← Luxembourg

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mi

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public aux fins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union Délibération n°33/AV19/2023 du 28/04/2023

  1. Conformément à l'article 57, paragraphe 1, e) du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime généralsur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égarddu traitement ».
  2. L'article 36, paragraphe 4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. »
  3. Le 4 mars 2022, la CNPD a avisé le projet de loi n° 7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public aux fins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union (ci-après le « projet de loi »)
  5. Le 13 février 2023, le Gouvernement a adopté une série d'amendements relatifs au projet de loi (ci-après les « amendements »). 1 Délibération n°6/AV6/2022 du 4 mars 2022, document parlementaire 7885/2, pp. 8-
  6. CNPD Avis complémentaire de la Commission nationale pour la protection des donnéesrelatifauprojetdeloi n°7885portantmiseenplaced'unmécanismedefiltrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ouà l'ordre publicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européenet du Conseildu 19 mars 2019établissantuncadrepour le filtragedes investissements directs étrangers dans l'Union 1/20
  7. En date du 2 mars 2023, Monsieur le Ministre des Affaires étrangères et européennes a invité la CNPD à se prononcer au sujet de dix amendements gouvernementaux au projet de loi qui ont étéapprouvés par le Conseil de gouvernement lors de sa réunion du 27 janvier
  9. Tout d'abord, il convient de relever que de nouvelles dispositions ont été ajoutées, qui précisent les finalités de traitement (article 11, paragraphe 2) et la durée de conservation des données (article 11, paragraphe 3). De plus, les amendements ont modifié l'article 13, paragraphe 1er du projet de loi relatif au responsable du traitement (nouvel article 11 paragraphe 1er).
  10. Ensuite, il y a lieu de constater que des dispositions limitant les droits des personnes concernées conférés par les articles 14, 15 et 34, paragraphe 1 du RGPD ainsi qu'une disposition limitant l'exercice des droits des personnes concernées ont été ajoutées, en s'appuyant sur la possibilité de limitation des droits susmentionnés prévu par l'article 23 du RGPD. l. Ad amendement 42 concernant l'article 11 (nouveau)
  11. Détermination du responsable du traitement
  12. Dans son avis du 4 mars 2022 relatif à l'ancien article 13 , paragraphe 1 du projet de loi, la CNPD recommandait d'inclure une définition des responsables de traitement ainsi que de déterminer les traitements pour lesquels chacun d'eux serait responsable dans le projet de loi.
  13. Il y a lieu de saluer les auteurs des amendements pour avoir introduit une définition du terme « ministre » au nouvel article 3, paragraphe 1 du projet de loi. Ainsi, le terme utilisé pour désigner le responsable de traitement dans le nouvel article 1 1, paragraphe 1 du projet de loi est clarifié.
  14. Cependant, il convient de constater que la définition introduite entraîne un changement de l'organisme désigné comme responsable du traitement par le nouvel article 11, paragraphe 1 du projet de loi. En effet, la nouvelle définition comprend désormais seul le Ministre ayant l'Economie dans ses attributions. Le Ministre ayant les Affaires étrangères et européennes dans ses attributions ne figure plus sous cette définition.
  15. Il est encore expliqué dans les commentaires des amendements que l'ancien article 13, paragraphe 1, qui désignait« tes ministres » comme responsables detraitements conjoints, a été reformulée suite à l'amendement de la définition du « ministre » au nouvel article 3, paragraphe 1 du projet de loi. Ainsi, le nouvel article 11, paragraphe 1 du projet de loi prévoit CNPD Avis complémentaire de la Commission nationale pour la protection des donnéesrelatifau projet de loi n°7885portantmiseen placed'unmécanismedefiltrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ouà l'ordre publicauxfinsde la miseen ouwedu règlement(UE)2019/452du Parlement européenet du Conseildu 19 mars 2019établissantuncadrepour lefiltragedes investissements directs étrangersdans l'Union 2/20 que le ministre, à savoir le Ministre ayant l'Economie dans ses attributions, est le seul responsable du traitement pour les traitements des donnéespersonnelles.
  16. Les commentaires des amendements au projet de loi expliquent à ce sujet que cette modification a été introduite pour adresser l'observation du Conseil d'Étatdans son avis du 22 mars 2022, dans lequel le Conseil d'États'oppose à une décision conjointe de deux membres du Gouvernement. Ainsi, il est expliqué dans l'exposé des motifs des amendements qu'«//// est proposé que le ministre ayant l'Économie dans ses attributions prenne formellement les décisionsrelatives au mécanisme national de filtrage des investissements directs étrangers. »
  17. Comme exposé dans son avis précédent du 4 mars 2022 relatif au projet de loi sous avis2, la Commission nationale souhaite rappeler que, « bien que selon l'article 4

(7)du RGPD il est possible pour le législateur national de désigner un ou plusieurs responsables de traitement lorsque les finalités et les moyens d'un traitement sont spécifiés dans un acte législatif, cette désignation doit refléter la réalité du pouvoir décisionnel de l'organisme désigné comme responsable de traitement. En effet, conformément à l'article 4
(7)du RGPD, le responsable de traitement est celui qui « détermine les finalités et les moyens des traitements ». Selon les lignes directrices 7/2020 du Comité Européen de la Protection des Données (EDPB) sur les concepts de contrôleur et de sous-traitant dans le GDPR, le responsable de traitement est l'organisme qui décide sur les questions essentielles du traitement. 3 »
  1. Au vue de ces observations, la CNPD entend rappeler que la désignation du Ministre ayant l Economie dans ses attributions comme seul responsable de traitement pour tous les traitements de données dans le cadre d'application de cette loi devra correspondre à son implication réelle dans ces traitements.
  2. Or, la Commission nationale s'interroge sur l'implication du Ministre ayant l'Economie dans ses attributions en ce qui concerne les traitements qui seront effectués dans le cadre de la coopération avec les autres Etats membres et la Commission européenne. En effet, elle constate à la lecture des dispositions du chapitre II du projet de loi avisé que seul le Ministre ayant les Affaires étrangères et européennes dans ses attributions est compétent pour échanger des informations dans le cadre du dispositif de coopération du règlement (EU) 2019/
  4. De plus, la CNPD continue à se poser la question par rapport aux rôles des organismes participants au groupe d'expert et au comité interministériel. En effet, tant les dispositions 2 Délibération n°6/AV6/2022 du 4 mars 2022, document parlementaire 7885/2, p.
