Projet de loi n°8395 1) relatif à la valorisation des données dans un environnement de confiance ; 2) relatif à la mise en oeuvre du principe « once o

SY VICOL Syndicat des Villes et Communes Luxembourgeoises Projet de loi n°8395 1) relatif à la valorisation des données dans un environnement de confiance ; 2) relatif à la mise en oeuvre du principe « once only » ; 3) relatif à la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4) relatif à la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) Avis du Syndicat des Villes et Communes Luxembourgeoises I. Remarques générales Le SYVICOL a été demandé en son avis par Madame la Ministre de la Digitalisation au sujet du projet de loi sous examen en date du 12 juin

1. Le syndicat a également été invité à une présentation des grandes lignes du projet de loi au ministère de la Digitalisation en date du 29 novembre 2024 et il souhaite profiter de l’occasion pour remercier Madame la Ministre pour ces démarches. Le présent avis a été élaboré à l’aide de la commission consultative 1 – volet administratif du SYVICOL. Le SYVICOL tient à remercier les membres de la commission pour leurs contributions importantes. Le projet de loi n°8395 relatif à la valorisation des données dans un environnement de confiance précise au niveau national luxembourgeois les règles pour l’accès aux données détenues par les entités du secteur public ainsi que les règles concernant la réutilisation de ces données contenues dans le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données). Tout comme le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022, le projet de loi n°8395, qui reprend les dispositions de fond du règlement européen, vise à instaurer une certaine confiance entre les citoyens et les acteurs du secteur public, qui détiennent une panoplie de données à caractère personnel et à caractère non personnel de leurs administrés. Syndicat des Villes et Communes Luxembourgeoises 3, rue Guido Oppenheim L-2263 Luxembourg T +352 44 36 58 - 1 E info(o)syvicol.lu www.syvicol.lu Réf. : AV25-08-PL8395 Il complète et précise pour le Luxembourg les dispositions contenues dans le règlement (UE) 2022/868, qui est d’application directe depuis le 24 septembre 2023, concernant en particulier la désignation des organismes compétents au niveau national, la procédure à suivre pour l’octroi des autorisations d’accès et de réutilisation des données, et les conditions applicables à l’accès et à la réutilisation des données. Les principaux objectifs du projet de loi sont la simplification administrative pour le citoyen, pour les entreprises et pour les administrations publiques ; la valorisation des données détenues par le secteur public pour promouvoir l’économie, la recherche et l’innovation fondées sur les données ; l’habilitation des administrations à proposer des démarches de manière proactive aux citoyens et la facilitation de la prise de décision éclairée basée sur les données, le tout dans un environnement de confiance entre les citoyens et les détenteurs des données du secteur public. Les dispositions du projet de loi peuvent être divisées en quatre grands piliers, à savoir le traitement primaire de données à caractère personnel (Titre II), le principe du « once only » (Titre IV), les traitements ultérieurs de données personnelles (Titres V et VII) et la réutilisation de données personnelles (Titres VI et VII). Tandis que le SYVICOL ne veut pas remettre en cause les grands principes du projet de loi ou l’introduction du système « once only », il souhaite néanmoins faire part de ses réflexions cidessous concernant surtout la mise en œuvre pratique du texte. II. Eléments-clés de l’avis • • • • • Le SYVICOL se demande si une commune spécifique ou le Syndicat intercommunal de gestion informatique (SIGI) pourra être désigné « tiers de confiance » au sens de la loi en projet. Dans la négative, il préconise de prévoir cette possibilité. (art. 6) Il salue la désignation d’une autorité centrale et l’introduction d’un « point d’information unique » pour le traitement ultérieur et l’accès, ainsi que la réutilisation des données à caractère personnel. ». (art. 7) Il note que les membres du conseil consultatif de la valorisation des données dans un environnement de confiance sont uniquement des représentants issus des ministères et administrations de l’État. Il demande que le niveau communal soit représenté par au moins deux membres dans cet organe consultatif. (art. 