Projet de loi n°8395A portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données I. OBSERVATIONS PRÉLIMINAIRES I.1 Modification de l’intitulé du projet de loi Le libellé de l’intitulé du projet de loi est modifié afin de prendre en compte l’observation d’ordre légistique du Conseil d’État dans son avis du 3 juin 2025 et de refléter les modifications apportées au projet de loi. Dès lors, l’intitulé du projet de loi se lit comme suit : « Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données » I.
- Remarques préliminaires Les amendements du projet de loi n°8395A présentés ci-dessous ont pour objet de répondre aux observations présentées par le Conseil d’État dans son avis du 3 juin
- Le Conseil d’État a relevé dans son avis du 3 juin 2025 l’absence dans le projet de loi sous examen de disposition de mise en œuvre de l’article 6 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données), ci-après « règlement (UE) 2022/868 ». Sur ce point, l’article 20 du projet de loi n°8395B couvre les redevances pour des demandes d’accès et de réutilisation de données. Le Conseil d’État s’interroge également sur l’articulation entre l’article 1er, paragraphe 2, de la loi modifiée du 14 septembre 2018 relative à une administration transparente et ouverte qui 1 exclut du « droit d’accès » certains documents protégés avec le présent projet de loi. Comme le relève le Conseil d’Etat, « la loi précitée de 2018 exclut du droit d’accès les documents relatifs au « respect de la vie privée », « à des droits de propriété intellectuelle » ou « à un secret ou une confidentialité protégés par la loi » et « au caractère confidentiel des informations commerciales et industrielles » »
- En revanche, le règlement (UE) 2022/868 vise l’élargissement des possibilités de réutilisation de données détenues par des organismes du secteur public en ce qu’il prévoit un mécanisme de réutilisation de certaines catégories de données protégées du secteur public, dont le partage est rendu plus délicat par l'existence de droits : protection des données personnelles, droits de propriété intellectuelle et de confidentialité des informations commerciales. Sans créer un droit à la réutilisation de ces données, le règlement (UE) 2022/868 harmonise les conditions permettant leur réutilisation. Partant, les champs d’application des deux textes leur sont spécifiques. II. AMENDEMENTS Amendement n°1 Il est inséré un nouveau Titre Ier intitulé comme suit : « Titre Ier – Commissariat du Gouvernement à la souveraineté des données » Commentaire : A l’instar des dispositions de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS, le nouveau titre s’avère nécessaire pour organiser la structuration formelle du projet de loi. En effet, la subdivision des différentes dispositions portant création du Commissariat du Gouvernement à la souveraineté des données et de celles relatives à la désignation des organismes et autorités compétents et du point d’information uniquement prévus aux articles 7, 8, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) répond à un objectif d’intelligibilité et de clarté. Du fait de l’insertion de ce nouveau Titre 1er, la numérotation des titres, des chapitres et sections qui suivront, changeront en conséquence. Amendement n°2 Il est inséré au Titre Ier un nouveau Chapitre Ier intitulé comme suit : « Chapitre Ier – Objet » Commentaire Cet amendement est une conséquence de l’amendement n°
- Amendement n°3 1 Doc. Parl. N°8395A/03, page
- 2 Il est inséré un nouvel article 1er qui prend la teneur suivante : « Art. 1er.
(1)Il est créé une administration dénommée « Commissariat du Gouvernement à la souveraineté des données », ci-après « Commissariat ». Le Commissariat est placé sous l’autorité du ministre ayant la Digitalisation dans ses attributions, ci-après « ministre ».
(2)Le Commissariat est dirigé par un commissaire du Gouvernement à la souveraineté des données, ci-après « commissaire ». Le commissaire peut être assisté d’un commissaire adjoint.
