← Luxembourg

Projet de loi 1) relatif à la valorisation des données dans un environnement de confiance ; 2) relatif à la mise en œuvre du principe « once only » ;

M CHAMBRE DES MÉTIERS LUXEMBOURG CdM/07/01/2025 24-094 N° dossier parl. : 8395 Projet de loi 1) relatif à la valorisation des données dans un environnement de confiance ; 2) relatif à la mise en œuvre du principe « once only » ; 3) relatif à la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4) relatif à la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). Projet de règlement grand-ducal relatif à la valorisation des données dans un environnement de confiance _____________________________________________________________________ Avis de la Chambre des Métiers Résumé structuré Le projet de loi sous avis vise à mettre en œuvre au Luxembourg les dispositions du règlement UE 2022/898 sur la gouvernance européenne des données relatives à la réutilisation des données protégées du secteur public. En complément aux règles de gouvernance en matière de réutilisation des données, le projet de loi sous avis propose de favoriser la circulation des données à caractère personnel entre entités publiques via l’instauration de trois nouveaux principes, à savoir : (

  1. i)le principe de la licéité des traitements de données opérés par les entités publiques en lien avec l’exécution leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique ; (
  2. ii)la définition d’un cadre juridique pour les traitements ultérieurs de données à caractère personnel entre les autorités publiques ; (iii) et le principe selon lequel les administrés ne doivent fournir leurs données qu’une seule fois aux entités publiques (ou principe once only). Le projet de loi sous avis propose de constituer une Autorité des données sous la dépendance du Commissariat du gouvernement à la protection des données pour se prononcer sur les demandes de réutilisation des données protégées du secteur public émanant du secteur privé, mais aussi pour apprécier les demandes de traitements ultérieurs de données à caractère personnel à l’intérieur de la sphère publique. 2, Circuit de la Foire Internationale L-1347 Luxembourg-Kirchberg B.P. 1604 L-1016 Luxembourg T (+352) 42 67 67-1 F (+352) 42 67 87 www.cdm.lu info.cdm@cdm.lu page 2 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ L’Autorité des données sera accompagnée par un Conseil consultatif de la valorisation des données dans un environnement de confiance (ou Conseil consultatif), et il est proposé de créer un point d’information pour la réutilisation des données protégées et pour les traitements ultérieurs de données à caractère personnel sous l’autorité du ministre ayant la digitalisation dans ses attributions. Un projet de règlement grand-ducal est joint afin de préciser la composition et le mode de fonctionnement du Conseil consultatif, ainsi que la procédure applicable concernant la perception des redevances pour les réutilisations de données protégées. Si la Chambre des Métiers salue les nouveaux principes et procédures mises en œuvre elle estime que l’Autorité des données devrait être constituée sous la forme d’un établissement public qui serait indépendant de la tutelle de l’Etat à l’instar de la CNPD ou de l’Autorité nationale de concurrence afin de garantir auprès des citoyens une parfaite neutralité politique des décisions de cette autorité. La mission du Conseil consultatif semble antinomique, car il est difficilement compréhensible comment cet organe peut intervenir tant en amont des décisions de l’Autorité des données que par après sur saisine des parties prenantes à un traitement ultérieur ou une réutilisation. De plus la composition de ce Conseil devrait être modifiée afin d’intégrer des experts conformément à sa mission. La Chambre des Métiers estime de plus que la notion d’« entité publique », notion essentielle puisqu’elle délimite le champ d’application des nouvelles mesures favorisant la circulation des données à caractère personnel dans la sphère publique, devrait être mieux précisée dans la loi. Tout en accueillant favorablement l’obligation once only, la Chambre des Métiers considère que des incertitudes concernant sa portée devraient aussi être levées. Ces incertitudes résultent non seulement des exceptions à l’application du once only qui sont trop largement prévues, mais aussi de la question du champ d’application du nouveau cadre légal pour les traitements ultérieurs entre entités publiques : à défaut de précisions, la portée réelle du once only risque d’être très réduite si l’on considère que les protocoles once only sont juridiquement à qualifier de traitements ultérieurs de données. Enfin, la Chambre des Métiers propose que l’activité de tiers de confiance soit intégrée à celle de prestataire de service d’intermédiation qui est organisée et favorisée par le règlement sur la gouvernance des données, il conviendrait aussi que cette activité soit définie par le droit d’établissement applicable au Luxembourg. *** CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 3 de 16 ____________________________________________________________________________________ Par sa lettre du 12 juin 2024, Madame la Ministre de la digitalisation a bien voulu demander l’avis de la Chambre des Métiers au sujet du projet de loi repris sous rubrique. 