Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents pré

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données Délibération n°104/AV12/2025 du 14 novembre 2025

1. Conformément à l'article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 1/13
2. En date du 20 décembre 2024, la CNPD a avisé 1 le projet de loi n°8395 (ci-après « projet de loi avant scission »).
3. La Commission de ('Enseignement supérieur, de la Recherche et de la Digitalisation, lors de sa réunion du 22 avril 2025, a décidé de scinder le projet de loi précité en deux projets de loi distincts : • Le projet de loi n°8395A relative à la désignation des organismes et autorités compétents et au point d’information uniquement prévus aux articles 7, 8, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; • Le projet de loi n°8395B relative à 1° la valorisation des données dans un environnement de confiance ; 2° la mise en œuvre du principe « once only » ; 3° la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4° la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
4. À la suite de l’avis du Conseil d’Etat du 3 juin 2025 2, des amendements gouvernementaux aux deux projets de loi ont été déposés en date du 13 juin
5. L’intitulé du projet de loi n°8395A a été modifié à cette occasion et porte désormais le nom de « Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant 1 V. Délibération n°72/AV32/2024 du 20 décembre 2024 de la CNPD (ci-après l'« avis initial »). 2 V. Avis du Conseil d'Etat n° 62.142 du 3.06.2025, doc. pari. 8395A/
6. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 2/13 organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ». L'intitulé du projet de loi n°8395B demeure inchangé.
7. En date du 16 juillet 2025, une nouvelle série d’amendements concernant le projet de loi n°8395A a été déposée.
8. En date du 3 novembre 2025 une troisième série d'amendements concernant le projet de loi n°8395A a été déposée. L’intitulé du projet de loi n°8395A est désormais « Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l'article 8 du règlement (UE) 2022/868 précité et portant modification de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ».
9. N'ayant pas été directement consultée par le Ministère de la Digitalisation, la Commission nationale souhaite néanmoins s’autosaisir et se prononcer sur les amendements apportés aux projets de loi n°8395A et n°8395B. La Commission nationale note que les amendements parlementaires du 22 avril 2025 visent essentiellement à redresser des erreurs matérielles et à procéder à une renumérotation des articles découlant de la scission du projet de loi
10. Ensuite, les amendements gouvernementaux au projet de loi n°8395A en date du 13 juin 2025 visent à introduire des dispositions portant sur la création du Commissariat du Gouvernement à la souveraineté des données et à introduire et compléter certaines dispositions provenant du projet de loi n°8395B, mais également à redresser les erreurs matérielles et à procéder à une renumérotation des articles découlant de ces ajouts. Les amendements au projet de loi n°8395B du 13 juin 2025 visent également à redresser des erreurs matérielles et à procéder à une renumérotation, notamment en lien avec l'introduction des dispositions du projet de loi n°8395A portant sur la création du Commissariat du Gouvernement à la souveraineté des données. Les amendements au projet de loi n°8395A en date du 16 juillet 2025 visent à effectuer certaines reformulations, à redresser des erreurs matérielles et à procéder à une renumérotation des articles. Cependant certaines modifications apportées par lesdits amendements impactent la CNPD et seront abordés dans cet avis. Enfin, celles du 3 novembre 2025 intègrent les recommandations faites par le Conseil d’État dans son avis du 21 octobre
12. Il ressort de l’exposé des motifs que le projet de loi n°8395A a notamment pour objectif de désigner les autorités et organismes compétents au titre du règlement sur la gouvernance des données, là où le projet de loi n°8395B contient principalement les dispositions issues du projet CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 3/13 de loi n°8395 relatives au principe du « once only » et des dispositions relatives aux compétences et procédures induites par la désignation d’autorités et organismes compétents dans le projet de loi n°8395A.
