CdM/03/10/2025 25-181 N° dossier parl. : 8395 A Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données _____________________________________________________________________ Avis de la Chambre des Métiers Résumé structuré Tout en saluant le projet de loi sous avis qui permet non seulement de notifier sans tarder les organismes et autorités compétentes mais aussi de bien comprendre l’écosystème national qui est proposé dans le cadre de la gouvernance des données, la Chambre des Métiers regrette la dichotomie légale proposée concernant la mise en œuvre du règlement sur la gouvernance des données, car cette dualité peut générer des doublons ou des dispositions antinomiques, et aussi prêter à confusion auprès des administrés. Afin de limiter ces risques, considérant la superposition des compétences entre les organismes du secteur public détenteurs de données et le Commissariat du Gouvernement à la souveraineté des données en matière d’accès et de réutilisation des données, et bien que la procédure soit détaillée dans le projet n°8395 B, il serait utile que le projet de loi sous avis mentionne en particulier si un recours est ouvert à l’encontre des décisions des organismes détenteurs de données prises en vertu de la présente loi alors qu’il ne mentionne que l’existence d’un recours ouvert à l’encontre des décisions du Commissariat. *** Par son courriel du 20 août 2025, Madame la Ministre de la Digitalisation a bien voulu demander l’avis de la Chambre des Métiers au sujet des amendements gouvernementaux au projet de loi repris sous rubrique. page 2 de 4 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________
- Considérations générales Le projet de loi n°8395 A sous avis résulte de la scission du projet de loi n°8395 (ou « projet de loi initial ») en deux projets distincts, soit les projets n°8395 A et 8395 B, par une série d’amendements parlementaires pris en date du 22 avril 2025 qui n’ont pas été transmis à la Chambre des Métiers pour avis. Cette scission a été motivée en raison de l’urgence de notifier les différents organismes et autorités compétents prévus par le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données (ou « règlement sur la gouvernance des données »). En effet, suivant ce règlement, au plus tard pour le 24 septembre 2023, date de son entrée en vigueur, quatre catégories d’organismes et d’autorités doivent être notifiées par les Etats membres ; à savoir : • un (ou plusieurs) organisme compétent pour aider les organismes du secteur public pour octroyer ou refuser l’accès aux fins de réutilisation des données visées par le règlement sur la gouvernance des données (ou « organisme compétent »)1 ; • le point d’information unique en la matière2 ; • une (ou plusieurs) autorité compétente en matière de services d’intermédiation de données3 ; et • une (ou plusieurs) autorité compétente pour l’enregistrement des organisations altruistes en matière de données.4 Le présent avis porte sur le projet n°8395 A, tel qu’amendé en date du 13 juin 2025 et du 17 juillet 2025, qui poursuit l’objectif de notifier sans tarder les différents organismes et autorités compétents prévus par règlement sur la gouvernance des données. Le projet n°8395 B, qui reprend les autres dispositions qui étaient dans le projet de loi initial, et qui a un champ d’application plus large que celui du règlement sur la gouvernance des données, fera l’objet d’un avis séparé. Le projet de loi sous avis, à l’instar du projet initial, propose d’attribuer les tâches d’organisme compétent à une administration placée sous l’autorité du ministre ayant en charge la digitalisation, à savoir le Commissariat du Gouvernement à la souveraineté des données (ci-après « Commissariat »). Plus précisément, comme mentionné à l’article 7 du projet de loi sous avis, les tâches d’organisme compétent seront dévolues à un département du Commissariat, à savoir l’Autorité luxembourgeoise des données. Il est en effet prévu que le Commissariat sera composé de quatre départements distincts, soit ; en outre de l’Autorité luxembourgeoise des données ; le département de Délégué à la protection des données du secteur public – au lieu et place de l’actuel Commissariat du Gouvernement à la protection des données auprès de l’Etat constitué par la loi du 1 Obligation de notification visée par l’article 7§5 du règlement sur la gouvernance des données. 2 Obligation de notification prévue en exécution de l’article 8 du règlement sur la gouvernance des données. 3 Obligation de notification visée par l’article 11§1 du règlement sur la gouvernance des données. 4 Obligation de notification visée par l’article 23§2 du règlement sur la gouvernance des données. CdM/GC/nf/Avis 25-181 Commissariat souveraineté des données.docx/03.10.2025 Chambre des Métiers du Grand-Duché de Luxembourg page 3 de 4 ____________________________________________________________________________________ 1er août 2018 portant organisation de la CNPD – ; le département de Conseil guidance en gouvernance des données ; et le département des Affaires générales. A l’instar du projet de loi initial, le projet de loi sous avis attribue à l’organisme compétent un pouvoir décisionnel, ce qui est une option ouverte par l’article 7§2 du règlement sur la gouvernance des données. Il est en effet prévu de ne pas cantonner le Commissariat à un rôle d’assistance des organismes du secteur public – comme le prévoit à minima le règlement sur la gouvernance des données – , mais de lui attribuer un pouvoir