  5. Page11,section 20,
  7. 2 « Détermines» dansles lignesdirectrices 07/2020concernantles notionsde responsabledu traitement et desous-traitantdansle RGPDdu ComitéEuropéende la Protectiondes Données (EDPB), disponibles à ['adresse suivante : https://edpb. europa. eu/system/files/2022- 02/eppb_guidelines_202007_controllerprocessor_final_fr. pdf CNPD Avis complémentaire de la Commission nationale pour la protection des donnéesrelatifauprojetdeloi n°7885portantmiseenplaced'unmécanismedefiltrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européenet du Conseildu 19 mars 2019établissantun cadrepour lefiltragedes investissements directs étrangersdans l'Union 3/20 prévues par le projet de loi que les explications fournies par les auteurs du projet de loi ne permettent pas de déterminer clairement les rôles respectifs de ces acteurs d'un point de vue de la protection des données.
  8. Il ressort de l'exposé des motifs relatifs aux amendements proposés que « l'article sur le comité interministériel de filtrage des investissements et toutes les références y relatives seront supprimés du texte, et le comité interministériel pour le filtrage des investissements sera créé par voie d'arrêté grand-ducal plutôt que par voie de règlement grand-ducal. L'arrêté grand-ducal créant le comité interministériel pour le filtrage des investissements déterminera tes missions, le fonctionnement ainsi que la composition du comité.»
  9. Il y lieu de rappeler que même si aucune mention par rapport au comité interministériel ne se retrouve plus dans le projet de loi, la définition des rôles des participants dans ce comité interministériel reste néanmoins indispensable dans la mesure où ils seront amenésà traiter des données personnelles dans le cadre du projet de loi. A ce sujet, il est décrit dans l exposé des motifs qu'« [e]n effet, les membres du futur comité interministériel et du groupe d'experts seront amenés à contribuer et traiter des informations sensibles, voire classifiées».
  10. Introduction des finalités de traitement et de la durée de conservation
  11. Il y a lieu de saluer les auteurs des amendements pour avoir précisédans le nouvel article 11, paragraphe 2 les finalités des traitements ainsi que la durée de conservation des données personnelles dans le paragraphe3 dudit article.
  12. En effet, dans son avis du 4 mars 2021, la CNPD s'interrogeait sur la possibilité de faire reposer les traitements des données personnelles sur les dispositions du projet de loi alors qu'ils ne précisaient pas les finalités des traitements et la durée de conservation comme exigés par l'article 6, paragraphe3 du RGPD. a) Sur les finalités de traitement
  13. Il y a lieu de relever que le paragraphe 2 de l'article 11 énumère les finalités suivantes pour lesquelles le traitement des données à caractère personnel « est autorisé » « en vue de l'examen de la notification et de la procédure de filtrage »: 1 ° mettre en ouvre des dispositions de la présente loi ; 2° suivre révolution du respect des obligations, y inclus à travers de suivis statistiques, d'études et de recherche ; CNPD Avis complémentaire de la Commission nationale pour la protection des donnéesrelatifauprojetde loi n°7885portantmiseen placed'unmécanismedefiltrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangersdans l'Union 4/20 3° répondre aux demandes d'informations et auxobligations de communication d'informations provenant des autorités compétentes des autres Étatsmembres ou de la Commission européenne.
  14. Bien qu'il y ait lieu de saluer l'effort d'énumération des finalités poursuivies, force est de constater que certaines desdites dispositions ne respectent pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la jurisprudence dela Courdejustice de l'Union européenne et de la Coureuropéenne desdroits de l'homme
  16. En effet, selon lajurisprudence de la Cour européenne des droits de l'Homme, une ingérence au droit au respect de la vie privée n'est « prévue parla loi », au sens de l'article 8, paragraphe 2 de ta Convention européenne des droits de l'homme5, que si elle repose sur un article du droit national qui présente certaines caractéristiques. L'expression « prévue par la loi » implique donc selon la jurisprudence de la Cour européenne des droits de l'Homme que la législation interne doit user de termes assez clairs pour indiquer à tous de manière suffisante en quelles circonstances et sous quelles conditions elle habilite la puissance publique à recourir à des mesures affectant les droits protégés par la Convention
  18. La Cour de justice de l'Union européenne estime qu'en cas de limitation de la protection des données à caractère personnel ou du droit au respect de la vie privée, un texte légal « doit prévoir des règles claires et précises régissant la portée et l'application de la mesure en cause »
  19. Dès lors, dans la mesure où les traitements de données mis en ouvre dans le cadre des procédures administratives, visées par le projet de loi sous avis, constituent une ingérence dans le droit au respect de la vie privée des personnes soumises à l'obligation de notification et des demandeurs d'une autorisation, tels que visés par le projet de loi sous avis, celui-ci devrait encadrer plus spécifiquement de tels traitements conformément à la jurisprudence de la Cour européenne des droits de l'Homme. Or, force est de constater que le projet de loi sous avis, tel qu'amendé n'est, par endroit, pas rédigéavec suffisamment de précision. 4 Encesens,voir M. Besch, « Traitement de donnéesà caractère personnel dansle secteur public », Normes et légistiqueendroitpublicluxembourgeois,Luxembourg,PromocultureLarcier,2019,p.469,n°619;Voirentre autres CourEDH,Zakharove. Russie [GCLn°47413/06], § 228-229, 4 décembre2015, CourEDH,Vavrickaet autres e. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril
  20. 5 L'article 8 paragraphe
(2)de la Convention européenne des droits de l'homme dispose que : « IIne peut y avoir d'ingérence d'une autorité publique dansl'exercice decedroit que pourautant quecette ingérenceest prévue par la loi et qu'elle constitue une mesure qui, dans unesociétédémocratique, est nécessaireà la sécuriténationale, à lasûretépublique,aubien-êtreéconomiquedu pays,à ladéfensedel'ordreet à la préventiondesinfractions pénales,à la protection de la santéou de la morale, ou à la protection desdroits et libertésd'autrui ». 6 CouEDH,FernàndezMartinezc.Espagne[GC], n°56030/07,para. 117. 7 Arrêtdu8 avril 2014, Digital Rights Ireland e. a.C-293/12 et C-594/12, EU :C:2014:238, point 54 CNPD Avis complémentairede la Commission nationale pour la protection des donnéesrelatifauprojetdeloi n°7885portantmiseenplaced'unmécanismedefiltrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangersdans l'Union 5/20 25. Bien que la finalité de « mise en ouvre de dispositions de la présente loi » semble être sufflsamment clarifiée par l'introduction des termes «en vue de l'examen de la notification et de la procédure de filtrage», il convient d'attirer l'attention des auteurs des amendements sur ce que cette formulation ne permettrait pas de couvrir les traitements des données personnelles effectués après la décision de filtrage, dans l'hypothèse où la procédure de filtrage setermine avec la décisiondefiltrage (autorisation ou refus). Or, force est deconstater que des traitements de données personnelles peuvent s'avérer nécessaires après la fin de la procédure poursuivre le respect deconditions liéesà une autorisation conformément à l'article 8 du projet de loi ou dans le cadre de l'application des mesures et sanctions prévues à l'article 9 du projet de loi. 26. En ce qui concerne la finalité décrite au point 2, il y a lieu de noter que l'objet de suivi ne ressort pas clairement de la formulation employée, et surtout en combinaison avec la formulation « en vue de l'examen de la notification et de la procédurede filtrage ». En particulier, il ne ressort pas clairement du texte à quelles « obligations » cette finalitése rapporte. 27. Il est donc suggéré de reformuler la finalité au point 2 afin de clarifier cette finalité et de déplacer la formulation «[e]n vue de l'examen de la notification et de la procédure de filtrage » à la fin de la finalité énoncée sous le numéro 1°, le cas échéant.