8) De l’avis du syndicat, il ne ressort pas clairement de la formulation actuelle du texte que les communes ne sont pas obligées à informer les administrés qu’ils ont droit à une éventuelle prestation ou un avantage supplémentaire auprès de leur commune de résidence après avoir fait une demande auprès d’une entité étatique. Il recommande de clarifier cette disposition dans le texte du projet de loi. (art. 9) Le SYVICOL n’est pas convaincu qu’on puisse parler d’une simplification administrative et d’un gain de temps tels qu’avancés par les auteurs du texte, surtout en relation avec le principe du « once only » et plus spécifiquement dans le contexte de la notification d’un administré relative au droit au bénéfice éventuel d’une prestation ou d’un avantage supplémentaire. Contrairement aux administrés, cette disposition entraînera un surplus de démarches à effectuer par les communes et donc une augmentation de leur charge de travail et une hausse des coûts y afférents. (art. 9 et 11) 2 • • • • • D’une manière plus générale, le SYVICOL demande aux auteurs de clarifier les dispositions sur le principe « once only » afin de préciser les responsabilités et obligations exactes des communes dans la mise en œuvre de ce principe. (art. 9 à 11) Il propose de simplifier la tâche de recensement pour les 100 communes, pour les 30 offices sociaux et les autres établissements publics placés sous la surveillance des communes en instituant un groupe de travail composé d’experts du ministère et du niveau communal pour identifier les données à caractère personnel et les informations pour lesquelles les communes devront signer un « protocole once only ». (art.12 et 13) Il propose de mettre à disposition des communes des protocoles types pour les échanges qui seront identiques dans les 100 communes du pays ou même d’élaborer des protocoles uniques pour chaque type d’échange de données qui est identique dans le secteur communal. (art.12 et 13) De l’avis du syndicat, la complexité des procédures relatives au traitement ultérieur des données à caractère personnel et à l’accès et à la réutilisation des données à caractère personnel ne reflètent pas l’affirmation des auteurs qu’il sera « superflu de recruter un spécialiste disposant des connaissances et de l’expérience pratique auprès de chacune des plus d’une centaine d’entités étatiques, de chacune des plus d’une centaine de communes luxembourgeoises » et que les communes seront, bien au contraire, quasi obligées à engager un spécialiste dans la matière ou de travailler avec un expert externe. (art.15 à 18 et 25 à 38) Enfin, le SYVICOL plaide pour l’application rigoureuse du principe de connexité ancré à l’article 123, paragraphe 3 de la Constitution, puisque les nouvelles missions pour les communes contenues dans le projet de loi exigent un grand investissement en termes de finances, de temps et de ressources de la part des communes. (art.15 à 18 et 25 à 38) III. Remarques article par article Titre Ier et II – articles 1er, 2 et 3 Les articles 1er et 2 énoncent l’objet de la loi en projet ainsi que les définitions de certains termes utilisés dans le texte de la future loi. Les dispositions du projet de loi s’appliquent sans préjudice des dispositions plus spécifiques relatives au traitement de données à caractère personnel, comme celles prévues par exemple dans le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). Les dispositions du projet de loi s’appliquent aux entités publiques, à savoir : les ministères et leurs services, les administrations et les communes, les établissements publics, les groupements d’intérêt économique, les personnes morales d’utilité publique. Le SYVICOL a été informé lors de la réunion avec le ministère de la Digitalisation que la définition d’entité publique n’inclut pas les autres établissements publics placés sous la surveillance des communes, comme les offices sociaux par exemple. Cependant, de l’avis du SYVICOL, l’application du principe « once only » serait certainement utile dans ces entités publiques. 3 L’article 3 introduit une base légale générale pour le traitement de données à caractère personnel par les entités publiques, la base de licéité générale du traitement de données à caractère personnel se fondant dans le cadre de la future loi sur la condition que les données soient traitées par les entités publiques dans l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont les entités publiques sont investies : « Les entités publiques sont habilitées à traiter les données à caractère personnel nécessaires aux fins relevant de l’exécution de leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies par une disposition de droit de l’Union européenne ou de droit national applicable.» Titre III – articles 4 à 8 Le titre III du projet de loi définit les acteurs compétents en matière de traitement de données à caractère personnel, ainsi qu’en matière d’accès et de réutilisation de données tel qu’exigé par le règlement (UE) 2022/
