Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de

(3)de la directive, les auteurs du projet de loi estiment que les « violations au droit national, indépendamment de leur classification en tant qu'infractions de type CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 1/26 administratif, pénal ou d'une autre nature, peuvent en effet porter gravement atteinte à l'intérét public et s'avérer préjudiciables pour la société en général ». Ainsi, l'article 3, 1°, du projet de loi définit les « violations » en tant que « actes ou omissions qui

1. a)sont illicites ; ou
2. b)vont à rencontre de l'objet ou de la finalité des dispositions du droit national ou européen d'application directe, pour autantque la conséquenceen est un trouble causéà l'intérêtpublic ». L'article 3, 7°, du projet de loi définit un auteur de signalement comme étant une «personne physique qui signale ou divulgue publiquement des informations sur des violations qu'elle a obtenues dans le cadre de ses activités professionnelles », alors que l'article 2 du projet de loi définit un champ d'application personnel très large des relations de travail qui fondent le « contexte professionnel » dans lequel les informations peuvent être obtenues. Aux termes de l'article 1 er, paragraphe 1er, du projet de loi, celui-ci « a pour oé/'ef de protéger les auteurs de signalement [.. .] contre toutes formes de représailles [...] ». Le considérant

(36)de la directiveexpliquequ'il « es( nécessaired'offrirune protectionjuridiquespécifiqueaux personnes lorsqu'elles obtiennent les informations qu'elles signalent dans le cadre de leurs activités professionnelles et s'exposent dès lors à un risque de représailles liées au travail, par exemple, pour violation du devoir de confidentialité ou de loyauté. La raison sous-jacente pour accorder une protection à ces personnes est leur position de vulnérabilité économique vis-à-vis de la personne dont elles dépendent de facto dans leur travail ». Le considérant

(36)in fine de la directive précise que, d'après le législateur européen, «[... J En /'absence de déséquilibre de pouvoir inhérent à la relation de travail, par exemple, dans le cas de plaignants ordinaires ou de citoyens observateurs, il est inutile de prévoir une protection contre les représailles. » La CNPDcomprend le besoin de protection accrue des auteurs de signalement de violations au sens du présentprojet de loi contre les représailles.Cependant, si le législateurestime qu'il n'est pas nécessaire d'étendre la protection contre les représailles aux « plaignants ordinaires ou de c/'toyens observateurs ». la CNPD se demande des suites à réserver à un signalement d'une violation au sens du projet de loi émanant d'une personne physique ou morale qui n'entre pas dans le champ d'application personnel au sens de l'article 2 du projet de loi. En l'absence d'autres moyens plus pertinents pour la personne souhaitant effectuer un signalement, la Commission nationale suggère d'étendre l'accès aux différents mécanismes de signalement à toute personne ayant obtenu des « informations sur des violations » au sens du présent projet de loi, c'est-à-dire sur des actes et omissions illicites « ou allant à rencontre de l'objet ou de la finalitédes dispositions du droit national ou européen d'application directe, pour autant que la conséquence en est un trouble causé à l'intérêt public »'. ' Avis du Centre pour l'égalité de traitement du 21 avril 2022, doc. pari. n° 7945/6, p. 1, CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 2/26 Par exemple, dans le cas concret du traitement d'informations portées à l'attention de la CNPD par une personne qui n'est pas une « personne concernée » au sens de la législation en matière de la protection des données à caractère personnel, en l'état actuel, les règles en matière de secret professionnel ne permettent pas de fournir un suivi à cette personne sur les mesures prises suite à cette communication d'informations. Lextension de l'application de certaines dispositions du présent projet de loi relatives à l'accès aux canaux de signalement à toute personne physique ou morale pourrait fournir un cadre procédural plus clair pour traiter des informations relatives à des violations pour les autorités compétentes visées à l'article 18, notamment permettant de les informer des suites réservées à un signalement. L'article 1er, paragraphe3, du projet de loi préciseque « [IJes faits, informations ou documents couverts par le secret médical ou le secret des relations entre un avocatet son client, parl'article 1 1 du statutgénéraldesfonctionnaires, a/ns; que les règles en matière de procédures pénales, sont exclus du régime de protection introduit par la présente loi, sans préjudice de dispositions légales dérogatoires. » L article 1er, paragraphe 4, du projet de loi insère la possibilité d'exonération des sanctions pénales liées à une éventuelle violation des secrets professionnels précités lorsque le signalement est « proportionné et s'avère nécessaire à la sauvegarde de l'intérêt général et qu'il intervient dans les conditions de la présente loi ». La Commission nationale note que les trois conditions précitées sont cumulatives et s'ajoutent aux critères de l'article 3, 1° du projet de loi. Elle s'interroge néanmoins sur la différence entre « l'intérêt général», visé à l'article 1er, paragraphe4, et «/ïn(éré(pub//c», viséà l'artide 3, 1", b) du projet de loi. Or, le considérant

(91)de la directive explique que « [IJes obligations légales [... J des individus [...] ne devraient pas pouvoir être invoquées pour empêcher d'effectuer des signalements, refuser d'assurer la protection ou pénaliser les auteurs de signalement pour avoir signalé des informations sur des violations [... ] ». Il se pose la question si d'écarter les « faits, informations ou documents couverts [... ] par l'article 11 du statut général des fonctionnaires » du champ d'application du projet de loi n'équivaut pas à exclure de manière générale les agents publics du bénéfice de la protection prévue dans le projet de loi et si cela ne constitue pas une transpositiontrop restrictive de la directive. De même, la CNPDse demandesi l'extension du champ d'applicationde l'article 1er, paragraphe3, du projet de loi au secret professionnel des experts-comptables et des réviseurs d'entreprises ou au secret CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 3/26 professionnel ancréà l'article 13 de la loi modifiéedu 24 décembre 1985fixantle statut général des fonctionnaires communaux serait conforme à la directive

1. LaCNPDnote que, si l'article 1er, paragraphe4, du projet de loi protègeunauteurdesignalement des conséquences pénales relatives à la potentielle violation du secret protégé visé au paragraphe 3 nécessaire pour effectuer le signalement, ledit auteur de signalement n'est pas protégé contre toutes formes de représailles. Parexemple, il en découleque l'article 26 du projet de loi ne sera notamment pas applicableaux agents de l'Etat lorsque le signalement porte sur des informations couvertes par l'article 11 du statut général des fonctionnaires. Dans le commentaire des articles, en prenant référence à diverses dispositions dudit statut général, les auteurs du projet de loi estiment, au sujet de l'article 26 du projet de loi, que d'une part « l'application de sanctions disciplinaires envers un fonctionnaire est strictement encadrée » et d'autre part « la protection actuellement accordée aux agents de l'Etat est suffisamment étofféeet ne nécessite pas de dispositions complémentaires ». La Commission nationale se demande si, dès lors que les conditions plus strictes de l'article 1er, paragraphe 4, du projet de loi sont remplies, un auteur de signalement ne devrait pas pouvoir bénéficier de la protection contre toutes formes de représailles au même titre qu'un auteur de signalement qui n'est pas tenu à un secret protégé visé au paragraphe
2. En effet, une application restrictive de la protection offerte aux auteurs de signalement pourrait nuire aux objectifs déclarés du présent projet de loi en décourageant des personnes, notamment des agents de l'Etat, qui ont connaissance de violations au sens du projet de loi de procéder à un signalement par peur de représailles. II. L'obligation d'établir des canaux de signalement interne L'article6 du projet de loi exigedes « entitésJuridiquesde droitprivéqui comptent 50travailleurs ou p/us » et les entités juridiques du secteur public, hormis les communes de moins de 10.000 habitants, d'établir « des canaux et procédures pour le signalement interne et leur suivi », transposant ainsi l'article 8, paragraphes 3 et 9, de la directive. L'article 6, paragraphe 7, du projet de loi précise que « Lorsquedes règlesspécifiquesconcernantla mise en place de canaux de signalement en interne de violations sont prévues dans les dispositions visées dans la partie II de /'annexe de la directive 2019/1937, les dispositions du présent article ne sont applicables que dans la mesure où une question n'est pas obligatoirement régléepar ces dispositions spécifiques. » 2 Avis de l'Ordre des experts-comptables du 27 janvier 2022, doc. pari. 7945/2, p. 1 ; l'Avis de l'institut des réviseurs d'entreprises du 23 février 2022, doc. pari. n° 7945/4, pp. 1-2 ; Avis du Syndicat des villes et communes luxembourgeoises du 28 mars 2022, doc. pari. 7945/5, p.
3. CNPDl _ . . . ..... Avis de la Commission nationale pour la protection des données relatif au projet loi n°7945 portant transposition de la directive (DE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 4/26 Lesauteursdu projet expliquentà ce sujetque ce « paragraphe7 [...J préciseque les dispositions spéciales en matière d'établissement de canaux internes, prévues dans la partie II de /'annexe de la directive, notamment en ce qui concerne le seuil minimal, priment sur les dispositions générales de la présente loi. » La CNPD se demande si cette disposition constitue une transposition fidèle de l'article 8, paragraphe 4, de la directive qui, au sujet de la limite de 50 travailleurs, prévoitque ce « seuil [...] ne s'applique pas aux entités relevant du champ d'application des actes de l'Union visés dans les parties I. B et II de /'annexe [de la directive] ». Ainsi, il conviendrait d'inclure ces entités dans le champ d'application de l'article 6 du projet de loi, y compris lorsqu'elles comptent moins de 50 travailleurs. La Commission nationale note que, aux termes de l'article 6, paragraphes 3 et 4, du projet de loi, les « entités juridiques du secteur privé qui comptent 50 à 249 travailleurs peuvent partager des ressources en ce qui concerne la réception des signalements [... ]» et que les «canaux de signalement peuvent êtregérésen interne par une personne ou un service désignéà cet effet ou fournir en externe par un tiers [... ] ». L article 8, paragraphe 7, de la directive donne la possibilité aux Etats membres d' « imposer aux entités juridiques du secteur privé comptant moins de 50 travailleurs d'établir des canaux et procédures de signalement interne » « [à] la suite d'une évaluation des risques appropriée en tenant compte de la nature des activités des entités et du niveau de risque qui en découle, en particulier, pour l'environnement et la santé publique », faisant écho au considérant

