Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises Deliberation n° 26/AV13/2023 du 31 mars 2023. a 1. Conformement !'article 57.1.
- c)du reglement 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif la protection des personnes physiques l'egard du traitement des donnees caractere personnel et la libre circulation de ces donnees, et abrogeant la directive 95/46/CE (ci-apres le« RGPD »), auquel se refere !'article 7 de la loi du 1er aoQt 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees, la Commission nationale pour la protection des donnees (ci-apres la« Commission nationale » ou la « CNPD ») « conseil/e, conformement au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives la protection des droits et Jibertes des personnes physiques l'egard du traitement ». a a a a a a Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 1/21 L'article 36.4 du RGPD dispose que « [/Jes Etats membres consultent l'autorite de contr6/e dans le cadre de /'elaboration d'une proposition de mesure legislative devant etre adoptee par un parlement national, ou d'une mesure reg/ementaire fondee sur une telle mesure legislative, qui se rapporte au traitement ». 2. Par courriers en date du 20 janvier 2022, Madame la Ministre de la Justice a invite la Commission nationale a se prononcer sur le projet de loi modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les com ptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, (ci-apres le « projet de loi ») ainsi que sur les projets de reglements grand-ducaux suivants : Le projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprise ; 2° le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs (ci-apres le « projet de reglement grand-ducal I ») ; et Le projet de reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprise (ci-apres le « projet de reglement grand-ducal II »). 3. En ce qui concerne le projet de loi, ii ressort de !'expose des motifs que ce dernier a notamment pour objectif de « renforcer la qualite des informations inscrites au registre de commerce et des societes et a doter son gestionnaire de nouveaux moyens, afin que soit mise en reuvre une politique efficace de suivi des personnes et entites immatricu/ees et s'assurer de leur mise en conformite par rapport a Jeurs obligations d'inscription et de depot au registre de commerce et des societes ». Les auteurs du projet de loi precisent encore qu'il serait « primordial pour l'Etat de pouvoir exploiter des banques de donnees fiables et actuel/es, a/ors que tant le registre de commerce et des societes que le registre des beneficiaires effectifs apparaissent comme des outils incontournables, ces derniers etant Jes principales sources d'informations sur Jes personnes morales du pays». Le projet de loi entend introduire des dispositions visant a remplir de tels objectifs. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 2/21 4. En ce qui concerne les projets de reglements grand-ducaux, ces derniers ont pour objectifs de preciser les criteres de consultation du registre de commerce et des societes (ciapres le « RCS ») et du registre des beneficiaires effectifs (ci-apres le « RBE »). 5. Bien que la CNPD ait ete saisie individuellement du projet de loi et du projet de reglement grand-ducal I, d'une part, et du projet de reglement grand-ducal II, d'autre part, elle propose de traiter !'ensemble de ces projets dans un meme avis alors que ces derniers soulevent des questions similaires, voire identiques, ayant trait a la protection des donnees et a la vie privee. I. Remargues liminaires 6. II convient de relever que les informations qui figurent au RCS et au RBE ne sont pas toutes a considerer comme des donnees a caractere personnel au sens de !'article 4.1. du RGPD 1 . En effet, certaines des informations qui figurent au RCS et au RBE concernent des personnes morales. Le considerant 14 du RGPD enonce que le RGPD « ne couvre pas le traitement des donnees a caractere personnel qui concernent /es personnes morales, et en particulier des entreprises dotees de la personnalite juridique, y compris le nom, la forme juridique et /es coordonnees de la personne morale ».Toutefois, des informations ayant trait a des personnes morales peuvent, le cas echeant, concerner des personnes physiques (par exemple, si elles incluent le nom du gerant de la societe) et doivent done etre considerees comme des donnees a caractere personnel. 7. Des lors, le RGPD ne s'appliquera qu'aux donnees a caractere personnel qui seraient traitees dans le cadre des dispositions des textes sous examen . Les developpements ci-apres se referent done aux traitements qui tombent dans le champ d'application du RGPD . 1 L'article 4.1. du RGPD dispose qu' « {a]ux fins du present reglement, on entend par : donnees a caractere personnel», toute information se rapportant a une personne physique identifiee ou identifiable (ci-apres denommee «personne concernee») ; est reputee etre une «personne physique identifiable» une personne physique qui peut etre identifiee, directement ou indirectement, notamment par reference a un identifiant, tel qu'un nom, un numero d'identification, des donnees de localisation, un identifiant en ligne, ou un ou plusieurs elements specifiques propres son identite physique, physiologique, genetique, psychique, economique, culture/le ou sociale ». a a Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 3121 II. Sur le role des differents acteurs 1. Remarques liminaires 8. II convient de rappeler que la notion de responsable du traitement est un concept fonctionnel en ce qu'il vise a repartir les responsabilites en fonction des roles reels des parties 2 . Cela signifie que le statut juridique du ministre ayant la Justice dans ses attributions (ci-apres le « ministre ») en tant que responsable du traitement, tel que defini par les textes sous avis, doit etre determine parses activites reelles plutot que par sa designation formelle. II en va de meme pour le gestionnaire du RCS , et pour le gestionnaire du RBE qui agissent, selon les dispositions sous examen, en tant que « sous-traitant » du ministre. 