SYVICOL Syndicat des Villes et Communes Luxembourgeoises Projet de loi n°8395A portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données Avis complémentaire du Syndicat des Villes et Communes Luxembourgeoises I. Remarques générales Le SYVICOL a été demandé en son avis sur le projet de loi n°8395A portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l’article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données par courriel de Madame la Ministre de la Digitalisation en date du 20 août
- Syndicat des Villes et Communes Luxembourgeoises 3, rue Guido Oppenheim L-2263 Luxembourg T +352 44 36 58 - 1 E info@syvicol.lu www.syvicol.lu Réf. : AV25-53-PL8395A Le projet de loi sous rubrique résulte de la scission du projet de loi n°8395 relative à la valorisation des données dans un environnement de confiance, à propos duquel le SYVICOL avait émis un avis en date du 31 mars 20251, en deux projets de loi distincts n°8395A et n°8395B. Cette scission a été décidée par la Commission parlementaire de l’Enseignement supérieur, de la Recherche et de la Digitalisation lors de sa réunion du 22 avril
- Elle s’explique par l’urgence de notifier les différents organismes et autorités compétentes prévus au règlement (UE) 2022/868 à la Commission européenne, ce qui aurait déjà dû être fait pour le 24 septembre
- La Commission suggère dès lors de procéder dans les plus brefs délais au vote des dispositions relatives à la désignation des autorités compétentes, désormais intégrées dans les dispositions du projet de loi n°8395A, tout en accordant un délai suffisant aux parties prenantes impliquées dans la procédure législative pour examiner de manière appropriée les autres dispositions du projet de loi n°8395, actuellement inscrites dans le projet de loi n°8395B. Ainsi, le SYVICOL a été saisi de deux documents contenant des amendements gouvernementaux concernant le projet de loi n°8395A, faisant suite aux amendements parlementaires ayant conduit à la scission du projet de loi n°8395, à savoir les amendements du 13 juin 2025 et ceux du 11 juillet
- Le premier document contenant les amendements gouvernementaux du 13 juin 2025 (document parlementaire n°8395A4), crée le Commissariat du Gouvernement à la souveraineté des données, afin de tenir compte des remarques du Conseil d’Etat dans son avis du 3 juin 2025, d’où s’explique également le changement de l’intitulé du projet de loi. Parmi ses observations concernant l’article premier du projet de loi n°8395, le Conseil d’État avait noté que le Commissariat du Gouvernement à la protection des données auprès de l’État ne peut pas être habilité à octroyer ou à refuser l’accès aux fins de la réutilisation des données, puisqu’il assure la fonction de délégué à la protection des données pour plusieurs organismes du secteur public. Par conséquent, le Gouvernement a décidé de créer le Commissariat à la souveraineté des données, divisé en quatre départements distincts afin de garantir les exigences d’indépendance et d’impartialité entre le département « Délégué à la protection des données du secteur public » et les tâches dont le futur Commissariat sera chargé conformément à l’article 7, paragraphe 2, du règlement (UE) 2022/868, quand ce dernier agit en tant qu’ « Autorité luxembourgeoise des données ». Les quatre départements se présentent comme suit : 1° le département Délégué à la protection des données du secteur public ; 2° le département Conseil et guidance en gouvernance des données ; 3° l’Autorité luxembourgeoise des données ; 4° le département Affaires générales. Partant, le Commissariat du Gouvernement à la protection des données auprès de l’État deviendra le Commissariat du Gouvernement à la souveraineté des données, dont le département « Délégué à la protection des données du secteur public » exercera les missions 1 Document parlementaire n° 83958 2 de délégué à la protection des données pour le secteur étatique ainsi que pour les communes ayant désigné le Commissaire du Gouvernement à la protection des données auprès de l’État en tant que DPO. Le Commissariat du Gouvernement à la souveraineté des données, et plus précisément l’Autorité luxembourgeoise des données nouvellement créée, sera habilité, conformément à l’article 7, paragraphe 2, du règlement (UE) 2022/868, à octroyer ou à refuser l’accès aux données et leur réutilisation, permettant ainsi de garantir l’indépendance et l’impartialité du département « Délégué à la protection des données du secteur public » conformément aux