Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents pré

CONSEIL D’ÉTAT =============== N° CE : 62.142 N° dossier parl. : 8395A Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données Avis complémentaire du Conseil d’État (21 octobre 2025) Le Conseil d’État a été saisi pour avis le 13 juin 2025, par le Premier ministre, d’une série de trente-sept amendements gouvernementaux au projet de loi sous rubrique, élaborés par la ministre de la Digitalisation. Une deuxième série de seize amendements gouvernementaux au projet de loi sous rubrique est parvenue au Conseil d’État le 16 juillet 2025, suite à une entrevue avec la ministre de la Digitalisation en date du 2 juillet 2025. Les textes des amendements gouvernementaux étaient accompagnés d’observations préliminaires, d’un commentaire pour chacun des amendements, de textes coordonnés du projet de loi sous avis ainsi que d’un « check de durabilité – Nohaltegkeetscheck » pour chacune des séries. L’avis de la Chambre des métiers et l’avis complémentaire de la Chambre de commerce ont été communiqués au Conseil d’État en date du 13 octobre 2025. Le présent avis se rapporte au texte du projet de loi tel qu’il est issu des deux séries d’amendements gouvernementaux. Pour ce qui est de la numérotation des articles, il se basera sur le texte coordonné communiqué au Conseil d’État en date du 16 juillet 2025. Considérations générales Par le biais des amendements proposés, les auteurs visent à répondre aux observations ainsi qu’aux oppositions formelles formulées par le Conseil d’État dans son avis du 3 juin 2025 concernant le projet de loi sous rubrique. À titre liminaire, le Conseil d’État prend acte des observations préliminaires formulées par les auteurs des amendements gouvernementaux du 13 juin 2025 en ce qui concerne le changement de l’intitulé du projet de loi sous rubrique. Le Conseil d’État note que les amendements gouvernementaux du 13 juin 2025 introduisent de nombreuses nouvelles dispositions dans le projet de loi sous rubrique, qui dépassent ce qui aurait été strictement nécessaire pour répondre aux questions soulevées et aux oppositions formelles émises par le Conseil d’État dans son avis du 3 juin 2025, et pour assurer une mise en œuvre efficace du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données), ci-après « règlement (UE) 2022/868 ». S’y ajoute que les amendements du 13 juin 2025 reprennent, tout en les reformulant, certaines des dispositions du projet de loi n° 8395B. Selon les auteurs, les amendements gouvernementaux du 16 juillet 2025 tendent, dans un souci de « simplification », à « contribuer à une mise en œuvre rapide du règlement (UE) 2022/868 » et visent à supprimer les dispositions introduites dans ledit projet de loi par les amendements gouvernementaux du 13 juin 2025 qui ne s’avèrent pas indispensables à la mise en œuvre effective du règlement (UE) 2022/868. Quant aux dispositions maintenues, le Conseil d’État insiste pour que les auteurs veillent à la cohérence des deux projets de loi n° 8395A et 8395B qui suivent parallèlement le cours de la procédure législative. Plus particulièrement, il estime qu’il convient nécessairement d’adapter le projet de loi n° 8395B en tenant compte des changements d’approche retenus dans le cadre du projet de loi sous examen, en particulier pour ce qui concerne la création d’un commissariat du Gouvernement à la souveraineté des données. De manière générale, le Conseil d’État note que la création de la nouvelle administration « Commissariat du Gouvernement à la souveraineté des données », ci-après « Commissariat », s’accompagne de la disparition du Commissariat du Gouvernement à la protection des données auprès de l’État, en ce que l’article 9 du projet de loi sous avis prévoit l’abrogation des articles 56 à 61 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, par lesquels le Commissariat à la protection des données auprès de l’État a été instauré et s’est vu conférer ses missions. Dans ce cadre, le Conseil d’État observe que la nouvelle dénomination du Commissariat reflète un changement d’approche quant aux principes mêmes du traitement des données à caractère personnel par les services et administrations de l’État. En effet, la mission de la protection des données à caractère personnel sera assurée par un département du Commissariat, tandis que le Commissariat quant à lui sera chargé de promouvoir la « souveraineté » des données. 