13. Les auteurs des amendements du 22 avril 2025, précisaient que la « scission est motivée par l’urgence de notifier les différents organismes et autorités compétents prévus au règlement (UE) 2022/868 à la Commission européenne » et proposent « dès lors de procéder dans les meilleurs délais au vote des dispositions prévoyant la désignation de ces entités dorénavant prévues au projet de loi n°8395A et laissant le temps nécessaire à tous les acteurs impliqués dans la procédure législative de dûment analyser les autres dispositions du projet de loi n°8395 qui sont dorénavant prévues au projet de loi n°8395B »
14. Bien que la CNPD comprenne parfaitement cette démarche, elle émet cependant certaines réserves concernant la mise en application de cette scission et notamment sur la séparation des dispositions nommant les autorités et organismes compétents de celles précisant certaines compétences et procédures induites par cette nomination. Ce point sera détaillé par la suite.
15. La Commission nationale formulera ci-après ses remarques quant aux dispositions des projets de loi n°8395A dans sa version du 3 novembre 2025 (ci-après le « projet de loi A ») et n°8395B dans sa version du 13 juin 2025 (ci-après le « projet de loi B ») alors que celles-ci visent à conférer de nouvelles missions à la CNPD en ce qui concerne l”intermédiation de données et l'altruisme de données. Par soucis de lisibilité les termes « projet de loi A » et « projet de loi B » désignent les textes coordonnés à la date des derniers amendements disponibles. En cas de référence à une version antérieure de ces textes, la date de dépôt dudit texte sera précisée. Le règlement (UE) 2022/868 sera désigné par l'abréviation « DGA ». I. Remarques liminaires
16. À titre préliminaire, la CNPD regrette que la scission du projet de loi n°8395 n'ait pas été saisie comme une opportunité de distinguer clairement, au sein de deux textes séparés, d’une part les dispositions visant à implémenter le règlement (UE) 2022/868, et d'autre part les dispositions relevant exclusivement du droit national, telles que l’introduction du principe du « once only ». 3 V. Document de scission du projet de loi n°8395 en date du 22 avril 2025, titre « I. Scission du projet de loi initial ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 4/13
17. Les dispositions concernant le principe du « once only » n’ont pas été modifiées substantiellement. Les recommandations formulées par la CNPD dans son avis du 20 décembre 2024 ne semblent pas avoir été prises en considération à ce stade. La Commission nationale considère alors que les recommandations précédemment formulées restent valables, les réitère et les complète par les éléments du présent avis.
18. L’avis de la CNPD se concentrera sur les conséquences de la scission du projet de loi et du dépôt des amendements sur ses futures attributions, sans revenir sur les observations formulées dans son avis initial du 20 décembre 2024, sauf lorsqu’une réitération, une clarification ou une précision s’avère nécessaire. II. Sur la désignation de la CNPD en tant qu’autorité compétente A. Autorité compétente en matière de services d’intermédiation de données
19. En vertu de l’article 12 du projet de loi A (article 39 du projet de loi avant scission), la CNPD est désignée « autorité compétente » responsable pour effectuer les tâches liées à la procédure de notification pour les services d’intermédiation de données, tel que visé à l’article 13 du règlement 2022/
21. Sur le pouvoir normatif de la CNPD et l’adoption d’un règlement interne relatif aux prestataires de services d’intermédiation de données a. De la nécessité de transférer certaines dispositions du projet B vers le projet A
22. La CNPD constate que les dispositions relatives à ses compétences en matière de notification des services d’intermédiation de données concernant l'élaboration d’un règlement interne et les redevances (respectivement les articles 41 et 42 du projet de loi avant scission) figurent désormais dans le projet de loi B (respectivement les articles 38 et 39). CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 5/13 6
23. La CNPD tient à souligner dans ce contexte que le Conseil d'Etat avait soulevé dans son avis sur le projet de loi n° 7184 dont est issu la loi du 1 er août 2018 4 qu’en « vertu de l’article 108bis de la Constitution, les établissements publics ne disposent d’un pouvoir réglementaire que « dans la limite de leur spécialité ». Le Conseil d'État s'oppose formellement au pouvoir réglementaire non autrement délimité de la CNPD, et ce conformément aux arrêts de la Cour constitutionnelle dans lesquels il est précisé « que le pouvoir normatif des établissements publics est tributaire du principe de spécialité dans leur domaine de compétence et reste réservé à des mesures de détail précises, de nature technique et à portée pratique, destinées à permettre à celles-ci l’exercice, de façon autonome, d’une mission de régulation sectorielle facilitant la mise en œuvre des normes établies par la loi et, le cas échéant, le règlement grand-ducal. »5
24. En conséquence, la CNPD craint que l’absence, dans le projet de loi A, des dispositions relatives à l'adoption de règlements internes et aux redevances, ne l'empêche de mettre en place les règlements internes et procédures nécessaires à l'exercice effectif des missions qui lui sont confiées par ce même projet de loi. Cette situation subsistera, en l'état, jusqu’à l’adoption du projet de loi B.