2. Le Commissariat du gouvernement à la protection des données auprès de l’État est désigné comme organe centralisé compétent habilité à octroyer ou à refuser les accès et les réutilisations des données, le Commissariat est donc désigné « Autorité des données » au sens du règlement européen. Le commentaire des articles explique que « pour des raisons de cohérence et d’économie budgétaire, cette option est mise en oeuvre par la création d’une Autorité des données centralisée. En effet, il s’avère excessif de recruter un spécialiste disposant des connaissances et de l’expérience pratique afférente auprès de chacune des plus d’une centaine d’entités étatiques ainsi qu’auprès de chacune des plus d’une centaine de communes luxembourgeoises et des autres organismes de droit public relevant du champ d’application du règlement (UE) 2022/
3. » L’autorité des données sera soutenue au niveau technique et dans ses décisions par le Centre des technologies de l’information de l’État (Centre) ainsi que par le groupement d’intérêts économiques Plateforme nationale d’échange de données (LNDS) ainsi que par des « tiers de confiance » (article 6) et le Conseil consultatif de la valorisation des données dans un environnement de confiance (article 8). Les « tiers de confiance » aideront l’autorité des données, le Centre et le LNDS à « effectuer des opérations de sécurité d'authentification, de transmission et de stockage d’informations permettant la réidentification, y compris, le cas échéant, l’anonymisation, la pseudonymisation et l’agrégation des données, ainsi que la gestion des clés d’anonymisation, de pseudonymisation et d’agrégation des données ». Pour l’accès aux données, un « point d’information unique » est créé sous l’autorité du ministre ayant la digitalisation dans ses attributions. Le point d’information unique recevra, entre autres, les demandes d’accès et de réutilisation de données, les transmettra électroniquement, le cas échéant par des moyens automatisés, à l’Autorité des données et mettra une liste des ressources consultable contenant un aperçu de toutes les ressources en données disponibles à l’accès et à la réutilisation de données à disposition du grand public. 4 Le SYVICOL salue la désignation d’une autorité centrale et l’introduction d’un point d’information unique pour l’accès aux données et pour la réutilisation de données. Il se demande cependant si une commune particulière ou le Syndicat intercommunal de gestion informatique (SIGI) pourra être désigné « tiers de confiance ». Le Centre, donc le CTIE, a uniquement pour mission de « s’assurer de la mise en oeuvre des mesures d’anonymisation et de pseudonymisation des données à caractère personnel et/ou de modification, d’agrégation, de suppression et de traitement des informations et données selon toute autre méthode de contrôle de la divulgation des données conformément au plan de confidentialité, préalablement à la mise à disposition des données dans l’environnement de traitement sécurisé ». D’après la lecture du texte faite par le SYVICOL, dans la pratique, il incombera donc également aux communes d’anonymiser et de pseudonymiser les données à caractère personnel avant leur introduction dans l’environnement de traitement sécurisé. Le SIGI s’occupe de la gestion informatique pour 99 des 100 communes du pays et devra constituer un acteur incontournable pour aider les communes à mettre en œuvre les dispositions du projet de loi n°