2 Par ailleurs, quant aux interrogations du Conseil d’État soulevées au regard de l’articulation entre la loi modifiée du 14 septembre 2018 relative à une administration transparente et ouverte, d’un côté, et le projet de loi sous avis, de l’autre, les auteurs des amendements gouvernementaux du 13 juin 2025 expliquent, dans leurs observations préliminaires, que les champs d’application de ces deux textes « sont spécifiques ». Le Conseil d’État ne peut suivre cette lecture restrictive et renvoie aux considérations générales de son avis du 3 juin 2025. En outre, compte tenu de la suppression, par les amendements gouvernementaux 9 et 10 du 16 juillet 2025, des articles 4 et 6 issus des amendements parlementaires du 22 avril 2025, le Conseil d’État est en mesure de lever les oppositions formelles émises à l’endroit de ces articles pour entrave à l’applicabilité directe du règlement (UE) 2022/868. Le Conseil d’État constate encore que, selon l’article 13, paragraphe 2, point 2°, du projet de loi sous examen, le Commissariat, à travers son département « Autorité luxembourgeoise des données », ci-après « ALD », peut autoriser l’accès aux données et leur réutilisation lorsque ces données sont anonymisées ou pseudonymisées. Il relève que l’article 5, paragraphe 3, lettre a), point i), du règlement (UE) 2022/868 prévoit que « [l]es organismes du secteur public veillent à ce que […] le caractère protégé des données soit préservé. Ils peuvent prévoir les exigences suivantes :

1. a)l’accès aux données à des fins de réutilisation n’est octroyé que lorsque l’organisme du secteur public ou l’organisme compétent, à la suite d’une demande de réutilisation, a fait en sorte que les données :
2. i)aient été anonymisées dans le cas des données à caractère personnel ». Le Conseil d’État souligne à cet égard que si l’accès aux données aux fins de leur réutilisation peut également être conféré au regard de données pseudonymisées, le traitement de ces données pseudonymisées, dans la mesure où elles laissent subsister une possibilité d’attribution à une personne concernée 1, entraîne l’application des exigences du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après « RGPD ». Ceci rend nécessaires plusieurs observations et oppositions formelles de la part du Conseil d’État dans le cadre de son examen des articles qui n’auraient pas lieu d’être si l’accès aux données et leur réutilisation se limitaient à des données anonymisées. Finalement, le Conseil d’État signale que l’option privilégiée par les auteurs du projet de loi, qui consiste à désigner le Commissariat comme organisme compétent au sens de l’article 7, paragraphe 1er, du règlement (UE) 2022/868 et de l’habiliter, en surplus, à autoriser ou à refuser l’accès aux données aux fins de leur réutilisation, pose toujours des difficultés au regard de la compatibilité avec le RGPD. Il y reviendra en détail dans le cadre de l’examen des articles. 1 Voir l’article 4, point 5), et le considérant n° 26 du RGPD. 3 Examen des articles Article 1er L’article 1er du projet de loi sous rubrique vise à créer une nouvelle administration, le Commissariat, qui est placée sous l’autorité du ministre ayant la Digitalisation dans ses attributions et qui est composée de quatre départements 2. Selon les auteurs dudit amendement, « cette structuration vise précisément à répondre […] à l’exigence d’indépendance du délégué à la protection des données évoquée par le Conseil d’État dans son avis du 3 juin 2025 ». Dans cet avis, le Conseil d’État avait émis une opposition formelle à l’endroit de l’article 1er, devenu l’article 13 du projet de loi dans la version issue des amendements du 16 juillet 2025, « pour contrariété à l’article 38, paragraphe 6, du [RGPD] ». En effet, cette disposition s’oppose à ce qu’un délégué à la protection des données, ci-après « DPD », qui doit agir de manière indépendante et libre de tout conflit d’intérêts, détermine les finalités et moyens du traitement de données, et assure ainsi le rôle de DPD en plus de celui de responsable du traitement. Le Conseil d’État relève que l’actuel Commissariat du Gouvernement à la protection des données auprès de l’État constitue d’ores et déjà