1. Considérations générales Le règlement (UE) 2022/868 du Parlement et du Conseil portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (ou « règlement sur la gouvernance des données »1) est applicable depuis le 24 septembre 2023. Le règlement sur la gouvernance des données vise à améliorer la gouvernance des données car il est constaté que les données sont au cœur de la transformation de l’économie et de la société par les technologies numériques. En fixant des règles favorisant la disponibilité des données du secteur public, le règlement sur la gouvernance des données propose de réduire la fracture numérique et d’éviter des effets de verrouillage, notamment vis-à-vis des micro, petites et moyennes entreprises.2 Afin de favoriser la circulation des données, le règlement sur la gouvernance des données fixe en premier lieu les principes applicables à la réutilisation des données protégées détenues par le secteur public sans pour autant créer de nouvelle base juridique pour le traitement des données protégées. Les données protégées comprennent les données à caractère personnel, mais aussi les données protégées pour des motifs de confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, les données protégées par le secret statistique, et les données protégées par des droits de propriété intellectuelle.3 Le règlement sur la gouvernance des données vise ensuite à augmenter la confiance dans les intermédiaires de données qui peuvent être des services d’intermédiation de données ou des organisations altruistes en matière de données.4 Les prestataires de services d’intermédiation de données sont des intermédiaires neutres qui doivent respecter un certain nombre de règles définies par le règlement sur la gouvernance des données permettant d’augmenter la confiance dans le partage des données en donnant plus de contrôle aux personnes concernées et aux services détenteurs. Ces intermédiaires de données sont donc des modèles alternatifs aux grandes plateformes du numériques parce qu’ils s’engagent à respecter une parfaite neutralité fondée sur l’absence de conflit d’intérêts, mais aussi, ils s’engagent à ne pas entrer en concurrence avec les utilisateurs5 et à assurer un caractère équitable, transparent et non discriminatoire de leurs offres de service.6 1 En anglais « Data Gouvenance Act » (ou DGA) 2 Considérant

(2)du règlement sur la gouvernance des données. 3 Article 3
(1)du règlement sur la gouvernance des données 4 Il n’y a pas de contrainte tarifaire en cas d’intermédiation contrairement à l’altruisme où les personnes concernées ne peuvent recevoir de compensation que pour les coûts qu’elles supportent lorsqu’elles mettent leurs données à disposition pour des motifs d’intérêt général (considérant 45 du règlement sur la gouvernance des données). 5 L’intermédiaire n’est autorisé qu’à fournir les services suivants : stockage temporaire, organisation, conversion, anonymisation et pseudonymisation le cas échéant. 6 Un service d’intermédiation de données est un modèle d’affaire transparent, contrairement aux actuels « data brockers » dont l’objectif est d’accroitre la valeur des données sans établir de relation commerciale entre les détenteurs de données et les utilisateurs, mais en intervenant sur plusieurs marchés. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 page 4 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ Le règlement sur la gouvernance des données vise aussi à renforcer les mécanismes de partage de données dans l’Union européenne avec la création du Comité européen de l’innovation dans le domaine des données.7 En plus de mettre en œuvre au Luxembourg le règlement sur la gouvernance des données concernant la réutilisation des données protégées du secteur public, le projet de loi sous avis propose de développer la circulation des données protégées à l’intérieur du secteur public, notamment par la mise en œuvre d’un principe « phare » suivant lequel un administré n’est censé fournir qu’une seule fois les données le concernant aux entités publiques, ou principe du once only. 1.
  1. Définition des acteurs compétents au Luxembourg en matière de gouvernance des données 1.1.
  2. L’Autorité des données Le règlement sur la gouvernance des données impose la désignation dans chaque Etat membre d’un organisme pour assister techniquement les organismes du secteur public lorsqu’ils doivent octroyer ou refuser l’accès aux fins de la réutilisation des données protégées.8 Le projet de loi propose de constituer l’Autorité des données sous la dépendance du Commissariat du gouvernement à la protection des données qui est une administration placée sous l’autorité du Premier ministre et de lui attribuer compétence pour octroyer ou refuser les demandes de réutilisation des données protégées détenues par des organismes du secteur public, mais aussi pour se prononcer sur les demandes de traitement ultérieur de données à caractère personnel entre entités publiques. Afin d’assurer l’impartialité des décisions de l’Autorité des données relatives à des demandes de traitements ultérieurs portant sur des données à caractère personnel9, le projet de loi sous avis pose le principe d’indépendance entre le personnel chargé de la mission de délégué à la protection des données auprès de certains ministères ou communes10 et le personnel qui sera chargé de prendre les décisions en matière de réutilisation de données à caractère personnel.11 Il est prévu que les décisions de cette autorité pourront être contestées devant le Tribunal administratif.12 1.1.
  3. Le Centre des technologies de l’information de l’Etat et la Plateforme nationale d’échange de données Le projet de loi désigne le Centre des technologies de l’information de l’Etat (le CTIE) et la Plateforme nationale d’échange de données (le groupement d’intérêt économique LNDS) pour assister l’Autorité des données dans l’accomplissement de ses missions. 7 Le Comité européen sera composé d’experts et aura pour mission de proposer des lignes directrices pour favoriser des espaces européens communs de données dans des domaines stratégiques impliquant à la fois les acteurs privés et publics dans des secteurs tels que la santé, l’environnement, l’énergie, l’agriculture, la mobilité, la finance, l’industrie manufacturière, ou l’administration publique. 8 Article 7 du règlement sur la gouvernance des données. 9 Demandes visées à la section Ii du titre VII du projet de loi sous avis. 10 Articles 56 et suivants de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données. 11 Projet d’article 4
(6). 12 Projet d’article
  1. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 5 de 16 ____________________________________________________________________________________ Ces entités seront désignées, avec l’Autorité des données, comme « organismes compétents » au sens de l’article 7 du règlement sur la gouvernance des données. 1.1.
