(1)Le traitement ultérieur de données à caractère personnel par des entités publiques est autorisé si : 1° les conditions énoncées au présent titre sont remplies ; 2° que le traitement des données à caractère personnel est effectué exclusivement pour une ou plusieurs des finalités suivantes : Page 11 of 29

1. a)l’analyse statistique ;
2. b)les activités d’éducation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur
3. c)la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
4. d)l’évaluation et la planification des politiques envisagées ou planifiées par le Gouvernement et approuvées par décision du Gouvernement en conseil, ou en ce qui concerne les communes, envisagées ou planifiées par le Conseil communal ;
5. e)lorsque la mise en œuvre d’un accord international requiert la communication d’informations ou lorsque le traitement ultérieur des données à caractère personnel permet de répondre aux demandes d’informations officielles provenant de gouvernements étrangers ou d’organisations internationales approuvées par décision du Gouvernement en conseil ;
6. f)les activités de développement, d’évaluation, de démonstration, de sécurité et d’innovation de dispositifs ou de services ;
7. g)la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numériques.

(2)Le traitement ultérieur des données à caractère personnel, y compris leur partage et leur mise à disposition, par les entités publiques conformément au présent titre, est licite au sens de l’article 6, paragraphe 1er, lettre e), et, si applicable, de l’article 9, paragraphe 2, lettre g) ou j) du règlement (UE) 2016/679. Art. 16. Conditions d’anonymisation et de pseudonymisation des données à caractère personnel

(1)Les données à caractère personnel détenues par des entités publiques doivent être anonymisées préalablement à leur traitement ultérieur aux fins énoncées à l’article 15, paragraphe 1er, point 2°.

(2)Lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel doivent être pseudonymisées préalablement à leur traitement ultérieur aux fins énoncées à l’article 15, paragraphe 1er, point 2°.

(3)Lorsque le traitement ultérieur de données à caractère personnel pseudonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel peuvent être traitées ultérieurement aux fins énoncées à l’article 15, paragraphe 1 er, point 2°, de manière nonpseudonymisées dans les limites du strict nécessaire.

(4)Les entités publiques qui détiennent les données à caractère personnel sont tenus d’identifier les informations protégées pour des motifs de protection des données à caractère personnel. Elles renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

(5)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel sont tenues d’une obligation de confidentialité interdisant la divulgation de toute information Page 12 of 29 compromettant les droits et intérêts de la personne concernée qu’elles peuvent avoir acquise malgré les garanties mises en place conformément aux dispositions de la présente loi. Sans préjudice du paragraphe 3, il est interdit aux entités publiques effectuant le traitement ultérieur de données à caractère personnel de rétablir l’identité de toute personne concernée à laquelle se rapportent les données à caractère personnel. Les entités publiques prennent des mesures techniques et opérationnelles pour empêcher toute réidentification. Section II – Traitement ultérieur de données à caractère personnel par la même entité publique Art. 17. Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel par la même entité publique

(1)Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel qu’elle détient pour les finalités énoncées à l’article 15, paragraphe 1 er, point 2°, sous réserve du respect des dispositions de l’article 16.

(2)Lorsque le traitement ultérieur porte sur des données à caractère personnel visées aux articles 9, paragraphe 1er, et 10 du règlement (UE) 2016/679, les données à caractère personnel ne peuvent pas être traitées ultérieurement de manière non-anonymisées ou non-pseudonymisées. Section III – Traitement ultérieur de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques Art. 18. Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques

(1)Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel détenues par une autre entité publique pour les finalités énoncées à l’article 15, paragraphe 1er, point 2°, aux conditions suivantes : 1° l’entité publique qui détient les données à caractère personnel a marqué son accord par :

1. a)l’inscription des données à caractère personnel disponibles sur la liste des ressources consultables tenues par le point d’information unique, conformément au paragraphe 3 ; ou
2. b)la contresignature de la demande visée à l’article 27 ; 2° le traitement ultérieur de données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard des finalités poursuivies ; 3° les données à caractère personnel sont anonymisées préalablement au traitement ultérieur des données à caractère personnel, ou lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, si :
3. a)l’Autorité luxembourgeoise des données, après l’accord de l’entité publique qui détient les données à caractère personnel, autorise le traitement ultérieur de données à caractère personnel conformément à l’article 31 ;
4. b)les données à caractère personnel sont pseudonymisées préalablement à leur traitement ultérieur ;
5. c)le traitement ultérieur de données à caractère personnel est effectué dans l’environnement de traitement sécurisé prévu à l’article 36. Page 13 of 29

(2)L’entité publique sollicitant le traitement ultérieur de données à caractère personnel détenues par une autre entité publique qui se voit opposer un refus de partage par l’entité publique détenant les données à caractère personnel sollicitées peut saisir pour avis le Conseil consultatif. Le Conseil consultatif émet un avis quant à la demande de partage dans un délai de trois semaines. L’avis du Conseil consultatif est communiqué à l’entité publique qui sollicite le partage ainsi qu’à l’entité publique détenant les données à caractère personnel, qui est appelée à considérer à nouveau la demande de partage. L’entité publique détenant les données à caractère personnel sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Elle transmet une copie de sa décision finale sans délai à l’entité publique qui sollicite le partage et au Conseil consultatif. L’absence de décision finale de l’entité publique détenant les données à caractère personnel sollicitées dans le délai imparti vaut refus. En cas d’accord, l’entité publique détentrice des données à caractère personnel contresigne la demande visée à l’article 27.