une administration placée sous l’autorité du ministre ayant la Digitalisation dans ses attributions 3 et est déjà subdivisée en quatre départements. L’article 1er se limite ainsi, en substance, à un simple changement de dénomination de l’administration existante et à reprendre, au niveau de la loi et plus précisément en son paragraphe 3, la structuration de l’administration existante, tout en remplaçant le département « Valorisation des données et Once Only » par celui d’ALD. Si la séparation fonctionnelle et organisationnelle de départements au sein d’une administration peut effectivement assurer l’indépendance d’un de ces départements par rapport aux autres départements ou services de la même administration, cette approche appelle, aux yeux du Conseil d’État, les observations suivantes. Premièrement, le Conseil d’État note que les auteurs se sont inspirés des dispositions de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS. Il donne toutefois à considérer que, dans son avis n° 49.404 du 23 octobre 2012 relatif à la loi du 4 juillet 2014 portant réorganisation de l’ILNAS en projet, il avait déjà critiqué que les missions revenant à des organismes impartiaux et indépendants avaient été attribuées à une seule et même administration. En effet, s’il avait considéré qu’« il faut saluer le souci à l’origine de la démarche du Gouvernement de confier à une seule entité administrative un ensemble de tâches plus ou moins complémentaires », il avait notamment souligné qu’« au-delà de l’intérêt d’une démarche rationnelle, le regroupement organique d’activités bute sur un certain nombre d’exigences d’impartialité à respecter dans le cadre de l’organisation envisagée. Le Conseil d’État se demande si la réponse retenue par les auteurs de contourner le problème par des subterfuges organisationnels de compartimentage des activités demeurant pour le reste placés sous l’autorité Les départements « Délégué à la protection des données du secteur public », « Conseil et guidance en gouvernance des données du secteur public », « Autorité luxembourgeoise des données » et « Affaires générales ». 3 Art. 56, alinéa 1er, de la loi du 1er août 2018 précitée. 4 2 d’un seul et même chef d’administration, et rédactionnels, recourant à l’évocation de l’indépendance professionnelle de l’administration compétente, suffit pour résoudre le problème. » Deuxièmement, le Conseil d’État constate que les auteurs visent à assurer l’indépendance du DPD par rapport aux autres départements du Commissariat nouvellement créés. Cette indépendance doit être ancrée à l’article 5. À cet égard, le Conseil d’État renvoie à sa proposition de texte formulée à l’endroit de l’article 5 du projet de loi sous examen. Articles 2 à 4 Sans observation. Article 5 L’article sous examen prévoit des garanties d’indépendance dans le chef du département DPD-SP, de manière à éviter tout « conflit d’intérêts » par rapport aux autres départements du Commissariat et, tout particulièrement, par rapport à l’ALD. Le Conseil d’État demande, sous peine d’opposition formelle pour incohérence, source d’insécurité juridique, que le bout de phrase « Dans l’exercice des attributions lui conférées en vertu de l’article 2, » soit supprimé, étant donné que la référence à l’article 2 du projet de loi sous avis est erronée. En effet, l’article 2 précité ne vise pas le Commissariat, mais le département DPD-SP. Le Conseil d’État rappelle que l’article 38, paragraphe 6, du RGPD, dispose que « [l]e délégué à la protection des données peut exécuter d’autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts ». Au vu de la situation atypique de deux services au sein d’une même administration assumant des fonctions entre lesquelles le risque de conflit d’intérêts est permanent, le Conseil d’État estime nécessaire d’ancrer exclusivement dans le texte la séparation fonctionnelle et organisationnelle des deux départements. À cet égard, il demande aux auteurs de compléter l’article 5 par un point 3° qui dispose ce qui suit : « 3° soit organisé de telle sorte que les personnes exerçant les missions de délégué à la protection des données ne soient pas impliquées dans la prise de décisions concernant la réutilisation de données. » Article 6 Cet article détermine les missions du département « Conseil et guidance en gouvernance