Texte coordonné du projet de loi n° 8395A Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données Titre Ier Chapitre 1er – Commissariat du Gouvernement à la souveraineté des données Chapitre Ier Section 1re – Objet Art. 1er.
(1)Il est créé une administration dénommée « Commissariat du Gouvernement à la souveraineté des données », ci-après « Commissariat ». Le Commissariat est placé sous l’autorité du ministre ayant la Digitalisation dans ses attributions, ci-après « ministre ».
(2)Le Commissariat est dirigé par un commissaire du Gouvernement à la souveraineté des données, ci-après « commissaire ». Le commissaire peut être assisté d’un commissaire adjoint.
(3)lLe Commissariat est composé des départements suivants : 1° le département Délégué à la protection des données du secteur public ; 2° le département Conseil et guidance en gouvernance des données ; 3° l’Autorité luxembourgeoise des données ; 4° le département Affaires générales. Le commissaire arrête les détails d’organisation et les modalités de fonctionnement des départements. 1 Chapitre II Section 2 – Attributions du Commissariat du Gouvernement à la souveraineté des données Section I Sous-section 1re – Attributions du département Délégué à la protection des données du secteur public Art.
- Dans le cadre de ses attributions, lLe département Délégué à la protection des données du secteur public : 1° exerce en cas d’application de l’article 3, alinéa 2, et l’article 4, alinéa 2, des articles 3, alinéa 2, et 4, alinéa 2, les missions du Commissariat désigné comme délégué à la protection des données conformément aux articles 38 et 39 du règlement (UE) 2016/679règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement sur la protection des données) ; 2° assiste les délégués à la protection des données de l’administration étatique. Art.
- Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents désignent un ou plusieurs délégués à la protection des données. Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents, peuvent désigner le Commissariat comme leur délégué à la protection des données. La désignation est notifiée au Commissariat. Art.
- Le Commissariat peut également assurer la fonction de délégué à la protection des données pour les communes. Les collèges des bourgmestre et échevins peuvent désigner le Commissariat comme leur délégué à la protection des données. La désignation est notifiée au Commissariat. Art.
- Dans l’exercice des attributions lui conférées en vertu de l’article 2, lLe Commissariat veille à ce que le département Délégué à la protection des données du secteur public : 1° soit établi de manière à éviter tout conflit d’intérêts avec l’Autorité luxembourgeoise des données ; 2° soit organisé et fonctionne de façon à garantir l'objectivité et l'impartialité de ses activités. ; 3° soit organisé de telle sorte que les personnes exerçant les missions de délégué à la protection des données ne soient pas impliquées dans la prise de décisions concernant la réutilisation de données. 2 Section II Sous-section 2 – Attributions du département Conseil et guidance en gouvernance des données Art.
- Dans le cadre de ses attributions, lLe département Conseil et guidance en gouvernance des données : 1° développe la protection des données à caractère personnel, et dispense des conseils en matière de gouvernance des données et de l’intelligence artificielle au sein de l’administration étatique ; 2° promeut les bonnes pratiques dans les domaines visés au point 1° à travers l’administration étatique ; 3° sensibilise dans les domaines visés au point 1°, les agents de l’État concernés, les entités publiques, les organismes de droit public et le public ; 4° contribue à une mise en œuvre cohérente des politiques dans les domaines visés au point 1° en conseillant, sur demande, les membres du Gouvernement. Le département Conseil et guidance en gouvernance des données et son personnel n’empiètent pas sur l’exercice des missions du département Délégué à la protection des données du secteur public. Section III Sous-section 3 – Attributions de l’Autorité luxembourgeoise des données Art.
- Dans le cadre de ses attributions, lL’Autorité luxembourgeoise des données met en œuvre les missions du Commissariat en tant qu’organisme compétent, conformément à l’article 13 l’article
- Chapitre III Section 3 – Cadre de l’administration Art. 8.
