Projet de loi portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 por

(1)L’unité nationale ETIAS est composée du personnel autorisé : - du ministère ayant l’Immigration dans ses attributions ; de l’Administration des douanes et accises ; de la Police grand-ducale ; du Service de renseignement de l’État, et de la Direction de la santé.

(2)Le responsable de l’unité nationale ETIAS et ses suppléants sont désignés parmi les fonctionnaires du personnel autorisé du ministère ayant l’Immigration dans ses attributions.

(3)Les membres du personnel autorisé sont désignés à l’unité nationale ETIAS par une décision du ministre du ressort prise sur avis du ministre ayant l’Immigration dans ses attributions. Ils continuent de relever de l'autorité hiérarchique de leur chef d’administration et sont placés pour 1 l’exécution des tâches relevant de l’unité nationale ETIAS sous l’autorité fonctionnelle du responsable de l’unité nationale ETIAS.

(4)Le personnel autorisé du ministère ayant l’Immigration dans ses attributions est chargé de l’évaluation des risques en matière d’immigration illégale. Le personnel autorisé de l’Administration des douanes et accises, de la Police grand-ducale, et du Service de renseignement de l’État est chargé de l’évaluation des risques en matière de sécurité. Le personnel autorisé de la Direction de la santé est chargé de l’évaluation des risques épidémiques élevés.

(5)Dans le cadre de l’évaluation des risques, le personnel autorisé peut consulter d’autres services de son autorité d’origine ou d’autres autorités nationales, conformément aux dispositions légales en vigueur. Le personnel autorisé, ou le cas échéant les services et autorités compétents visés à l’alinéa qui précède, peuvent consulter les bases de données relevant de la compétence de l’autorité dont ils relèvent et peuvent procéder à toute vérification nécessaire à l’exécution des missions de l’unité nationale ETIAS conformément à l’article 8 du règlement (UE) 2018/1240.

(6)Suivant l’évaluation des risques et en fonction de leurs attributions légales respectives, le personnel autorisé rend un avis motivé sur les demandes d’autorisation de voyage pour lesquelles le Grand-Duché de Luxembourg est l’Etat membre responsable ou l’Etat membre consulté, conformément à l’article 25, respectivement à l’article 28 du règlement (UE) 2018/1240.

(7)Sur base des avis motivés mentionnés au paragraphe 6, le responsable de l’unité nationale ETIAS ou son suppléant prend la décision d’octroyer, de refuser, d’annuler ou de révoquer une autorisation de voyage au nom du ministre ayant l’Immigration dans ses attributions, pour le compte de l’unité nationale ETIAS, conformément à l’article 26, paragraphe 7, du règlement (UE) 2018/1240.

(8)La décision d’octroi ou de refus, d’annulation ou de révocation de l’autorisation de voyage est enregistrée dans le système central ETIAS par le personnel autorisé du ministère ayant l’Immigration dans ses attributions, pour le compte de l’unité nationale ETIAS, conformément à l’article 26, paragraphe 7, du règlement (UE) 2018/

1. Chapitre 2 – Liste de surveillance ETIAS Art.
2. – Encodage et consultation de la liste de surveillance ETIAS 2 Seul le personnel autorisé de l’Administration des douanes et accises, de la Police grand-ducale et du Service de renseignement de l’État est habilité à traiter des données à caractère personnel dans la liste de surveillance ETIAS, conformément aux articles 34 et 35 du règlement (UE) 2018/
3. Chapitre 3 – Mise en place et fonctionnement de l’application nationale Art.
4. – Création d’une application nationale Aux fins de l’examen manuel des demandes d’autorisation de voyage, ainsi que du traitement des données dans la liste de surveillance ETIAS, tels que visés au chapitre IV et aux articles 34 et 35 du règlement (UE) 2018/1240, les traitements de données à caractère personnel requis sont effectués par le biais d’une application nationale dédiée, ci-après désignée par « application nationale ». L’application nationale est composée des deux modules suivants : 1° « liste de surveillance ETIAS » ; 2° « avis relatif à un dossier de demande ETIAS ». Art.
5. – Traitement des données dans le module « liste de surveillance ETIAS »

(1)Le module intitulé « liste de surveillance ETIAS » est utilisé à des fins d’introduction, de suppression, de mise à jour et de consultation des données dans la liste de surveillance ETIAS du système central ETIAS, conformément aux articles 34 et 35 du règlement (UE) 2018/

1. Pour ce faire, le module « liste de surveillance ETIAS » contient les données qui ont été introduites par le personnel autorisé visé à l’article
2. Le traitement de données à caractère personnel dans le module « liste de surveillance ETIAS » s’effectue dans le cadre des finalités déterminées par l’article 34 du règlement (UE) 2018/1240.

(2)L’accès aux données à caractère personnel introduites dans le module « liste de surveillance ETIAS » est réservé au personnel autorisé visé à l’article 3. Les droits d’accès sont gérés de manière que le personnel autorisé visé à l’alinéa qui précède ne puisse accéder qu’aux seules données introduites pour le compte de l’autorité dont il relève.

(3)Les données introduites dans le module « liste de surveillance ETIAS » sont réexaminées et vérifiées régulièrement, et au moins une fois par an. Les données pour lesquelles les raisons de leur introduction ne sont plus valables, ou les données qui sont obsolètes ou qui ne sont plus à jour, y sont supprimées. 3 Art. 6. – Traitement des données dans le module « avis relatif à un dossier de demande ETIAS »

(1)Le module intitulé « avis relatif à un dossier de demande ETIAS » contient les données relatives aux avis visés à l’article 2, paragraphe 6.