(48)in fine de la directive qui prévoit que « tes Etete membres pourraient aussi exiger des autres entreprises qu'elles établissent des canaux de signalement interne dansdes cas spécifiques,par exemple en raison des risques importants pouvant résulter de leurs activités. » La Commission nationale comprend que le projet de loi n'entend pas étendre l'obligation de mise en place d'un mécanisme de signalement à d'autres entités juridiques du secteur privé comptant moins de 50 travailleurs, le projet de loi et le commentaire des articles étant muets à ce sujet. Certaines activités en matière de protection des données peuvent constituer des risques importants pour les droits des personnes concernées, y compris des traitements de données à caractère personnel mis en ouvre par des entités de moins de 50 travailleurs. La Commission nationale attire l'attention sur les risques inhérentsauxtraitements de donnéesqui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées et les risques inhérents aux traitements à grande échelle de catégories particulières de données visées à l'article 9 du RGPD ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à ['article 10 du RGPD. Pour les entités mettant en ouvre de tels traitements de données à caractère personnel CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (DE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 5/26 dans le contexte de leurs activités de base, la CNPD se demande s'il ne serait pas opportun d'exiger de ces responsables du traitement ou de ces sous-traitants la mise en place des canaux et procédures de signalement interne. Concernant le secteur public, les auteurs du projet de loi font le choix d'exempter les communes de moins de

1. 000 habitants de l'obligation de mise en place d'un mécanisme de signalement interne, en application de l'article 8, paragraphe 9, deuxièmealinéa, de la directive. La CNPD regrette que, d'une part, le projet de loi ne prévoit pas la possibilité, pour les administrations communales, de partager des canaux de signalement tel que visé à l'article 8, paragraphe 9, troisième alinéa de la directive et que, d'autre part, l'obligation de mise en place d'un tel mécanisme de signalement interne soit réservée aux treize communes de plus de 10.000 habitants. En effet, en matière de protection des données, la Commission nationale note que le fonctionnement, les missions et les traitements de données en découlant ne diffèrent pas fondamentalement d'une administration communale à une autre, nonobstant des différences du nombre de résidents, et que, du moins dans son domaine de compétence, la différenciation opérée par le projet de loi semble quelque peu artificielle et allant potentiellement à rencontre de l'objectif du projet de loi sous considération. Lors de la transposition de la disposition précitéede la directive, il conviendrait de prendre en compte les spécificités démographiques et institutionnelles du Grand-Duché de Luxembourg par rapport à la plupart des autres Etats membres de l'Union européenne. Près de 90% des communes du Luxembourg regroupant environ la moitié de la population bénéficieront, en l'état du projet de loi, de l'exception précitée. La CNPD suggère dès lors de placer toutes les communes sur un pied d'égalité devant les obligationsdécoulantdu présentprojet de loi en ne faisant pas usage de la faculté laisséepar la directive. Ce faisant, les administrations communales seraient également dans la même situation juridique que les autres entités juridiques du secteur public. Si le législateur entend maintenir l'exception précitée pour les communes comptant moins de
2. 000 habitants, la CNPD se demande s'il ne conviendrait au moins pas de prévoir que les administrations communales comptant plus de 50 travailleurs aient l'obligation de mise en place d'un mécanismede signalement interne à l'instar des entitésjuridiques de droit privé. La CNPD note à cet égard que l'article 8, paragraphe 9, deuxième alinéa, de la directive prévoit que « [l]s États membres peuvent exempter de l'obligation [de mise en place d'un mécanisme de signalement interne, ] les municipalités comptant moins de 10 000 habitants ou moins de 50 travailleurs ». La CNPD salue le fait que l'article 6, paragraphe6, du projet de loi permet la mise en place de manière volontaire par des entités qui n'ont pas une obligation d'établir de tels canaux de signalement interne. La CNPD note que les auteurs ont choisi de ne pas fixer, dans le projet de loi, des exigencesmoinscontraignantes, maisde les alignersur les exigencesgénéralesprévues dans l'article 7 du projet de loi, alors que le considérant

(49)de la directive précise que CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 6/26 « La présente directive devrait s'entendre sans préjudice de la possibilité pour les Etats membres d'encouragerles entitésjuridiques du secteur privéde moins de 50 travailleurs à établir des canaux internes pour les signalements et leur suivi, notamment en fixant pour ces canaux des exigences moins contraignantes que celles prévues par la présente directive, à condition que ces exigences garantissent la confidentialité et un suivi diligent. » III. L'office des signalements L article 20, paragraphe 1er, de la directive prévoit que les personnes couvertes par le champ d application personnel de la directive bénéficient, au titre de « mesures de soutien ». « des informations et des conseils complets et indépendants qui sont facilement accessibles au public e( gratuits, sur les procédures et recours disponibles, sur la protection contre les représailles, a/ns/ que sur tes droits de la personne concernée ». Le paragraphe 3 du même article de la directive préciseensuite que les « mesures de soutien viséesdans le présentarticle peuvent, le cas échéant, être apportées par un centre d'information ou une autorité administrative indépendante unique et clairement identifiée ». Les « informations et des conseils complets et indépendants » visésà la lettre

