Projet de loi relative à la désignation des organismes et autorités compétents et au point d’information uniquement prévus aux articles 7, 8, 13 et 23

CONSEIL D’ÉTAT =============== N° CE : 62.142 N° dossier parl. : 8395A Projet de loi relative à la désignation des organismes et autorités compétents et au point d’information uniquement prévus aux articles 7, 8, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) Avis du Conseil d’État (3 juin 2025) En vertu de l’arrêté du 11 juin 2024 du Premier ministre, le Conseil d’État a été saisi pour avis du projet de loi sous rubrique, élaboré par la ministre de la Digitalisation. Au texte du projet de loi étaient joints un exposé des motifs, un commentaire des articles, une fiche financière, une fiche d’évaluation d’impact ainsi qu’un « check de durabilité – Nohaltegkeetscheck ». Les avis de la Chambre des fonctionnaires et employés publics, de la Chambre des salariés, de l’Ordre des architectes et des ingénieurs-conseils et de la Commission nationale pour la protection des données ont été communiqués au Conseil d’État en date respectivement des 23 octobre, 25 octobre, 30 octobre et 23 décembre

1. Les avis de la Chambre de commerce, de la Chambre des métiers, du Syndicat des villes et communes luxembourgeoises et de la Chambre d’agriculture ont été communiqués au Conseil d’État en date respectivement des 6 janvier, 7 janvier, 2 avril et 15 mai
2. Par dépêche du 22 avril 2025 du président de la Chambre des députés, le Conseil d’État a été informé de la scission du projet de loi initial en deux projets de loi distincts et a été saisi d’une série d’amendements auxdits nouveaux projets de loi nos 8395A et 8395B, adoptés par la Commission de l’enseignement supérieur, de la recherche et de la digitalisation, ci-après « Commission », lors de sa réunion du 22 avril
3. Au texte des amendements étaient joints des observations préliminaires, un commentaire pour chaque amendement, un tableau de concordance du projet de loi n° 8395B ainsi que les textes coordonnés des projets de loi nos 8395A et 8395B. Le présent avis traite uniquement du projet de loi n° 8395A, en se basant sur le texte amendé tel qu’issu de la dépêche du 22 avril
4. Considérations générales Le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données), ci-après « règlement (UE) 2022/868 », que le projet de loi amendé sous avis entend mettre en œuvre, a pour objectif d’établir un cadre européen harmonisé pour le partage et la mise en commun, dans le marché intérieur, de données dites protégées au sens de l’article
5. Il prévoit notamment des conditions pour la réutilisation de données protégées détenues par des organismes du secteur public, pour la notification et la surveillance de prestataires de services d’intermédiation de données et pour l’enregistrement volontaire d’entités qui traitent des données à des fins altruistes. Les amendements déposés par les auteurs visent à scinder le projet de loi initial n° 83951 en deux parties au vu de « l’urgence de notifier les différents organismes et autorités compétents prévus au règlement (UE) 2022/868 à la Commission européenne [qui] insiste que ces organismes et autorités, qui auraient déjà dû lui être notifiés le 24 septembre 2023, [soient] communiqués dans les meilleurs délais ». Le Conseil d’État rappelle que le projet de loi initial n° 8395 – qui n’a été déposé que le 11 juin 2024 – constituait une réforme de grande envergure en matière de traitement des données à caractère personnel par les « entités publiques »
6. Il avait ainsi pour but non seulement de mettre en œuvre le règlement (UE) 2022/868, mais également d’introduire, en droit luxembourgeois, une obligation générale de transmission des informations et des données à caractère personnel entre les entités publiques (principe « once only ») et de créer un cadre pour la réutilisation et le traitement ultérieur de données du secteur public au sens large, en mélangeant, en partie indistinctement, les dispositions à visées divergentes. Le projet de loi n° 8395A sous avis vise dorénavant à mettre en œuvre certaines dispositions du règlement (UE) 2022/868, en se limitant à désigner ou créer les organismes compétents visés par le règlement précité et leurs pouvoirs. Cette approche appelle plusieurs observations. Tout d’abord, la loi modifiée du 14 septembre 2018 relative à une administration transparente et ouverte prévoit un droit d’accès des personnes 1 Projet de loi n° 8395 1) relatif à la valorisation des données dans un environnement de confiance ; 2) relatif à la mise en œuvre du principe « once only » ; 3) relatif à la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4) relatif à la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). 