Avis complémentaire Avis complémentaire de dela laCommission Commission nationale nationalepour pourla laprotection prot

Avis complémentaire Avis complémentaire de dela laCommission Commission nationale nationalepour pourla laprotection protection des des données données relatif relatif au au projet de de loi loi n° n° 7961 modifiant modifiant :: 1° u 19 1° la la loi loi modifiée modifiée ddu 19 décembre décembre 2002 2002 concernant concernant le le registre registre de de commerce et des sociétés ainsi que la comptabilité et les comptes commerce et des sociétés ainsi que la comptabilité et les comptes annuels des des entreprises entreprises ;; 2° janvier 2019 2° la la loi loi modifiée modifiée du du 13 13 janvier 2019 instituant instituant un un Registre Registre des des bénéficiaires effectifs bénéficiaires effectifs Délibération Délibérationnn°° 104/AV44/2023 104/AV44/2023du du 15 15 décembre décembre2023 Conformément u règlement Conformément àà l’article l'article 57.1.

1. c)57. 1.
2. e)ddu règlement (UE) (UE) 2016/679 2016/679 du du 27 27 avril avril 2016 2016 relatif relatif àà la la protection des personnes physiques à l'égard d u traitement des données à caractère personnel protection des personnes physiques à l'égarddutraitement desdonnéesà caractèrepersonnel et e ces sur etàà la lalibre librecirculation circulation dde cesdonnées, données, et etabrogeant abrogeant la ladirective directive 95/46/CE 95/46/CE (règlement (règlement général général sur er la de la d u 11eraoût laprotection protection des desdonnées) données) (ci-après (ci-après le le «« RGPD RGPD »), »), auquel auquel se seréfère réfèrel’article l'article 77~de laloi loi'du août 2018 e la 2018 portant portant organisation organisation dde la Commission Commission nationale nationale pour pour la la protection protection des des données données et et dduu régime général sur la protection des données, la Commission nationale pour la protection régime général sur la protection des données, la Commission nationale pour la protection des des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément données (ci-après la « Commission nationale » ou la « CNPD») « conseille, conformément au au droit droit de de l'État l'État membre, membre, le le parlement parlement national, national, le le gouvernement gouvernement et et d’autres d'autres institutions institutions et et organismes au sujet des mesures législatives et administratives relatives à la protection des droits organismes ausujet des mesures législatives et administratives relatives à la protection des droits et et libertés libertés des des personnes personnes physiques physiques àà l’égard l'égard du du traitement traitement ». ». L’article L'article 36.4 36. 4 du duRGPD RGPDdispose dispose que que «« les tesÉtats Étatsmembres membres consultent consultent l’autorité l'autorité de decontrôle contrôle dans dansle le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par'un parlement u d'une parlement national, national oou d'une mesure mesure réglementaire réglementaire fondée fondéesur sur une unetelle telle mesure mesure législative, législative, qui qui se se rapporte rapporte au au traitement. ». Le LeComité Comitéeuropéen européen de delalaprotection protection des desdonnées données(ci-après (ci-aprèsle le«« CEPD CEPD»» ou ouI’l' «« EDPB EDPB») »)précise précise par ailleurs que pour toute limitation aux droits des personnes concernées adoptée au niveau parailleurs que pourtoute limitation auxdroits des personnes concernées adoptée au niveau des des Etats Membres, l’autorité d e contrôle en matière de protection des données doit être consultée Etats Membres, l'autorité de contrôle en matière de protection des données doit être consultée 1 avant avant l’adoption l'adoption d’une d'une telle telle mesure mesure par par le le parlement parlement national national1. . 2. Par 0 janvier janvier 2022, Parcourrier courrieren endate datedu du220 2022, Madame Madamela la Ministre Ministrede dela laJustice Justiceaa invité invitéla laCommission Commission nationale à se prononcer sur le projet de loi modifiant 1° la loi modifiée d u 1 9 décembre nationale à se prononcer sur le projet de loi modifiant 1° la loi modifiée du 19 décembre 2002 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels u 113 3 janvier janvier 2019 annuels des des entreprises entreprises ,; 22° lala loi loi modifiée modifiée ddu 2019 instituant instituant un un Registre Registre des des bénéficiaires effectifs (ci-après le « projet de loi »). bénéficiaires effectifs (ci-après le « projet de loi »). de la protection !, Comité comlté, européen europeendeLa Protectiondes desdonnées données(EDPB), (EDPB),Lignes Lignesdirectrices directrices10/2020 10/2020concernant concernantles leslimitations limitationsau autitre titre de article 23 du (https://edpb.europa.eu/our-workderartide23 du RGPD, RGPD, Version Version 2.1, 2. 1, adoptées adoptées le le 13 13octobre octobre 2021, 2021, paragraphe paragraphe 68 68'(htt"s://ed"b. euro"a"eu/our"wor'k° tools/our-documents/ uidelines/ uidelines-102020-restrictions-under-articîe-23 d r'
3. fr)Î. ÇNPD ÙÇNPD ?w "^ Avis complémentaire de la Commission nationale pour la protection des COMWiS’OH NATlONAiE ^^ DES 3Q*KîE5 données données relatif relatif au au projet de de loi n° n" 7961 7961 1/24 1/24 3. 3. 22 novembre 2022, 2022, la laCour Courdde de l'Unioneuropéenne européenneaa rendu rendudans dansles lesaffaires affairesjointes LLe e2 2 novembre e justice justice d e l’Union jointes C-37/20(Luxembourg (Luxembourg Business Business Registers) Registers) et etC-601/20 C-601/20 (Sovim) (Sovim) uun arrêtinvalidant invalidant la ladisposition disposition C-37/20 n arrêt dela ladirective directive (UE) (UE) 2018/843 2018/843 ddu Parlement européen européen et etddu Conseil ddu 30mai mai2018 2018modifiant modifiant la la de u Parlement u Conseil u 30 directive (UE) (UE) 2015/849 2015/849 relative relative àà la la prévention prévention de de l’utilisation l'utilisation du du système systèmefinancier auxfinsdu directive financier aux fins d u blanchiment de de capitaux capitaux oou du financement financement ddu terrorisme (ci-après (ci-aprèsla la «« directive directive 2018/843 2018/843 ») ») blanchiment u du u terrorisme prévoyantque queles lesÉtats Etatsmembres membresdoivent doiventveiller veilleràà cce queles lesinformations informationssur surles lesbénéficiaires bénéficiaires prévoyant e que effectifs des dessociétés sociétéset etautres autres entités entitésjuridiques constituéessur surleur leurterritoire territoire soient soientaccessibles accessibles effectifs juridiques constituées dans tous les cas à tout membre du grand public. La Cour a constaté que l'accès du grand public dans tous les cas à tout membre d u grand public. La Cour a constaté que l’accès d u grand public aux informations sur les bénéficiaires effectifs constituait une ingérence grave dans les droits aux informations sur les bénéficiaires effectifs constituait une ingérence grave dans les droits fondamentaux consacrés consacrés aux aux articles articles 77 et et 88 de de la la Charte Charte des des droits droits fondamentaux fondamentaux de de Il'Union fondamentaux Union européenne. Après Après avoir avoir établi établi que que l’ingérence l'ingérence dans dans ces ces droits droits résultant résultant dde l'acces du du grand grand européenne. e l’accès publicaux auxinformations informations sur surles les bénéficiaires bénéficiaireseffectifs effectifsn’était n'étaitpas paslimitée limitéeau austrict strictnécessaire, nécessaire lala public Couraa indiqué indiquéconcernant concernant la laproportionnalité proportionnalité de dela lamesure mesurepar parrapport rapportàà l’objectif l'objectifdd'intérêt général Cour intérêt général poursuivi : 85.D’autre D'autrepart, part,een comparaisonavec avecun unrégime régimetel telque quecelui celuide del’article l'article30, 30,paragraphe paragraphe «« 85. n comparaison 5, dde ladirective directive2015/849 2015/849dans danssa saversion versionantérieure antérieureàà l’entrée rentréeeen vigueurdde ladirective directive 5, e la n vigueur e la 2018/843, qui quiprévoyait, prévoyait, outre outrel’accès /'accèsdes desautorités autoritéscompétentes compétenteset etde decertaines certainesentités, entités, 2018/843, celui de toute personne ou organisation capable de démontrer un intérêt légitime, le celui de toute personne ou organisation capable de démontrer un intérêt légitime, le régime introduit introduit par par cette cette dernière dernière directive, directive, prévoyant prévoyant l’accès /'accès ddu public aux aux régime u grand grand public informationssur surles lesbénéficiaires bénéficiaireseffectifs, effectifs, représente représenteune uneatteinte atteinte considérablement considérablementplus plus informations grave aux auxdroits droits fondamentaux fondamentaux garantis garantis aux auxarticles articles 77 et et88 dde laCharte, Charte, sans sans que que cette cette grave e la 'aggravation soitcompensée compensée par par les les bénéfices bénéficeséventuels éventuels qui quipourraient pourraient résulter résulterde de ce ce aggravation soit dernier régime par rapport au premier, en ce qui concerne la lutte contre le blanchiment dernier régime par rapport a u premier, en ce qui concerne la lutte contre le blanchiment de capitaux capitaux et et le le financement financement du du terrorisme terrorisme (voir, (voir, par par analogie, analogie, arrêt arrêtdu du 1er 1eraoût août2022, 2022, de Vyriausiojitarnybinés tamybinésetikos etikoskomisija, komisija, C-184/20, C-184/20,EU:C:2022:601, EU:C:2022:601,point point112). 112). Vyriausioji 86. Dans Dans ces ces conditions, conditions, les les dispositions dispositions facultatives facultatives de de l’article l'article 30, 30, paragraphes paragraphes 55 bis bis et et 86. 9. de dela la directive directive 2015/849 2015/849 modifiée, modifiée, qui qui permettent permettent aux auxÉtats Étatsmembres, membres, respectivement, respectivement, 9, deconditionner conditionnerla lamise miseàà disposition dispositiondes desinformations informations sur surles lesbénéficiaires bénéficiaireseffectifs effectifsàà une une de inscriptionen enligne ligneet etde deprévoir, prévoir,dans dansdes descirconstances circonstancesexceptionnelles, exceptionnelles, des desdérogations dérogations inscription àà l’accès /'accèsdu du grand public à ces informations, ne sont, par elles-mêmes, de nature àà grand public à ces informations, ne sont, par elles-mêmes, de nature démontrerniniune unepondération pondérationéquilibrée équilibréeentre entre l’objectif l'objectifd’intérêt d'intérêtgénéral généralpoursuivi poursuivi et etles les démontrer droits fondamentaux fondamentaux consacrés consacrés aux auxarticles articles 77 et et88 de dela laCharte, Charte, ni nil’existence l'existence dde garanties droits e garanties suffisantes permettant permettant aux aux personnes personnes concernées concernées de de protéger protéger efficacement efficacement leurs leurs suffisantes donnéesàà caractère caractère personnel personnel contre contre les les risques risques d’abus. d'abus. »» données 4. 4. Suiteàà la lapublication pubiication de decet cetarrêt arrêtde de la laCour Courde dejustice del’Union l'Union européenne, européenne, l'accès l'accèsdu dupublic publie Suite justice de auRegistre Registredes desbénéficiaires bénéficiaireseffectifs effectifsaa été étésuspendu suspendu au auLuxembourg. Luxembourg.Le Le116 décembre2022, 2022 au 6 décembre l'accèsau RBE a été rétabli pour les professionnels visés à l'article 2 de la loi modifiée du 12 l’accès au RBE a été rétabli pour les professionnels visés à l'article 2 de la loi modifiée du 12 novembre 2004 2004relative relative àà la la lutte lutte contre contre le leblanchiment blanchiment et etcontre contre le lefinancement financement du du terrorisme terrorisme qui qui novembre en faisaient la demande auprès du groupement d'intérêt économique Luxembourg Business en faisaient la demande auprès d u groupement d’intérêt économique Luxembourg Business Registers(ci-après (ci-après«« LBR LBR»). »). L'accès L'accèsaa également égalementété étérétabli rétablipour pourles lesreprésentants représentants de dela lapresse, presse, Registers NPD AviscomplémentairedelaCommissionnationalepourlaprotectiondes données relatif au au projet de de loi loi n° n° 7961 7961 relatif 2/24 cet e presse cet accès accès étant étant géré géré par par le le Conseil Conseil dde presse luxembourgeois luxembourgeois dans dans le le cadre cadre d'une d'une convention convention avec n date 0 décembre 2022. avec LBR LBR qui qui a été étéconclue een date du du 220 2022. 5. Dans u 21 e la Dansun uncommuniqué communiquéddu 21 décembre décembre2022, 2022,le leMinistère Ministèredde laJustice Justiceaa annoncé annoncépréparer préparerdes des amendements à la loi modifiée d u 1 3 janvier 2019 instituant u n Registre des bénéficiaires effectifs amendements à la loi modifiée du 13janvier 2019 instituant un Registre des bénéficiaires effectifs afin n ligne 2015/849 u 20 afin que que le le texte texte soit soit pleinement pleinement een ligne avec avec le le texte texte de de la la directive directive (UE) (UE) 2015/849 ddu 20 mai mai 2 2015 e la 2015 telle telle que que modifiée modifiée suite suite àà la la directive directive 2018/843 2018/843 et et l'arrêt l'arrêt dde la CJUE CJUE2.. 