9. Or, comme souleve infra 3 , la Commission nationale se demande si dans les faits le role du gestionnaire du RCS et du gestionnaire du RBE n'irait pas au-dela du role de sous-traitant du ministre et que ces derniers agiraient en tant que responsable du traitement. Des lors, ii est important de veiller ace que les dispositions des textes sous examen refletent la realite du role du ministre, du gestionnaire du RCS et du gestionnaire du RBE. 2. Quant au RCS A. L'article 1er du projet de loi 10. L'article 1er du projet de loi entend remplacer !'article 2 de la loi modifiee du 12 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises (ci-apres la « loi RCS »). Les nouvelles dispositions de cet article 2, tel que modifie par !'article 1er du projet de loi, prevoient que le RCS « fonctionne sous /'autorite » du ministre ayant la Justice dans ses attributions (ci apres le « ministre ») « qui a la qualite de responsable du fichier au sens du [RGPDJ ». 2 Vair paragraphe 12, page 10 des lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD du Comite Europeen de la protection des Donnees, adoptees le 7 juillet 2021 , version 2.0., disponibles sous : https://edpb.europa .eu/our-work-tools/our-documents/guidelines/guidelines-072020-conceptscontroller-and-processor-gdpr fr. 3 Vair pa rag rap hes 17 a 19, 22 a 23 et 65 a 66 du present avis. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 4/2 1 11. S'il convient de saluer les auteurs du projet de loi pour avoir apporte de telles precisions , la CNPD propose de remplacer la notion de « responsable du fichier », qui est etrangere au RGPD, par les termes exacts definis par le RGPD, a savoir la notion de « responsable du traitement »4 • 12. Les nouvelles dispositions de !'article 2 precite prevoient encore que « la gestion du [RCS] est confiee a un groupement d'interet economique, regroupant l'Etat, la Chambre de commerce et la Chambre des metiers, constitue a cette fin, qui a la qualite de sous-traitant du fichier au sens du [RGPDJ ». La CNPD comprend qu'il s'agit du groupement d'interet economique denomme « LUXEMBOURG BUSINESS REGISTERS» (ci-apres le« LBR » ou le« gestionnaire »). 13. Par ailleurs, en ce qui concerne la notion de « sous-traitant du fichier », ii convient de noter que le RGPD definit le « sous-traitant » corn me« la personne physique ou morale, l'autorite publique, le service ou un autre organisme qui traite des donnees a caractere personnel pour le compte du responsable du traitement » 5 • Les dispositions, telles que redigees actuellement, sousentendent que le LBR, en tant gestionnaire du RCS, serait sous-traitant du RCS. Or, en vertu des dispositions de !'article 2 du projet de loi le gestionnaire du RCS devrait traiter des donnees pour le compte du ministre et non pour le compte du RCS. II est done suggere de supprimer les termes « du fichier ». 14. En outre, ii est encore precise que le« Centre des technologies de /'information de l'Etat [ci-apres le « CTIE »] est charge de la gestion informatique du fichier et a egalement la qualite de sous-traitant du fichier au sens du [RGPDJ ». La CNPD se permet de renvoyer ses observations formulees ci-avant en ce qui concerne la notion de « sous-traitant du fichier ». a 4 Voir article 4.7. du RGPD qui dispose que le responsable du traitement est« la personne physique ou morale, /'autorite publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, determine /es finalites et /es moyens du traitement; /orsque /es finalites et /es moyens de ce traitement sont determines par le droit de /'Union ou le droit d'un Etat membre, le responsable du traitement peut etre designe ou /es criteres specifiques applicables a sa designation peuvent etre prevus par le droit de /'Union ou par le droit d'un Etat membre ». 5 Voir article 4.8. du RGPD. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 5/21 B. L'article 8 du projet de reglement grand-ducal II 15. L'article 8 du projet de reglement grand-ducal II a pour objet de modifier !'article 22 du reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi RCS (ci-apres le « reglement grand-ducal portant execution de la loi RCS »). 16. Les dispositions de !'article 22.2., tel que modifie par !'article 8 du projet de reglement grand-ducal II, prevoient que le gestionnaire du RCS serait charge de valider prealablement les demandes d'acces motivees par des besoins professionnels afin de mettre a disposition « tout ou partie des informations publiques inscrites et documents publics deposes au [RCS]». II est encore precise a l'alinea 2 desdites dispositions que le gestionnaire du RCS « communique a intervalle regulier la liste des personnes ayant obtenu son accord au ministre ayant la Justice dans ses attributions ». 17. Cependant, ii ya lieu d'attirer !'attention des auteurs du projet de reglement grand-ducal II sur le fait que l'entite qui determine les categories de destinataires des donnees, c'est-a-dire qui aura acces aux donnees, est a considerer comme un responsable du traitement. En effet, le Comite Europeen de la Protection des Donnees considere que « [t]raditionnellement, /es « moyens essentiels » sont intrinsequement reserves au responsable du traitement. Si /es moyens non essentiels peuvent egalement etre determines par le sous-traitant, /es moyens essentiels doivent etre decides par le responsable du traitement. On entend par « moyens essentiels » ceux qui sont etroitement lies la finalite et la portee du traitement, tels que ( ...) /es categories de destinataires (« qui aura acces aux donnees? ») (. . .). Outre la finalite du traitement, /es moyens essentiels sont aussi etroitement lies a la question de savoir si le traitement est licite, necessaire et proportionne » 6 • a a 18. Au vu de ce qui precede, les dispositions precitees auraient done pour consequence de qualifier le gestionnaire du RCS en responsable du traitement. Or, de telles dispositions sont contraires aux dispositions de !'article 2 du projet de loi qui designe expressement le gestionnaire 6 Voir paragraphe 40, page 17 des lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD du Comite Europeen de la protection des Donnees, adoptees le 7 juillet 2021, version 2.0., disponibles sous : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-conceptscontroller-and-processor-gdpr fr Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 6/21 du RCS en tant que sous-traitant du ministre. La CNPD se permet egalement de renvoyer sur ce point aces developpements formules aux paragraphes 8 et 9 ci-avant. 