des données ». Concernant la mission de « dispense[r] des conseils en matière de gouvernance des données » du point 1°, et les missions afférentes de promouvoir les « bonnes pratiques […] à travers l’administration étatique » et de « sensibilise[r] dans [c]es domaines » des points 2° et 3°, le Conseil d’État estime qu’elles se recouvrent avec celles du département DPD-SP. Il insiste sur une distinction stricte entre les missions consultatives des deux 5 départements. Il demande par conséquent d’insérer un alinéa final à l’article 6 prévoyant ce qui suit : « Le département Conseil et guidance en gouvernance des données et son personnel n’empiètent pas sur l’exercice des missions du département Délégué à la protection des données du secteur public. » Le département DPD-SP doit en effet exercer seul les missions de délégué à la protection des données sous les garanties d’indépendance contenues à l’article 5 du projet de loi, tel que le Conseil d’État demande de le libeller. L’article 6 n’appelle pas d’autre observation de la part du Conseil d’État. Article 7 L’article 7 détermine la mission de l’ALD. Cette mission consiste en la mise en œuvre des « missions du Commissariat en tant qu’organisme compétent, conformément à l’article 13 ». L’article 13 du projet de loi sous rubrique prévoit, quant à lui, que le Commissariat est désigné comme organisme compétent au sens de l’article 7, paragraphe 1er, du règlement (UE) 2022/868 et habilité à octroyer ou à refuser l’accès aux données et leur réutilisation. Le Conseil d’État renvoie à l’avis de la Commission nationale de la protection des données, ci-après « CNPD », du 20 décembre 2024, dans lequel celle-ci explique que la dénomination « Autorité luxembourgeoise des données » risque de porter à confusion avec sa propre dénomination 4. Afin d’éviter que le public soit induit en erreur, le Conseil d’État suggère de renommer le département concerné en « Autorité de réutilisation des données ». L’article 7 n’appelle pas d’autre observation de la part du Conseil d’État. Articles 8 à 12 Sans observation. Article 13 Le Commissariat est désigné, au paragraphe 1er de l’article 13, comme organisme compétent au sens de l’article 7, paragraphe 1er, du règlement (UE) 2022/868. En vertu des paragraphes 1er et 2 du même article, il est habilité à autoriser ou à refuser l’accès aux données et leur réutilisation. Le Conseil d’État rappelle avoir formulé, dans son avis du 3 juin 2025, deux oppositions formelles à l’égard de l’article 1er, devenu l’article 13, paragraphe 1er. La première opposition formelle a été formulée pour contrariété à l’article 38, paragraphe 6, du RGPD, le texte risquant de compromettre l’indépendance du DPD. La deuxième opposition formelle a été motivée par l’absence de toute précision sur la répartition des droits et 4 Voir le point 13 de l’avis de la Commission nationale de la protection des données du 20 décembre 2024. 6 obligations entre, d’une part, les organismes du secteur public détenant les données et, d’autre part, le Commissariat. Concernant la première opposition formelle, celle-ci peut être levée au regard des adaptations de l’article 5 du projet de loi, concernant l’absence de conflit d’intérêts. La deuxième opposition formelle quant à elle doit être maintenue. En effet, le Conseil d’État constate que le projet de loi sous examen demeure lacunaire. En particulier, l’« accord » de l’organisme du secteur public, mentionné au paragraphe 2 comme condition préalable à la décision du Commissariat, n’est pas défini dans son objet et sa portée. Le projet de loi omet ainsi de préciser la répartition des missions et responsabilités entre les organismes du secteur public concernés et l’ALD. Il reste muet sur la question de savoir si l’organisme du secteur public concerné reste responsable du traitement, si une responsabilité conjointe avec le Commissariat doit être envisagée, ou si le Commissariat doit être considéré comme responsable unique ou sous-traitant au sens des articles 4, 26 et 28 du RGPD. Le Conseil d’État donne à considérer que la préparation des données en vue de leur réutilisation suppose plusieurs traitements successifs, y compris la transmission de données en vue de leur réutilisation. Le projet de loi sous examen ne précise pas sur quelle(
3. s)entité(