1. a)sont fournis par l'office des signalements conformément à l'article 9 du projet de loi et par les autorités compétentes en application de l'artide 20 du projet de loi. La Commission nationale se demande, à l'égardde l'article 20, point 5°, du projet de loi s'il n'est pas superflu de citer les « articles 5 et 13 du règlement (UE) 2016/679 » alors que ces dispositions sont d'application directe et doivent dans tous les cas être respectées par un responsable du traitement. La CNPD s'interroge aussi quelles autorités sont supposées communiquer des informationsviséesà « l'article 12de la loi du 1" août201S relative à la protection despersonnes physiques à /'égarddu traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et à l'article 15 du règlement (UE) 2018/1725 [du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE], selon le cas ». D'après l'exposé des motifs, avec la création d'un « office des signalements », « [i]l est prévu d'introduire une instance ayant pour mission d'informer et d'aider les auteurs de signalements, par exemple en leur indiquant à quelle autorité s'adresser. Cette instance aura en outre comme compétence de sensibiliser le public aux droits des lanceurs d'alerte. Les attributions de cette instance sont sans préjudice des compétences qu'exercent tes autorités compétentes sectorielles ». Le chapitre 3 du projet de loi est consacré à l'office des signalements précité. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 7/26 L'article 8 du projet de loi préciseque l'office « est placé sous /'autorité du ministre ayant la Justice dans ses attributions». Les missions de l'office concernent l'information et la sensibilisation, « d'élaborer des recommandations » au sujet de la législation en matière de lanceurs d'alerte ainsi que « d'informer les autorités respectivement compétentes de manquements aux obligations de l'article 6 ». D'autre part, les missions du « chargé de direction de /'office », distinctes de celles de l'office à l'article 13 du projet de loi, consiste à « surveiller le respect des dispositions légalesde la présente loi et de ses règlements d'exécution ». Les informations que les autoritéscompétentes sont amenées à publier sur leur site Internet conformément à l article 20 du projet de loi comportent notamment l'informationsur la « possibilitépour les personnesqui envisagent d'effectuer un signalement de recevoir des conseils confidentiels de la part de /'office ». La CNPDestimequ'il sera nécessairede prévoirune coordinationentre les 22 autorités compétentes et l'office des signalements afin d'assurer la cohérence de informations publiées par les 23 différents acteurs. La Commission nationale se demande si l'office est, au sens de l'article 20, paragraphe 3, de la directive une « autorité administrative indépendante unique et clairement identifiée » ou un « centre d'information ». De plus, elle s'interroge sur les garanties de confidentialité et d'indépendance de l'office dès lors qu'il est placé sous l'autorité du ministre ayant la Justice dans ses attributions et que le projet de loi est muet sur son indépendance et ne prévoit pas de manière explicite des obligations relatives à la mise en place de canaux de signalement et des procédures assurant la confidentialité des informations obtenues, contrairement aux entités juridiques des secteurs privé et public visées à l'article 6 et des autorités compétentes visées à l'article 18 du projet de loi. La CNPDestime que, a minima, l'officeet le chargéde mission devraientêtrevisés à l'article 22 du projet de loi. Il serait égalementenvisageabled'imposerà l'office des obligations comparables à celles découlantdes articles 19 et 20 du projet de loi à l'attention des personnes qui envisagent d'effectuer un signalement. LaCNPDs'interrogeensuitesur les pouvoirs du chargéde directionde « surveiller le respectdes dispositions légales de la présenteloi » et de l'office dans l'exécution de ses missions alors que le projet de loi est muet sur d'éventuels pouvoirs d'enquête de l'office et du chargé de direction. Elle se demande en outre quels « règlements d'exécution » sont visésà l'article 13 du projet de loi. IV. Les autres mesures de soutien L'article 20, paragraphe 1er, de la directive prévoit que les auteurs de signalements « bénéficient, s'il y a lieu, de mesures de soutien et notamment des mesures suivantes :
2. a)des informations et des conseils complets et indépendants, qui sont facilement accessibles au public et gratuits, sur les procédures et les recours disponibles, sur la protection contre les représailles, ainsi que sur les droits de la personne concernée ; CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 8/26
3. b)une assistance effective de la part des autorités compétentes devant toute autorité pertinente associée à leur protection contre les représailles, y compris, lorsque le droit national le prévoit, la certification du fait qu'elles bénéficientde la protection prévue par la présente directive; et
4. e)une assistance Juridique dans le cadre des procédures pénales et civiles transfrontières conformément à la directive (UE) 2016/1919 et à la directive 2008/52/CEdu Parlement européenet du Conseil

(48)et, conformémentau droit national, une assistancejuridique dans le cadre d'autresprocéduresainsique des conseils juridiques ou foute autre assistance Juridique. » La CNPD se demande de quelle manière les autorités compétentes sont censées fournir une « assistance effective [aux auteurs de signalements] devant toute autorité pertinente associée à leur protection contre les représailles, y compris, lorsque le droit national le prévoit, la certification du fait quelles bénéficient de la protection prévue par la présente directive ». En effet, les missions et obligations des autorités compétentes visées à l'article 19 du projet de loi n'incluent pas la fourniture d'une telle assistance effective. Certes, l'office des signalements a comme mission d' « aider dans sa démarche toute personne souhaitant effectuer un signalement interne ou externe, notamment en lui précisant les procédures à suivre », mais il y a lieu de noter que l office n'est pas une autorité compétente et de clarifiersi l' « aide dans sa démarche » équivaut à l' « assistance effective devant toute autorité pertinente ». Il semblerait donc que cette mesure de soutien n'ait pasfait l'objet d'une transposition adéquatedans le projet de loi sous analyse. Dans le contexte de la fourniture d'une assistance effective à un auteur de signalement, la Commission nationale se demande si le projet de loi ne devrait pas prévoirla possibilitépour les autorités compétentes d'émettre une « certification du fait [que les auteurs du signalement] bénéficient de la protection prévue », tel que visé à l'article 20 de la directive, lorsqu'une telle certification est déterminante pour la défense des droits d'un lanceur d'alerte. LaCNPD note que l'article 26 du projet de loi prévoit que « la personne concernée peut demander dans tes quinzejours qui suivent la notification de la mesure, par simple requête à la juridiction compétente de constater la nullité de la mesure et d'en ordonner la cessation ». La CNPD s'interroge si cette disposition, couplée aux dispositions générales relatives à l'assistance judiciaire et au service d'accueil et d'information juridique auprès des juridictions, est suffisante pour assurer une transposition conforme de l'article 20, paragraphe 1er, lettre e), de la directive, ou s'il ne conviendrait pas de prévoir de manière plus explicite dans les missions de l'office la possibilité de fournir « une assistance juridique dans le cadre d'autres procédures ainsi que des conseils juridiques ou toute autre assistance juridique » aux auteurs de signalement. V. Le choix entre les canaux de signalement interne et externe L article 5 du projet de loi prévoit que les auteurs de signalement « ont en premier lieu recours au signalement interne, lorsqu'il est possible de remédier efficacement à la violation en interne et CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 9/26 qu'elles estimentqu'il n'y a pas de risque de représailles ». Les auteurs du projet de loi précisent que « tes lanceurs d'alerte devraient privilégier les signalements en interne, sauf en cas où il existerait des éléments de contrariété [... ] ». En effet, l'article 7, paragraphe 2, de la directive, transposé par l'article 5 du projet de loi, prévoit que les « Etats membres encouragent le signalement par le biais de canaux de signalement interne avant un signalement par le biais de canaux de signalement externe ». D'après le commentaire des articles, l'article 16 du projet de loi « reprend le principe qu'un signalement peut être directement effectuéen interne ou par le biais d'une autorité compétente ». La CNPD se demande si l'auteur de signalement ayant recours au signalement externe doit démontrer l'existence des « éléments de contrariété » visés à l'article 5 du projet de loi. En outre, il se pose la question de savoir si l'entité juridique visée par le signalement pourrait engager la responsabilité civile de l'auteur de signalement, argumentant qu'il aurait été possible « de remédier efficacement à la violation en interne » et qu'il n'y avait pas de « risque de représailles ». La CNPD suggère de laisser le soin aux autorités compétentes d'évaluer les signalements externesau regarddes conditionsposéesà l'article 5 du projet de loi et de leurouvrirla possibilité, en cas d'absence d'éléments de contrariété, de transmettre le signalement, le cas échéant anonymisé, à l'entité visée pour qu'elle puisse remédier à la violation en interne, tout en excluant toute mesure de représailles ou de recours à rencontre de l'auteur du signalement. La Commission nationale rejoint le Conseil de la concurrence qui estime dans son avis que le « projet sous avis doit éviterde hiérarchiserles voies de signalements »

