← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/

  1. Délibération n°74/AV7/2025 du 6 août 2025
  2. Conformément à l’article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
  3. Par courrier en date du 25 mars 2025, Monsieur le Ministre des Affaires intérieures a invité la Commission nationale à se prononcer sur le projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 (ci-après le « projet de loi »). Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d'un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 1/16
  4. Selon l’exposé des motifs, le projet de loi vise à mettre en œuvre un certain nombre de dispositions du règlement modifié (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) n° 1077/2011, (UE) n° 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 (ci-après le « règlement (UE) 2018/1240 »).
  5. Les auteurs du projet de loi précisent que « [l]a mise en œuvre du règlement (UE) 2018/1240 requiert la création d’une base légale au niveau national couvrant notamment la mise en place d’une unité nationale ETIAS [...], la gestion de la liste de surveillance ETIAS ainsi que les dispositions relatives à la protection des données à caractère personnel ».
  6. La Commission nationale formulera ci-après ses remarques quant aux dispositions du projet de loi qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. I. Quant à l’allocation des responsabilités en matière de protection des données A. La désignation de l’Unité nationale ETIAS comme responsable du traitement de l’application nationale
  7. L’article 7 du projet de loi désigne l’unité nationale ETIAS (ci-après l’« UNE ») comme responsable du traitement de l’application nationale. Le Conseil d’Etat considère cette désignation superfétatoire étant donné que l’article 57 du règlement (UE) 2018/1240 désigne déjà l’UNE comme responsable du traitement
  8. Par conséquent, le Conseil d’Etat recommande de supprimer l’article 7 du projet de loi tout en regrettant que les auteurs n’ont pas fourni d’informations sur les flux de données et le fonctionnement de l’application nationale
  10. La CNPD partage les regrets du Conseil d’Etat en ce qui concerne le manque d’explications. Il en va de même de l’absence d’une analyse d’impact relative à la protection des données dans les documents d’accompagnement du projet de loi. La CNPD rappelle que cet instrument est utile dans la mise en place et la compréhension des traitements de données, étant donné que les différents rôles et responsabilités y sont définis. Sans ces informations, la CNPD n’est pas en mesure d’analyser avec certitude l’allocation des responsabilités en matière de protection des données. 1 2 Voir avis du Conseil d'Etat du 4 avril 2025, doc. pari. 8465/02, p.
  11. Ibid. CNPDi • ' " 7“ Av s de ,a ' Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 2/16
  12. En l’absence de telles précisions sur le fonctionnement, les développements ci-après reposent sur la compréhension que la CNPD retient des dispositions générales de l’application nationale.
  13. L’article 6 du règlement (UE) 2018/1240 détermine les composantes du système d’information ETIAS. Parmi, ces éléments figurent notamment un système central, une interface uniforme nationale ainsi qu’une infrastructure de communication sécurisée et cryptée entre le système central et les interfaces uniformes nationales des différents Etats membres. D’après la compréhension de la CNPD, l’application nationale ne fait pas partie de ces composantes. Elle en déduit que l’application nationale est une création purement nationale.
  14. Dans ce contexte, il convient d’attirer l’attention sur la teneur de l’article 57.2 du règlement (UE) 2018/
  15. Tandis que cet article prévoit l’allocation de responsabilité pour les traitements de données effectués dans le système central, il reste muet quant aux traitements en relation avec le système d’information ETIAS qui seraient effectués ailleurs, tel que par exemple dans l’application nationale.
  16. Il est dès lors possible que des traitements dans cette application nationale aient vocation à ne pas tomber sous le régime du règlement (UE) 2018/
  17. Tel est notamment le cas si les opérations de traitement ne résultent pas en un traitement dans le système central. En effet, si le traitement est propre à l’application nationale et sans lien avec le système central, alors la responsabilité du traitement peut être différente que celle prévue par le règlement (UE) 2018/
  19. Or, comme l’article 7.1 du projet de loi sous avis désigne l’UNE comme responsable du traitement pour les traitements effectués dans l’application nationale, la CNPD comprend qu’il existe des traitements qui sont purement nationaux. Si l’application nationale n’est pas connectée au système central, c’est-à-dire que l’utilisation de l’application nationale n’entraine pas un traitement de données dans le système central, alors les dispositions quant au responsable du traitement du règlement (UE) 2018/1240 ne sont pas applicables et il faut désigner un responsable du traitement pour les opérations y afférentes. Dans ce cas de figure, la CNPD accueille favorablement la désignation d’un responsable du traitement pour l’application nationale.