2 En vertu de l’article 2, paragraphe 2, point 3°, alinéa 1er, du projet de loi n° 8395B, qui reprend la définition d’« entité publique » du projet de loi initial n° 8395, cette expression revête une interprétation très large qui dépasse celle d’« organisme du secteur public » du règlement (UE) 2022/
7. Selon le point 3°, la notion d’« entité publique » signifie : « un Ministère, y compris ses services, une administration ou une commune luxembourgeoise, ainsi que les établissements publics luxembourgeois, les groupements d’intérêt économique et les personnes morales d’utilité publique listés expressément par règlement grand-ducal aux fins d’application des dispositions des titres IV et V ». 2 physiques et morales aux documents détenus par les administrations et autres entités désignées par la loi qui fournissent des services publics3, dans la mesure où les documents sont relatifs à l’exercice d’une activité administrative
8. Le Conseil d’État attire toutefois l’attention des auteurs sur le fait que l’article 1er, paragraphe 2, de la loi précitée de 2018 exclut du droit d’accès les documents relatifs au « respect de la vie privée », « à des droits de propriété intellectuelle » ou « à un secret ou une confidentialité protégés par la loi » et « au caractère confidentiel des informations commerciales et industrielles »
9. Les documents touchant à ces matières, qui sont donc exclus du droit d’accès aux documents, sont pourtant visés par la loi en projet sous revue, qui a pour objet de mettre en œuvre les conditions de réutilisation de données dites « protégées », qui relèvent quant à eux précisément de ces mêmes matières conformément au règlement (UE) 2022/
10. Bien que la loi précitée de 2018 vise des « documents » et que le règlement précité vise des « catégories de données », les concepts de « documents » et de « données » peuvent se recouper, partiellement voire totalement, en particulier dans un environnement numérique. Or, en cas de recoupement, le Conseil d’État considère que la loi précitée du 14 septembre 2018 risque de porter entrave à l’accès aux fins de la réutilisation des données dites « protégées » détenues par les organismes du secteur public. Par conséquent, la loi en projet pourrait ne pas atteindre l’objectif poursuivi de permettre la réutilisation de données « protégées » et donc rester lettre morte. Il appartient pourtant au législateur de définir un cadre juridique clair pour l’autorisation ou le refus de la réutilisation de données en veillant à la cohérence des différentes dispositions nationales applicables. Le Conseil d’État demande dès lors de clarifier ce cadre. Ensuite, le Conseil d’État note que, contrairement notamment au régime belge de sanctions administratives6, le projet de loi sous rubrique ne prévoit aucun régime de sanction7, alors qu’en vertu de l’article 34 du règlement (UE) 2022/868, « [l]es États membres déterminent le régime des sanctions applicables aux violations des obligations relatives aux transferts de données à caractère non personnel vers des pays tiers […], de l’obligation de notification incombant aux prestataires de service d’intermédiation de données […], des conditions liées à la fourniture de services d’intermédiation de données […] et des conditions liées à l’enregistrement en tant qu’organisation altruiste en matière de données ». L’article 14, paragraphe 4, point a) et l’article 24, paragraphe 4, du règlement précité prévoient également non seulement l’imposition de sanctions administratives financières, mais également d’astreintes et de toutes mesures appropriées et proportionnées pour garantir le respect des dispositions. En l’absence de sanctions effectives, proportionnées et dissuasives, la mise en œuvre du règlement (UE) 2022/868 reste incomplète. Le Conseil d’État rappelle qu’en vertu des articles 4, paragraphe 3, du Traité sur l’Union européenne, et 291 du Traité sur le fonctionnement de l’Union européenne, les États membres 3 Les organismes visés sont notamment les administrations et services de l’État, les communes, les syndicats de communes, les établissements publics placés sous la tutelle de l’État ou sous la surveillance des communes ainsi que les personnes morales fournissant des services publics. 4 Article 1er, paragraphe 1er, de la loi précitée du 14 septembre