1. VI. Les signalements externes et le rôle des autorités compétentes Le chapitre 4 du projet de loi concerne la désignation des autorités compétentes pour recevoir des signalements externes à travers des canaux de signalement externe « indépendants et autonomes pour /a réception et de traitement des informations sur les violations ». L'article18du projet deloi identifiede manièreexhaustiveles22 autoritéscompétentes. LaCNPD note le caractère hétéroclite des autorités compétentes et s'interroge sur la délimitation de « leurs missions et compétences respectives » entre ces autorités compétentes", en particulier en ce qui concerne le contrôle de la mise en place de canaux et de procédures de signalement interne. Les différences institutionnelles, que ce soit en vertu du cadre légal et procédural ou du point de vue des ressources disponibles, risquent de mener à des disparités substantielles en matière de contrôle et en matière de suivi des signalements en fonction de l'autorité compétente. L'article 11, paragraphe 1er, de la directive prévoit entre autres que les Etats membres «mettent des ressources suffisantes à la disposition desdites autorités ». Il conviendra d'analyser, au plus tard lors du réexamendes procédurespar les autoritéscompétentesviséà l'article 21 du projet de loi, si les autorités compétentes ont des ressources suffisantes pour exécuter leurs missions en vertu 3 Avis du Conseil de la concurrence 2022-AV-03 du 1e'juin 2022, doc. part. n° 7945/08, p.
2. "Voir également Avis du Centre pour l'égalité de traitement du 21 avril 2022, doc. pari. n° 7945/6, p.
3. CNPDl . . . . . ...... Avis de la Commission nationale pour la protection des données relatif au projet loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 10(26 du présent projet de loi, en prenant notamment en compte le nombre de signalements reçus et les moyens nécessaires pour assurer un suivi diligent des signalements au sens de l'article 19 du projet de loi. Par ailleurs, il est à noter que la mise en place de canaux de signalement nécessite des moyens techniques et humains qui, suivant l'entité en question, peuvent engendrer des besoins budgétaires et des besoins de recrutement ou de formation significatifs dès rentrée en vigueur du présent projet de loi. La CNPD se demande s'il est opportun que chaque autorité compétente est individuellementchargéede développerun canal de signalements externes, au risque de voir émerger des divergences d'interprétation et de mise en ouvre des dispositions du présentprojet de loi au détrimentde la confianceportéeparde potentiels auteurs de signalement dans les canaux de signalement externes mis en place par les autorités compétentes. La CNPD estime dès lors nécessaire de prévoir a minima une coordination entre les 22 autorités compétentes et l'office des signalements pour assurer la cohérence des recommandations et des standards applicables aux canaux de signalements externes et internes, en particulier en matière des mesures de sécurité à l'état de l'art. La CNPD se demande s'il ne serait pas opportun de désigner, dans le projet de loi, une entité chargée de fournir une solution technique adéquate aux autoritéscompétentes et aux entités du secteur public qui en feraient la demande, par exemple le Centre des technologies de l'information de l'Etat. De manière générale, les autorités compétentes devront s'assurer à insérer les pouvoirs, en particulier les pouvoirs de sanctions, découlant du présent projet de loi dans leur cadre institutionnel et procédural respectif, notamment en veillant à respecter les exigencesen matière de garanties procédurales au sens de l'article 6, paragraphe 1er, de la Convention de sauvegarde des droits de l'homme et libertés fondamentales. La Commission nationale note également qu'aucune autorité ne détient une compétence subsidiaire pour les cas de figure où la violation ne tombe dans le champ de compétence d'aucune autorité compétente nommément listée. Par ailleurs, il se pose la question de la protection du lanceur d'alerte en cas de signalement d'une autorité publique non désignée à l'article 18 du projet de loi, comme le relève le Collège médical dans son avis
4. La CNPD se demande s'il ne conviendrait pas de prévoir, pour l'une des autorités compétentes, une compétence subsidiaire et de créer dans le chef des administration et établissements publics de l Etat et des communes l'obligation de transmettre un signalement externe à une autorité compétente en garantissant dans la mesure du possible la confidentialité de l'identité de l'auteur du signalement. Elle relève néanmoins qu'en l'état actuel du projet de loi, l'office des signalements ne semble pas adéquat pour remplir ce rôle, en ['absence de garanties d'indépendance et d'impartialité ancrées dans le projet de loi. Avis du Collège médical du 19 janvier 2022, doc. pari. n° 7945/1, p.
5. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 11/26
6. Le contrôle de la mise en place des canaux et procédures de signalement interne par les autorités compétentes Concernant le contrôle de la mise en place des canaux et procédures de signalement interne, l'article 6, paragraphe 8, du projet de loi précise que « ffles autorités compétentes, vérifient, auprèsdes entitésjuridiques du secteur privé relevant de leur champ de compétence respectif, rétablissement des canaux de signalement interne ». La Commission nationale note que les entités juridiques du secteur privé peuvent relever du champde compétencede plusieurs autoritéscompétentes et se demandedèslors comment ces autorités sont censées se coordonner dans l'organisation des vérifications visées à l article 6, paragraphe 8, précité6.Alors que certaines autorités compétentes ont des missions relatives à un secteur d'activité ou certaines entités juridiques de droit privé, d'autres autorités compétentes détiennent des compétences transversales, vérifiant le respect d'obligations légales qui s'imposent à un grand nombre d'entitéset à tous les secteurs d'activité.Ainsi, les dispositionsen matière de protection des données à caractère personnel s'appliquent indifféremment de l entité ou du secteur visés dès lors qu'un traitement de données est mis en ouvre. Par ailleurs, la mise en place des canaux et procédures de signalement interne implique »psofacto des traitements de données à caractère personnel qui relèvent des missions générales de la CNPD, en dehors des compétencesattribuéessur base du projet de loi. La Commission nationale suggèredèslors de prévoir a minima un mécanisme clair pour les autorités compétentes pour coordonner leurs activités de contrôle des canaux de signalement ou de désigner une autorité compétente unique pour effectuer ces contrôles, indépendamment du secteur d'activité ou de son champ de compétence. L'article7, paragraphe3, du projet de loi prévoitqu'« [e]n cas de non-respectdes dispositionsde l'article 6 et [de l'ariicle 7] par les entités juridiques du secteur privé, les autorités compétentes, à défaut de règles spéciales prévues dans les lois sectorielles, peuvent infliger une amende administrative de
7. 500 euros à
8. 000 euros à l'entité juridique du secteur privé ». La Commission nationale regrette que les autorités compétentes ne disposent pas du pouvoir de vérifier auprès des entités juridiques du secteur public relevant de leur champ de compétence, rétablissement des canaux de signalement interne et que le projet de loi ne prévoit pas de sanction pour ces entités en cas de non-respect des dispositions relatives à la mise en place de tels canauxet procédures. La CNPDrejoint la proposition du Conseil de la concurrence dansson avis tenant à « étendre aussi aux entitésjuridiques de droit public [... ] la possibilité [... ] d'infliger des amendes administratives afin d'éviter toute forme de discrimination »'. 6 Comme par ailleurs soulevé dans l'Avis de l'institut des réviseurs d'entreprises du 23 février 2022, doc. pari. n° 7945/4, p. 2, 7 Avis du Conseil de la concurrence CNPD| .. . . _ . 2022-AV-03 du 1 "r juin 2022, doc. pari. n° 7945/8, p.
9. . ... . ...... Avis de la Commission nationale pour la protection des données relatif au projet loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 12/26 Les sanctions prévues à l'article 7, paragraphe 3, du projet de loi s'appliquent « a défaut de règles spéciales prévues dans les lois sectorielles », à savoir, d'après la compréhensionde la CNPD, les lois sectorielles au sens de l'article 1er, paragraphe 6, du projet de loi prévoyant un dispositif spécifique de signalement de violations. Les sanctions prévues à l'article 18, paragraphe 3, du projet de loi peuvent être prononcées « sans préjudicede dispositionsspéciales ».
10. La coopération entre une entité visée par un signalement et les autorités compétentes L article 18, paragraphe 2, du projet de loi prévoit que, « [djans l'exercice de leurs missions respectives, les autorités compétentes peuvent demander, par écrit ou oralement, à l'entité visée par le signalement ou en cas de manquement aux obligations des articles 6 et 7, la communication de tous les renseignements qu'elles jugent nécessaires, dans la limite du champ d'application de l'article 1er et en veillant à la confidentialité de l'identité de fauteur du signalement ». L article 18, paragraphe 3, prévoit ensuite que « [sjans préjudice de dispositions spéciales, les autoritéscompétentes peuvent prononcer une amende administrative à rencontre des personnes et entitésjuridiques de droit privé : 1 ° qui entravent ou tentent d'entraver un signalement : 2° qui refusent de fournir les renseignements prévus au paragraphe 2, ou fournissent des renseignements incomplets ou faux : 3° qui portent atteinte à la confidentialité dont jouissent les auteurs de signalements ; 4° qui refusent de remédier à la violation constatée. La CNPD regrette que les entités juridiques du secteur public soient exclues des sanctions prévues à l'article 18, paragraphe 3, du projet de loi en cas de manquements visés dans cet article. Tout comme l'absence de contrôle et de sanctions relatifs à la mise en place de canaux et de procédures de signalement interne, l'absence de moyens efficaces à disposition des autorités compétentes à des manquements visés à la disposition précitée risque de compromettre l'efficacitéde la mise en ouvre du présent projet de loi et réduit potentiellement la confiance portéeparles personnesconcernéesdansles canauxde signalementmis en place parles entités juridiques du secteur public et risquent ainsi de réduire l'efficacité du présent projet de loi. Toutefois, la CNPD estime que les missions et pouvoirs de la CNPD découlant du RGPD et des législations nationales afférentes restent pleinement applicables, dont les dispositions en matière de sanctions et de mesures correctrices, y compris à l'égard des entités juridiques du secteur public lorsque les manquements aux dispositions du présent projet de loi constituent également CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de ['Union. 13/26 des potentielles violations du RGPD ou d'autres dispositions en matière de protection des données à caractère personnel, comme par exemple quand ces manquements risquent d'engendrer une perte de confidentialitéconcernantles auteurs de signalementou de personnes tierces citées dans un signalement ou lorsque le responsable du traitement ne coopère pas avec laCNPD.
11. La coopération et la transmission des signalements entre autorités compétentes L'article 19 du projet de loi précise au paragraphe 2 que « [IJes autorités compétentes qui reçoivent un signalement qui ne tombe pas sous leur champ de compétences, transmettent de manière confidentielle et sécurisée le signalement à l'auforité compétente dans un délai raisonnable. [...] » et au paragraphe 3, point 5 que les autorités compétentes sont « obligées [...] de transmettre en temps voulu les informations contenues dans le signalement aux institutions, organes ou organismes de l'Union européenne compétents ». Il se pose la question s'il ne faudrait pas prévoir la possibilité de transmettre à une autorité compétente désignéedans un autre Etat membre afin de rendre compte des cas de violations revêtant une dimension transfrontière. En effet, à titre d'illustration, en matière de protection des données à caractère personnel, il est fréquent qu'un responsable du traitement ou le sous-traitant établi dans un Etat membre a des activités substantielles dans d'autres Etats membres, notamment pour les activités liées à la société de l'information, dans lesquels des auteurs de signalement peuvent être amenésà contacterdes autoritéscompétentesau sens de la directive. Même si le RGPD prévoit des mécanismes de coopération, en particulier pour le traitement des réclamations, il serait préférable de prévoir la possibilité de transmission et de coopération avec les autorités compétentes des autres Etats membres de l Union européenne. Le commentaire des articles est muet au sujet des modalités concrètes de la transmission de signalement entre deux autorités compétentes ou aux entités de l'Union européenne. D'abord, il revient à chaque autorité compétente de connaître le champ de compétences des autres autorités compétentes pour savoir à quelle autorité transmettre le signalement
12. Ensuite, les autorités compétentes doivent s'accorder sur des modalités de transmission confidentielle et sécurisée. Afin de faciliter cette transmission, l'office des signalements pourrait être chargé de mettre en place une plateforme sécuriséeà destination des autoritéscompétentes permettant un échange informatisé de signalements entre autorités compétentes
13. L'article 19, paragraphe 9, du projet de loi prévoit que « [djans la mesure nécessaire à l'accomplissement de leurs missions respectives en vertu de la présente loi, les autorités compétentes coopèrent et se prêtent mutuellement assistance », sans préciserde quelle façon la coopération et l'assistance mutuelle entre autorités compétentes s articuleront. En l absence 8 Avis du Centre pour l'égalité de traitement du 21 avril 2022, doc. pari. n° 7945/6, p.
14. 9 Avis du Syndicat des villes et communes luxembourgeoises du 28 mars 2022, doc. pari. 7945/5, p.
15. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 14/26 d autres précisionsdu projet de loi sous considération,la CNPDrelèvedoncqu'il revientà chaque autorité compétente de déterminer ces points en fonction des dispositions institutionnelles et procédurales applicables. Ainsi, par exemple, eu égard aux dispositions en matière de secret professionneldécoulantde la loi du 1 " août2018portantorganisationde la Commissionnationale pour la protection des données et du régime général sur la protection de données, la Commission nationale devra d abord vérifier si l'autorité compétente a [tombe] sous un secret professionnel équivalent» à l'article 458 du Code pénal avant de pouvoir transmettre des informations confidentielles. Il serait à cet égard intéressant de prévoir dans le présent projet de loi la possibilité de mener des enquêtes conjointes sur des signalements ayant trait aux champs de compétences de deux ou plusieurs autorités compétentes. Cependant, il est à noter que les différences institutionnelles entre les 22 autorités compétentes désignées peuvent potentiellement créer des difficultés dans les procédures d'enquête. L article 19, paragraphe 6, du projet de loi prévoit que les « autorités compétentes désignent les membres du personnel chargés du traitement des signalements » et que ces membres du personnel « reçoivent une formation spécifique aux fins du traitement des signalements, visant notamment à garantir la confidentialitéde fauteur d'un signalement ». Le considérant

