Monsieur le Président du Conseil d’État 5, rue Sigefroi L-2536 Luxembourg Dossier suivi par Noah Louis Service des commissions Tel. : +352 466 966 340 Courriel : nlouis@chd.lu Luxembourg, le 10 juin 2026 Objet : 8464 Projet de loi portant approbation du Protocole d’amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre 2018 Monsieur le Président, J’ai l’honneur de vous soumettre ci-après 2 amendements au projet de loi sous rubrique, adoptés par la Commission des Médias et des Communications (ci-après « Commission ») lors de sa réunion du 2 juin
- Je joins en annexe, à toutes fins utiles, un texte coordonné du projet de loi sous rubrique reprenant les amendements parlementaires (figurant en caractères gras et soulignés) et les propositions de texte formulées par le Conseil d’État dans son avis du 17 juin 2025 que la Commission a fait siennes (figurant en caractères soulignés). * I. Observation préliminaire Changement d’intitulé Au vu des amendements exposés ci-dessous étendant l’objet de la présente loi en projet, il échet de compléter son intitulé en conséquence en y répertoriant les lois à modifier, à savoir : − − la loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ; la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. Partant, l’intitulé du projet de loi sous rubrique est complété comme suit : 2 « Projet de loi portant approbation du Protocole d'amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre 2018, et portant modification de : 1° la loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ; 2° la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ». * II. Amendements Amendement 1 – insertion d’un article 2 nouveau À la suite de l’article unique initial devenant l’article 1er nouveau est inséré un article 2 nouveau, libellé comme suit : « Art.
- La loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données est modifiée comme suit : 1° À la suite de l’article 4, point 1°, est ajouté un point 1°bis nouveau, libellé comme suit : « 1°bis de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, approuvée par la loi du 19 novembre 1987 ; » ; 2° À la suite de l’article 7, une sous-section Irebis nouvelle comportant un article 7bis nouveau est insérée, libellée comme suit : « Sous-section Irebis – Les missions de la CNPD dans le cadre de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée Art. 7bis. La CNPD exerce les missions dont elle est investie en vertu de l’article 15, paragraphe 2, lettre e, 3 et 4, de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée. ». 3° À l’article 12 est ajouté un alinéa 2 nouveau, libellé comme suit : « Dans le cadre des missions de l’article 7bis, la CNPD dispose des pouvoirs tels que prévus à l’article 15, paragraphe 2, lettres a à d, de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée. » ; 3 4° L’article 13 est remplacé comme suit : « Art.
- La CNPD a le pouvoir de porter toute violation du règlement (UE) 2016/679, de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et de la présente loi à la connaissance des autorités judiciaires et, le cas échéant, le droit d’ester en justice dans l’intérêt du règlement (UE) 2016/679 conformément à son article 58, dans l’intérêt de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, et dans l’intérêt de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. » ; 5° L’article 48 est complété in fine par les paragraphes 3 à 5 nouveaux, libellés comme suit : «
(3)La CNPD veille à ce que les amendes administratives imposées en vertu du présent article pour des violations visées aux paragraphes 4 et 5 soient, dans chaque cas, effectives, proportionnées et dissuasives. Pour décider s'il y a lieu d'imposer une amende administrative telle que prévue à l’alinéa 1er et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : 1° la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu'elles ont subi ; 2° le fait que la violation a été commise délibérément ou par négligence ; 3° toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ; 4° le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 7, paragraphe 1er, et 10, paragraphe 3, de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée ; 5° toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; 6° le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ; 7° les catégories de données à caractère personnel concernées par la violation ; 8° la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; 9° toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. Si un responsable du traitement ou un sous-traitant viole délibérément ou par négligence plusieurs dispositions de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à 4 Strasbourg, le 28 janvier 1981, telle que modifiée, dans le cadre de la même opération de traitement ou d'opérations de traitement liées, le montant total de l'amende administrative ne peut pas excéder le montant fixé pour la violation la plus grave.