(3)le Commissariat est composé des départements suivants : 1° le département Délégué à la protection des données du secteur public ; 2° le département Conseil et guidance en gouvernance des données ; 3° l’Autorité luxembourgeoise des données ; 4° le département Affaires générales. Le commissaire arrête les détails d’organisation et les modalités de fonctionnement des départements. Commentaire Parmi les observations formulées quant aux dispositions de l’article 1er du projet de loi, le Conseil d’État a soulevé que le Commissariat exerce la fonction de délégué à la protection des données pour de nombreux organismes du secteur public, tout en soulignant qu’un délégué à la protection des données ne saurait « déterminer les finalités et moyens de traitement qu’il est censé conseiller, en agissant lui-même en tant que responsable du traitement qu’il est censé conseiller ». A l’instar de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS, l’amendement prévoit explicitement la structuration du Commissariat du Gouvernement à la souveraineté des données en quatre départements. Cette structuration vise précisément à répondre aux inquiétudes et à l’exigence d’indépendance du délégué à la protection des données évoquée par le Conseil d’Etat dans son avis du 3 juin 2025. Chaque département dispose d’attributions qui lui sont propres. Ces attributions sont détaillées dans le projet de loi. Ainsi, le système proposé est le même que celui instauré par la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS, qui assure le respect des exigences d’indépendance, d’absence de pressions commerciales et de tout conflit d’intérêts de l’OLAS en tant qu’organisme national d’accréditions conformément à l’article 8 du règlement (UE) 765/2008, tel que modifié2. 2 Article 8 du règlement CE) n° 765/2008 du Parlement européen et du Conseil du 9 juillet 2008 fixant les prescriptions relatives à l'accréditation et à la surveillance du marché pour la commercialisation des produits et abrogeant le règlement (CEE) n° 339/93 du Conseil, tel que modifié : « Un organisme national d'accréditation satisfait aux exigences suivantes : 1) il est organisé de manière à être indépendant des organismes d'évaluation de la conformité qu'il évalue, à ne pas subir de pressions commerciales et à éviter tout conflit d'intérêts avec les organismes d'évaluation de la conformité ; 2) il fonctionne et est organisé de façon à sauvegarder l'objectivité et l'impartialité de ses activités; […] » 3 La subdivision du Commissariat en départements prend ainsi en considération les exigences d’indépendance et d’impartialité entre le département Délégué à la protection des données du secteur public et les tâches dont le Commissariat sera chargé conformément à l’article 7, paragraphe 2, du règlement (UE) 2022/868, quand ce dernier agit en tant qu’Autorité luxembourgeoise des données. Partant, les activités du délégué à la protection des données et les activités précitées au sens du règlement (UE) 2022/868 ne relèvent pas des activités d’un même département. Ainsi, le département Délégué à la protection des données du secteur public et l’Autorité luxembourgeoise des données sont séparés de manière fonctionnelle au sein même du Commissariat du Gouvernement à la souveraineté des données pour éviter tout conflit d’intérêts du délégué à la protection des données au sens de l’article 38, paragraphe 6, du RGPD. Amendement n°4 Il est inséré au Titre Ier un nouveau Chapitre II intitulé comme suit : « Chapitre II – Attributions du Commissariat du Gouvernement à la souveraineté des données » Commentaire Pour le commentaire, il y a lieu de se référer à ceux des amendements n°1 et n°3. Amendement n°5 Il est inséré au Titre Ier, Chapitre II, une nouvelle Section I intitulée comme suit : « Section I – Attributions du département Délégué à la protection des données du secteur public » Commentaire Pour le commentaire, il y a lieu de se référer à ceux des amendements n°1 et n°3. Amendement n°6 Il est inséré un nouvel article 2 qui prend la teneur suivante : « Art. 2. Dans le cadre de ses attributions, le département Délégué à la protection des données du secteur public : 1° remplit en cas d’application de l’article 3, alinéa 2, et de l’article 4, alinéa 2, la fonction de délégué à la protection des données telle que définie à l’article 38 du règlement (UE) 2016/679 avec les missions décrites à l’article 39 du règlement (UE) 2016/679 ; 2° assiste les délégués à la protection des données de l’administration étatique. » Commentaire Cet article précise les missions du département Délégué à la protection des données du secteur public. Cet article reprend les dispositions de l’article 59, point 3°, lettre
