Projet de loi n°8395A1 portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compé

Luxembourg, le 3 octobre 2025 Objet : Projet de loi n°8395A1 portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données Amendements gouvernementaux. (6661bisMEM/SBE) Saisine : Ministre de la Digitalisation (20 août 2025) Les amendements gouvernementaux déposés respectivement en date du 13 juin 2025 et du 16 juillet 2025 (ci-après, les « Amendements sous avis ») ont pour objet de modifier le projet de loi n°8395A relative à la désignation des organismes et autorités compétents et au point d’information prévus aux articles 7, 8, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données, lequel est communément appelé « Data Governance Act » ou « DGA ». Ils s’inscrivent dans le prolongement de l’avis du Conseil d’Etat du 3 juin 2025 concernant le projet de loi 8395A, qui comporte un certain nombre d’oppositions formelles. En bref ➢ La Chambre de Commerce accueille favorablement l’ensemble des Amendements sous avis concernant le projet de loi 8395A. ➢ Par ailleurs, elle observe que le vote rapide du projet de loi n° 8395B demeure important pour les entreprises luxembourgeoises désireuses de profiter des opportunités que leur offre le DGA. ➢ La Chambre de Commerce est en mesure d’approuver les amendements au projet de loi sous avis. 1 Lien vers le projet de loi sur le site de la Chambre des Députés 2 Contexte - remarque préliminaire La Chambre de Commerce prend acte des raisons qui ont motivé la scission du projet de loi n°8395 en deux projets de lois distincts, rappelant cependant que la notification à la Commission européenne des différents organismes et autorités compétents prévus au DGA aurait dû intervenir au plus tard le 24 septembre

1. Le projet de loi n°83952 constituait une réforme de grande envergure en matière de traitement des données détenues par le secteur public. Il avait ainsi pour but de créer un cadre pour la réutilisation et le traitement ultérieur des données à caractère personnel détenues par les entités publiques et d’introduire une obligation générale de transmission des données à caractère personnel entre ces dernières (principe « once only »), mais également de mettre en œuvre certaines dispositions du DGA3, en désignant les différents organismes et autorités compétents prévus audit DGA et en fixant les règles en matière d’accès et de réutilisation, par des acteurs privés, des données protégées détenues par les organismes du secteur public. La scission de ce projet de loi, qui a été décidée par la Commission de l’Enseignement supérieur, de la Recherche et de la Digitalisation de la Chambre des députés dans le cadre d’amendements parlementaires, lors de sa réunion du 22 avril 2025, est motivée par l’urgence de notifier à la Commission européenne les différents organismes et autorités compétents prévus au DGA
2. Ainsi, en vue d’une adoption de la future loi dans les meilleurs délais, le projet de loi n°8395A se limite à reprendre les articles issus du projet de loi n°8395 initial désignant les organismes et autorités compétents prévus au DGA
3. Aussi et afin de pallier cette carence, le projet de loi n°8395A - dans sa version préalable aux Amendements sous avis - désigne : - comme « organisme compétent » au sens de l’article 7, paragraphe 2 du DGA6, habilité à octroyer ou refuser l’accès aux fins de réutilisation des données : le Commissariat du Gouvernement à la protection des données (créé par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données (CNPD), sous l’autorité du Premier ministre) ; - un « point d’information unique » au sens de l’article 8 du DGA sous l’autorité du ministre de la Digitalisation, compétent pour recevoir les demandes d’informations ou de réutilisation et les transmettre aux organismes du secteur public compétents ; La Chambre de Commerce s’est prononcée sur le projet de loi n°8395 initial dans un avis du 6 décembre 2024 (avis 6661MEM/SBE). Le DGA a pour objectif d’établir un cadre européen harmonisé pour le partage et la mise en commun, dans le marché intérieur, de données dites protégées. Il prévoit notamment des conditions pour la réutilisation de données protégées détenues par des organismes du secteur public, pour la notification et la surveillance de prestataires de services d’intermédiation de données et pour l’enregistrement volontaire d’entités qui traitent des données à des fins altruistes. 