4. Mais étant donné que la Ville de Luxembourg n’est pas membre du syndicat intercommunal, il est nécessaire, selon l’avis du SYVICOL, de prévoir la possibilité de désigner une commune spécifique ainsi que le syndicat intercommunal en tant que « tiers de confiance ». Quant au Conseil consultatif de la valorisation des données dans un environnement de confiance, le SYVICOL note que les membres dudit conseil sont des représentants issus des ministères et administrations de l’État. Cet organe n’incluerait donc pas de représentants provenant des communes ou du SYVICOL, un fait qui est regrettable. Puisque les 100 communes du pays sont des détenteurs d’un grand nombre de données à caractère personnel ou non personnel de leurs administrés et puisqu’elles joueront un rôle important dans l’application du principe du « once only » introduit au titre IV ainsi que dans la mise à disposition des données pour la réutilisation ultérieure, le SYVICOL est d’avis que les communes devraient avoir au moins deux représentants au sein du Conseil consultatif de la valorisation des données dans un environnement de confiance, à nommer ou bien par le SYVICOL ou par le SIGI et la Ville de Luxembourg, tel qu’il est d’ores et déjà le cas pour la Commission du registre national instaurée par la loi du 19 juin 2013 relative à l’identification des personnes physiques, pour laquelle le SYVICOL est habilité à nommer un membre titulaire et un membre suppléant. Titre IV – articles 9 à 14 L’article 9 introduit le principe du « once only » pour les informations et données à caractère personnel obtenues par les entités publiques auprès d’une autre entité publique. Ce principe comprend la règle générale qu’un « administré présentant une demande ou produisant une déclaration à une entité publique ne peut être tenu de produire des informations ou des données à caractère personnel que celle-ci détient déjà ou qu’elle peut obtenir auprès d’une autre entité publique conformément à l’article
5. » Cette manière de procéder est obligatoire pour toutes les entités publiques. 5 L’article 9, paragraphe 2, alinéa 2 dispose : « Elles (les entités publiques) échangent entre elles les informations ou les données à caractère personnel nécessaires pour pouvoir informer les administrés sur leur droit au bénéfice éventuel d’une prestation ou d’un avantage prévus par des dispositions législatives ou réglementaires et pour pouvoir leur attribuer éventuellement lesdits prestations ou avantages. » Cette situation se présente régulièrement dans les administrations communales, par exemple, si un administré a fait une demande pour une subvention en matière d’énergie auprès de l’Etat, disons pour l’installation de panneaux photovoltaïques, et si une commune offre une subvention pour le même type d’installation fixée à un certain pourcentage du subside de l’Etat sous condition que la subvention étatique ait déjà été accordée à l’administré. Lors de la réunion du 29 novembre 2024 entre le SYVICOL et les services compétents du ministère de la Digitalisation, il a été expliqué que cette disposition n’est pas obligatoire. De l’avis du syndicat, la formulation actuelle du paragraphe en question ne reflète cependant pas cette subtile différence. Il ne ressort pas clairement de la formulation actuelle du texte que les communes ne sont pas obligées à informer les administrés qu’ils ont droit à une éventuelle prestation supplémentaire auprès de leur commune de résidence après avoir fait une demande auprès d’une entité étatique, surtout si on lit l’article 9, paragraphe 2, alinéa 2 en conjonction avec l’article 11, paragraphe 2, alinéa 2 et l’article 12, paragraphe 1er, lettre b). Vu ce qui précède, il sera difficile pour les communes de déterminer exactement quelles seront leurs responsabilités et obligations pour l’application du principe « once only ». Dès lors, le SYVICOL demande au gouvernement de clarifier la disposition en question afin d’éviter toute source de confusion et d’insécurité juridique. L’article 10 place la responsabilité de vérifier l’exactitude des données échangées entre les entités publiques fermement entre les mains de l’administré, son curateur ou son administrateur légal, son administrateur ad hoc ou son mandataire spécial. D’abord, le SYVICOL note qu’aucune disposition du projet de loi n’explique comment cette vérification sera effectuée. Est-ce que les administrés seront simplement tenus de cocher une case dans un système numérique ? Dans ce cas, quid des administrés en situation d'illectronisme ? Même de nos jours, un nombre non négligeable de citoyens sont frappés par la fracture numérique, c’est-à-dire par les inégalités dans l’accès aux technologies de l’information et de la communication. Cette fracture peut se présenter à au moins deux niveaux : le niveau de l’accès et le niveau de l'usage. Surtout au vu de l’affirmation des auteurs du projet de loi dans l’exposé des motifs de vouloir