(74)de la directive précise que les membres du personnel devraient « être formés professionnellement, y compris en en ce qui concerne les règles en matière de protection des données applicables, pour traiter les signalements [... ] ». Le commentaire des articles n'aborde pas les modalités d'organisation de cette formation spécifique, ni l'organisme qui pourrait être amené à la fournir. Dès lors, les autorités compétentes doivent veiller elles-mêmes à organiser cette formation. La CNPD suggère que l'office des signalements puisse être chargé de proposer des formations adéquates aux autorités compétentes, le cas échéantensemble avec l'Institut national d'administrationpublique. Dans la limite de ses missions et pouvoirs et des ressources disponibles, la Commission nationale pourrait éventuellement contribuer aux modules de formation relatifs à la protection des données. VII. Les canaux et procédures de signalement interne et externe L'article7, paragraphes 1 et 2, du projet de loi concerne les élémentsminimauxque les canaux et procédures de signalement interne et de suivi doivent respecter. L'article 17 du projet de loi traite de la conception des canaux de signalement externe. 1. Les signalements anonymes LaCommission nationalenote que les articles 6 et 9 de la directivepermettentaux Etats membres d'inclure les signalements anonymes. Cette faculté est décriteau considérant

(34)suivant lequel « [s]ans préjudiced'obligationsexislanfes imposant de prévoirle signalement anonyme en vertu CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 15/26 du droit de l'Union, il devrait être possible pour les Etats membres de décider si les entités juridiques des secteurs privé et public et les autoritéscompétentes doivent ou non accepter des signalementsanonymesde violationsqui relèventdu champ d'applicationde la présentedirective et y donner suite ». Le projet de loi ne clarifie pas de manière explicite si les entitésjuridiques visées par ['article 7 du projet de loi ou les autoritéscompétentes sont censéesfaire le suivi des signalementsanonymes. Ainsi, l'article 7 du projet de loi prévoitque les entitésjuridiquesdoivent faire le «suivi des signalements dont /'auteur esf identifié ou identifiable». L'article 19, paragraphe 3, point 2, du projet de loi exige des autorités compétentes « d'assurer un suivi diligent des signalements », sans être restreint aux signalements dont l'auteur est identifié ou identifiable. La Commission nationale se demande s'il ne serait pas opportun de prévoir explicitement l'obligation d'assurer un suivi adéquat des signalements anonymes internes et externes, d'autant plus qu'en application de l'article 4, paragraphe 2, du projet de loi, les « personnes qui ont signalé ou divulgué des informations sur des violations de manière anonyme, ma/'s qui sont identifiéespar la suite et font l'objet de représailles, bénéficientnéanmoinsde la protection prévue parla présente loi ».

1. Les mesures de sécurité Les canaux de signalement interne et externe sont en principe destinés à être utilisés par des personnes physiques en tant qu'auteurs de signalementet parconséquentengendrent /psofacto des traitements de données à caractère personnel. La CNPD se réjouit de la définition de ces exigences minimales pour les canaux de signalement interne et externe dans les articles 7 et 17 du projet de loi et rappelle que celles-ci doivent également être lues avec les dispositions découlant du RGPD, et en particulier l'artide 32 du RGPD relatif à la sécurité du traitement qui exige que « Compte tenu de l'étatdes connaissances, des coûtsde mise en ouvre et de la nature, de la portée, du contexte et des finalitésdu traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en ouvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : la pseudonymisation et le chiffrement des données à caractère personnel ; b. des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilitéet la a. résilience constantes des systèmes et des sen/ices de traitement : e. des moyens permettant de rétablir la disponibilité des données à caractère personnel e( ('accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique : cf. une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. [... ] » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 16/26 Etant donné le risque pour les droits et libertés des auteurs de signalement ainsi que des tiers mentionnés dans le signalement, il semble pertinent de considérer pour les responsables du traitement visés, de prévoir la pseudonymisation et le chiffrement des données à caractère personnel lorsque cela s'avère possible et nécessaire compte tenu des contraintes organisationnelleset techniques, dans le contexte du traitement de donnéespar les membres du personnel autorisés. La CNPD estime par ailleurs nécessaire de mettre en place un dispositif de journalisation, pouvant ainsi participerau respect de l'obligationde sécurisationdetout traitement de données à caractère personnel, en application des articles 5 et 32 du RGPD.
2. Le devoir de confidentialité L article 22 du projet de loi introduit ensuite une mesure de protection ex ante, qui vise à préserver la confidentialité de l'identité de l'auteur de représailles à l'égard de « toute personne autre que /es membres du personnel autorisés compétents pour recevoir des signalements ou pour en assurer le suivi ». L'interdiction de la divulgation s'applique aussi à « toute autre information à partir de laquelle l'identité de /'auteur du signalement peut être directement ou indirectement déduite ». Pour assurer le suivi des signalements, il semble nécessaire de communiquer des informations sur le contenu d'un signalement à d'autres membres du personnel de l'entité juridique. Or, de manière générale, et conformément à l'article 22, paragraphe 1er, du projet de loi, la CNPD recommande que la personne ou le service qui reçoit le signalement procède, avant la transmission à d'autres membres du personnel, à l'anonymisation dudit signalement, en particulierde ['identitéde l'auteur du signalementet, dans la mesure du possibledans le contexte de l'instruction du signalement, des tiers mentionnésdans le signalement. A cet égard, la CNPD renvoie au considérant