  20. La CNPD comprend que l’application nationale est non seulement divisée en deux modules, mais que chacun des modules se composent à la fois d’une partie nationale et d’une partie européenne. La partie nationale ayant vocation à ne contenir que des données destinées à rester au niveau national et la partie européenne contenant les données à être communiquées au niveau européen. Les traitements effectués dans la partie nationale seraient donc des CNPD > ’ COMMÛJION NATICMAlt PCJf .A FtOTECÏlON PEJ bQNNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 3/16 « traitements nationaux » tandis que ceux effectués dans la partie européenne seraient des « traitements européens ».
  21. Une telle construction nécessite pourtant l’introduction de mécanismes pour s’assurer que des données nationales ne sont pas communiquées par accident ou inadvertance au niveau européen, par exemple, en assurant un cloisonnement des données entre les niveaux national et européen, et que des données européennes ne sont pas accessibles par des personnes non autorisées, via, par exemple, une gestion fine des accès, ainsi qu’une traçabilité et une surveillance de ces accès et de leur gestion. La partie nationale, en revanche, échappe dès lors aux règles européennes de l’ETIAS, notamment en ce qui concerne l’allocation des responsabilités. B. Le responsable du traitement pour les consultations effectuées dans les fichiers d’autres entités étatiques luxembourgeoises
  22. La Commission nationale note avec intérêt que l’UNE se compose du personnel autorisé de plusieurs entités étatiques. A cet égard, elle souhaite néanmoins soulever un aspect important pour l’allocation des responsabilités.
  23. Bien que l’UNE se compose du personnel de plusieurs entités, c’est l’UNE en tant que tel qui est le responsable du traitement pour les traitements que les agents la composant effectuent. Par exemple, si l’agent du Ministère de la Santé affecté à l’UNE consulte les fichiers de son autorité d’origine, il le fait pour le compte du l’UNE dans l’exécution d’une mission conférée à l’UNE en vertu de l’article 2.4 du projet de loi. Le traitement (p.ex. la consultation d’un fichier dans le but d’évaluer le risque épidémique du demandeur) est dès lors effectué par l’UNE.
  24. Dans cet ordre d’idée, la CNPD estime que l’article 7.2 du projet de loi, qui prévoit que les autorités d’origine restent responsables du traitement pour les traitements effectués dans leurs fichiers respectifs conformément à l’article 2

(5), ne reflète pas la réalité. Selon la compréhension de la CNPD, l’UNE devrait être considérée comme responsable du traitement pour les traitements effectués par le personnel autorisé affecté à l’UNE dans l’exécution de leurs missions ETIAS. Par conséquent, la CNPD estime dès lors que le paragraphe 2 de l’article 7 devrait être supprimé. 18. La CNPD est d’avis que l’autorité d’origine ne pourrait être considérée comme responsable du traitement que si elle est responsable pour effectuer l’évaluation des risques en matière de sécurité, d’immigration illégale ou de santé, et qu’elle effectue les traitements nécessaires dans le cadre de ses propres finalités. HÿÇNPD KATICMAtt F«QTECOOM Df5DONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 4/16 19. Il semble par ailleurs que ce paragraphe avait pour objectif de s’assurer que les traitements effectués dans le cadre de l’évaluation des risques par la Police grand-ducale, l’Administration des douanes et accises ou encore le Service de renseignement tombent sous le régime de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après la « LED »). La CNPD examinera le régime applicable dans le cadre de l’analyse de la nécessité de prévoir des limitations aux obligations et droits en matière de protection des données, et reviendra sur cet aspect aux points 25 et suivants du présent avis. II. Quant à l’accès de TUNE aux fichiers d’autres entités étatiques 20. Il y a lieu de rappeler l’article 31 de la Constitution, qui figure dans la section consacrée aux libertés publiques, dispose que « [t]oute personne a droit à l’autodétermination informationnelle et à la protection des données à caractère personnel la concernant. Ces données ne peuvent être traitées qu’à des fins et dans les conditions déterminées parla loi ». Dès lors, compte tenu du fait que la protection des données à caractère personnel relève d’une matière réservée à la loi par la Constitution, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités d’accès tandis que des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc. 21 . Ainsi, la CNPD se demande si l’article 2.5 alinéa 2 du projet de loi relatif à l’accès de l’UNE aux fichiers d’autres entités étatiques est suffisamment précis. L’alinéa se limite en effet à prévoir une consultation par le personnel autorisé de l’UNE des « bases de données relevant de la compétence de l’autorité dont ils relèvent ». Or, d’un point de vue de la protection des données, il s’agit d’un accès par un responsable du traitement, à savoir l’UNE, à des données d’un autre responsable du traitement, à savoir l’autorité dont relève le personnel autorisé, et ce, pour une finalité distincte de celle pour laquelle les données ont été collectées. Partant, il y a lieu de se demander si les auteurs du projet de loi ne devraient pas davantage préciser à quelles données l’UNE aura accès. 