- b)et point 4° de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. 4 Amendement n°7 Il est inséré un nouvel article 3 qui prend la teneur suivante : « Art. 3. Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents désignent un ou plusieurs délégués à la protection des données. Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents, peuvent désigner le Commissariat comme leur délégué à la protection des données. La désignation est notifiée au Commissariat. » Commentaire Cet article reprend les dispositions de l’article 57 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Amendement n°8 Il est inséré un nouvel article 4 qui prend la teneur suivante : « Art. 4. Le Commissariat peut également assurer la fonction de délégué à la protection des données pour les communes. Les collèges des bourgmestre et échevins peuvent désigner le Commissariat comme leur délégué à la protection des données. La désignation est notifiée au Commissariat. » Commentaire Cet article reprend les dispositions de l’article 58 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Amendement n°9 Il est inséré un nouvel article 5 qui prend la teneur suivante : « Art. 5. Dans l’exercice des attributions lui conférées en vertu de l’article 2, le Commissariat veille à ce que le département Délégué à la protection des données du secteur public : 1° soit établi de manière à éviter tout conflit d’intérêts avec l’Autorité luxembourgeoise des données ; 2° soit organisé et fonctionne de façon à garantir l'objectivité et l'impartialité de ses activités. » Commentaire Le Conseil d’Etat s’est opposé formellement à l’attribution des missions d’octroi et de refus des accès et réutilisation des données et à la désignation du Commissariat en tant qu’organisme compétent, conformément à l’article 7, paragraphe 2, du règlement (UE) 2022/868, pour contrariété à l’article 38, paragraphe 6, du RGPD au motif que le RGPD prévoit 5 que les autres missions et tâches du délégué à la protection des données ne doivent pas engendrer un conflit d’intérêts dans son chef. En réponse aux inquiétudes soulevées par le Conseil d’Etat, les dispositions ajoutées permettent de garantir l’indépendance et l’impartialité du département Délégué à la protection des données du secteur public. Ces dispositions reprennent les dispositions de l’article 7bis, point 1°, de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS, qui assurent le respect des exigences d’indépendance, d’absence de pressions commerciales et de tout conflit d’intérêts de l’OLAS en tant qu’organisme national d’accréditions conformément à l’article 8 du règlement (UE) 765/2008, tel que modifié3. La subdivision du Commissariat en départements prend ainsi en considération les exigences d’indépendance et d’impartialité entre le département Délégué à la protection des données du secteur public et les tâches dont le Commissariat sera chargé conformément à l’article 7, paragraphe 2, du règlement (UE) 2022/868, quand ce dernier agit en tant qu’Autorité luxembourgeoise des données. Partant, les activités du délégué à la protection des données et les activités précitées au sens du règlement (UE) 2022/868 ne relèvent pas des activités d’un même département. Ainsi, le département Délégué à la protection des données du secteur public et l’Autorité luxembourgeoise des données sont séparés de manière fonctionnelle au sein même du Commissariat du Gouvernement à la souveraineté des données pour éviter tout conflit d’intérêts du délégué à la protection des données au sens de l’article 38, paragraphe 6, du RGPD. Amendement n°10 Il est inséré au Titre Ier, Chapitre II, une nouvelle Section II intitulée comme suit : « Section II – Attributions du département Conseil et guidance en gouvernance des données » Commentaire Pour le commentaire, il y a lieu de se référer à ceux des amendements n°1 et n°3. Amendement n°11 Il est inséré un nouvel article 6 qui prend la teneur suivante : « Art. 6. Dans le cadre de ses attributions, le département Conseil et guidance en gouvernance des données : 3 Article 8 du règlement CE) n° 765/2008 du Parlement européen et du Conseil du 9 juillet 2008 fixant les prescriptions relatives à l'accréditation et à la surveillance du marché pour la commercialisation des produits et abrogeant le règlement (CEE) n° 339/93 du Conseil, tel que modifié : « Un organisme national d'accréditation satisfait aux exigences suivantes : 1) il est organisé de manière à être indépendant des organismes d'évaluation de la conformité qu'il évalue, à ne pas subir de pressions commerciales et à éviter tout conflit d'intérêts avec les organismes d'évaluation de la conformité ; 2) il fonctionne et est organisé de façon à sauvegarder l'objectivité et l'impartialité de ses activités; […] » 6 1° développe la protection des données à caractère personnel, et dispense des conseils en matière de gouvernance des données et de l’intelligence artificielle au sein de l’administration étatique ; 2° promeut les bonnes pratiques dans les domaines visés au point 1° à travers l’administration étatique ; 3° sensibilise dans les domaines visés au point 1°, les agents de l’État concernés, les entités publiques, les organismes de droit public et le public ; 4° contribue à une mise en œuvre cohérente des politiques dans les domaines visés au point 1° :
- a)en proposant au Gouvernement des mesures de la conformité des activités de traitement de données des entités de l’administration étatique avec la législation applicable ;
