(1)Le traitement ultérieur de données à caractère personnel par des entités publiques est autorisé si : 1° les conditions énoncées au présent titre sont remplies ; 2° que le traitement des données à caractère personnel est effectué exclusivement pour une ou plusieurs des finalités suivantes :

1. a)l’analyse statistique ;
2. b)les activités d’éducation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ;
3. c)la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
4. d)l’évaluation et la planification des politiques envisagées ou planifiées par le Gouvernement et approuvées par décision du Gouvernement en conseil, ou en ce qui concerne les communes, envisagées ou planifiées par le Conseil communal ;
5. e)lorsque la mise en œuvre d’un accord international requiert la communication d’informations ou lorsque le traitement ultérieur des données à caractère personnel permet de répondre aux demandes d’informations officielles provenant de gouvernements étrangers ou d’organisations internationales approuvées par décision du Gouvernement en conseil ;
6. f)les activités de développement, d’évaluation, de démonstration, de sécurité et d’innovation de dispositifs ou de services ;
7. g)la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numériques.

(2)Le traitement ultérieur des données à caractère personnel, y compris leur partage et leur mise à disposition, par les entités publiques conformément au présent titre, est licite au sens de l’article 6, paragraphe 1er, lettre e), et, si applicable, de l’article 9, paragraphe 2, lettre g) ou j) du règlement (UE) 2016/679. Art. 16. Conditions d’anonymisation et de pseudonymisation des données à caractère personnel 31

(1)Les données à caractère personnel détenues par des entités publiques doivent être anonymisées préalablement à leur traitement ultérieur aux fins énoncées à l’article 15, paragraphe 1er, point 2°.

(2)Lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel doivent être pseudonymisées préalablement à leur traitement ultérieur aux fins énoncées à l’article 15, paragraphe 1er, point 2°.

(3)Lorsque le traitement ultérieur de données à caractère personnel pseudonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel peuvent être traitées ultérieurement aux fins énoncées à l’article 15, paragraphe 1er, point 2°, de manière non-pseudonymisées dans les limites du strict nécessaire.

(4)Les entités publiques qui détiennent les données à caractère personnel sont tenus d’identifier les informations protégées pour des motifs de protection des données à caractère personnel. Elles renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

(5)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel sont tenues d’une obligation de confidentialité interdisant la divulgation de toute information compromettant les droits et intérêts de la personne concernée qu’elles peuvent avoir acquise malgré les garanties mises en place conformément aux dispositions de la présente loi. Sans préjudice du paragraphe 3, il est interdit aux entités publiques effectuant le traitement ultérieur de données à caractère personnel de rétablir l’identité de toute personne concernée à laquelle se rapportent les données à caractère personnel. Les entités publiques prennent des mesures techniques et opérationnelles pour empêcher toute réidentification. Section II – Traitement ultérieur de données à caractère personnel par la même entité publique Art. 17. Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel par la même entité publique

(1)Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel qu’elle détient pour les finalités énoncées à l’article 15, paragraphe 1er, point 2°, sous réserve du respect des dispositions de l’article 16.

(2)Lorsque le traitement ultérieur porte sur des données à caractère personnel visées aux articles 9, paragraphe 1er, et 10 du règlement (UE) 2016/679, les données à caractère personnel ne peuvent pas être traitées ultérieurement de manière non-anonymisées ou nonpseudonymisées. Section III – Traitement ultérieur de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques Art. 18. Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques

(1)Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel détenues par une autre entité publique pour les finalités énoncées à l’article 15, paragraphe 1er, point 2°, aux conditions suivantes : 32 1° l’entité publique qui détient les données à caractère personnel :

1. a)a marqué son accord de principe au traitement ultérieur, y compris le partage et la mise à disposition en inscrivant les données à caractère personnel disponibles sur la liste des ressources consultables tenues par le point d’information unique, conformément au paragraphe 3 ; ou
2. b)a marqué son accord spécifique au traitement ultérieur, y compris le partage et la mise à disposition, en contresignant la demande visée à l’article 27 ; 2° le traitement ultérieur de données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard des finalités poursuivies ; 3° les données à caractère personnel sont anonymisées préalablement au traitement ultérieur des données à caractère personnel, ou lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, si :
3. a)l’Autorité des données autorise le traitement ultérieur de données à caractère personnel conformément à l’article 31 ;
4. b)les données à caractère personnel sont pseudonymisées préalablement à leur traitement ultérieur ;
5. c)le traitement ultérieur de données à caractère personnel est effectué dans l’environnement de traitement sécurisé prévu à l’article 36.