25. De ce fait, la CNPD estime nécessaire que les actuels articles 38 et 39 du projet de loi B figurent dans le projet de loi A. b. Sur la clarification du pouvoir normatif de la CNPD dans le cadre du contrôle des services d’intermédiation de données
26. Les observations formulées par la CNPD dans son avis initial concernant les articles 41 et 42 du projet de loi avant scission (désormais articles 38 et 39 du projet de loi B) restent également pleinement valables. Conséquemment, quand les auteurs du projet de loi compléteront le projet de loi A pour tenir compte des inquiétudes formulées ci-dessus par la CNPD, il sera essentiel que la disposition reprenant le contenu de l’article 38 du projet de loi B définisse de manière précise l'étendue du pouvoir normatif de la CNPD en matière de services d’intermédiation de données. 4 Avis du Conseil d'Etat n° CE 52.422 portant création de la Commission nationale pour la protection des données et la mise en oeuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l’État et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, doc. pari. 0’7184/
27. 6 Arrêts 76-96/13 du 19 mars 2013 de la Cour constitutionnelle. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 6/13
28. En effet, la CNPD estime que ledit article ne devrait pas uniquement faire référence à l'article 11 du règlement 2022/868 sur la notification des prestataires de services d'intermédiation de données. Plus précisément, il doit y être précisé que le pouvoir normatif de la CNPD englobe aussi la mise en œuvre de l'article 14 du règlement précité intitulé « Contrôle du respect des dispositions » afin de lui permettre de prévoir dans un règlement interne la procédure relative au contrôle et à la surveillance des prestataires de services d’intermédiation de données. c. Sur la clarification du pouvoir normatif de la CNPD concernant la procédure dite de « labellisation »
29. Bien que l’article 38 du projet de loi B fasse mention de l’article 11 du DGA, il est impératif que le législateur fasse également une référence explicite au paragraphe 9 de l’article 11 du DGA, qui introduit une procédure spécifique souvent désignée par les autorités compétentes des États membres et par le Comité européen pour l’innovation en matière de données (European Data Innovation Board, « EDIB ») sous le terme de « labellisation ». 6 Cette procédure, bien que rattachée à l’article relatif à la notification, se distingue clairement de la simple notification et implique une évaluation substantielle des engagements des prestataires. Son absence dans le projet de loi A pourrait créer une incertitude juridique quant à la compétence de la CNPD à encadrer cette procédure, qui constitue pourtant un volet essentiel du dispositif de régulation prévu par le DGA. d. Sur les redevances relatives à la procédure de « labellisation »
30. À l’instar de la nécessité de préciser les modalités de mise en œuvre de la procédure de labellisation prévue à l’article 11.9 du DGA, le législateur devrait également clarifier que la CNPD est habilitée à percevoir des redevances non seulement pour la procédure de notification, mais également pour celle de labellisation. Ces deux procédures, bien que rattachées à un même article du DGA, impliquent des niveaux d'intervention distincts de la part de l’autorité compétente. La labellisation implique une évaluation approfondie du respect des exigences du DGA par les prestataires d’intermédiation de données et peut générer une charge administrative significative pour la CNPD. Il est donc nécessaire que le projet de loi A prévoie explicitement la 6 Procédure de labellisation de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse française (ARCEP) : https://www.arcep.fr/mes-demarches-et-services/acteursrequles/prestataires-services-intermediation-donnees/fiches-pratiques/labellisation-prestataire-servicesintermediation-donnees-union-europeenne.html CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 7/13 possibilité pour la CNPD de fixer et de percevoir des redevances afférentes à ces deux procédures.