- b)en proposant au ministre des mesures en matière de politique de traitement ultérieur de données à caractère personnel et d’accès à la réutilisation de données ;
- c)en guidant et accompagnant les chefs d’administration compétents, les bourgmestres et échevins dans la mise en place des mesures appropriées, de procédures et lignes de conduite pour les agents de l’État ;
- d)en conseillant, sur demande, les membres du Gouvernement ; 5° collabore étroitement avec le ministre ; 6° fonctionne comme organe de réflexion et d’impulsion dans le domaine de la gouvernance des données et de l’accès et de la réutilisation de données et formule des avis et propositions en la matière au ministre. » Commentaire Cet article précise les missions du département Conseil et guidance en gouvernance des données. Ces missions sont reprises de l’article 59, points 1°, 2°, 3°, lettres
- a)et c), et 5° de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, ainsi que de celles visées à l’article 4, points 3° à 7° du projet de loi n°8395B. Amendement n°12 Il est inséré au Titre Ier, Chapitre II, une nouvelle Section III intitulée comme suit : « Section III – Attributions de l’Autorité luxembourgeoise des données » Commentaire Pour le commentaire, il y a lieu de se référer à ceux des amendements n°1 et n°3. Amendement n°13 Il est inséré un nouvel article 7 qui prend la teneur suivante : 7 « Art. 7. Dans le cadre de ses attributions, l’Autorité luxembourgeoise des données : 1° met en œuvre les missions lui conférées en tant qu’organisme compétent, conformément à l’article 14 de la loi ; 2° collabore étroitement, avec le ministre, le Centre des technologies de l’information de l’État, le tiers de confiance mandaté par le Centre des technologies de l’information de l’État et le groupement d’intérêt économique PNED G.I.E. – plateforme nationale d’échange de données4. » Commentaire Cet article précise les missions de l’Autorité luxembourgeoise des données qui découlent de l’article 4 du projet de loi n°8395B précité. Amendement n°14 Il est inséré au Titre Ier, un nouveau Chapitre III intitulé comme suit : « Chapitre III – Cadre de l’administration » Commentaire Pour le commentaire, il y a lieu de se référer à l’amendement n°1. Amendement n°15 Il est inséré un nouvel article 8 qui prend la teneur suivante : « Art. 8.
(1)Le cadre du personnel comprend un commissaire du Gouvernement, un commissaire du Gouvernement adjoint à la souveraineté des données nommés par le Grand-Duc sur proposition du Gouvernement en conseil, qui ont le statut de fonctionnaire, ainsi que des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État.
(2)Ce cadre peut être complété par des fonctionnaires stagiaires, des employés et salariés de l’État suivant les besoins du service et dans la limite des crédits budgétaires.
(3)Les candidats aux fonctions de commissaire du Gouvernement à la souveraineté des données ou de commissaire du Gouvernement adjoint doivent disposer de connaissances spécialisées de la législation et des pratiques de protection et de gouvernance des données et remplir les conditions d’admission au groupe de traitement A1. » Commentaire Cet article reprend les dispositions de l’article 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Il traite du cadre du personnel du Commissariat du Gouvernement à la souveraineté des données. 4 PL8395B article 4, paragraphe 3, point 2° 8 Amendement n°16 Il est inséré au Titre Ier, un nouveau Chapitre IV intitulé comme suit : « Chapitre IV – Dispositions modificatives5 et transitoires » Commentaire Pour le commentaire, il y a lieu de se référer à l’amendement n°1. Amendement n°17 Il est inséré un nouvel article 9 qui prend la teneur suivante : « Art. 9. La loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État est modifiée comme suit : 1° L’article 12 est modifié comme suit : (
- a)Au paragraphe 1er, point 8°, les termes « commissaire du Gouvernement adjoint à la protection des données auprès de l’État » sont remplacés par les termes « commissaire du Gouvernement adjoint à la souveraineté des données » ; (
- b)Au paragraphe 1er, point 9°, les termes de « commissaire du Gouvernement à la protection des données auprès de l’État » sont remplacés par les termes « commissaire du Gouvernement à la souveraineté des données » ; 2° L’annexe A – Classification des fonctions – est modifiée comme suit : (
- a)au grade 16, le terme « commissaire du Gouvernement adjoint à la protection des données auprès de l’État » est remplacé par le terme « commissaire du Gouvernement adjoint à la souveraineté des données» ; (