11. 5 Article 1er, paragraphe 2, de la loi précitée du 14 septembre
12. 6 Articles 26 et suivants de la loi belge du 15 mai 2024 mettant en œuvre le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/
13. 7 Le projet de loi n° 8395B reprend l’article 43 du projet initial, devenant l’article 41, qui prévoit seulement un régime de sanction partiel qui ne répond pas aux exigences de l’article 34 du règlement (UE) 2022/
14. 3 prennent les mesures législatives, réglementaires, administratives et financières nécessaires pour que les dispositions d’un acte de l’Union européenne soient effectivement appliquées. Il exige dès lors, sous peine d’opposition formelle, pour entrave à l’applicabilité directe du règlement (UE) 2022/868, l’incorporation d’un régime de sanctions dans le projet de loi sous revue. Par ailleurs, concernant les voies de recours, le Conseil d’État constate que l’article 38 du projet de loi initial8 n’a pas été intégré dans le projet de loi sous rubrique, mais qu’il continue de figurer dans le projet de loi n° 8395B. Il demande que le recours en réformation contre toutes les décisions prises en exécution du règlement (UE) 2022/868 soit déterminé dans le projet de loi sous examen. Enfin, le Conseil d’État constate que le projet de loi sous examen ne prévoit pas de dispositions de mise en œuvre de l’article 6 du règlement (UE) 2022/868 relatif à la possibilité pour les organismes du secteur public de percevoir des redevances pour autoriser la réutilisation des données visées. Il attire l’attention des auteurs sur le fait que, malgré les coûts significatifs potentiellement engendrés, les organismes compétents désignés par le projet de loi sous rubrique ne pourront dès lors pas percevoir de redevances tant que les critères et la méthode de calcul desdites redevances ne sont pas « arrêtés […] et publiés » conformément à l’article précité du règlement. Examen des articles Article 1er L’article 1er du projet de loi sous avis reprend, tout en le reformulant, l’article 4, paragraphes 1er et 2, du projet de loi initial. La disposition sous examen désigne comme organe compétent au sens de l’article 7, paragraphe 1er, du règlement (UE) 2022/868, le Commissariat du Gouvernement à la protection des données auprès de l’État, ci-après « Commissariat », qui a été créé par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, sous l’autorité du Premier ministre. L’article sous examen prévoit en outre que « [l]e Commissariat du Gouvernement à la protection des données auprès de l’État est […] habilité, conformément à l’article 7, paragraphe 2, du même règlement, à octroyer ou à refuser l’accès aux fins de la réutilisation des données ». Dans ce contexte, l’article 7, paragraphe 1er, seconde phrase, du règlement (UE) 2022/868 laisse le choix aux États membres soit d’établir un ou plusieurs nouveaux organismes compétents soit de s’appuyer sur un ou 8 Art. 38 : « Un recours contre les décisions de l’Autorité des données peut être exercé devant le Tribunal administratif qui statue comme juge du fond. » Il y a lieu de rappeler au regard de la formulation de cette disposition introduisant un recours en réformation qu’il est indiqué d’employer la formule suivante : « Contre les décisions prises par [le Commissariat] en vertu du [paragraphe/article], un recours en réformation est ouvert devant le Tribunal administratif », en écartant des formules utilisant l’expression de « recours devant le tribunal administratif qui statue comme juge du fond ». 