22. Au vu de ce qui précède, la CNPD se demande s’il ne serait pas plus judicieux d’externaliser l’évaluation des risques en matière de sécurité, d’immigration illégale ou de santé aux entités compétentes. Ainsi, l’UNE n'aura pas besoin d’un accès aux fichiers d’autres autorités. Ces dernières effectueront les consultations dans leurs fichiers et effectueront l’évaluation nécessaire. Elles transmettront le résultat de l’évaluation à l’UNE qui décidera ensuite sur la demande >CNPD Fcoréenon ORDONNER Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d'autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 5/16 d’autorisation. L’article 2.5 alinéa 1er du projet de loi consacre déjà cette possibilité de consultation. 23. Néanmoins, comme uniquement l’UNE peut avoir un accès au système d’information ETIAS conformément à l’article 13.1 du règlement (UE) 2018/1240, les autorités compétentes doivent recevoir par l’UNE toutes les informations nécessaires à l’exécution de cette mission d’évaluation. Il importe toutefois de veiller au respect du principe de minimisation des données, et de ne transmettre que les données strictement nécessaires à l’exécution de l’évaluation. 24. Enfin, concernant plus particulièrement la consultation par le personnel autorisé de l’UNE prévue à l’article 2.5 alinéa 1er, la CNPD est d’avis que la dernière partie de cet alinéa est trop vague. En effet, l’alinéa prévoit que cette consultation se fait « conformément aux dispositions légales en vigueur ». Or, il convient de s’interroger à quelles dispositions légales le projet de loi fait référence. Le commentaire des articles reste également muet à cet égard. III. Quant aux restrictions prévues aux articles 9 à 13 du projet de loi A. Quant à la nécessité de prévoir des restrictions en application de l’article 23 du RGPD 25. En principe, la détermination du régime applicable en matière de protection des données, dépend d’une double condition. Le RGPD est d'application par principe, tandis que la LED ne trouve à s’appliquer que si deux conditions cumulatives sont remplies. 26. Il s'agit d'un côté de la finalité, c’est-à-dire que le traitement doit être effectué « à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces »3. La deuxième condition est que le responsable du traitement doit être une autorité compétente selon la définition fixée par la LED 4. 3 4 Voir articles 1er et 2 de la LED. Voir article 3, point 7. de la LED : « 7. « autorité compétente»:
  1. a)toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; ou
  2. b)tout autre organisme ou entité à qui le droit d'un État membre confie l'exercice de l'autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; » jCNPD X. ’ "OWUftyON VP*' --■ N*TIC'«AIE PCJI.A FEOtECTOM OESDONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 6/16 27. L’article 56 du règlement (UE) 2018/1240 contient néanmoins des règles propres en ce qui concerne la détermination du régime applicable. Cette particularité a été discutée parmi les autorités nationales de protection des données, car elle semblait créer des incertitudes entre les acteurs européens et nationaux responsables de la mise en œuvre du règlement. 28. Pour cette raison, le Comité de supervision coordonnée5 s’est penché sur la question en 2024 et a constaté qu’il ne ressortait pas clairement du règlement (UE) 2018/1240 pour quels traitements le régime de la LED trouve application. Or, cet élément est essentiel, car il permet de déterminer quand les droits des personnes concernées peuvent être limités. Le comité a envoyé une lettre à la Commission européenne pour l’informer de ce constat6. 29. En effet, bien que l'article 56.2 alinéa 2 du règlement (UE) 2018/1240 prévoit que « [l]orsque le traitement de données à caractère personnel par les unités nationales ETIAS est effectué par les autorités compétentes qui évaluent les demandes aux fins de la prévention ou de la détection des infractions terroristes ou d’autres infractions pénales graves, ou des enquêtes en la matière, la directive (UE) 2016/680 s’applique », l’alinéa 3 du même article prévoit l’application du RGPD lorsque l’UNE décide de la délivrance, du refus, de la révocation ou de l’annulation de la demande. 30. Ainsi, même si le traitement des données dans le cadre de l’évaluation du risque en matière de sécurité tombe sous le régime de la LED, il n’en reste pas moins que l’UNE traitent ces données dans le cadre de la décision à prendre à la suite d’une demande d’autorisation de voyage. Il en résulte que le RGPD trouve à s’appliquer à toutes les données au plus tard à la fin de la procédure d’examen du dossier. 