6. Le Le31 31 mars mars2023, 2023 la laCNPD CNPDaa avisé aviséle leprojet projetde deloi loiinitial. initial.IlIlressortait ressortait de decet cetavis avisque que«« [l]a [l]aCNPD CNPD accueille favorablement le fait que des amendements soient actuellement en préparation accueille favorablement le fait que des amendements soient actuellement en préparation alors alors que Il'article article 12 e la e la que 12dde laloi loiRBE, RBE, suite suiteàà la ladéclaration déclarationd’invalidité d'invaliditédde laCJUE, CJUE, est estmanifestement manifestement non non conforme aux droits fondamentaux relatifs à la protection d e la vie privée. En attendant le dépôt conforme auxdroitsfondamentaux relatifs à la protection de lavieprivée. Enattendantle dépôt desdits e l’accès desdits amendements, amendements, elle elle réserve réserve la laquestion question dde /'accèsaux auxinformations informations figurant figurant au auRBE RBEet etnnee se des se prononce prononce pas pas sur surl’ensemble l'ensemble des dispositions dispositions yy relatives relatives telles telles qu’elles qu'elles figurent figurent actuellement actuellement 3 dans n projet.» . dansles lestextes texteseen projet. »3. 7. Le juin 2023, Le 21 21 juin 2023, la la Commission Commission de de la la Justice Justice de de la la Chambre Chambre des des Députés Députés aa adopté adopté une une série série d’amendements a u projet d e loi pour tenir compte d e l’arrêt précité et également concernant d'amendements au projet de loi pour tenir compte de l'arrêt précité et également concernant certaines certaines dispositions dispositions de de la la loi loi modifiée modifiée du du 19 19 décembre décembre 2002 2002 concernant concernant le le registre registre ddee commerce et des sociétés (ci-après les « amendements »). commerce et des sociétés (ci-après les « amendements »). La d e manière LaCNPD CNPDnote note avec avec satisfaction satisfaction qu’elle qu'elle aa été étéconsultée consultée de manière informelle informelle par parle leMinistère Ministère ddee 4 Justice et par la Justice la Commission de la Justice préalablement a u dépôt de ces amendements. la Justice4 préalablement au dépôt de ces amendements. par Néanmoins, il convient de noter que Néanmoins, il convient de noter que ces ces échanges échanges concernaient concernaient certains certains grands grands principes principes généraux d e la protection des données à caractère personnel, comme le droit généraux de la protection des données à caractère personnel, comme le droit d’accès d'accès des des personnes n aucun personnes concernées. concernées. Ces Ces échanges échanges ne ne dispensent dispensent een aucun cas cas de de la la prise prise en en compte compte par par la la Commission u présent n certain Commission de de la la Justice Justice ddu présent avis avis qui qui soulève soulève encore encore uun certain nombre nombre d’observations d'observations importantes e la importantes concernant concernant les les amendements. amendements. Eu Eu égard égard àà l’arrêt l'arrêt dde la CJUE CJUE du du 22 22 novembre novembre 2022, 2022. la e trouver la CNPD CNPD souligne souligne qu’il qu'il est est crucial crucial dde trouver un un équilibre équilibre entre entre la la protection protection des des données données àà caractère caractèrepersonnel, personnel, le le droit droit àà la la vie vie privée privéeet et l’accès l'accèsdes des différents différentsacteurs acteurs au au RBE RBEpour pourlutter lutter efficacement contre le blanchiment et contre le financement du terrorisme, en efficacement contre le blanchiment et contre le financement du terrorisme, en prévoyant prévoyant notamment notamment des desdispositions dispositions claires claires et et prévisibles prévisibles pour pourles les personnes personnes concernées concernées dans dansle le projet projet loi. de loi. Par juillet 2023, Parcourrier courrier du du 11 11 juillet 2023, le le Ministère Ministère de de la la Justice Justice aa invité invité la la Commission Commission nationale nationale àà se se prononcer prononcer sur sur les les amendements. 2 2 Communiqué du du Ministère Ministère de de la la Justice Justice du du 21 décembre déombre 2022 :: htt-.sv/m;-ouver.nement-lu/fl'/actualites- ouvernement%2Bfr%2Bactualites%2Btoutes actualites%2Bcommiininiips% actualites%2Bcommuni ues% https://mj.gouvernement.lu/fr/actualites.qouvernement%2Bfr%2Bactualites%2Btoutes 2B2022%2B12-decembre%2B21-acces-rbe.html 26/AV13/2023 du Avis de 3 Délibération Délibérationnn°26/AV13/2023 du31 31 mars mars2023, 2023,Avis dela laCommission Commission nationale nationalepour pourla laprotection protection des desdonnées données relatif au projet de loi n°7961 [...], §77 relatif au projet de loi [... ], 4 4 https://www.chd.lu/fr/node/1298 htt s://www. chd. lu/fr/node/1298 3 CNPD ÇCNPD î ? .*•* ‘"S:; ■ S SI ^» FRoiîcnw i DESOC ÉEJ I Avis Avis complémentaire de de la la Commission Commission nationale pour pour la la protection protection des des complémentaire nationale ■ r QonnéQS données relatif relatifau au projet projet de de loi loi n° n" 7961 7961 3/24 8. 8. CNPDnote note que que les les amendements amendements visent visent notamment notamment àà mettre mettre een conformité les les dispositions dispositions LLa a CNPD n conformité de la la loi loi modifiée modifiée du du 113 2019 instituant instituant uun Registre des des bénéficiaires bénéficiaires effectifs effectifs (ci-après (ci-après la la de 3 janvier janvier 2019 n Registre « loi loi RBE RBE ») ») avec avec l’arrêt l'arrêt précité précité de de la ta Cour Cour de de justice de de l’Union l'Union européenne et et les les dispositions dispositions du RGPD. RGPD. D’autres D'autres amendements amendements portant portant sur sur la ta loi loi modifiée modifiée du du 119 décembre 2002 2002 concernant concernant le le du 9 décembre registre de de commerce commerce et et des des sociétés sociétés(ci-après (ci-après la la «« loi loi RCS RCS») ») sont sont également également proposés proposés pour pour registre notamment tenir tenircompte comptedes desavis avisdu duConseil Conseil d’État d'Étatet etde dela laCNPD. CNPD. notamment I. LES AMENDEMENTS AMENDEMENTSA LA LOI LOI MODIFIEE MODIFIEEDU DU 13 13 JANVIER JANVIER2019 2019 INSTITUANT INSTITUANTU UN LES A LA N REGISTREDES DESBENEFICIAIRES BENEFICIAIRESEFFECTIFS EFFECTIFS REGISTRE 1. La La détermination déterminationd du responsable du du traitement 1. u responsable 9. 9. Commission nationale nationale constate constate avec avec satisfaction satisfaction que que les les amendements amendements introduits introduits dans dans le le LLa a Commission nouvel article article 55 de de la la loi loi RBE RBE répondent répondent àà ses ses observations observations formulées formulées dans dans le le cadre cadre de de son son avis avis nouvel 5 Le nouvel article 5. 2 dispose à présent : « Le gestionnaire a la qualité de du 331 mars 2023 20235. du 1 mars . L e nouvel article 5.2 dispose à présent : « Le gestionnaire a la qualité d e responsable du du traitement aau sens du du règlement (UE) (UE) 2016/679 du du Parlement européen et et du u sens Conse// du du 27 27 avril avril 2016 2016 relatif relatif àà la la protection protection des des personnes personnes physiques physiques àà l’égard l'égard du du traitement traitement Conseil des données données àà caractère caractère personnel personnel et et àà la la libre libre circulation circulation de de ces ces données, données, et et abrogeant abrogeant la la des général sur sur la la protection des des données).». données). )). directive 95/46/CE (règlement général 10. 10. La CNPD CNPD relève relève également également dans dans le le commentaire commentaire des des articles articles (sous (sous l’Amendement l'Amendement n°23) n°23) que que le le La règlement grand-ducal grand-ducat fixant fixant les les modalités modalités dde mise een ouvre concernant concernant l’octroi l'octroi des des accès accès et et règlement e mise n œuvre l'accès een consultation ddu RBE précisera précisera que que pour pour l'accès l'accès des des journalistes professionnels, le le l'accès n consultation u RBE journalistes professionnels, Conseil de presse recevra de LBR les habilitations informatiques nécessaires pour conférer Conseil de presse recevra de LBR les habilitations informatiques nécessaires pour conférer l'accès aux aux journalistes professionnels via via l'outil l'outil informatique informatique mis mis àà disposition disposition par par LBR LBR aauu l'accès journalistes professionnels Conseil de depresse presse àà cette cette fin. fin.IlIlconvient convient alors alors de dese seposer poser la laquestion question de dela laqualification qualification ddu Conseil Conseil u Conseil de Presse de sous-traitant, ce qui impliquerait le respect des conditions de l'article 28 du RGPD. de Presse d e sous-traitant, c e qui impliquerait le respect des conditions de l’article 28 du RGPD. 2. Les Lesfinalités finalitésde de traitement traitement des des données donnéespersonnelles personnelles contenues contenues dans dansle le RBE RBE 2. 11 11. L'article 2.3 2. 3 ddu projet de de loi loi prévoit prévoit que que les les données données sur sur les les bénéficiaires bénéficiaireseffectifs effectifs sont sont mises mises àà L’article u projet disposition pour pourles lesfinalités finalitéssuivantes suivantes ::
4. a)a)dans lecadre cadrede dela lalutte lutte contre contrele leblanchiment blanchiment et etcontre contre disposition dans le le financement financement ddu terrorisme ;;
5. b)
6. b)àà des des fins fins statistiques statistiques ;;
7. c)
8. e)àà des des fins fins scientifiques, scientifiques, et et
9. d)
10. d)àà toutes toutes le u terrorisme autres fins fins déterminées déterminéespar par la la loi. autres 5 Délibération Délibération n° n° 26/AV13/2023 26/AV13/2023 du du 31 31 mars mars 2023, 2023, Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatifau au projet projet de de loi loi n°7961 n°7961 [...],§§ [... ], §§8-9 relatif 5 CNPDl w"oL" Aviscomplémentaire complémentairede dela laCommission Commissionnationale nationalepour pourla laprotection protection des des Avis données ouaosMK | relatif relatif au projet de de loi loi n° n" 7961 7961 4/24 A. Le A. Le traitement traitement àà des des fins fins scientifiques scientifiques et et statistiques statistiques 12. 12. D’après ( 1er alinéa) D'aprèsle lenouvel nouvel article article19ter 19ter(1er alinéa)introduit introduitpar parles lesamendements, amendements, LBR LBRpeut peutautoriser autoriser«« la la délivrance à des tiers de données statistiques tirées du Registre des bénéficiaires délivrance à des tiers de données statistiques tirées du Registre des bénéficiaires effectifs effectifs àà condition condition que que celles-ci celles-ci ne ne permettent permettent pas pas l'identification l'identification des des personnes personnes inscrites inscrites sur sur le le registre registre des bénéficiaires effectifs et qu'elles soient destinées à des fins statistiques ou scientifiques. des bénéficiaires effectifs et qu'elles soient destinées à des fins statistiques ou scientifiques. »» ème Le e cette e gestionnaire Le 22èmealinéa alinéa dde cette disposition disposition indique indique :: «« LLe gestionnaire demande demande au au tiers tiers de de garantir garantir la la non-divulgation d e données à caractère confidentiel lors d e la délivrance de ces données. non-divulgation de données à caractère confidentiel lors de la délivrance de ces données. Les Les données données utilisées utilisées pour pour la la production production de de statistiques statistiques sont sont considérées considérées comme comme confidentielles confidentielles lorsqu elles permettent l'identification, directe o u indirecte, d'une personne lorsqu'elles permettent l'identification, directe ou indirecte, d'une personne physique physique oouu comportent un risque d e divulgation d'informations individuelles. Pour déterminer si une comportent un risque de divulgation d'informations individuelles. Pour déterminer si unepersonne personne physique e tous physique est est identifiable, identifiable, ilil est est tenu tenu compte compte dde tous les lesmoyens moyens dont donton on pourrait pourrait raisonnablement raisonnablement admettre n tiers admettre qu'ils qu'ils puissent puissent être êtreutilisés utilisés par par uun tiers pour pour identifier identifier ladite ladite personne. personne. »» 13. 13. La LaCNPD CNPDestime estimeque quela laformulation formulation retenue retenuepar parces cesamendements amendements apparaît apparaît équivoque équivoqueet etdevrait devrait être précisée afin d e distinguer pseudonymisation o u anonymisation et indiquer clairement êtreprécisée afindedistinguer pseudonymisation ou anonymisation et indiquer clairement àà quel quel stade u après n place e type stade (avant (avant oou aprèsla ladélivrance délivrance de dedonnées données aux auxtiers) tiers) doivent doivent être êtremises mises een place cce type ddee mesures, e réelle juridique. En mesures, sans sans quoi quoi la la disposition disposition n’apporte n'apporte pas pas dde réelle plus-value plus-value juridique. En effet, effet, l’article l'article 5.1.