(1)Le cadre du personnel comprend un commissaire du Gouvernement, un commissaire du Gouvernement adjoint à la souveraineté des données nommés par le Grand-Duc sur proposition du Gouvernement en conseil, qui ont le statut de fonctionnaire, ainsi que des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État.
(1)Le cadre du personnel comprend un commissaire du Gouvernement à la souveraineté des données et un commissaire du Gouvernement adjoint à la souveraineté des données nommés par le Grand-Duc sur proposition du Gouvernement en conseil, qui ont le statut de fonctionnaire, ainsi que des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État. 3
(2)Ce cadre peut être complété par des fonctionnaires stagiaires, des employés et salariés de l’État suivant les besoins du service de l’administration et dans la limite des crédits budgétaires.
(3)Les candidats aux fonctions de commissaire du Gouvernement à la souveraineté des données ou de commissaire du Gouvernement adjoint à la souveraineté des données doivent disposer disposent de connaissances spécialisées de la législation et des pratiques de protection et de gouvernance des données et remplir remplissent les conditions d’admission au groupe de traitement A
- Chapitre IV – Dispositions modificatives et transitoires Art.
- Les articles 56 à 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données sont abrogés. Art.
- Le personnel du Commissariat du Gouvernement à la protection des données auprès de l’État est repris dans le cadre du personnel du Commissariat du Gouvernement à la souveraineté des données. Art.
- Toute référence au Commissariat du Gouvernement à la protection des données auprès de l’État, ou au commissaire du Gouvernement à la protection des données auprès de l’État et au commissaire du Gouvernement adjoint à la protection des données auprès de l’État s’entend comme une référence respectivement au Commissariat du Gouvernement à la souveraineté des données, au commissaire du Gouvernement à la souveraineté des données et au commissaire du Gouvernement adjoint à la souveraineté des données. Art.
- Les désignations effectuées sous les articles 57, alinéa 2, et 58, alinéa 2, de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, demeurent valables. Titre II Chapitre 2 – Désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité Chapitre Ier Section 1re – Organisme compétent Art. 139.
(1)Le Commissariat est désigné organisme compétent, conformément à l’article 7, paragraphe 1er, du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance des données et modifiant le règlement (UE) 2018/1727 (règlement sur la 4 gouvernance des données), ci-après « règlement (UE) 2022/868 », habilité, conformément à l’article 7, paragraphe 2, du règlement précité « règlement (UE) 2022/868 précité, à octroyer ou à refuser l’accès aux données et leur réutilisation.
(2)Le Commissariat, après l’accord de l’organisme du secteur public, peut autoriser l’accès aux données et leur réutilisation au sens de l’article 2, paragraphe 2 points 2) et 13) du règlement (UE) 2022/868 précité de données détenues par cet organisme du secteur public lorsque : 1° l’accès aux données et leur réutilisation sont effectués pour une ou plusieurs des finalités suivantes : i). l’analyse statistique ;
- ii)les activités d’éducation, de formation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ; iii) la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
- iv)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de technologies la recherche historique ;
- v)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de produits ; viv) l’évaluation des politiques publiques luxembourgeoises ou européennes ; vii) la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numériques. 2° les données sont anonymisées, pseudonymisées et modifiées, agrégées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à l’accès aux données et leur réutilisation ; 3° l’accès aux données et leur réutilisation se font dans un environnement de traitement sécurisé au sens de l’article 2, point 20°), du règlement (UE) 2022/868 précité mis à disposition par le Commissariat.
(3)L’organisme du secteur public qui détient les données transmet sa décision au Commissariat dans un délai de trois semaines à compter de la transmission de la demande d’accès aux données et de leur réutilisation. Passé ce délai, l’absence de décision de l’organisme du secteur public qui détient les données vaut refus. Art.