31. De plus, l’article 26.7 alinéa 2 du règlement (UE) 2018/1240 prévoit que les «résultats de l’évaluation du risque en matière de sécurité ou d’immigration illégale ou du risque épidémique élevé et les motifs sous-tendant la décision de délivrer ou de refuser une autorisation de voyage sont enregistrés dans le dossier de demande par l’agent ayant réalisé l’évaluation des risques ». Comme ce traitement n’est pas soumis à l’applicabilité de la LED selon l’article 56 du règlement (UE) 2018/1240, il semble que le RGPD soit applicable. 5 Le Comité de supervision coordonnée (CSC) est un regroupement d’autorités nationale de protection des données institué dans le cadre du Comité européen de la protection des données (EDPB) responsable pour assurer la coordination et la coopération dans le contrôle respectif des systèmes d’information à grande échelle et des organes et organismes de l’Union. La CNPD participe aux réunions du CSC. 6 La lettre envoyée à la Commission européenne peut être trouvée sur le site du Comité européen de la protection des données (EDPB), https://www.edpb.europa.eu/system/files/2024-09/letter-to-commission-on-the-implementation-ofthe-etias.pdf. t CNPd] M ■= "SES J A v s cle ’ *a Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 7/16 32. Il y a dès lors eu un consensus entre les autorités de protection des données selon lequel le RGPD trouve à s’appliquer à des traitements de données qui normalement devrait être couvertes par le régime de la LED. 33. Pour ces raisons, mais également pour souligner que les autorités impliquées ne doivent recourir que de manière exceptionnelle et limitée au régime de la LED 7, le Comité de supervision coordonné a souligné la nécessité d’inclure dans la législation nationale des restrictions en vertu de l’article 23 du RGPD dans sa lettre à la Commission européenne. 34. La CNPD a activement participé aux réflexions autour de cette particularité avec ses homologues européens et soutient l’appréciation soulevée dans la lettre adressée à la Commission européenne. Elle est dès lors d’avis que dans certains cas, l’UNE traitera, au plus tard lorsqu’elle prend la décision d’octroyer ou non une autorisation de voyage à des fins tombant sous l’égide du RGPD, des données à caractère personnel qui devraient normalement être soumises à une protection particulière. En conséquence, la CNPD estime que l’introduction de restrictions conformément aux conditions et critères de l’article 23 du RGPD est indispensable pour les traitements effectués par l’UNE qui tombent sous le champ d’application du RGPD en application de l’article 56.2 alinéa 3. 35. Ainsi, la CNPD ne peut que soutenir le Conseil d’Etat8 en ce qu’il appelle à une mise en œuvre correcte de l’article 56 du règlement (UE) 2018/1240, dans la mesure où les restrictions ne devraient se limiter qu’aux traitements effectués par l’UNE lorsque ces derniers tombent sous l’égide du RGPD, tel que par exemple dans le contexte de l’article 56.2 alinéa 3 du règlement (UE) 2018/1240, à savoir lorsqu’elle traite des données pour prendre la décision finale sur la demande d’autorisation de voyage. 36. En revanche, la CNPD n’a pas connaissance de raisons qui justifieraient que les traitements tombant sous le RGPD en application de l’article 56.2 alinéa 1er du règlement (UE) 2018/1240 devraient subir de restrictions en application de l’article 23 du RGPD. 37. Etant donné que le régime de la LED s’applique aux traitements effectués dans le cadre de l'évaluation des risques en matière de sécurité, en application de l’article 56.2 alinéa 2 du règlement (UE) 2018/1240, il convient de rappeler que ce dernier connaît ses propres restrictions. Des restrictions à cet égard semblent dès lors inutiles, dans la mesure où ce sont les autorités 7 Voir à cet égard le premier point soulevé par le Comité dans sa lettre à la Commission européenne, https://www.edpb.europa.eu/svstem/files/2024-09/letter-to-commission-on-the-implementation-of-the-etias.pdf. 8 Voir avis du Conseil d’Etat du 4 avril 2025, doc. pari. 8465/02, p.7. l CNPD V";.» ■ **&" COMMISSION NATICSM* ftOTECTlON DESDONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en oeuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d'information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 8/16 compétentes prévues par la loi nationale ayant transposée la LED 9 qui effectuent les traitements. L’UNE ne figurant pas parmi ces entités, il serait nécessaire de mettre en œuvre les dispositions de la LED pour l’UNE tel que préconisé par le Conseil d’Etat10. 38. Enfin, la CNPD souhaite rendre attentif à l’article 28 du règlement (UE) 2018/1240 qui prévoit une procédure de consultation entre Etats membres lorsque plusieurs d’entre eux ont introduit ou fourni les données ayant déclenché une réponse positive. Dans ce cas de figure, l’Etat membre responsable de la prise de décision fonde sa décision sur les avis motivés des autres Etats membres impliqués. Ces derniers ne sont dès lors pas responsables de la décision finale, mais traitent tout de même des données personnelles dans le cadre de cette consultation. La Commission nationale se pose dès lors la question de savoir si ce(
