CHAMBER OF COMMERCE L- LUXEMBOURG POWERING BUSINESS Luxembourg, le 3 février 2025 Objet : Projet de loi n°84641 portant approbation de la ratification du Protocole d'amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre 2018. (6765MEM/RAD) Saisine : Ministre des Affaires étrangères et du Commerce extérieur (2 décembre 2024) Avis de la Chambre de Commerce Le projet de loi sous avis (ci-après le « Projet ») a pour objet l’approbation du Protocole d'amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg le 10 octobre 2018, par le Conseil de l’Europe (ci-après, le « Protocole d’amendement »). En bref ➢ Le Projet a pour but d’approuver le protocole d'amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg le 10 octobre 2018 par le Conseil de l’Europe et signé par le Grand-Duché de Luxembourg à la même date. ➢ La Chambre de Commerce est en mesure d’approuver le Projet de loi sous avis. Le Projet prévoit d’approuver par la voie d’un article unique le Protocole d'amendement afin de modifier, in fine, la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel2 (ci-après, la « Convention 108 ») actuellement applicable. 1 Lien vers le projet de loi sur le site de la Chambre des Députés 2 La Convention 108 est disponible sous le lien suivant : https://rm.coe.int/1680078b39. CHAMBER OF COMMERCE L- LUXEMBOURG POWERING BUSINESS 2 Contexte et considérations générales La Convention 108 est le premier traité international contraignant concernant le traitement automatisé des données à caractère personnel. Elle dispose d’un champ d’application très étendu (
- i)puisqu’elle s’applique aussi bien aux traitements dans les secteurs publics et privés et qu’elle est ouverte aux pays membres du Conseil de l’Europe ainsi qu’autres pays non membres 3. Le GrandDuché de Luxembourg l’a ratifiée le 10 février 19884. Le 8 novembre 2001, il lui a été adjoint le protocole additionnel concernant les autorités de contrôle et les flux transfrontières des données STE n°181 5 (ci-après, le « Protocole additionnel 181 ») afin d’encadrer les autorités de contrôle et ajouter des règles relatives aux flux transfrontaliers de données. Il a été ratifié le 23 janvier 2007 par le Grand-Duché de Luxembourg6. La Convention 108 impose des grands principes comme la transparence, la légitimité des finalités, la durée de conservation limitée des données à caractère personnel et les droits d'accès, de rectification et d’effacement des personnes. Elle définit aussi un principe de sécurité et des règles pour les transferts de données entre pays. En outre, elle impose que certaines données sensibles, comme celles sur l'origine raciale, les opinions politiques, la santé ou la vie sexuelle, ne puissent être traitées que si des garanties juridiques adéquates sont fournies par la loi nationale. Le Protocole d’amendement adopté le 10 octobre 2018 et signé à cette même date par le Grand-Duché de Luxembourg, tend à moderniser la Convention 108. Il vise à (
- i)renforcer la protection des données à caractère personnel afin de répondre aux défis posés par l’usage des nouvelles technologies de l'information et de la communication, ainsi qu’à (
- ii)prendre en compte les évolutions législatives de l’Union européenne en termes de protection des données à caractère personnel, notamment le Règlement général sur la protection des données7, pour aboutir à une articulation cohérente entre les textes existants. La version modernisée de la Convention 108 incluant le Protocole d’amendement est communément appelée « Convention 108+ »8. Elle inclut : - un champ d'application élargi pour inclure les traitements de données non automatisés et exclure par ailleurs les traitements de données à des fins personnelles ou domestiques ; - la mise à jour (
- i)des grands principes de base en matière de protection des données à caractère personnel (incluant la transparence du traitement), (
- ii)de la terminologie de certains termes et (iii) des catégories de données – en en particulier sur les données dites « sensibles » (incluant les données génétiques et biométriques) ; A la date du présent avis 55 états ont ratifié la Convention 108, selon l’Etat des signatures et ratification disponible au Bureau des traités : https://www.coe.int/en/web/conventions/full-list?module=signatures-by-treaty&treatynum=108 3 Selon l’Etat des signatures et ratification disponible au Bureau des traités : https://www.coe.int/fr/web/conventions/fulllist?module=signatures-by-treaty&treatynum=108. 4 5 Le Protocole additionnel 181 est disponible sous le lien suivant : https://rm.coe.int/168008062f. Selon l’Etat des signatures et ratification disponible au Bureau des traités : https://www.coe.int/fr/web/Conventions/fulllist/?module=signatures-by-treaty&treatynum=181. 6 7 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 8 La Convention 108+ est disponible sous le lien suivant : https://rm.coe.int/16808ade9d. CHAMBER OF COMMERCE L- LUXEMBOURG POWERING BUSINESS 3 - des exceptions aux flux de données entre les parties lorsqu'il existe un risque réel et sérieux que le transfert contourne les dispositions. Pour les transferts vers des juridictions non parties, elle exige des garanties appropriées, telles que des règles de droit ou des garanties ad hoc ou standardisées, établies par des instruments juridiquement contraignants ; et - l'extension du contrôle de la conformité par la mise en place d’un Conseil consultatif qui acquiert le pouvoir d’évaluer et de surveiller les niveaux de protections assurées d’une partie adhérente à la Convention 108. L’article 37 alinéa 2 du Protocole d’amendement dispose que ce dernier entrera en vigueur le premier jour du mois suivant l'expiration d'une période de trois mois après la date à laquelle trentehuit parties au Protocole d’amendement auront ratifié ledit protocole. A la date de rédaction du présent avis, le Grand-Duché de Luxembourg serait le trente-deuxième pays à ratifier le Protocole d’amendement9. Les auteurs du Projet précisent par ailleurs dans l’exposé des motifs qu’au vu « […] [du] large champ d’application de la Convention 108, telle que modernisée par le Protocole » ce dernier « est d’ores et déjà encadré par le droit interne. »10. Par conséquent, aucune démarche législative additionnelle ne sera requise en vue de l’entrée en vigueur de la Convention 108+. * * * Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d’approuver le projet de loi sous avis. MEM/RAD/DJI 9 Pour savoir quelle est la liste des parties signataires et des parties ratificatrices, veuillez suivre le lien suivant : https://www.coe.int/fr/web/conventions/full-list?module=signatures-by-treaty&treatynum=223 10 extrait de l’exposé des motifs du projet de loi sous avis