- L’organisme du secteur public qui détient les données est réputé être le responsable du traitement pour la mise à la disposition du Commissariat des données demandées en vertu de l’article
- Le Commissariat est réputé être le responsable du traitement des données lorsqu’il accomplit ses tâches en vertu de l’article
- Nonobstant le deuxième alinéa du présent article, le Commissariat est réputé agir en qualité de sous-traitant pour le compte du réutilisateur agissant en tant que responsable du traitement en ce qui concerne le traitement des données en vertu d’une autorisation de 5 traitement de données délivrée au titre de l’article 9 dans l’environnement de traitement sécurisé lorsqu’il fournit des données au moyen de cet environnement. Chapitre II Section 2 – Point d’information unique Art. 1411.
(1)Le ministre assure les missions du point d’information unique conformément à l’article 8 du règlement (UE) 2022/868 précité.
(2)Les organismes du secteur public communiquent les informations visées à l’article 5, paragraphe 1er, et à l’article 8, paragraphe 2, aux articles 5, paragraphe 1er, et 8, paragraphe 2, du règlement (UE) 2022/868 précité au point d’information unique. Chapitre III Section 3 – Autorité compétente en matière de services d’intermédiation de données Art.
- La Commission nationale pour la protection des données, ci-après « CNPD », (CNPD) est l’autorité compétente pour effectuer les tâches liées à la procédure de notification pour les services d’intermédiation des données, telle que visée à l’article 13 du règlement (UE) 2022/868 précité. Chapitre IV Section 4 – Autorité compétente pour l’enregistrement des organisations altruistes en matière de données Art.
- La CNPD est l’autorité compétente responsable du registre public national des organisations altruistes en matière de données reconnues, tel que visé à l’article 23 du règlement (UE) 2022/868 précité. La CNPD tient et met à jour régulièrement le registre public national des organisations altruistes en matière de données reconnues, conformément à l’article 17, paragraphe 1er, du règlement (UE) 2022/868 précité. Chapitre V Section 5 – Sanctions administratives Art. 1714.
(1)Dans le cadre de ses pouvoirs visés à l’article 14, paragraphe 4, du règlement (UE) 2022/868 précité, lorsque les prestataires de services d’intermédiation de données ne respectent pas une ou plusieurs exigences énoncées au chapitre III du règlement (UE) 2022/868 précité, la CNPD peut, par voie de décision, imposer : 1° de mettre un terme à la violation ; 2° un avertissement ; 3° un blâme.
(2)Dans le cadre d’infractions aux exigences liées à l’obligation de notification au sens de l’article 11 du règlement (UE) 2022/868 précité et à l’obligation de fourniture de services 6 d’intermédiation de l’article 12 aux exigences liées à la fourniture de services d’intermédiation de données au sens des articles 12 et 31, paragraphes 3 à 5, du règlement (UE) 2022/868 précité, la CNPD peut, par voie de décision, imposer des amendes administratives à hauteur de 500 à 100. 000 euros aux prestataires de services d’intermédiation de données.
(3)La CNPD peut, par voie de décision, infliger au prestataire de services d’intermédiation de données des astreintes jusqu’à concurrence de 250 euros par jour de retard à compter de la date qu’elle fixe dans sa décision, pour le contraindre : 1° à communiquer toute information demandée par la CNPD en vertu de l’article 14, paragraphe 2, du règlement (UE) 2022/868 précité ; 2° à respecter une demande de cessation prononcée en vertu de l’article 14, paragraphe 4, du règlement (UE) 2022/868 précité.
(4)Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. Art. 1815.
(1)Dans le cadre de ses pouvoirs visés à l’article 24, paragraphe 4, du règlement (UE) 2022/868 précité, lorsque l’organisation altruiste en matière de données reconnue ne respecte pas une ou plusieurs exigences énoncées au chapitre IV du règlement (UE) 2022/868 précité, la CNPD peut, par voie de décision, imposer : 1° de mettre un terme à la violation ; 2° un avertissement ; 3° un blâme.
