Avis complémentaire de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux au projet de loi n° 7787 relatif à la mise en ouvre du règlement (UE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque Délibérationn°44/AV22/2022 du 7 octobre
- Conformément à l'article
- 1.e) du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement généralsur la protection des données) (ci-après le « RGPD »), auquel se réfèrel'article 7 de la loi du 1eraoût 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismesau sujet desmesures législativesetadministrativesrelativesà la protection desdroits et libertésdes personnes physiques à l'égarddu traitement ». Le 14 mai 2021, la CNPD a aviséle projet de loi n°7787 relatif à la mise en ouvre du règlement (UE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque (ci-aprèsle « projet de loi »)
- Par courrier reçu en date du 18 juillet 2022, Monsieur le Ministre des Affaires étrangères et européennes a invité la Commission nationale à se prononcer sur les amendements gouvernementaux au projet de loi, déposés en date du 15 juillet
- Il ressort du commentaire des articles que les amendements nos2, 3, 4, 5, 7 et 8 concernant les articles 2, 3 et 4 du projet de loi visent à clarifier tes rôles respectifs du Ministère des Affaires étrangères et européennes, désignécomme « autorité compétente » dans le texte du projet de loi, d'une part, et de l'Administration des douanes et accises, d'autre part. Les amendements nos 12 et 13 concernant l'article 8 du projet de loi, visent quant à eux à préciser les catégories de 1 Délibérationn°19/AV15/2021du 14 mai2021,documentparlementaire7787/
- CNPD Avis complémentairede la Commission nationale pour la protection des données relatif aux amendements gouvernementaux au projet de loi n° 7787 relatif à la mise en ouvre du règlement(UE) 2017/821 du Parlement européenet du Conseil du 17 mai 2017 fixantdes obligationsliéesau devoirdediligenceà l'égardde la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de onflit ou à haut risque 1/3 données qui seraient traitées par ces autorités dans le cadre des contrôles a posteriori des chaînes d'approvisionnement, et les finalités pour lesquelles elles seraient traitées. La CNPD tient à saluer le dépôt de tels amendements, qui permettent de répondre à un certain nombre d'observations qu'elle avait formulées dans son avis initial. En particulier, l'article 8 du projet de loi, relatif au traitement des données à caractère personnel, apparaît plus complet et conforme à l'article
- 3 du RGPD suite aux amendements déposés par le gouvernement. La Commission nationale relève à toutes fins utiles qu'il n'est pas nécessaire de préciser chacune des données, mais que les catégories de données (par exemple : les données d'identification, les coordonnées de contact) sont suffisantes, quitte à ce que des données plus précises soient prévues par règlementgrand-ducal,qui pourra le cas échéantêtre modifiéplus aisémentqu'une loi. En ce qui concerne l'amendement n° 9, relatifà l'article4.5 du projet de loi, elle relève néanmoins une différence de formulation avec l'article
- 2 du projet de loi. En effet, alors que ce dernier prévoit l'archivage des documents liés aux mesures correctrices pendant cinq ans, le nouvel article
- 5 prévoit la conservation (et non l'archivage) des documents nécessaires aux inspections sur place pendantcinq ans. Elle se demandesi une telle distinction est souhaitéepar les auteurs du projet de loi. En ce qui concerne le statut de responsables conjoints du traitement de l'autorité compétente et de l'Administration des douanes et accises, défini dans le premier paragraphe de l'article 8 du projet de loi, la Commission nationale se permet de renvoyer à ce sujet les auteurs du projet de loi vers les lignesdirectrices7/2020du Comitéeuropéende la protection desdonnéesconcernant les notions de responsable du traitement et de sous-traitant dans le RGPD
- Celles-ci précisent notamment que «[...] les notions de responsable du traitement et de sous-traitant sont des concepts fonctionnels: ils visent à répartir les responsabilités en fonction des rôles réels des parties »
- Il impartie donc que la définition de ces acteurs comme responsables conjoints du traitement reflète bien la réalité du terrain. La Commission nationale rappelle également qu'en conséquence, tant l'autorité compétente que l'Administration des douanes et accises resteront pleinementsoumises auxobligationsapplicablesaux responsablesdetraitement dans le RGPD. 2 Comitéeuropéende la protection des données, lignes directrices 7/2020oncernant les notions de responsabledu traitement et de sous-traitant dans le RGPD, version
- 0, adoptées le 7 juillet 2021, disponibles à l'adresse https://edDb. europa. eu/system/files/2022-02/eDDb auidelines 202007 ontrollerprocessor final fr. pdf, en particulier pp. 21-
- 3 Idem,p.
- CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux au projet de loi n° 7787 relatif à la mise en ouvre du règlement (UE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque 2/3 Ainsi décidéà Belvaux en date du 7 octobre
- La Commission nationale pour la protection des données Tine A. Larsen Présidente CNPD Thierry Lallemang fic~Lemmer Alain Herrmann Commissaire Commissaire Commissaire Avis complémentaire de la Commission nationale pour la protection des données relatif auxamendements gouvernementauxau projet de loi n° 7787 relatifà la mise en ouvre du règlement(UE) 2017/821 du Parlement européenet du Conseil du 17 mai2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Unionqui importentde l'étain,dutantaleet dutungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque 3/3