  1. b)Sur de la durée de conservation 28. La Commission nationale salue que les auteurs des amendements ont précisé dans le nouvel article 11, paragraphe 3 la durée de conservation des données personnelles. Cet article dispose que les données à caractère personnel traitées en application de la présente loi sont détruites au plus tard dix années à compter de ta clôture du dossier. Les auteurs des amendements précisent ensuite dans les commentaires des amendements les objectifs de la conservation et le moment de clôture du dossier dans différentscas de figure. 29. Bien que ces précisions soient utiles pour expliquer la nécessité de la conservation ainsi que pour déterminer le débutdu délai de la conservation des données dans les différents cas de figure, la Commission nationale ne comprend pas pourquoi le délai est fixéà 10 ans après la clôture de dossier. 30. Les auteurs exposent que pour définir la durée de conservation, ils se sont inspirés de l'article 16 du Code de commerce, lequel dispose que des documents ou informations liés à la comptabilité doivent être conservés pendant un délai de dix ans à partir de la clôture de l'exercice auquel ils se rapportent. Toutefois, il y a lieu de constater que le raisonnement pour le calcul de ce délai n'est pas transposable au calcul du délai de conservation en question. En effet, le délai la conservation de l'article 16 du Code de commerce concerne la conservation CNPD Avis complémentaire de la Commission nationale pour la protection des données relatifau projet de loi n°7885 portant mise en place d'un mécanismede filtrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européenet du Conseil du 19 mars 2019établissantun cadre pour le filtragedes investissements directs étrangersdans l'Union 6/20 des documents énoncésauxarticles 11 , 12, 14et 15duCodedecommerce parlecommerçant et se rapporte à la durée de prescription de dix ans des obligations nées à l'occasion d'un commerce entre commerçants ainsi qu'entre commerçants et non-commerçants conformément à l'article 189 du Code de Commerce. Ainsi, ce délai de dix ans est lié à la période pendant laquelle le commerçant ou le client doivent pouvoir faire valoir leurs droits, mais la CNPD ne voit pas en quoi cette disposition devrait être appliquée par analogie à la conservation d'un dossieradministratifpar le Ministèrede l'Economie. 31. La CNPD comprend qu'une durée précise a été déterminée pour pouvoir trouver un équilibre avec les droits des personnes concernées. Or, plutôt que de définir dans la loi une durée précise (maximale), ne faudrait-il pas prévoir des critères afin de déterminer la durée de conservation des données proportionnée en fonction des différentesfinalités ? 32. En effet, on peut effectivement se poser la question pourquoi un dossier pour lequel il est décidéqu'uneprocéduredefiltrage n'est pas ouverte nécessitele mêmedélaideconservation qu'un dossier où l'autorisation est refusée ou accordée sous conditions. 33. Dans ce contexte, la Commission nationale souhaite soulever qu'elle comprend le besoin de conserver certaines informations de dossiers clôturésau regard des finalités exposéesdans les commentaires des amendements. Cependant, il y a lieu de relever qu'en vertu du principe de limitation de conservation selon l'article 5, paragraphe 1,
  2. e)du RGPD la conservation des données personnelles doit être limitée aux informations nécessairesaux fins de conservation décrit dans les commentaires des amendements. 34. Par ailleurs, les données collectées devront être supprimées ou anonymisées dès que leur conservation n'est plus nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. II. Ad amendement 43 concernant le nouvel article 12 35. Le nouvel article 12 du texte coordonné introduit une limitation au droit d'accès des personnes concernées, tel que conférépar l'article 15 du RGPD. Conformément à l'article 23 du RGPD le droit national auquel le responsable du traitement ou le sous-traitant est soumis peut, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 età l'article 34, ainsi qu'à l'article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaireet proportionnéedansunesociétédémocratiquepourgarantirles objectifs énumérés dans cet article. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n"7885 portant mise en place d'un mécanisme de filtrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangersdans l'Union 7/20 36. Il y a donc lieu de vérifier la conformité de la limitation du droit d'accès dans l'article 12 avec les exigencesde l'article 23 du RGPD. La Commission nationale relève tout d'abord que le paragraphe 1er de l'article 12 du texte coordonné s'inspire de l'article 23 du RGPD, notamment en reprenant les finalités visées aux lettres (
  3. a)à (
  4. e)de l'article 23, paragraphe 1 du RGPD. Les paragraphes 2 et 3 de l'article 12 du texte coordonné reprennent quant à eux la formulation de l'article 14, paragraphes 2 et 3 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. 37. Il y a lieu de constater que la conformité de la limitation introduite par cette disposition avec l'articte 23, paragraphe 2 du RGPD fait l'objet de l'opposition formelle du Conseil d'Etat dans son avis complémentaire du 14 mars 2023. La Commission nationale se joint à cet avis et souhaite apporter des précisions concernant cette problématique dans le point 3 de la présente section. De plus, les points 1 et 2 ci-dessous concerne la conformité de la limitation introduite dans le nouvel article 1 1 du projet de loi avec l'article 23, paragraphe 1 du RGPD. 1. Sur la prévisibilité des limitations des droits par une mesure législative (article 23, paragraphe 1 du RGPD) 38. Le paragraphe 1erde l'article 12 du texte coordonnédisposeque : « Le responsable du traitement peut limiter, entièrement ou partiellement, le droit d'accès de la personne concernée viséà l'article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, désignéci-après par le terme « règlement (UE) 2016/679 » , dèslors et aussi longtemps qu'une telle limitation partielle ou complète constitue une mesure nécessaireet proportionnée pour garantir : 1° la sécurité nationale ; 2° la défense nationale ; 3° la sécurité publique ; 4° la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menacespour la sécuritépublique et la prévention de telles menaces ; 5° d'autres objectifs importants d'intérêt public général de l'Union ou d'un Étatmembre, notamment un intérêtéconomiqueou financierimportant de l'Union ou d'un Etat membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale ». 39. Les commentaires des amendements précisent encore qu'« [e]n application du paragraphe 1er, le responsable du traitement procède à une évaluation au cas par cas afin de décider si CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (DE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangersdans l'Union 8/20 /accès de la personne concernée aux données la concernant est susceptible de constituer une menace pour les intérêts publics limitativement énumérés. Si cette évaluation montre le risque d'unetelle menace, le responsabledu traitement peut déciderde limiter entièrementou partiellement le droit d'accès de la personne concernée, en fonction du risque évalué. » 40. Selon l'exposé des motifs, «[i]l incombe aux autorités et au responsable de traitement de procéder à une évaluation des risques que la divulgation de l'information présenterait au cas par cas. Selon l'importance et la nature du risque, les limitations prévues peuvent être partielles ou totales. A priori, elles peuvent concerner toutes les catégories de données à caractèrepersonnel traitées par le responsable du traitement. » 41. La CNPD regrette que les auteurs aient simplement repris les finalités telles que formulées aux lettres (
