Texte coordonné du projet de loi n°8395A Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données Titre Ier – Commissariat du Gouvernement à la souveraineté des données Chapitre Ier – Objet Art. 1er.
(1)Il est créé une administration dénommée « Commissariat du Gouvernement à la souveraineté des données », ci-après « Commissariat ». Le Commissariat est placé sous l’autorité du ministre ayant la Digitalisation dans ses attributions, ci-après « ministre ».
(2)Le Commissariat est dirigé par un commissaire du Gouvernement à la souveraineté des données, ci-après « commissaire ». Le commissaire peut être assisté d’un commissaire adjoint.
(3)le Commissariat est composé des départements suivants : 1° le département Délégué à la protection des données du secteur public ; 2° le département Conseil et guidance en gouvernance des données ; 3° l’Autorité luxembourgeoise des données ; 4° le département Affaires générales. Le commissaire arrête les détails d’organisation et les modalités de fonctionnement des départements. Chapitre II – Attributions du Commissariat du Gouvernement à la souveraineté des données Section I – Attributions du département Délégué à la protection des données du secteur public Art.
- 1 Dans le cadre de ses attributions, le département Délégué à la protection des données du secteur public : 1° remplit en cas d’application de l’article 3, alinéa 2, et l’article 4, alinéa 2, la fonction de délégué à la protection des données telle que définie à l’article 38 du règlement (UE) 2016/679 avec les missions décrites à l’article 39 du règlement (UE) 2016/679 ; 2° assiste les délégués à la protection des données de l’administration étatique ; Art.
- Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents désignent un ou plusieurs délégués à la protection des données. Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents, peuvent désigner le Commissariat comme leur délégué à la protection des données. La désignation est notifiée au Commissariat. Art.
- Le Commissariat peut également assurer la fonction de délégué à la protection des données pour les communes. Les collèges des bourgmestre et échevins peuvent désigner le Commissariat comme leur délégué à la protection des données. La désignation est notifiée au Commissariat. Art.
- Dans l’exercice des attributions lui conférées en vertu de l’article 2, le Commissariat veille à ce que le département Délégué à la protection des données du secteur public : 1° soit établi de manière à éviter tout conflit d’intérêts avec l’Autorité luxembourgeoise des données ; 2° soit organisé et fonctionne de façon à garantir l'objectivité et l'impartialité de ses activités. Section II – Attributions du département Conseil et guidance en gouvernance des données Art.
- Dans le cadre de ses attributions, le département Conseil et guidance en gouvernance des données : 1° développe la protection des données à caractère personnel, et dispense des conseils en matière de gouvernance des données et de l’intelligence artificielle au sein de l’administration étatique ; 2° promeut les bonnes pratiques dans les domaines visés au point 1° à travers l’administration étatique ; 2 3° sensibilise dans les domaines visés au point 1°, les agents de l’État concernés, les entités publiques, les organismes de droit public et le public ; 4° contribue à une mise en œuvre cohérente des politiques dans les domaines visés au point 1° : a) en proposant au Gouvernement des mesures de la conformité des activités de traitement de données des entités de l’administration étatique avec la législation applicable ; b) en proposant au ministre des mesures en matière de politique de traitement ultérieur de données à caractère personnel et d’accès à la réutilisation de données ; c) en guidant et accompagnant les chefs d’administration compétents, les bourgmestres et échevins dans la mise en place des mesures appropriées, de procédures et lignes de conduite pour les agents de l’État ; d) en conseillant, sur demande, les membres du Gouvernement ; 5° collabore étroitement avec le ministre ; 6° fonctionne comme organe de réflexion et d’impulsion dans le domaine de la gouvernance des données et de l’accès et de la réutilisation de données et formule des avis et propositions en la matière au ministre. Section III – Attributions de l’Autorité luxembourgeoise des données Art. 7.
(1)Dans le cadre de ses attributions, l’Autorité luxembourgeoise des données : 1° met en œuvre les missions lui conférées en tant qu’organisme compétent, conformément à l’article 14 de la loi ; 2° collabore étroitement, avec le ministre, le Centre des technologies de l’information de l’État, le tiers de confiance mandaté par le Centre des technologies de l’information de l’État et le groupement d’intérêt économique PNED G.I.E. – plateforme nationale d’échange de données. Chapitre III – Cadre de l’administration Art. 8.