articles 38 et 39 du règlement général sur la protection des données (règlement (UE) 2016/679). Le deuxième document contenant les amendements gouvernementaux du 11 juillet 2025 (document parlementaire 8395A/05), contient des modifications visant à alléger le texte et à réduire les formalités administratives, et ainsi à contribuer à une mise en oeuvre rapide du règlement (UE) 2022/868 au Luxembourg. D’une manière générale, le SYVICOL approuve les amendements gouvernementaux au projet de loi n°8395A, sauf les observations suivantes, formulées sur base du document parlementaire 8395A5 contenant les amendements gouvernementaux du 11 juillet 2025 et le texte coordonné du projet de loi tenant en compte ces amendements. II. Eléments-clés de l’avis • • Le SYVICOL salue l’allègement du texte par les amendements gouvernementaux du 13 juin 2025 et du 11 juillet
- Il est cependant toujours d’avis que la mise en oeuvre du règlement (UE) 2022/868 et du principe « once only » nécessitera un effort concerté au niveau étatique et communal et, par conséquent, il apprécierait que les communes puissent bénéficier des mêmes avantages que les instances étatiques. (amendement 2) III. Remarques article par article Amendement n° 2 Le deuxième amendement modifie le nouvel article 6 du projet de loi, introduit par l’amendement n°11 du document parlementaire n°8395A
- Cet article précise les missions du futur département « Conseil et guidance en gouvernance des données » du Commissariat du Gouvernement à la souveraineté des données. Ce département aura notamment pour missions de : 1° développer la protection des données à caractère personnel, et de dispenser des conseils en matière de gouvernance des données et de l’intelligence artificielle au sein de l’administration étatique ; 2° promouvoir les bonnes pratiques dans les domaines visés au point 1° à travers l’administration étatique ; 3° sensibiliser, dans les domaines visés au point 1°, les agents de l’État concernés, les entités publiques, les organismes de droit public et le public ; 3 4° contribuer à la mise en oeuvre cohérente des politiques dans les domaines visés au point 1° en conseillant, sur demande, les membres du Gouvernement. Dans ce contexte, le SYVICOL se demande pourquoi le Gouvernement semble exclure les communes des missions du département « Conseil et guidance en gouvernance des données » contenues sous les points 1°, 2° et 4°. Les communes seront uniquement en mesure de profiter des mesures de sensibilisation en matière de la protection des données à caractère personnel et en matière de gouvernance des données et de l’intelligence artificielle. Certes, la promotion de bonnes pratiques et une mise en oeuvre cohérente des politiques dans les domaines de la protection des données à caractère personnel, en matière de gouvernance des données et en matière de l’intelligence artificielle à travers tout le secteur étatique et communal est recommandable. De plus, au vu des remarques émises par le SYVICOL dans son avis du 31 mars 2025, surtout celles concernant les articles 15 à 18 et 25 à 38 concernant la complexité des procédures relatives à la réutilisation et au traitement ultérieur de données ainsi qu’à l’anonymisation et à la pseudonymisation des données, le SYVICOL aurait salué l’inclusion d’une disposition autorisant les communes à saisir le département « Conseil et guidance en gouvernance des données » afin de pouvoir profiter des conseils émis en matière de gouvernance des données. Cette démarche aurait également été plus en concordance avec les dispositions de l’article 4 du projet de loi, qui reprend les dispositions de l’article 58 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données et qui autorise les collèges des bourgmestre et échevins à désigner le Commissariat du Gouvernement à la protection des données auprès de l’État en tant que DPO de leur commune. En bref, le SYVICOL est d’avis que la mise en oeuvre du règlement (UE) 2022/868 et du principe « once only » nécessitera un effort concerté au niveau étatique et communal et, par conséquent, il apprécierait que les communes puissent bénéficier des mêmes avantages que les instances étatiques. De manière générale et en guise de conclusion, le SYVICOL salue l’allègement du texte par les amendements gouvernementaux du 13 juin 2025 et du 11 juillet 2025 et il n’a pas d’autres observations particulières à émettre concernant les amendements sous revue. Adopté unanimement par le comité du SYVICOL, le 10 novembre 2025 4