  5. a)à (
  6. e)de l'article 23, paragraphel du RGPD, sans spécifiera quoi elles pourraient correspondre dans le contexte du mécanisme de filtrage des investissements étrangers. Le projet laisse en effet au responsable du traitement, à savoir le Ministère de l'Economie, le soin de déterminer l'application de telles limitations dans chaque cas d'espèce, alors que ce serait normalement le rôle d'une mesure législatived'encadrerde telles limitations. 42. Cependant, au regard de l'exigence de prévisibilité des limitations des droits par une mesure législative, il est nécessaire que les conditions qui permettent une limitation des droits des personnes concernéessoient suffisamment clarifiéeset préciséesdans ta loi permettant une telle limitation. 43. A ce sujet, le considérant 41 du RGPD précise que la « mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour dejustice de l'Union européenne et de la Cour européenne des droits de l'homme. » 44. Les lignes directrices 10/2020 de l'EDPB sur les restrictions de l'article 23 du RGPD clarifient que la Cour de justice de l'Union européenne et la Cour européenne des droits de l'homme exigent que l'acte législatif justifiant une ingérence dans le droit au respect de la vie privée « doit être suffisamment clair dans ses termes pour donner aux personnes une indication adéquate des circonstances et des conditions dans lesquelles les responsables du traitement sont habilités à appliquer les restrictions. » Les lignes directrices expliquent encore que «[l]a même exigence stricte devrait être appliquée à toute limitation qui pourrait être imposée par /es États membres. » 8 45. La Commission nationale peut comprendre les difficultés de prévoir les différents cas d'application de la limitation dans le cas d'introduction d'une nouvelle procédure. Néanmoins, 8 Page8, section 18, 3. 2 « Législativemeasures laying down restrictions and thé need to be foreseeable (Récitai41 and CJEUcase law) » dansles lignesdirectrices 10/2020sur les restrictions enapplication de l'article 23 RGPDdu ComitéEuropéende la ProtectiondesDonnées(EDPB) CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme defiltrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangersdans l'Union 9/20 le législateur devrait a minima prévoir les conditions d'une limitation qui permettent à la personne concernée de vérifier si la limitation est conforme à la loi. 46. Dans ce contexte, les lignes directrices 10/2020 de l'EDPB sur les restrictions en application de l'article 23 du RGPD précisent que « [l]e lien entre les restrictions prévues et l'objectif poursuivi doit être clairement établi dans la mesure législative. ». 9 Ce lien doit être mentionné dans la mesure législative concernée. 47. Or, la Commission nationale constate que les explications qui se trouvent à ce sujet dans les 0 commentaires des amendements1 ainsi que dans l'exposé des motifs aux amendements1 1 ne sont pas suffisantes car elles ne se trouvent pas dans le projet de loi lui-même et ne permettront pas à la personne concernée de comprendre le lien entre la limitation des droits et la sauvegarde des intérêtsmentionnés dans le paragraphe 1 de l'article 12 une fois le texte adopté, entre autres à cause du manque de clarté quant aux types des données traités dans le projet de loi. 48. En particulier, il y a lieu de préciser dans le projet de loi comment la limitation au droit d'accès contribuerait à garantir la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (motif listé sous le point 4). Si, par exemple, la divulgation des données personnelles fournies par le Service de renseignement de l'Etat à la personne concernée est susceptible de compromettre la tenue de ses enquêtes dans le cadre de sa mission de prévention et de détection d'infractions pénales, ceci devrait être précisé. De même, il y a lieu de se poser la question de savoir comment la limitation au droit d'accès pourra servir à garantir un intérêt économique ou financier important de l'Union ou d'un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale (motif listé sous le point 5). 9 Page 9, section 21, 3. 3 « Grounds for restriction » dans les lignes directrices 10/2020 sur les restrictions en application de l'article 23 RGPD du Comité Européen de la Protection des Données(EDPB) 10 Amendement n°43, page 18 « La communication de toutes les données à caractère personnel dont disposent les autorités nationales dans le cadre du mécanisme de filtrage des investissements directs étrangerspeutconstituer un risque importantpourles intérêtspublicsà protéger. » n Exposé des motifs, page 3 « Dans certains cas, la divulgation de ces informations à l'investisseur étranger ou à un tiers pourrait non seulement nuire gravement à la procédure de filtrage en tant que telle ma/'sauss/auxmissionsprincipalesdontsontinvestislesacteursprécités.Afindegarantirlaconfidentialité des informations sensibles, classifiées ou non, et afin de sauvegarder in fine les objectifs importants d'intérêt public, il peut donc s'avérer nécessaire et justifié de limiter le droit à l'information lorsque les données n'ont pas été collectées auprès de la personne concernée, le droit d'accès et la fourniture d'informations relative à une violation de données à caractère personnel concernant l'investisseur étranger ou toute autre personne physique. » CNPD Avis complémentairede la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union 10/20 49. Au regard des observations susmentionnées, la Commission nationale suggère de spécifier les cas d'application de la limitation ou au moins les conditions qui permettent une limitation des droits de la personne par le responsable du traitement dans le cadre des traitements des données prévues par le projet de loi. En outre, il est nécessaire d'ajouter les explications sur le lien entre la limitation du droit d'accès et l'objectif poursuivi dans le projet de la loi. 2. Sur le respect du principe de nécessité et de proportionnalité (article 23, paragraphe 1 du RGPD) 50. L'article 23, paragraphe 1 du RGPD précise que les droits de la personne concernée peuvent être limités lorsqu'unetelle limitation respecte l'essence des libertéset droitsfondamentauxet quelle constitue une mesure nécessaireet proportionnée dans une sociétédémocratique pour garantir les objectifs énumérésdans ce paragraphe. 51. A ce sujet, le paragraphe 1 de l'article 12 du texte coordonné précise que le responsable du traitement peut limiter, entièrement ou partiellement, le droit d'accès de la personne concernée dès lors et aussi longtemps qu'une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée pour garantir les objectifs mentionnés ci-après. Il s'ensuit qu'il incombe au responsable de traitement de procéder à une analyse de nécessité et proportionnalité au cas par cas. 52. Cependant, l'analyse et le constat de nécessité et proportionnalité d'une limitation sur base d'une mesure législative conformément à l'article 23 RGPD devraient être effectués par le législateur. Comme précisédans les lignes directrices 10/2020de l'EDPBsur les restrictions de l'article 23 du RGPD «[//e test de nécessité et de proportionnalité doit être effectué avant que le législateurne décidedeprévoirunerestriction. »12.Eneffet, cette analyse doit permettre au législateur de déterminer le cadre de la limitation en conformité avec l'article 23 paragraphe 1 du RGPD. 53. Les lignes directrices 10/2020 de l'EDPB sur les restrictions de l'article 23 du RGPD précisent encore que « [c]onfermement au principe de proportionnalité, le contenu de la mesure législative ne peut excéder ce qui est strictement nécessaire pour sauvegarder les objectifs énumérés à l'article 23, paragraphe 1, points