décisionnel en matière d’octroi ou de refus d’accès aux données aux fins de réutilisation. Le fait de l’attribution d’un pouvoir décisionnel au Commissariat en matière de réutilisation de données, qui peuvent être des données à caractère personnel, soulève le risque d’un conflit d’intérêt avec sa fonction de délégué à la protection des données pour de nombreux organismes du secteur public. Dès lors, l’article 5 du projet de loi sous avis mentionne l’obligation pour le Commissariat de veiller à respecter l’absence de conflit d’intérêt entre le département de Délégué à la protection des données du secteur public et l’Autorité luxembourgeoise des données, et de garantir l’objectivité et l’impartialité des activités du département de Délégué à la protection des données du secteur public. L’attribution d’un pouvoir décisionnel au Commissariat en matière de réutilisation de données impose aussi de répartir les compétences entre le Commissariat et les organismes publics détenteurs de données. L’article 13 du projet de loi sous avis mentionne de façon très succincte la procédure et les conditions pour l’autorisation d’un accès aux données et leur réutilisation, car ces aspects sont détaillés dans le projet n°8395B. La répartition des compétences entre le Commissariat et les organismes publics détenteurs de données se comprend en filigrane via les mentions suivantes : - le Commissariat qui peut autoriser l’accès aux données et leur réutilisation ; - le Commissariat ne peut donner une telle autorisation qu’après accord de l’organisme du secteur public détenteur des données ; - l’organisme du secteur public détenteur des données doit transmettre son accord dans un délai de 3 semaines à compter de la transmission de la demande et l’absence de décision endéans les 3 semaines vaut refus. Concernant les autres organismes et autorités compétents, le projet de loi désigne le ministère ayant en charge la digitalisation comme point d’information unique dont la mission est de servir d’interface entre les organismes du secteur public et les réutilisateurs de données. Le projet de loi mentionne finalement que la Commission Nationale pour la protection des Données (CNPD) sera l’autorité compétente, tant pour les services d’intermédiation de données, que pour l’enregistrement des organisations altruistes en matière de données. Le projet de loi sous avis apporte des précisions concernant les sanctions qui pourront être prononcées, que ce soit par la CNPD à l’égard d’un service d’intermédiation de données ou d’une organisation altruiste ; ou par le Commissariat à l’égard d’un réutilisateur en cas de manquement aux obligations applicables en matière de transfert CdM/GC/nf/Avis 25-181 Commissariat souveraineté des données.docx/03.10.2025 page 4 de 4 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ de données à caractère non personnel vers des pays tiers conformément aux exigences de l’article 34 du règlement sur la gouvernance des données. Les voies de recours à l’encontre des décisions du Commissariat et de la CNPD prises en exécution de cette loi sont également mentionnées par l’article 20 du projet de loi sous avis, à savoir un recours en réformation devant le Tribunal administratif.
- Observations particulières Tout en saluant le projet de loi sous avis qui permet non seulement de notifier sans tarder les organismes et autorités compétentes mais aussi de bien comprendre l’écosystème national qui est proposé dans le cadre de la gouvernance des données, la Chambre des Métiers regrette la dichotomie légale proposée concernant la mise en œuvre du règlement sur la gouvernance des données, car cette dualité peut générer des doublons ou des dispositions antinomiques, et aussi prêter à confusion auprès des administrés. Il serait utile à tout le moins, pour accroitre la sécurité juridique, que soit mieux précisé dans le projet de loi sous avis le partage des compétences et des responsabilités entre l’organisme du secteur public détenteur de données et le Commissariat. En effet, à la lecture combinée des paragraphes 2 et 3 de l’article 13 du projet de loi sous avis, on comprend que deux décisions administratives individuelles se superposent, à savoir, d’une part, l’accord ou le refus préalable de l’organisme public détenteur, et d’autre part, l’accord ou le refus final du Commissariat, étant entendu que l’accord du Commissariat est lié à un accord préalable de l’organisme détenteur. Même si la procédure d’accès et de réutilisation des données est détaillée dans le projet n°8395 B, le projet de loi sous avis devrait en particulier préciser si un recours est aussi ouvert à l’encontre des décisions des organismes du secteur public détenteurs de données prises en vertu de la présente loi, alors que seul le recours ouvert à l’encontre des décisions du Commissariat est mentionné. La Chambre des Métiers soulève aussi la question de la suppression dans le projet de loi sous avis de toute référence au Conseil consultatif de la valorisation des données alors que le projet de loi n°8395 B se réfère à l’institution de ce Conseil par le présent projet et détaille ses attributions. *** La Chambre des Métiers ne peut approuver le projet de loi lui soumis pour avis que sous la réserve expresse de la prise en considération de ses observations ci-avant formulées. Luxembourg, le 3 octobre 2025 Pour la Chambre des Métiers Tom WIRION Directeur Général Tom OBERWEIS Président CdM/GC/nf/Avis 25-181 Commissariat souveraineté des données.docx/03.10.2025