31. Sur la suppression des anciens articles 17 et 19 du projet de loi A
32. Depuis la version du projet de loi avant scission, deux articles précisaient que la CNPD disposait des pouvoirs de contrôles tels que prévus aux articles 14 et 24 du DGA. Ces articles étaient respectivement les articles 17 et 19 du projet A en date du 13 juin
33. Cependant les avantderniers amendements ont amené la suppression de ces deux articles au motif que « Ce[s] amendements] permettent] de supprimer une disposition déjà couverte par le règlement (UE) 2022/868 qui est d'application directe ».
34. Cependant, la CNPD ne peut pas se satisfaire de cette suppression. En effet, la Commission nationale considère que ce choix entraine une difficulté dans la délimitation précise des pouvoirs de la CNPD. Cette nécessité de délimitation précise a été formulée par le Conseil d'Etat dans son avis sur le projet de loi n°7184 précédemment cité
35. Bien que les règlements de l’Union européenne soient d’application directe, il appartient au législateur national de définir et délimiter avec précision les compétences réglementaires de la CNPD. Cette nécessité de délimitation est expliquée par le Conseil d’État dans son avis du 17 juin 2025, qui rappelle que la CNPD, en tant qu’établissement public créé par la loi du 1 er août 2018, est soumise au principe de spécialité consacré par l’article 129 de la Constitution. Ce principe impose que la portée de ses missions, ainsi que les pouvoirs dont elle dispose pour les exercer, soient définis avec précision par le législateur. Le Conseil d’État y recommande dès lors de modifier les sections III, IV et IX du chapitre 2 de la loi organique de la CNPD afin d’y inclure les missions, pouvoirs et sanctions découlant de nouvelles règlementations. 8 Dès lors, il conviendrait que le législateur réintègre ces dispositions supprimées au projet de loi A en les détaillant davantage.
36. Ces éléments sont étayés par les articles 14 et 15 du projet de loi A qui énoncent : « Dans le cadre de ses pouvoirs visés à l’article 14 [respectivement 24 pour l’article 15], paragraphe 4, du règlement (UE) 2022/868 [DGA]. [...] ». Ces deux articles confirment que la CNPD exerce des compétences sur le fondement des paragraphes 4 des articles 14 et 24 du DGA. Toutefois, les dispositions supprimées précisaient que la CNPD disposait de pouvoirs de contrôle en vertu de l’ensemble des articles 14 et
37. Cette suppression pourrait, par un raisonnement a contrario, 7 Avis du Conseil d’Etat n° CE 52.422, page
38. 8 Avis du Conseil d’État n° 62.002 du 17 juin 2025 relatif au projet de loi portant approbation du Protocole d’amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre 2018 ; page
39. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 8/13 laisser penser que le législateur ne souhaite conférer à la CNPD que les pouvoirs limités aux seuls paragraphes 4 de ces articles. Or, une telle interprétation serait contraire à l’esprit et à la lettre du DGA.
40. Afin d'éviter toute mauvaise interprétation et de garantir une délimitation précise des pouvoirs de la CNPD, il conviendrait, comme indiqué ci-dessus, que le législateur réintègre les dispositions supprimées au projet de loi A, en les précisant davantage. Cette clarification est essentielle pour assurer la sécurité juridique et la bonne articulation entre le droit national et le DGA.
41. Sur l’ajout des dispositions relatives aux sanctions au projet de loi A
42. La CNPD prend acte avec satisfaction de l’ajout, au projet de loi A, des dispositions relatives aux sanctions administratives applicables aux prestataires de services d’intermédiation (article 14 du projet de loi A), lesquelles figuraient auparavant à l’article 41 du projet de loi B dans sa version du 22 avril
44. La CNPD relève également que le contenu de cet article a été complété, ce qui contribue à en renforcer la clarté et la cohérence. B. Autorité compétente en matière d’altruisme de données
45. En vertu de l'article 13 du projet de loi A (ancien article 44 du projet de loi avant scission), la CNPD est désignée « autorité compétente » responsable du registre public national des organisations altruistes en matière de données, tel que visé à l'article 23 du DGA.