4. s)repose la responsabilité des différents traitements de données et notamment celle d’effectuer le « test de compatibilité » de l’article 6, paragraphe 4, du RGPD, avant toute réutilisation. Cette question se pose tant pour les données brutes non encore anonymisées que pour les données pseudonymisées, lesquelles demeurent soumises au RGPD. Le Conseil d’État relève également l’absence de mécanisme permettant à l’organisme du secteur public de s’assurer du respect d’autres obligations légales, telles que celles relatives au secret professionnel, dans le cadre de la réutilisation de données non anonymisées. La responsabilité pénale liée à une violation de ces obligations continuera pourtant de peser sur l’organisme détenteur des données. L’amendement 7 du 16 juillet 2025 soulève de surcroît de nouveaux problèmes. Premièrement, en ce qui concerne les finalités prévues au paragraphe 2, point 1°, le Conseil d’État observe que celles-ci reprennent et reformulent l’article 20 du projet de loi n° 8395B. Les points
5. i)à vii) énoncent des finalités dont certaines sont assez vagues, à savoir celles du « développement, [de] l’évaluation, [de] la démonstration, [de] la sécurité et [de] l’innovation de technologies », de l’« innovation de produits », de la « formation […] d’algorithmes ») et des « systèmes d’intelligence artificielle ». Or, l’article 5, paragraphe 1er, lettre b), du RGPD impose que les finalités soient précises, spécifiques et légitimes. Deuxièmement, aux yeux du Conseil d’État, les « finalités » reprises au texte sous examen ne correspondent pas à des objectifs que poursuivrait un organisme du secteur public, mais davantage à des objectifs potentiels poursuivis par un demandeur d’accès aux données aux fins de leur réutilisation. Les finalités poursuivies par l’administration sont liées à la prise 7 de décision sur la demande de réutilisation et à la préparation des données en vue de leur réutilisation dans le cadre spécifique de la demande concernée. Les finalités n’étant ainsi pas « précises, spécifiques et légitimes », le Conseil d’État se doit de s’opposer formellement à ce point 1° pour contrariété au RGPD. Par ailleurs, si les auteurs souhaitent, par le biais du point 1° du paragraphe 2 de l’article 13, restreindre les finalités des demandeurs de réutilisation pour lesquels une réutilisation peut être autorisée, il conviendrait alors de le préciser au point 1°. Le Conseil d’État relève en outre qu’il convient de viser « l’article 2, point 2), du règlement (UE) 2022/868 » au lieu de « l’article 2, paragraphe 2 ». Dans ce contexte, il attire l’attention des auteurs sur le fait que le point 2) ne vise que la « réutilisation » de données, l’accès aux données étant quant à lui visé au point 13) du même article. Le Conseil d’État demande par conséquent que le dispositif soit complété par une référence au point 13), qui définit la notion d’« accès » au sens du règlement précité. L’article 13, paragraphe 3, prévoit un délai de trois semaines, dans lequel l’organisme du secteur public détenant les données transmet sa « décision » au Commissariat. L’absence de décision, passé ce délai, vaut refus. Le Conseil d’État renvoie à ses observations formulées à l’endroit du paragraphe 2, au sujet du manque de précision au regard des responsabilités respectives des organismes du secteur public concernés et du Commissariat. L’article 13 n’appelle pas d’autre observation de la part du Conseil d’État. Article 14 Dans son avis du 3 juin 2025, le Conseil d’État s’était opposé formellement à l’article 2, qui prévoyait la création d’un service au sein du Ministère de la digitalisation, pour être contraire à l’article 92 de la Constitution. L’article 14, paragraphe 1er, prévoit que « [l]e ministre assure les missions du point d’information unique » et désigne ainsi le ministre comme point d’information unique au sens de l’article 8 du règlement (UE) 2022/868. Partant, le Conseil d’État est en mesure de lever son opposition formelle à cet égard. Le paragraphe 2 de l’article 14 prévoit que les organismes du secteur public « communiquent les informations visées à l’article 5, paragraphe 1er, et à l’article 8, paragraphe 2, du règlement (UE) 2022/868 au point d’information unique ». Le Conseil d’État est dès lors en mesure de lever son opposition formelle formulée dans son avis du 3 juin 2025 sur la base de l’entrave à l’applicabilité directe du règlement (UE) 2022/868. Articles 15 et 16 Sans observation. 