(4)Les violations des articles 7 et 10 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, sont passibles d’une amende administrative pouvant s'élever jusqu'à 10 000 000 euros ou, dans le cas d'une entreprise, jusqu'à 2 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Les violations des articles 5, 6, 8, 9 et 14 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, sont passibles d’une amende administrative pouvant s'élever jusqu'à 20 000 000 euros ou, dans le cas d'une entreprise, jusqu'à 4 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
(5)Par dérogation au paragraphe 4, les violations des articles 5 à 10 et 14 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, par l’État ou les communes sont passibles d’une amende administrative de 500 à 250 000 euros. ». ». Commentaire : La Commission décide de faire suite aux observations du Conseil d’État dans son avis du 17 juin 2025 de désigner les autorités compétentes devant veiller au respect des dispositions de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel telle que modifiée par le protocole d’amendement sous rubrique et tel que requis par le nouvel article
- De même, la portée des missions et des pouvoirs de l’autorité compétente est précisée à l’aune du même article de la Convention modifiée. L’autorité de contrôle se voit aussi dotée du droit d’ester en justice dans l’intérêt de cette Convention. Du fait des modifications proposées, la portée de l’article 55 s’en trouve élargie ; ainsi, les personnes concernées peuvent ouvrir un recours contre les décisions de la Commission nationale pour la protection des données (ci-après « CNPD ») prises en application de la Convention 108 modernisée. Par la même occasion, il est fait suite aux observations du Conseil d’État concernant le régime de sanctions en cas de violation des dispositions de la Convention précitée. Cette dernière, dans sa version modifiée, présentera un moindre niveau de détail que le règlement (UE) 2016/679 (ci-après « RGPD ») et que la directive (UE) 2016/680 (dite « Police – Justice »), mais elle reposera néanmoins sur les mêmes principes et offrira les mêmes droits aux personnes physiques. Il est donc proposé d’aligner le régime de sanctions avec celui du RGPD et de l’article 48 de la loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. L’article 12 de la Convention 108 modernisée ne prévoyant pas de dérogation en faveur des autorités et des organismes publics concernant les amendes administratives ; ainsi, il est proposé d’aligner le régime de sanctions à l’encontre de l’État et des communes à celui de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. 5 Au vu de la présente insertion, l’article unique initial devient l’article 1er nouveau. Amendement 2 – insertion d’un article 3 nouveau À la suite de l’article 2 nouveau est inséré un article 3 nouveau, libellé comme suit : « Art.
- La loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est modifiée comme suit : 1° À l’article 40, paragraphe 2, les mots « ou pour celles visées par la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, approuvée par la loi du 19 novembre 1987, telle que modifiée » sont insérés à la suite des mots « règlement (UE) n° 2016/679 » ; 2° À l’article 47, paragraphe 1er, les mots « et des articles 5 à 10 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, » sont insérés à la suite des mots « de la présente loi ». ». Commentaire : La Commission décide de faire suite aux observations du Conseil d’État dans son avis du 17 juin 2025 de désigner les autorités compétentes devant veiller au respect des dispositions de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel telle que modifiée par le protocole d’amendement sous rubrique et tel que requis par le nouvel article
- Il est ainsi proposé de désigner l’Autorité de contrôle judiciaire comme autorité de contrôle concernant les opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles, et de doter les autorités de contrôle de la capacité du pouvoir de sanction dans le cadre spécifique de cette loi. * * * Au nom de la Commission, je vous saurais gré de bien vouloir faire aviser par le Conseil d’État les amendements exposés ci-dessus. J’envoie copie de la présente à la Ministre déléguée auprès du Premier ministre, chargée des Relations avec le Parlement, avec prière de transmettre les amendements aux instances à consulter. Veuillez agréer, Monsieur le Président, l’expression de ma considération très distinguée. (s.) Claude Wiseler Président de la Chambre des Députés 6 Annexe : Texte coordonné du projet loi n° 8464 tel que modifié par la Commission 7 PROJET DE LOI portant approbation du Protocole d'amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre 2018, et portant modification de : 1° la loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ; 2° la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale Article. unique1er. Est approuvé le Protocole d’amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre
- Art.