46. De la nécessité de prévoir un pouvoir normatif pour la CNPD en matière d’enregistrement et de contrôle des organisations altruistes
47. La CNPD constate qu’une disposition lui accordant un pouvoir normatif en matière d’enregistrement des organisations altruistes fait défaut.
48. La Commission nationale estime dès lors nécessaire de compléter le projet de loi A en ce sens. Un tel article pourrait avoir en partie la teneur suivante : « Un règlement interne de la CNPD définit la procédure et le contrôle en matière d’enregistrement et de contrôle des organisations altruistes, conformément aux articles 17 à 19 et 24 du règlement (UE) 2022/
49. », à l'instar de l’article 38 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 9/13 du projet de loi B accordant à la CNPD un pouvoir normatif en matière de services d’intermédiation de données 9 .
50. Sur l'introduction d’un régime de sanctions applicable aux organisations altruistes en matière de données
51. L’article 34 du DGA prévoit que les États membres déterminent le régime des sanctions applicables en cas de manquements des prestataires de services d’intermédiation de données et des organisations altruiste en matière de données.
52. La CNPD constate, dans ce contexte, que le régime des sanctions applicables aux prestataires de services d'intermédiation figurait déjà dans les précédentes versions des projets de loi. En revanche, un tel régime faisait défaut pour les organisations altruistes en matière de données, et ce jusqu'à l'introduction des dispositions correspondantes dans la version du projet de loi A du 13 juin
54. Désormais, grâce aux dispositions de l’article 15 du projet de loi A, la CNPD dispose de pouvoirs de sanction en la matière. La CNPD accueille favorablement cet ajout, qui contribuera à lui permettre de mener à bien ses missions. Il y a également lieu de relever avec intérêt le renforcement du contenu de cet article. III. Sur la clarification des termes « objectif d’intérêt général » et « infractions graves »
55. Le DGA introduit plusieurs notions clés, dont celles d’ « objectif d’intérêt général » et d’« infraction grave », sans en fournir de définitions précises. Il appartient donc au législateur luxembourgeois de préciser ces concepts afin d’assurer une application cohérente du DGA au niveau national.
56. La notion d’ « objectif d’intérêt général » fait partie intégrante de la définition de l'altruisme en matière de données, telle que prévue à l’article 4 du DGA. Cette disposition indique que ces objectifs sont « prévus par le droit national, le cas échéant ». L’exigence de cette définition nationale est également rappelée dans le document explicatif de la Commission européenne 9 V. paragraphes 15 à 20 du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 10/13 10 relatif à la mise en œuvre du DGA. Une clarification de ce terme posée par le législateur luxembourgeois semble donc indispensable pour permettre à la CNPD d’identifier correctement les organisations relevant de l’altruistes de données.
57. De même, la notion d'« infraction grave » apparaît notamment à l’article 14 du DGA, en lien avec les mécanismes de contrôle et de sanction des prestataires de services d’intermédiation de données. Une définition claire est également nécessaire pour permettre à la CNPD d’exercer correctement ses missions de contrôle.
58. C’est pourquoi le législateur devrait soit définir ces notions dans la loi nationale, soit, à défaut, prévoir expressément la possibilité pour la CNPD de les préciser dans ses règlements internes. Précision sur le caractère obligatoire d’intermédiation de données IV. de la notification pour les services
59. Conformément à l’article 11.1 du DGA, les prestataires de services d'intermédiation de données sont tenus de notifier leur intention de fournir de tels services à l’autorité compétente avant de pouvoir débuter leur activité. Cette exigence est clairement rappelée dans le document explicatif 11 de la Commission européenne sur la mise en œuvre du DGA.
