Projet de loi relative à : 1° la valorisation des données dans un environnement de confiance ; 2° la mise en œuvre du principe « once only » ; 3° la m

CdM/10/06/2026 25-179 N° dossier parl. : 8395B Projet de loi relative à : 1° la valorisation des données dans un environnement de confiance ; 2° la mise en œuvre du principe « once only » ; 3° la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4° la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). _____________________________________________________________________ Avis de la Chambre des Métiers Résumé structuré La Chambre des Métiers constate que la compréhension des procédures et des règles telles que proposées dans le projet de loi sous avis est compliquée, non seulement en raison de la nouvelle dualité de textes de loi sur une même thématique, mais aussi parce que le texte de loi sous avis continue de mélanger les dispositions imposées par le droit européen liées à la réutilisation des données avec des propositions purement nationales pour favoriser la circulation des données dans la sphère publique, alors que ces dispositions ne visent pas les mêmes acteurs. La Chambre des Métiers réitère les critiques qu’elle avait adressées dans son précédent avis et, en particulier, que la notion d’entité publique devrait être mieux précisée alors qu’il s’agit d’une notion essentielle qui délimite le champ d’application des nouvelles mesures internes. Nombre d’incertitudes juridiques planent toujours concernant la mise en œuvre du principe dit du « Once Only » qui s’analyse, en l’état du projet de loi sous avis, comme étant un traitement ultérieur de données à caractère personnel entre administrations, mais dont cadre juridique est trop imprécis. Les dispositions du projet de loi sous avis sur les traitements ultérieurs de données entre entités publiques devraient, pour des raisons de compréhension et de sécurité juridique, page 2 de 4 Chambre des Métiers du Grand-Duché de Luxembourg ____________________________________________________________________________________ être articulées, non seulement avec le Once Only, mais aussi avec les autres bases légales justifiant des traitements ultérieurs, que ce soient avec la loi du 14 septembre 2018 relative à une administration transparente et ouverte et la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. La Chambre des Métiers relève in fine que des incohérences rédactionnelles sont apparues à la suite de scission du texte original : en particulier, les dispositions visant l’institution du Conseil consultatif et la procédure de sa saisine pour avis par un réutilisateur de données ne figurent plus dans aucun des deux textes, et le titre VIII du projet de loi sous avis devrait être revu car il a été vidé de sa substance. *** Par courriel du 20 août 2025, Madame la Ministre de la digitalisation a bien voulu demander l’avis de la Chambre des Métiers au sujet du projet de loi repris sous rubrique.

1. Considérations générales Le projet de loi sous avis résulte de la scission du projet de loi n°8395 (ou « projet de loi initial ») en deux projets distincts, soit les projets n°8395A et n°8395B, par une série d’amendements parlementaires pris en date du 22 avril 2025, non soumise à la Chambre des Métiers pour avis, et motivée en raison de l’urgence de notifier les différents organismes et autorités compétents prévus par le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données (ou « règlement sur la gouvernance des données »). Le présent avis porte sur le projet n°8395B tel que modifié à la suite de la scission par une seconde série d’amendements en date du 13 juin
2. Il est partagé que le projet de loi sous avis reste quasiment identique aux dispositions du projet initial n°8395, mais qu’il est seulement amputé des dispositions liées à l’institution des organismes et autorités compétents, prévus par le règlement sur la gouvernance des données, qui se trouvent désormais dans le projet de loi n°8395A. Ainsi, par rapport au projet de loi initial, les dispositions relatives au Conseil consultatif de la valorisation des données dans un environnement de confiance (ci-après « Conseil consultatif ») ont été modifiées afin d’acter que ce conseil est institué par le projet de loi N° 8395A. De la même manière, l’intitulé : « Autorité des données » a été remplacée par : « Autorité luxembourgeoise des données » car, suivant le projet de loi n°8395A, cette administration serait désormais un département du Commissariat du Gouvernement à la souveraineté des données. Le régime des sanctions administratives en matière d’intermédiation des données, et les recours administratifs contre les décisions liées à la mise en œuvre du règlement sur la gouvernance des données, ont aussi été transplantés dans le projet de loi n°8395B. Le projet de loi sous avis n’apporte quasiment aucune modification sur le fond mis à part la précision que la Chambre des Députés ne serait pas à qualifier d’entité publique au sens de cette loi, pour des raisons non autrement explicitées. CdM/GC/nf/Avis 25-179 Once Only amendments.docx/10.06.2026 Chambre des Métiers du Grand-Duché de Luxembourg page 3 de 4 ____________________________________________________________________________________
3. Observations particulières La Chambre des Métiers réitère les critiques adressées dans son précédent avis1 et regrette que les amendements n’aient pas amélioré les aspects pourtant critiqués concernant le projet de loi initial. Il est en particulier regrettable que la notion d’entité publique ne soit pas plus précisée alors qu’il s’agit d’une notion essentielle qui délimite le champ d’application des nouvelles mesures internes concernant la circulation interne des données dans la sphère publique. Pour une meilleure compréhension, et aussi pour la sécurité juridique, les dispositions pour les traitements ultérieurs de données à caractère personnel entre entités publiques devraient être articulées avec les autres bases pouvant justifier des traitements ultérieurs, que ce soit avec le projet d’implémenter le principe dit du « Once Only », mais aussi avec les textes existants, comme la loi du 14 septembre 2018 relative à une administration transparente et ouverte, ou encore la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. Beaucoup d’incertitudes juridiques planent concernant la mise en œuvre du « Once Only » qui s’analyse, en l’état du projet de loi sous avis, comme constituant des traitements ultérieur de données à caractère personnel au cadre imprécis : imprécision du nombre d’acteurs visés par la notion d’entité publique2, mais aussi imprécision des catégories de données qui pourront ne pas faire l’objet d’un échange3, imprécision de la source des données et de leur exactitude4, imprécision concernant la durée de conservation des données échangées5, et enfin imprécision concernant l’articulation du « Once Only » avec l’utilisation du numéro de matricule des administrés. La Chambre des Métiers estime que la compréhension des procédures et des règles applicables - qui se trouvent maintenant pour partie réparties entre deux textes - est devenue très compliquée. Non seulement les attributions des organismes et autorités compétents pour la mise en œuvre du règlement sur la gouvernance des données se retrouvent scindées en deux lois, mais, de plus, le projet de loi sous avis continue de mélanger dans le Titre VII les modalités pour les traitements ultérieurs entre entités publiques avec celles pour la réutilisation de données par des réutilisateurs de données alors que ces dispositions ne visent pas du tout les mêmes acteurs. Le Titre VII du projet de loi sous avis devrait en effet être entièrement revu afin que soit clairement distingué, d’un côté les modalités applicables aux traitements ultérieurs par les entités publiques, et, de l’autre côté, les modalités applicables à la réutilisation de données des organismes du secteur public par des réutilisateurs de données. 1 Avis de la Chambre des Métiers du 7 janvier 2025, doc.parl n°8396/
4. 2 La notion d’entité publique reste floue, car le projet de loi sous avis renvoi le soin à un règlement grand-ducal de lister les « GIE et les personnes morales d’utilité publique » qui seraient visées (cf. projet d’article 2