(26)du RGPD qui indique que « [. . .] [Pjour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par te responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de révolution de celles-ci [... ] ». Le groupe de travail « Article 29 », dans son avis n° 5/2014 sur les techniques d'anonymisation, explique que « l'anonymisation est le résultat du traitement des donnéespersonnelles afin d'empêcher, de façon irréversible, toute identification. Ce faisant, les responsables du traitement des données doivent tenir compte de plusieurs éléments, en prenant en considération CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 17/26 l'ensemble des moyens 'susceptibles d'être raisonnablement mis en ouvre' à des fins d'identification ». Ainsi, la CNPDsouligne qu'il est important que le choixdes techniques d'anonymisationse fasse sur la base d'une analyse au cas par cas prenant en compte le contexte des données, tout en veillant à rendre les données effectivement anonymes. Il convient de prendre en compte, dans les mesures d'anonymisation, la relation professionnelle qui lie en principe l'auteur du signalement à l'entité juridique recevant ou visé par le signalement. En fonction de la taille et de la structure de l'entité juridique, les éléments contextuels pertinents doivent être pris en compte et la probabilité ainsi que la gravité du risque, y compris le risque de ré-identification, doivent être évaluées. À part une divulgation intentionnelle par la personne concernée, ['identité de l'auteur du signalement peut être divulguée sur base du « consentement exprès de celui-ci ». Ensuite, en application de l'article 22, paragraphe 2, du projet de loi, « lorsqu'il s'agit d'une obligation nécessaireet proportionnéeimposéepar le droit national ou européend'application directe dans te cadre d'enquêtes menées par des autorités nationales ou dans le cadre de procédures judiciaires, notamment en vue de sauvegarder les droits de la défense de la personne concernée », l'identité peut être divulguée, alors que l'article 22, paragraphe 3, du projet de loi prévoitque ces « divulgations [...] font l'objet de mesures de sauvegardeappropriées ». Sans précisions dans le commentaire des articles, la Commission nationale comprend que cette dérogation au principe de confidentialité s'applique uniquement aux autorités compétentes et autres autorités nationales, notamment les juridictions, à l'exclusion des entités recevant des signalements internes. D'ailleurs, l'article 1 8, paragraphe 3, du projet de loi permet de sanctionner le fait de porter atteinte à la confidentialité de l'identité de l'auteur de signalement. La CNPD regrette que ni le projet de loi, ni le commentaire des articles ne précisent quelles dispositions du droit national ou européen d'application directe sont visées et de quelles « mesures de sauvegarde appropriées » les divulgations doivent faire l objet. Sans autres précisions dans le projet de loi, la Commission nationale considère que les responsables du traitement doivent déterminer les destinataires de l'information en cas de divulgation, en privilégiantune transmissionà un groupe limitéde destinataireset d accompagner la transmission par des garanties à fournir par les destinataires de préserver au mieux l identité de l'auteur du signalement. Lorsqu'une divulgation plus large est nécessaire et proportionnelle, les responsables du traitement devraient considérer la faisabilité d'une pseudonymisation de l'information. L'article 22, paragraphe 3, du projet de loi précise que « tes auteurs de signalements sont informésavant que leur identiténe soit divulguée, à moins qu'une telle information ne risque de compromettre les enquêtes ou les procédures judiciaires concernées » et que lorsqu'une autorité compétente «informe les auteurs de signalements, /'autorité compétente leur adresse une explication écrite des motifs de la divulgation des données confidentielles concernées ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 18/26 Parmi des mesures de sauvegarde appropriées, la CNPDestime que les autoritéscompétentes devraient fixer dans les règles procédurales applicables les motifs pouvant justifier la divulgation des données confidentielles, par exemple parce que cette divulgation est indispensable à l'instruction du signalement. La CNPD se demande si des autorités nationales, notamment des autoritésjudiciaires, ne devraient pas égalementmotiver leur décisionde divulgation de l'identité d un auteur de signalement, alors que la disposition sous analyse se limite aux «autorités compétentes » au sens du projet de loi sous considération. En l'absencede dispositionsparticulièresprotégeantl'identitédes autres personnesconcernées, la CNPD rappelle que les dispositions générales découlant du RGPD peuvent s'appliquer et peuvent exiger que les responsables du traitement prennent des mesures pour préserver dans la mesure du possible leur identité. La Commission nationale se demande s'il ne serait pas opportun de prévoirdans le présent projet de loi que les personnes ayant connaissance de l'identité de l'auteur d'un signalement soient tenues au secret professionnel et passibles des peines prévues à l'article 458 du Code pénal en cas de violation de ce secret. Cela permettrait aussi de faciliter, comme déjà évoqué plus haut, la coopération entre autorités compétentes lorsqu'un signalement couvre le champ de compétences de plus d'une autorité compétente. LaCNPDestime qu'il serait nécessaire,pourassurer la confidentialitéde l'auteurdu signalement, de prévoirune limitation proportionnelle du droitd'accèset du droit à l'information des personnes concernées au sens de l'artide 23 du RGPD et renvoie aux lignes directrices 10/2020 sur les restrictions en application de l'article 23 du RGPD, adoptées par le Comité européen pour la protection des données le 13 octobre 2021. A cet égard, elle renvoie au considérant

(84)de la directive qui prévoit que : « Les procédures prévues dans la présente directive relatives au suivi des signalements de violations du droit de l'Union dans les domaines relevant du champ d'application de la présente directive sen/ent un objectif important d'intérêt public général de l'Union et des Etats membres, au sens de l'article 23, paragraphe 1, point e), du règlement (UE) 2016/679, étantdonnéqu'elles visent à renforcerl'applicationdu droitet des politiques de l Union dans des domaines spécifiques où des violations peuvent porter gravement atteinte à /'intérêt public. La protection effective de la confidentialité de l'identité des auteurs de signalement est nécessaire à la protection des droits et libertés d'autrui, en particulier ceux des auteurs de signalement, comme le prévoit l'article 23, paragraphe 1, point i), du règlement(UE) 2016/679. Il y a lieu que les Etats membres veillent à ce que la présente directive soit efficace, y compris, lorsque cela est nécessaire,en limitant, par cfes mesures législatives, l'exercice de certains droits liés à la protection des données des personnes concernées conformément à l'article 23, paragraphe 1, points