(3)Le point d’information unique met à disposition par voie électronique une liste de ressources consultable contenant un aperçu de toutes les ressources en données disponibles en vue de leur traitement ultérieur conformément au présent titre, avec des informations pertinentes décrivant les données à caractère personnel disponibles, y compris au minimum le format et la taille des données ainsi que les conditions applicables à leur traitement ultérieur. TITRE VI – Accès et réutilisation des données détenues par des organismes du secteur public par des réutilisateurs de données Section I –

(1)Le présent titre s’applique à l’accès et à la réutilisation, par un réutilisateur de données, des données détenues par des organismes du secteur public, conformément au règlement (UE) 2022/868, qui sont protégées pour des motifs : 1° de confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise ; 2° de secret statistique ; 3° de protection des droits de propriété intellectuelle de tiers ; ou 4° de protection des données à caractère personnel, dans la mesure où de telles données ne relèvent pas du champ d’application de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public.

(2)Le présent titre ne s’applique pas : 1° aux données énoncées à l’article 3, paragraphe 2, du règlement (UE) 2022/868 ; 2° aux cas visés par les autres titres de la présente loi. Art.

1. Finalités d’accès et réutilisation des données autorisées Page 14 of 29 L’accès et la réutilisation des données par des réutilisateurs de données sont autorisés si : 1° les conditions énoncées à la section II sont remplies ; 2° l’accès et la réutilisation des données est effectué exclusivement pour une ou plusieurs des finalités visées à l’article 15, paragraphe 3, point 1° loi du […] portant création du Commissariat du Gouvernement à la souveraineté des données. Art.
2. Conditions d’anonymisation, de pseudonymisation et de méthodes de contrôle de divulgation des données

(1)Les données à caractère personnel détenues par des organismes du secteur public doivent être anonymisées préalablement à l’accès et à la réutilisation par le réutilisateur de données.

(2)Lorsque l’accès et la réutilisation de données à caractère personnel anonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel doivent être pseudonymisées préalablement à l’accès et à la réutilisation par le réutilisateur de données.

(3)Les accès et réutilisations effectués conformément au présent titre, par des réutilisateurs de données, de données à caractère personnel détenues par les organismes du secteur public, sous une forme non anonymisée ou non pseudonymisée, sont interdits.

(4)Les données détenues par des organismes du secteur public doivent être modifiées, agrégées, supprimées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à l’accès et à la réutilisation par le réutilisateur de données, pour éviter toute atteinte disproportionnée aux droits de propriété intellectuelle, à la confidentialité commerciale, y compris le secret d’affaires, au secret professionnel, au secret d’entreprise et au secret statistique.

(5)Les organismes du secteur public qui détiennent les données à caractère personnel et les données à caractère non personnel sont tenus d’identifier les données protégées pour les motifs visés à l’article 19, paragraphe 1er. Ils renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

(6)Les réutilisateurs de données sont tenus d’une obligation de confidentialité interdisant la divulgation de toute information compromettant les droits et intérêts protégés par la présente loi qu’ils peuvent avoir acquis malgré les garanties mises en place conformément aux dispositions de la présente loi. Il est interdit aux réutilisateurs de données de rétablir l’identité de toute personne concernée à laquelle se rapportent les données. Les réutilisateurs de données prennent les mesures techniques et opérationnelles nécessaires pour empêcher toute réidentification. Section II – Conditions applicables à la réutilisation de données à caractère personnel Art. 22. L’accès et la réutilisation de données à caractère personnel par des réutilisateurs de données

(1)Un réutilisateur de données peut accéder et réutiliser les données à caractère personnel détenues par un organisme du secteur public pour les finalités énoncées à l’article 20, paragraphe 1er, point 2°, aux conditions cumulatives suivantes : Page 15 of 29 1° l’Autorité luxembourgeoise des données, après l’accord de l’organisme du secteur public l’entité publique qui détient les données à caractère personnel, autorise l’accès et la réutilisation conformément à l’article 31 ; 2° l’organisme du secteur public qui détient les données a marqué son accord par :

1. a)l’inscription des données disponibles sur la liste des ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868; ou
2. b)la contresignature de la demande visée à l’article 28 3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 4° les données à caractère personnel sont anonymisées ou pseudonymisées préalablement à leur accès et à leur réutilisation ; 5° l’accès et la réutilisation des données à caractère personnel se font dans l’environnement de traitement sécurisé visé à l’article 36.