11. b)d u RGPD prévoit déjà que les traitements à des fins scientifiques o u statistiques 5. 1.
12. b)du RGPD prévoit déjà que les traitements à des fins scientifiques ou statistiques sont sont considérés considéréspar parle le RGPD RGPDcomme comme n’étant n'étantpas pasincompatibles incompatibles avec avecles les finalités finalitésinitiales initiales(et (et comme comme le justement le e l’article 0d u projet le souligne souligne justement le commentaire commentaire dde l'article 330 du projet de de loi). loi). er L article 65 u 11er août e la L'artide 65 de de la la loi loi ddu août 2018 2018 portant portant organisation organisation dde la Commission Commission nationale nationale pour pour la la protection des données et d u régime général sur la protection des données prévoit une liste d protection des données et du régime général sur la protection des données prévoit une liste dee mesures mesures appropriées appropriées àà mettre mettre en en place place par par le le responsable responsable d’un d'un traitement traitement lorsqu’il lorsqu'il traite traite des des données donnéespersonnelles personnelles àà des des fins fins de de recherche recherche scientifique scientifique ou ou àà des des fins fins statistiques. statistiques. Parmi Parmi les les mesures listées par cette disposition, o n peut notamment retenir l’anonymisation o u mesures listées par cette disposition, on peut notamment retenir l'anonymisation ou la la pseudonymisation pseudonymisation (3°) (3°) ou ou le le recours recours àà un un tiers tiers de de confiance confiance fonctionnellement fonctionnellement indépendant indépendant dduu responsable responsable du dutraitement traitement pour pourl’anonymisation l'anonymisation ou ou la la pseudonymisation pseudonymisation des desdonnées données(4°). (4°). 14. 14. La n charge u d La CNPD CNPD se se pose pose la la question question de de savoir savoir qui qui sera sera een charge de de la la pseudonymisation pseudonymisation oou dee Il'anonymisation anonymisation des données délivrées à des tiers. L a CNPD recommande à ce titre que les des données délivrées à des tiers. La CNPD recommande à ce titre que les données données soient soient préalablement préalablement pseudonymisées, pseudonymisées, voire voire anonymisées anonymisées avant avant tout tout transfert transfert àà des des tiers. La pseudonymisation ou l’anonymisation des données devrait donc incomber à LBR ou tiers. La pseudonymisation ou l'anonymisation des données devrait donc incomber à LBR ou uunn de confiance tiers non aux tiers de aux tiers destinataires des confiance6,6, et non des données, cette garantie sans quoi données, sans saurait ne saurait quoi cette garantie ne être considérée considéréecomme comme efficace. être 15. 15. L’article 9d u RGPD L'article 889 du RGPD relatif relatif aux aux garanties garanties et et dérogations dérogations applicables applicables au au traitement traitement àà des des fins fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins archivistiques dansl'intérêtpublic, à desfinsde recherche scientifique ou historique ouà desfins statistiques statistiques prévoit prévoitquant quantàà lui lui que que«« [c]haque [c]haquefois foisque queces cesfinalités finalitéspeuvent peuvent être êtreatteintes atteintes par parun un 6 Concernant Concernantle lerecours recoursàà des destiers tiersde deconfiance confiancepour pourdes desservices servicesde depseudonymisation pseudonymisation ou oud'anonymisation, d'anonymisation,la laCNPD CNPD renvoit renvoit àa ses ses développements développements dans dans son son Avis Avis du du 22 décembre décembre 2016 2016 relatif relatif au au projet projet de de loi loi n° n° 7061 7061 modifiant'certaines modifiant'certaines dispositions dispositions du du Code Code de dela lasécurité sécuritésociale sociale (Document (Document parlementaire parlementaire 7061/03, 7061/03, p. p. 4). 4). K -ÇNPD ÇNPDl t^ "Z^l IL \ ^^ I ?K01SCI:UN Av is complémentaire Avis complémentairede dela la Commission Commissionnationale nationalepour pourla la protection protectiondes données données relatif relatifau au projet projet de de loi loi n° n" 7961 7961 5/24 5/24 traitement ultérieur ultérieur ne ne permettant permettant pas pas oou plus l’identification l'identification des des personnes personnes concernées, concernées, ilil traitement u plus convient de de procéder procéder de de cette cette manière. manière. ». ». L'anonymisation L'anonymisation des des données données devrait devrait donc donc être être convient privilégiée à leur pseudonymisation lorsque cela est possible. privilégiéeà leur lorsque cela est possible. La Commission Commission nationale nationale estime estime nécessaire nécessaire dde rappeler que que le le processus processus d'anonymisation d'anonymisation La e rappeler permet de de rendre rendre impossible impossible toute toute (ré)identification (ré)identification d'une d'une personne. personne. IlIl s'agit s'agit donc donc dd'un processus permet u n processus irréversible. Au contraire, la la pseudonymisation pseudonymisation rend rend possible possible la la ré-identification ré-identification d'une d'une personne personne irréversible. Au contraire, déterminée, par par le le recours recours àà des des informations informations supplémentaires. supplémentaires. Cette Cette distinction distinction est est importante importante :: déterminée, alors que quele leRGPD RGPDs’applique s'applique aux auxdonnées donnéespseudonymisées, pseudonymisées, les lesdonnées donnéesanonymisées anonymiséesquant quant àà alors elles ne ne rentrent rentrent pas pas dans dans le le champ champ d'application d'application ddu règlement. Le Le considérant considérant 26 26 ddu RGPD elles u règlement. u RGPD énonce à cet égard qu'il n'y a « pas lieu d'appliquer les principes relatifs à la protection des énonce à cet égard qu'il n'y a « pas lieu d’appliquer les principes relatifs à la protection des données aux aux informations informations anonymes, anonymes, àà savoir savoir les les informations informations ne ne concernant concernant pas pas une une personne personne données physique identifiée identifiée ou ou identifiable, identifiable, ni niaux auxdonnées données àà caractère caractère personnel personnel rendues rendues anonymes anonymes ddee physique telle manière manière que que la la personne personne concernée concernée ne ne soit soit pas pas ou ou plus plus identifiable. identifiable. Le Le présent présent règlement règlement telle nes'applique, s'applique, par parconséquent, conséquent, pas pasau au traitement traitement de de telles telles informations informations anonymes, anonymes, yy compris compris àà ne des fins fins statistiques ou ou de de recherche. recherche. »» des 16. 16. convient également également dde prendre acte actedde lajurisprudence relative àà l’interprétation l'interprétation de deces cesnotions. notions. IlIlconvient e prendre e la jurisprudence relative Un récent arrêt du 26 avril 2023 du Tribunal de l'Union européenne (affaire T-557/20) apporte unn Un récent arrêt du 26 avril 2023 du Tribunal d e l’Union européenne (affaire T-557/20) apporte u éclairagesur surla la distinction distinction entre entre donnée donnéepseudonymisée pseudonymisée et etdonnée donnéeanonyme. anonyme. IlIl ressort ressort dde cette éclairage e cette décision que que la la caractère caractère anonyme anonyme d’une d'une donnée donnée doit doit s’analyser s'analyser (
13. i)(
14. i)ddu point dde vue ddu seul décision u point e vue u seul destinataire des données (la possibilité pour un tiers d'identifier la personne ne devrait donc pas destinataire des données (la possibilité pour u n tiers d’identifier la personne ne devrait donc pas entrer een ligne dde compte) et et (
15. ii)(
16. ii)de de moyens moyens légaux légaux et et réalisables réalisables en en pratique pratique dont dont le le destinataire destinataire entrer n ligne e compte) 7 concernées7. les personnes identifier les personnes concernées dispose pour identifier . 17 17. La CNPD CNPD estime estime donc donc qu’il qu'il nne devrait pas pas revenir revenir aux aux tiers tiers (par (par exemple exemple un un institut institut de de statistiques statistiques La e devrait ou un centre de recherches) de procéder à la pseudonymisation ou à l'anonymisation des ou u n centre de recherches) de procéder à la pseudonymisation ou à l’anonymisation des donnéesàà caractère caractèrepersonnel personnel obtenues obtenues ddu gestionnaire, tout touteen privilégiantune uneanonymisation, anonymisation, données u gestionnaire, n privilégiant ce qui qui éviterait éviterait ainsi ainsi toute toute application du du RGPD RGPD àà ces ces « tiers tiers ». ». ce B. LLe traitement à à toutes toutes autres autres fins fins déterminées déterminées par par la la loi loi B. e traitement 18. Le Le nouvel nouvel article article 2.3°.
17. d)2. 3°.
18. d)prévoyant prévoyant la la mise mise àà disposition disposition des des informations informations sur sur les tes bénéficiaires bénéficiaires 18. effectifs des entités immatriculées à toutes autres fins déterminées par la loi n'apporte pas ddee effectifs des entités immatriculées à toutes autres fins déterminées par la loi n’apporte pas réelleplus-value plus-value juridique en termes de deprévisibilité prévisibilitéoou entermes termes de degarantie garantiepour pourles lespersonnes personnes réelle juridique e n termes u en concernées. La LaCNPD CNPD considère considère alors alors que que cette cette disposition disposition peut peut être être retirée retirée ddu projet de de loi loi dans dans concernées. u projet la mesure où le législateur pourra toujours prévoir de nouveaux traitements et de nouvelles la mesure o ù le législateur pourra toujours prévoir de nouveaux traitements et de nouvelles finalitésdans dansune une loi loi ultérieure ultérieuresans sansse se baser basernécessairement nécessairementsur sur une unetelle telle «« clause claused’ouverture d'ouverture finalités ». ». 7 TUE, TUE. arrêt arrêt du du 26 26 avril avril 2023, 2023, SRB SRB vv EDPS, EDPS, T-557/20, T-557/20, EU:T:2023:219 EU:T:2023:219 (il (il convient convient toutefois toutefois de de noter noter qu’un qu'un pourvoi pourvoi ontre cet cet arrêt arrêtest est en en cours) contre 7 CNPDl '-'".»" ■« « I Aviscomplémentaire complémentairede dela laCommission Commissionnationale nationalepour pourla laprotection protection des Avis données DES-JOKF.ÉÉS | relatif relatif au au projet de de loi loi n° 7961 7961 6/24 La LaCNPD CNPDrappelle rappelletoutefois toutefoisqu’il qu'ilne nesuffit suffitpas pasde deprévoir prévoirune unenouvelle nouvellefinalité finalitédans dansla laloi loipour pourque que le traitement soit considéré comme valide par rapport a u RGPD o u à la Charte des le traitement soit considéré comme valide par rapport au RGPD ou à la Charte des droits droits fondamentaux fondamentaux de de l’Union l'Union européenne. européenne. Encore Encore faut-il faut-il qu’un qu'un traitement traitement soit soit nécessaire nécessaire et et proportionné par rapport à la nouvelle finalité prévue. L e Contrôleur européen de la protection proportionné par rapport à la nouvelle finalité prévue. Le Contrôleur européen de la protection des e l’objectif desdonnées donnéesaa ainsi ainsiindiqué indiqué:: «« des desmesures mesures qui quipourraient pourraient s’avérer s'avérerutiles utilesaux auxfins finsdde l'objectif donné ne sont pas toutes souhaitables o u n e sauraient toutes être considérées comme donné ne sont pas toutes souhaitables ou ne sauraient toutes être considérées comme une une mesure nécessaire dans une société démocratique. Il n e suffit pas que la mesure soit simplement mesure nécessairedans8 unesociétédémocratique. Il nesuffitpasquelamesure soitsimplement commode o ou rentable » »8.. commode u rentable 19. e contexte 19.C’est C'estdans danscce contexte que quel’Amendement l'Amendement n°29 n°29prévoit prévoitl’introduction l'introduction d’une d'unenouvelle nouvelle disposition disposition prévoyant u Ministère e l’Économie u RBE prévoyant l’accès l'accès ddu Ministère dde l'Économieaau RBE «« dans dans le le cadre cadre de de ses ses compétences compétences spécifiques spécifiquesen enmatière matièrede defiltrage filtragenational nationaldes desinvestissements investissements directs directsétrangers étrangerssusceptibles susceptibles de de porter atteinte à la sécurité ou à l’ordre public aux fins de la mise e n œuvre d u règlement Porter atteinteà la sécuritéou à l'ordre public aux fins de la mise en ouvre du règlement (UE) (UE) 2019/452 u Parlement u 19 n cadre 2019/452 ddu Parlement européen européen et et du du Conseil Conseil ddu 19mars mars 2019 2019établissant établissantuun cadre pour pour le le filtrage des investissements directs étrangers dans l’Union. » La CNPD renvoie à c e sujet à ses filtrage des investissements directs étrangersdansl'Union. » LaCNPDrenvoie à cesujetà ses avis u projet e loi n place avisdu du44 mars mars2022 2022et etdu du28 28avril avril2023 2023relatifs relatifsaau projetdde loin°7885 n°7885portant portantmise miseeen placed’un d'un mécanisme de filtrage national des investissements directs étrangers susceptibles de porter mécanisme de filtrage national des investissements directs étrangers susceptibles de porter atteinte u à u règlement u Parlement atteinte àà la la sécurité sécurité oou à l’ordre l'ordre public public aux aux fins fins ddu règlement (UE) (UE) 2019/452 2019/452 ddu Parlement européen u Conseil 9 mars 2019 établissant uun n cadre pour le filtrage des investissements européen et etddu Conseil du du 119 mars 2019 établissant cadre pour le filtrage des investissements 9 directs étrangers dans dans l’Union l'Union9. directs . Toutefois, Toutefois, pour pourque que la lafinalité finalitéd’un d'un tel tel accès accèssoit soitsuffisamment suffisamment déterminée déterminéeet etlégitime, légitime, ilil convient convient de s assurer que I accès d u Ministère d e l’Économie a u RBE soit défini de manière suffisamment de s'assurer quel'accès du Ministère de l'Économie au RBE soit défini de manière suffisamment claire u règlement claire et et précise précise et et d’une d'une manière manière conforme conforme aau règlement (UE) (UE) 2019/452. 