(2)L’entité publique sollicitant le traitement ultérieur de données à caractère personnel détenues par une autre entité publique qui se voit opposer un refus de partage par l’entité publique détenant les données à caractère personnel sollicitées peut saisir pour avis le Conseil consultatif. Le Conseil consultatif émet un avis quant à la demande de partage dans un délai de trois semaines. L’avis du Conseil consultatif est communiqué à l’entité publique qui sollicite le partage ainsi qu’à l’entité publique détenant les données à caractère personnel, qui est appelée à considérer à nouveau la demande de partage. L’entité publique détenant les données à caractère personnel sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Elle transmet une copie de sa décision finale sans délai à l’entité publique qui sollicite le partage et au Conseil consultatif. L’absence de décision finale de l’entité publique détenant les données à caractère personnel sollicitées dans le délai imparti vaut refus. En cas d’accord, l’entité publique détentrice des données à caractère personnel contresigne la demande visée à l’article 27.

(3)Le point d’information unique met à disposition par voie électronique une liste de ressources consultable contenant un aperçu de toutes les ressources en données disponibles en vue de leur traitement ultérieur conformément au présent titre, avec des informations pertinentes décrivant les données à caractère personnel disponibles, y compris au minimum le format et la taille des données ainsi que les conditions applicables à leur traitement ultérieur. 33 TITRE VI – Accès et réutilisation des données détenues par des organismes du secteur public par des réutilisateurs de données Section I –

(1)Le présent titre s’applique à l’accès et à la réutilisation, par un réutilisateur de données, des données détenues par des organismes du secteur public, conformément au règlement (UE) 2022/868, qui sont protégées pour des motifs : 1° de confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise ; 2° de secret statistique ; 3° de protection des droits de propriété intellectuelle de tiers ; ou 4° de protection des données à caractère personnel, dans la mesure où de telles données ne relèvent pas du champ d’application de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public.

(2)Le présent titre ne s’applique pas : 1° aux données énoncées à l’article 3, paragraphe 2, du règlement (UE) 2022/868 ; 2° aux cas visés par les autres titres de la présente loi. Art. 20. Finalités d’accès et réutilisation des données autorisées L’accès et la réutilisation des données par des réutilisateurs de données sont autorisés si : 1° les conditions énoncées à la section II du présent titre sont remplies ; et 2° l’accès et la réutilisation des données est effectué exclusivement pour une ou plusieurs des finalités suivantes :

1. a)l’analyse statistique ;
2. b)les activités d’éducation, de formation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ;
3. c)la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
4. d)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de technologies ;
5. e)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de produits ;
6. f)l’évaluation des politiques publiques luxembourgeoises ou européennes. 34 Art. 21. Conditions d’anonymisation, de pseudonymisation et de méthodes de contrôle de divulgation des données

(1)Les données à caractère personnel détenues par des organismes du secteur public doivent être anonymisées préalablement à l’accès et à la réutilisation par le réutilisateur de données.

(2)Lorsque l’accès et la réutilisation de données à caractère personnel anonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel doivent être pseudonymisées préalablement à l’accès et à la réutilisation par le réutilisateur de données.

(3)Les accès et réutilisations effectués conformément au présent titre, par des réutilisateurs de données, de données à caractère personnel détenues par les organismes du secteur public, sous une forme non anonymisée ou non pseudonymisée, sont interdits.

(4)Les données détenues par des organismes du secteur public doivent être modifiées, agrégées, supprimées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à l’accès et à la réutilisation par le réutilisateur de données, pour éviter toute atteinte disproportionnée aux droits de propriété intellectuelle, à la confidentialité commerciale, y compris le secret d’affaires, au secret professionnel, au secret d’entreprise et au secret statistique.

