Projet de loi relative à 1° la mise en œuvre du principe « once only » ; 2° la mise en application de certaines dispositions du règlement (UE) 2016/67

M CHAMBRE DES MÉTIERS LUXEMBOURG CdM/16/03/2026 26-051 N° dossier parl. : 8395B Projet de loi relative à 1° la mise en œuvre du principe « once only » ; 2° la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). _____________________________________________________________________ Avis de la Chambre des Métiers Résumé structuré La Chambre des Métiers est favorable à la limitation de l’objet du projet de loi sous avis à la mise en œuvre du principe « once only » et à ne pas y inclure les dispositions liées à la gouvernance des données comme initialement prévu. En raison de cette limitation, elle pose la question de l’opportunité de maintenir ce projet dans une loi spécifique alors que ces dispositions, en tant qu’elles articulent une mise en œuvre particulière du règlement général sur la protection des données, pourraient s’intégrer dans la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. La Chambre des Métiers est aussi favorable à la limitation du principe « once only » aux seuls ministères, administrations et communes. Pour des raisons de sécurité juridique, elle n’est en revanche pas favorable à la possibilité d’étendre l’application du « once only » par règlement grand-ducal à d’autres entités. Concernant la mise en œuvre du « once only », la Chambre des Métiers souligne que des garanties effectives doivent être ajoutées afin d’assurer la conformité des traitements des données y relatifs avec le règlement général sur la protection des données et d’éviter que les administrés aient le sentiment de perdre la maitrise de leurs données, ou d’autres atteintes aux libertés individuelles. La Chambre des Métiers estime que la proposition de déclarer licite tout traitement de données à caractère personnel réalisé par une entité publique dès lors que ce traitement s’inscrit dans le cadre de ses missions publiques ne devrait pas non plus constituer un blanc-seing pour les entités publiques. Elle propose dès lors que la formulation d’un tel principe devrait être revu pour définir les conditions de licéité de tels traitements. 2, Circuit de la Foire Internationale L-1347 Luxembourg-Kirchberg B.P. 1604 L-1016 Luxembourg T (+352) 42 67 67-1 F (+352) 42 67 87 www.cdm.lu info.cdm@cdm.lu page 2 de 5 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ *** Par courriel du 13 février 2026, Madame la Ministre de la Digitalisation a bien voulu demander l’avis de la Chambre des Métiers au sujet du projet de loi repris sous rubrique.

1. Considérations générales Le projet de loi sous avis constitue une deuxième série d’amendements au projet de loi n°8395B dont l’objectif est de supprimer de ce texte les dispositions relatives à la réutilisation des données liées au règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données (ou « règlement sur la gouvernance des données »). Pour mémoire, la première série d’amendements avait pour objectif de sortir du projet de loi initial les dispositions liées à l’institution des organismes et autorités compétents prévus par le règlement sur la gouvernance des données. Ces dispositions ayant fait l’objet du projet de loi n°8395A qui a abouti à la loi du 19 décembre 2025 portant création du Commissariat du Gouvernement à la souveraineté des données. L’objectif du projet de loi sous avis est, suivant le commentaire des amendements gouvernementaux « de permettre au Conseil d’État (sic) de se focaliser sur les seules dispositions visant l’introduction en droit luxembourgeois du principe « once only » ainsi que d’un article unique relatif au traitement de données à caractère personnel par les entités publiques à des fins d’exécution des missions d’intérêt public. ». Tout en élaguant les dispositions liées à la mise en œuvre du règlement sur la gouvernance des données, la deuxième série d’amendements propose aussi, afin de « tenir compte des observations faites par les chambres professionnelles (…) de clarifier la notion d’entité publique, sans pour autant apporter de changement quant au fond. » 1 La solution proposée à cet égard est de limiter la qualification des entités publiques qui sont soumises au « once only » aux seuls ministères, administrations et communes ; mais de laisser la possibilité à un règlement grand-ducal d’étendre le champ d’application à des établissements publics, des groupements d’intérêt économique, ou encore des personnes morales d’utilité publique. Le projet de loi sous avis propose enfin de maintenir la proposition qui était prévue dans le projet n°8395 déposé en juin 2024, d’ajouter une base légale pour les traitements des données à caractère personnel qui sont effectués par une entité publique dans le cadre d’une mission d’intérêt public ou relevant de l’autorité publique.
2. Observations particulières 2.
3. Champ d’application matériel La Chambre des Métiers apprécie positivement que le projet de loi sous rubrique ne mélange pas les traitements de données entre entités publiques pour la mise en œuvre du « once only » avec les dispositions afférentes à la réutilisation de données par des ré-utilisateurs de données car ces dispositions ne visent pas les mêmes acteurs ni les mêmes objectifs. 1 Dossier parlementaire, Commentaire des amendements gouvernementaux. CdM/GC/nf/Avis 26-051 Once only amendments.docx/16.03.2026 Chambre des Métiers du Grand-Duché de Luxembourg page 3 de 5 ____________________________________________________________________________________ En effet, alors que la réutilisation des données vise à rendre plus de données disponibles et à faciliter le partage des données entre les différents secteurs économiques, la réutilisation des données entre entités publiques liée au « once only » vise à « renforcer le soutien apporté aux citoyens et aux entreprises par les pouvoirs publics, tout en contribuant à une réduction substantielle des dépenses et à une gestion plus efficiente des ressources publiques. »2 Au regard de la limitation du champ d’application matériel du projet de loi sous avis, la Chambre des Métiers pose la question de savoir s’il est encore opportun de maintenir une loi spécifique pour la mise en œuvre du « once only ». En effet, alors que l’objet du projet de loi sous avis est d’articuler les traitements ultérieurs de données à caractère personnel et autres informations entre entités publiques en conformité avec le règlement général sur la protection des données (ou « RGPD »), il semble plus judicieux, afin de limiter l’inflation de textes législatifs, d’intégrer ces dispositions dans la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. 2.