19. En outre, ces dispositions sont egalement contraires aux declarations du LBR faites dans le cadre d'une enquete ayant ete diligentee a son encontre par la CNPD. En effet, ii ressort de la decision du 4 mars 2022 de la CNPD, siegeant en formation restreinte, sur l'issue de l'enquete menee aupres du ministere de la Justice qu' « {i]I ressort par ailleurs du compte rendu de la reunion des agents de la CNPD du 20 juin 2019 aupres du LBR que le« ministere de la Justice considere que la Joi ainsi que le reglement d'execution sont specifiques a un tel point que le LBR est considerer comme simple sous-traitant et ne rentre pas en relation de responsabilite conjointe avec le ministere de la Justice» » 7 • a 20. Des lors , afin d'eviter tout probleme ulterieur d'interpretation en ce qui concerne le role du gestionnaire du RCS et dans un souci de securite juridique, ii est imperatif que les dispositions du projet de reglement grand-ducal II soient modifiees. La CNPD recommande ainsi aux auteurs du projet de reglement grand-ducal II de reformuler les dispositions en ce sens « [a]pres acceptation prealable par le gestionnaire du [RCS} le ministre ayant la Justice dans ses attributions d'une demande d'acces motivee par des besoins professionnels [. ..] » et de supprimer, en consequence, le deuxieme alinea du paragraphs 2. 3. Quant au Recueil electronique des societes et associations 21 . L'article 23 du projet de loi propose d'introduire a la suite de !'article 19-4 de la loi RCS, un nouvel article 19-5. 22. Ce nouvel article dispose que le Recueil electronique des societes et associations (ci apres le « RESA ») « fonctionne sous /'autorite » du ministre « qui a la qualite de responsable du fichier au sens du [RGPDJ ». Tout comme precise au paragraphs 6 ci-dessus, ii est recommande d'utiliser le terme de « responsable du traitement » au lieu de la notion de « responsable du fichier ». 7 Voir paragraphe 20 de la deliberation n°6FR/2022 du 4 mars 2022 de la Commission nationale siegeant en formation restreinte sur l'issue de l'enquete n°2798 menee aupres du ministere de la Justice, disponible sous : https://cnpd .public.lu/fr/decisions-sanctions/2022/decision-06-fr-2022.html. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 7/21 23. Les dispositions du nouvel article 19-5 prevoient encore que la gestion du RESA est confiee au LBR « qui a la qualite de sous-traitant du fichier au sens du [RGPDJ ». II est encore precise que le CTIE est charge de la gestion informatique du LBR et a egalement la« qualite de sous-traitant du fichier au sens du [RGPDJ ». Comme developpe precedemment, la CNPD estime que seule la notion de« sous-traitant » devrait etre utilisee 8 • Ill. Sur la « gualite des donnees inscrites » 24. La CNPD comprend que l'un des enjeux du projet de loi est !'amelioration de la « qualite des donnees inscrites »9 au RCS et au RBE. Aces fins, le texte sous examen entend donner au gestionnaire du RCS et du RBE la possibilite de mettre ajour « d'office » les informations inscrites auxdits registres. Cette mise a jour se ferait via l'acces a des fichiers tenus par d'autres administrations ainsi que par l'interconnexion du RCS et du RBE. 1. Remarques liminaires 25. II convient de noter que !'exactitude, l'exhaustivite et !'actualisation des donnees a toujours ete au creur des preoccupations du RCS. En effet, ii ressort du projet de loi concernant le RCS ainsi que la comptabilite et les comptes annuels des entreprises que « [p]ar analogie a la publicite fonciere, la publicite des principaux documents juridiques et financiers d'une entreprise tend a creer un climat de confiance aupres des investisseurs, en garantissant /'identification correcte des parties, d'une part, et des informations flab/es sur /eur situation financiere, d'autre part. II est partant dans l'interet public de veil/er au respect de differents criteres de fonctionnement essentiels du [RCS], tels que /'exactitude, l'exhaustivite et /'actualisation des donnees, de meme qu'a un acces convivial et decentralise a la documentation sous forme papier et electronique »10 • 26. Ces preoccupations sont d'ailleurs desormais formellement inscrites dans la loi RCS alors que !'article 1 de la loi RCS dispose que « [/Jes inscriptions prescrites par la loi de meme que toute modification se rapportant aux faits dont la loi ordonne /'inscription doivent etre portees sur le registre ». Cet article est, par ailleurs, complete par de nouvelles dispositions du projet de loi qui prevoient que « [/Jes informations inscrites doivent etre adequates, exactes et actuelles » 11 . 8 Voir egalement paragraphes 8 a 9 du present avis. 9 Voir expose des motifs, pages 17 et suiv. du projet de loi. 10 Voir document parlementa ire n°4581/00, pages 3 et suiv .. 11 Article 1 du proj et de loi. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuals des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 8/2 1 27. Quant au RBE, la qualite des donnees y inscrites est egalement une de ses preoccupations centrales. II est d'ailleurs inscrit a !'article 4.2. de la loi du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, telle que modifiee, (ci-apres la « loi RBE ») que les informations devant figurer au RBE doivent etre « adequates, exactes et actuel/es ». Cependant, ii ya lieu de noter que les objectifs du RBE repondent a des considerations de lutte contre le blanchiment et le financement du terrorisme 12 . Ses missions different done de celles du RCS. 2. Sur le respect du principe d'exactitude des donnees 28. II convient de rappeler que !'article 5.1.