2019/452. Or, Or, les les conditions conditions d’accès aux données personnelles des bénéficiaires effectifs par le Ministère d e l’Économie d'accès auxdonnées personnelles des bénéficiaires effectifs par le Ministère de l'Économie(par (par exemple, u seulement exemple, accès accès àà l’intégralité l'intégralité oou seulement certaines certaines données?) données?) ne ne ressortent ressortent pas pas de de la la revue. disposition sous revue. La LaCNPD CNPD regrette regrette que que ce ce nouvel nouvel accès accèsenvisagé envisagé constituant constituant un un nouveau nouveau traitement traitement n’ait n'aitpas pasété été davantage précisé par les auteurs du projet d e loi d e sorte qu’elle n’est pas en mesure d’apprécier davantage préciséparles auteurs du projet deloidesorte qu'elle n'est pasen mesure d'apprécier pleinement e la pleinement quelles quelles pourraient pourraient être être les les conséquences conséquences éventuelles éventuelles d’un d'un point point de de vue vue dde la protection des données. protection des 20. 20. LLa a Commission Commission nationale nationale souhaite souhaite également également attirer attirer l’attention l'attention des des auteurs auteurs des des amendements amendements sur u RBE sur la la possibilité possibilité pour pour toute toute personne personne ayant ayant accès accès aau RBE d’extraire d'extraire de de manière manière automatisée automatisée l’ensemble des données disponibles dans le registre et à les réutiliser pour une finalité l'ensemble des données disponibles dans le registre et à les réutiliser pour une finalitéautre autre que que celles prévues par la loi (« web scraping »). L a CNPD se demande si des moyens techniques celles prévues par la loi (« web scraping »). La CNPD se demande si des moyens techniques seront n place n effet, e l’article seront mis mis een place pour pour encadrer encadrer ce ce type type de de pratiques. pratiques. EEn effet, ilil ressort ressort dde l'article 25.2 25. 2 du du RGPD que « [l]e responsable du traitement met e n œuvre les mesures techniques RGPD que « [l]e responsable du traitement met en ouvre les mesures techniques et et organisationnelles organisationnelles appropriées appropriées pour pour garantir garantir que, que, par par défaut, défaut, seules seules les les données données àà caractère personnel e chaque personnel qui quisont sontnécessaires nécessairesau auregard regarddde chaquefinalité finalitéspécifique spécifiquedu dutraitement traitement sont sonttraitées. traitées. 8 8 European European Data Data Protection Protection Superviser, Superviser, Guide Guide pour pour l’évaluation l'évaluation de de la la nécessité nécessitédes des mesures mesures limitant limitant le le droit droit fondamental à la protection des données à caractère personnel (11 avril 2017), page 18 fondamental à la protection des données à caractère personnel (11 avril 2017), page 18 9 9. Délibération D»e!iberation6/AV6/2022 6/AV6/2022(document (document parlementaire parlementaire7885/02) 7885/02)et etdélibération délibération33/AV19/2023 33/ÀV19/2023(document (documentparlementaire parlementaire 78885/05) CNPD CNPD] 7 ":,1S l* I ,.o;ï;;: i DESDOSEES I Avis Aviscomplémentaire complémentairede dela la Commission Commissionnationale nationalepour pourla laprotection protection des y aonnees données relatif relatif au au projet de de loi n° 7961 7/24 7/24 Cela s’applique s'applique àà la la quantité de données donnéesàà caractère caractère personnel personnel collectées, collectées, àà l'étendue retendue dde leur Cela quantité de e leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures traitement, leur durée de conservation et à leur En particulier, ces mesures garantissent que,par pardéfaut, défaut,les lesdonnées donnéesàà caractère caractèrepersonnel personnelne nesont sontpas pasrendues renduesaccessibles accessibles garantissent que, aà un un nombre nombre indéterminé indéterminé de de personnes personnes physiques physiques sans sans l'intervention l'intervention de de la la personne personne physique physique concernée »» (principe (principe de de protection protection des des données donnéesdès dèsla la conception). conception). concernée Une pratique pratique de de web webscraping scraping pourrait pourrait par parexemple exemple aboutir aboutir àà une une publication publication dde l'intégratité des des Une e l’intégralité donnéescontenues contenues dans dans le le RBE RBE (ce (ce qui qui se se rapprocherait rapprocherait dans dans les les faits faits d’un d'un accès accèsddu public aauu données u public RBE, cce qui aa justement étécensuré censurépar parla la CJUE). CJUE). A ce titre, titre, la la CNPD CNPDrappelle rappelle que que la la CJUE CJUE aa RBE, e qui justement été A ce indiqué que que «« les tes conséquences conséquences potentielles potentielles pour pour les les personnes personnes concernées concernées résultant résultant d’une d'une indiqué éventuelle utilisation utilisation abusive abusive de de leurs leurs données donnéesàà caractère caractère personnel personnel sont sontaggravées aggravéespar par le le fait fait éventuelle que, une fois mises à la disposition du grand public, ces données peuvent non seulement être que, une fois mises à la disposition du grand public, ces données peuvent non seulement être librement consultées, consultées, mais mais également également être êtreconservées conservées et etdiffusées diffusées et etqu’il qu'il devient, devient, een casde detels tels librement n cas traitements successifs, successifs, d’autant d'autant plus plus difficile, difficile, voire voire illusoire, illusoire, pour pources ces personnes personnes de de se se défendre défendre traitements m efficacement contre des des abus.» abus. »1011. \ 3. Quant aux aux données traitées traitées aux destinataires destinataires A. Les données accessibles aux er 21. D’après D'après le le nouvel nouvel article article 12.1, 12. 1, 11er alinéa, de de la la loi loi RBE, RBE, «« [l]es [l]es personnes personnes visées visées àà l'article l'article 11, 11, 21. alinéa, paragraphe11 points points11 àà 3Set 5,et etparagraphe paragraphe22 points points1, 1,2, 2,et et44 ont ontaccès accèsaux auxinformations informationsportant portant paragraphe et 5, er sur l'ensemble l'ensemble des des personnes personnes ou ou entités entités visées visées àà l'article l'article 11er. » LLa CNPD note note que que les les autorités autorités sur .» a CNPD nationales, les professionnels, les organismes d'autorégulation, les services de l'État les nationales, les professionnels, les organismes d’autorégulation, les services de l'État les administrations publiques publiques et et établissements établissements publics, publics, les les journalistes professionnels, les les administrations journalistes professionnels, organisations nationales nationales de de la la société société civile civile et et les les autorités autorités et et administrations administrations nationales nationales organisations impliquées dans dans la la lutte lutte contre contre des des infractions infractions een matière de de blanchiment blanchiment oou de financement financement dduu impliquées n matière u de terrorisme ont ont accès accès àà l’intégralité l'intégralité des des informations informations portant portant sur sur l'ensemble l'ensemble des des personnes personnes oouu terrorisme er entités visées à t'article 1er. entités visées à l'article 1 . er La référence référence àà l’article l'article 11er n'est pas pas clairement clairement compréhensible compréhensible pour pour la ta Commission Commission nationale. nationale. La n’est S'agit-il d’un d'un accès accès aux aux informations informations portant portant sur sur toutes toutes les les entités entités immatriculées immatriculées et et tous tous les les S’agit-il er bénéficiaires effectifs effectifs auquel auquel cas cas ilil convient convient de defaire faire référence référence àà l’article l'article 11er (3°) et et(4°) (4°) ?? La LaCNPD CNPD bénéficiaires (3°) également sur surles lesmodalités modalités dde recherche dans dansle leRBE RBE(recherche (recherche àà partir partirddu nom dduu s'interroge également s’interroge e recherche u nom bénéficiaire effectif ou de la dénomination sociale de l'entité immatriculée ?). Elle se demande si bénéficiaire effectif ou d e la dénomination sociale de l’entité immatriculée ?). Elle se demande si tes critères de recherche seront adaptés dans le règlement grand-ducal du 15 février 2019 relatif les critères de recherche seront adaptés dans le règlement grand-ducal du 15 février 2019 relatif 10CJUE, CJUE,arrêt arrêtdu du22 22novembre novembre2022, 2022,WM WM(C-37/20), (C-37/20),Sovim SovimSA SA(C-601/20), (C-601/20),EU:C:2022:912, EU:C:2022:912,point poirt43 43 10 11 Cf. cTegalement-Cour Européenne des des'Droits de l’Homme l'Homme (Grande (Grande Chambre), Chambre), arrêt arrêt du du 27 27 Juin 2017 Affaire également Cour Européenne Droits de juin 2017, Affaire Satakun^anMarkkinapôrsi Oy et et Satamedia Satamedia Oy Oyc. e. Finlande Finlande(Requête (Requête n°931/13), n°931/13), point point175 175::«/... 7 /l'existence d'un Satakunnan Markkinapôrsi Oy «■[■■■] existence d un Intérêtgénéral généralàà cce quede degrandes quantitésde dedonnées donnéesfiscales fiscalessoient soientaccessibles accessibles et etàà ce ce que que la lacollecte collecte de deces ces intérêt e que grandes quantités donnéessort soitautorisée autoriséene nesignifie signifiepas pasnécessairement nécessairementou ouautomatiquement automatiquement qu’il qu'ilexiste existeégalement égalementun unintérêt intérêtgénéral à données général à diffuseren enmasse massepareilles pareillesdonnées donnéesbrutes, brutes,telles tellesquelles, quelles, sans sansaucun aucunapport apportanalytique. analytique. »» diffuser 11 CNPD Avis complémentaire complémentaire de de la la Commission Commission nationale nationale pour pour la la protection protection des des Avis données relatif au au projet de de loi loi n° n" 7961 7961 relatif 8/24 aux aux modalités modalités d’inscription, d'inscription, de de paiement paiement des des frais frais administratifs administratifs ainsi ainsi qu’à qu'à l’accès l'accès aux aux informations inscrites u Registre inscrites aau Registre des des bénéficiaires bénéficiaireseffectifs. effectifs. 22. 22. ème Le e la Lenouvel nouvel article article12.1, 12. 1,22èmealinéa, alinéa,dde laloi loiRBE RBEdispose dispose:: «« Les Lesautres autrespersonnes personnesvisées viséesàà l'article l'article 71 ont u n accès limité aux informations des seules personnes morales et entités visées qui 11 ont unaccèslimitéauxinformations desseulespersonnes morales etentitésviséesquisont sont 1l objet u paragraphe objet immédiat immédiatde de leurs leurs recherches recherches ou, ou, dans dansles les cas cas des des personnes personnes visées viséesaau paragraphe 22 point e conclure point 4, 4, avec avec lesquelles lesquelles elles elles sont sont susceptibles susceptibles dde conclure des des transactions. transactions. ». ». La La CNPD CNPD comprend comprend que que ce ce sont sont les les personnes personnes qui qui souhaitent souhaitent connaître connaître l'identité l'identité des des bénéficiaires bénéficiaires effectifs effectifs d une société une entité u fait d'une société ou ou dd'une entité donnée donnée ddu fait qu'elles qu'elles sont sont susceptibles susceptibles de de conclure conclure des des transactions n intérêt transactions avec avec celles-ci celles-ci ainsi ainsi que que toutes toutes autres autres personnes personnes qui qui démontrent démontrent uun intérêtlégitime légitime dans u terrorisme dansle lecadre cadrede dela lalutte lutte contre contre le leblanchiment blanchiment et etcontre contre le lefinancement financement ddu terrorisme qui quidevraient devraient être visées ici. La Commission nationale se demande alors si le renvoi à l’article 11, êtrevisées ici. LaCommission nationale sedemande alors si le renvoi à l'article 11,paragraphe paragraphe 2 u s’il e conviendrait e faire 2 point point 4, 4, est est exact exactoou s'il nne conviendrait pas pas plutôt plutôt dde faireréférence référenceàà l’article l'article 11, 11, paragraphe 2 point 3 ? 2point3? ' . ------.. "-. ----..' 23. 23. er Selon e la Selonle lenouvel nouvelarticle article12.2, 12.2,11eralinéa, alinéa,dde laloi toiRBE, RBE,«« [l]'accès [IJ'accèsest estouvert ouvertpour pourchaque chaquepersonne personne o u entité aux informations suivantes: 1 ° pour les personnes visées à l'article 11, ou entité aux informations suivantes: 1° pour les personnes visées à l'article 11, paragraphe paragraphe 11 point ensemble des point 11 àà /l'ensemble des informations informations visées visées àà l’article l'article 33 ». ». La La CNPD CNPD comprend comprend que que les les autorités autorités nationales ont donc accès à l’intégralité des informations relatives à un bénéficiaire nationales ont donc accès à l'intégralité des informations relatives à un bénéficiaire effectif effectif figurant dans dans le le RBE. figurant 24. 24. eme Selon e la Selon le le nouvel nouvel article article 12.2, 12. 2, 22èmealinéa, alinéa, dde laerloi loi RBE, RBE, «« les /es autres autres personnes personnes »» ont ont accès accès «« aux aux informations visées à l’article 3, paragraphe 1 , points r à 8°, 12° et 13°. ». La CNPD comprend informationsviséesà l'article 3, paragraphe 1er,points 1°à 8°. 12°et 13°.». LaCNPDcomprend que que toute toute autre autre personne personne ou ou entité entité qui qui n’est n'est pas pas une une autorité autorité nationale nationale aura aura donc donc accès accès au au nom, nom, au(
19. x)prénom(s), à la/aux nationalité(s), a u jour d e naissance, au mois de naissance, à au(
20. x)prénom(s), à la/aux nationalité(s), au jour de naissance, au mois de naissance, à l’année l'année d e naissance, u pays e résidence, de naissance, au au lieu lieu de de naissance, naissance, aau pays dde résidence, àà la la nature nature et et àà l’étendue retendue des des intérêts intérêts effectifs détenus (comme cela était le cas avec le régime précédemment en place pour effectifs détenus (comme cela était le cas avec le régime précédemment en place pour l’accès l'accès d u public u RBE). u entités du public aau RBE). Ces Ces personnes personnes oou entités n’auront n'auront pas pas accès accèsàà l’adresse l'adresse privée privéeprécise précise oouu àà l’adresse l'adresseprofessionnelle professionnelle et etau aunuméro numérod’identification d'identificationnational nationalou ouétranger étrangerdu dubénéficiaire bénéficiaireeffectif. effectif. 25. 25. La u RGPD, LaCNPD CNPDrappelle rappelle que queselon selonl’article l'article 5.1.