- b)au grade 17, le terme « commissaire du Gouvernement à la protection des données auprès de l’État » est remplacé par le terme « commissaire du Gouvernement à la souveraineté des données » ; 3° L’Annexe B – B2) Allongements – est modifiée comme suit, au paragraphe 1er, le terme « commissaire du Gouvernement adjoint à la protection des données » est supprimé et remplacé par « commissaire du Gouvernement adjoint à la souveraineté des données » ». Commentaire Les modifications prévues à cet article ont pour objet de modifier la terminologie employée afin de prendre en compte le changement de dénomination du « Commissariat du Gouvernement à la protection des données auprès de l’État » par « Commissariat du Gouvernement à la souveraineté des données ». Cf. https://www.chd.lu/sites/default/files/2025-04/guide-pratique_legistique_edition-2025.pdf, page 19, point 2.6.1. « L’abrogation partielle d’un acte normatif est à considérer comme une disposition modificative. Elle n’a donc pas sa place dans un article ou un groupement d’articles qui comporte des dispositions abrogatoires » 5 9 Amendement n°18 Il est inséré un nouvel article 10 qui prend la teneur suivante : « Art. 10. Les articles 56 à 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données sont abrogés ». Commentaire Les dispositions actuelles sont abrogées alors qu’elles ont vocation à être remplacées par le nouveau cadre légal mis en place par le projet de loi. Amendement n°19 Il est inséré un nouvel article 11 qui prend la teneur suivante : « Art. 11. Le personnel du Commissariat du Gouvernement à la protection des données auprès de l’État est repris dans le cadre du personnel du Commissariat du Gouvernement à la souveraineté des données. » Commentaire Cet article précise que le Commissariat du Gouvernement à la souveraineté des données reprend le personnel du Commissariat du Gouvernement à la protection des données auprès de l’État6. Il s’inspire des dispositions de l’article 15bis de la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection national. Amendement n°20 Il est inséré un nouvel article 12 qui prend la teneur suivante : « Art. 12. Toute référence au Commissariat du Gouvernement à la protection des données auprès de l’État ou au commissaire du Gouvernement à la protection des données auprès de l’État s’entend comme une référence au Commissariat du Gouvernement à la souveraineté des données, respectivement au commissaire du Gouvernement à la souveraineté des données. » Amendement n°21 Il est inséré un nouvel article 13 qui prend la teneur suivante : « Art. 13. Les désignations effectuées sous les articles 56 à 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, demeurent valables. » Commentaire Dans un souci de sécurité juridique, cet article précise que toutes les désignations effectuées en vertu des articles 57 et 58 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, Cf PL7184 Ad Article pub.chd.lu/docs/Dossiers_parlementaires/7184/20250515_Dep%C3%B4t.pdf 6 63 https://wdocs- 10 et qui désignent le Commissariat du Gouvernement à la protection des données auprès de l’État en tant que délégué à la protection des données, continuent de produire leurs effets. Amendement n°22 Il est inséré un nouveau Titre II intitulé comme suit : « Titre II – Désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité » Commentaire A la suite du remaniement des différentes dispositions, il s’est avéré nécessaire de revoir les divisions utilisées. Amendement n°23 Il est inséré au Titre II, un nouveau Chapitre Ier intitulé comme suit : « Chapitre Ier – Organisme compétent » Commentaire : Pour le commentaire, il y a lieu de référer à l’amendement n°1. Amendement n°24 L’article 1er actuel, devient l’article 14 et est amendé comme suit : 1° À la première phrase, les termes « Commissariat du Gouvernement à la protection des données auprès de l’État » sont remplacés par le terme « Commissariat ». 2° Le terme « dénommé » est supprimé. 3° Il est introduit un paragraphe 2 qui prend la teneur suivante : «
(2)Les demandeurs et les réutilisateurs font usage dans leur communication écrite avec le Commissariat d’une langue acceptée par le Commissariat. L’usage de la langue luxembourgeoise, française, allemande ou anglaise est accepté dans tous les cas. Le Commissariat peut valablement faire usage exclusif de la langue anglaise dans sa communication écrite avec les demandeurs et les réutilisateurs. » 3° Il est introduit un paragraphe 3 qui prend la teneur suivante : «
(3)Le Commissariat, après l’accord de l’organisme du secteur public, peut autoriser l’accès et la réutilisation au sens de l’article 2, paragraphe 2, du règlement (UE) 2022/868 de données détenues par cet organisme du secteur public lorsque : 1° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits visés à l’article 3, paragraphe 1er, du règlement (UE) 2022/868 et sont effectués pour une ou plusieurs des finalités suivantes : i. l’analyse statistique ; 11
- ii)les activités d’éducation, de formation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ; iii) la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
- iv)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de technologies ;
- v)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de produits ;
