Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7787 relatif à la mise en œuvr

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7787 relatif à la mise en œuvre du règlement (UE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque. Délibération n°19/AV15/2021 du 14 mai 2021 Conformément à l'article 57, paragraphe ler, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du le août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». En date du 18 mars 2021, Monsieur le Ministre des Affaires étrangères et européennes a saisi la Commission nationale d'une demande d'avis sur le projet de loi n°7787 relatif à la mise en œuvre du règlement (UE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque (ci-après le « projet de loi »). Ilressort de l'exposé des motifs que l'objectif du projet de loi est de prendre au niveau national les mesures nécessaires pour la mise en oeuvre du règlement (UE) 2017/821 précité, lequel vise à endiguer le commerce de l'étain, du tantale et du tungstène, leurs minerais et de l'or (ciaprès les « 3TG ») provenant de zones de conflit ou à haut risque en imposant aux importateurs de l'Union européenne un certain nombre d'obligations. Plus concrètement, les entreprises tombant sous le champ d'application du règlement (UE) 2017/821 sont donc incitées à faire le nécessaire pour que les 3TG importés au Luxembourg ne proviennent pas de zones de conflit. Le présent avis se limitera aux questions relatives aux aspects de la protection des données à caractère personnel soulevées par les articles 5 à 8 du projet de loi. Or, il ne ressort pas clairement de ces articles quels traitements de données seraient mis en oeuvre par le ministre ayant les Affaires étrangères dans ses attributions (ci-après « l'autorité compétente ») et par l'Administration des douanes et accises, ou quelles seraient les catégories de données à caractère personnel qui seraient, le cas échéant, collectées par l'autorité compétente et par l'Administration des douanes et accises. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi projet de loi n°7787 relatif à la mise en œuvre du règlement (UE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque. 1/2 Ainsi, l'article 5 du projet de loi liste les « renseignements » qui pourraient être fournis à l'autorité compétente et à l'Administration des douanes et accises. Cependant, il est difficile pour la Commission nationale de savoir si des données à caractère personnel seraient effectivement contenues dans ces renseignements. Rappelons que l'article 4 numéro