(5)Les organismes du secteur public qui détiennent les données à caractère personnel et les données à caractère non personnel sont tenus d’identifier les données protégées pour les motifs visés à l’article 19, paragraphe 1er. Ils renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

(6)Les réutilisateurs de données sont tenus d’une obligation de confidentialité interdisant la divulgation de toute information compromettant les droits et intérêts protégés par la présente loi qu’ils peuvent avoir acquis malgré les garanties mises en place conformément aux dispositions de la présente loi. Il est interdit aux réutilisateurs de données de rétablir l’identité de toute personne concernée à laquelle se rapportent les données. Les réutilisateurs de données prennent les mesures techniques et opérationnelles nécessaires pour empêcher toute réidentification. Section II – Conditions applicables à la réutilisation de données à caractère personnel Art. 22. L’accès et la réutilisation de données à caractère personnel par des réutilisateurs de données

(1)Un réutilisateur de données peut accéder et réutiliser les données à caractère personnel détenues par un organisme du secteur public pour les finalités énoncées à l’article 20, paragraphe 1er, point 2°, aux conditions cumulatives suivantes : 1° l’Autorité des données autorise l’accès et la réutilisation conformément à l’article 31 ; 2° l’organisme du secteur public qui détient les données :

1. a)a marqué son accord de principe à la mise à disposition des données à caractère personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en inscrivant 35 les données disponibles sur la liste des ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; ou
2. b)a marqué son accord spécifique à la mise à disposition des données à caractère personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en contresignant la demande visée à l’article 28 ; 3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 4° les données à caractère personnel sont anonymisées ou pseudonymisées préalablement à leur accès et à leur réutilisation ; 5° l’accès et la réutilisation des données à caractère personnel se font dans l’environnement de traitement sécurisé visé à l’article 36.

(2)Le traitement de données à caractère personnel, y compris leur partage et leur mise à disposition, par les organismes du secteur public conformément au présent titre, est licite au sens de l’article 6, paragraphe 1er, lettre e) et, si applicable, de l’article 9, paragraphe 2, lettre g) ou j) du règlement (UE) 2016/679.

(3)Le réutilisateur de données qui se voit opposer un refus d’accès de réutilisation des données par l’organisme du secteur public détenant les données sollicitées peut saisir le Conseil consultatif, qui émet un avis quant à la demande d’accès et de réutilisation dans un délai de trois semaines. L’avis du Conseil consultatif est communiqué au réutilisateur de données et à l’organisme du secteur public détenant les données, qui est appelé à considérer à nouveau la demande d’accès et de réutilisation. L’organisme du secteur public détenant les données sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Il transmet une copie de sa décision finale sans délai au réutilisateur de données et au Conseil consultatif. L’absence de décision finale de l’organisme du secteur public détenant les données sollicitées dans les délais impartis vaut refus. En cas d’accord, l’organisme du secteur public détenant les données contresigne la demande visée à l’article 28. Section III – Conditions applicables à la réutilisation de données à caractère non personnel Art. 23. L’accès et la réutilisation de données à caractère non personnel détenues par les organismes du secteur public

(1)Un réutilisateur de données peut accéder et réutiliser les données à caractère non personnel détenues par un autre organisme du secteur public et protégées pour les motifs visés à l’article 19, paragraphe 1er, points 1° à 3°, aux conditions cumulatives suivantes : 1° l’Autorité des données autorise l’accès et la réutilisation conformément à l’article 31 ; 2° l’organisme du secteur public qui détient les données :

1. a)a marqué son accord de principe à la mise à disposition des données à caractère non personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en inscrivant 36 les données disponibles sur la liste des ressources consultables tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; ou
2. b)a marqué son accord spécifique à la mise à disposition des données à caractère non personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en contresignant la demande visée à l’article 28 ; 3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1er, points 1° à 3° ; 4° les données à caractère non personnel sont modifiées, agrégées, supprimées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à leurs accès et à leur réutilisation ; 5° l’accès et la réutilisation des données à caractère non personnel se font dans l’environnement de traitement sécurisé visé à l’article 36.

(2)Le réutilisateur de données sollicitant l’accès et la réutilisation de données détenues par un organisme du secteur public qui se voit opposer un refus d’accès de réutilisation des données par les organismes du secteur public détenant les données sollicitées peut saisir le Conseil consultatif, qui émet un avis quant à la demande d’accès et de réutilisation dans un délai de trois semaines. L’avis du Conseil consultatif est communiqué au réutilisateur de données et à l’organisme du secteur public détenant les données, qui est appelé à considérer à nouveau la demande d’accès et de réutilisation. L’organisme du secteur public détenant les données sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Il transmet une copie de sa décision finale sans délai au réutilisateur de données et au Conseil consultatif. L’absence de décision finale de l’organisme du secteur public détenant les données sollicitées dans les délais impartis vaut refus. En cas d’accord, l’organisme du secteur public détenant les données contresigne la demande visée à l’article