60. Il conviendrait donc que la loi nationale transpose explicitement cette obligation, en précisant que l’exercice de l'activité d’intermédiation de données est subordonné à une notification préalable. À cet égard, le législateur luxembourgeois pourrait utilement s'inspirer du Code de droit économique belge, dont l'article XII.40.1 dispose que « [...] tout prestataire de services d'intermédiation de 10 guidance document, page 12 : https://diqitalImplementing the Data Governance Act strateqv.ec.europa.eu/en/librarv/new-practical-quide-data-qovernance-act : « Chapitre IV — altruisme en matière de données : L'altruisme en matière de données concerne les personnes physiques et les entreprises qui donnent leur consentement ou leur autorisation de mettre à disposition des données les concernant — volontairement et sans contrepartie — pour être utilisées à des fins d’intérêt général. Ces objectifs peuvent inclure les soins de santé, la lutte contre le changement climatique, l'amélioration de la mobilité, la facilitation du développement, de la production et de la diffusion de statistiques officielles, l'amélioration de la fourniture de services publics, l’élaboration des politiques publiques et le soutien à la recherche scientifique. La notion d’ «objectif d'intérêt général» est laissée à la définition du droit national et il existe des différences entre les États membres. Les règles nationales relatives aux organisations caritatives peuvent indiquer si un objectif poursuivi par une organisation constitue un «objectif d'intérêt général» au sens de la DGA. Les personnes concernées et les détenteurs de données devraient pouvoir recevoir une compensation liée uniquement aux coûts qu'ils supportent lors de la mise à disposition de leurs données. » 11 Implementing the Data Governance Act - guidance document : https://diqital-strateqy.ec.europa.eu/en/librarv/newpraclical-quide-data-qovernance-act : « Article 11 — les intermédiaires seront tenus de notifier à l'autorité compétente leur intention de fournir de tels services. Ils peuvent commencer les activités d’intermédiation après la notification. ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 11/13 données peut uniquement exercer son activité d'intermédiation de données pour autant qu'il ait procédé à la notification préalable de son activité auprès de l'organe d'inscription. ».
61. Cette clarification permettrait de distinguer clairement les prestataires de services d'intermédiation de données, soumis à une obligation de notification, des organisations altruistes de données, pour lesquelles l'enregistrement demeure volontaire. Elle renforcerait également la sécurité juridique et la transparence du cadre national de la gouvernance des données. V. Sur l’articulation des dispositions des présents projets de lois et celles de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données
62. Les projets de loi A et B confèrent à la CNPD de nouvelles missions dans le cadre de la mise en œuvre du DGA. Afin d’assurer une meilleure lisibilité et compréhension de l’ensemble des compétences que la CNPD sera amenée à exercer, il apparaît nécessaire que ces nouvelles attributions soient intégrées explicitement dans la loi du 1 er août 2018 portant organisation de la CNPD (ci-après « loi du 1 er août 2018 » ou « loi organique »).
63. Cette intégration serait d'autant plus cohérente que les projets de loi modifient déjà la loi du 1 er août 2018 pour y introduire les dispositions relatives à la création du CGSD. Il serait donc logique d’y inscrire également les nouvelles missions de la CNPD, afin de garantir une vision claire et structurée de son rôle.
64. En l'état actuel, les dispositions de la loi organique de la CNPD ne permettent pas de couvrir les nouvelles missions prévues par les projets de loi susmentionnés. En effet, l’article 4 de la loi du 1er août 2018 énumère de manière limitative les compétences de la CNPD, en les rattachant exclusivement aux traitements de données à caractère personnel.
65. Sur ce point, il est renvoyé aux développements formulés sous le paragraphe 24 du présent avis. Il y a lieu de rappeler l’avis du Conseil d'État du 17 juin 2025 12 qui considère que la CNPD, en tant qu'établissement public créé par la loi du 1 er août 2018, est soumise au principe de spécialité consacré par l'article 129 de la Constitution. Ce principe impose que la portée de ses missions, ainsi que les pouvoirs dont elle dispose pour les exercer, soient définis avec précision par le législateur. Le Conseil d’État y recommande dès lors de modifier les sections III, IV et IX du 12 Avis du Conseil d'État n° 62.002 du 17 juin 2025, page
66. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 12/13 chapitre 2 de la loi organique afin d’y inclure les missions, pouvoirs et sanctions découlant de nouvelles règlementations. Ainsi adopté à Belvaux en date du 14 novembre
67. La Commission nationale pour la protection des données CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395A 13/13