(2)Dans le cadre d’une violation des conditions liées à l’enregistrement en tant qu’organisation altruiste en matière de données reconnue en vertu des articles 18, 20, 21, et 22 du règlement (UE) 2022/868, la CNPD peut Dans le cadre d’une violation des conditions énoncées aux articles 18 à 21 et à l’article 31, paragraphes 3 à 5, du règlement (UE) 2022/868 précité et liées à l’enregistrement et aux activités d’une organisation altruiste en matière de données reconnue, la CNPD peut, par voie de décision, imposer des amendes administratives, à hauteur de 500 à 100. 000 euros aux organisations altruistes en matière de données.
(3)La CNPD peut, par voie de décision, infliger à l’organisation altruiste en matière de données des astreintes jusqu’à concurrence de 250 euros par jour de retard à compter de la date qu’elle fixe dans sa décision, pour la contraindre : 1° à communiquer toute information demandée par la CNPD en vertu de l’article 24, paragraphe 2, du règlement (UE) 2022/868 précité ; 2° à respecter une demande de cessation prononcée en vertu de l’article 24, paragraphe 4, du règlement (UE) 2022/868 précité.
(4)Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. 7 Art. 1916.
(1)Le Commissariat peut, par voie de décision, en cas de violation des obligations prévues au chapitre II et à l’article 31 du règlement (UE) 2022/868 précité relatives aux transferts de données à caractère non personnel vers des pays tiers, imposer : 1° de mettre un terme à la violation ; 2° un avertissement ; 3° un blâme ; 4° la révocation de l’autorisation adoptée ; 5° l’exclusion du réutilisateur concerné de la possibilité de présenter des demandes d’accès aux données et de leur réutilisation pendant une période maximale de deux ans.
(2)Dans le cadre d’une violation des articles 5, paragraphe 14, et 31, paragraphes 3 à 5, du règlement (UE) 2022/868 précité, le Commissariat peut, par voie de décision, imposer des amendes administratives à hauteur de 500 à 100 000 euros à une personne physique ou morale à laquelle le droit de réutilisation des données a été accordé. L’Administration de l’enregistrement, des domaines et de la TVA est chargée du recouvrement de ces amendes comme en matière de droits d’enregistrement.
(23)Le Commissariat peut décider d’une publication intégrale ou par extraits de la décision. Leur publicité Cette publication peut être limitée pour tenir compte de l’intérêt légitime des parties et des personnes citées à ce que leurs secrets d’affaires et autres informations confidentielles ne soient pas divulgués. Chapitre VI Section 6 – Recours Art. 2017.
(1)Contre les décisions prises par le Commissariat en vertu application de la présente loi, un recours en réformation est ouvert devant le Tribunal administratif.
(2)Contre les décisions prises par la Commission nationale pour la protection des données CNPD en vertu application de la présente loi, un recours en réformation est ouvert devant le Tribunal administratif. Chapitre 3 – Dispositions modificatives, transitoires et finales Section 1re – Dispositions modificatives Art.
- Les articles 56 à 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données sont abrogés. 8 Section 2 – Dispositions transitoires Art.
- Le personnel du Commissariat du Gouvernement à la protection des données auprès de l’État est repris dans le cadre du personnel du Commissariat. Art.
- Toute référence au Commissariat du Gouvernement à la protection des données auprès de l’État, au commissaire du Gouvernement à la protection des données auprès de l’État et au commissaire du Gouvernement adjoint à la protection des données auprès de l’État s’entend comme une référence respectivement au Commissariat du Gouvernement à la souveraineté des données, au commissaire du Gouvernement à la souveraineté des données et au commissaire du Gouvernement adjoint à la souveraineté des données. Art.
- Les désignations effectuées sous les articles 57, alinéa 2, et 58, alinéa 2, de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données demeurent valables. Chapitre VII Section 3 – Dispositions finales Art.
- La référence à la présente loi se fait sous la forme suivante : « loi du […] portant création du Commissariat du Gouvernement à la souveraineté des données ». 9