4 Le DGA prévoit que chaque Etat membre devait procéder à la notification des organismes et autorités compétentes au plus tard le 24 septembre 2023, qui correspond à la date d’entrée en vigueur dudit DGA. 5 Dans son avis du 3 juin 2025 concernant le projet de loi n°8395A, le Conseil d’État a émis une opposition formelle en rappelant qu’ « en vertu des articles 4, paragraphe 3, du Traité sur l’Union européenne, et 291 du Traité sur le fonctionnement de l’Union européenne, les États membres prennent les mesures législatives, réglementaires, administratives et financières nécessaires pour que les dispositions d’un acte de l’Union européenne soient effectivement appliquées. Il exige dès lors, sous peine d’opposition formelle, pour entrave à l’applicabilité directe du règlement (UE) 2022/868, l’incorporation d’un régime de sanctions dans le projet de loi sous revue. » 6 Article 7, paragraphe 2 du DGA : « Les organismes compétents peuvent également être habilités à octroyer l’accès aux fins de la réutilisation des catégories de données visées à l’article 3, paragraphe 1, en application des dispositions du droit de l’Union ou du droit national qui prévoient l’octroi d’un tel accès. Lorsqu’ils octroient ou refusent l’accès à des fins de réutilisation, les articles 4, 5, 6 et 9 s’appliquent à ces organismes compétents. » 2 3 3 - comme « autorité compétente », d’une part, en matière d’intermédiation de données au sens de l’article 13 du DGA7, et d’autre part, pour l’enregistrement des organisations altruistes en matière de données8 au sens article 23 du DGA : la CNPD. Considérations générales La Chambre de Commerce accueille positivement le choix du Gouvernement de procéder aux désignations prévues au DGA en s’appuyant sur des organismes déjà existants plutôt que d’en établir de nouveaux et considère que les Amendements sous avis sont de nature à garantir leur indépendance et à définir à suffisance leurs missions et attributions, conformément au DGA. Pour le surplus, elle souligne la nécessité de procéder rapidement au vote du projet de loi n° 8395B au motif qu’il contient également des dispositions relatives à la mise en œuvre du DGA, sous peine de retarder l’applicabilité de ce dernier au détriment des entreprises luxembourgeoises désireuses de profiter des opportunités qu’il leur offre
4. I. Quant aux amendements gouvernementaux du 16 juin 2025 Concernant la première série d’Amendements sous avis, la Chambre de Commerce tient à revenir plus particulièrement sur les Amendements visant à remédier aux oppositions formelles émises par le Conseil d’Etat dans son avis du 3 juin
5. Concernant le Commissariat du Gouvernement à la souveraineté des données Rappelant que le DGA laisse une marge de manœuvre à chaque Etat membre d’opter ou non pour un ou plusieurs organismes10, la Chambre de Commerce relève que le Gouvernement a décidé : - de désigner un organisme central (et non pas un organisme par secteur), à savoir le Commissariat du Gouvernement à la souveraineté des données (anciennement Commissariat du Gouvernement à la protection des données) (ci-après le « Commissariat ») ; et Le DGA définit le « service d’intermédiation de données » comme « un service qui vise à établir des relations commerciales à des fins de partage de données entre un nombre indéterminé de personnes concernées et de détenteurs de données, d’une part, et d’utilisateurs de données, d’autre part, par des moyens techniques, juridiques ou autres, y compris aux fins de l’exercice des droits des personnes concernées en ce qui concerne les données à caractère personnel (…). » 8 L’article 3, point 16) du DGA définit l’ « altruisme en matière de données » comme « le partage volontaire de données fondé sur le consentement donné par les personnes concernées au traitement de données à caractère personnel les concernant, ou l’autorisation accordée par des détenteurs de données pour l’utilisation de leurs données à caractère non personnel sans demander ni recevoir de contrepartie qui aille au-delà de la compensation des coûts qu’ils supportent lorsqu’ils mettent à disposition leurs données, pour des objectifs d’intérêt général prévus par le droit national, le cas échéant, par exemple les soins de santé, la lutte contre le changement climatique, l’amélioration de la mobilité, la facilitation du développement, de la production et de la diffusion de statistiques officielles, l’amélioration de la prestation de services publics, l’élaboration des politiques publiques ou la recherche scientifique dans l’intérêt général ». 