  7. a)à j), du GDPR. La restriction doit donc être appropriée pour atteindre les objectifs légitimes poursuivis par la législation en cause et ne pas dépasser les limites de ce qui est approprié et nécessaire pour atteindre ces objectifs. 12Page12,section40, 3.5 « necessityand proportionalitytest » dansles lignesdirectrices10/2020sur les restrictions en application de l'article 23 RGPDdu Comité Européende la Protection des Données (EDPB), disponibles en version anglaise à l'adresse suivante : https://edDb. euroDa. eu/our-work-tools/ourdocuments/auidelines/auidelines-102020-restrictions-under-article-23-adDr CNPD en Avis complémentairede la Commission nationale pour la protection des donnéesrelatifauprojetdeloin°7885portantmiseenplaced'unmécanismedefiltrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européenet duConseildu 19 mars 2019établissantuncadrepour lefiltragedes investissements directs étrangers dans l'Union 11/20 Se/on la jurisprudence de la CJUE, l'article 23 du RGPD ne peut être interprété comme pouvant conférer aux États membres le pouvoir de porter atteinte à la vie privée aux Etats membres le pouvoir de porter atteinte au respect de la vie privée, en méconnaissance de l'article 7 de la Charteou de toute autre garantie13. En particulier, le pouvoir conféréaux Étatsmembres par l'article 23, paragraphe 1, du GDPR ne peut être exercé qu'en conformité avec l'exigence de proportionnalité, selon laquelle les dérogations et limitations relatives à la protection des données à caractère personnel ne doivent s'appliquer que dans la mesure où cela est strictement nécessaire. »14 54. Dans le cas où la mesure législative ne spécifie pas les cas d'application de limitation mais seulement des conditions à respecter lors de la décision du responsable de traitement sur l'application de la limitation dans le cas concret, la nécessité et la proportionnalité de la limitation devrait non seulement figurer parmi ces critères, mais le législateur devrait définir les critères à respecter par le responsable de traitement lors de son analyse de nécessité et proportionnalité. Dans ce contexte, il est précisédans les lignes directrices 10/2020 en application de l'articte 23 du RGPD du Comité Européen de la Protection des Données (ci-après « EDPB ») sur les restrictions de l'article 23 du RGPD que « [l]e test de nécessitéet de proportionnalité implique généralement d'évaluer les risques pour les droits et libertés des personnes concernées ». 55. Dès lors, le paragraphe 1er de t'article 12 devrait être complété, en y ajoutant l'exigence de tenir compte des droits fondamentaux, lors de l'évaluation par le Ministère de l'économie de la proportionnalité de la limitation. 3. Sur le respect des conditions de l'article 23, paragraphe 2 du RGPD 56. Il y a lieu de soulever que lorsqu'une restriction aux droits des personnes est prévue par une mesure législative, elle doitcontenir des dispositions spécifiques qui concerne les informations énumérées au paragraphe 2 de l'article 23 du RGPD. Les informations, qui doivent être mentionnées en vertu de l'article 23, paragraphe 2 du RGPD sont les suivantes : les finalitésdu traitement ou des catégoriesde traitement; les catégoriesde donnéesà caractèrepersonnel; retendue des limitations introduites; 13QEU, 6 octobre 2020, LaQuadrature du net et autres, C-511/18, C-512/18 et C-520/18, ECLI:EU:C:2020:791, paragraphe 210. 14Page12, section 44, 3. 5 « necessity and proportionality test » dansles lignesdirectrices 10/2020 sur les restrictions en application de l'article 23 RGPD du Comité Européen de la Protection des Données (EDPB), disponibles en version anglaise à l'adresse suivante : httDS://edpb. euroDa. eu/our-work-tools/ourdocuments/auidelines/auidelines-102020-restrictions-under-article-23-adDren CNPD Avis complémentairede ta Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangersdans l'Union 12/20 les garanties destinées à prévenir les abus ou l'accès ou le transfert illicites; la détermination du responsable du traitement ou des catégories de responsables du traitement; les durées de conservation et les garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement; les risques pour les droits et libertésdes personnes concernées;et le droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. 57. Dans ce contexte, il convient de saluer les auteurs des amendements d'avoir introduit dans l'article 11, paragraphes 2 et 3 du projet de loi les informations concernant les finalités de traitement ainsi que concernant la durée de conservation, même si ces dispositions font l'objet des commentaires développés dans le partie 1. 2. a de cet avis. Il convient également de constater l'existence des dispositions concernant la détermination du responsable du traitement (l'article 11, paragraphe 1 du projet de loi) et concernant le droit d'information de la personne concernée portant sur la limitation (l'article 12, paragraphe 2 du projet de loi). 58. Par contre, il y a lieu de regretter que les catégories de données visées par la limitation ne soient pas précisées comme exigé à la lettre
  8. b)de l'article 23, paragraphe 2 du RGPD. Ce manque de précision est d'autant plus accentué, par le fait qu'aucune catégorie des données n'est préciséedans le projet de loi. 59. La Commission nationale suggère aux auteurs des amendements de complémenter le projet de loi avec des dispositions concernant les catégories de données visées par la limitation. a. Sur l'information concernant retendue des limitations conformément à l'article 23, paragraphe 2,