  2. L’activité de tiers de confiance Le projet de loi encadre l’activité de « tiers de confiance » afin de garantir que des réutilisations ou des traitements ultérieurs soient effectués de manière à éviter le risque de réidentification des personnes concernées. Un tiers de confiance est une entité fonctionnellement indépendante, non seulement des entités publiques effectuant une réutilisation de données à caractère personnel, mais aussi des entités publiques détenant les données et des réutilisateurs de données.13 L’activité de tiers de confiance est d’effectuer les opérations techniques de stockage, mais aussi de gérer les clés d’anonymisation ou de pseudonymisation et d’agrégation des données. L’activité de tiers de confiance est encadrée par le projet de loi sous avis qui liste une série de grands principes à respecter, dont celui de disposer des ressources suffisantes, de respecter une obligation de secret, et de soumettre son personnel à certaines contraintes, que ce soit de qualification, de ne pas avoir de conflit d’intérêt, et de soumettre ce personnel à une obligation de secret professionnel. 1.1.
  3. Le point d’information unique Suivant l’article 8 du règlement sur la gouvernance des données, les Etats membres doivent définir un point d’information unique pour la réutilisation des données protégées détenues par le secteur public. Les points d’information uniques des Etats sont chapeautés par un point d’accès unique européen mettant à disposition un registre électronique consultable des données disponibles au niveau des points d’information uniques nationaux ainsi que d’autres informations sur la manière de demander des données par l’intermédiaire de ces points d’information uniques nationaux. Le projet de loi sous avis instaure le point d’information unique pour le Luxembourg sous l’autorité du ministre ayant la digitalisation dans ses attributions, avec possibilité de soustraiter cette mission au groupement d’intérêt économique de la Plateforme nationale d’échange de données (LNDS). Le point d’information aura pour missions, d’une part de réceptionner les demandes de réutilisation et de les transférer à l’Autorité des données, et, d’autre part, d’établir et de rendre accessible la liste de données protégées qui sont disponibles à l’accès et à la réutilisation. 1.1.
  4. Le Conseil consultatif Le projet de loi désigne un conseil consultatif de la valorisation des données dans un environnement de confiance (ou « Conseil consultatif ») ayant pour mission de régler d’éventuelles difficultés d’application de la loi en rendant des avis à l’Autorité des données, et d’être un organe de réflexion. 13 Projet d’article 2
(2)3°. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 page 6 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ 1.
  1. Le nouveau principe de licéité pour les traitements primaires de données à caractère personnel par une entité publique Le projet de loi sous avis ajoute au Luxembourg le principe de licéité des traitements de données à caractère personnel par une entité publique lorsque les traitements sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique.14 Il faut souligner que ce principe n’est pas imposé par le règlement sur la gouvernance des données mais qu’il s’inscrit conformément au règlement européen sur la protection des données (RGPD) et qu’il permet d’assoir la licéité des traitements de données à caractère personnel sur cette base sans pour autant que ces traitements ne soient spécifiquement visés par une loi particulière.15 1.
  2. L’échange des données entre entités publiques, ou le principe once only Le principe once only est prévu par le Titre IV du projet de loi sous avis pour les « informations et données à caractère personnel obtenues par les entités publiques auprès d’une autre entité publique ». Ce nouveau principe peut être qualifié comme étant l’obligation pour les entités publiques d’échanger entre elles les informations et les données à caractère personnel dans l’intérêt d’un administré. Le principe once only s’applique dans deux situations : la première est lorsque l’administré effectue une demande ou une déclaration en application d’une disposition légale ou réglementaire ; la seconde est lorsque l’administration doit informer l’administré de son droit à une prestation ou à un avantage prévu par une disposition législative ou réglementaire. L’introduction du principe once only va imposer aux entités publiques d’échanger entre elles les informations et données à caractère personnel qui sont nécessaires, soit pour traiter une demande d’un administré, soit pour informer un administré de son droit à une prestation ou à un avantage. 1.3.