- vi)l’évaluation des politiques publiques luxembourgeoises ou européennes ; vii) la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numériques. 2° les données sont anonymisées, pseudonymisées ou modifiées, agrégées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à l’accès et la réutilisation ; 3° l’accès et la réutilisation se font dans un environnement de traitement sécurisé au sens de l’article 2, point 20°, du règlement (UE) 2022/868 mis à disposition par le Commissariat. 4° l’accès et la réutilisation des données n’entrainent pas un risque pour la défense nationale, la sécurité publique ou l’ordre public. » 4° Il est introduit un paragraphe 4 qui prend la teneur suivante : «
(4)La demande d’accès et de réutilisation est adressée par le demandeur au Commissariat. La demande doit revêtir une forme écrite et doit contenir les motifs pour lesquels les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies. Elle doit être formulée de façon précise et contenir les éléments permettant d’identifier les données demandées. » 5° Il est introduit un paragraphe 5 qui prend la teneur suivante : «
(5)L’organisme du secteur public qui détient les données transmet sa décision au Commissariat dans un délai de trois semaines à compter de la transmission de la demande d’accès et de réutilisation. Passé ce délai, l’absence de décision de l’organisme du secteur public qui détient les données vaut refus. » 6° Il est introduit un paragraphe 6 qui prend la teneur suivante : «
(6)Le demandeur qui se voit opposer un refus d’accès et de réutilisation des données peut saisir pour avis le Conseil consultatif de la valorisation des données visé au paragraphe 6, qui émet un avis quant à la demande d’accès et de réutilisation dans un délai de trois semaines. L’avis est communiqué à l’organisme du secteur public qui détient les données qui est appelé à considérer à nouveau la demande de réutilisation. L’organisme du secteur public émet sa décision finale dans un délai de trois semaines. » 7° Il est introduit un paragraphe 7 qui prend la teneur suivante : 12 «
(7)Il est institué un Conseil consultatif de la valorisation des données, ci-après « le Conseil consultatif » qui a pour mission de soumettre un avis motivé dans les cas visés au paragraphe
(6). Le Conseil consultatif peut recourir aux services d’experts. Les membres, les experts et le secrétaire ont droit à un jeton de présence dont le montant est fixé par règlement grand-ducal. Le président du Conseil consultatif est désigné parmi ses membres par le ministre. Le secrétariat du Conseil consultatif est assuré par le Commissariat. Le fonctionnement interne du Conseil consultatif est fixé par règlement grand-ducal. » Commentaire Les nouveaux paragraphes fait suite l’avis du Conseil d’État du 3 juin 2025, dans lequel ce dernier s’interroge sur la signification exacte du terme « accord de principe » ainsi que sur l’articulation de cet accord avec la décision du Commissariat, en sa qualité d’Autorité luxembourgeoise des données. En réponse aux inquiétudes soulevées par le Conseil d’Etat, les dispositions sont modifiées en reprenant la formulation de l’article 17, paragraphes 4 et suivants de la loi du 17 août 2018 relative à l’archivage. Ainsi, dans un souci de sécurité juridique les dispositions clarifient la répartition des droits et obligations entre le Commissariat et les organismes du secteur public détenant les données en reprenant les dispositions prévues par la loi du 17 août 2018 précitée. En ce qui concerne le nouveau paragraphe 3, il convient de soulever que la décision de l’organisme du secteur public de donner son accord ou de refuser de donner son accord à la réutilisation de données constitue une décision administrative susceptible d’un recours devant le tribunal administratif. Le paragraphe 2 prévoit un régime linguistique pour la communication écrite avec le Commissariat à l’instar de ce qui est prévu à l’article 44-5 de la loi modifiée du 5 avril 1993 relative au secteur financier pour les échanges avec la Commission de surveillance du secteur financier. Ainsi, ce paragraphe confirme que la soumission de documents rédigés en anglais est acceptée et reconnaît explicitement au Commissariat le droit de valablement faire usage exclusif de la langue anglaise dans sa communication écrite avec les demandeurs. Amendement n°25 Il est inséré au Titre II, un nouveau Chapitre II intitulé comme suit : « Chapitre II – Point d’information unique » Commentaire Pour le commentaire, il y a lieu de se référer à l’amendement n°1. Amendement n°26 L’article 2 actuel, devenant l’article 15, est amendé comme suit : 1° Il est inséré un paragraphe 1, 2° Au début de la phrase, les termes « Sous l’autorité du » sont remplacés par le terme « Le », les termes « est instauré un » sont remplacés par les termes « assure les missions du », 13 3°Il est inséré un paragraphe 2 qui prend la teneur suivante : «
(2)Les organismes du secteur public communiquent les informations pertinentes au point d’information unique afin de permettre à ce dernier de remplir l’obligation de l’article 8, paragraphe 2, du règlement (UE) 2022/