réduire tout particulièrement cette fracture numérique, la vérification devra donc rester possible sous forme de papier : « Afin que l’économie et la recherche fondées sur les données soient inclusives à l’égard de tous les citoyens, il faut veiller tout particulièrement à réduire la fracture numérique et à promouvoir une expertise de pointe nationale dans le secteur des technologies. L’économie des données doit être construite de manière à permettre aux entreprises de prospérer, en garantissant la neutralité de l’accès aux données ainsi que la portabilité et l’interopérabilité des données, et en évitant les effets de verrouillage. » 6 Ensuite, au cas où les données s’avèrent inexactes, l’administré est tenu de demander une rectification auprès de l’entité publique dont elles proviennent et communiquer la correction à l’entité publique qui traite les données. Le SYVICOL se demande comment les auteurs du texte visent à s’assurer que l’administré soit en mesure d’identifier l’entité publique originaire des données afin de pouvoir demander une rectification ? De l’avis du syndicat, il est en fait non réaliste que tous les administrés sachent quelles entités publiques détiennent quelles données à caractère personnel sur leur personne. En plus, il se demande si cette manière de procéder n’est pas tout à fait contraire au principe du « once only », un élément clé du projet de loi, vu que l’administré est tenu de communiquer la rectification de ses données à l’entité publique dont elles proviennent et à l’entité publique en charge du traitement. Ne serait-il pas suffisant pour l’administré de communiquer la rectification à l’entité originaire, puisque les entités publiques sont de toute façon soumises à l’obligation d’échanger ces dernières entre elles ? Puisque le texte du projet de loi reste muet sur les modalités techniques concernant l’échange d’informations pour la vérification de l’exactitude et, le cas échéant, la rectification des données personnelles de l’administré, le SYVICOL part de l’hypothèse que ces démarches seront d’une manière ou d’une autre intégrées dans l’espace individuel « My Guichet » des administrés. Dans cette hypothèse, il est concevable que l’espace personnel de l’administré puisse afficher les entités publiques détentrices des informations et données personnelles, et que l’administré puisse simplement cocher une case pour la vérification de ses données personnelles, demander la rectification de ces dernières et même donner son consentement, le cas échéant quasi généralisé, pour la transmission de ses données à une autre entité publique pour pouvoir bénéficier d’une prestation ou d’un avantage supplémentaire. L’article 11 explique les conditions applicables au « once only », notamment que « l’entité publique chargée de traiter la demande ou la déclaration fait connaître à l’administré les informations ou données à caractère personnel nécessaires au traitement de la demande ou de la déclaration qu’elle se procure auprès d’autres entités publiques. L’information contient, pour chaque catégorie d’informations et de données à caractère personnel, les coordonnées des entités publiques d’où proviennent les informations […]. » Dans le cas de figure où un administré aurait droit au bénéfice éventuel d’une prestation ou d’un avantage supplémentaire et se trouverait en situation d'illectronisme, une commune qui souhaiterait faire bénéficier ledit administré de prestations ou d’avantages additionnels devrait d’abord informer ce dernier par lettre recommandée (afin de s’assurer que l’administré reçoive le courriel) qu’il a droit à des aides supplémentaires, puis de quelles données la commune aurait besoin pour traiter le dossier et de quelle(s) entité(s) publique(s) les données ou informations proviendraient, lui demander s’il désire rectifier des données nécessaires et enfin demander à l’administré concerné s’il est d’accord avec le traitement de ses données pour cette démarche administrative ou s’il veut s’opposer au traitement et par conséquent probablement renoncer à une aide supplémentaire. Dans ce contexte, on peut se demander si on peut toujours parler d’une simplification administrative et d’un gain de temps, comme avancé par les auteurs du texte dans l’exposé des motifs ? Ceci vaut avant tout pour les administrations communales, pour lesquelles, contrairement aux administrés, ces obligations entraîneront un surplus de démarches à effectuer 7 et donc une augmentation