- d)du RGPD dispose que « [l]es donnees a caractere personnel doivent etre exactes et, si necessaire, tenues a jour, toutes /es mesures raisonnables doivent etre prises pour que /es donnees a caractere personnel qui sont inexactes, eu egard aux fina/ites pour lesquelles el/es sont traitees, soient effacees ou rectifiees sans tarder ». 29. En vertu de ce principe , le responsable du traitement du RCS et du RBE devrait, d'ores et deja, s'assurer que les donnees a caractere personnel collectees sont exactes et, si necessaire, tenues a jour et prendre les mesures raisonnables qui s'imposent afin de rectifier ou d'effacer les donnees qui seraient inexactes. 3. Surles dispositions du projet de loi renfor~ant le mecanisme demise a jour des informations inscrites au RCS et au RBE 30. Le projet de loi entend « renforcer la qua/ite des informations inscrites au RCS et doter son gestionnaire de nouveaux moyens, afin que soit mise en reuvre une politique efficace de suivi des personnes et entites immatriculees et s'assurer de /eur mise en conformite par rapport a leurs obligations d'inscription et de depot au RCS» 13 . La meme logique est poursuivie en ce 12 La loi RBE transpose, en effet, !'obligation imposee par la 4ieme directive anti-blanchiment, telle que modifiee par la 5ieme directive anti-blanchiment, decreer un RBE. De meme qu'elle retranscrit les exigences du GAFI en matiere de transparence des personnes morales, notamment en ce que les pays« doivent utiliser un ou plusieurs mecanismes qui y sont proposes afin d'assurer la disponibilite des informations sur Jes beneficiaires effectifs des personnes morales». L'un des mecanismes proposes par le GAFI est « /'obligation d'obtention et de conservation par Jes « registres des societes » des informations jour sur Jes beneficiaires effectifs des societes », voir document parlementaire n°7217. 13 Voir expose des motifs, page 16 du projet de loi. a Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-duca l du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficia ires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 9/21 qui concerne le RBE 14 . Compte tenu des mIssIons du RCS et du RBE 15 , la CNPD peut comprendre la necessite de renforcer la qualite des informations. 31. Cependant, les nouveaux mecanismes envisages, tels que I'« acces a d'autres registres nationaux » ou « l'interconnexion du RCS et du RBE », sont a considerer comme de nouveaux traitements de donnees a caractere personnel. 32. La Commission nationale analysera ci-apres leur conformite d'un point de vue de la protection des donnees. A. Sur l'acces aux registres nationaux par le gestionnaire du RCS 33. L'article 21 du projet de loi propose d'introduire un nouvel alinea a !'article 15 de la loi RCS qui prendrait la teneur suivante : « [l]e gestionnaire du {RCS] met d'office jour Jes informations inscrites concernant Jes personnes et entites immatriculees au registre de commerce et des societes, qui Jui sont communiquees par Jes differents registres nationaux auxquels ii a acces ». a 34. L'article 22 du projet de loi propose encore d'introduire un article 15-1.2. qui dispose que « [d]ans Jes limites des missions devalues au gestionnaire du [RCS], qui visent la verification des inscriptions effectuees au [RCS] et la tenue jour des informations inscrites, le gestionnaire du [RCS] a un droit d'acces aux informations, meme individuelles, contenues dans Jes fichiers des administrations et services publics, collectees dans le cadre de leurs attributions ». a 35. Ence qui concerne le« mecanisme d'inscription d'office » vise a !'article 21 precite, celuici se baserait sur des informations detenues par le registre national des personnes physiques (ciapres le « RNPP ») et le registre des nationalites et des rues auxquels le gestionnaire du RCS aurait d'ores et deja acces 16 . Les auteurs du projet de loi expliquent a ce sujet que « si une personne physique, disposant d'un numero d'identifiant national, change son nom ou son prenom et qu'elle est en outre inscrite au RCS en qualite de mandataire d'une societe immatriculee, cette modification portee dans le [RNPPJ pourrait etre d'office repercutee dans le RCS, sans attendre que la societe concernee effectue elle-meme la demarche de modification au RCS». 14 Voir expose des motifs, page 18 du projet de loi. 15 Voir paragraphes 25 a 27 du present avis. 16 Voir commentaire des articles. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuals des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuals des entreprises 10/21 L'acces aces registres serait encore necessaire afin « d'executer un controle de /'information a inscrire ou inscrite dans la banque de donnees du RCS, par rapport a d'autres registres nationaux « sources», qui disposent egalement de /'information, afin de s'assurer de la coherence de cette derniere. II est en effet peu concevable, qu'une information relative a l'adresse du siege social d'une entreprise luxembourgeoise inscrite au RCS, ne soit pas conforme a cel/e figurant dans le registre national des localites et des rues par exemple. De meme, si /'information dans le registre « source » est ulterieurement modifiee, cette modification doit pouvoir etre automatiquement repercutee au RCS, sans autre demarche administrative» 17 • 36. En ce qui concerne l'acces aux informations contenues dans « /es fichiers des administrations et services publics» vises a !'article 22 precite, ces dispositions ant pour objet, selon le commentaire des articles, « d'ameliorer la qualite des donnees inscrites au RCS » en permettant au gestionnaire « de s'assurer de la coherence entre /'information transmise par un deposant ou contenue dans la banque de donnees et le fichier source ou figure deja cette information». Les auteurs du projet de loi precisent encore que ce droit d'acces serait « strictement lie d'une part, aux missions incombant au gestionnaire du RCS et d'autre part, aux informations a inscrire au RCS». 37. Malgre les explications ci-dessus, certaines zones d'ombre demeurent quant aux fichiers qui seraient effectivement vises ainsi qu'aux modalites d'acces a ces fichiers administratifs. En effet, outre le RNPP et le registre des nationalites et des rues, quels seraient les « fichiers des administrations et services publics» vises? Est-ce que le mecanisme d'inscription d'office consiste a un acces par le gestionnaire du RCS au RNPP et au registre des nationalites et des rues ou s'agit-il d'un mecanisme automatise de transmission de donnees du RNPP et du registre des nationalites et des rues vers le gestionnaire du RCS ? 