4 plusieurs organismes existants, tandis que le paragraphe 2 du même article prévoit la faculté pour les États membres d’habiliter les organismes compétents à octroyer ou refuser l’accès aux fins de la réutilisation des catégories de données visées. À première vue, le Commissariat pourrait donc, en théorie, être désigné comme organisme compétent au sens de l’article 7 du règlement (UE) 2022/868 et être habilité de prendre les décisions concernant l’accès aux fins de la réutilisation des données. Ce constat appelle quatre observations. Premièrement, le Conseil d’État note, à titre liminaire, que l’article 7, paragraphe 2, du règlement (UE) 2022/868 précité ne prévoit pas une obligation, mais simplement une faculté au profit des Etats membres d’habiliter les organismes compétents à octroyer ou à refuser l’accès aux fins de la réutilisation des données. En effet, selon le paragraphe 1er du même article, les organismes compétents peuvent également être seulement désignés « pour aider les organismes du secteur public qui octroient ou refusent l’accès à la réutilisation » des données. Deuxièmement, quant au choix des auteurs de doter le Commissariat du pouvoir de prendre les décisions concernant l’accès aux fins de la réutilisation des données, le Conseil d’État rappelle que le règlement (UE) 2022/868 s’applique sans préjudice du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après « RGPD », qui détermine les missions et obligations tant du responsable de traitement que du délégué à la protection des données. Le Conseil d’État constate que le projet de loi sous revue reste muet en ce qui concerne la question de la responsabilité des traitements des données à caractère personnel. Néanmoins, l’article 37 du projet de loi initial, qui a été repris dans le projet de loi n° 8395B, prévoit quant à lui que « les organismes du secteur public détenant les données ont la qualité de responsable de traitement pour la mise à disposition des données à caractère personnel sollicitées à l’Autorité des données [le Commissariat] »9 et que le Commissariat « a la qualité de responsable du traitement pour le traitement de données à caractère personnel pour l’accomplissement des missions conformément à la présente loi ». Compte tenu du pouvoir de décision sur les réutilisations de données du Commissariat et des dispositions précitées, il y a lieu de constater que le Commissariat est responsable du traitement des données à caractère personnel concernant la réutilisation des données soumise à autorisation en application du règlement (UE) 2022/
15. Ce constat est encore corroboré par l’article 31, paragraphe 6, du projet de loi n° 8395B, qui prévoit une obligation à la charge des organismes du secteur public de mettre à disposition du Commissariat les données visées par l’autorisation de réutilisation. Dans ce contexte, le Conseil d’État rappelle qu’en application des articles 57, alinéa 2, et 58, alinéa 1er, de la loi précitée du 1er août 2018, le 9 L’« Autorité des données » est le Commissariat, en vertu de l’article 2, paragraphe 1er, point 2°, du projet de loi n 8395B. 5 o Commissariat exerce en outre la fonction de délégué à la protection des données, ci-après « DPD », pour de nombreux organismes du secteur public. Or, il ressort du RGPD que les fonctions et missions de DPD, telles que déterminées dans ses articles 37 à 39, sont incompatibles avec une fonction décisionnelle en matière de traitement des données10, le DPD devant agir de manière indépendante et libre de tout conflit d’intérêts. Il résulte des articles précités que la mission principale d’un DPD est de conseiller et de contrôler les traitements de données à caractère personnel mis en œuvre par le ou les responsables du traitement qui l’ont désigné. Un DPD ne saurait donc déterminer les finalités et moyens du traitement de données11, en agissant luimême en tant que responsable de traitement qu’il est censé conseiller. En effet, si l’article 38, paragraphe 6, du RGPD autorise le DPD à « exécuter d’autres missions et tâches, [l]e responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts ». Sur base de ce qui précède, le Conseil d’État doit dès lors s’opposer formellement à l’article 1er du projet de loi pour contrariété à l’article 38, paragraphe 6, du RGPD dans les cas où le Commissariat assure le rôle de DPD en plus de