1. Section IV – Conditions applicables à la réutilisation d’ensembles contenant des données à caractère personnel et des données à caractère non personnel Art.
2. Conditions applicables à la réutilisation d’ensembles mixtes de données détenus par les organismes du secteur public Lorsque l’accès et la réutilisation portent sur un ensemble de données détenu par un organisme du secteur public qui contient des données à caractère personnel et des données à caractère non personnel, l’accès et la réutilisation sont soumis aux conditions énoncées aux articles 19 à
3. TITRE VII – Modalités applicables au traitement ultérieur des données à caractère personnel par les entités publiques et à l’accès et à la réutilisation de données par des réutilisateurs de données Section I –

(1)Les demandes de traitement ultérieur de données à caractère personnel visées au titre V ainsi que les demandes d’accès et de réutilisation visées au titre VI à présenter à l’Autorité des données doivent être formulées de façon précise et revêtir une forme écrite.

(2)Toute modification substantielle de la demande intervenant au cours de l’instruction de la demande par l’Autorité des données qui affecte les informations et pièces visées aux articles 27 et 28 nécessite le dépôt d’une nouvelle demande conformément à l’article 29. Art. 27. Contenu de la demande de traitement ultérieur de données à caractère personnel

(1)Dans les cas visés au titre V, la demande à présenter par les entités publiques effectuant le traitement ultérieur des données à caractère personnel doit contenir les informations suivantes : 1° les coordonnées des entités publiques effectuant le traitement ultérieur des données à caractère personnel ; 2° les coordonnées des entités publiques détentrices des données à caractère personnel ; 3° une description détaillée du contexte du traitement de données à caractère personnel envisagé ; 4° une description détaillée des catégories de données à caractère personnel et des catégories de personnes concernées ; 5° la base de licéité du traitement ainsi qu’une description détaillée des finalités du traitement ; 6° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation et de pseudonymisation des données à caractère personnel, en particulier la justification du respect des conditions visées à l’article 16 ; 7° la durée du traitement de données à caractère personnel envisagée dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; 8° les destinataires de données à caractère personnel et, le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ainsi que l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679 ; 9° les motifs pour lesquels le traitement ultérieur des données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 38 10° les motifs pour lesquels les données à caractère personnel sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ; 11° le cas échéant, une description détaillée des données à caractère personnel provenant de sources autres que les entités publiques effectuant le traitement ultérieur de données à caractère personnel et les entités publiques détenant les données à caractère personnel, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée ; 12° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ; 13° la signature de la demande par toutes les entités publiques visées au point 1° du présent paragraphe ; 14° pour les cas visés à l’article 18, paragraphe 1er, point 1°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 18, paragraphe 3 ; 15° pour les cas visés à l’article 18, paragraphe 1, point 1°, lettre b), la signature de la demande par toutes les entités publiques visées au point 2° du présent paragraphe.

(2)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel, en leur qualité de responsables du traitement, joignent les documents suivants à leur demande : 1° si applicable, l’analyse d’impact relative à la protection des données à caractère personnel visée par l’article 35 du règlement (UE) 2016/679 ; 2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ; 3° le plan de confidentialité signé par toutes les parties visées à l’article 35, paragraphe 2 ; 4° l’attestation de faisabilité visée à l’article 35, paragraphe 3, émise par le Centre ; 5° si applicable, une copie de l’avis du Conseil consultatif visé à l’article 18, paragraphe 2.

(3)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel :

1. a)1° certifient l’exactitude des informations contenues dans la demande et les pièces jointes visées au présent article ;
2. b)2° certifient que le plan de confidentialité correspond aux informations contenues dans la demande présentée à l’Autorité des données ;
3. c)3° s’engagent formellement à respecter les termes de l’autorisation de l’Autorité des données et du plan de confidentialité. Art. 28. Contenu de la demande d’accès et de réutilisation de données 39

