrage des investissements directs étrangers dans l Union tel que modifié, ainsi que le projet de règlement grand-ducal détemiinant la composition et le fonctionnement du comité interministériel pour le fittrage des ,nvestissements 7/9 III. Sur la qualification des destinataires des données dans le cadre de la procédure de notification et de filtrage Par ailleurs, la Commission nationale s'interroge sur la qualification des différents acteurs impliqués dans la mise en œuvre de la loi. D'après le projet de loi, le comité interministériel a pour mission l'examen des notifications, la préparation et proposition d'avis sur la décision de déclenchement de procédure et celle de filtrage''. Comme indiqué dans le projet de règlement grand-ducal un représentant du ministre ayant les Affaires étrangères et européennes dans ses attributions ainsi qu'un représentant du ministre ayant le Service de renseignement de l'Etat dans ces attributions font partie de ce comité interministériel qui pourrait dans certain cas être adjoint par des représentants relevant de l'autorité des autres ministères". Selon le projet de loi, le comité interministériel est appuyé dans ses missions par un groupe d'experts'', composé de représentants des ministères dans le comité interministériel et par des représentants relevant de l'autorité des autres ministères lorsque l'investissement direct relève de leur compétence". Il résulte de ces dispositions que des représentants d'autres ministères auront accès à des données personnelles et seront impliqués dans leurs traitements. Au vu de ces dispositions et en raison du manque de personnalité juridique propre du comité interministériel, la Commission se demande si ces acteurs, qui sont indépendants de la structure des responsables des traitements définis dans l'article 13 paragraphe 1 du projet de loi, seraient considérés comme sous-traitants des « ministres », ou au contraire comme des tiers ? Rappelons que dans le cas de la sous-traitance, l'établissement d'un contrat ou d'un autre acte juridique du droit de l'Union ou droit d'un État membre entre le responsable de traitement et le sous-traitant est exigé par l'article 28 paragraphe 2 du RGPD qui prévoit un certain nombre de conditions à inclure dans cet acte juridique. Dans ce contexte la Commission nationale salue néanmoins l'inclusion de l'obligation de confidentialité pour ces acteurs dans l'article 3 paragraphe 2 du projet de règlement grand-ducal. IV. Sur le droit des personnes concernées Selon l'article 5 paragraphe

(1)lettre (a) du RGPID, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (principe de licéité, loyauté, transparence). Ce principe implique notamment que les responsables de traitements devront respecter les dispositions de l'article 13 du RGPD pour les données collectées directement auprès de la personne concernée, sinon celles de l'article 14 du RGPD, lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée elle-même, par exemple celles collectées indirectement auprès du SRE. En vertu de ces articles, le responsable du traitement devra fournir à la personne concernée des informations au sujet du traitement de données personnelles la concernant, notamment pour 10 Article 4 paragraphe 1 du projet de loi 11 Article 1 paragraphe 1 du projet de règlement grand-ducal 12 Article 4 paragraphe 2 du projet de loi 13 Article l'arlicle 1 paragraphe 7 du projet de règlement grand-ducal CNPDI Avis de la Commission nationale pour la protection des données relatif au projet de loi n °7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à rordre public aux fins de la mise en œuvre du règlement (11E) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage den investissements directs étrangers dans l Union tel que modifié, ainsi que le projet de règlement grand-ducal déterminant la composition et le 'fonctionnement du comité interministériel pour le lavage des ln vestisserne nt s 8/9 garantir un traitement équitable et transparent. Précisons que dans les cas où l'article 14 du RGPD s'appliquerait, ces informations devront être fournies à la personne concernée au plus tard un mois après que le responsable du traitement ait obtenu les données. En outre, selon article 15 du RGPD les personnes concernées ont le droit de recevoir certaines informations relatives aux données personnelles traitées du responsable de traitement (droit d'accès). Dès lors, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que sans dérogation explicite dans le projet de loi, ces droits sont tous applicables intégralement. La CNPD comprend que des dérogations respectant les conditions de l'article 23 du RGPD pourraient s'avérer nécessaires lorsque les informations obtenues dans le cadre de la procédure de filtrage concernent des enquêtes ou instructions pénales en cours ou des informations transmises par le SRE. Si tel était le cas, alors il faudrait prévoir les détails des limitations, ainsi que leur durée dans le projet de la loi conformément à l'article 23 du RGPD. Ainsi décidé à Belvaux en date du 4 mars 2022. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNP15- Thierry Lallemang Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de 10i n°7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public aux fins de la mise en œuvre du règlement (UE)2019/4 52 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union tel que modifié ainsi que le projet de règlement grand-ducal deterrninant la composition et le fonctionnement du comité interministériel pour le filtrage des investissements 9/9