1. e)et i), et à l'article 23, paragraphe 2, du règlement (UE) 2016/679, dans la mesure et pour la durée nécessaires pour prévenir et déjouer les tentatives visant à entraver les signalements ou à faire obstacle au suivi de ces signalements, à contrecarrer ce suivi ou le ralentir, notamment pour ce qui est des enquêtes, ou les tentatives visant à découvrir l'identité des auteurs de signalement. » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 19/26 L'exercice des droits des personnes concernées conférés par le RGPD est au centre du droit à la protection des données à caractère personnel et toute limitation doit respecter les exigences de l'article 23 du RGPD, à interpréter à la lumière de l'article 52, paragraphe 1 er, de la Charte des droits fondamentaux de l'Union européenne qui prévoit que « Toute limitation de /'exercice des droits et libertés reconnus par la présente Charte doit être prévue par la loi et respecter le contenu essentiel desdits droits et libertés. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si e/tes son( nécessaires et répondent effectivement à des objectifs d'intérêt général reconnus par l'Union ou au besoin de protection des droits et libertés d'autrui. » L'article 23 du RGPD se lit ainsi : « 1. Le droit de /'Union ou te drort de /'Etef membre [... ] peuvent, par la voie de mesures législatives, limiter la portéedes obligationset des droits prévus aux articles 12 à 22 [...J amsf qu'à l'article 5 dans la mesure où les dispositions du droit en question correspondent aux droits e( obligations prévus aux articles 12 à 22, lorsqu'une telle limitation respecte /'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire e( proportionnée dans une société démocratique pour garantir ; [...]
2. e)D'aufres objectifs importants d'intérêt public général de l'Union ou d'un Etat membre [... ], [...]
3. i)la protection de la personne concernée ou des droits et libertés d'autrui ; En particulier, foute mesure législative visée au paragraphe 1 contient des dispositions spécifiques relatives, au moins, le cas échéant :
4. a)aux finalités du traitement ou des catégories de traitement;
5. b)aux catégories de données à caractère personnel;
6. e)à retendue des limitations introduites;
7. d)aux garanties destinées à prévenir les abus ou /'accès ou te transfert illicites;
8. e)à la détermination du responsable du traitement ou des catégories de responsables du traitement;
9. f)aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement;
10. g)aux risques pour les droits et libertés des personnes concernées: et
11. h)au droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. » Eu égard à l'objectif du projet de loi sous considération visant à protéger l'auteur d'un signalement, notamment à travers la confidentialité de son identité, et du fait que les exceptions à l'exercice du droit à la protection des données à caractère doivent être interprétées de manière restrictive, la Commission nationale estime dès lors que le projet de loi devrait inclure une disposition permettant de limiter l'exercice des droits conférés par le RGPD pour autant que cela s'avère nécessaire pour préserver l'identité de l'auteur du signalement et de permettre CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 20/26 l instruction efficace d'un signalement. Il est à noter que ces restrictions devraient pouvoir être levées dès que les éléments ayant justifié la limitation ne sont plus pertinents, comme par exemple lorsque l identité de l'auteur du signalement a été rendu publique ou que l'instruction d un signalement est clôturée. 4. Le traitement des données à caractère personnel L article 23, paragraphe 1er, du projet de loi précise que « tout traitement de données effectué en vertu de la présente loi [...] est effectué conformément au [RGPD] et à la loi du 1" août 2018 relative à la protection des personnes physiques à /'égarddu traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale » (ci-après la « loi du 1er août 2018 relative aux traitements de données en matière pénale »). La CNPD se demande quelle autoritécompétente au sens du présentprojet de loi est soumise, pour les traitements de données effectués en vertu du projet de loi, à la loi du 1er août 2018 relative aux traitements de données en matière pénale. Outre le fait qu'elle ne mentionne pas les dispositions matérielles de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données et d'autres actes législatifs potentiellement applicables, notamment en matière de communications électroniques, la Commission nationale se demande si la référence à ces législations n'est en soi pas superfétatoire car les règles du RGPD et les autres dispositions en matière de protection des donnéesà caractèrepersonnel doivent être respectéesde toute manièresansque ceci ne doive être prévu par une disposition légale. La Commission nationale relève positivement que l'article 23, paragraphe 2, du projet de loi rappelle que les « données à caractère personnel qui ne sont manifestement pas pertinentes pour te traitement d'un signalement spécifique ne sont pas collectés ou, si elles les ont accidentellement, sont effacées sans retard injustifié », même s'il peut être considéréque ce paragraphe traduit en fait le principe de minimisation tel que directement applicable à travers l article 5 du RGPD à tout traitement de données à caractère personnel. Les responsables du traitement devraient mettre en place des procédures permettant dès la réception d'un signalement l identificationdes donnéesà caractèrepersonnel et une grille d'analysepermettant dejuger si unedonnéeest pertinente pour le traitement d'un signalement. Cette approchepourra égalementcontribuerà la pseudonymisationet préparerl'anonymisationdes signalements, pour les entités pour lesquelles l'une ou l'autre technique constitue une des mesures techniques et organisationnelles à mettre en place pour assurer la confidentialité des données. L article 23, paragraphe 3, du projet de loi prévoit que « [IJes entités juridiques de droit privé et public et les autorités compétentes archivent tous les signalements reçus dans le respect des exigences de confidentialitéprévues à l'article 22. Les signalements ne sont pas conservésplus longtemps qu'il n'est nécessaire et proportionné de le faire pour respecter les exigences imposées par la présente loi ou d'autres exigences imposées par le droit national ou européen d'application directe ». Le commentaire des articles, reprenant les termes du considérant