38. En ce qui concerne l'acces au RNPP, ii y a lieu de rappeler qu'un tel acces devrait s'effectuer conformement a la procedure prevue par !'article 10 de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques ainsi qu'aux articles 5 a 7 du reglement grandducal du 28 novembre 2013 fixant les modalites d'application de la loi precitee. 39. En tout etat de cause, ii y a lieu de regretter que !'ensemble de ces dispositions ayant pour objet de renforcer la qualite des informations a inscrire ou inscrites au RCS ne soient pas 17 Voir expose des motifs, page 17 du projet de loi. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 11/21 redigees avec suffisamment de clarte et de precisions. En !'absence de telles precisions, ii est difficile d'apprecier si les principes generaux du RGPD seraient respectes en l'espece. 40. Ainsi, afin de respecter le principe de previsibilite et de precision auquel doit repondre tout texte legal ou reglementaire 18 , la CNPD estime indispensable que: Le mecanisme de mise a jour automatique soit clarifie - a tout le mains dans le commentaire des articles ; et Les registres qui seraient consultes pour de telles finalites soient expressement nommes dans les dispositions du projet de loi. 41. A toutes fins utiles, pour une meilleure lisibilite du texte sous avis, la Commission nationale suggere de regrouper dans un seul et meme article les dispositions des articles 21 et 22 alors que les dispositions semblent poursuivre la meme finalite a savoir la qualite des informations a inscrire ou inscrite au RCS via l'acces a des fichiers administratifs. B. Sur l'acces aux registres nationaux par le gestionnaire du RBE 42. L'article 32 du projet de loi entend introduire un nouvel article 16-1 dans la loi RBE. L'article 16-1.2. dispose que « [d]ans /es limites des missions devo/ues au gestionnaire, qui visent la verification des inscriptions effectuees au [RBEJ et la tenue ajour des inscriptions inscrites, le gestionnaire a un droit d'acces aux informations, meme individuel/es, contenues dans /es fichiers des administrations et services publics, collectees dans le cadre de leurs attributions ». L'article 16-1.3. dispose que « [l]e gestionnaire met d'office a jour Jes informations inscrites au [RBEJ concernant Jes entites immatriculees, qui Jui sont communiquees par Jes differents registres nationaux auxquels ii a acces ». 43. En !'absence de clarification et de prec1s1on au sujet desdites dispositions dans le commentaire des articles, ces dispositions suscitent les memes interrogations soulevees precedemment aux paragraphes 36 a 40 du present avis. 18 En ce sens, V. M. Besch, « Traitement de donnees a caractere personnel dans le secteur public », Normes et legistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres arret du 22 novembre 2022 de la CJUE dans les affaires jointes C-37/20 et C-601/20, § 47-48, CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 decembre 2015. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et las comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reg lement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 12/21 44. Ainsi, afin de respecter le principe de previsibilite et de precision auquel doit repondre tout texte legal ou reglementaire 19 , la CNPD estime indispensable que soient precises les fichiers auxquels le gestionnaire pourrait acceder et que soit clarifie le mecanisme de mise a jour d'office des informations . 45. Enfin, ii est interessant de noter que !'article 35 du projet de loi n°7989 portant modification de la loi modifiee du 2 septembre 2011 reglementant l'acces aux professions d'artisan, de commer9ant, d'industriel ainsi qu'a certaines professions liberales entend « instaurer un echange de donnees entre le [RBEJ et le ministre suite a la demande de ce dernier afin de maintenir des donnees jour pertinentes en matiere de lutte contre le blanchiment et contre le financement du terrorisme »20 . Des lors , cela ne devrait-il pas etre egalement reflate dans le projet de loi? a C. Sur l'interconnexion des « bases de donnees genies par le gestionnaire » 46. II ya lieu de relever que !'article 22 et !'article 32 entendent prevoir une interconnexion 21 entre le RCS et le RBE. 47. II ressort du commentaire des articles « qu'il est necessaire qu'une passerelle soit mise en place entre /es differentes banques de donnees gerees par le gestionnaire du RCS. En effet, a/ors que le [RBEJ et le RCS sont geres par le meme gestionnaire et concernent globalement /es memes entites, ces deux banques de donnees sont independantes et en l'etat actuel des textes, aucune communication entre ces dernieres n'est permise. Dans le cadre de la lutte contre le blanchiment d'argent et le financement du terrorisme, ii est done primordial que ces banques de donnees fassent l'objet d'une interconnexion, pour pouvoir notamment effectuer des controles automatiques et s'assurer de la mise ajour des donnees ». Les auteurs du projet de loi precisent encore que « cette interconnexion doit permettre de simplifier /es demarches administratives des entites immatriculees, une reprise de certaines donnees du RCS dans le RBE pouvant etre 19 En ce sens, V. M. Besch, « Traitement de donnees a caractere personnel dans le secteur public », Normes et legistique en droit public luxembourgeois, Luxembourg , Promoculture Larcier, 2019, p.469, n°619; V . entre autres arret du 22 novembre 2022 de la CJUE dans Jes affaires jointes C-37/20 et C-601/20, § 47-48, CourEDH , Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 decembre 2015. 20 Voir commentaire des articles « ad article 35 » du projet de Joi. 21 Ence qui concerne le terme « interconnexion », ii ya lieu de rappeler que sous l'egide de la Joi modifiee du 2 aout 2002 relative a la protection des personnes a l'egard du traitement des donnees a caractere personnel, desormais abrogee, le concept d' « interconnexion » y etait defini. Ce concept impliquait que Jes traitements des donnees etaient relies et pouvaient etre geres par Jes responsables des differents traitements concernes. Avis de la Commission nationale pour la protection des donnees relatif au projet de Joi n°7961 modifiant 1° la Joi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et Jes comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 13/21 proposee aux declarants, afin d'eviter a ces derniers de devoir saisir plusieurs fois Jes informations d'une meme personne, une fois pour Jes besoins du RCS et l'autre pour ceux du RBE ». 