(1)Le cadre du personnel comprend un commissaire du Gouvernement, un commissaire du Gouvernement adjoint à la souveraineté des données nommés par le Grand-Duc sur proposition du Gouvernement en conseil, qui ont le statut de fonctionnaire, ainsi que des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État.
(2)Ce cadre peut être complété par des fonctionnaires stagiaires, des employés et salariés de l’État suivant les besoins du service et dans la limite des crédits budgétaires. 3
(3)Les candidats aux fonctions de commissaire du Gouvernement à la souveraineté des données ou de commissaire du Gouvernement adjoint doivent disposer de connaissances spécialisées de la législation et des pratiques de protection et de gouvernance des données et remplir les conditions d’admission au groupe de traitement A1. Chapitre IV – Dispositions modificatives et transitoires Art. 9. La loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État est modifiée comme suit : 1° L’article 12 est modifié comme suit : (
- a)Au paragraphe 1er, point 8°, les termes « commissaire du Gouvernement adjoint à la protection des données auprès de l’État » sont remplacés par les termes « commissaire du Gouvernement adjoint à la souveraineté des données » ; (
- b)Au paragraphe 1er, point 9°, les termes de « commissaire du Gouvernement à la protection des données auprès de l’État » sont remplacés par les termes « commissaire du Gouvernement à la souveraineté des données » ; 2° L’annexe A – Classification des fonctions – est modifiée comme suit : (
- a)au grade 16, le terme « commissaire du Gouvernement adjoint à la protection des données auprès de l’État » est remplacé par le terme « commissaire du Gouvernement adjoint à la souveraineté des données » ; (
- b)au grade 17, le terme « commissaire du Gouvernement à la protection des données auprès de l’État » est remplacé par le terme « commissaire du Gouvernement à la souveraineté des données » ; 3° L’Annexe B – B2) Allongements – est modifiée comme suit, au paragraphe 1er, le terme « commissaire du Gouvernement adjoint à la protection des données » est supprimé et remplacé par « commissaire du Gouvernement adjoint à la souveraineté des données ». Art. 10. Les articles 56 à 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données sont abrogés. Art. 11. Le personnel du Commissariat du Gouvernement à la protection des données auprès de l’État est repris dans le cadre du personnel du Commissariat du Gouvernement à la souveraineté des données. Art. 12. 4 Toute référence au Commissariat du Gouvernement à la protection des données auprès de l’État ou au commissaire du Gouvernement à la protection des données auprès de l’État s’entend comme une référence au Commissariat du Gouvernement à la souveraineté des données, respectivement au commissaire du Gouvernement à la souveraineté des données. Art. 13. Les désignations effectuées sous les articles 56 à 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, demeurent valables. Titre II – Désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité Chapitre Ier – Organisme compétent Art. 141er. Organismes compétents
(1)Le Commissariat Commissariat du Gouvernement à la protection des données auprès de l’État est désigné organisme compétent, conformément à l’article 7, paragraphe 1er, du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance des données et modifiant le règlement (UE) 2018/1727 (règlement sur la gouvernance des données), dénommé ci-après « règlement (UE) 2022/868 », habilité, conformément à l’article 7, paragraphe 2, du même règlement, à octroyer ou à refuser l’accès aux fins de réutilisation des données.
(2)Les demandeurs et les réutilisateurs font usage dans leur communication écrite avec le Commissariat d’une langue acceptée par le Commissariat. L’usage de la langue luxembourgeoise, française, allemande ou anglaise est accepté dans tous les cas. Le Commissariat peut valablement faire usage exclusif de la langue anglaise dans sa communication écrite avec les demandeurs et les réutilisateurs.