(1)Dans les cas visés au titre VI, la demande à présenter par les réutilisateurs des données doit contenir les informations suivantes : 1° les coordonnées des réutilisateurs des données ; 2° les coordonnées des organismes du secteur public détenant les données ; 3° une description détaillée du contexte de l’accès et de la réutilisation des données ; 4° une description détaillée des données et des catégories de personnes visées par la demande ; 5° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation, de pseudonymisation et d’agrégation des données visées à l’article 21, en particulier la justification du respect des conditions visées à l’article 21 ; 6° les motifs pour lesquels les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ; 7° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1er ; 8° les destinataires de données ; 9° le cas échéant, une description détaillée des données provenant des réutilisateurs de données et/ou de détenteurs de données autres que les organismes du secteur public, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée par le réutilisateur de données ; 10° la durée d’accès et de réutilisation des données dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; 11° le cas échéant, l’intention d’effectuer un transfert de données vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ; 12° la signature de la demande par tous les réutilisateurs des données visés au point 1° du présent paragraphe ; 13° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre a), et à l’article 23, paragraphe

(2)point 2°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; 14° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre b), et à l’article 23, paragraphe 2, point 2°, lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe.

(2)Lorsque la demande porte sur des données à caractère personnel, elle contient également les informations suivantes : 1° la base de licéité du traitement de données à caractère personnel ainsi qu’une description détaillée des finalités du traitement de données à caractère personnel ; 40 2° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 3° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ; 4° le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679.

(3)La demande doit être accompagnée du plan de confidentialité signé par toutes les parties visées à l’article 35, paragraphe 2, et de l’attestation de faisabilité visée à l’article 35, paragraphe 3, émise par le Centre.

(4)Les réutilisateurs de données effectuant l’accès et la réutilisation des données à caractère personnel, en leur qualité de responsables du traitement, joignent les documents suivants à leur demande : 1° si applicable, l’analyse d’impact relative à la protection des données visée par l’article 35 du règlement (UE) 2016/679 ; 2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ; 3° si applicable, une copie de l’avis du Conseil consultatif visé aux articles 22, paragraphe 3, et 23, paragraphe 2.

(5)Les réutilisateurs de données :

1. a)1° certifient l’exactitude des informations contenues dans la demande et les pièces jointes visées au présent article ;
2. b)2° certifient que le plan de confidentialité correspond aux informations contenues dans la demande présentée à l’Autorité des données ;
3. c)3° s’engagent formellement à respecter les termes de l’autorisation de l’Autorité des données et du plan de confidentialité. Section III – Instruction de la demande par l’Autorité des données Art. 29. Dépôt et procédure d’instruction de la demande

(1)Le dépôt des demandes visées à la section II du présent titre, dénommé ci-après désignées la « demande », se fait auprès de l’Autorité des données.

(2)L’Autorité des données statue dans un délai de deux mois à compter du dépôt de la demande. 41 En cas de demande exceptionnellement détaillée et complexe, le délai de deux mois peut être prolongé de trente jours au maximum. L’Autorité des données informe le demandeur dès que possible de la nécessité du délai supplémentaire pour instruire la demande, ainsi que des raisons qui justifient ce délai.

(3)Pour les cas visés à l’article 31, paragraphe 5, l’Autorité des données statue dans un délai d’un mois à compter du dépôt de la demande de modification ponctuelle. Dans les cas où le délai d’instruction de la demande par l’Autorité des données excède la durée couverte par l’autorisation initiale adoptée par cette dernière, les données disponibles dans l’environnement de traitement sécurisé sont conservées dans un système d’archivage intermédiaire à accès restreint pendant le délai d’instruction de la demande par l’Autorité des données, et ce jusqu’à adoption de la décision finale. Le système d’archivage intermédiaire et les systèmes informatiques par lesquels le traitement ultérieur des données à caractère personnel ou l’accès et la réutilisation des données sont opérés, doivent être aménagés de sorte que leur accès est sécurisé, moyennant une authentification forte, et que les informations relatives au gestionnaire du dossier ayant initié la requête, les informations demandées, la date et l’heure puissent être retracées.

(4)La demande ne comprenant pas tous les éléments énoncés aux articles 27 ou 28 est déclarée irrecevable.

(5)L’Autorité des données peut demander des renseignements complémentaires aux demandeurs. En pareil cas, les délais visés aux paragraphes 2 et 3 sont suspendus à compter de la transmission de la demande de renseignements complémentaires, et ce jusqu’à réception par l’Autorité des données des renseignements sollicités. Faute de réponse du demandeur dans un délai d’un mois, la demande est rejetée d’office.