(2)Les droits d’accès sont gérés de manière que le personnel autorisé visé à l’article 2, paragraphe 1 ne puisse accéder qu’aux seules données introduites pour le compte de l’autorité dont il relève.

(3)Aux fins de prise de décision concernant l’octroi, le refus, l’annulation ou la révocation d’une autorisation de voyage et sans préjudice du paragraphe 2, les agents désignés parmi le personnel autorisé du ministère ayant l’Immigration dans ses attributions peuvent accéder aux données introduites dans le module « avis relatif à un dossier de demande ETIAS ».

(4)Les données à caractère personnel introduites dans le module « avis relatif à un dossier de demande ETIAS » sont supprimées au plus tard lorsque le dossier de demande y relatif est effacé du système central ETIAS conformément à l’article 54 du règlement (UE) 2018/1240. Chapitre 4 – Protection des données Art. 7. – Responsabilités des traitements

(1)L’unité nationale ETIAS a la qualité de responsable du traitement des données à caractère personnel traitées dans l’application nationale.

(2)Les autorités visées à l’article 2, paragraphe 1er, sont chacune responsable pour les traitements de données à caractère personnel effectués dans leurs systèmes de traitement respectifs, conformément à l’article 2, paragraphe 5. Art. 8. – Journalisation

(1)Des journaux sont établis au moins pour les opérations de traitement suivantes dans l’application nationale : la collecte, la modification, la consultation, la communication et l'effacement. Les journaux des opérations de consultation et de communication permettent d'établir le motif, la date et l'heure de celles-ci et l'identification de la personne qui a traité les données à caractère personnel.

(2)Les journaux sont utilisés uniquement à des fins de vérification de la licéité du traitement, d'autocontrôle, de garantie de l'intégrité et de la sécurité des données à caractère personnel et à des fins de procédures pénales. 4

(3)Les données de journalisation collectées conformément au paragraphe 1er sont conservées pendant un délai d’au moins cinq ans et sont mises à disposition de la Commission nationale pour la protection des données, sur demande. Art. 9. – Limitation du droit d’accès aux données à caractère personnel

(1)L’unité nationale ETIAS peut limiter, entièrement ou partiellement, le droit d’accès de la personne concernée visé à l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après « règlement (UE) 2016/679 », dès lors et aussi longtemps qu’une telle limitation partielle ou complète respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : 1° la sécurité nationale ; 2° la défense nationale ; 3° la sécurité publique ; 4° la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. La limitation prévue à l’alinéa 1er peut s’appliquer à toutes catégories de données à l’exception des données à caractère personnel fournies par la personne concernée.

(2)Dans les cas visés au paragraphe 1er, l’unité nationale ETIAS informe la personne concernée par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d’accès, ainsi que des motifs du refus ou de limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l’un des objectifs énoncés au paragraphe 1er. L’unité nationale ETIAS informe la personne concernée des possibilités d’introduire une réclamation auprès de la Commission nationale pour la protection des données ou de former un recours juridictionnel.

(3)L’unité nationale ETIAS consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de la Commission nationale pour la protection des données sur demande. Art. 10. – Limitations du droit à l’effacement 5

(1)Dans le cadre de l’exercice du droit à l’effacement visé à l’article 17 du règlement (UE) 2016/679, l’unité nationale ETIAS peut limiter, en tout ou en partie, la fourniture des informations quant au refus et au motif de refus, dès lors et aussi longtemps qu’une telle limitation partielle ou complète respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les intérêts énumérés à l’article 9, paragraphe 1er de la présente loi.

(2)L’unité nationale ETIAS informe la personne concernée des possibilités d’introduire une réclamation auprès de la Commission nationale pour la protection des données ou de former un recours juridictionnel.

(3)L’unité nationale ETIAS consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de la Commission nationale pour la protection des données sur demande. Art.

1. – Limitations du droit à l’information L’unité nationale ETIAS peut retarder ou limiter la fourniture des informations visées à l’article 14 du règlement (UE) 2016/679, ou ne pas fournir ces informations, dès lors et aussi longtemps qu’une mesure de cette nature constitue une mesure nécessaire et proportionnée pour garantir les intérêts énumérés à l’article 9, paragraphe 1er de la présente loi. Art.
2. - Exercice des droits de la personne concernée et vérification par l’autorité de contrôle

(1)Dans les cas visés aux articles 9 à 11, les droits de la personne concernée peuvent être exercés par l’intermédiaire de la Commission nationale pour la protection des données.

(2)L’unité nationale ETIAS informe la personne concernée de la possibilité qu’elle a d’exercer ses droits par l’intermédiaire de la Commission nationale pour la protection des données en application du paragraphe 1er.

(3)Lorsque le droit visé au paragraphe 1er est exercé, la Commission nationale pour la protection des données informe au moins la personne concernée du fait qu’elle a procédé à toutes les vérifications nécessaires ou à un examen. La Commission nationale pour la protection des données informe la personne concernée de son droit de former un recours juridictionnel. Art. 13. – Limitation de la communication à la personne concernée d’une violation des données à caractère personnel 6

(1)L’unité nationale ETIAS peut limiter, entièrement ou partiellement, la communication à la personne concernée d’une violation des données à caractère personnel, visée à l’article 34 du règlement (UE) 2016/679, dès lors et aussi longtemps qu’une telle limitation partielle ou complète respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les intérêts énumérés à l’article 9, paragraphe 1er.

(2)L’unité nationale ETIAS consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de la Commission nationale pour la protection des données sur demande. 7