- » Commentaire : Afin de tenir compte de l’opposition formelle du Conseil d’État dans son avis du 3 juin 2025, toute référence à la création d’un point d’information unique est supprimée du texte. En outre, dans son avis du 3 juin 2025, le Conseil d’Etat a exigé, sous peine d’opposition formelle pour entrave à l’applicabilité directe du règlement (UE) 2022/868, que le projet de loi soit complété par une obligation de communication par les organismes concernés d’une liste des ressources en données disponibles comprenant au minimum la nature des données, leur format et leur taille ainsi que les conditions applicables à leur réutilisation. Cet amendement permet d’apporter des précisions sur les moyens permettant au point d’information unique de mettre à disposition une liste de ressources consultable contenant un aperçu de toutes les ressources en données disponibles tel que prévu à l’article 8, paragraphe 2, du règlement (UE) 2022/
- Amendement n°27 Il est inséré au Titre II, un nouveau Chapitre III intitulé comme suit : « Chapitre III – Autorité compétente en matière de service d’intermédiation de données » Commentaire Pour le commentaire, il y a lieu de référer à l’amendement n°
- Cet amendement tient également compte de l’observation d’ordre légistique concernant la dénomination de l’« Autorité compétente en matière de service d’intermédiation de données ». Amendement n°28 Il est inséré au Titre II, un nouveau Chapitre IV intitulé comme suit : « Chapitre IV – Autorité compétente pour l’enregistrement des organisations altruistes en matière de données » Commentaire Pour le commentaire, il y a lieu de référer à l’amendement n°
- Cet amendement tient également compte de l’observation d’ordre légistique concernant la dénomination de l’« Autorité compétente pour l’enregistrement des organisations altruistes en matière de données ». Amendement n°29 Il est inséré au Titre II, un nouveau Chapitre V qui prend la teneur suivante : « Chapitre V – Contrôle du respect des dispositions » Commentaire 14 L’introduction de ce nouveau Chapitre s’avère nécessaire au regard de l’opposition formelle formulée par le Conseil d’État dans son avis du 3 juin
- En effet, il exige, sous peine d’opposition formelle, « pour entrave à l’applicabilité directe du règlement (UE) 2022/868, l’incorporation d’un régime de sanctions dans le projet de loi sous revue ». Ce nouveau Chapitre vise donc à introduire dans le projet de loi n°8395A, des dispositions encadrant le régime de sanctions applicables en cas de violation d’obligations découlant du règlement (UE) 2022/
- Amendement n°30 Il est inséré un nouvel article 20 qui prend la teneur suivante : « Art. 20.
(1)Dans le cadre de ses pouvoirs visés à l’article 14, paragraphe 4, du règlement (UE) 2022/868, lorsque les prestataires de services d’intermédiation de données ne respectent pas une ou plusieurs exigences énoncées au Chapitre III du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer : 1° de mettre un terme à la violation ; 2° un avertissement ; 3° un blâme.
(2)Dans le cadre d’une violation de l’obligation de notification incombant aux prestataires de services d’intermédiation de données en vertu de l’article 11 du règlement (UE) 2022/868 ou des conditions liées à la fourniture de services d’intermédiation de données en vertu de l’article 12 du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer des amendes administratives à hauteur de 500 à 100.000 euros aux prestataires de services d’intermédiation de données.
(3)La CNPD peut, par voie de décision, infliger au prestataire de services d’intermédiation de données des astreintes jusqu’à concurrence de 250 euros par jour de retard à compter de la date qu’elle fixe dans sa décision, pour le contraindre : 1° à communiquer toute information demandée par la CNPD en vertu de l’article 14, paragraphe 2, du règlement (UE) 2022/868 ; 2° à respecter une demande de cessation prononcée en vertu de l’article 14, paragraphe 4, du règlement (UE) 2022/868.
(4)Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. Commentaire À la suite de l’opposition formelle du Conseil d’Etat concernant l’absence d’un régime de sanctions dans le projet de loi 8395A, telle qu’exposée sous le commentaire de l’amendement n°30, il est introduit un régime de sanction concernant les violations commises par les prestataires de services d’intermédiation. Les dispositions du paragraphe 1 prévoient des mesures appropriées et proportionnées visant à garantir le respect des obligations du Chapitre III du règlement (UE) 2022/868. Ainsi, la 15 CNPD peut imposer aux prestaires de services d’intermédiation de mettre un terme à la violation constatée ou leur imposer un avertissement ou un blâme. Les dispositions des paragraphes 2 à 4 sont une reprise des dispositions de l’article 41 du projet de loi 8395B. Amendement n°31 Il est inséré un nouvel article 21 qui prend la teneur suivante : « Art. 21.
(1)Dans le cadre de ses pouvoirs visés à l’article 24, paragraphe 4, du règlement (UE) 2022/868, lorsque l’organisation altruiste en matière de données reconnue ne respecte pas une ou plusieurs exigences énoncées au Chapitre IV du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer : 1° de mettre un terme à la violation ; 2° un avertissement ; 3° un blâme.