21. c)5. 1.e)ddu RGPD,seules seulesles lesdonnées donnéesadéquates, adéquates,pertinentes pertinentes et nécessaires a u regard des finalités poursuivies par le responsable du et nécessaires au regard des finalités poursuivies par le responsable du traitement traitement doivent doivent être être collectées a CNPD collectées (principe (principe de deminimisation minimisation des desdonnées). données). LLa CNPDsalue salue une unetelle telle disposition disposition limitant limitant l’accès u égard l'accèsaux auxdonnées donnéespersonnelles personnelles par parles lesacteurs acteursautres autresque queles lesautorités autoritésnationales nationaleseeu égard àà l’importance d u principe d e minimisation des données ainsi qu’au principe de proportionnalité l'importance du principe de minimisation des donnéesainsi qu'au principe de proportionnalité et et de nécessité, selon lequel tout traitement d e données à caractère personnel doit être proportionné de nécessité, selon lequel touttraitement dedonnées à caractère personnel doitêtreproportionné aux auxfinalités finalitésàà atteindre, atteindre, compte compte tenu tenu du du risque risque que que le le traitement traitement fait faitpeser peser sur surla la vie vie privée privéedes des personnes concernées. concernées. personnes B. B. Quant Quant à l’exactitude l'exactitude des des données contenues dans dans le le RBE 26. 26. Les Les amendements amendements introduisent introduisent un un nouveau nouveau paragraphe paragraphe 11 dans dans l’article l'article 99 de de la la loi loi RBE RBE:: «« Le Le gestionnaire du registre des bénéficiaires effectifs effectue un suivi des données inscrites et peut gestionnaire du registre des bénéficiaires effectifs effectue un suivi des données inscrites et peut CNPD Avis Avis complémentaire complémentaire de de la la Commission Commission nationale nationale pour pour la laprotection protection des des données données relatif relatif au au projet de de loi n° 7961 7961 9/24 requérir auprès auprès de de l’entité l'entité immatriculée immatriculée toute toute pièce pièce oou document permettant permettant de de justifier requérir u document justifier l'exactitude d'une inscription. », donnant ainsi un rôle proactif à LBR dans la vérification dee l’exactitude d’une inscription. », donnant ainsi u n rôle proactif à LBR dans la vérification d l'exactitude des des données données inscrites au au RBE. RBE. l’exactitude Cet amendement amendement répond répond directement directement au au principe principe d’exactitude d'exactitude prévu prévu àà l’article l'article 5.1.
22. d)5. 1.
23. d)du du RGPD RGPD Cet qui prévoit prévoit que que les les données données àà caractère caractère personnel personnel doivent doivent être êtreexactes exactes et, et si si nécessaire, nécessaire, tenues tenues qui àà jour. Cette disposition prévoit en outre que toutes les mesures raisonnables doivent être prises jour. Cette disposition prévoit e n outre que toutes les mesures raisonnables doivent être prises pour que que les les données données àà caractère caractère personnel personnel qui qui sont sont inexactes, inexactes, eeu égard aux aux finalités finalités pour pour pour u égard lesquelles elles elles sont sont traitées, traitées, soient soient effacées effacées ou ou rectifiées rectifiées sans sans tarder. tarder. lesquelles D'aprèsle le commentaire commentaire dde l'article, «« [d]ans /"af/ansle tecadre cadrede deses sesmissions, missions, lelegestionnaire gestionnaire ddu RBE D’après e l’article, u RBE doits’assurer s'assurerdde l'exactitude des desdonnées donnéesinscrites. inscrites. Pour Pourcce faire, ilildispose disposed’un d'uncontrôle contrôleaa priori, priori, doit e l’exactitude e faire, quis’exerce s'exerceau aumoment momentdde laprésentation présentationd’une d'unedemande demandedde dépôt,tel telque queprescrit prescritàà l’article l'article 77 qui e la e dépôt, de la la loi. loi. Ainsi, Ainsi, avant avant l’insertion l'insertion des des données données communiquées communiquées dans dans la la banque banque de de données données du du de registre de commerce et des sociétés, celles-ci sont vérifiées par le gestionnaire qui peut déjà registre de commerce et des sociétés, celles-ci sont vérifiées par le gestionnaire qui peut déjà er aujourd'huiàà cce staderequérir requérirdes despièces piècesjustificatives additionnelles.Le Lenouvel nouvelalinéa alinéa11er, inséré aujourd'hui e stade justificatives additionnelles. , inséré er au paragraphe paragraphe 11er,, vise vise àà permettre permettre au au gestionnaire, gestionnaire, dans dans le le cadre cadre dd'un contrôle aa posteriori posteriori ddee au un contrôle la banque banque de de données, données, de de contacter contacter une une entité entité immatriculée immatriculée pour pour s’assurer s'assurer que que l’information l'infoiTnation la inscrite est est toujours toujours correcte correcte et et de de pouvoir pouvoir demander demander une une pièce pièce complémentaire complémentaire justifiant inscrite justifiant l'inscription. Ceci Cecipermettra permettra de decorriger corriger les leséventuelles éventuelles erreurs erreurs que quele legestionnaire n'auraitpas ouu l’inscription. gestionnaire n’aurait pas o pu releverlors lors de deson son contrôle contrôlea priori. » pu relever 27. Toutefois, ilil nne ressort pas pasclairement clairement des desexplications explications apportées apportéespar parles lesauteurs auteurs du duprojet projetdde loi Toutefois, e ressort e loi si la la référence référence àà «« toute toute pièce pièceou ou document document permettant permettant dde d'une inscription »» si e justifier justifier Il'exactitude exactitude d une inscription est une une référence référence aux aux pièces pièces justificatives visées àà l’article l'article 4.3 4. 3 de de la la loi loi RBE RBE et et listées listées àà Il'article est justificatives visées article 5 du du règlement règlement grand-ducal grand-ducal du du 15 15février février2019 2019relatif relatifaux auxmodalités modalitésd’inscription, d'inscription, dde paiement 5 e paiement des frais frais administratifs administratifs ainsi ainsi qu’à qu'àl’accès l'accès aux aux informations informations inscrites inscrites au au Registre Registre des des bénéficiaires bénéficiaires des effectifs. 28. 28. Par ailleurs, ailleurs, la la Commission Commission nationale nationale constate constate avec avec satisfaction satisfaction l’introduction, l'introduction, dans dans le le nouvel nouvel Par article 16-2. 1, de l'amendement proposé dans son avis initial qui permet de préciser les finalités article 16-2.1, d e l’amendement proposé dans son avis initial qui permet de préciser les finalités estionnaire du re istre de « Dans te cadre des missions res ectives du l'interconnexion1122 :: « de l’interconnexion Dans le cadre des missions respectives du gestionnaire du registre de commerce et et des des sociétés sociétéset et du du Registre Re istre des desbénéficiaires bénéficiaireseffectifs, effectifs les les fichiers fichiers du du Registre Registre des des commerce bénéficiaires effectifs sont interconnectés avec la banque de données du registre de commerce bénéficiaires effectifs sont interconnectés avec la banque de données du registre de commerce et des sociétés. ». ». et 29. 29. La CNPD CNPD considère considère également également comme comme bienvenue bienvenue la la précision précision dans dans les les commentaires commentaires selon selon La laquelle: ««il a lieu lieud'indiquer d'indiquerque quele leRBE RBEsera serainterconnecté interconnectéavec avecle leseul seulRCS. RCS. Inversement Inversement le le laquelle: il y ya RCS est interconnecté non seulement avec le RBE, mais aussi avec le RESA. » RCS est interconnecté non seulement avec le RBE, mais aussi avec le RESA. » 30. 30. Ence ce qui qui concerne concerne le le droit droit d’accès d'accèsddu gestionnaire aux auxinformations informations contenues contenues dans dans les lesfichiers fichiers En u gestionnaire des administrations et services publics prévu dans le nouvel article 16-2. 1, la Commission des administrations et services publics prévu dans le nouvel article 16-2.1, la Commission 12Délibération Délibérationn° n°26/AV13/2023 26/AV13/2023du du31 31mars mars2023, 2023,Avis dela laCommission Commissionnationale nationalepour pourla taprotection protectiondes desdonnées données Avis de relatif au au projet pro et de de loi loi n°7961 [...] [... ] (§57) (§57) relatif 12 "L" Avis complémentaire de la Commission nationale pour la protection des données 0 Es '>C^^to relatif au au projet de de loi n° 7961 7961 relatif 10/24 10/24 nationale ajout de e limite nationale note note Il'ajout de l’amendement l'amendement suivant suivant :: «« Cet Cet accès accès sse limite aux aux données données des des personnes inscrites au registre de commerce aux fins d’effectuer un contrôle d e l’exactitude des personnes inscrites au registre de commerce aux fins d'effectuer un contrôle de l'exactitude des données données àà fournir fournir en en vertu vertu du du Chapitre Chapitre 33 de de la la présente présente loi. loi. Un Un règlement règlement grand-ducal grand-ducal fixe fixe limitativement la liste des fichiers des administrations et services publics concernés ainsi que limitativement la liste desfichiers desadministrations etservices publicsconcernésainsiquelele type type d’information d'informationauquel auquelle le gestionnaire gestionnairedoit doitavoir avoiraccès. accès.». La La CNPD CNPD note note que que «« [l]a [l]a disposition disposition proposée proposée renverra renverra àà un un règlement règlement grand-ducal grand-ducal arrêtant arrêtant exactement une liste limitative des données et des bases de données visées. » (commentaire exactement une liste limitative des données et des bases de données visées. » (commentaire des des articles). articles). Pour Pour le le surplus surplus et et plus plus généralement généralement sur sur la la qualité qualité des des données données inscrites inscrites dans dans le le RBE, RBE. la la Commission nationale renvoie aux observations dans son avis initial du 3 1 mars Commission nationale renvoie aux observations formulées dans son avis initial du 31 mars 13 202313 2023 . C. e recherche C. Quant Quant àà l’accès l'accès eett aux aux modalités modalités dde recherche des des données données dans dans le le RBE RBE 31. 31. La La Commission Commission nationale nationale salue salue l’introduction, l'introduction, avec avec le le nouvel nouvel article article 13.2b/s, 13. 2<?/s, de de mesures mesures de de sécurité permettant la journalisation de toutes les personnes accédant au RBE : « L e système sécurité permettant la journalisation de toutes les personnes accédant au RBE : « Le système informatique, u Registre informatique, par parlequel lequel l’accès /'accèsaau Registre des desbénéficiaires bénéficiaireseffectifs effectifspar pardes despersonnes personnes autres autres que celles visées au paragraphe 2 est opéré, doit être aménagé d e sorte que l’accès fichiers que celles visées au paragraphe 2 est opéré, doit être aménagé de sorte que /'accèsaux aux fichiers soit so/ï sécurisé sécurisé moyennant moyennant une une authentification authentification forte, forte, que que les les informations informations relatives relatives àà la la personne personne ayant procédé à la consultation, les informations consultées, la date, l’heure et la référence ayant procédé à la consultation, les informations consultées, la date, l'heure et la référence dduu dossier e la dossier dans dans le le cadre cadre duquel duquel la la consultation consultation aa été étéeffectuée, effectuée, ainsi ainsi que que le le motif motif précis précis dde la consultation puissent être retracés. Les données de journalisation doivent être conservées consultation puissent être retracés. Les données de journalisation doivent être conservées pendant n délai e leur pendant uun délai de de cinq cinq ans ans àà partir partir dde leur enregistrement, enregistrement, délai délai après après lequel lequel elles elles sont sont effacées. ». La CNPD estime que c e type de mesures est constitutif de sauvegardes effacées. ». La CNPD estime que ce type de mesures est constitutif de sauvegardes indispensables u registre indispensables pour pour cadrer cadrer l'accès l'accès ddu registre par par les les différents différents acteurs acteurs avec avec la la législation législation eenn matière de protection des données et pour contribuer à la balance entre l’objectif légitime e la matière de protection des donnéeset pour contribuer à la balance entre l'objectif légitimedde la lutte lutte contre contre le le blanchiment blanchiment et et les les droits droits fondamentaux fondamentaux des des personnes personnes concernées. concernées. 4. 