  3. s)traitement(
  4. s)serai(en)t également couvert par une éventuelle limitation ? En effet, l’UNE doit rendre un avis positif ou négatif. Or, cet avis ne correspond pas à une évaluation des risques telle qu’effectuée dans le cadre de l’article 26 du règlement (UE) 2018/1240 et visé par l’article 1er de ce même règlement. Si les auteurs souhaitent appliquer des restrictions pour les traitements effectués dans l’élaboration de l’avis positif ou négatif sur la demande d’autorisation en cas de consultation par un autre Etat membre, il faudrait le préciser dans le projet de loi. B. Quant aux exigences de l’article 23 du RGPD 39. Au vu de ce qui précède, les développements ci-après se fondent sur la supposition que les restrictions décrites dans le projet de loi se limitent aux traitements effectués par l’UNE dans le contexte de l’article 56.2 alinéa 3 du règlement (UE) 2018/1240, à savoir lorsqu’elle traite des données pour prendre la décision finale sur la demande d’autorisation de voyage. 40. Conformément à l'article 23 du RGPD, le droit national auquel le responsable du traitement ou le sous-traitant est soumis peut, par voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l'article 34, ainsi qu'à l'article 5 du RGPD dans la mesure où les dispositions du droit correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs énumérés dans cet article. 9 Voir les articles 12.3, 14.1 et 15.4 ainsi que l’article 30.5 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. 10 Voir avis du Conseil d'Etat du 4 avril 2025, doc. pari. 8465/02, p.7. tÇNPD ** PCJS .A FRC-rrcnoN MS OONNÊE! Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 9/16 41. Il y a donc lieu de vérifier la conformité des limitations prévues dans le projet de loi avec chacune des exigences de l'article 23 du RGPD. 1. Quant aux exigences de l'article 23
(1)du RGPD 42. L’article 23.1 du RGPD énumère un certain nombre de conditions qui doivent être remplies afin qu’une mesure législative puisse être considérée comme licite. Ainsi, la limitation ne peut pas compromettre l’essence des libertés et des droits fondamentaux et elle doit être nécessaire et proportionnée. La mesure doit par ailleurs être prévue par la loi, impliquant ainsi qu’elle respecte les exigences relatives à la prévisibilité. Enfin, la mesure législative de limitation ne peut porter que sur les droits et obligations énumérés à l’article 23 du RGPD, et ne peut être justifiée que pour la réalisation d’un des objectifs listés au même article. 43. Le présent avis se limite aux observations relatives aux conditions qui ne semblent pas être entièrement remplies. a. Sur la prévisibilité des limitations des droits par une mesure législative 44. Dans le cadre de la mise en place de limitations par le législateur national, il convient de rappeler le considérant 41 du RGPD qui précise que la « mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de ('Union européenne et de la Cour européenne des droits de l'homme ». 45. Les lignes directrices 10/2020 concernant les limitations au titre de l’article 23 du RGPD de l’EDPB clarifient que le « droit national doit user de termes assez clairs pour indiquer à tous de manière suffisante en quelles circonstances et sous quelles conditions il habilite les responsables du traitement à recourir à de telles limitations ». Les lignes directrices expliquent encore que « [l]a même norme stricte devrait être appliquée à toutes les limitations qui pourraient être imposées parles États membres » 11 . 46. Pour répondre au critère de prévisibilité, la mesure législative doit être suffisamment claire pour être comprise dès la première lecture. Bien que les auteurs du projet de loi ainsi que les autorités l’appliquant connaissent les raisons des limitations, il est impératif que les personnes susceptibles d’être touchées puissent également la comprendre. 11 Voir les « Les lignes directrices 10/2020 concernant les limitations au titre de l’article 23 du RGPD » du Comité européen de la protection des données (EDPB), point 17, p.8. CNPDl : "'EE Avis de ,a Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 10/16 47. Dès lors, la CNPD regrette que les auteurs du projet de loi se soient contentés de reproduire les objectifs admissibles de l’article 23.1, lettres
  1. a)à