8 Article 17 L’article 17 prévoit un régime de sanctions que la CNPD applique aux prestataires de services d’intermédiation de données en cas de non-respect des exigences énoncées dans le chapitre III du règlement (UE) 2022/868. Les amendements du 13 juin et du 16 juillet 2025 visent à répondre à l’opposition formelle formulée par le Conseil d’État dans son avis du 3 juin 2025 en raison de l’entrave à l’applicabilité directe de l’article 14, paragraphe 4, du règlement (UE) 2022/868. Le Conseil d’État constate que le paragraphe 2 prévoit que la CNPD peut infliger des amendes administratives à hauteur de 500 à 100 000 euros aux prestataires de services d’intermédiation de données, « dans le cadre d’infractions aux exigences liées à l’obligation de notification au sens de l’article 11 du règlement (UE) 2022/868 et à l’obligation de notification au sens de l’article 12 du règlement (UE) 2022/868 ». À cet égard, le Conseil d’État note que l’amendement 11, point 2°, du 16 juillet 2025 remplace les termes « ou des conditions liées à la fourniture de services d’intermédiation de données en vertu de l’article 12 » du règlement (UE) 2022/868 par ceux de « et à l’obligation de fourniture de services d’intermédiation de l’article 12 » du règlement (UE) 2022/868. Le Conseil d’État s’interroge sur les raisons qui ont amené les auteurs à privilégier cette nouvelle formulation, d’autant plus que celle-ci ne correspond plus à celle utilisée par les articles 12 et 34 du règlement (UE) 2022/868. Dans ce contexte, le Conseil d’État relève que l’article 14, paragraphe 4, du règlement (UE) 2022/868 exige que le non-respect d’« une ou de plusieurs exigences du présent chapitre » (chapitre III sur les exigences applicables aux services d’intermédiation de données) soit sanctionné. S’y ajoute que l’article 34, paragraphe 1er, exige également que soit sanctionnée l’infraction aux « conditions » de l’article 12. Or, l’article 12 du règlement précité ne se limite pas à une « obligation de fourniture », mais comporte une série de conditions à respecter lors de la fourniture de services d’intermédiation de données. Par ailleurs, le Conseil d’État souligne que l’article 31, paragraphes 3 à 5, du règlement (UE) 2022/868 prévoit des obligations à la charge des prestataires de services d’intermédiation de données au regard d’un transfert international de données. Le non-respect de ces obligations doit également faire l’objet de sanctions. La mise en œuvre du règlement (UE) 2022/868 restant ainsi toujours incomplète, le Conseil d’État est amené à maintenir son opposition formelle pour entrave à l’applicabilité directe du règlement (UE) 2022/868. Dans ce contexte, il pourrait d’ores et déjà marquer son accord avec le remplacement, à l’article 17, paragraphe 2, des mots « à l’obligation de fourniture de services d’intermédiation de l’article 12 » par ceux de « aux exigences liées à la fourniture de services d’intermédiation de données au sens des articles 12 et 31, paragraphes 3 à 5, ». Article 18 L’article 18 a été introduit, en tant qu’article 21, par l’amendement 31 du 13 juin 2025 et établit un régime de sanctions que la CNPD applique aux 9 organisations altruistes en matière de données en cas de non-respect des exigences énoncées dans le chapitre IV du règlement (UE) 2022/868. Cet amendement vise à répondre à l’opposition formelle du Conseil d’État formulée dans son avis du 3 juin 2025 pour entrave à l’applicabilité directe de l’article 24, paragraphe 4, du règlement (UE) 2022/868 qui prévoit que « [l’]autorité compétente […] a le pouvoir d’exiger qu’il soit mis fin à l’infraction […] et prend des mesures appropriées et proportionnées pour garantir le respect des dispositions ». Le Conseil d’État relève d’abord que les infractions aux obligations de l’article 31, paragraphes 3 à 5, du règlement (UE) 2022/868, relatives au transfert international de données, qui s’imposent également aux organisations altruistes en matière de données reconnues, ne sont pas couvertes par les sanctions prévues à l’article 18, paragraphe 2, du projet de loi sous examen. Par ailleurs, le Conseil d’État note que le paragraphe 2 prévoit que