  9. e)du RGPD 60. En ce qui concerne les informations couvertes par la limitation, l'article 12, paragraphe 1er du projet de loi dispose qu'une limitation est possible « dès lors et aussi longtemps qu'une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée » au regard des objectifs de limitation listés dans ce paragraphe. 61. Force est de constater que retendue de la limitation dépend de la présence des risques que représente l'exercice du droit de la personne pour les objectifs énoncés dans le paragraphe 1erde l'article 12du projet de loi. Ainsi, la clarification du lien entre ces objectifs et la restriction au droit d'accès de la personne concernée semble être d'autant plus nécessaire. 62. La CNPD regrette que l'article 12 ne précise pas plus en détail selon quels critères le responsabledu traitement pourra limiter les droits des personnes concernées. CNPD Avis complémentaire de la Commission nationale pour la protection des donnéesrelatifauprojetdeloin°7885portantmiseenplaced'unmécanismedefiltrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européenet du Conseildu 19 mars2019établissantun cadrepour lefiltragedes investissements directs étrangersdans l'Union 13/20 63. Les commentaires des amendements donnent certaines explications utiles, puisqu'il est précisé qu'au regard des objectifs de limitation, « il peut donc s'avérer nécessaire etjustifié de limiter le droit à l'information lorsque les données n'ont pas été collectées auprès de la personne concernée, le droit d'accès et la fourniture d'informations relative à une violation de données à caractère personnel concernant l'investisseur étranger ou toute autre personne physique. » Toujours selon l'exposé des motifs, « [a] priori, elles [les limitations] peuvent concerner toutes les catégories de données à caractère personnel traitées par le responsable du traitement. Cependant, ces limitations ne portent pas sur les données directement fournies par les personnes concernées par le traitement des données. Ce sont les donnéesqui ne sont pas fournies par l'investisseur étranger lui-même ou toute autre personne physique elle-même qui peuvent faire l'objet d'une limitation en fonction de l'évaluation des risques opérée. » 64. L'exposé des motifs précise encore que « /s/elon l'importance et la nature du risque, les limitations prévues peuvent être partielles ou totales » et que « [l]e responsable du traitement peut décider de limiter entièrement ou partiellement le droit d'accès de la personne concernée, en fonction du risque évalué. » En ce qui concerne retendue de la limitation dans le temps, il est également exposédans les commentaires des amendements que «[l]a limitation n'estpas maintenue ad vitam aeternam, mais aussi longtemps que le risque le justifie. Dans le cadre d'une nouvelle demande d'accès par la personne concernée, le responsable du traitement procède à nouveau à cette évaluation afin de décider si la limitation continue à s'appliquer et, le cas échéant, pour quelles informations. » 65. Or, aux yeux de la Commission nationale, ces explications devraient figurer dans la loi, et non seulement dans les commentaires des amendements et l'exposédes motifs. 66. En conclusion, retendue de la limitation du droit d'accès selon l'article 12 du projet de loi nécessite d'être clarifiée dans le projet de loi. Il convient, en particulier, de clarifier dans le projet de loi si la limitation du droit d'accès de la personne concernée porte seulement sur les donnéesà caractèrepersonnelles qui ne sont pas fournies par les personnes concernées. b. Sur les garanties destinées à prévenir les abus ou l'accès ou le transfert illicites concernant retendue des limitations conformément à l'article 23, paragraphe 2,
  10. d)du RGPD 67. Au sujet des garanties destinées à prévenir les abus ou l'accès ou le transfert illicites, il y a lieu de saluer les auteurs des amendements pour avoir introduit l'obligation de consigner les motifs de la décisionde limitation du droit d'accès dans le paragraphe 3 de l'article 12 ainsi que la possibilité d'exercice des droits dela personne concernée par la Commission nationale (article 14 du projet de loi), qui d'aprèsles commentaires des amendements devrait permettre un contrôle par la Commission nationale et ainsifournir les garanties nécessaires. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la mise en ouvre du règlement(UE) 2019/452du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangersdans l'Union 14/20 68. Parailleurs, l'article 12paragraphe2 duprojetdeloiintroduitl'obligation d'informerlapersonne concernée de la possibilité d'introduire une réclamation auprès de la Commission nationale ou de former un recours juridictionnel. D'après l'exposé des motifs, la possibilité d'introduire une réclamation auprès de la Commission nationale et de former un recours juridictionnel à l'article 12, paragraphe 2 du projet de loi devraient constituer des garanties destinées à prévenir les abus ou l'accès ou le transfert illicites. 69. Or, la Commission nationale souhaite rappeler que le droit d'introduire une réclamation ainsi que le droit de former un recours juridictionnel contre le responsable de traitement sont des droits conférés directement par les articles 77 et 79 du RGPD. Ces droits existent indépendamment d'unelimitation et ne peuvent doncpasconstituer desgaranties spécifiques en cas de limitation. 70. En ce qui concerne l'information sur la possibilité d'introduire une réclamation auprès de la Commission nationale ainsi que sur le droit de former un recours juridictionnel contre le responsable de traitement, la Commission nationale s'interroge sur la nécessité de cette disposition alors que l'obligation d'information ressort directement de l'article 12, paragraphe 4 du RGPD, qui dispose :« S/ le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. » 71. Dans la mesure où l'obligation d'information conformément à l'article 12, paragraphe 2 du projet de loi concerne le cas où le responsable de traitement ne donne pas du tout suite à une demande d'accès l'article 12, paragraphe 4 du RGPD entre en application. Dans le cas de la limitation partielle du droit d'accès, l'obligation d'information sur les voies de recours ressort de l'article 15, paragraphe 1,
  11. f)du RGPD. Dès lors, il ne semble pas être nécessaire d'inclure l'obligation pour le responsable de traitement d'informer la personne concernée des voies de recours en lien avec la limitation du droit d'accès. 72. Danscecontexte, ilest important desoulever quel'article 23, paragraphe2, h)duRGPD porte seulement sur le droit pour la personne d'être informée de la limitation de ses droits et les motifs de cette limitation et ne contient pas l'obligation d'information concernant les voies de recours exposées dans l'article 12, paragraphe 2 du projet de loi. Ainsi, l'inclusion de l'obligation defournir l'information concernant la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel apparaît superfétatoire aux yeux de la CNPD. 73. Il semble que cette disposition ainsi que le paragraphe 3 de cet article ont étérepris de l'article 14 paragraphe de la loi du 1er août 2018 relative à la protection des personnes physiques à CNPD Avis complémentairede la Commission nationale pour la protection des données relatifauprojet de loi n°7885 portant miseen place d'un mécanismedefiltrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la mise en ouvre du règlement(UE) 2019/452du Parlement européenet duConseildu 19 mars2019établissantun cadrepour lefiltragedes investissements directs étrangers dans l'Union 15/20 l'égarddutraitement desdonnéesà caractèrepersonnel enmatièrepénaleainsiqu'en matière de sécurité nationale, sans que cet article ait étéadapté au contexte du mécanisme de filtrage des investissements étrangers. 