de leur charge administrative et une hausse des coûts y afférents au lieu d’une simplification administrative et d’une réduction des dépenses et du temps de travail. Afin de pouvoir exécuter les procédures « once only », les entités publiques « sont tenues d’identifier, dans les meilleurs délais, les informations et données à caractère personnel qu’elles peuvent obtenir auprès d’une autre entité publique […] et de notifier, sans délai, les échanges d’informations et de données à caractère personnel identifiées conformément […] aux entités publiques auprès desquelles les informations et données à caractère personnel pourraient être obtenues. » Dans un délai d’un mois à partir de la notification visée, les entités publiques notifiées certifient la disponibilité ou non des informations et des données en question et renseignent l’entité publique demanderesse si ces dernières sont communicables dans un format adéquat. (article 12) Si les informations et données sont disponibles et techniquement communicables, les entités publiques concluent dans les meilleurs délais, et au plus tard après trois mois, un « protocole once only » (article 13). Chaque commune devra donc identifier toutes les données à caractère personnel et toutes les informations qu’un ministère ou une administration détient et dont elle aura besoin pour traiter les demandes et les déclarations des administrés et, le cas échéant, pour communiquer à l’administré qu’il a droit à des prestations ou à un avantage supplémentaire, et ceci dans les meilleurs délais. D‘abord, le SYVICOL se demande, vu l’ampleur de la tâche, quel délai exact les auteurs du texte ont envisagé en employant les termes « meilleurs délais » ? Il serait utile de préciser cette disposition afin d’offrir plus de prévisibilité aux administrations communales dans la mise en œuvre du projet de loi sous examen. Ensuite, puisqu’un grand nombre de démarches sont identiques dans chaque commune du pays, le SYVICOL propose de simplifier cette tâche de recensement pour les 100 communes, et même pour les 30 offices sociaux et les autres établissements publics placés sous la surveillance des communes, en instituant un groupe de travail composé d’experts du ministère de la Digitalisation et du niveau communal pour identifier et recenser les données à caractère personnel et les informations pour lesquelles les communes devront signer un « protocole once only ». Dans le même ordre d’idées, il se demande s’il serait possible de mettre à disposition des communes des protocoles types pour les échanges qui seront identiques dans chacune des 100 communes du pays ou même d’élaborer des protocoles uniques pour chaque type d’échange de données avec le secteur communal. A titre d’exemple, on peut citer les autorisations à bâtir pour lesquelles les administrés ont besoin d’un extrait cadastral de la parcelle sur laquelle ils planifient leurs travaux. Pour traiter une telle demande, les communes ont donc besoin du même type de document et du même type d’échange provenant de l’Administration du cadastre et de la topographie (ACT). Ainsi, au lieu de faire signer un « protocole once only » entre l’ACT et les 100 communes individuellement, une vraie simplification administrative, de l’avis du SYVICOL, consisterait en un « protocole once only » entre l’ACT et toutes les communes pour le type d’échange de la transmission de l’extrait du plan cadastral dans le cadre d’une autorisation à bâtir. 8 Titre V et VII – articles 15 à 18 et 25 à 38 Le Titre V définit le cadre du traitement ultérieur de données à caractère personnel par les entités publiques. Le traitement ultérieur est uniquement possible sous les conditions et pour les finalités énoncées aux articles 15 et
6. Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel qu’elle détient, le cas échéant après anonymisation ou pseudonymisation (article 17). Si une entité publique souhaite traiter ultérieurement des données à caractère personnel détenues par une autre entité publique, l’entité détentrice doit marquer son accord de principe pour le traitement ultérieur en inscrivant les données sur la liste des ressources consultables auprès du point d’information unique et, dans un deuxième temps, en marquant son accord spécifique au traitement ultérieur en contresignant la demande de traitement ultérieur de données à caractère personnel par l’entité publique demanderesse. (article 18) Le SYVICOL se demande quel organe de la