(2)Le traitement de données à caractère personnel, y compris leur partage et leur mise à disposition, par les organismes du secteur public conformément au présent titre, est licite au sens de l’article 6, paragraphe 1er, lettre

1. e)et, si applicable, de l’article 9, paragraphe 2, lettre
2. g)ou
3. j)du règlement (UE) 2016/679. Section III – Conditions applicables à la réutilisation de données à caractère non personnel Art. 23. L’accès et la réutilisation de données à caractère non personnel détenues par les organismes du secteur public

(1)Un réutilisateur de données peut accéder et réutiliser les données à caractère non personnel détenues par un autre organisme du secteur public et protégées pour les motifs visés à l’article 19, paragraphe 1er, points 1° à 3°, aux conditions cumulatives suivantes : 1° l’Autorité luxembourgeoise des données, après l’accord de l’entité publique qui détient les données à caractère personnel, autorise l’accès et la réutilisation conformément à l’article 31 ; 2° l’organisme du secteur public qui détient les données a marqué son accord par :

1. a)l’inscription des données disponibles sur la liste des ressources consultables tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; ou
2. b)la contresignature de la demande visée à l’article 28 ; 3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1er, points 1° à 3° ; 4° les données à caractère non personnel sont modifiées, agrégées, supprimées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à leurs accès et à leur réutilisation ; Page 16 of 29 5° l’accès et la réutilisation des données à caractère non personnel se font dans l’environnement de traitement sécurisé visé à l’article 36. Section IV – Conditions applicables à la réutilisation d’ensembles contenant des données à caractère personnel et des données à caractère non personnel Art. 24. Conditions applicables à la réutilisation d’ensembles mixtes de données détenus par les organismes du secteur public Lorsque l’accès et la réutilisation portent sur un ensemble de données détenu par un organisme du secteur public qui contient des données à caractère personnel et des données à caractère non personnel, l’accès et la réutilisation sont soumis aux conditions énoncées aux articles 19 à 23. TITRE VII – Modalités applicables au traitement ultérieur des données à caractère personnel par les entités publiques et à l’accès et à la réutilisation de données par des réutilisateurs de données Section I –

(1)Les demandes de traitement ultérieur de données à caractère personnel visées au titre V ainsi que les demandes d’accès et de réutilisation visées au titre VI à présenter à l’Autorité luxembourgeoise des données doivent être formulées de façon précise et revêtir une forme écrite.

(2)Toute modification substantielle de la demande intervenant au cours de l’instruction de la demande par l’Autorité luxembourgeoise des données qui affecte les informations et pièces visées aux articles 27 et 28 nécessite le dépôt d’une nouvelle demande conformément à l’article 29. Art. 27. Contenu de la demande de traitement ultérieur de données à caractère personnel

(1)Dans les cas visés au titre V, la demande à présenter par les entités publiques effectuant le traitement ultérieur des données à caractère personnel doit contenir les informations suivantes : 1° les coordonnées des entités publiques effectuant le traitement ultérieur des données à caractère personnel ; 2° les coordonnées des entités publiques détentrices des données à caractère personnel ; 3° une description détaillée du contexte du traitement de données à caractère personnel envisagé ; 4° une description détaillée des catégories de données à caractère personnel et des catégories de personnes concernées ; 5° la base de licéité du traitement ainsi qu’une description détaillée des finalités du traitement; Page 17 of 29 6° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation et de pseudonymisation des données à caractère personnel, en particulier la justification du respect des conditions visées à l’article 16 ; 7° la durée du traitement de données à caractère personnel envisagée dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; 8° les destinataires de données à caractère personnel et, le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ainsi que l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679 ; 9° les motifs pour lesquels le traitement ultérieur des données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 10° les motifs pour lesquels les données à caractère personnel sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ; 11° le cas échéant, une description détaillée des données à caractère personnel provenant de sources autres que les entités publiques effectuant le traitement ultérieur de données à caractère personnel et les entités publiques détenant les données à caractère personnel, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée ; 12° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ; 13° la signature de la demande par toutes les entités publiques visées au point 1° ; 14° pour les cas visés à l’article 18, paragraphe 1 er, point 1°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 18, paragraphe 3 ; 15° pour les cas visés à l’article 18, paragraphe 1, point 1°, lettre b), la signature de la demande par toutes les entités publiques visées au point 2°.