4. Les Les destinataires destinataires du du traitement traitement qui qui démontrent démontrent un un intérêt intérêt légitime légitime dans dans le le cadre cadre de de la lutte contre le blanchiment et contre l e financement d u terrorisme la lutte contre le blanchimentet contre le financementdu terrorisme 32. 32. Les n intérêt Les amendements amendements distinguent distinguent plusieurs plusieurs catégories catégories de de personnes personnes démontrant démontrant uun intérêtlégitime légitime à consulter le RBE :: -- les journalistes professionnels u sens u 8 juin 2004 les journalistes professionnels aau sens de de la la loi loi modifiée modifiée ddu 8 juin 2004 sur sur la la liberté liberté d’expression dans les médias (nouvel article 11.2 1°); d'expression dans les médias (nouvel article 11. 2 1°); 13 Avis de 13Délibération Déjibération n° n-26/AV13/2023 26/AYJ3/2023 du du31 31 mars mars 2023, 2023, Avis dela laCommission Commission nationale nationale pour pourla taprotection protection des des données données relatif relatifau auprojet proetde deloi loin°7961 n°7961[...] [... ] (III. (III.Sur Surla la«« qualité qualitédes desdonnées donnéesinscrites inscrites») ») r x%CNPD c Np Di p? ":"S CESDOAKÉB I Avis Avis complémentaire de de la la Commission nationale nationale pour pour la la protection des données données relatif relatif au au projet de de loi loi n° n" 7961 7961 11/24 11/24 - - - lesorganisations organisations nationales nationales de dela lasociété sociétécivile, civile, constituées constituées sous sous forme forme dd'association sans les association sans but lucratif lucratif oou de fondation, présentant présentant uun lien avec avec la la prévention prévention et et la la lutte lutte contre contre le le but ud e fondation, n lien blanchiment et et contre contre le le financement financement ddu terrorisme (nouvel (nouvel article article 11.2 1 1. 2 2°); 2°); blanchiment u terrorisme |es les personnes personnes qui qui souhaitent souhaitent connaître connaître l'identité l'identité des des bénéficiaires bénéficiaires effectifs effectifs d'une d'une société société ou d'une d'une entité entité donnée donnée ddu fait qu'elles qu'elles sont sont susceptibles susceptibles de de conclure conclure des des transactions transactions ou u fait aveccelles-ci celles-ci(nouvel (nouvel article article11.2 1 1.2 3°); 3°); avec les autorités autorités et et administrations administrations nationales nationales impliquées impliquées dans dans la la lutte lutte contre contre des des infractions infractions les en matière de blanchiment ou de financement du terrorisme dans la mesure où elles n'ont n'ont en matière de blanchiment ou de financement du terrorisme dans la mesure où elles pas déjà déjàaccès accèsaux auxinformations informations en enquestion question sur surbase basedu du paragraphe paragraphe 11 points points 1°, 1°, 2° 2° oouu pas 5° du du présent présent article article (nouvel article article 11.2 11.2 4°); 4°); et 5° toutes les les autres autres personnes personnes qui qui démontrent démontrent uun intérêt légitime légitime dans dans le le cadre cadre de de la la lutte lutte toutes n intérêt contre le blanchiment et contre le financement du terrorisme (nouvel article 11. 1 4°). contre le blanchiment et contre le financement du terrorisme (nouvel article 11.1 4°). A. Lesjournalistes A. Les journalistes professionnels 33. 33. Les atteintes atteintes au au droit droit àà la la vie vie privée privée qu’implique qu'implique l’accès t'accès au au Registre Registre des des bénéficiaires bénéficiaires effectifs effectifs Les visent àà permettre permettre aux auxjournalistes professionnels d’accéder d'accéderàà des des données, données, de de les les collecter collecter et et visent journalistes professionnels de les traiter afin qu'ils puissent mener leurs activités de journalisme (qui participe au droit du d e les traiter afin qu’ils puissent mener leurs activités de journalisme (qui participe au droit d u public àà être êtreinformé), informé), qui qui sont sont reconnues reconnues comme comme essentielles essentielles dans dans une une société sociétédémocratique. démocratique. public Dans son son arrêt arrêt «« Sovim Sovim »» ddu 22 novembre 2022, 2022, la la Cour Cour aa précisé précisé :: «« En En effet, effet, dans dans la la mesure mesure Dans u2 2 novembre 14 où ce ce considérant considérant14 expose expose que que l’accès /'accès ddu public aux aux informations informations sur sur les les bénéficiaires bénéficiaires où u grand grand public effectifs permet permet un un contrôle contrôle accru accru des des informations informations par parla la société sociétécivile civile et etoù oùilil est est explicitement explicitement effectifs faitmention, mention, àà ce cetitre, titre, de dela la presse presse et et des desorganisations organisations de dela la société sociétécivile, civile, ilil convient convient de derelever relever fait quetant tantla lapresse presse que queles lesorganisations organisations de dela lasociété sociétécivile civile présentant présentant un unlien lienavec avecla laprévention prévention que etla lalutte luttecontre contre le leblanchiment blanchiment de decapitaux capitauxet etle lefinancement financement du duterrorisme terrorisme ont ontun un intérêt intérêtlégitime légitime et 15 à accéder accéderaux aux informations informations sur sur les les bénéficiaires bénéficiaireseffectifs. effectifs. [,..]» [... ]»15. à . 34. 34. La CNPD CNPD note note qu’un qu'un «« règlement règlement grand-ducal grand-ducal précisera précisera en en particulier particulier que que pour pour l’accès /'accès des des La journalistes professionnels, le le Conseil Conseil de de presse presse recevra recevra du du LBR LBRles les habilitations habilitations informatiques informatiques journalistes professionnels, nécessaires pour pour conférer conférer l’accès l'accès aux aux journalistes professionnels via via l’outil l'outil informatique informatique mis mis àà nécessaires journalistes professionnels disposition par par le le LBR LBR au au Conseil Conseil de de presse presse àà cette cette fin. fin. »» (commentaire (commentaire ddu nouvel article article_36^ disposition u nouvel 36, amendement n°22). n°22). Elle Elle comprend comprend que que le le Conseil Conseil de de presse presse aura aura accès accès àà l’application l'application ddu RBE amendement u RBE entant tantque quegestionnaire gestionnaire ddu compte (afin (afinde depouvoir pouvoir accorder accorder ou ouretirer retirer l’accès l'accèsen en consultation consultation au au en u compte RBEaux auxjournalistes qu'il accrédite accréditeet etqui qui sont sont porteurs porteurs d’une d'une carte carte de depresse presse luxembourgeoise) luxembourgeoise) RBE journalistes qu’il et que que ces ces journalistes yy auront auront accès accès en en tant tant qu’utilisateurs qu'utilisateurs ddu compte. et u compte, 14Considérant Considérant30 30de dela ladirective directive2018/843: 2018/843:«« L’accès L'accèsdu dupublic publicaux auxinformations informationssur surles lesbénéficiaires bénéficiaireseffectifs effectifspermet permet un'confrôte accrudes des'infonnations parla lasociété sociétécivile, civile,notamment notammentla lapresse presseou oules lesorganisations organisationsde delalasociété sociétécivile, civile,^ un contrôle accru informations par etcontribue contribueàà préserver préserverlalaconfiance confiancedans dansl’intégrité l'intégritédes destransactions transactions commerciales commerciales et etdu dusystème systèmefinanc'er-IIPeut et financier. Il peut contribuera 'luttercontre contre le le recours recours abusif abusifàà des des sociétés sociétéset et autres autres entités entitésjuridiques et constructions constructions juridiques aux contribuer à lutter juridiques et juridiques aux fins dublanchiment blanchimentde decapitaux capitauxou oudu dufinancement financement du duterrorisme, terrorisme, àà la lafois foisen enfacilitant facilitantles tesenquêtes enquêteset etpar parle lebiais biaisde de fins du considérations de deréputation, réputation, dans dansla lamesure mesure où oùquiconque quiconque susceptible susceptible de deconclure conclure des destransactions transactions connaît connaît l’identité l'identité considérations des bénéficiaires bénéficiaires effectifs [[... des . . . ].] . »» 15 r II IF arrêt A (C-601/20), 1YCJUE, arrêtdu du22 22novembre novembre2022. 2022,WM WM(C-37/20), (C-37/20),Sovim SovimSSA (C-601/20),EU:C:2022:912, EU:C:2022:912,point point74 74 14 CNPD r.oMiwiteSiON NMONMF reoi.cnuN DESSOSkÊU Avis complémentaire de la Commission nationale pour la protection des données relatif relatif au au projet de de loi loi n° n" 7961 7961 12/24 12/24 35. 35. Si journalistes sont Si les les journalistes sont libres libres de de choisir choisir parmi parmi les les informations informations auxquelles auxquelles ils ils ont ont accès accès dans dans le le RBE, RBE, celles celles qu’ils qu'ils traiteront traiteront16et et la la manière manière dont dont ils ils le le feront, feront, cette cette liberté liberté n’est n'est cependant cependant pas pas CNPD rappelle exempte de responsabilités responsabilités16.. LLaa CNPD toute diffusion diffusion des des données données à à caractère rappelle que caractère que toute personnel obtenues grâce à l’accès des journalistes professionnels a u RBE devra contribuer personnel obtenues grâce à l'accès des journalistes professionnels au RBE devra contribuer àà uun n débat débat d’intérêt d'intérêt général général (ici, (ici, dans dans le le cadre cadre de de la la lutte lutte contre contre le le blanchiment blanchiment et et contre contre le le financement du terrorisme) et non pas uniquement à satisfaire la curiosité d’un certain lectorat en financement du terrorisme) et pas uniquement la d'un en dehors dehors des des finalités finalités pour pour lesquelles lesquelles le le RBE RBE aa été étémis mis en en place. place. B. e la B. Les Les autres autres personnes personnes démontrant démontrant un un intérêt intérêt légitime légitime dans dans le le cadre cadre dde la lutte lutte le blanchiment contre le 36. 36. Dans ù le u projet Dans la la mesure mesure ooù le nouvel nouvel article article 11.2 11.2 ddu projet de de loi loi indique indique que que les les personnes personnes ayant ayant uunn intérêt légitime sont notamment celles listées dans cette disposition, la CNPD comprend intérêtlégitimesont notamment celles listéesdans cette disposition, la CNPDcomprend qu’une qu'une telle telle liste liste n’est n'est pas pas exhaustive. exhaustive. IlIl reviendra reviendra alors alors àà LBR LBR de de déterminer déterminer au au cas cas par par cas cas l’existence l'existence d’un e la d'un intérêt intérêt légitime légitime dans dans le le cadre cadre dde la prévention prévention de de l’utilisation l'utilisation du du système système financier financier aux aux fins fins de u terrorisme. e loi, de blanchiment blanchiment ou ou de de financement financement ddu terrorisme. D’après D'après le le nouvel nouvel article article 15.3 15. 3 du du projet projet dde loi, LBR devra s’appuyer « sur l'avis d'une commission consultative qui tient compte de toute LBR devra s'appuyer «sur l'avis d'une commission consultative qui tient compte de toute circonstance circonstance pertinente, pertinente, susceptible susceptible d’indiquer d'indiquersi si l’accès /'accèsàà l’information l'information est est demandé demandédans dans le cadre e l’utilisation u de cadre de de la la prévention prévention dde l'utilisation du du système système financier financier aux aux fins fins de de blanchiment blanchiment oou de financement du terrorisme » et tiendra compte « de la protection des droits fondamentaux des du terrorisme et ofe la protection des fondamentaux des personnes, u droit personnes, notamment notamment ddu droit àà la la vie vie privée privée et et du du droit droitàà la la protection protection des des données donnéesàà caractère caractère personnel e décision. personnel lors lors de de sa sa prise prise dde décision.». Malgré n intérêt Malgré les les exemples exemples concrets concrets de de personnes personnes démontrant démontrant uun intérêt légitime légitime listés listés par par les les amendements et la mise e n place d’une commission consultative pour évaluer l’existence d’un amendements et la mise en place d'une commission consultative pour évaluer l'existence d'un intérêt intérêt légitime, légitime, la la Commission Commission nationale nationale déplore déplore l’absence l'absence de de définition définition de de l’intérêt l'intérêt légitime légitime (au (au niveau national ou a u niveau européen), qui risque d’être interprété d e manière hétérogène par niveau national ou au niveau européen), qui risque d'être interprété de manière hétérogènepar les e cette les différentes différentes autorités autorités et et tribunaux tribunaux amenés amenés àà contrôler contrôler l’application l'application dde cette notion. notion. Une Une telle telle définition définition contribuerait contribuerait sans sans aucun aucun doute doute àà la la prévisibilité prévisibilité requise requise dans dans le le chef chef des des personnes concernées et serait e n outre nécessaire pour évaluer la proportionnalité personnes concernées et serait en outre nécessaire pour évaluer la proportionnalité d’un d'un tel tel accès accèsau au RBE RBE avec avec les les règles règles en en matière matière de de protection des des données. données. 