74. Or, l'article 14 de la loi précitée du 1er août 2018 concerne la limitation des droits de la personne concernée conférés par ladite loi et ne constitue pas une limitation des droits de la personne concernée prévus par le RGPD. En effet, la loi crée un régime de protection des données personnelles spécifique pour les traitements des données à caractère personnel en matièrepénaleainsiqu'en matièredesécuriténationale parles autorités compétentes en ces matières. Ainsi, la disposition de limitation des droits de la personne concernée doit être lue avec les autres dispositions de la loi et n'est pas soumise aux exigences prévues par le RGPD. Ainsi, son contenu ne peut pas être repris sans adaptions pour les traitements dans le champ d'application du RGPD. 75. Par ailleurs, la Commission nationale se pose la question de savoir comment cette information pourra être mise à disposition de la personne concernée en pratique, dans le cas où les informations sur la limitation ne peuvent pas être fournies à cause du risque de compromettre un des objectifs cités dans le paragraphe 1. Dans cette hypothèse, il serait alors judicieux de restreindre l'application de l'article 12, paragraphe4 du RGPD. 76. LaCommission nationale suggèreaux auteurs des amendements desupprimer l'obligation du responsable de traitement d'informer les personnes concernées sur la possibilité d'introduire une réclamation auprès de la Commission nationale ainsi que sur le droit de former un recours juridictionnel contre le responsable de traitement et de réfléchir à l'introduction d'une limitation de l'article 12, paragraphe 4 du RGPD. e. Sur la limitation du droit d'information de la personne concernée conformément à l'article 23, paragraphe 2, h)du RGPD 77. En ce qui concerne le droit d'information de la personne concernée portant sur la limitation, l'article 12 paragraphe 2 du projet de loi précise que « ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au paragraphe 1er » . 78. Il y a lieu de rappeler à ce sujet que le responsable detraitement peut dérogerà son obligation d'informer la personne concernée de la limitation selon l'article 23, paragraphe 2,
  12. h)du RGPD seulement aussi longtemps que cela est nécessaire et proportionnel. En outre, il doit en informer la personne concernée dès lors que la dérogation n'est plus justifiée. La Commission nationale note dans l'exposé des motifs du projet de loi la possibilité de fournir l'informationsur les limitations des droits par une noticed'informationgénéraledans le cas où une information individuelle n'est pas possible, tel que suggéré par l'EDPB dans les lignes CNPD Avis complémentaire de la Commission nationale pour la protection des données relatifau projetde loi n"7885portantmiseen place d'unmécanismedefiltrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordrepublicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européenet du Conseildu 19 mars 2019établissantuncadrepour lefiltragedes investissements directs étrangersdans l'Union 16/20 directrices 10/2020 sur les restrictions en application de l'article 23 RGPD. 15Or, il est important de relever que la délivrance d'une notice d'information générale ne libère pas de l'obligation defournir une information individuelle dèsque les conditions pour la dérogation del'obligation de fournir les informations sur la limitation des droits n'existent plus. III. Ad amendement 44 concernant le nouvel article 13 79. Les auteurs des amendements introduisent une limitation au droit à l'information des personnes concernées, conférépar l'article 14 du RGPD. L'article 14 du RGPD concerne le droit pour les personnes concernées de recevoir des informations lorsque tes données à caractère personnel n'ont pas étécollectées directement auprès de la personne concernée. 80. L'article 13 du projet de loi fait référence aux objectifs énumérésdans l'article 12, paragraphe 1 du projet de loi sous avis. 81. Sur la conformité de cette limitation avec l'article 23 paragraphe 1 et paragraphe 2 du RGPD, il est renvoyé aux observations relatives à la limitation du droit d'accès conformément à l'article 12 du projet de loi formulées au point II du présent avis à l'exception des points 3 b. et e. 82. Par ailleurs, il y a lieu de constater que l'article 13 ne se réfère pas aux paragraphes 2 et 3 de t'article 12 du projet de loi, concernant l'obligation d'informer la personne concernée sur la limitation et sur les motifs de cette limitation. 83. Or, l'article 23, paragraphe 2,
  13. h)du RGPD exige une disposition concernant le droit des personnes concernéesà être informéesde la limitation, à moins que cela ne risque de nuire à la finalité de la limitation. 84. Bien que la Commission nationale comprend que l'information sur la limitation du droit à l'information pourra effectivement nuire aux objectifs énoncés dans l'article 12, paragraphe 1 dans certain cas, il y a lieu de rappeler qu'en principe la mesure législative devrait contenir toutes les informations énumérées à l'article 23, paragraphe 2 (y compris le paragraphe 2 lettre h), du RGPD. 16De plus, l'article 23, paragraphe 2,
  14. h)du RGPD prévoit lui-même la possibilité pour le responsable de traitement de déroger à son obligation d'informer la personne concernée de la limitation dans les cas où l'information sur la limitation nuit à ta finalité de la 15Page 15, section 64, 4. 7 « Right to be informed about thé restriction, unless prejudicial to thé purpose of thé restriction» dans les lignes directrices 10/2020 sur les restrictions en application de l'article 23 RGPD du Comité Européen de la Protection des Données (EDPB) 16Page 13, section 47 et 48, « 4 requirements of article 23
(2)GDPR » dans les lignes directrices 10/2020 sur les restrictions selon article 23 RGPD du Comité Européen de la Protection des Données (EDPB) CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union 17/20 limitation. La Commission nationale suggère donc aux auteurs des amendements d'inclure le droità l'information sur la limitation et ses motifs conformémentà l'article 23, paragraphe2,
  1. h)du RGPD dans le paragraphe concernant la limitation de droit à l'information prévu à l'article 13, paragraphe 1 du projet de loi. 85. Par ailleurs, l'exposé des motifs du projet de loi précise que «[l]e traitement de données concernant des tierces personnes, par exemple parce qu'elles présentent un lien avec une des personnes physiques ou morales à l'origine de la notification, n'a généralement pas de conséquences juridiques directes sur ces personnes. ». Cependant il convient de relever que les exigences de l'article 23 visent à assurer un minimum d'information aux personnes concernées dont les droits font l'objet d'une limitation, afin d'atténuer l'ingérence dans leur droit à la protection des données à caractère personnel. Ainsi, l'absence de conséquences juridiques sur les personnes concernées ne permet pas en soi de déroger à l'obligation d'inclure les dispositions de l'article 23 paragraphe 2 du RGPD dans la mesure législative. 86. Dans la mesure où il s'agit d'une limitation au droit à l'information d'une personne tierce dont les données sont traitées et qui n'ont pas étécollectées auprèsd'elle, l'information est d'autant plus importante que la personne tierce n'a aucune possibilité de savoir que ses données sont traitées sans l'information prévue à l'article 14 du RGPD. Ainsi, l'information de la personne tierce est importante pour l'exercice de tous les droits de la personne concernée. 87. En outre, il convientde regretter l'absenced'obligationde consignerles motifs d'une limitation en cas de limitation au droit à l'information, alors que cette possibilité peut présenter une mesure pour prévenir les abus ou l'accès ou le transfert illicites en sens de l'article 23, paragraphe 2,