(2)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel, en leur qualité de responsables du traitement, joignent les documents suivants à leur demande : 1° si applicable, l’analyse d’impact relative à la protection des données à caractère personnel visée par l’article 35 du règlement (UE) 2016/679 ; 2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ; 3° le plan de confidentialité signé par toutes les parties visées à l’article 35, paragraphe 2 ; 4° l’attestation de faisabilité visée à l’article 35, paragraphe 3, émise par le Centre ; Page 18 of 29 5° si applicable, une copie de l’avis du Conseil consultatif visé à l’article 18, paragraphe 2.

(3)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel : 1° certifient l’exactitude des informations contenues dans la demande et les pièces jointes visées au présent article ; 2° certifient que le plan de confidentialité correspond aux informations contenues dans la demande présentée à l’Autorité luxembourgeoise des données ; 3° s’engagent formellement à respecter les termes de l’autorisation de l’Autorité luxembourgeoise des données et du plan de confidentialité. Art. 28. Contenu de la demande d’accès et de réutilisation de données

(1)Dans les cas visés au titre VI, la demande à présenter par les réutilisateurs des données doit contenir les informations suivantes : 1° les coordonnées des réutilisateurs des données ; 2° les coordonnées des organismes du secteur public détenant les données ; 3° une description détaillée du contexte de l’accès et de la réutilisation des données ; 4° une description détaillée des données et des catégories de personnes visées par la demande ; 5° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation, de pseudonymisation et d’agrégation des données visées à l’article 21, en particulier la justification du respect des conditions visées à l’article 21 ; 6° les motifs pour lesquels les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ; 7° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1 er ; 8° les destinataires de données ; 9° le cas échéant, une description détaillée des données provenant des réutilisateurs de données et/ou de détenteurs de données autres que les organismes du secteur public, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée par le réutilisateur de données ; 10° la durée d’accès et de réutilisation des données dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; 11° le cas échéant, l’intention d’effectuer un transfert de données vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ; 12° la signature de la demande par tous les réutilisateurs des données visés au point 1° ; 13° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre a), et à l’article 23, paragraphe 2, point 2°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de Page 19 of 29 ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; 14° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre b), et à l’article 23, paragraphe 2, point 2°, lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2°.

(2)Lorsque la demande porte sur des données à caractère personnel, elle contient également les informations suivantes : 1° la base de licéité du traitement de données à caractère personnel ainsi qu’une description détaillée des finalités du traitement de données à caractère personnel ; 2° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 3° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ; 4° le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679.

(3)La demande doit être accompagnée du plan de confidentialité signé par toutes les parties visées à l’article 35, paragraphe 2, et de l’attestation de faisabilité visée à l’article 35, paragraphe 3, émise par le Centre.

(4)Les réutilisateurs de données effectuant l’accès et la réutilisation des données à caractère personnel, en leur qualité de responsables du traitement, joignent les documents suivants à leur demande : 1° si applicable, l’analyse d’impact relative à la protection des données visée par l’article 35 du règlement (UE) 2016/679 ; 2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ; 3° si applicable, une copie de l’avis du Conseil consultatif visé aux articles 22, paragraphe 3, et 23, paragraphe 2.

(5)Les réutilisateurs de données : 1° certifient l’exactitude des informations contenues dans la demande et les pièces jointes visées au présent article ; 2° certifient que le plan de confidentialité correspond aux informations contenues dans la demande présentée à l’Autorité luxembourgeoise des données ; 3° s’engagent formellement à respecter les termes de l’autorisation de l’Autorité luxembourgeoise des données et du plan de confidentialité. Section III – Instruction de la demande par l’Autorité luxembourgeoise des données Page 20 of 29 Art. 29. Dépôt et procédure d’instruction de la demande

(1)Le dépôt des demandes visées à la section II, dénommé ci-après la « demande », se fait auprès de l’Autorité luxembourgeoise des données.

(2)L’Autorité luxembourgeoise des données statue dans un délai de deux mois à compter du dépôt de la demande. En cas de demande exceptionnellement détaillée et complexe, le délai de deux mois peut être prolongé de trente jours au maximum. L’Autorité des données informe le demandeur dès que possible de la nécessité du délai supplémentaire pour instruire la demande, ainsi que des raisons qui justifient ce délai.

(3)Pour les cas visés à l’article 31, paragraphe 5, l’Autorité des données statue dans un délai d’un mois à compter du dépôt de la demande de modification ponctuelle. Dans les cas où le délai d’instruction de la demande par l’Autorité des données excède la durée couverte par l’autorisation initiale adoptée par cette dernière, les données disponibles dans l’environnement de traitement sécurisé sont conservées dans un système d’archivage intermédiaire à accès restreint pendant le délai d’instruction de la demande par l’Autorité des données, et ce jusqu’à adoption de la décision finale. Le système d’archivage intermédiaire et les systèmes informatiques par lesquels le traitement ultérieur des données à caractère personnel ou l’accès et la réutilisation des données sont opérés, doivent être aménagés de sorte que leur accès est sécurisé, moyennant une authentification forte, et que les informations relatives au gestionnaire du dossier ayant initié la requête, les informations demandées, la date et l’heure puissent être retracées.