celui de responsable du traitement. Troisièmement, les articles 22, paragraphe 1er, point 2°, et 23, paragraphe 1er, point 2°, du projet de loi n° 8395B subordonnent l’accès du réutilisateur aux données et la réutilisation de ces dernières à l’« accord de principe à la mise à disposition » de l’organisme du secteur public détenant les données. Cet accord de principe soulève également plusieurs observations dans le cadre du projet de loi sous examen. Tout d’abord, le Conseil d’État renvoie à ses observations concernant l’exclusion du droit d’accès de documents contenant des données « protégées » prévue par la loi précitée du 14 septembre 2018 qui lie les organismes du secteur public détenant ces données. Il se demande dans ce cadre si ces organismes seront en mesure de donner un quelconque accord de principe compte tenu de l’exclusion précitée. Ensuite, la question se pose de la signification de l’accord de principe précité. Un accord pour la réutilisation de données nécessite en principe une analyse préliminaire de conformité légale par les organismes du secteur public détenant ces données. Dans ce cadre, le Conseil d’État s’interroge sur la signification exacte du terme « accord de principe », mais aussi sur l’articulation d’un tel accord (ou refus d’accord) avec la décision d’autorisation ou de refus de la réutilisation du Commissariat. Dans ce contexte, le Conseil d’État donne à considérer que l’article 1er, paragraphe 2, du règlement (UE) 2022/868 prévoit que « [l]e présent règlement ne crée, pour les organismes du secteur public, aucune obligation d’autoriser la 10 A. JASPERS, Y. REIF, « Art. 38 », in Schwartmann, Jaspers, Thüsing, Kugelmann, DS-GVO/BDSG, Heidelberger Kommentar,
16. Aufl., C. F. Müller, Heidelberg 2024, pts. 32 et
17. 11 Commission européenne, Groupe de travail « Article 29 » sur la protection des données, Lignes directrices concernant les délégués à la protection des données (DPD), 16/FR, WP 243 rev.01, confirmées par le Comité européen de la protection des données (EDPB) le 25 mai 2018, p. 19 : « Cela signifie en particulier que le DPD ne peut exercer au sein de l’organisme une fonction qui l’amène à déterminer les finalités et les moyens du traitement de données à caractère personnel. » 6 réutilisation des données et ne [les] libère pas […] des obligations de confidentialité qui leur incombent au titre du droit de l’Union ou du droit national ». En l’absence de toute précision, dans le projet de loi sous revue, concernant un quelconque accord des organismes du secteur public détenant les données, le Conseil d’État constate que le pouvoir de décision du Commissariat risque d’empiéter sur les pouvoirs (et responsabilités) d’organismes du secteur public visés par l’article 2, points 17 et 18, du règlement (UE) 2022/868, y compris les communes et d’autres entités ayant des personnalités juridiques distinctes de celle de l’État. Le Conseil d’État demande, sous peine d’opposition formelle pour cause d’insécurité juridique, de clarifier dans le projet de loi sous revue la répartition des droits et obligations entre le Commissariat et les organismes détenant des données, en prenant notamment en compte l’article 1er, paragraphe 2, du règlement (UE) 2022/868, et les conséquences en termes de recours des personnes concernées et de responsabilités en cas de litige impliquant une réutilisation et un traitement de données non conforme. Quatrièmement, enfin, il convient de veiller à l’articulation cohérente des différents droits de réclamation et de recours, dont ceux en matière de protection des données à caractère personnel et d’accès aux documents administratifs en vertu de la loi précitée de
18. En effet, sans préjudice des recours potentiels contre les décisions rendues par deux organismes publics distincts dans le cadre de la réutilisation de données au sens du règlement (UE) 2022/868, à savoir le Commissariat et, en cas d’accord de principe tel qu’envisagé par le projet de loi n° 8395B, l’organisme du secteur public détenant les données, le Conseil d’État constate l’absence de procédure permettant d’assurer la cohérence de décisions et d’avis rendus par diverses autorités compétentes (dont notamment le Commissariat, la Commission nationale pour la protection des données et la Commission d’accès aux documents13) dans le cadre de la même réutilisation de données, ce qui risque d’aboutir à des décisions contradictoires. Article 2 L’article 2 reprend, tout en le reformulant, l’article 7, paragraphe 1er, du projet de loi initial, et vise à instaurer un point d’information unique sous l’autorité du ministre ayant la Digitalisation dans ses attributions, en vue de mettre en œuvre l’article 8 du règlement (UE) 2022/