(3)Le Commissariat, après l’accord de l’organisme du secteur public, peut autoriser l’accès et la réutilisation au sens de l’article 2, paragraphe 2, du règlement (UE) 2022/868 de données détenues par cet organisme du secteur public lorsque : 1° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits visés à l’article 3, paragraphe 1er, du règlement (UE) 2022/868 et est effectuée pour une ou plusieurs des finalités suivantes : i. l’analyse statistique ;
- ii)les activités d’éducation, de formation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ; iii) la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
- iv)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de technologies ; 5
- v)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de produits ;
- vi)l’évaluation des politiques publiques luxembourgeoises ou européennes ; vii) la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numériques. 2° les données sont anonymisées, pseudonymisées ou modifiées, agrégées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à l’accès et la réutilisation ; 3° l’accès et la réutilisation se font dans un environnement de traitement sécurisé au sens de l’article 2, point 20°, du règlement (UE) 2022/868 mis à disposition par le Commissariat. 4° l’accès et la réutilisation des données n’entrainent pas un risque pour la défense nationale, la sécurité publique ou l’ordre public.
(4)La demande d’accès et de réutilisation est adressée par le demandeur au Commissariat. La demande doit revêtir une forme écrite et doit contenir les motifs pour lesquels les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies. Elle doit être formulée de façon précise et contenir les éléments permettant d’identifier les données demandées.
(5)L’organisme du secteur public qui détient les données transmet sa décision au Commissariat dans un délai de trois semaines à compter de la transmission de la demande d’accès et de réutilisation. Passé ce délai, l’absence de décision de l’organisme du secteur public qui détient les données vaut refus.
(6)Le demandeur qui se voit opposer un refus d’accès et de réutilisation des données peut saisir pour avis le Conseil consultatif de la valorisation des données visé au paragraphe 6, qui émet un avis quant à la demande d’accès et de réutilisation dans un délai de trois semaines. L’avis est communiqué à l’organisme du secteur public qui détient les données qui est appelé à considérer à nouveau la demande de réutilisation. L’organisme du secteur public émet sa décision finale dans un délai de trois semaines.
(7)Il est institué un Conseil consultatif de la valorisation des données, ci-après « le Conseil consultatif » qui a pour mission de soumettre un avis motivé dans les cas visés au paragraphe
(6). Le Conseil consultatif peut recourir aux services d’experts. Les membres, les experts et le secrétaire ont droit à un jeton de présence dont le montant est fixé par règlement grand-ducal. Le président du Conseil consultatif est désigné parmi ses membres par le ministre. Le secrétariat du Conseil consultatif est assuré par le Commissariat. Le fonctionnement interne du Conseil consultatif est fixé par règlement grand-ducal. Chapitre II – Point d’information unique Art. 152. Point d’information unique 6
(1)Le Sous l’autorité du ministre ayant la Ddigitalisation dans ses attributions assure les missions du est instauré unpoint d’information unique conformément à l’article 8 du règlement (UE) 2022/868.
(2)Les organismes du secteur public communiquent les informations pertinentes au point d’information unique afin de permettre à ce dernier de remplir l’obligation de l’article 8, paragraphe 2, du règlement (UE) 2022/
- Chapitre III – Autorité compétente en matière de services d’intermédiation de données Art.
- Autorité compétente en matière d’intermédiation des données La Commission nationale pour la protection des données, désignée ci-après « CNPD », est l’autorité compétente pour effectuer les tâches liées à la procédure de notification pour les services d’intermédiation des données, telle que visée à l’article 13 du règlement (UE) 2022/
- Art.
- Pouvoirs de l’autorité compétente en matière d’intermédiation des données Dans le cadre des tâches lui assignées à l’article 16, la CNPD dispose des pouvoirs de contrôle tels que prévus à l’article 14 du règlement (UE) 2022/
- Chapitre IV – Autorité compétente pour l’enregistrement des organisations altruistes en matière de données Art.
- Autorité compétente en matière d’altruisme des données La CNPD est l’autorité compétente responsable du registre public national des organisations altruistes en matière de données reconnues, tel que visé à l’article 23 du règlement (UE) 2022/
- La CNPD tient et met à jour régulièrement le registre public national des organisations altruistes en matière de données reconnues, conformément à l’article 17, paragraphe 1er, du règlement (UE) 2022/
- Art.