  3. Le protocole once only Afin de mettre en œuvre le principe once only, il sera demandé à chaque entité publique de recenser les informations et données à caractère personnel qu’elle peut obtenir auprès d’une autre entité publique (ci-après « entité publique source »). Ce recensement permettra à l’entité publique de pouvoir notifier à l’entité publique source les échanges des informations et des données à caractère personnel qui auront été identifiées. L’entité publique source sera alors tenue de répondre dans le délai d’un mois, soit en confirmant la disponibilité et la possibilité d’échange, soit en informant de la non- 14 Article 3 du projet de loi sous avis. 15 Article 6
(1)
  1. e)du RGPD prévoit que : « Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: (…)
  2. e)le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement;», et le considérant 45 suivant lequel « Une disposition légale peut suffire pour fonder plusieurs opérations de traitement basées sur une obligation légale à laquelle le responsable du traitement est soumis ou lorsque le traitement est nécessaire pour l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique. » CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 7 de 16 ____________________________________________________________________________________ détention ou de l’impossibilité de l’échange, avec copie de la réponse au ministre ayant la digitalisation dans ses attributions. En cas de disponibilité et possibilité d’échange, les entités publiques concernées doivent signer un protocole once only endéans un délai de 3 mois. Le protocole once only formalise chaque type d’échange d’informations et de données à caractère personnel entre les entités publiques concernées et contient les informations permettant d’assurer la conformité de l’échange avec les exigences liées au RGPD.16 Chaque protocole once only sera publié par l’Autorité des données via un registre qui comprendra les différents protocoles en vigueur ; les protocoles qui ne sont plus applicables resteront publiés pendant une durée de 2 ans avec la mention de leur nonapplication. 1.3.2. Les limites à l’obligation once only Le projet de loi sous avis énumère de manière très large différentes limites au once only, ce qui permet de considérer que l’obligation de partage des données entre les entités publiques ne sera qu’une obligation de principe assorties de plusieurs limites et gardefous. On notera ainsi le cas « d’impossibilité » pour une entité publique d’appliquer le once only, ou si les informations ou données à caractère personnel ne peuvent pas faire l’objet d’un échange entre entités publiques « en raison de leur nature ».17 Une autre limite à l’obligation once only est l’application du principe suivant lequel les informations et les données à caractère personnel collectées et échangées ne peuvent être utilisées ultérieurement à des fins de détection systématique d’une fraude, sauf habilitation législative spéciale.18 Enfin, dans la situation où c’est l’administration qui informe l’administré d’un droit, le principe once only est accompagné de l’obligation de l’entité publique d’informer l’administré de son droit de s’opposer à la poursuite du traitement de ses données à caractère personnel et d’obtenir que les informations ou données à caractère personnel obtenues à la suite de l’échange entre entités soient détruites.19 1.4. Le traitement ultérieur de données à caractère personnel par les entités publiques Le titre V du projet de loi sous avis encadre le traitement ultérieur de données à caractère personnel par une entité publique en listant de manière limitative les finalités dans lesquelles un tel traitement ultérieur est autorisé et en imposant des conditions d’anonymisation et de pseudonymisation. 1.4.1. Les finalités La liste limitative des finalités pour les traitements ultérieurs de données à caractère personnel par des entités publiques est la suivante :
  3. a)l’analyse statistique ;
  4. b)les 16 Les informations sont listées par le projet d’article 13 du projet de loi sous avis. 17 Projet d’article 11 paragraphes 4 & 6. 18 Projet d’article 11 paragraphe 3 alinéa 1er. 19 Projet d’article 11 paragraphe 3. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 page 8 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ activités d’éducation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ;
  5. c)la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
  6. d)l’évaluation et la planification des politiques envisagées ou planifiées par le Gouvernement et approuvées par décision du Gouvernement en conseil, ou en ce qui concerne les communes, envisagées ou planifiées par le Conseil communal ;
  7. e)lorsque la mise en œuvre d’un accord international requiert la communication d’informations ou lorsque le traitement ultérieur des données à caractère personnel permet de répondre aux demandes d’informations officielles provenant de gouvernements étrangers ou d’organisations internationales approuvées par décision du Gouvernement en conseil ;
  8. f)les activités de développement, d’évaluation, de démonstration, de sécurité et d’innovation de dispositifs ou de services ;
  9. g)la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numériques. 20 1.4.2. Le principe d’anonymisation Pour les traitements ultérieurs de données à caractère personnel, le projet de loi sous avis pose le principe de l’anonymisation des données assorti de possibilités de simple pseudonymisation, voire d’absence d’anonymisation ou de pseudonymisation, dès lors qu’il est rapporté que le traitement ultérieur de données anonymisées, respectivement pseudonymisées, ne permet pas d’atteindre la finalité poursuivie.21 Le projet de loi distingue les traitements ultérieurs au sein d’une même entité publique, pour lesquels l’obligation d’anonymisation ou de pseudonymisation s’applique pour les données dites sensibles listées par l’article 9 et 10 paragraphe 1er du RGPD, des traitements ultérieurs par une autre entité publique, ou par plusieurs entités, pour lesquels la demande doit être soumise à l’autorisation de l’Autorité des données suivant une procédure très détaillée (cf. infra § 1.6.).22 On notera aussi que l’entité publique qui détient les données concernées aura toujours la possibilité de refuser le partage malgré l’autorisation de l’Autorité des données, et que, dans ce cas, le projet de loi sous avis prévoit la possibilité, pour l’entité qui demande les données, de saisir le Conseil consultatif.23 1.5. Le nouveau cadre pour la réutilisation des données protégées du secteur public Une nouvelle gouvernance est proposée concernant la réutilisation des données protégées secteur public par des « réutilisateurs » de données. La réutilisation de données protégées vise « l’utilisation, par des personnes physiques ou morales, de données détenues par des organismes du secteur public, à des fins commerciales ou non commerciales autres que l’objectif initial de la mission de service public pour lequel les données ont été produites, à l’exception de l’échange de données entre des organismes du secteur public aux seules fins de l’exercice de leur mission de service public. »24 20 Projet d’article 15 paragraphe 1. 