19. Conformément à ce dernier article, directement applicable en droit national, le point d’information unique est compétent pour recevoir les demandes d’informations ou de réutilisation et les transmettre aux organismes du secteur public compétents. 12 Le Conseil d’État attire notamment dans ce cadre l’attention sur le fait que l’article 7 de la loi belge précitée de 2024 mettant en œuvre le règlement (UE) 2022/868 prévoit un premier recours devant la commission fédérale instituée en vertu de la loi sur les données ouvertes et à la réutilisation des informations du secteur public (l’équivalent de la Commission d’accès aux documents au Luxembourg). 13 Voir encore le conseil consultatif de la valorisation des données dans un environnement de confiance instauré par l’article 8 du projet de loi n° 8395B. 7 Le règlement prévoit que les États membres peuvent soit créer un nouvel organisme en tant que point d’information, soit désigner un organisme existant. Le Conseil d’État note que le projet de loi sous examen ne prévoit aucune disposition relative au cadre du personnel ni à l’organisation ni au fonctionnement de l’organisme nouvellement créé. Il en déduit qu’il s’agit en l’espèce non pas d’une administration indépendante, mais d’un service au sein du ministère de la Digitalisation. Le Conseil d’État donne à considérer dans ce cadre que la création d’un service au sein du Ministère relève de la seule compétence du Gouvernement, de sorte que le législateur empiète ici sur l’organisation du Gouvernement. Le Conseil d’État doit dès lors, en l’état actuel du texte, s’opposer formellement à la disposition sous examen pour violation de l’article 92 de la Constitution. Si l’intention des auteurs était de créer un simple service au sein du ministère, le texte sous examen serait à omettre dans son intégralité. Si toutefois l’intention des auteurs était de créer une administration à l’instar notamment du Commissariat, il y aurait lieu d’adapter le projet de loi sous examen en fonction. En outre, le projet de loi sous revue omet de prévoir une obligation de communication, par les divers organismes du secteur public concernés, de leurs ressources en données disponibles au point d’information unique. Or, l’article 8 précité, qui prévoit que « toutes les informations pertinentes concernant l’application des articles 5 et 6 [doivent être] disponibles et facilement accessibles par l’intermédiaire d’un point d’information unique », suppose que ce dernier dispose de ces informations
20. Le Conseil d’État exige par conséquent, sous peine d’opposition formelle pour entrave à l’applicabilité directe du règlement (UE) 2022/868, que le projet de loi sous examen soit complété par une obligation de communication par les organismes concernés d’une liste des ressources en données disponibles comprenant au minimum la nature des données, leur format et leur taille ainsi que les conditions applicables à leur réutilisation. Article 3 L’article 3 reprend l’article 39 du projet de loi initial en y apportant des adaptations mineures et désigne la CNPD comme autorité compétente en matière d’intermédiation de données, conformément à l’article 13 du règlement (UE) 2022/