  2. d)du RGPD, sans pour autant expliquer les raisons pour lesquelles une dérogation aux droits des personnes concernées ou aux obligations incombant à l’UNE s’avère nécessaire. 48. Etant donné que les personnes concernées doivent au moins comprendre dans quels cas une restriction peut être décidée, il paraît indispensable qu'un lien de rattachement, au moins indirect entre l’objectif poursuivi et la limitation envisagée soit établi. Un tel lien pourrait par exemple indiquer que la personne concernée fait l’objet d’une enquête en cours et que la divulgation d’informations pourrait nuire à l’objectif de l’enquête. Ainsi, il est impératif de clarifier expressément la manière dont la limitation peut contribuer aux objectifs énoncés. 49. La Commission nationale constate qu’aucune explication n’a été fournie à ce sujet dans le commentaire des articles, l'exposé des motifs ou encore dans le corps du texte. Or, tel que préconisé par l’EDPB dans ses lignes directrices 10/2020 sur les restrictions en application de l'article 23 du RGPD le « lien entre les limitations prévues et l’objectif poursuivi devrait être clairement établi et démontré dans la mesure législative concernée ou dans des documents complémentaires ».12 50. Le projet de loi reste dès lors muet quant aux différentes raisons qui pourraient justifier une limitation des droits, ce qui nuit à la prévisibilité de la mesure législative et laisse les personnes concernées, qui se voient opposer une telle limitation sans précisions supplémentaires, dans une grande incertitude. 51. La Commission nationale peut comprendre qu’il soit difficile d’anticiper les différents cas d'application d’une limitation, en particulier lors de l'introduction d'une nouvelle procédure. Néanmoins, le législateur devrait a minima prévoir les conditions encadrant une limitation afin de permettre à la personne concernée de vérifier sa conformité à la loi. b. Sur le respect du principe de nécessité et de proportionnalité 52. En vertu de l’article 23.1 du RGPD, les limitations ne sont licites que si elles constituent une mesure nécessaire et proportionnée dans une société démocratique. D’après les lignes directrices 10/2020 de l’EDPB concernant les limitations au titre de l’article 23 du RGPD, la 12 Ibid., point 19, p.9. R CNPD] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 11/16 « nécessité et la proportionnalité devraient être évaluées avant que le législateur ne décide d’introduire une limitation » 13 . 53. Les lignes directrices précisent encore que le caractère nécessaire est à évaluer en fonction de l’objectif à poursuivre et qu’il est « important d’identifier l’objectif de manière suffisamment détaillée pour pouvoir apprécier si la mesure est nécessaire »14 . 54. Le principe de proportionnalité exige que le contenu de la mesure législative n’excède pas ce qui est strictement nécessaire pour réaliser les objectifs poursuivis. 55. Or, le projet de loi laisse à l’UNE le soin d’apprécier au cas par cas, la nécessité et la proportionnalité d’une limitation, sans encadrer cette analyse par des conditions et critères définis. De plus, ni le commentaire des articles, ni l’exposé des motifs ne contiennent des éléments permettant de déterminer si les principes de nécessité et de proportionnalité sont respectés. 56. Enfin, il ressort encore des lignes directrices de l’EDPB que « [t]oute mesure de limitation proposée devrait être étayée par des éléments de preuve décrivant le problème auquel elle doit remédier, la façon dont elle y remédiera et les raisons pour lesquelles les mesures existantes ou des mesures moins intrusives ne suffisent pas à y remédier. Il doit par ailleurs être démontré comment toute ingérence ou limitation envisagée répond effectivement à des objectifs d’intérêt général de l’État et de l’UE ou à la nécessité de protéger les droits et libertés d’autrui. La limitation des droits en matière de protection des données devra cibler des risques spécifiques » 15 . 57. Au regard des observations susmentionnées, la Commission nationale estime que les auteurs du projet de loi devraient fournir des explications concernant la nécessité et la proportionnalité des limitations envisagées. De plus, elle suggère de spécifier les cas d'application de la limitation ou au moins d’énoncer les conditions qui permettent à l’UNE de limiter les droits de la personne concernée. Enfin, il convient d'ajouter des explications sur le lien entre la limitation et l'objectif poursuivi. 2. Quant aux exigences de l’article 23.2 du RGPD 58. L’article 23.2 du RGPD contient également une liste de huit exigences spécifiques qu’une mesure législative introduisant une limitation des droits et obligations doit respecter. 13 Ibid., point 40, p.12. Ibid., point 41, p.12. 15 Ibid., point 45, p.13. 14 ÇNPDl Avis de ,a Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 12/16 59. Le présent avis se limite aux observations relatives aux exigences qui ne semblent pas être entièrement remplies. a. Dispositions spécifiques sur les finalités du traitement ou catégories de traitement 60. L’article 23.2.