21 Projet d’article 16 paragraphes 2 et 3. 22 Projet d’article 27. 23 Projet d’article 18 paragraphe 2. 24 Article 2, point 2) du règlement sur la gouvernance des données. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 9 de 16 ____________________________________________________________________________________ 1.5.1. Champ d’application Les données protégées sont celles bénéficiant d’une des protections suivantes : la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise ; le secret statistique ; la protection des droits de propriété intellectuelle de tiers ; la protection des données à caractère personnel. Certaines catégories de données sont exclues de la réutilisation, à savoir :
  10. a)les données détenues par des entreprises publiques ;
  11. b)les données détenues par des radiodiffuseurs de service public ;
  12. c)les données détenues par des établissements culturels et des établissements d’enseignement ;
  13. d)les données détenues par des organismes du secteur public qui sont protégées pour des raisons de sécurité publique, de défense ou de sécurité nationale ;
  14. e)les données dont la fourniture est une activité qui ne relève pas de la mission de service public dévolue aux organismes du secteur public concernés.25 1.5.2. Finalités Le projet de loi sous avis soumet l’autorisation à l’accès et la réutilisation des données protégées du secteur public à la liste limitative des finalités suivantes :
  15. a)l’analyse statistique ;
  16. b)les activités d’éducation, de formation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ;
  17. c)la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
  18. d)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de technologies ;
  19. e)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de produits ;
  20. f)l’évaluation des politiques publiques luxembourgeoises ou européennes. 26 1.5.3. Les garanties pour préserver le caractère protégé des données L’accès aux données à des fins de réutilisation n’est octroyé que lorsque l’organisme du secteur public ou l’organisme compétent, à la suite d’une demande de réutilisation, a fait en sorte que les données aient été, soit anonymisées s’il s’agit de données à caractère personnel, soit, pour les autres données protégées, modifiées, agrégées ou traitées selon toute autre méthode de contrôle de la divulgation dans le cas des informations commerciales confidentielles, y compris des secrets d’affaires et des contenus protégés par des droits de propriété intellectuelle. Concernant la réutilisation de données personnelles, l’article 22 du projet de loi sous avis impose le respect des conditions suivantes : 1°) l’autorisation de l’accès et de la réutilisation par l’Autorité des données ; 2°) l’accord de l’entité publique qui détient les données ; 3°) l’absence d’atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 4°) l’anonymisation ou la pseudonymisation des données préalablement à leur accès et à leur réutilisation ; 5°) le respect de l’environnement de traitement sécurisé visé à l’article 36 du projet de loi. Concernant la réutilisation de données non personnelles, l’article 23 du projet de loi impose le respect des conditions suivantes : 1°) l’autorisation de l’accès et de la réutilisation par l’Autorité des données ; 2°) l’accord de l’entité publique qui détient les données ; 3°) l’absence d’atteinte disproportionnée aux droits protégés ; 4°) que les données soient « modifiées, agrégées, supprimées ou traitées selon toute autre 25 Article 3
(2)du règlement sur la gouvernance des données. 26 Article 20 du projet de loi sous avis. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 page 10 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ méthode de contrôle de la divulgation préalablement à leurs accès et à leur réutilisation » et 5°) le respect de l’environnement de traitement sécurisé visé à l’article
  1. 1.
  2. La procédure d’autorisation devant l’Autorité des données Le titre VII du projet de loi sous avis précise la procédure applicable pour les demandes d’autorisation des traitements ultérieurs des données à caractère personnel soumis à autorisation et pour les demandes de réutilisation de données protégées du secteur public. La forme et le contenu de la demande de traitement ultérieur ou d’accès et de réutilisation, ainsi que la procédure d’instruction de la demande par l’Autorité des données, sont détaillées dans le projet de loi sous avis. Conformément au règlement sur la gouvernance des données, le projet de loi fixe un délai de 2 mois avec possibilité que ce délai soit augmenté pour une durée allant jusqu’à 30 jours en cas de demande « exceptionnellement détaillée et complexe ».27 L’Autorité des données pourra exiger, pour chaque demande de réutilisation, une redevance pour couvrir les frais administratifs occasionnés par le traitement de la demande et par la mise à disposition des données dans l’environnement de traitement sécurisé. Il est renvoyé à un règlement grand-ducal le soin de détailler la procédure applicable à la perception de cette redevance, projet qui est utilement joint au projet de loi sous avis.28 Le projet de loi sous avis prévoit une publicité des autorisations et impose à l’Autorité des données la tenue d’un registre public des traitements ultérieurs de données à caractère personnel et des accès et réutilisations de données autorisées.29 1.