9 Force est de constater que s’agissant spécialement de l’accès aux fins de réutilisation des données détenues par les organismes du secteur public par des réutilisateurs privés, le projet de loi n°8395A, tel qu’amendé, désigne les autorités compétentes pour traiter les demandes d’accès et leur attribue des pouvoirs, tandis que les conditions et modalités pratiques concernant les demandes d’accès (forme et contenu, procédure à suivre…) sont, quant à elles, fixées par le projet de loi n°8395B. 7 Selon l’article 7, paragraphe 1 du DGA, « (…) chaque État membre désigne un ou plusieurs organismes compétents, qui peuvent être compétents pour un secteur particulier, pour aider les organismes du secteur public qui octroient ou refusent l’accès aux fins de la réutilisation des catégories de données visées à l’article 3, paragraphe
6. Les États membres peuvent soit établir un ou plusieurs nouveaux organismes compétents, soit s’appuyer sur des organismes du secteur public ou sur des services internes d’organismes du secteur public existants qui remplissent les conditions fixées par le présent règlement. » 10 4 - d’habiliter ce dernier à octroyer ou refuser l’accès aux fins de la réutilisation des données détenues par les organismes du secteur public (et non pas de désigner plusieurs organismes compétents, pour des secteurs particuliers, pour aider les organismes du secteur public à octroyer ou refuser l’accès aux fins de la réutilisation des données11). Afin de remédier aux oppositions formelles formulées par le Conseil d’Etat, les Amendements n°1 à 15 prévoient explicitement la structuration du Commissariat en quatre départements, disposant chacun d’attributions propres, comme suit : 1° le département Délégué à la protection des données du secteur public ; 2° le département Conseil et guidance en gouvernance des données ; 3° l’Autorité luxembourgeoise des données ; et 4° le département Affaires générales. Selon les explications des auteurs, la subdivision du Commissariat en départements prend en considération les exigences d’indépendance et d’impartialité entre le département « Délégué à la protection des données du secteur public »12 et les tâches dont le Commissariat sera chargé conformément à l’article 7, paragraphe 2, du DGA, quand il agit en tant qu’ « Autorité luxembourgeoise des données » compétente pour décider d’octroyer ou de refuser l’accès aux fins de réutilisation des données détenues par les organismes du secteur public
7. Les auteurs ajoutent que cette séparation fonctionnelle au sein même du Commissariat est de nature à éviter tout conflit d’intérêts du délégué à la protection des données (DPD) au sens de l’article 38, paragraphe 6, du RGPD dans les cas où le Commissariat assure le rôle de DPD en plus de celui de responsable du traitement. La Chambre de Commerce se rallie à l’exposé des motifs des Amendements qui souligne que la mise en place d'un organisme central « vise à assurer une approche cohérente14 ainsi qu’une économie substantielle de ressources, tant financières qu’en ressources humaines »15 et « évitera une fragmentation réglementaire des différents régimes juridiques d’accès et de réutilisation de données ». Elle considère en outre que la structuration du Commissariat en départements distincts - à l’instar de l’ILNAS16 - est de nature à remédier aux craintes émises par le Conseil d’Etat dans son avis du 3 juin 2025 à savoir éviter les conflits d’intérêts dans les situations où le Commissariat agit comme délégué à la protection des données