(6)Les échanges et démarches visés au présent article se font par voie électronique via le point d’information unique.

(7)L’Autorité des données peut transmettre la demande de traitement ultérieur de données à caractère personnel visée à l’article 27 et la demande d’accès et de réutilisation visée à l’article 28 au Conseil consultatif pour avis. Elle y joint toute autre pièce dont elle dispose qui est sollicitée par le Conseil consultatif. L’absence d’avis du Conseil consultatif dans un délai de trois semaines à compter de la transmission de la demande et de la décision de l’organisme du secteur public détenant les données, vaut avis favorable. Art.

1. Redevances Pour chaque demande visée à l’article 28, une redevance est fixée par l’Autorité des données pour couvrir les frais administratifs occasionnés par le traitement de la demande et par la mise à disposition des données dans l’environnement de traitement sécurisé. Un règlement grand-ducal détermine la procédure applicable à la perception de la redevance. Art.
2. Autorisation par l’Autorité des données

(1)Dans les cas visés au titre V, l’Autorité des données autorise le traitement ultérieur de données à caractère personnel lorsque :

1. a)1° la demande visée à l’article 27 est complète et accompagnée de toutes les pièces visées à l’article 27, paragraphe 2 ; 42
2. b)2° l’entité publique détentrice des données à caractère personnel a donné son accord écrit spécifique au traitement ultérieur de données à caractère personnel, y compris au partage et à la mise à disposition, en contresignant la demande visée à l’article 27 ;
3. c)3° le traitement ultérieur de données à caractère personnel est exclusivement effectué pour une ou plusieurs finalités visées à l’article 15, paragraphe 1er, point 2 ;
4. d)4° le traitement ultérieur de données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie.

(2)Dans les cas visés au titre VI, l’Autorité des données autorise l’accès et la réutilisation de données : 1° dans le cas où la demande vise l’accès et la réutilisation de données à caractère personnel, lorsque :

1. a)la demande visée à l’article 28 est complète et accompagnée de toutes les pièces visées à l’article 28, paragraphes 3 et 4 ;
2. b)pour les cas visés à l’article 22, paragraphe 2, point 2°: i. lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; ii. lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe concernés ;
3. c)l’accès et la réutilisation de données est exclusivement effectuée pour une ou plusieurs finalités visées à l’article 20, paragraphe 1er, point 2° ;
4. d)l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ;
5. e)la réutilisation des données n’entraine pas un risque pour la défense nationale, la sécurité publique ou l’ordre public. 2° dans les cas où la demande vise l’accès et la réutilisation de données à caractère non personnel, lorsque :
6. a)la demande visée à l’article 28 est complète et est accompagnée de toutes les pièces visées à l’article 28, paragraphes 3 et 4 ;
7. b)pour les cas visés à l’article 23, paragraphe 2, point 2° : 43 i. lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ; ii. lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe concernés ;
8. c)la réutilisation est exclusivement effectuée pour une ou plusieurs finalités visées à l’article 20, paragraphe 1er, point 2 ;
9. d)l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 20, paragraphe 1er, points 1° à 3° ;
10. e)la réutilisation des données n’entraine pas un risque pour la défense nationale, la sécurité publique ou l’ordre public. 3° dans le cas où la demande vise l’accès et la réutilisation d’ensembles mixtes de données, les conditions prévues aux points 1° et 2° du présent paragraphe s’appliquent.

(3)La décision d’autorisation ou de refus de l’Autorité des données est motivée. L’Autorité des données joint la demande et, si applicable, l’avis du Conseil consultatif à sa décision.

(4)Toute modification substantielle du traitement ultérieur de données à caractère personnel visé au titre V ou de l’accès et de la réutilisation des données visés au titre VI couverts par une autorisation de l’Autorité des données conformément au présent article, doit faire l’objet d’une nouvelle demande et d’une nouvelle autorisation par l’Autorité des données, conformément aux dispositions des articles 27 à 31.