(2)Dans le cadre d’une violation des conditions liées à l’enregistrement en tant qu’organisation altruiste en matière de données reconnue en vertu des articles 18, 20, 21, et 22 du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer des amendes administratives, à hauteur de 500 à 100.000 euros aux organisations altruistes en matière de données.
(3)La CNPD peut, par voie de décision, infliger à l’organisation altruiste en matière de données des astreintes jusqu’à concurrence de 250 euros par jour de retard à compter de la date qu’elle fixe dans sa décision, pour la contraindre : 1° à communiquer toute information demandée par la CNPD en vertu de l’article 24, paragraphe 2, du règlement (UE) 2022/868 ; 2° à respecter une demande de cessation prononcée en vertu de l’article 24, paragraphe 4, du règlement (UE) 2022/868.
(4)Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. Commentaire A la suite de l’opposition formelle du Conseil d’Etat concernant l’absence d’un régime de sanctions dans le projet de loi 8395A, telle qu’exposée sous le commentaire de l’amendement n°30, ces dispositions introduisent un régime de sanction concernant les violations commises par les organisations altruiste en matière de données reconnue. Ces dispositions visent à permettre à la CNPD de : - prendre les mesures appropriées et proportionnées visant à garantir le respect des obligations du Chapitre IV du règlement (UE) 2022/868 ; sanctionner les violations aux conditions liées à l’enregistrement en tant qu’organisation altruiste en matière de données reconnue en vertu des articles 18, 20, 21 et 22 du règlement précité. 16 Amendement n°32 Il est inséré un nouvel article 22 qui prend la teneur suivante : « Art. 22.
(1)Le Commissariat peut par voie de décision, en cas de violation des obligations prévues au chapitre II du DGA relatives aux transferts de données à caractère non personnel vers des pays tiers, imposer : 1° un avertissement ; 2° un blâme ; 3° la révocation de l’autorisation adoptée ; 4° l’exclusion du réutilisateur concerné de la possibilité de présenter des demandes d’accès et de réutilisation de données pendant une période maximale de deux ans ;
(2)Le Commissariat peut décider d’une publication intégrale ou par extraits de la décision. Leur publicité peut être limitée pour tenir compte de l’intérêt légitime des parties et des personnes citées à ce que leurs secrets d’affaires et autres informations confidentielles ne soient pas divulgués. » Commentaire A la suite de l’opposition formelle du Conseil d’Etat concernant l’absence d’un régime de sanctions dans le projet de loi 8395A, telle qu’exposée sous le commentaire de l’amendement n°30, ces dispositions visent à permettre au Commissariat, d’imposer les sanctions y énumérées. Amendement n°33 Il est inséré au Titre II, un nouveau Chapitre V qui prend la teneur suivante : « Chapitre V – Recours » Commentaire Afin de répondre à l’opposition formelle du Conseil d’État dans son avis du 3 juin 2025, il est inséré un nouveau chapitre V permettant d’accueillir les dispositions relatives au recours en réformation dans le projet de loi n°8395A. Amendement n°34 Il est inséré un nouvel article 23 qui prend la teneur suivante : « Art. 23.
(1)Un recours contre les décisions du Commissariat prises en application de la présente loi peut être exercé devant le Tribunal administratif qui statue comme juge du fond.
(2)Un recours contre les décisions de la Commission nationale pour la protection des données prises en application de la présente loi peut être exercé devant le Tribunal administratif qui statue comme juge du fond. » Commentaire 17 Cet amendement permet que le recours en reformation soit déterminé dans le projet de loi n°8395 comme demandé par le Conseil d’État dans son avis du 3 juin
- Amendement n°35 Il est inséré au Titre II, un nouveau Chapitre VI qui prend la teneur suivante : « Chapitre VI – Dispositions finales » Commentaire Amendement n°36 L’article 7 du projet de loi, devenant l’article 24 est modifié comme suit : Il est inséré les termes « portant création du Commissariat du Gouvernement à la souveraineté des données ». Les termes « relative à la désignation des organismes compétents, autorités compétentes et point d’information unique prévus au règlement (UE) 2022/868 » sont supprimés. Commentaire Les modifications apportées tiennent compte des nouvelles dispositions portant création du Commissariat du Gouvernement à la souveraineté des données. Amendement n°37 Dans l’article 3 actuel, devenant l’article 16, le terme « désignée » est supprimé. Commentaire Cet amendement permet de répondre à une observation d’ordre légistique du Conseil d’État dans son avis du 3 juin
- 18