la CNPD peut imposer des amendes administratives en cas de « violation des conditions liées à l’enregistrement en tant qu’organisation altruiste en matière de données reconnue en vertu des articles 18, 20, 21 et 22 du règlement (UE) 2022/868 ». À cet égard, il donne à considérer que, tel que formulé, le paragraphe 2 sanctionne uniquement la violation des conditions liées à l’enregistrement. Or, si les articles 18 et 19 du règlement (UE) 2022/868 prévoient des conditions pour l’enregistrement d’une organisation altruiste, les articles 20 et 21 du règlement précité établissent en outre des obligations qui s’appliquent aux activités d’une organisation altruiste reconnue après l’enregistrement. Par ailleurs, l’article 22 du règlement précité est à lire avec l’article 32 du même règlement. Ces dispositions permettent à la Commission européenne d’adopter des actes délégués afin de compléter le règlement (UE) 2022/868. L’article 22 précité a ainsi spécifiquement trait aux actes d’exécution qui relèvent de la compétence de la Commission européenne, cet article ne requérant ainsi pas de mise en œuvre de la part des États membres. À cet égard, le Conseil d’État constate que les auteurs reprennent la formulation de l’article 34, paragraphe 1er, du règlement (UE) 2022/868, qui souffre de la même imprécision. Il relève toutefois que l’article 24, paragraphe 1er, du règlement (UE) 2022/868 exige que « [l]es autorités compétentes pour l’enregistrement des organisations altruistes en matière de données contrôlent et surveillent le respect […] des exigences énoncées dans le présent chapitre » (chapitre IV). Le paragraphe 4 du même article précise que l’autorité compétente précitée « prend les mesures appropriées et proportionnées pour garantir le respect des dispositions ». Au vu de ce qui précède, le Conseil d’État demande, sous peine d’opposition formelle, de reformuler le paragraphe 2, afin de ne pas entraver l’applicabilité directe de l’article 24 du règlement (UE) 2022/868. Il pourrait d’ores et déjà marquer son accord avec une formulation comme suit : « Dans le cadre d’une violation des conditions énoncées aux articles 18 à 21 et à l’article 31, paragraphes 3 à 5, du règlement (UE) 2022/868 et liées à l’enregistrement et aux activités d’une organisation altruiste en matière de données reconnue, la CNPD peut […] ». 10 Article 19 L’article 19 a été introduit par l’amendement 32 du 13 juin 2025 et fait l’objet de modifications à travers l’amendement 13 du 16 juillet 2025. Il a trait aux mesures que le Commissariat applique à la personne physique ou morale à laquelle le droit de réutilisation des données a été accordé en vertu du chapitre II du règlement (UE) 2022/868 en cas de non-respect « des obligations prévues au chapitre II du règlement (UE) 2022/868 ». Ces amendements entendent répondre à l’opposition formelle formulée par le Conseil d’État dans son avis du 3 juin 2025 pour entrave à l’applicabilité directe de l’article 34 du règlement précité. Le Conseil d’État note que, contrairement aux articles 17 et 18, l’article 19 ne prévoit ni la possibilité d’imposer des amendes administratives ni celle d’imposer des astreintes. Le Conseil d’État rappelle à cet égard que l’article 34 du règlement (UE) 2022/868 impose que les « sanctions doivent être effectives, proportionnées et dissuasives ». Il considère que les sanctions prévues ne sont pas à qualifier de dissuasives et effectives en l’absence de toute sanction pécuniaire. Il donne encore à considérer que la référence aux « obligations prévues au chapitre II » est problématique, en ce que les exigences liées au transfert international de données sont également posées par l’article 31 du règlement (UE) 2022/868. Le Conseil d’État demande dès lors, sous peine d’opposition formelle pour entrave à l’applicabilité directe du règlement (UE) 2022/868, de compléter le catalogue de sanctions par des sanctions pécuniaires et de compléter l’article 19, paragraphe 1er, par une référence à l’article 31 du règlement précité. Le Conseil d’État pourrait d’ores et déjà marquer son accord avec l’insertion, entre les actuels paragraphes 1er et 2 de l’article 19, d’un nouveau paragraphe qui comporte une fourchette d’amendes comparable à celle prévue à l’article 17, paragraphe 2, et qui est formulé comme suit : «