- La loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données est modifiée comme suit : 1° À la suite de l’article 4, point 1°, est ajouté un point 1°bis nouveau, libellé comme suit : « 1°bis de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, approuvée par la loi du 19 novembre 1987 ; » ; 2° À la suite de l’article 7, une sous-section Irebis nouvelle comportant un article 7bis nouveau est insérée, libellée comme suit : « Sous-section Irebis – Les missions de la CNPD dans le cadre de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée Art. 7bis. La CNPD exerce les missions dont elle est investie en vertu de l’article 15, paragraphe 2, lettre e, 3 et 4, de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée. ». 3° À l’article 12 est ajouté un alinéa 2 nouveau, libellé comme suit : « Dans le cadre des missions de l’article 7bis, la CNPD dispose des pouvoirs tels que prévus à l’article 15, paragraphe 2, lettres a à d, de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée. » ; 4° L’article 13 est remplacé comme suit : « Art.
- La CNPD a le pouvoir de porter toute violation du règlement (UE) 2016/679, de la Convention pour la protection des personnes à l’égard du traitement automatisé des 8 données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et de la présente loi à la connaissance des autorités judiciaires et, le cas échéant, le droit d’ester en justice dans l’intérêt du règlement (UE) 2016/679 conformément à son article 58, dans l’intérêt de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, et dans l’intérêt de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. » ; 5° L’article 48 est complété in fine par les paragraphes 3 à 5 nouveaux, libellés comme suit : «
(3)La CNPD veille à ce que les amendes administratives imposées en vertu du présent article pour des violations visées aux paragraphes 4 et 5 soient, dans chaque cas, effectives, proportionnées et dissuasives. Pour décider s'il y a lieu d'imposer une amende administrative telle que prévue à l’alinéa 1er et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : 1° la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu'elles ont subi ; 2° le fait que la violation a été commise délibérément ou par négligence ; 3° toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ; 4° le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 7, paragraphe 1er, et 10, paragraphe 3, de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée ; 5° toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; 6° le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ; 7° les catégories de données à caractère personnel concernées par la violation ; 8° la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; 9° toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. Si un responsable du traitement ou un sous-traitant viole délibérément ou par négligence plusieurs dispositions de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, dans le cadre de la même opération de traitement ou d'opérations de traitement liées, le montant total de l'amende administrative ne peut pas excéder le montant fixé pour la violation la plus grave.
(4)Les violations des articles 7 et 10 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite 9 à Strasbourg, le 28 janvier 1981, telle que modifiée, sont passibles d’une amende administrative pouvant s'élever jusqu'à 10 000 000 euros ou, dans le cas d'une entreprise, jusqu'à 2 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Les violations des articles 5, 6, 8, 9 et 14 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, sont passibles d’une amende administrative pouvant s'élever jusqu'à 20 000 000 euros ou, dans le cas d'une entreprise, jusqu'à 4 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
(5)Par dérogation au paragraphe 4, les violations des articles 5 à 10 et 14 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, par l’État ou les communes sont passibles d’une amende administrative de 500 à 250 000 euros. ». Art. 3. La loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est modifiée comme suit : 1° À l’article 40, paragraphe 2, les mots « ou pour celles visées par la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, approuvée par la loi du 19 novembre 1987, telle que modifiée » sont insérés à la suite des mots « règlement (UE) n° 2016/679 » ; 2° À l’article 47, paragraphe 1er, les mots « et des articles 5 à 10 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981, telle que modifiée, » sont insérés à la suite des mots « de la présente loi ».