21. L’article n’appelle pas d’observation. 14 À titre d’exemple, voir l’article 6, alinéa 1er, de la loi belge du 15 mai 2024 mettant en œuvre le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 : « Sans préjudice de leurs obligations visées à l’article 5, paragraphes 2 à 11, du règlement 2022/868, les organismes du secteur public, afin de remplir l’obligation visée à l’article 5, paragraphe 1, du règlement 2022/868, communiquent les informations pertinentes au point d’information unique tel que visé à l’article 8, paragraphe 1, du règlement 2022/868, via les canaux que ce dernier met à disposition à cet effet. » 8 Article 4 L’article 4 reprend l’article 40 du projet de loi initial relatif aux « pouvoirs » de l’autorité compétente en matière de services d’intermédiation de données et prévoit que « la CNPD dispose des pouvoirs de contrôle, tels que prévus à l’article 14 du règlement (UE) 2022/868 ». Le Conseil d’État rappelle que, selon l’article 288, alinéa 2, du Traité sur le fonctionnement de l’Union européenne, le règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre. L’applicabilité directe d’un règlement exige que son application en faveur ou à la charge des sujets de droit se réalise sans aucune mesure nationale, sauf si le règlement en cause laisse le soin aux États membres de prendre eux-mêmes les mesures législatives, réglementaires, administratives et financières nécessaires pour que les dispositions dudit règlement puissent être effectivement appliquées
22. Il note, dans ce contexte, que l’article 14 du règlement (UE) 2022/868 définit les pouvoirs de contrôle de l’autorité compétente en matière des services d’intermédiation de données de manière claire et précise et ne demande ainsi pas de mise en œuvre en droit national à cet égard. En revanche, l’article 14, paragraphe 4, du règlement (UE) 2022/868, auquel l’article sous examen fait référence, suppose l’existence en droit interne d’un régime de sanctions financières dissuasives en cas de non-respect des exigences applicables aux services d’intermédiation de données. Le Conseil d’État relève à cet égard que les pouvoirs, procédures et sanctions définis dans la loi précitée du 1er août 2018 ne s’appliquent pas dans le cadre du règlement (UE) 2022/
23. Tel qu’évoqué dans les considérations générales, le projet de loi sous revue omet de définir le régime de sanctions imposables par la CNPD dans le cadre de ses nouvelles missions, ce qui entrave l’applicabilité directe de l’article 14 du règlement (UE) 2022/
24. Le Conseil d’État exige dès lors, sous peine d’opposition formelle, que le projet de loi soit complété à cet égard. Article 5 L’article 5 reprend l’article 44 du projet de loi initial et désigne la CNPD comme autorité compétente pour l’enregistrement des organisations altruistes en matière de données, en vue de mettre en œuvre l’article 23 du règlement (UE) 222/
25. Il n’appelle pas d’observation. Article 6 L’article 6 reprend l’article 45 du projet de loi initial relatif aux « pouvoirs » de l’autorité compétente en matière de l’enregistrement des organisations altruistes en matière de données et prévoit que « la CNPD dispose des pouvoirs de contrôle, tels que prévus à l’article 24 du règlement (UE) 2022/868 ». 15 En ce sens, CJUE, arrêts du 9 février 2017, M.S. / P. S, C-283/16, EU:C:2017:104, pts 47 et s. ; du 15 novembre 2012, Stichting Al-Aqsa / Conseil de l’Union européenne et Pays-Bas / Stichting Al-Aqsa, C-539/10 P, EU:C:2012:711, pt 85 ; et du 24 juin 2004, Handlbauer, C-278/02, EU:C:2004:388, pt
26. 9 L’article 24, paragraphe 4, du règlement (UE) 2022/868, auquel l’article sous examen fait référence, suppose l’existence en droit interne de mesures appropriées et proportionnées que la CNPD peut prendre en cas de nonrespect des exigences applicables aux organisations altruistes en matière de données reconnues. Le projet de loi sous examen reste toutefois muet à cet égard. Le Conseil d’État renvoie à ses observations formulées à l’endroit de l’article 4 du projet de loi sous avis concernant l’entrave à l’applicabilité directe du règlement précité et exige, sous peine d’opposition formelle, que le projet de loi soit complété en prévoyant un régime de mesures. Article 7 Sans observation. Observations d’ordre légistique Intitulé Dans un souci de mieux cerner l’objet de la loi en projet sous revue, le Conseil d’État recommande de reformuler l’intitulé comme suit : « Projet de loi relative à la désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et au point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité ». En tout état de cause, il y a lieu de remplacer le terme « uniquement » par le terme « unique ». Article 1er S’agissant d’un alinéa unique, il faut omettre l’indication de paragraphe «