4. Champ d’application personnel Si la Chambre des Métiers apprécie positivement que le projet de loi sous rubrique limite son champ d’application personnel aux seuls ministères, administrations et communes, elle n’est pas favorable à la possibilité d’étendre ce champ d’application via règlement grand-ducal à d’autres entités en raison des risques juridiques d’atteinte aux libertés individuelles et de perte de contrôle des données générées par la circulation de données à caractère personnel auprès d’une multitude d’acteurs. 2.
5. Mise en œuvre du « once only » Tout en soulignant l’utilité du « once only » pour les administrés, la Chambre des Métiers rejoint en même temps l’avis de la Commission nationale pour la protection des données du 20 décembre 20243 concernant différentes inquiétudes relatives à sa mise en œuvre et à sa conformité avec le RGPD. Pour rappel, le principe du « once only » est l’obligation pour les entités publiques d’échanger entre elles les informations et les données à caractère personnel, soit pour traiter une demande d’un administré, soit pour informer un administré de son droit à une prestation ou à un avantage. Pour la mise en œuvre d’un tel principe, les entités publiques vont devoir échanger entre elles les informations et données à caractère personnel qui sont strictement nécessaires pour cette finalité. Le projet de loi sous avis prévoit que chaque entité publique devra recenser les informations et les données à caractère personnel dont elle estime avoir besoin dans le cadre de son activité (ou « entité publique utilisatrice ») et définir auprès de quelle autre entité publique elle pourra les recevoir (ou « entité publique détentrice »). En cas de disponibilité et possibilité d’échange des informations et données à caractère personnel, l’entité publique utilisatrice et l’entité publique détentrice devront signer un 2 Dossier parlementaire, Commentaire des amendements gouvernementaux. 3 Document parlementaire N°8395/
6. CdM/GC/nf/Avis 26-051 Once only amendments.docx/16.03.2026 page 4 de 5 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ « protocole once only » afin de formaliser les échanges et ce protocole sera publié par le Commissariat du Gouvernement à la souveraineté des données. La Chambre des Métiers estime que le projet de loi sous avis devrait apporter plus de garanties, afin d’assurer que les traitements de données en exécution du « once only » soient réalisés en conformité avec le règlement général sur la protection des données et de réduire les risques d’atteintes aux libertés individuelles. Il est regrettable en premier que les catégories de données qui pourront ne pas faire l’objet d’un échange en raison de leur nature ne soient pas listées dans la loi, mais que le projet de loi se contente de renvoyer en la matière à un règlement grand-ducal non encore communiqué.4 Il est ensuite critiqué que l’entité détentrice ne soit pas exclusivement l’entité publique qui est à l’origine de la création ou de la collecte directe auprès de l’administré concerné des données ou des informations demandées par une entité utilisatrice. Cette imprécision concernant l’origine des données et des informations soulève de nombreux risques liés à la qualité des données qui seront amenées à circuler entre entités publiques, dont le risque d’avoir des doublons. Il est aussi surprenant que le contrôle de l’exactitude des données soit laissé à l’administré qui aura alors une double tâche en cas d’inexactitude : non seulement l’administré devra demander la rectification des données inexactes auprès de l’entité source, mais aussi, l’administré devra communiquer les données rectifiées à l’entité publique qui les lui a communiquées. 5 Enfin, il est aussi surprenant que la durée de conservation des données échangées, en application du principe de la limitation de la conservation, ne soit pas listée dans les éléments à analyser dans les protocoles « once only ». 2.
7. La nouvelle base de licéité Le projet de loi sous avis, reprenant telle quelle la proposition prévue dans le projet n°8395 déposé en juin 2024, propose de déclarer qu’un traitement de données à caractère personnel, dès lors qu’il est effectué par une entité publique dans le cadre de sa mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont elle est investie, est à considérer comme licite. Si la Chambre des Métiers comprend que cette disposition tend à légitimer de facto les traitements de données à caractère personnel effectués par une entité publique qui sont nécessaires pour réaliser ses missions d’intérêt public ou d’autorité publique afin d’éviter qu’une loi ne soit requise pour encadrer ces traitements (c’est-à-dire, notamment énumérer les données, les catégories de personnes concernées, les finalités, les responsabilité et les durées de conservation), elle estime que la formulation d’un tel principe général ne devrait pas avoir pour effet de donner un blanc-seing aux entités publiques en matière de traitement des données à caractère personnel pour des raisons évidentes de sécurité juridique. De plus, considérant que le projet de loi sous avis détermine la procédure liée à la mise en œuvre du « once only », on peut légitiment s’attendre à ce que le projet de loi encadre aussi, par des dispositions légales précises, les traitements de données à caractère 4 Projet d’article 6 paragraphe