(5)Si la modification sollicitée porte exclusivement sur les éléments visés à l’article 27, paragraphe 1er, point 7°, ou à l’article 28, paragraphe 1er, point 10°, autorisés par l’Autorité des données, l’Autorité des données statue sur le bien-fondé de la demande de modification dans le cadre de la procédure accélérée visée à l’article 29, paragraphe 3. La demande de modification visée au présent paragraphe contient : 1° dans le cas visé au titre V :

1. a)les coordonnées des entités publiques effectuant le traitement ultérieur des données à caractère personnel et des entités publiques détentrices des données à caractère personnel ;
2. b)la nouvelle durée du traitement de données à caractère personnel envisagée dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; 44
3. c)l’attestation du Centre, ou du tiers de confiance mandaté par le Centre, que la modification sollicitée ne porte pas préjudice à l’efficacité des mesures consignées dans le plan de confidentialité ;
4. d)la signature de la demande par toutes les entités publiques visées au point à la lettre a). 2° dans le cas visé au titre VI :
5. a)les coordonnées des organismes du secteur public détenant les données et des réutilisateurs des données ;
6. b)la nouvelle durée d’accès et de réutilisation des données dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ;
7. c)l’attestation du Centre, ou du tiers de confiance mandaté par le Centre, que la modification sollicitée ne porte pas préjudice à l’efficacité des mesures consignées dans le plan de confidentialité ;
8. d)la signature de la demande par tous les organismes du secteur public détenant les données et des réutilisateurs des données visés au point à la lettre a).

(6)Les entités publiques et les organismes du secteur public mettent les données à caractère personnel et les données à caractère non personnel visées par l’autorisation de l’Autorité des données à disposition de celle-ci en vue de la mise en œuvre des mesures prévues au présent titre et de leur mise à disposition dans l’environnement de traitement sécurisé.

(7)Les entités publiques traitant ultérieurement les données à caractère personnel et les réutilisateurs de données sont tenus de traiter les données uniquement conformément aux termes de l’autorisation de l’Autorité des données.

(8)Chaque fois que les réutilisateurs de données utilisent les données conformément aux titres VI et VII, ils citent les sources de données et mentionnent que les données ont été obtenues dans le cadre de la présente loi. Art. 32. Contrôle par l’Autorité des données

(1)L’Autorité des données a le droit de vérifier le processus, les moyens et tout résultat du traitement ultérieur de données à caractère personnel effectué par les entités publiques conformément au titre V et des accès et réutilisation des données effectués par les réutilisateurs de données conformément au titre VI, afin de préserver l’intégrité de la protection des données et le respect des conditions prévues par la présente loi, notamment en ce qui concerne les droits de propriété intellectuelle, la confidentialité commerciale et le secret statistique.

(2)L’Autorité des données a le droit d’interdire l’utilisation des résultats qui contiennent des informations portant une atteinte disproportionnée aux droits et aux intérêts de tiers. La décision d’interdire l’utilisation des résultats est transparente et compréhensible pour le réutilisateur de données. 45

(3)L’Autorité des données peut demander tous renseignements et informations nécessaires pour l’accomplissement des missions prévues par la présente loi au Centre, au tiers de confiance mandaté par le Centre, au LNDS, aux entités publiques, aux organismes du secteur public qui détiennent les données, aux réutilisateurs ainsi qu’à tout autre entité impliquée dans la mise en œuvre de la loi. Section IV – Publicité par l’Autorité des données Art.

1. Publicité des conditions d’accès et de réutilisation de données détenues par les organismes du secteur public et procédure applicable Pour les cas visés au titre VI, l’Autorité des données rend publiques les conditions d’autorisation d’accès et de réutilisation de données détenues par les organismes du secteur public et la procédure prévue à la section III du présent titre par l’intermédiaire du point d’information unique. Art.
2. Publicité des autorisations adoptées par l’Autorité des données

(1)L’Autorité des données tient un registre public des traitements ultérieurs de données à caractère personnel et des accès et réutilisations de données autorisées. Le registre contient pour chaque autorisation accordée par l’Autorité des données conformément au titre VII les informations suivantes : 1° une copie de la décision adoptée par l’Autorité des données conformément à l’article 31 ; 2° si applicable, l’avis du Conseil consultatif ; 3° dans le cas de données à caractère personnel, l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679, communiquée par le demandeur.