8. Article 7, paragraphe 2 du DGA : « Les organismes compétents peuvent également être habilités à octroyer l’accès aux fins de la réutilisation des catégories de données visées à l’article 3, paragraphe 1, en application des dispositions du droit de l’Union ou du droit national qui prévoient l’octroi d’un tel accès. Lorsqu’ils octroient ou refusent l’accès à des fins de réutilisation, les articles 4, 5, 6 et 9 s’appliquent à ces organismes compétents. » 12 Le Conseil d’État a soulevé que le Commissariat exerce la fonction de délégué à la protection des données pour de nombreux organismes du secteur public, tout en soulignant qu’un délégué à la protection des données ne saurait « déterminer les finalités et moyens de traitement qu’il est censé conseiller, en agissant lui-même en tant que responsable du traitement qu’il est censé conseiller ». 13 La décision du Commissariat intervient « après l’accord de l’organisme du secteur public », le Commissariat ayant le dernier mot. 14 vu sa longue expérience en tant que structure spécialisée dans le conseil en matière de traitement et de réutilisation de données. 11 Les auteurs considèrent qu’ « à l’instar du fonctionnement de l’ILNAS, le regroupement dans une seule entité administrative de missions techniques permettra d'accroître l'efficacité des processus, de simplifier les procédures administratives et de réduire le besoin en personnel. » 16 Cf. loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS. 17 Dans son avis du 3 juin 2025 concernant le projet de loi n°8395A, le Conseil a émis une opposition formelle dans les cas où le Commissariat assure le rôle de DPD [délégué à la protection des données] en plus de celui de responsable du traitement, rappelant « qu’en application des articles 57, alinéa 2, et 58, alinéa 1 er, de la loi précitée du 1er août 2018, le Commissariat exerce en outre la fonction de délégué à la protection des données, ci-après « DPD », pour de nombreux organismes du secteur public. Or, il ressort du RGPD que les fonctions et missions de DPD (…) sont incompatibles avec une fonction décisionnelle en matière de traitement des données, le DPD devant agir de manière indépendante et libre de tout conflit d’intérêts. 15 5 Concernant le « point d’information unique » Le projet de loi n°8395A désigne le point d’information unique compétent pour recevoir les demandes d’informations ou de réutilisation et les transmettre aux organismes du secteur public compétents. Afin de tenir compte des oppositions formelles du Conseil d’État dans son avis du 3 juin 2025, la Chambre de Commerce souligne avec satisfaction que, par le biais de l’Amendement n° 26, les auteurs ont : - supprimé toute référence à la « création » d’un point d’information unique18, clarifiant ainsi le fait qu’il s’agit d’un service au sein du ministère de la Digitalisation, - introduit l’obligation pour les organismes du secteur public de communiquer une liste des ressources consultables contenant un aperçu de toutes les ressources en données disponibles, comprenant au minimum la nature des données, leur format et leur taille ainsi que les conditions applicables à leur réutilisation (ceci afin de permettre l’applicabilité de l’article 5, paragraphe 1er, et de l’article 8, paragraphe 2 du DGA). Concernant la CNPD comme « autorité compétente » Le projet de loi n°8395A désigne la CNPD comme autorité compétente : - d’une part, en matière d’intermédiation de données au sens de l’article 13 du DGA19, et - d’autre part, pour l’enregistrement des organisations altruistes en matière de données au sens article 23 du DGA. La Chambre de Commerce relève que dans son avis du 3 juin 2025 concernant le projet de loi n°8395A, le Conseil d’État a émis une opposition formelle20, pour avoir omis définir le régime de sanctions imposables par la CNPD dans le cadre de ses nouvelles missions, ce qui entrave l’applicabilité directe de l’article 14 et 24 du DGA. Elle constate que les Amendements n° 29, 30 et 31 entendent remédier à cette carence en procédant à l’incorporation d’un régime de sanctions, sur base des articles 14 et 24 du DGA, et définissant les sanctions administratives à l’encontre des prestataires de service d’intermédiation de données ou organisations altruistes en matière de données en cas de violations de leurs obligations21 (injonction de faire cesser la violation, avertissement, blâme, amende