(4)La demande ne comprenant pas tous les éléments énoncés aux articles 27 ou 28 est déclarée irrecevable.

(5)L’Autorité des données peut demander des renseignements complémentaires aux demandeurs. En pareil cas, les délais visés aux paragraphes 2 et 3 sont suspendus à compter de la transmission de la demande de renseignements complémentaires, et ce jusqu’à réception par l’Autorité des données des renseignements sollicités. Faute de réponse du demandeur dans un délai d’un mois, la demande est rejetée d’office.

(6)Les échanges et démarches visés au présent article se font par voie électronique via le point d’information unique.

(7)L’Autorité des données peut transmettre la demande de traitement ultérieur de données à caractère personnel visée à l’article 27 et la demande d’accès et de réutilisation visée à l’article 28 au Conseil consultatif pour avis. Elle y joint toute autre pièce dont elle dispose qui est sollicitée par le Conseil consultatif. L’absence d’avis du Conseil consultatif dans un délai de trois semaines à compter de la transmission de la demande et de la décision de l’organisme du secteur public détenant les données, vaut avis favorable. Art.

1. Redevances Page 21 of 29 Pour chaque demande visée à l’article 28, une redevance est fixée par l’Autorité des données pour couvrir les frais administratifs occasionnés par le traitement de la demande et par la mise à disposition des données dans l’environnement de traitement sécurisé. Un règlement grand-ducal détermine la procédure applicable à la perception de la redevance. Art.
2. Autorisation par l’Autorité luxembourgeoise des données

(1)Dans les cas visés au titre V, l’Autorité luxembourgeoise des données autorise le traitement ultérieur de données à caractère personnel lorsque : 1° la demande visée à l’article 27 est complète et accompagnée de toutes les pièces visées à l’article 27, paragraphe 2 ; 2° pour les cas visés à l’article 18, paragraphe 3), point 3°, lettre

1. a):
2. a)la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ;
3. b)la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe ; 3° le traitement ultérieur de données à caractère personnel est exclusivement effectué pour une ou plusieurs finalités visées à l’article 15, paragraphe 1 er, point 2 ; 4° le traitement ultérieur de données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie.

(2)Dans les cas visés au titre VI, l’Autorité luxembourgeoise des données autorise l’accès et la réutilisation de données : 1° dans le cas où la demande vise l’accès et la réutilisation de données à caractère personnel, lorsque :

1. a)la demande visée à l’article 28 est complète et accompagnée de toutes les pièces visées à l’article 28, paragraphes 3 et 4 ;
2. b)pour les cas visés à l’article 22, paragraphe 2, point 2° : i. lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; ii. lettre b), la signature de la demande par tous les organismes du secteur public concernés ;
3. c)l’accès et la réutilisation de données est exclusivement effectuée pour une ou plusieurs finalités visées à l’article 20, paragraphe 1er, point 2° ;
4. d)l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ;
5. e)la réutilisation des données n’entraine pas un risque pour la défense nationale, la sécurité publique ou l’ordre public. Page 22 of 29 2° dans les cas où la demande vise l’accès et la réutilisation de données à caractère non personnel, lorsque :
6. a)la demande visée à l’article 28 est complète et est accompagnée de toutes les pièces visées à l’article 28, paragraphes 3 et 4 ;
7. b)pour les cas visés à l’article 23, paragraphe 2, point 2° : i. lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2, du règlement (UE) 2022/868 ; ii. lettre b), la signature de la demande par tous les organismes du secteur public concernés ;
8. c)la réutilisation est exclusivement effectuée pour une ou plusieurs finalités visées à l’article 20, paragraphe 1er, point 2 ;
9. d)l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 20, paragraphe 1er, points 1° à 3° ;
10. e)la réutilisation des données n’entraine pas un risque pour la défense nationale, la sécurité publique ou l’ordre public. 3° dans le cas où la demande vise l’accès et la réutilisation d’ensembles mixtes de données, les conditions prévues aux points 1° et 2° s’appliquent.

(3)La décision d’autorisation ou de refus de l’Autorité luxembourgeoise des données est motivée. L’Autorité luxembourgeoise des données joint la demande et, si applicable, l’avis du Conseil consultatif à sa décision.

(4)Toute modification substantielle du traitement ultérieur de données à caractère personnel visé au titre V ou de l’accès et de la réutilisation des données visés au titre VI couverts par une autorisation de l’Autorité luxembourgeoise des données conformément au présent article, doit faire l’objet d’une nouvelle demande et d’une nouvelle autorisation par l’Autorité des données, conformément aux dispositions des articles 27 à 31.