  3. Les services d’intermédiation et les organisations altruistes Le projet de loi sous avis fixe le cadre national en matière de gouvernance pour les intermédiaires en matière de données, à savoir les services d’intermédiation et les organisations altruistes. 1.7.
  4. Les services d’intermédiation de données Un service d’intermédiation en matière de données est un service de mise en relation entre des détenteurs de données, qui peuvent être directement des personnes concernées, et des utilisateurs de données, afin d’établir des relations commerciales. Suivant le règlement sur la gouvernance des données, trois types de service d’intermédiation de données sont envisageables en fonction des personnes qu’ils mettront en relation. Un service d’intermédiation pourra, en fonction de son modèle d’affaires, mettre en relation : • soit des détenteurs et des utilisateurs de données, comme par exemple une plateforme d’échanges B2B ; 27 Article 29
(2)du projet de loi sous avis. 28 Article 30 du projet de loi sous avis. 29 Article 34 du projet de loi sous avis. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 11 de 16 ____________________________________________________________________________________ • soit des personnes concernées et des utilisateurs de données, comme par exemple un système de gestion des informations personnelles ; • soit par le biais d’une coopérative de données, comme par exemple une mutualisation des données en vue d’une gestion commune.30 Afin de susciter la confiance dans ces intermédiaires, le règlement sur la gouvernance des données impose dans chaque Etat membre la mise en place d’une procédure de notification de l’activité, ainsi que le respect d’une série de règles contraignantes telles que l’interdiction pour le service d’intermédiation d’utiliser les données à d’autres fins que leur mise à disposition des utilisateurs de données, la définition d’un plan de continuation en cas d’insolvabilité, la garantie que l’accès aux données ne soit pas discriminatoire. Le projet de loi sous avis désigne la Commission nationale pour la protection des données (CNPD) comme autorité compétente pour la notification pour des services d’intermédiation de données, et encadre sa mission de contrôle, et organise le pouvoir de sanction. 1.7.
  1. Les organisations altruistes en matière de données L’altruisme en matière de données est une modalité de partage de données, qu’elles soient à caractère personnel ou pas. Les organisations altruistes échappent au régime des services d’intermédiations parce qu’elles ne visent pas à établir des relations commerciales, et qu’elles interviennent à titre gratuit. Le partage des données est fondé sur le consentement des personnes concernées et pour des motifs d’intérêt général qui doivent être prévus par le droit national. Afin de susciter la confiance dans les organisations altruistes en matière de données, le règlement sur la gouvernance des données leur impose le respect d’une série de grands principes, dont l’exercice des activités dans un but non lucratif, une indépendance juridique et une conformité avec le recueil de règles adoptées par la Commission. Les organisations altruistes en matière de données doivent s’enregistrer au niveau national et le projet de loi désigne la CNPD comme autorité responsable de la tenue du registre public national des organisations altruistes en matière de données reconnues.
  2. Observations particulières 2.
  3. L’Autorité des données 2.1.
  4. L’indépendance de l’Autorité des données à l’égard du pouvoir politique La Chambre des Métiers est consciente que l’Etat Luxembourgeois œuvre pour garantir un maximum de sécurité des informations liées aux activités des entités publiques. Cependant, considérant le rôle de la nouvelle Autorité des données et afin de garantir auprès des citoyens une parfaite neutralité politique des décisions de cette Autorité, un signal fort serait de constituer cette autorité sous la forme d’un établissement public qui 30 Article 10 du règlement sur la gouvernance des données. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 page 12 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ serait indépendant de la tutelle de l’Etat à l’instar de la CNPD ou de l’Autorité nationale de concurrence. 2.1.
  5. Concernant l’activité du Conseil consultatif La Chambre des Métiers estime qu’une antinomie existe concernant les missions dévolues au Conseil consultatif, car cet organe peut intervenir, en amont comme conseil de l’Autorité des données31, et en aval, dans le cadre de recours administratifs. 31 Article 8 paragraphe 2 point 1° du projet de loi sous avis. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 13 de 16 ____________________________________________________________________________________ En effet, le conseil consultatif pourra notamment être saisi pour avis : • par une entité publique qui se voit opposer un refus de partage d’un traitement ultérieur de données à caractère personnel par une autre entité publique32 ; • par un réutilisateur de données qui se voit opposer un refus d’accès de réutilisation de données par un organisme du secteur public malgré l’autorisation préalable de l’Autorité des données.33 Afin de renforcer le point des avis de cet organe, il conviendrait de mieux préciser ces missions et aussi de revoir sa composition. La composition et le mode de fonctionnement du Conseil consultatif sont précisés par le règlement grand-ducal sous avis qui propose la désignation de onze délégués représentant le Premier ministre et différents ministères, ainsi que le Commissariat du gouvernement à la protection des données auprès de l’Etat et le CTIE. La Chambre des Métiers note, dans ce contexte, l’absence des experts délégués de la part de la CNPD. Il est aussi prévu que le Conseil consultatif peut demander l’avis d’experts, mais sans voix délibérative. Concernant la mission purement consultative de ce Conseil, la Chambre des Métiers estime que des experts et des spécialistes en matière de données devraient faire partie intégrante de cet organe. 2.