37. La La CNPD CNPD relève relève toutefois toutefois avec avec satisfaction satisfaction que que la la demande demande d’accès d'accès par par toute toute autre autre personne personne démontrant un intérêt légitime est encadrée par le nouvel article 15b/s du projet de loi qui démontrant un intérêt légitime est encadrée par le nouvel article 15ù/s du projet de loi qui prévoit prévoit que que sa sa demande demande «« ne ne peut peut concerner concerner qu'un qu'un nombre nombre limité limité de de personne personne morales morales ou ou entités entités par par demande demande et et ne ne peut peut porter porter que que sur sur une une recherche recherche par par le le numéro numéro d’immatriculation d'immatriculation ou ou la la dénomination » et qu’elle précise « le fondement de la demande et les utilisations aux fins dénomination et qu'elle précise te fondement de la demande et les utilisations aux desquelles desquelles l’accès /'accès àà l’information l'infonnation est est demandé demandé », », évitant évitant ainsi ainsi toute toute recherche recherche de de type type «« fishing fishing expéditions ». ». 16 juin 2017, . Cour cow Européenne Eurc>Peenne des des Droits Droits de de l’Homme l'Homme (Grande (Grande Chambre), Chambre), arrêt arrêt du du 27 27 juin 2017, Affaire Affaire Satakunnan Satakunnan Markkinapôrsi Markkinapôrsi Oy Oy et et Satamedia Satamedia Oy Oy c. e. Finlande Finlande (Requête (Requête n°931/13), n°931/13), point point 186 186 CNPD r i: CNPD] '°"si “°.';"S l'OLKtA I wcucTtbH | Avis complémentairede dela la Commission Commissionnationale nationalepour pourla la protection protectiondes des Avis complémentaire ■ r données relatif relatif au au projet de de loi loi n° n° 7961 13/24 13/24 5. Droits Droits et et limitation limitation des des droits droits des des personnes personnes concernées concernées 5. 38. 38. Bienqu’une qu'une limitation limitation soit soit prévue prévuedans dans les les amendements amendements apportés apportés par parles les auteurs auteurs du duprojet projet de de Bien loi, la la CNPD CNPD souhaite souhaite rappeler rappeler dans dans uun premier temps temps les les principes principes et et la la jurisprudence loi, n premier jurisprudence applicables en en matière matière de dedroit droit d’accès. d'accès. La Lacompréhension compréhension dde cesprincipes principes revêt revêtune uneimportance importance applicables e ces particulière dans dans la la mesure mesure où oùcelle-ci celle-ci devrait devrait permettre permettre aau législateur de de rédiger rédiger les les dispositions dispositions particulière u législateur prévoyant une une limitation au au droit droit d’accès d'accès sur sur base base de del’article l'article 23 23 du du RGPD RGPD (qui (qui exige exige une une mesure mesure législative e type législative pour pour cce type d’exception) d'exception) avec avec suffisamment sufïïsamment de de précision, précision, comme comme le le recommande recommande le le 17 CÉPDdans dans ses ses lignes lignes directrices directrices relatives relatives aux auxlimitations limitations sur surbase base dde l'article 23 23 du duRGPD RGPD17. CEPD e l’article . LaCNPD CNPD rappelle rappelle qu’en qu'en vertu vertu ddu considérant 41 41 ddu RGPD, «« [l]orsque [IJorsque le le présent présent règlement règlement fait fait La u considérant u RGPD, référenceàà une une base basejuridique ou à une une mesure mesure législative, législative, cela cela ne ne signifie signifiepas pasnécessairement nécessairement référence juridique o uà que l'adoption l'adoption d'un d'un acte acte législatif législatifpar par un un parlement parlement est est exigée, exigée, sans sans préjudice préjudice des des obligations obligations que prévues een vertu dde l'ordre constitutionnel constitutionnel de de l'État l'Bat membre membre concerné. concerné. Cependant, Cependant, cette cette base base prévues n vertu e l'ordre juridique ou 'juridique oucette cette mesure mesure législative lé Islative devrait devrait être êtreclaire claire et et précise réciseet etson son application a lication devrait devrait être prévisible révisible pour our les justiciables 'usticiables [. [... .] J» ».. être A. Rappel des des principes principes een matière dde droit d’accès d'accès aux auxinformations informations relatives relatives A. Rappel n matière e droit aux opérations opérations dde consultation dont dont ont ont fait fait l’objet l'objet les les données données àà caractère caractère aux e consultation personnel u bénéficiaire personnel ddu bénéficiaireeffectif 39. 39. L'article15.1 15. 1 ddu RGPDdispose dispose que que «« [Ija [l]apersonne personne concernée concernéeaa le ledroit droitd'obtenir d'obtenirdu duresponsable responsable L’article u RGPD du traitement la confirmation que des données à caractère personnel la concernant sont ou ou ne ne du traitement la confirmation que des données à caractère personnel la concernant sont sontpas pastraitées traitées et, et, lorsqu'elles lorsqu'elles le lesont, sont, l'accès /'accèsauxdites auxdites données données àà caractère caractère personnel personnel ainsi ainsique que sont tes informations suivantes: les informations suivantes:
24. a)les les finalités finalités du du traitement; traitement;
25. a)
26. b)les lescatégories catégories de dedonnées donnéesàà caractère caractèrepersonnel personnel concernées; concernées;
27. b)
28. e)les les destinataires destinataires ou ou catégories catégories de de destinataires destinataires auxquels auxquels les les données données àà caractère caractère
29. c)personnelont ontété étéou ouseront serontcommuniquées, communiquées, en enparticulier particulierles lesdestinataires destinatairesqui quisont sontétablis établis personnel dans des des pays pays tiers tiers ou ou les les organisations internationales; internationales; dans
30. d)lorsque lorsque cela cela est est possible, possible, la la durée duréede de conservation conservation des des données donnéesàà caractère caractèrepersonnel personnel
31. d)envisagée ou, ou, lorsque lorsque ce ce n'est n'est pas pas possible, possible, les les critères critères utilisés utilisés pour pour déterminer déterminer cette cette envisagée durée; [...]. [... ]. » La CJUE CJUE interprète interprète cette cette disposition disposition de de manière manière très très large, large, cce qui aa pour pour effet effet une une portée portée très très La e qui large des des informations informations que que le le responsable responsable du du traitement traitement doit doit fournir fournir àà la la personne personne concernée. concernée. large 17Comité Comitéeuropéen européen de de la la protection protection des des données, données, Lignes Lignes directrices directrices 10/2020 10/2020 concernant concernant les les limitations limitations au au titre titre de de l'article23 23du duRGPD, R'GPD,Version Version2.1, 2.1,adoptées adoptéesle le13 1 3 octobre octobre 2021 2021 (cf. (cf.3.2 3.2 «« Mesures Mesureslégislatives législativesétablissant établissantdes deslimitations limitations l’article etnécessité nécessitéqu'elles soient prévisibles prévisibles », », paragraphes 16 16 et et suiv.) suiv.) et qu’elles soient 17 CNPDl "oL,":' t'RW.CTJÜN I 0e$90.*MES I Aviscomplémentaire complémentairede dela laCommission Commissionnationale nationalepour pourla laprotection protection des des Avis données relatifau auprojet projetde deloi loin° n"7961 7961 relatif 14/24 14/24 Cela s’explique s'explique notamment notamment par par le le fait fait que que cette dernière doit doit non seulement seulement être être en en mesure d’en d'en vérifier l’exactitude mais elle doit également pouvoir vérifier que ses données sont traitées vérifier l'exactitude mais elle doit également pouvoir vérifier que ses données sont traitées de de 18 manière licite1 8. Pour toute personne manière licite . Pour ccee faire, faire, toute concernée devrait devrait alors alors avoir avoir le le droit droit de de connaître personne concernée connaître et n particulier, u traitement et de de se se faire faire communiquer, communiquer, een particulier, les les finalités finalités ddu traitement de de ses ses données données àà caractère caractère personnel, si possible la durée du traitement, l’identité des destinataires de ces données personnel, si possible la durée du traitement, l'identité des destinataires de ces données ainsi 19 que que la la logique qui qui sous-tend leur leur traitement traitement19. . 40. 40. Dans n arrêt juin 2023, e se Dansuun arrêtdu du22 22juin 2023, la la CJUE CJUEaa eu eu l’occasion l'occasion dde se prononcer prononcer sur sur des desopérations opérations de de consultation de données à caractère personnel. Il ressort d e cette décision que ce type consultation de données à caractère personnel. Il ressort de cette décision que ce type d’opérations n traitement u RGPD e sorte d'opérations constitue constitue uun traitement au ausens sens de del’article l'article 4.2 4. 2 ddu RGPD dde sorte que queces cesopérations opérations ouvrent u RGPD, ouvrent àà la la personne personne concernée, concernée, en en vertu vertu de de l’article l'articte 15.1 15. 1 ddu RGPD, non non seulement seulement un un droit droit à Il'accès accès de ces données à caractère personnel, mais également u n droit à se voir communiquer de ces données à caractère personnel, mais également un droit à se voir communiquer les lesinformations informationsen enlien lienavec avecces cesopérations opérationsde deconsultation, consultation, telles telles qu’elles qu'elles sont sontmentionnées mentionnéespar par cette dernière dernière disposition cette jugé que les informations relatives à des opérations a ainsi jugé disposition2200.. LLaa CJUE a les relatives à des opérations que d e consultation de consultation des des données données àà caractère caractère personnel personnel d’une d'une personne, personne, portant portant sur sur les les dates dates et et les les finalités finalités de de ces ces opérations, opérations, constituent constituent des desinformations informations que que cette cette personne personne aa le ledroit droitd’obtenir d'obtenir du du responsable du traitement e n vertu d e l’article 15.1 d u RGPD. La Cour a toutefois précisé que responsable du traitement en vertu de l'article 15. 1 du RGPD. La Cour a toutefois précisé que l’article e consacre n tel l'article 15.1 15. 1 du du RGPD RGPD nne consacre pas pas uun tel droit droit s’agissant s'agissant des des informations informations relatives relatives àà l’identité l'identité des des salariés salariés dudit dudit responsable responsable ayant ayant procédé procédé àà ces ces opérations opérations sous sous son son autorité autorité et etconformément conformément à à ses ses instructions, instructions, àà moins moins que que ces ces informations informations soient soient indispensables indispensables pour pour permettre permettre àà la la personne personne concernée concernée d’exercer d'exercer effectivement effectivement les les droits droits qui qui lui lui sont sont conférés conférés par par le le RGPD RGPD et et àà 21 condition qu’il tenu compte des des droits condition e ces droits et des des libertés qu'il soit tenu libertés d de salariés21.. ces salariés 41 41. LBR, n principe LBR, agissant agissant en en tant tant que que responsable responsable de de traitement, traitement, devrait devrait donc donc een principe (et (et en en l’absence l'absence d’une limitation prévue par la loi) répondre à la demande d’accès d’un bénéficiaire d'une prévue par la loi) répondre la demande d'accès d'un bénéficiaire effectif concernant u RBE les opérations opérations de de consultation consultation par par les les personnes personnes ayant ayant accès accès aau RBE et et concernant les communiquer les dates et u RBE. et les motifs de la la consultation consultation d du RBE. 42. E n ce En ce qui qui concerne concerne la la divulgation divulgation de de l’identité l'identité des des personnes personnes qui qui ont ont consulté consulté le le RBE RBE dans dans le le cadre d’une demande d’accès, il convient tout d’abord d e rappeler la définition de « destinataire cadre d'une demande d'accès, il convient tout d'abord de rappeler la définition de « destinataire »» dans u RGPD u morale, dans l’article l'article 4.9 4. 