(5)Si la modification sollicitée porte exclusivement sur les éléments visés à l’article 27, paragraphe 1er, point 7°, ou à l’article 28, paragraphe 1er, point 10°, autorisés par l’Autorité luxembourgeoise des données, l’Autorité luxembourgeoise des données statue sur le bien-fondé de la demande de modification dans le cadre de la procédure accélérée visée à l’article 29, paragraphe 3. La demande de modification visée au présent paragraphe contient : 1° dans le cas visé au titre V :

1. a)les coordonnées des entités publiques effectuant le traitement ultérieur des données à caractère personnel et des entités publiques détentrices des données à caractère personnel ;
2. b)la nouvelle durée du traitement de données à caractère personnel envisagée dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; Page 23 of 29
3. c)l’attestation du Centre, ou du tiers de confiance mandaté par le Centre, que la modification sollicitée ne porte pas préjudice à l’efficacité des mesures consignées dans le plan de confidentialité ;
4. d)la signature de la demande par toutes les entités publiques visées à la lettre a). 2° dans le cas visé au titre VI :
5. a)les coordonnées des organismes du secteur public détenant les données et des réutilisateurs des données ;
6. b)la nouvelle durée d’accès et de réutilisation des données dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ;
7. c)l’attestation du Centre, ou du tiers de confiance mandaté par le Centre, que la modification sollicitée ne porte pas préjudice à l’efficacité des mesures consignées dans le plan de confidentialité ;
8. d)la signature de la demande par tous les organismes du secteur public détenant les données et des réutilisateurs des données visés à la lettre a).

(6)Les entités publiques et les organismes du secteur public mettent les données à caractère personnel et les données à caractère non personnel visées par l’autorisation de l’Autorité des données à disposition de celle-ci en vue de la mise en œuvre des mesures prévues au présent titre et de leur mise à disposition dans l’environnement de traitement sécurisé.

(7)Les entités publiques traitant ultérieurement les données à caractère personnel et les réutilisateurs de données sont tenus de traiter les données uniquement conformément aux termes de l’autorisation de l’Autorité luxembourgeoise des données.

(8)Chaque fois que les réutilisateurs de données utilisent les données conformément aux titres VI et VII, ils citent les sources de données et mentionnent que les données ont été obtenues dans le cadre de la présente loi. Art. 32. Contrôle par l’Autorité luxembourgeoise des données

(1)L’Autorité luxembourgeoise des données a le droit de vérifier le processus, les moyens et tout résultat du traitement ultérieur de données à caractère personnel effectué par les entités publiques conformément au titre V et des accès et réutilisation des données effectués par les réutilisateurs de données conformément au titre VI, afin de préserver l’intégrité de la protection des données et le respect des conditions prévues par la présente loi, notamment en ce qui concerne les droits de propriété intellectuelle, la confidentialité commerciale et le secret statistique.

(2)L’Autorité luxembourgeoise des données a le droit d’interdire l’utilisation des résultats qui contiennent des informations portant une atteinte disproportionnée aux droits et aux intérêts de tiers. La décision d’interdire l’utilisation des résultats est transparente et compréhensible pour le réutilisateur de données.

(3)L’Autorité luxembourgeoise des données peut demander tous renseignements et informations nécessaires pour l’accomplissement des missions prévues par la présente loi au Centre, au tiers de Page 24 of 29 confiance mandaté par le Centre, au LNDS, aux entités publiques, aux organismes du secteur public qui détiennent les données, aux réutilisateurs ainsi qu’à tout autre entité impliquée dans la mise en œuvre de la loi. Section IV – Publicité par l’Autorité luxembourgeoise des données Art.

1. Publicité des conditions d’accès et de réutilisation de données détenues par les organismes du secteur public et procédure applicable Pour les cas visés au titre VI, l’Autorité luxembourgeoise des données rend publiques les conditions d’autorisation d’accès et de réutilisation de données détenues par les organismes du secteur public et la procédure prévue à la section III par l’intermédiaire du point d’information unique. Art.
2. Publicité des autorisations adoptées par l’Autorité luxembourgeoise des données

(1)L’Autorité luxembourgeoise des données tient un registre public des traitements ultérieurs de données à caractère personnel et des accès et réutilisations de données autorisées. Le registre contient pour chaque autorisation accordée par l’Autorité des données conformément au titre VII les informations suivantes : 1° une copie de la décision adoptée par l’Autorité des données conformément à l’article 31 ; 2° si applicable, l’avis du Conseil consultatif ; 3° dans le cas de données à caractère personnel, l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679, communiquée par le demandeur.