  6. Les incertitudes concernant la notion d’entité publique La notion d’entité publique telle que proposé par le projet de loi sous avis est fondamentale puisqu’elle définit le champ d’application des trois nouveaux principes suivants : (i) le principe de licéité basé sur l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, (ii) le principe du once only, et (iii) le principe des traitements ultérieurs de données à caractère personnel dans la sphère public. La notion d’entité publique proposée par le projet de loi sous avis est la suivante : « un Ministère, y compris ses services, une administration ou une commune luxembourgeoise, ainsi que les établissements publics luxembourgeois, les groupements d’intérêt économique et les personnes morales d’utilité publique listés expressément par règlement grand-ducal aux fins d’application des dispositions des titres IV et V. Toutefois, ne sont pas considérées comme entité publique aux fins d’application de la présente loi : a) les autorités compétentes visées par l’article 2, point 7° de loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale lorsqu’elles effectuent un traitement de données à caractère personnel relevant du champ d’application de la loi du 1er août 2018 ; b) les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif, lorsqu’elles effectuent un traitement de données à caractère personnel dans l’exercice de leurs fonctions juridictionnelles ; »34… 32 Article 18
(2)du projet de loi sous avis. 33 Article 22
(3)du projet de loi sous avis. 34 Projet d’article 2
(2)CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 page 14 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ La Chambre des Métiers regrette que le projet de règlement grand-ducal qui doit définir les personnes morales d’utilité publique devant être qualifiées d’entités publiques pour l’application du titre IV (le principe once only) et du titre V (les traitements ultérieurs) ne soit pas annexé au projet de loi. Considérant les missions d’intérêt public qui lui sont légalement dévolue, la Chambre des Métiers ne s’opposerait pas à ce que les Chambres professionnelles soient, dans la mesure où elles effectuent une mission d’intérêt public, ajoutées dans la liste des entités publiques pour l’application des titres IV et V du projet de loi sous avis. 2.3. Concernant le champ d’application des nouvelles dispositions en matière de réutilisation La nouvelle gouvernance concernant la réutilisation des données protégées par des réutilisateurs de données vise, non pas les données détenues par des entités publiques, mais les données détenues par des « organismes du secteur public.» Au sens du règlement sur la gouvernance des données, les organismes du secteur publics sont ceux présentant toutes les caractéristiques suivantes : «
  1. a)ils ont été créés pour satisfaire spécifiquement des besoins d'intérêt général ayant un caractère autre qu'industriel ou commercial ;
  2. b)ils sont dotés de la personnalité juridique ; et
  3. c)soit ils sont financés majoritairement par l'État, les autorités régionales ou locales ou d'autres organismes de droit public, soit leur gestion est soumise à un contrôle de ces autorités ou organismes, soit leur organe d'administration, de direction ou de surveillance est composé de membres dont plus de la moitié sont désignés par l'État, les autorités régionales ou locales ou d'autres organismes de droit public ».35 La Chambre des Métiers, tout en partageant que la définition d’organisme du secteur public est identique à la notion « d’organisme de droit public » qui délimite le champ d’application rationae personae de la législation spécifique des marchés publics, estime que les chambres professionnelles sont à qualifier d’organisme du secteur public.36 Cette analyse est d’ailleurs confirmée par le champ d’application de la loi du 14 septembre 2018 relative à une administration transparente et ouverte bien que cette loi utilise la notion de « document administratif ».37 Il est aussi partagé que la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public, bien qu’ayant un champ d’application plus large qui inclut dans une certaine mesure les documents détenus par les entreprises publiques, reprend la notion identique de documents détenus par les « organismes du secteur public » mais sans proposer de définition.38 35 Article 2, point 18 du règlement sur la gouvernance des données. 36 Il est renvoyé à l'article 2.