9 ddu RGPD :: «« la la personne personne physique physique oou morale, l'autorité l'autorité publique, publique, le le service service ou ou tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse o u non ou non d'un d'un tiers. tiers. Toutefois, Toutefois, les les autorités autorités publiques publiques qui qui sont sont susceptibles susceptibles de de recevoir recevoir communication de données à caractère personnel dans le cadre d’une mission d'enquête communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière u droit u au particulière conformément conformément aau droit de de l'Union l'Union oou au droit droit d'un d'un État État membre membre ne ne sont sont pas pas considérées considérées comme comme des des destinataires; destinataires; le le traitement traitement de de ces ces données données par par les les autorités autorités publiques publiques 18 arrêt du 12 janvier janvier 2023, ÔsterreichischePost, 2023, Ôsterreichische Post, C-154/21, C-154/21, EU:C:2023:3, 37 ;; CJUE, arrêt du EU:C:2023:3, point du 4 4 mai mai 2023 I8 CJUE, CJUE, arrêt CJUE' .arrêt du_12 point 37 2023, Osterreichische Datenschutzbehôrde et CRIF, C-487/21, EU:C:2023:369, point 34 Datenschutzbehôrde et CRIF, C-487/21, EU:C:2023:369, point 34 19 19«« Une Unepersonne personneconcernée concernéedevrait devraitavoir avoirle ledroit droitd'accéder d'accéderaux auxdonnées donnéesàà caractère caractèrepersonnel personnel qui quiont ontété étécollectées collectées à exercer ce à son sonsujet sujetet etdd'exercer cedroit droitfacilement facilementet etàà des desintervalles intervallesraisonnables, raisonnables,afin afinde deprendre prendreconnaissance connaissancedu dutraitement traitement et et d'en d'en vérifier vérifier la la licéité. licéité. [...] [... ] En En conséquence, conséquence, toute toute personne personne concernée concernée devrait devrait avoir avoir le le droit droit de de connaître connaître et et de de se se faire fairecommuniquer, communiquer, en enparticulier, particulier, les lesfinalités finalitésdu dutraitement traitementdes desdonnées donnéesàà caractère caractèrepersonnel, personnel, sisipossible possiblela ladurée durée du e ces dutraitement traitement de deces cesdonnées donnéesàà caractère caractèrepersonnel, personnel, l'identité l'identitédes desdestinataires destinataires dde cesdonnées donnéesàà caractère caractèrepersonnel, personnel, la la logique logique qui qui sous-tend spus-tend leur leuréventuel éventuel traitement traitement automatisé automatiséet et les lesconséquences conséquences que que ce cetraitement traitement pourrait pourraitavoir, avoir, au au moins mo/nsen en cas casde deprofilage. profilage. »» (considérant (considérant63 63 du du RGPD). RGPD). 20 juin 2023, 20CJUE, CJUE,arrêt arrêtdu du22 22juin 2023,Pankki PankkiS, S,C-579/21, C-579/21 ,EU:C:2023:501, EU:C:2023:501,point point61 61 21 rrn fp arrêt ri. i ?2 juin 2023, Pankki S, C-579/21, EU:C:2023:501, point 83 21 CJUE, arrêtdu22juin 2023, Pankki S, C-579/21 , EU:C:2023:501, point 83 CNPD COMMIES'ON KApQNAlE ";S.°; Avis complémentaire Avis complémentairede dela la Commission Commissionnationale nationalepour pourla laprotection protection des des ,.o^ DE5DONNÉES données relatif relatif au au projet projet de de loi loi n° n° 7961 7961 15/24 15/24 question est est conforme conforme aux aux règles règles applicables applicables en en matière matière de de protection protection des des données données en en een n question er 5°) de la loi fonction des finalités du traitement ». Toute autorité nationale au sens de l'article 1er fonction des finalités du traitement ». Toute autorité nationale au sens de l’article 1 5°) de la loi RBE consultant consultant le le RBE RBE dans dans le le cadre cadre d'une d'une mission mission d'enquête d'enquête en en matière matière de de lutte lutte contre contre le le RBE blanchiment et de financement du terrorisme n'est donc de toute façon pas considérée comme blanchiment et de financement d u terrorisme n’est donc de toute façon pas considérée comme destinataire au au sens sens ddu RGPD et et n’aura n'aura pas pas àà être être mentionnée mentionnée dans dans le le cadre cadre de de la la réponse réponse àà destinataire u RGPD unedemande demanded’accès d'accèspar paruun bénéficiaireeffectif. effectif. une n bénéficiaire Concernant la la référence référence aux aux destinataires destinataires dans dans le le cadre cadre d’une d'une demande demande d’accès, d'accès, ilil convient convient de de Concernant considérer que les informations fournies à la personne concernée au titre du droit d'accès prévu considérer que les informations fournies à la personne concernée a u titre d u droit d’accès prévu à l’article l'article 15.1.
32. c)15. 1.
33. e)du duRGPD RGPD doivent doivent être êtreles les plus plus exactes exactes possibles. possibles. La LaCJUE CJUE aa ainsi ainsijugé22 à jugé22 :: « 43. 43. [.[.... .]] ililconvient convient de deconsidérer considérer que que les les informations informations fournies fournies àà la la personne personne concernée concernée « au titre du droit d'accès prévu à l'article 15, paragraphe 1, sous e), du RGPD doivent être au titre du droit d’accès prévu à l’article 15, paragraphe 1, sous c), du RGPD doivent être tes plus plus exactes exactes possibles. possibles. EEn particulier, ce ce droit droitd’accès d'accèsimplique implique la la possibilité possibilitépour pourla la les n particulier, personne concernée concernée d’obtenir d'obtenirde lapart partdu duresponsable responsable du dutraitement traitement les lesinformations informations sur sur personne d e la tes destinataires spécifiques spécifiques auxquels auxquels les les données données ont ont été étéoou seront communiquées ou, ou, les u seront alternativement, de de choisir choisir de de se se borner borner àà demander demander des des informations informations concernant concernant les les alternativement, catégories de destinataires. » catégoriesde Si la la personne personne concernée concernée n’en n'en aa pas pas décidé décidéautrement, autrement, le le responsable responsable du du traitement traitement doit doit ainsi ainsi Si indiquer indiquerles les destinataires destinataires concrets, concrets, àà moins moins qu’il qu'il soit soitimpossible impossible d’identifier d'identifierces ces destinataires destinataires ou ou si le responsable du traitement démontre que la demande d'accès de la personne concernée est si le responsable du traitement démontre que la demande d’accès de la personne concernée est 23 manifestement infondée infondéeoou excessive au au sens sens de del’article l'article 12.5 12. 5 du duRGPD RGPD23. manifestement u excessive . 43. 43. La Commission Commission nationale nationale déduit déduit des des interprétations interprétations récentes récentes données données par par la la CJUE CJUE àà l’article l'article 15 15 La du RGPD qu'un bénéficiaire effectif pourrait en principe (et en t'absence d'une limitation prévue du RGPD qu’un bénéficiaire effectif pourrait e n principe (et e n l’absence d’une limitation prévue par la la loi) loi) demander demander àà LBR LBR communication communication de de l’identité l'identité des des personnes personnes ayant ayant consulté consulté ses ses par données dans dans le le RBE. RBE. Cela Cela pourrait pourrait se se traduire, traduire, dans dans le le cadre cadre de de la la réponse réponse àà une une demande demande données er d'accès, par par la la désignation désignation d’une d'une autorité autorité nationale nationale listée listée àà l’article l'article 11er 5°) de de la la loi loi RBE, RBE, d’un d'un d’accès, 5°) service de de l'État, l'État, d’une d'une administration administration oou établissement public public n’agissant n'agissant pas pas dans dans le le cadre cadre d'une d'une service u établissement mission d'enquête d'enquête particulière particulière ;; par par la la communication communication de de la la dénomination dénomination sociale sociale dduu mission professionnel u de professionnel oou de l’institution t'institution financière; financière; la la désignation désignation d’un d'un organisme organisme d’autorégulation d'autorégulation listé liste àà i'article 2-1 2-1 dde la loi loi ddu 12 novembre novembre 2004 2004 relative relative àà la la lutte lutte contre contre le le blanchiment blanchiment et et contre contre le le l’article e la u 12 financement du terrorisme ou encore de la personne démontrant un intérêt légitime. La CNPD financement d u terrorisme ou encore d e la personne démontrant u n intérêt légitime. La CNPD précise toutefois toutefois que que l’identité l'identité de de la la personne personne physique physique employée employée au au sein sein des des structures structures précise précédemment u RBE précédemment citées citées et et ayant ayant procédé procédé àà la la consultation consultation ddu RBE sous sous leur leur autorité autorité et et conformément à leurs instructions n’a n'a pas pas à être être communiquée. communiquée. 44. 44. Néanmoins, le le droit droit àà la la protection protection des des données données àà caractère caractère personnel personnel n’étant n'étant pas pas uun droit Néanmoins, n droit 24 absolu24,, des deslimitations limitations au au droit droitd’accès d'accèsddu bénéficiaireeffectif effectifpeuvent peuvent être êtremises mises en en place. place. absolu u bénéficiaire 22CJUE, CJUE,arrêt arrêtdu du12 12janvier 2023, Ôsterreichische ÔsterreichischePost, Post, C-154/21, C-154/21 , EU:C:2023:3, EU:C:2023:3 point point 43 43 janvier 2023, 23EDPB ED'PBGuidelines Guidelines 01/2022 01/2022on ondata datasubject subject rights rights-- Right Rightofaccess, ofaccess. Version Version 2.0, 2. 0, Adopted Adopted on on28 28March March2023 2023(point (point 22 23 117) 117) 24 24Considérant 4 du RGPD RGPD CNPD CNPDi Avis complémentaire complémentaire de de la la Commission Commission nationale nationale pour pour la la protection protection des des Avis données relatif relatif au au projet de de loi n° n" 7961 7961 16/24 16/24 B. u droit B. Limitations Limitationsaau droit d’accès d'accèsdes des bénéficiaires bénéficiaireseffectifs 45. 45. IlIl ressort et 19quater que compte ressort des des commentaires commentaires des des articles articles 19ter 19te/-et 19çuate/-que compte tenu tenu de de la la sensibilité sensibilité dduu sujet e pas sujet et et compte compte tenu tenu de de l’obligation l'obligation imposée imposée au au gestionnaire gestionnaire par par l'article l'article 13.3 13. 3 de de nne pas communiquer à l'entité immatriculée ou à u n bénéficiaire effectif des informations sur communiquer à l'entité immatriculée ou à un bénéficiaire effectif des informations sur les consultations consultations faites faites par par les les autorités autorités nationales, nationales, les les organismes organismes d’autorégulation, d'autorégulation, les les personnes personnes qui démontrent u n intérêt légitime, les journalistes professionnels, les organisations nationales qui démontrent un intérêtlégitime, lesjournalistes professionnels, les organisations nationales de de la la société sociétécivile, civile, les les autres autres institutions institutions financières financièreset et autorités autorités nationales, nationales, une une restriction restriction du du droit droit d'accès 3d u RGPD, d'accèsest estprévue prévueerconformément conformémentàà l'article l'article 223 du RGPD,notamment notamment sous sousles leslettres lettres d), d), g), g),
34. h)h)et et
35. i)
36. i)du du paragraphe 11er- 46. 46. La 3 et La CNPD CNPD note note avec avec satisfaction satisfaction la la référence référence àà l’article l'article 223 et àà ses ses différentes différentes conditions conditions d application par les auteurs d u projet de loi dans le commentaire des articles. Elle rappelle d'application parles auteurs du projet de loi dans le commentaire des articles. Elle rappelle àà cet cet égard que 3d égard 25 que le le CEPD CEPD aa adopté adopté des des lignes lignes directrices directrices concernant concernant l’application l'application de de l’article l'article 223 duu RGPD RGPD25.. Ces Ces lignes lignes directrices directrices précisent précisent notamment notamment que que les les autorités autorités de de contrôle contrôle doivent doivent être être consultées consultées avant avant l’adoption l'adoption de de telles telles mesures mesures et et qu’elles qu'elles doivent doivent pouvoir pouvoir contrôler contrôler leur leur application. application. 47. 47. Le Le nouvel nouvel article article 19quater 19quater introduit introduit par par les les amendements amendements dispose dispose ainsi: ainsi: « e l'exercice «