48. La CNPD comprend done que des qu'il y aura un changement en ce qui concerne les inscriptions requises au RCS, celles-ci seront repercutees au RBE, et vice-versa. Ce systeme devrait egalement permettre de verifier que les inscriptions figurant au RCS sont identiques a celles figurant au RBE, et reciproquement. 49. Cependant, et malgre les explications apportees par les auteurs du projet de loi, la CNPD regrette que le fonctionnement dudit systeme envisage n'ait pas ete davantage precise par les auteurs du projet de loi de sorte qu'elle n'est pas en mesure d'apprecier pleinement quelles pourraient etre les consequences eventuelles d'un point de vue de la protection des donnees. 50. Enfin, elle souhaite encore faire part de ses interrogations quant aux modalites de controle de la veracite des informations qui seraient modifiees, notamment en cas d'erreur dans la retranscription des informations. En effet, s'il s'agit d'un systeme automatise, ne faudrait-il toutefois pas prevoir un controle humain a posteriori afin d'eviter que des retranscriptions erronees soient repercutees dans !'ensemble desdits registres? b. Sur les dispositions des articles 22 et 32 du projet de loi 51. L'article 22 precite propose d'introduire un nouvel article 15-1 dans la loi RCS. Le paragraphe 1 de ce nouvel article dispose que « [/]a banque de donnees du [RCS] est interconnectee avec Jes autres banques de donnees, dont la gestion a ete deleguee au gestionnaire du [RCS]». 52. L'article 32 est le pendant de !'article 22 en ce qui concerne le RBE. Cet article propose d'introduire un nouvel article 16-2 dans la loi RBE, dont le paragraphe prend la teneur suivante « [/Jes fichiers du [RBEJ sont interconnectes avec la banque de donnees du [RCS]». 53. Si la volonte des auteurs du projet de loi est indeniablement de prevoir dans le projet de loi le principe d'une interconnexion entre le RCS et le RBE, force est de constater que cela n'est pas reflete clairement par les dispositions des articles 22 et 32 precite. En effet, les dispositions Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 14/21 ne sent redigees de fac;on similaire et la terminologie employee n'est pas la meme en ce qui concerne les fichiers qui seraient vises par une telle interconnexion. 54. En tout etat de cause et afin d'eviter toute confusion dans !'esprit du lecteur, ii est indispensable de clarifier expressement dans le projet de loi quelles seraient les bases de donnees qui feraient l'objet de cette transmission automatique de donnees. De meme que la CNPD recommande que ces dispositions soient redigees a l'identique dans les deux articles prevoyant un tel echange. B. Surles finalites poursuivies 55. II ya lieu de constater, en ce qui concerne le systeme de transmission envisage par le projet de loi, que les finalites poursuivies par ce systeme ne sent pas precisees par le projet de loi. 56. Or, d'apres le commentaire des articles, le systeme envisage entend poursuivre differentes finalites, a savoir la mise en place d'un controle automatique, la mise a jour des donnees, la simplification administrative ainsi que la lutte centre le blanchiment et le financement du terrorisme. 57. En tout etat de cause, afin de respecter le principe de previsibilite et de precision auquel doit repondre tout texte legal ou reglementaire 22 , la CNPD estime indispensable que soit precise dans le texte du projet de loi les finalites poursuivies par un tel systeme. Elle suggere les dispositions suivantes « dans le cadre des missions respectives du RCS et du RBE ii est prevu un systeme d'echange automatise[ ... ] ». 22 En ce sens, V. M. Besch, « Traitement de donnees a caractere personnel dans le secteur public », Normes et legistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres arret du 22 novembre 2022 de la CJUE dans les affaires jointes C-37/20 et C-601/20, § 47-48, CourEDH, Zakharov e. Russie [GCL n°47413/06]. § 228-229, 4 decembre 2015. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 15/21 IV. Sur l'acces aux informations et documents figurant au RCS et au RBE 1. Sur l'acces aux informations et documents figurant au RCS A. Remarques liminaires 58. En ce qui concerne l'acces au public en ligne aux informations et documents figurant au RCS, ii est interessant de noter que l'avis du Groupe de travail Article 29 sur la reutilisation des informations du secteur public et des donnees ouvertes indique que « [/]'un des principaux facteurs de risque est le volume croissant de donnees ligne et hors ligne, qu'elles soient accessibles au public ou qu'elles soient detenues par des organisations commerciales, et qui peuvent ensuite etre utilisees pour etablir le profil de personnes des fins de publicite comportementale et pour un eventail croissant d'autres finalites. Lorsqu'on Jes considere sous /'angle des « enormes volume de donnees » dont disposent deja ces organisations, /es [informations du secteur public] issues de donnees caractere personnel et rendues disponibles des fins de reutilisation pourraient augmenter la probabilite que Jes personnes puissent etre identifiees ou que leurs profi/s puissent etre enrichis, souvent a leur insu »23 • a a a a 59. II est encore precise dans cet avis que la « reutilisation de donnees caractere personnel accessibles au public est et devrait etre limitee par : • Les dispositions genera/es de la legislation applicable en matiere de protection des donnees, • (le cas echeant) des restrictions juridiques supplementaires specifiques, et • Des garanties techniques et organisationnelles mises en place pour proteger Jes donnees caractere personnel. »24 . a 60. La CNPD se permet plus particulierement d'attirer !'attention des auteurs du projet de loi sur les garanties techniques et organisationnelles qui devraient etre mises en place pour proteger 23 Avis 6/2013 du Groupe de travail Article 29 sur la reutilisation des informations du secteur public (ISP) et des donnees ouvertes, WP207, adopte le 5 juin 2013, page 16. 