  3. a)du RGPD exige que la mesure législative limitant les droits des personnes ou les obligations du responsable du traitement contienne des dispositions spécifiques sur la finalité du traitement ou des catégories de traitement. 61. La CNPD constate que les articles 9 à 13 ne contiennent pas de mention quant aux finalités du traitement susceptibles de faire l’objet d’une limitation. Le commentaire des articles y relatif se limite à soulever que les « finalités du traitement des données à caractère personnel sont énoncées avec précision à l’article 1er du règlement (UE) 2018/1240 ». 62. La CNPD donne néanmoins à considérer que l’article 1er du règlement (UE) 2018/1240 se compose de trois paragraphes ayant chacun ses propres objectifs. Ainsi, le premier paragraphe vise à évaluer « si la présence de ces ressortissants de pays tiers sur le territoire des États membres est susceptible de présenter un risque en matière de sécurité ou d’immigration illégale ou un risque épidémique élevé ». Le deuxième paragraphe a pour objet la consultation d’ETIAS par les autorités désignées « aux fins de la prévention et de la détection des infractions terroristes ou d’autres infractions pénales graves relevant de leur compétence, ainsi qu’aux fins des enquêtes en la matière ». Le troisième paragraphe vise « à faciliter l'identification correcte des personnes enregistrées dans ETIAS ». 63. Vu les acteurs impliqués, il semble que les auteurs du projet de loi visent notamment la finalité énoncée au 1 er paragraphe de cet article, à savoir l’évaluation du risque que le demandeur pourrait poser en matière de sécurité, d’immigration illégale ou de santé. 64. En prenant en compte les développements des points 25 et suivants du présent avis, ce renvoi est néanmoins à remettre en question. En effet, tel qu’élaboré ultérieurement, l’évaluation des risques en matière de sécurité est, en application de l’article 56.2 alinéa 2 du règlement (UE) 2018/1240, soumise au régime de la LED qui connaît ses propres restrictions contenues dans la loi nationale ayant transposée la LED 16. Des restrictions à cet égard semblent dès lors inutiles. 16 Voir les articles 12.3, 14.1 et 15.4 ainsi que l’article 30
(5)de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. 1CNPD COWVlSSfON NATICMAIE FHOIECnW DE3DONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 13/16 65. De plus, en opérant par simple renvoi, les limitations visent également les traitements effectués dans le cadre de l’évaluation des risques épidémiques et d’immigration illégale. Or, en lisant les objectifs visés par les limitations à l’article 9.1 du projet de loi, il semble que les auteurs du projet de loi ne souhaitent pas appliquer les limitations à cette finalité. De plus, il est douteux qu’une limitation dans ce contexte soit nécessaire, dans quel cas il est impossible de prévoir une restriction. 66. Dans la mesure où les restrictions devraient dès lors se limiter aux traitements effectués par l’UNE dans le contexte de l’article 56.2 alinéa 3 du règlement (UE) 2018/1240, à savoir lorsqu’elle traite des données pour prendre la décision finale sur la demande d’autorisation de voyage, la CNPD est d’avis que la finalité des restrictions devrait être clairement précisée dans le corps du texte. 67. La CNPD suggère dès lors de préciser pour quelle(
  1. s)finalité(
  2. s)du traitement ou des catégories de traitement les limitations s’appliquent concrètement. b. Dispositions spécifiques sur l’étendue des limitations 68. L’article 23.2.C du RGPD dispose que la mesure législative doit contenir des dispositions spécifiques relatives à l’étendue de la limitation. L’étendue porte tant sur la durée dans le temps que sur la portée de la limitation. 69. En ce qui concerne la portée de la limitation, le projet de loi prévoit que les limitations peuvent être partielles ou totales17 . Le commentaire des articles explique à ce sujet que l’étendue « varie en fonction de l’évaluation, au cas par cas, des risques que la divulgation d’information présenterait eu égard aux intérêts à protéger ». Ainsi, l’UNE doit effectuer une analyse au cas par cas si une limitation est nécessaire ou pas. 70. La CNPD comprend la nécessité de prévoir une limitation partielle voire totale. Il serait néanmoins préférable que les auteurs du projet de loi fournissent de plus amples informations quant aux critères sur base desquelles cette évaluation peut être effectuée. Ainsi, la Commission nationale estime que si la source de l’information, tel que par exemple la Police grand-ducale, considère qu’une limitation est inutile, alors l’UNE ne devrait pas en décider autrement. Une procédure de consultation avec la source de l’information serait dans ce cas de figure utile. Par ailleurs, la gravité de l’infraction alléguée pourrait servir de critère déterminant. 