- Pouvoirs de l’autorité compétente en matière d’altruisme des données Dans le cadre des missions qui lui sont assignées à l’article 18, la CNPD dispose des pouvoirs de contrôle, tels que prévus à l’article 24 du règlement (UE) 2022/
- Chapitre V – Contrôle du respect des dispositions Art. 20.
(1)Dans le cadre de ses pouvoirs visés à l’article 14, paragraphe 4, du règlement (UE) 2022/868, lorsque les prestataires de services d’intermédiation de données ne respectent pas une ou plusieurs exigences énoncées au Chapitre III du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer : 1° de mettre un terme à la violation ; 2° un avertissement ; 3° un blâme. 7
(2)Dans le cadre d’une violation de l’obligation de notification incombant aux prestataires de services d’intermédiation de données en vertu de l’article 11 du règlement (UE) 2022/868 ou des conditions liées à la fourniture de services d’intermédiation de données en vertu de l’article 12 du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer des amendes administratives à hauteur de 500 à 100.000 euros aux prestataires de services d’intermédiation de données.
(3)La CNPD peut, par voie de décision, infliger au prestataire de services d’intermédiation de données des astreintes jusqu’à concurrence de 250 euros par jour de retard à compter de la date qu’elle fixe dans sa décision, pour le contraindre : 1° à communiquer toute information demandée par la CNPD en vertu de l’article 14, paragraphe 2, du règlement (UE) 2022/868 ; 2° à respecter une demande de cessation prononcée en vertu de l’article 14, paragraphe 4, du règlement (UE) 2022/868.
(4)Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. Art. 21.
(1)Dans le cadre de ses pouvoirs visés à l’article 24, paragraphe 4, du règlement (UE) 2022/868, lorsque l’organisation altruiste en matière de données reconnue ne respecte pas une ou plusieurs exigences énoncées au Chapitre IV du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer : 1° de mettre un terme à la violation ; 2° un avertissement ; 3° un blâme.
(2)Dans le cadre d’une violation des conditions liées à l’enregistrement en tant qu’organisation altruiste en matière de données reconnue en vertu des articles 18, 20, 21, et 22 du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer des amendes administratives, à hauteur de 500 à 100.000 euros aux organisations altruistes en matière de données.
(3)La CNPD peut, par voie de décision, infliger à l’organisation altruiste en matière de données des astreintes jusqu’à concurrence de 250 euros par jour de retard à compter de la date qu’elle fixe dans sa décision, pour la contraindre : 1° à communiquer toute information demandée par la CNPD en vertu de l’article 24, paragraphe 2, du règlement (UE) 2022/868 ; 2° à respecter une demande de cessation prononcée en vertu de l’article 24, paragraphe 4, du règlement (UE) 2022/868.
(4)Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. 8 Art. 22.
(1)Le Commissariat peut par voie de décision, en cas de violation des obligations prévues au chapitre II du DGA relatives aux transferts de données à caractère non personnel vers des pays tiers, imposer : 1° un avertissement ; 2° un blâme ; 3° la révocation de l’autorisation adoptée ; 4° l’exclusion du réutilisateur concerné de la possibilité de présenter des demandes d’accès et de réutilisation de données pendant une période maximale de deux ans ;
(2)Le Commissariat peut décider d’une publication intégrale ou par extraits de la décision. Leur publicité peut être limitée pour tenir compte de l’intérêt légitime des parties et des personnes citées à ce que leurs secrets d’affaires et autres informations confidentielles ne soient pas divulgués. Chapitre V – Recours Art. 23.
(1)Un recours contre les décisions du Commissariat prises en application de la présente loi peut être exercé devant le Tribunal administratif qui statue comme juge du fond.
(2)Un recours contre les décisions de la Commission nationale pour la protection des données prises en application de la présente loi peut être exercé devant le Tribunal administratif qui statue comme juge du fond. Chapitre VI – Dispositions finales Art. 247. Intitulé de citation La référence à la présente loi se fait sous la forme suivante : « loi du […] portant création du Commissariat du Gouvernement à la souveraineté des données ». 9