24 Avis 6/2013 du Groupe de travail Article 29 sur la reutilisation des informations du secteur public (ISP) et des donnees ouvertes, WP207, adopte le 5 juin 2013, page 9. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 16/21 a les donnees caractere personnel et renvoie plus particulierement sur ce sujet l'issue de l'enquete n°2798 menee aupres du ministere de la Justice 25 . a sa decision sur B. Sur les criteres de recherche publique sur le site du gestionnaire du RCS 61. Le paragraphe 1 de !'article 22, tel que modifie par le projet de reglement grand-ducal 11, entend encadrer les criteres de recherche public sur le site du gestionnaire du RCS. II est ainsi precise que la recherche s'effectue « partir du nom du commerc;ant personne physique, de la a denomination ou de la raison sociale de la personne morale ou de l'entite immatriculee au RCS ou par le biais du numero d'immatriculation au RCS» . 62. Tel qu'indique par les auteurs du projet de reglement grand-ducal 11 , de telles dispositions refletent les criteres de recherche actuellement disponibles. De plus, ii y a lieu de noter que ces dispositions ont vocation rem placer des dispositions anterieures qui etaient form ulees avec moins de precision . a 63. II convient des lors de feliciter les auteurs du projet de reglement grand-ducal II pour une telle reformulation . C. Sur la mise a disposition d'informations et de documents par le RCS pour des besoins professionnels 64. Le paragraphe 2 de !'article 22 du reglement grand-ducal portant execution de la loi RCS , tel que modifie par le projet de reglement grand-ducal II, dispose qu'« [a]pres acceptation prealable par le gestionnaire du [RCS] d'une demande d'acces motivee par des besoins professionnels et precisant /es finalites de la reutilisation de /'information detenue au [RCS], le gestionnaire peut mettre a disposition, par sa plateforme electronique, tout ou partie des informations pub/iques inscrites et documents publics deposes au [RCS]». 65. Les auteurs du projet de reglement grand-ducal II indiquent au sujet desdites dispositions que « [l]e but est d'offrir ces documents ou informations par services informatiques, sous un format reutilisable en ce qui concerne /es donnees. Dans ce contexte, la demande doit detail/er 25 Voir decision de la Commission nationale siegeant en formation restreinte sur l'issue de l'enquete n°2798 menee aupres du ministere de la Justice, deliberation n°6FR/2022 du 4 mars 2022. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1• la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le reg istre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 17/21 /es motifs et /es finalites de la reutilisation de /'information disponible au RCS, ce afin que l'acces a mettre en place soit adapte aux besoins decrits » et que « [l]e gestionnaire tiendra la liste des personnes beneficiant d'un tel acces et la transmettra de maniere reguliere son autorite de tutelle ». a 66. Ces dispositions ant pour objet de modifier la procedure actuellement prevue par !'article 22 du reglement grand-ducal portant execution de la loi RCS, qui prevoit actuellement que la demande d'acces soit prealablement acceptee par le ministre et non le gestionnaire du RCS. Sur ce changement de paradigme, ii est renvoye aux paragraphes 8, 9 et 17 20 du present avis. a 67. Par ailleurs, s'il ya lieu de feliciter les efforts des auteurs du projet de reglement grandducal 11 pour encadrer un tel acces, ii convient de regretter que les finalites pour lesquelles les donnees pourraient etre reutilisees n'aient pas ete precisees dans le texte meme dudit article . De telles precisions auraient eu le merite le limiter le risque de reutilisation illicite de donnees 26 . 68. Enfin, la CNPD souligne encore !'importance du respect du principe de minimisation des donnees lors de !'appreciation de chaque demande d'acces qui serait effectuee aupres du ministre. D. Sur l'acces aux informations et documents figurant sur le RCS aux administrations et etablissements publics 69. Les dispositions de !'article 22.4 du projet de reglement grand-ducal II entendent supprimer l'autorisation prealable du ministre quant aux modalites de l'acces au RCS par les administrations publiques et etablissements publics, et prevoient desormais que « [/]es administrations et etablissements publics ont acces aux informations inscrites et aux documents deposes au [RCS], dans le cadre et /es limites de l'exercice de leurs missions ». 70. Les dispositions anterieures de !'article 22 alinea 2 prevoyaient que « /a recherche de donnees sur base d'autres criteres de recherche au profit d'administrations publiques et 26 Voir article 5.1.b, du RGPD sur le principe de limitation des finalites en vertu duquel les donnees personnelles doivent etre collectees pour des finalites determinees, explicites et legitimes, et ne pas etre traitees ulterieurement d'une maniere incompatible avec ces finalites. En principe, les donnees ne doivent pas etre traitees pour des finalites « incompatibles » avec ces finalites d'origine. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 18/21 a d'etablissements publics est soumise l'autorisation prealable du ministre de la Justice qui determine specifiquement pour chaque administration publique et pour chaque etablissement public concerne Jes criteres partir desquels /es recherches peuvent se faire et /es motifs pour accorder cette autorisation. Les administration publiques et etablissements publics ne peuvent faire de tel/es recherches que dans le cadre de l'exercice de leurs attributions leg ales ». a 71 . En ce qui concerne ces nouvelles dispositions, ii est precise dans le commentaire des articles que celles-ci permettent « un acces de droit aux administrations et etablissements publics aux informations inscrites et documents deposes au RCS, pour Jes besoins de leurs missions. Dans ce contexte, ifs pourront consulter le RCS suivant Jes criteres qui leur sont utiles, sans avoir obtenir une autorisation prealable du ministre ayant la Justice dans ses attributions. En effet, ii ressort de la pratique que la recherche de base actuellement ouverte aux acteurs etatiques, par denomination ou numero