administrative de 500 à 100.000 euros, astreinte). Dans son avis du 3 juin 2025 concernant le projet de loi n°8395A, le Conseil d’État note que le projet de loi ne prévoit aucune disposition relative au cadre du personnel ni à l’organisation ni au fonctionnement de l’organisme nouvellement créé. Il en déduit qu’il s’agit en l’espèce non pas d’une administration indépendante, mais d’un service au sein du ministère de la Digitalisation. Le Conseil d’État donne à considérer dans ce cadre que la création d’un service au sein du Ministère relève de la seule compétence du Gouvernement, de sorte que le législateur empiète ici sur l’organisation du Gouvernement (opposition formelle pour violation de l’article 92 de la Constitution). Si l’intention des auteurs était de créer un simple service au sein du ministère, le texte sous examen serait à omettre dans son intégralité. Si toutefois l’intention des auteurs était de créer une administration à l’instar notamment du Commissariat, il y aurait lieu d’adapter le projet de loi sous examen en fonction. 18 L’article 3, point 11) du DGA définit le « service d’intermédiation de données » comme « un service qui vise à établir des relations commerciales à des fins de partage de données entre un nombre indéterminé de personnes concernées et de détenteurs de données, d’une part, et d’utilisateurs de données, d’autre part, par des moyens techniques, juridiques ou autres, y compris aux fins de l’exercice des droits des personnes concernées en ce qui concerne les données à caractère personnel (…). » 20 Les articles 4, paragraphe 3, du Traité sur l’Union européenne, et 291 du Traité sur le fonctionnement de l’Union européenne prévoient que « les États membres prennent les mesures législatives, réglementaires, administratives et financières nécessaires pour que les dispositions d’un acte de l’Union européenne soient effectivement appliquées ». 21 Il s’agit des obligations relatives aux transferts de données à caractère non personnel vers des pays tiers, de l’obligation de notification incombant aux prestataires de service d’intermédiation de données, des conditions liées à la fourniture de services d’intermédiation de données et des conditions liées à l’enregistrement en tant qu’organisation altruiste en matière de données. 19 6 II. Quant aux amendements gouvernementaux du 20 août 2025 S’agissant de la deuxième série d’Amendements, la Chambre de Commerce constate que : - - plusieurs Amendements visent à supprimer certains articles du projet de loi, en tout ou partie, en vue de la simplification et de l’allégement des dispositions du projet de loi, ce dont la Chambre de Commerce se félicite (Amendements n°2, 3, 4, 5, 7, 8 et 10) ; certains Amendements permettent également de supprimer, en tout ou en partie, des dispositions du projet de loi déjà couvertes par le DGA qui, en tant que règlement, est directement applicable de sorte que les dispositions en cause sont superfétatoires (Amendements 9, 10), d’autres visent encore à harmoniser les formulations employées dans le projet de loi avec celles du DGA, pour plus de sécurité juridique (Amendements 7, 11, 15), d’autres finalement sont d’ordre légistique (Amendements 12, 16). La Chambre de Commerce tient cependant à attirer l’attention des auteurs sur une anomalie relevée à la lecture du texte coordonné du projet de loi n°8395A tel que modifié par la deuxième série d’Amendements, et ce, bien que ce texte coordonné n’ait pas valeur légale. Elle observe en effet que l’ensemble des dispositions relatives au « Conseil consultatif de la valorisation des données »22 - situées sous l’article 13 dédié au Commissariat - sont biffées et donc à comprendre comme étant supprimées, alors qu’aucun amendement ne prévoit ces suppressions. * * * Après consultation de ses ressortissants, la Chambre de Commerce en mesure d’approuver les amendements au projet de loi sous avis. MEM/SBE/NSA Le Conseil consultatif de la valorisation des données demandeur, qui est institué par le projet de loi n° 8395A, a pour mission de soumettre un avis motivé en cas de refus d’accès et de réutilisation des données, à la demande de la personne qui se voit opposer un refus d’accès et de réutilisation des données. 22