17 Voir articles 9, 10 et 13 du projet de loi. |ÇNPD * "«UiJ|ON NAWCMAIE Avis de la Commission nationale pour la protection des données COh PROTECTION 0E3DONNEE! relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d'information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 14/16 71. La limitation dans le temps est également prévue par le projet de loi. Ainsi, le projet de loi prévoit que les droits et obligations énoncées sont limités aussi longtemps que nécessaire18 . Le commentaire des articles soulève à cet égard que « la limitation n’est pas maintenue ad vitam aeternam, mais aussi longtemps que le risque le justifie ». 72. La Commission nationale salue cette limitation dans le temps. Elle donne néanmoins à considérer que la levée de la limitation à un stade ultérieur nécessite obligatoirement une réévaluation de la situation. Or, une telle réévaluation ainsi qu’une levée ultérieure des limitations n’est pas mentionnée dans le projet de loi. 73. La CNPD en déduit qu’une réévaluation n’est pas systématique et la personne concernée devra exercer son droit à nouveau plus tard. Cependant, étant donné que la personne concernée n’est potentiellement pas au courant de la limitation et qu’elle ne dispose pas d’informations quant à la date de la levée de la limitation, l’exercice effectif de ses droits est réduit. 74. Par ailleurs, l’EDPB estime dans ses lignes directrices 10/2020 concernant les limitations au titre de l’article 23 du RGPD que « [s]i les personnes concernées n’ont pas encore été informées des limitations, elles devraient l’être au plus tard au moment de la levée de celles-ci ». 75. La CNPD propose dès lors de prévoir dans le projet de loi une revue des limitations ainsi que l’information des personnes concernées une fois que la limitation peut être levée. Il convient de soulever que la réévaluation pourrait constituer une garantie supplémentaire pour prévenir les abus ainsi que l’accès ou le transfert illicite19. c. Dispositions spécifiques relatives au droit de la personne concernée d’être informée de la limitation 76. La CNPD note avec satisfaction que, de manière générale, les personnes concernées sont informées de la limitation et qu’une limitation n’est prévue que si cela s’avère nécessaire. 77. Il aurait cependant été utile de fournir, tout au moins dans le commentaire des articles, des précisions sur les critères permettant de déterminer une telle limitation. 18 Ibid. Voir les « Les lignes directrices 10/2020 concernant les limitations au titre de l’article 23 du RGPD » du Comité européen de la protection des données (EDPB), point 57, p.15. 19 1ÇNPD cowMssiOM fègSS NATIC AU F»orEcnw DESDONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n’8465 portant mise en oeuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d'un système européen d’information et d'autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 15/16 78. De plus, il convient de rappeler l’utilité de l’information ultérieure de la personne concernée une fois que la limitation est levée 20. 79. Enfin, le commentaire des articles soulève à juste titre que les lignes directrices 10/2020 concernant les limitations au titre de l’article 23 du RGPD admettent la possibilité de recourir à une notice d’information générale. En l’occurrence, la CNPD juge une telle notice générale comme indispensable pour garantir un maximum de transparence vis-à-vis des personnes concernées, et recommande de garantir la disponibilité de ce document dès le début de l’entrée en opération de l’ETIAS. 80. En dernier lieu, la CNPD souhaite rappeler que l’introduction de restrictions en application de l’article 23 du RGPD n’est possible que pour autant que le RGPD s’applique à ces traitements21 et lorsque les conditions pour mettre en œuvre des restrictions sont satisfaites. A l’instar du Conseil d’Etat22, la CNPD appelle à une mise en œuvre correcte de l’article 56 du règlement (UE) 2018/1240, dans la mesure où les restrictions ne devraient se limiter qu’aux traitements effectués par l’UNE lorsque ces derniers tombent sous l’égide du RGPD, tel que par exemple dans le contexte de l’article 56.2 alinéa 3 du règlement (UE) 2018/1240, à savoir lorsqu’elle traite des données pour prendre la décision finale sur la demande d'autorisation de voyage. Ainsi adopté à Belvaux en date du 6 août 2025. La Commission nationale pour la protection des données Tine A. Larsen Thierry Lallemang Alain Herrmann Présidente Commissaire Commissaire 20 Voir points 72 à 75 du présent avis. Voir développements aux points 25 et suivants du présent avis. 22 Voir avis du Conseil d’Etat du 4 avril 2025, doc. pari. 8465/02, p.7. 21 1CNPD fKOlTCnOM DKDONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8465 portant mise en œuvre de certaines dispositions du règlement (UE) 2018/1240 du Parlement européen et du Conseil du 12 septembre 2018 portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) et modifiant les règlements (UE) no 1077/2011, (UE) no 515/2014, (UE) 2016/399, (UE) 2016/1624 et (UE) 2017/2226 16/16

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.