(2)La publication par l’Autorité des données des éléments d’information à destination des personnes concernées, telle que visée au paragraphe 1 er, alinéa 2, point 3°, vaut information de la personne concernée au sens des articles 12 à 14 du règlement (UE) 2016/679 pour les traitements ultérieurs de données visés au titre V et les accès et réutilisations visés au titre VI. Section V – Mesures appropriées et mise à disposition des données dans un environnement de traitement sécurisé Art. 35. Mesures appropriées

(1)Les mesures d’anonymisation et/ou de pseudonymisation des données à caractère personnel et/ou de modification, d’agrégation, de suppression et de traitement selon toute autre méthode de contrôle de la divulgation des données requises par les dispositions de la présente loi et par les dispositions du règlement (UE) 2022/868 doivent être mises en œuvre préalablement au traitement ultérieur de données à caractère personnel et à l’accès et la réutilisation de données visés aux titres V et VI. Ces mesures doivent être effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations. Page 25 of 29 La mise en œuvre des mesures visées au présent paragraphe doit être opérée de sorte que nul autre que l’entité publique ou l’organisme du secteur public duquel proviennent les données n’ait accès aux données dans un format non anonymisé, non pseudonymisé ou non agrégé.

(2)Pour chaque demande visée aux articles 27 et 28, il est établi une évaluation spécifique des méthodes et des modalités de mise en œuvre des mesures visées au paragraphe qui précède. L’évaluation est initiée, dans les cas visés au titre V, par les entités publiques effectuant le traitement ultérieur de données à caractère personnel et, dans les cas visés au titre VI, par les réutilisateurs de données. Elle est consignée dans un plan de confidentialité. Le plan de confidentialité est préparé par les parties visées à l’alinéa qui précède. Il précise les conditions et les modalités, y compris les opérations et procédures de mise en œuvre, des mesures visées au paragraphe 1er. Le projet de plan de confidentialité est amendé jusqu’à validation finale et signature commune par le Centre, ou par le tiers de confiance mandaté par le Centre, et : 1° pour les cas visés au titre V, les entités publiques effectuant le traitement ultérieur de données à caractère personnel et les entités publiques détenant les données à caractère personnel ; 2° pour les cas visés au titre VI, les réutilisateurs de données et les organismes du secteur public détenant les données. Toutes les parties visées au présent paragraphe fournissent au Centre, ou au tiers de confiance mandaté par le Centre, et, dans les cas visés à l’article 5, paragraphe 3, point d) au LNDS, toute information nécessaire pour la mise en place du plan de confidentialité, qui les traitent pour les seules finalités visées au présent article ou à des fins de preuve. Le tiers de confiance et le Centre se concertent étroitement. En signant le plan de confidentialité, le Centre, ou le tiers de confiance mandaté par le Centre, certifie que les mesures prévues au paragraphe 1er consignées dans le plan de confidentialité sont effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations.

(3)Sur présentation du plan de confidentialité signé par toutes les parties, le Centre atteste de la faisabilité :

1. a)de la mise en œuvre des mesures énoncées dans le plan de confidentialité ;
2. b)de la mise à disposition des données dans l’environnement de traitement sécurisé. L’attestation du Centre est jointe à la demande visée aux articles 27 et 28.

(4)Sous réserve d’autorisation de l’Autorité luxembourgeoise des données visée à l’article 31 et d’acquittement par le demandeur de la redevance visée à l’article 30 : 1° le Centre, ou le tiers de confiance mandaté par le Centre, s’assure de la mise en œuvre les mesures visées au présent article conformément aux stipulations du plan de confidentialité ; Page 26 of 29 2° le Centre :

1. a)combine et traite les données provenant des entités publiques et des organismes du secteur public visés au paragraphe 1er, alinéa 3, pour lesquelles le traitement ultérieur et/ou l’accès et la réutilisation a été autorisé par l’Autorité luxembourgeoise des données ;
2. b)procède à la mise à disposition des données à caractère personnel visées au titre V et des données visées au titre VI dans l’environnement de traitement sécurisé, sous réserve des exigences prévues dans le plan de confidentialité et dans l’autorisation de l’Autorité luxembourgeoise des données. Art. 36. Environnement de traitement sécurisé

(1)Le traitement ultérieur de données à caractère personnel visé au titre V et l’accès et la réutilisation de données visés au titre VI se font dans un environnement de traitement sécurisé mis à disposition par l’Autorité luxembourgeoise des données et géré par le Centre. L’environnement de traitement sécurisé respecte notamment les mesures de sécurité suivantes : 1° restreindre aux personnes physiques autorisées indiquées dans l’autorisation correspondante visée à l’article 31 l’accès à l’environnement de traitement sécurisé ; 2° réduire au minimum le risque de lecture, de copie, de modification ou de suppression non autorisées des données hébergées dans l’environnement de traitement sécurisé par des mesures techniques et organisationnelles de pointe ; 3° restreindre à un nombre limité d’individus identifiables autorisés l’introduction de données et l’inspection, la modification ou la suppression de données hébergées dans l’environnement de traitement sécurisé ; 4° veiller à ce que les personnes visées au point a) n’aient accès qu’aux données couvertes par leur autorisation correspondante visée à l’article 31, au moyen d’identifiants individuelles et uniques et de modes d’accès confidentiels uniquement ; 5° tenir des registres identifiables de l’accès à l’environnement de traitement sécurisé et des activités qui y sont menées pendant la période nécessaire pour vérifier et contrôler toutes les opérations de traitement dans cet environnement. Les registres d’accès devraient être conservés pendant au moins un an ; 6° veiller à la conformité et contrôler les mesures de sécurité énumérées au présent article afin d’atténuer les menaces potentielles pour la sécurité.