(86)de la directive, indique que « [l]es signalements de violations doivent être correctement archivés, de façon à ce que chaque signalement soit récupérable et à ce que les informations reçues par le biais des signalements puissent être utilisées comme éléments de preuve dans les actions visant a faire appliquer la loi, le cas échéant». D'abord, la CNPD rappelle que l'archivage visé dans CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 21/26 cette disposition est à différencier de l'« archivage dans l'intérêt public » au sens de la loi du 17 août 2018 relative à l'archivage, et ne saurait justifier, à elle-seule, un stockage permanent (c'està-dire sans date de suppression) des signalements. D'ailleurs, par rapport à l intitulé de l article 18 de la directive évoquant l'« archivage des signalements », la version allemande de la directive fait état de « Dokumentation der Meldungen » et la version anglaise de « record keeping of thé reports ». Or, la Commission nationale estime que la disposition sous examen est rédigée de manière trop vague et ne remplit à ce titre pas les exigences de clarté, de précision et de prévisibilité à l'égard d'une disposition législative, en ce qu'elle ne permet pas d'apprécier le respect du principe de limitation de conservation des données tel que découlant de l article 5, paragraphe 1er, lettre e), du RGPD. La CNPD note que, en l'absence de précisions dans le projet de loi, il revient à chaque responsable du traitement de définir les critères relatifs à la durée de conservation des signalements en fonction de la gravité de la violation alléguée et des voies de recours encore disponibles pour prendre des mesures supplémentaires pour «faire appliquer la loi». En particulier, les durées de prescriptions peuvent donner des indications importantes pour déterminer les durées de conservation. La Commission nationale se demande en outre si, après le traitement d'un signalement, le responsable du traitement ne devrait pas en principe anonymiser ou du moins pseudonymiser le signalement afin de protéger l'identité de l'auteur du signalement et éventuellement l'identité de tiers mentionnés dans le signalement, pour autant que ces informations contenues dans le signalement ne soient nécessaires pour être utilisées comme « éléments de preuve dans les actions visant à faire appliquer la loi ». L'article 23, paragraphes 3 à 6, du projet de loi transpose fidèlement l'article 17 de la directive. L'article 23, paragraphe 4, du projet de loi prévoit les règles à respecter «lorsqu'une ligne téléphonique enregistrée ou un autre système de messagerie vocale enregistra est utilisé ». Cette disposition crée un cadre légal spécifique pour ces enregistrements, en complément de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. Comme l'article 4, paragraphe 2, de ladite loi du 30 mai 2005, le projet de loi sous considération conditionne l'enregistrement de l'appel téléphonique à l'obtention du consentement de la personne concernée. L'article 23, paragraphe 6, du projet de loi prévoit que « ///es entités juridiques des secteurs privé et public et les autorités compétentes ont le droit cfe consigner la rencontre sous l'une des formes suivantes ; 1° un enregistrement de la conversation sous une forme durable et récupérable 2' un procès-verbal précis de la rencontre, établi par les membres du personnel chargés du traitement du signalement » et que ces « comptes rendus complets et précis de la rencontre soient conservés sous une forme durable et récupérable » « avec le consentement de l'auteur du signalement ». En l'absence d'un enregistrement de l'appel téléphonique, l'article 23, paragraphe 5, du projet de loi établit « te droit de consigner le signalement oral sous la forme d'un procès-verbal précis de la conversation établie par le membre du personnel chargé de traiter le signalement ». De même, lors d une rencontre entre l'auteur du signalement et les membres du personnel compétent, l'article 23, paragraphe 6 conditionne rétablissement et la conservation des « comptes rendus complets et CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 22(26 précis de la rencontre [... ] consen/és sous une forme durable et récupérable » a l'obtention du consentement de l'auteur du signalement. Dans les deux cas, « fauteur du signalement [a] la possibilité de vérifier, de rectifier et d'approuver le procès-verbal de la rencontre par l'apposition de sa signature ». Dans tous les cas, la CNPD rappelle les exigences en matière de droit à l'information, découlant notamment de l'artide 13 du RGPD. Autrement, ces dispositions n'appellent pas d'observations particulières. VIII. La protection des auteurs de signalement L article 2 du projet de loi relatif au champ d'application personnel prévoit que la «présente loi s'applique aux auteurs de signalement travaillant dans le secteur privé ou public [... J » et les auteurs du projet de loi précisentdans le commentaire des articles que « tes fonctionnaireselles employés de l'Etat » sont également des personnes visées par cette disposition. La CNPD comprend qu'il convient d'adopter une conception large de la définition des personnes concernées par le projet de loi et comprend ainsi également, par extension, les « fonctionnaires et les employés communaux ». Les articles 25 à 27 du projet de loi posent le principe de « l'interdiction de représailles » à l'égard des auteurs d'un signalement, établissent un « recours légal contre les mesures de représailles su6/s par Fauteur de signalement » et définissent des « mesures de protection contre les représailles ». Dansl'ensemble, ces dispositionsconstituent la transposition des articles 19 et 21 de la directive et n'appellent pas d'observations particulières. Dans le commentaire des articles, les auteurs indiquent que « la procédure envisagée [à l'article 26 du projet de loi] est inspirée de celle mise en place dans le cadre de la loi du 13 février 2011 sur la lutte contre la corruption », qui introduit notamment l'article L.271-1 du Code du travail qui renvoie les personnes concernées par des mesures de représailles en matière de corruption au « président de la juridiction du travail qui statue d'urgence ». L'article 26 du projet de loi prévoit, d'une part, que la plupart des mesures de représailles sont « nulle[s] de plein droit » et d'autre part que la «personne concernée peut demander [... ] par simple requête à la juridiction compétente de constater la nullité de la mesure et d'en ordonner la cessation ». La Commission nationale note que ni l'article 26, paragraphe 2 du projet de loi, ni le commentaire des articles ne précisent à quelle «juridiction compétente » il fait référence, notamment lorsque la personne concernée est une personne travaillant dans le secteur public. La loi précitée du 13 février 2011 introduit des dispositions spécifiques dans le statut généraldes fonctionnaires de l'Etat et dans le statut général des fonctionnaires communaux relatives à l interdiction de mesures de représailles en matièrede corruption et en matièrede discrimination sur le lieu du travail. En particulier, ladite loi modifie l'article 44bis du statut général des fonctionnaires de l'Etat, qui prévoit dès lors, en matière de corruption et de discrimination, qu'« aucun fonctionnaire ne peut faire l'objet de représailles soit pour avoir témoigné des CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 23/26 agissements définisauxarticles 1 bis et 1ter[... ] ou auxarticles 245 à 252, 310et 310-1 du Code pénal, soit pour les avoir relatés. ». Les auteurs du projet de loi expliquent dans le commentaire des articles ad article 26 du projet de loi que « la protection légale actuellement accordée aux agents de l'Etat est suffisamment étoffée et ne nécessite pas de dispositions complémentaires », en indiquant notamment que « l'application de sanctions disciplinaires envers un fonctionnaire est strictement encadrée par le statut général ». Les auteurs du projet de loi se réfèrent également aux dispositions conférant une protection aux fonctionnaires en application de l'article 31 de la Constitution. Ainsi, ils s'appuient sur les articles 4, paragraphe 5, 44Ê/Set 9, paragraphe 4, du statut général des fonctionnaires de l'Etat protégeant les agents travaillant sous ce statut notamment en cas de dénonciation de « comportements fautifs », d'actes ou comportements contraires au principe de l'égalitéde traitement ou contraires aux règles applicables en matière de corruption. De même, ils font référence à l'article 23, paragraphe 2, du Code de procédure pénale imposant l'obligation aux agents publics d'informer le procureur d'Etat de « faits susceptibles de constituer un crime ou un délit l.. .] nonobstant toute règle de confidentialité ou de secret professionnel ». Cependant, il semble que l'article 44bis du statut général, dans sa formulation actuelle, ne protège pas explicitement l'agent public de sanctions disciplinaires en cas de signalement en vertu du présent projet de loi. L'article 9, paragraphe 4, du statut général du fonctionnaire établit une obligation de « faire connaître son opinion au supérieur» lorsque « l'ordre reçu est entaché d'irrégularité, ou que son exécution peut entraîner des inconvénients graves » et la procédure à suivre pour refuser ou exécuter l'ordre direct. Or, cette disposition ne concerne pas le signalement de faits dont le fonctionnaire aurait eu connaissance en dehors d'un ordre direct et ne le protège donc pas expressément de représailles en lien avec un éventuel signalement. Par ailleurs, la confidentialité de l'identité de l'auteur du signalement n'est manifestement pas respectée lorsque l'agent publicdoitsuivre cette dispositiondu statut général.De plus, l'article 23, paragraphe2, du Code de procédure pénale, réservé à la dénonciation de crimes ou de délits, ne couvre pas l'ensemble du champ d'application matériel du présent projet de loi, incluant également des faits contraires à la législationeuropéenneet luxembourgeoise non-constitutifs d'un crime ou délit, et ne saurait se substituer aux canaux et procédures de signalements interne et externe prévus par le présent projet de loi. En plus, la Commission nationale renvoie aux développements ci-dessus relatifs au champ d'application matériel prévu à l'article 1er, paragraphe 3 du projet de loi, qui exclut les «faits, informations ou documents couverts [... J par l'article 11 du statut général [... ] du régime de protection introduit par la présente loi, sans préjudice de dispositions légales dérogatoires » et se demande si ces limitations, ensemble avec l'absence de garanties expresses dans lesdits statuts, ne restreint pas de manière excessive le champ d'application de la protection des auteurs de signalement à l'égard des personnes travaillant dans le secteur public. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 24/26 Ainsi, quand bien même que l'article 25, lu ensemble avec l'article 2, du projet de loi, s'appliquerait aux personnes travaillant dans le secteur public, la Commission nationale se demande s'il n'aurait pas été opportun d'introduire, à l'instar de la loi précitée du 13 février 2011, des dispositions similaires dans les deux statuts générauxprécitésprotégeantles agents publics de mesures de représailles lorsqu'ils acquièrent le statut d'auteur de signalement au sens du présent projet de loi. Par conséquent, pour plus de sécuritéjuridique, la CNPD suggère d'inclure les signalements faits en application du présent projet de loi à l'article 44È/Sdu statut précité et dans la disposition correspondante du statut généraldes fonctionnairescommunauxafin de permettre explicitement aux agents du secteur public de recourir aux voies de recours prévus par lesdits statuts en cas de mesures de représaillesvisées à l'article 25 du présent projet de loi. Par ailleurs, il conviendra de veiller à une articulation adéquate entre l'article 26 du présent projet de loi et les articles L.271-1 et L.271-2 du Code du travail, en prévoyant le cas échéantdes adaptations des dispositions pertinentes du Code du travail. La CNPD se demande s'il ne serait pas opportun d'insérer,à l'image des deux articles précités,des dispositionsplus détailléesdans le Code du travail fondant les procédures applicables aux employés soumis au Code du travail en matière de mesures de représailles en lien avec des signalements faits en application du présent projet de loi. L article 27, paragraphe2, du projet de loi prévoitque « [l]es auteurs de signalementn'encourent aucune responsabilité en ce qui concerne l'obtenfion des informations qui sont signalées ou divulguées publiquement, ou /'accès à ces informations, à condition que cette obtention ou cet accès ne constitue pas une infraction pénale autonome. Au cas où cette obtention ou cet accès constitue une infraction pénale autonome, la responsabilité pénale continue d'être régie par le droit national et européen applicables. ». Les auteurs précisent dans le commentaire des articles que « [l]e deuxièmeet le troisième paragraphe [de l'article 25 du projet de loi] conditionnent la légitimité de l'obtention de certaines informations à la nécessité de s'abstenir de toute infraction pénale autonome, c'est-à-dire qui n'esf pas en lien avec l'obtention des informations ». D'après la modification proposée par le projet de loi n° 7741 portant modification 1° de la loi modifiéedu 18juillet 2018sur la Policegrand-ducale ;2° delàloi modifiéedu 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat ; et 3° du Code pénal, l'article 509-1 du Code pénal prendrait la teneur suivante : « Quiconque, frauduleusement, aura accédéou se sera maintenu dans tout ou partie d'un systëme de traitement ou de transmission automatisé ou non-automatisé de données sera puni d'un emprisonnement de deux mois à deux ans et d'une amende de 500 euros à 25. 000 euros ou de /'une de ces deux peines. Sera puni des mêmes peines, quiconque, disposant d'une autorisation d'accés à tout ou partie d'un système de traitement ou de transmission automatisé ou non-automatisé de données à caractère personnel, y effectue un traitement de données à caractère CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (DE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 25/26 personnel pour des finalités autres que celles pour lesquelles l'autorisation d'accès a été accordée, y inclus le fait de porter à la connaissance d'un tiers non autorisé les données à caractère personnel ainsi obtenues ». Or, l'obtention d'informations nécessaires à un signalement ou à une divulgation implique souvent l'accès ou le maintien « dans tout ou partie d'un système de traitement ou de transmission automatisé ou non-automatisé de données » de manière « frauduleuse » ou le fait de « porter à la connaissance d'un tiers non autorisé les données à caractère personnel » par un auteur détenant une « autorisation d'accès » au système de traitement de données. La Commission nationale se demande si l'artide 509-1 du Code pénal, suivant la teneur actuelle ou celle proposée par le projet de loi n° 7741, est à interpréter comme une « infraction pénale autonome » lorsque cette infraction est commise dans le seul but d'accéder aux documents nécessaires pour étayer le signalement. Dans ces cas de figure, la CNPD s'interroge s'il conviendrait, au contraire, de ne pas qualifier ces agissements comme une infraction pénaleautonome, maisde les qualifiercomme une infraction liée à un signalement. Cette dernière interprétation permettrait alors, lorsque les conditions du présent projet de loi sont remplies, de dégager l'auteur de signalement de sa responsabilité pénale relative à l'article 509-1 du Code pénal. Pour plus de sécurité juridique, il serait utile de clarifier expressément la relation entre l'article 27, paragraphes 2 et 3, du projet de loi avec l'article 509-1 du Code pénal et la modification proposée dans le projet de loi n° 7741 précitée. Ainsi adopté à Belvaux en date du 21 octobre 2022. La Commission nationale pour la protection des données '7 M ^ ^W!^s Tine A. Larsen Thierry Lallemang Marc Lemmer Alain Herrmann Présidente Commissaire Commissaire Commissaire CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7945 portant transposition de la directive (DE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. 26/26