  2. d)du RGPD. 88. La Commission nationale suggère aux auteurs des amendements de modifier l'article 13 du projet de loi en prenant en considération les commentaires dans la section II du présent avis pour le droit d'accès (à l'exception des commentaires sous le point 3 b. et e. ) et de compléter le projet de loi avec des dispositions concernant l'obligation d'informer la personne concernée sur la limitation du droit à l'information et sur les motifs de cette limitation. Finalement, la Commission nationale recommande d'introduire l'obligation pour le responsable de traitement de consigner les motifs d'une limitation en cas de limitation au droit à l'information. IV. Ad amendement 45 concernant le nouvel article 14 89. L'article 14 du projet de loi prévoit la possibilité pour ta personne concernée d'exercer son droit d'accèset son droit à l'information par l'intermédiairede la Commission nationale en cas de limitation effectuée par le responsable de traitement. D'après les commentaires des amendements, cette dispositionconstitue une mesure pourgarantirla préventiondesabusou l'accèsou le transfert illicites au sens de l'article 23, paragraphe2,
  3. d)du RGPD. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage nationaldes investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre public auxfins de la mise en ouvre du règlement (UE) 2019/452 du Parlement européenet du Conseil du 19 mars 2019établissantun cadre pour le filtrage des investissements directs étrangersdans l'Union 18/20 90. La Commission nationale salue l'introduction de cette disposition, qui d'après l'exposé des motifs du projet de loi vise à atténuer les risques pour les droits des personnes concernées dans le cas d'une limitation. Aux yeux de la CNPD, ce mécanisme constitue une garantie appropriée afin de compenser l'absence ou la limitation des droits « directs » des citoyens envers le responsable de traitement. La Commission nationale comprend que ce mécanisme de « droit d'accès indirect » s'inspire de l'article 16 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. 91. Encequi concerne l'obligation du responsable du traitement d'informer la personne concernée de l'existence d'un tel droit d'accès indirect dans le cas de limitation du droit à l'information prévu à l'article 13 du projet de loi, la Commission nationale se demande comment cette information pourra être mise à disposition de la personne concernée en pratique, dans le cas où les informations sur la limitation du droit à l'information ne peuvent pas être fournies à cause du risque de compromettre les objectifs pour lesquels cette limitation a lieu. Est-ce que les auteurs d'amendement prévoient dans ce cas une information générale sur le droit d'accès indirect, par exemple sur le site Internet du Ministèrede l'Economie? 92. Finalement, la Commission nationale rejoint l'avis complémentaire du Conseil d'Etat du 14 mars 2023 en ce qui concerne le remplacement de « l'autorité de contrôle compétente » par « la Commission nationale pour la protection des données » aux fins de clarification. V. Ad amendement 46 concernant le nouvel article 15 93. L'article 15 du projet de loi contient une limitation quant à l'obligation de communiquer à la personne concernée une violation de données à caractère personnel selon l'article 34, paragraphe 1 du RGPD. L'article fait référence aux objectifs énumérés dans l'article 12, paragraphe 1 du RGPD. 94. Sur la conformité de cette limitation avec l'article 23, paragraphe 1 et paragraphe 2 du RGPD, il est renvoyé aux observations relatives à la limitation du droit d'accès conformément à l'article 12 du projet de loi formulées dans la section II du présent avis (à l'exception des points 3 b. et e. ). 95. En particulier, il est précisé dans les commentaires des amendements que « [c]et article couvre les cas où les informations à caractère personnel concernées par une violation de données n'ont pas étécollectées auprès de l'investisseur étrangerou de toute autre personne physique concernée, avec pourobjectifd'éviterque la notification d'une violation de données à caractère personnel à une personne concernée ne révèle à cette dernière que des données dont elle n'a pas connaissance sont traitées, risquant ainsi de compromettre un ou plusieurs des objectifs importants d'intérêt public à protéger qui ont Justifié la limitation du droit à CNPD Avis complémentairede la Commission nationale pour la protection des données relatif au projet de loi n°7885 portant mise en place d'un mécanisme de filtrage national des investissements directs étrangerssusceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la miseen ouvre du règlement(UE)2019/452du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union 19/20 l'information. » Dès lors, il est important que cette restriction de retendue de la limitation soit précisée dans la mesure législative conformément à l'article 23, paragraphe 2,
  4. e)du RGPD. 96. De plus, il y a lieu de constater que l'article 15 ne se réfère pas aux paragraphes 1 et 2 de l'article 12 du projet de loi concernant l'obligation d'informer la personne concernée sur la limitation et sur les motifs de cette limitation. 97. D'après les commentaires des amendements, l'absence d'obligation de consigner les motifs de la limitation est justifiée par l'obligation de documentation dans le cas de violation de données à caractère personnel selon l'article 33, paragraphe 5 du RGPD. Cependant, cette obligation de documentation ne porte pas sur la limitation et les motifs de la limitation mais sur les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. Ainsi, cette documentation ne permet pas de vérifier si la limitation étaitjustifiée et ne pourra donc pas s'y substituer. 98. En ce qui concerne l'absence d'une disposition sur le droit à l'information conformément à l'article 23, paragraphe 2,
  5. h)du RGPD, il est renvoyé aux observations formulées dans la section III du présent avis. 99. La Commission nationale suggère aux auteurs des amendements de modifier l'article 15 du projet de loi en prenant en considération les commentaires dans la section II point 1 et 2 du présent avis pour le droit d'accès et de compléter le projet de loi, afin qu'il soit conforme avec les exigences de l'article 23, paragraphe 2 du RGPD. En particulier, le projet de loi devrait comprendre des dispositions concernant l'obligation d'informer la personne concernée sur la limitation du droit à l'information et sur les motifs de otte limitation. Finalement, la Commission nationale recommande d'introduire l'obligation pour le responsable du traitement de consigner les motifs d'une limitation au droit à l'information. Ainsi adoptéà Belvauxen date du 28 avril 2023. La Commission nationale pour la protection des données 6//^ ^'' /{6</.i^-/'- ^^ / Tine A. Larsen Thierry Lallemang Présidente Commissaire CNPD Lemmer Commissaire Alain Herrmann Commissaire Avis complémentaire de la Commission nationale pour la protection des données relatifau projetde loi n°7885portantmiseen placed'unmécanismedefiltrage national des investissements directs étrangers susceptibles de porter atteinte à la sécurité ou à l'ordre publicauxfinsde la mise en ouvre du règlement(DE)2019/452du Parlement européenet du Conseildu 19mars 2019établissantun cadrepour lefiltragedes investissements directs étrangers dans l'Union 20/20

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.