(2)La publication par l’Autorité des données des éléments d’information à destination des personnes concernées, telle que visée au paragraphe 1er, alinéa 2, point 3°, vaut information de la personne concernée au sens des articles 12 à 14 du règlement (UE) 2016/679 pour les traitements ultérieurs de données visés au titre V et les accès et réutilisations visés au titre VI. Section V – Mesures appropriées et mise à disposition des données dans un environnement de traitement sécurisé Art. 35. Mesures appropriées

(1)Les mesures d’anonymisation et/ou de pseudonymisation des données à caractère personnel et/ou de modification, d’agrégation, de suppression et de traitement selon toute autre méthode de contrôle de la divulgation des données requises par les dispositions de la présente loi et par les dispositions du règlement (UE) 2022/868 doivent être mises en œuvre préalablement au traitement ultérieur de données à caractère personnel et à l’accès et la réutilisation de données visés aux titres V et VI. Ces mesures doivent être effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens 46 raisonnablement susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations. La mise en œuvre des mesures visées au présent paragraphe doit être opérée de sorte que nul autre que l’entité publique ou l’organisme du secteur public duquel proviennent les données n’ait accès aux données dans un format non anonymisé, non pseudonymisé ou non agrégé.

(2)Pour chaque demande visée aux articles 27 et 28, il est établi une évaluation spécifique des méthodes et des modalités de mise en œuvre des mesures visées au paragraphe qui précède. L’évaluation est initiée, dans les cas visés au titre V, par les entités publiques effectuant le traitement ultérieur de données à caractère personnel et, dans les cas visés au titre VI, par les réutilisateurs de données. Elle est consignée dans un plan de confidentialité. Le plan de confidentialité est préparé par les parties visées à l’alinéa qui précède. Il précise les conditions et les modalités, y compris les opérations et procédures de mise en œuvre, des mesures visées au paragraphe 1er. Le projet de plan de confidentialité est amendé jusqu’à validation finale et signature commune par le Centre, ou par le tiers de confiance mandaté par le Centre, et :

1. a)1° pour les cas visés au titre V, les entités publiques effectuant le traitement ultérieur de données à caractère personnel et les entités publiques détenant les données à caractère personnel ;
2. b)2° pour les cas visés au titre VI, les réutilisateurs de données et les organismes du secteur public détenant les données. Toutes les parties visées au présent paragraphe fournissent au Centre, ou au tiers de confiance mandaté par le Centre, et, dans les cas visés à l’article 5, paragraphe 3, point
3. d)au LNDS, toute information nécessaire pour la mise en place du plan de confidentialité, qui les traitent pour les seules finalités visées au présent article ou à des fins de preuve. Le tiers de confiance et le Centre se concertent étroitement. En signant le plan de confidentialité, le Centre, ou le tiers de confiance mandaté par le Centre, certifie que les mesures prévues au paragraphe 1er consignées dans le plan de confidentialité sont effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations.

(3)Sur présentation du plan de confidentialité signé par toutes les parties, le Centre atteste de la faisabilité :

1. a)de la mise en œuvre des mesures énoncées dans le plan de confidentialité ;
2. b)de la mise à disposition des données dans l’environnement de traitement sécurisé. 47 L’attestation du Centre est jointe à la demande visée aux articles 27 et 28.

(4)Sous réserve d’autorisation de l’Autorité des données visée à l’article 31 et d’acquittement par le demandeur de la redevance visée à l’article 30 :

1. a)1° le Centre, ou le tiers de confiance mandaté par le Centre, s’assure de la mise en œuvre les mesures visées au présent article conformément aux stipulations du plan de confidentialité ;
2. b)2° le Centre : i.
3. a)combine et traite les données provenant des entités publiques et des organismes du secteur public visés au paragraphe 1er, alinéa 3, pour lesquelles le traitement ultérieur et/ou l’accès et la réutilisation a été autorisé par l’Autorité des données ; ii.
4. b)procède à la mise à disposition des données à caractère personnel visées au titre V et des données visées au titre VI dans l’environnement de traitement sécurisé, sous réserve des exigences prévues dans le plan de confidentialité et dans l’autorisation de l’Autorité des données. Art. 36. Environnement de traitement sécurisé

(1)Le traitement ultérieur de données à caractère personnel visé au titre V et l’accès et la réutilisation de données visés au titre VI se font dans un environnement de traitement sécurisé mis à disposition par l’Autorité des données et géré par le Centre. L’environnement de traitement sécurisé respecte notamment les mesures de sécurité suivantes:

1. a)1° restreindre aux personnes physiques autorisées indiquées dans l’autorisation correspondante visée à l’article 31 l’accès à l’environnement de traitement sécurisé ;
2. b)2° réduire au minimum le risque de lecture, de copie, de modification ou de suppression non autori