(2)L’environnement de traitement sécurisé doit être aménagé de sorte à ce qu’il ne permet pas : 1° de reproduire les données à l’extérieur de l’environnement et ainsi de les réutiliser dans un autre contexte ou pour des finalités autres qu’autorisées ; 2° d’introduire des solutions technologiques, y compris d’intelligence artificielle, à moins qu’elles aient expressément été inclues dans le plan de confidentialité, ou préalablement été évaluées et certifiées par le Centre, ou par le tiers de confiance mandaté par le Centre, comme ne présentant aucun risque d’atteinte aux exigences visées à l’article 35, paragraphe 1er ; Page 27 of 29 3° d’introduire des données, à moins que cette introduction ait expressément été demandée conformément à l’article 27, paragraphe 1, point 10°, et à l’article 28, paragraphe 1, point 8°, et autorisée par l’Autorité luxembourgeoise des données conformément aux dispositions du présent titre ; 4° d’extraire les données de l’environnement de traitement sécurisé, à moins qu’elles aient préalablement été anonymisées.

(3)Dans les cas visés au paragraphe 2, point 2°, la certification établie par le Centre, ou par le tiers de confiance mandaté par le Centre, est jointe au plan de confidentialité. Une copie est transmise sans délai à l’Autorité luxembourgeoise des données. Pour établir la certification, le Centre, ou le tiers de confiance mandaté par le Centre, peut exiger une évaluation préalable, le cas échéant, sous forme d’audit, établie par un organisme spécialisé, à présenter, dans les cas visés au titre V, par les entités publiques effectuant le traitement de données à caractère personnel ou dans les cas visés au titre VI par les réutilisateurs de données.

(4)Sous réserve de l’autorisation de l’Autorité luxembourgeoise des données et du respect des conditions prévues par le présent titre, le Centre peut, dans le cadre d’une demande spécifique visée aux articles 27 ou 28 : 1° créer un environnement de traitement sécurisé commun, ensemble avec des organismes compétents désignés conformément à l’article 7 du règlement (UE) 2022/868, afin de mettre les données à disposition des entités publiques ou des réutilisateurs de données ; 2° combiner et traiter les données visées au titre VI avec des données provenant d’environnements de traitement sécurisés d’autres États membres gérés par des organismes compétents désignés conformément à l’article 7 du règlement (UE) 2022/868 afin de les mettre à disposition des réutilisateurs de données. Art. 37. Responsabilité du traitement

(1)Les entités publiques détenant les données à caractère personnel et les organismes du secteur public détenant les données ont la qualité de responsable du traitement pour la mise à disposition des données à caractère personnel sollicitées à l’Autorité luxembourgeoise des données conformément à l’article 31, paragraphe 6.

(2)L’Autorité luxembourgeoise des données a la qualité de responsable du traitement pour le traitement de données à caractère personnel pour l’accomplissement des missions conformément à la présente loi.

(3)Les entités publiques qui traitent ultérieurement les données à caractère personnel et les réutilisateurs de données ont la qualité de responsable du traitement pour les traitements de données à caractère personnel dans l’environnement de traitement sécurisé.

(4)Dans les cas visés aux articles 35 et 36, le Centre agit comme sous-traitant de l’Autorité luxembourgeoise des données. Le Centre peut sous-traiter ultérieurement les tâches et missions lui attribués conformément à la présente loi. TITRE VIII – Gouvernance en matière de services d’intermédiation de données et d’altruisme des données Page 28 of 29 Section I – Services d'intermédiation de données Art.

1. Procédure Un règlement interne de la CNPD définit la procédure en matière de notification pour les services d’intermédiation de données, conformément à l’article 11 du règlement (UE) 2022/
2. Art.
3. Redevances La CNPD peut imposer des redevances proportionnées et objectives pour la notification des services d’intermédiation, conformément à l’article 11, paragraphe 11, du règlement (UE) 2022/
4. Un règlement de la CNPD détermine le montant et les modalités de paiement des redevances. TITRE IX – Dispositions finales Chapitre 4 – Dispositions finales Art.
5. Intitulé de citation La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant : « loi du [..] relative à la valorisation des données dans un environnement de confiance au « once only ». Page 29 of 29