  4. d)de la Loi du 8 avril 2018 sur les marchés publics 37 Suivant l’article 1er de cette loi, les « documents administratifs » sont les « documents détenus par les administrations et services de l’État, les communes, les syndicats de communes, les établissements publics placés sous la tutelle de l’État ou sous la surveillance des communes ainsi que les personnes morales fournissant des services publics, dans la mesure où les documents sont relatifs à l’exercice d’une activité administrative. Elles ont également accès aux documents détenus par la Chambre des Députés, le Conseil d’État, le Médiateur, la Cour des comptes et les Chambres professionnelles, qui sont relatifs à l’exercice d’une activité administrative. » 38 Suivant l’article 2 point 2° de cette loi sont organismes du secteur public : « l’État, les communes, les organismes de droit public ou les associations formées par une ou plusieurs de ces autorités, ou un ou plusieurs de ces organismes de droit public.» CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 15 de 16 ____________________________________________________________________________________ 2.4. Incertitudes sur la portée de l’obligation once only Parmi les exceptions à la mise en œuvre du once only, deux exceptions devraient être mieux précisées, à savoir : • la possibilité pour l’entité publique détenant des données de ne pas échanger les informations et les données à caractère personnel nécessaire à la mise en œuvre du once only en cas « d’impossibilité dûment motivée » ; • la possibilité pour un règlement grand-ducal de déterminer les informations ou données à caractère personnel qui, « en raison de leur nature », ne pourront pas faire l’objet d’un échange entre entités publiques.39 En effet, les notions « « d’impossibilité dûment motivée » et d’impossibilité par « nature » » ne sont pas explicites et elles devraient être mieux cernées dans le texte de la loi. Une autre incertitude réside sur la considération que nombre de protocoles once only devraient être qualifiés juridiquement de traitement ultérieur, et qu’une lecture stricte du champ d’application du nouveau cadre légal pour les traitements ultérieurs limitera sensiblement le champ d’application du once only. De plus, tout en soulignant la sécurité juridique pour les personnes concernées que le cadre légal propose pour les traitements ultérieurs de données à caractère personnel par les entités publiques, la Chambre des Métiers estime que ce cadre légal ne devrait pas remettre en cause des dispositions légales ou conventionnelles, existantes ou à venir, qui peuvent organiser, dans le cadre de besoins plus spécifiques, des traitements ultérieurs conformément aux possibilités énumérées par le RGPD.40 Aux fins de sécurité et d’efficacité juridique, la Chambre des Métiers estime que l’articulation de ce nouveau cadre légal avec d’autres possibilités légales ou conventionnels de traitements ultérieurs devrait être précisée dans le projet de loi sous avis, comme ceci est d’ailleurs mentionné dans le commentaire des articles.41 2.5. Concernant l’activité de tiers de confiance et celle de prestataire de services d’intermédiation Le projet de loi sous avis propose de distinguer l’activité de prestataire de service d’intermédiation, activité qui est définie et encadré par le règlement sur la gouvernance des données, de celle de « tiers de confiance » qui ne l’est pas. La Chambre des Métiers regrette cette distinction et estime que l’activité de « tiers de confiance » devrait être incluse dans celle d’un prestataire de service d’intermédiation. Une autre incertitude concerne le champ de l’activité de ce « tiers de confiance » car le projet de loi sous avis prévoit implicitement que le CTIE mandate un tel prestataire dans le cadre de ses missions techniques.42 Ce mandat implicite est d’ailleurs mentionné dans l’exposé des motifs qui explique que « pour éviter d’éventuels conflits d’intérêts et pour maintenir la confiance des citoyens dans une gestion prudente de leurs données par les acteurs publics, la loi prévoit la 39 Projet d’article 11 paragraphes 4 & 6. 40 Il est renvoyé à l’article 6
(4)du RGPD. 41 Ad article 15, page 52. 42 Les projet d’articles 5
(2)et
(3); 31
(5)1°
  1. c)et 2°
  2. c)et 32
(3), 35
(2)et 36 mentionnent le « tiers de confiance mandaté par le Centre. » CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025 page 16 de 16 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ possibilité pour le Centre des technologies de l’information de l’État de recourir aux services d’un tiers de confiance. »43 De plus, la Chambre des Métiers estime que l’activité de prestataire de services d’intermédiation, et de tiers de confiance, devrait être appréhendée par le droit d’établissement applicable au Luxembourg. 2.
  1. La question des redevances réduites ou gratuites pour certaines réutilisations à des fins non commerciales Le projet de loi également joint pour avis prévoit que l’Autorité des données fixera pour chaque demande de réutilisation une redevance pour couvrir les frais administratifs occasionnés par le traitement de la demande et par la mise à disposition des données dans l’environnement de traitement sécurisé et il renvoie à un règlement grand-ducal le soin de déterminer la procédure de perception.44 Le projet de règlement grand-ducal également joint pour avis ouvre, conformément à l’option ouverte par l’article 6 paragraphe 4 du règlement sur la gouvernance des données, qu’une redevance réduite ou gratuite vis-à-vis de certains utilisateurs, notamment les utilisations à des fins de recherche scientifique, les PME et les jeunes pousses, doit être prévue par l’Autorité des données. La Chambre des Métiers salue cette option, mais elle estime qu’une politique nationale visant à favoriser l’altruisme en matière de données devrait aussi être proposée conformément à l’article 16 du règlement sur la gouvernance des données, qui mentionne cette possibilité pour notamment « aider les personnes concernées à mettre à disposition volontairement, à des fins d’altruisme en matière de données, des données à caractère personnel les concernant détenues par des organismes du secteur public, et déterminer les informations nécessaires qui doivent être fournies aux personnes concernées en ce qui concerne la réutilisation de leurs données dans l’intérêt général.» *** La Chambre des Métiers ne peut approuver le projet de loi et le projet de règlement grand-ducal lui soumis pour avis que sous la réserve expresse de la prise en considération de ses observations ci-avant formulées. Luxembourg, le 7 janvier 2025 Pour la Chambre des Métiers Tom WIRION Directeur Général Tom OBERWEIS Président 43 Exposé des motifs, page
  2. 44 Article 30 du projet de loi sous avis. CdM/GC/nf/Avis 24-094 once only.docx/07.01.2025

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.