commune sera responsable pour prononcer l’accord de principe et pour donner l’accord spécifique pour le traitement ultérieur des données à caractère personnel. Il propose donc de clarifier cette disposition pour les communes. En cas de refus par l’entité publique qui détient les données, le Conseil consultatif peut être saisi par la partie demanderesse et émet un avis endéans 3 semaines. La décision finale réside cependant toujours avec l’entité détentrice des données. Le Titre VII définit les modalités applicables au traitement ultérieur des données à caractère personnel par les entités publiques et à l’accès et à la réutilisation de données par des réutilisateurs de données qui sont soumis à autorisation de l’Autorité des données. (article 25) Toute demande doit être introduite sous forme écrite et de manière précise. (article 26) Avant chaque traitement ultérieur de données à caractère personnel, des mesures effectives et efficaces d’anonymisation et/ou de pseudonymisation doivent être mises en place et une évaluation spécifique des méthodes et des modalités de mise en oeuvre de ces mesures doit être effectuée et enregistrée dans un plan de confidentialité par l’entité publique qui vise à effectuer le traitement ultérieur des données. Ce plan de confidentialité est uniquement validé au moment où il est signé par le Centre ou par le tiers de confiance mandaté par le Centre et par l’entité publique effectuant le traitement ultérieur de données à caractère personnel. Dans le cas de figure d’une demande d’accès et de réutilisation des données par un réutilisateur, le plan de confidentialité doit être signé par l’entité publique détentrice des données et par le réutilisateur. Le plan de confidentialité est ensuite transmis au Centre ou à un tiers de confiance mandaté par le Centre, qui certifie alors l’effectivité et l’efficacité des mesures en apposant sa signature. L’attestation du Centre est jointe à la demande de traitement ultérieur ou à la demande d’accès et de réutilisation selon le cas de figure qui se présente, après quoi les données sont mises à disposition dans l’environnement de traitement sécurisé par le Centre. (article 35) 9 En lisant les paragraphes précédents, on peut vraiment se demander si une commune ne sera pas obligée d'engager un expert en matière de réutilisation et de traitement ultérieur de données. Il est bien sûr tout à fait compréhensible que les données à caractère personnel de nos citoyens doivent être protégées de manière adéquate et que nous ne pouvons pas traiter ces données à caractère personnel, même ultérieurement, à la légère. Les procédures décrites ci-dessus sont toutefois si complexes qu'elles ne peuvent pas être mises en œuvre facilement par les communes. L'anonymisation et la pseudonymisation, en particulier, sont des procédures hautement spécialisées qui nécessitent de l'expérience et une formation spécialisée. Les communes seront donc quasi obligées à engager un spécialiste dans la matière ou travailler avec un expert externe. Partant, tandis que l’exposé des motifs déclare que « en effet, il s’avère excessif de recruter un spécialiste disposant des connaissances et de l’expérience pratique afférente auprès de chacune des plus d’une centaine d’entités étatiques, de chacune des plus d’une centaine de communes luxembourgeoises […] », la complexité du texte et des procédures y comprises ne reflète pas cette affirmation de l’avis du SYVICOL. Dans ce contexte, il souhaite également renvoyer à l’article 123 de la Constitution, et plus précisément au paragraphe 3 de cet article qui dispose que « les communes ont droit aux ressources financières pour remplir les missions qui leur sont confiées par la loi. » La mise en œuvre du projet de loi n°8395 au niveau communal, notamment le recensement des données, l’application du principe « once only », la rédaction et la gestion des protocoles « once only », la rédaction et la gestion des plans de confidentialité, la gestion des demandes de traitement ultérieur et les demandes d’accès et de réutilisation, peuvent être considérées comme des nouvelles missions pour les communes. Considérant que ces missions exigent un grand investissement en termes de finances, de temps et de ressources de la part des communes, il serait tout à fait justifié que les communes reçoivent des moyens financiers supplémentaires pour exercer ces nouvelles missions. Adopté unanimement par le comité du SYVICOL, le 31 mars 2025 10