d 'immatricu/ation ne serf pas utilement leurs missions de contr6/e. Une recherche par d'autres criteres ou criteres cumulatifs seraient mieux adaptee leurs besoins. Cette nouvelle disposition s 'inscrit finalement dans la mise en reuvre d'une cooperation efficace entre administrations ». a a 72. II ya lieu de regretter ce changement de paradigme alors que la CNPD comprend que les anciennes dispositions ne privaient pas les administrations et etablissements publics d'acceder aux informations inscrites et aux documents deposes au RCS. Ce d'autant plus alors qu'il n'appartient pas aux destinataires de donnees de determiner a quelles categories de donnees figurant au RCS ils pourront acceder. En effet, c'est au responsable du traitement, en !'occurrence au ministre, de determiner les modalites d'acces au RCS et de s'assurer si de tels acces respectent les principes vises a !'article 5 du RGPD. 73. En tout etat de cause, comme mentionne ci-avant27 , la formulation des dispositions, telles qu'envisagees par le projet de reglement grand-ducal 11, fait craindre un risque quanta un acces illicite a de telles donnees et au non-respect du principe de minimisation des donnees. II est, des lors, suggere de garder la formulation actuelle de !'article 22 alinea 2 du reglement grand-ducal portant execution de la loi RCS . 27 Voir paragraphes 69 a 73 du present avis. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal mod ifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 j anvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la com ptabilite et les com ptes annuels des entreprises 19/21 2. Sur l'acces aux informations figurant au RBE suite a l'arret de la CJUE 74. Par un arret du 22 novembre 2022 de la Cour de justice de l'Union europeenne 28 (ci-apres la « CJUE ») a juge que l'acces du grand public aux informations sur les beneficiaires effectifs, tel que prevu par la directive (UE) 2015/849 du Parlement europeen et du Conseil du 20 mai 2015, telle que modifiee (ci-apres la« directive 2015/840 modifiee »), constitue une ingerence grave dans les droits fondamentaux consacres aux articles 7 et 8 de la charte des droits fondamentaux de l'Union europeenne (ci-apres la« Charte ») et ii ne saurait etre considers que cette ingerence est limitee au strict necessaire29 • La CJUE a en effet releve que les dispositions facultatives de la directive 2015/849 modifiee permettant aux Etats membres de conditionner l'acces au RBE une inscription en ligne et de prevoir des derogations l'acces du grand public « ne sont, par elles-memes, de nature demontrer ni une ponderation equilibree entre l'objectif d'interet general poursuivi et /es droits fondamentaux consacres aux articles 7 et 8 de la Charle, ni /'existence de garanties suffisantes permettant aux personnes concernees de proteger efficacement leurs donnees caractere personnel contre /es risques d'abus »30 . a a a a a a 75. Suite cet arret l'acces au RBE par le public et certains professionnels, via le portail internet du LBR, a ete provisoirement suspendu 31 , puis partiellement retabli 32 . 76. Par ailleurs, le ministere de la Justice a indique, dans un communique de presse du 21 decembre 2022 33 , qu'il preparait « des amendements la loi RBE afin que le texte soit pleinement en ligne avec le texte de la directive (UE) 2015/849 du 20 mai 2015 telle que modifiee suite la directive 2018/843 et l'arret de la CJUE ». a a 28 Arret du 22 novembre 2022, affaires jointes C-37/20, Luxembourg Business Registers, et C-601-/20, Sovim, ECLI :EU :C :2022 :912 . 29 Arret du 22 novembre 2022, affaires jointes C-37/20, Luxembourg Business Registers, et C-601-/20, Sovim, ECLI :EU :C :2022 :912, points 44 et 76. 30 Arret du 22 novembre 2022, affaires jointes C-37/20, Luxembourg Business Registers, et C-601-/20, Sovim, ECLI :EU :C :2022 :912, point 86. 31 Voir communique du ministere de la Justice du 23 novembre 2022. 32 Voir communique du ministere de la Justice du 21 decembre 2022 . 33 Voir communique du ministere de la Justice du 21 decembre 2022. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le registre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des frais administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 20/21 77. La CNPD accueille favorablement le fait que des amendements soient actuellement en preparation alors que !'article 12 de la loi RBE 34, suite a la declaration d'invalidite de la CJUE, est manifestement non conforme aux droits fondamentaux relatifs a la protection de la vie privee. En attendant le depot desdits amendements, elle reserve la question de l'acces aux informations figurant au RBE et ne se prononce pas sur !'ensemble des dispositions y relatives telles qu'elles figurent actuellement dans les textes en projet 35 . Ainsi adopte a Belvaux en date du 31 mars 2023. La Commission nationale pour la protection des donnee GLv Tine A. Larsen Presidente Thierry Lallemang Commissaire Commissaire 34 L'article 12 de la loi RBE dispose que « [l]'acces aux informations visees Alain Herrmann Commissaire a /'article 3, paragraphe 1er, points 1° 12 ° et 13° est ouvert a toute personne ». 35 Sont notamment concernes les articles 24 et 25 du projet de reglement grand-ducal I. a 8°, Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7961 modifiant 1° la loi modifiee du 19 decembre 2002 concernant le reg istre de commerce et des societe ainsi que la comptabilite et les comptes annuels des entreprises ; 2° la loi modifiee du 13 janvier 2019 instituant un Registre des beneficiaires effectifs, au projet de reglement grand-ducal modifiant 1° le reglement grand-ducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le reg istre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises ; 2 le reglement grand-ducal du 15 fevrier 2019 relatif aux modalites d'inscription, de paiement des fra is administratifs ainsi qu'a l'acces aux informations inscrites au Registre des beneficiaires effectifs, au projet de reglement grandducal modifiant le reglement grand-ducal modifie du 23 janvier 2003 portant execution de la loi du 19 decembre 2002 concernant le registre de commerce et des societes ainsi que la comptabilite et les comptes annuels des entreprises 21/21