Commentaire des articles Ad article 1er L’article en question prévoit l’objet du présent projet de loi, à savoir la mise en place du portefeuille européen d’identité numérique, tel que prévu au règlement (UE) 2024/1183 du Parlement européen et du Conseil du 11 avril 2024 modifiant le règlement (UE) n° 910/2014 en ce qui concerne l’établissement du cadre européen relatif à une identité numérique. En plus, le paragraphe 2 précise que les termes et expressions utilisées dans la loi sous projet ont la même signification que celles prévues dans le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE (ci-après « règlement (UE) n° 910/2014 »). Ad article 2 Cet article a pour objet de désigner tous les organismes qui sont concernés par la mise en œuvre du portefeuille européen d’identité numérique au Luxembourg. En ce qui concerne la fourniture du portefeuille, le règlement européen offre une marge de manœuvre aux États membres en permettant que les portefeuilles soient fournis soit directement par un État membre, soit sur mandat d’un État membre, soit indépendamment d’un État membre, tout en étant reconnus par cet État membre. Le présent projet de loi a choisi l’option que le portefeuille est directement fourni par l’État membre, et désigne dans son paragraphe 1er le Centre des technologies de l’information de l’État (CTIE) comme fournisseur de la solution nationale du portefeuille. Le choix du CTIE s’est opéré pour trois raisons : ses compétences à conduire des projets de développement et d’intégration d’envergure dans le domaine informatique, l’expérience acquise dans le projet pilote POTENTIAL dédié aux portefeuilles européens, et enfin l’implication importante du CTIE dans la gestion actuelle de documents d’identité ou d’attestations. Le paragraphe 2 désigne l’Office luxembourgeois d’accréditation et de surveillance comme organisme chargé de l’accréditation des organismes de certification en raison du fait qu’il est le seul organisme au Luxembourg qui a comme attribution l’accréditation des organismes d’évaluation de la conformité. Le paragraphe 3 attribue à l’Institut luxembourgeois de régulation (ILR) la fonction d’autorité compétente chargée du contrôle du fournisseur du portefeuille, qu’est le CTIE, ainsi que de la solution nationale du portefeuille. Le choix de l’ILR s’explique d’une part par les compétences de cet organisme, et d’autre part par la nécessité de mettre en place un organe de contrôle ayant une personnalité juridique différente de celle de l’État, l’État ne pouvant pas se contrôler, voire se sanctionner lui-même. Etant donné que le développement et la mise à disposition de la solution nationale du portefeuille ont été confiés au CTIE, 1 qui est une administration publique relevant du membre du gouvernement ayant la digitalisation dans ses attributions, le choix s’est porté sur l’ILR, qui est un établissement public et, en tant que tel, une personne juridique distincte de celle de l’État du Grand-Duché de Luxembourg. Les attributions de l’organe de contrôle sont définies de manière détaillée au chapitre 6 du projet de loi. Au paragraphe 4, il est prévu que la mission du point de contact unique est assurée par le ministre ayant la digitalisation dans ses attributions, qui exerce alors une fonction de liaison visant à faciliter la coopération transfrontière entre les organes de contrôle des prestataires de services de confiance et entre les organes de contrôle des fournisseurs des portefeuilles européens d’identité numérique. Le paragraphe 5 précise que le même membre du gouvernement est le propriétaire des schémas nationaux de certification, ce qui signifie qu’il est responsable de l’élaboration et de la maintenance de ces schémas. Ensuite, le Commissariat du gouvernement à la protection des données à caractère personnel auprès de l’État (CGPD) est désigné, au paragraphe 6, comme bureau d’enregistrement qui a pour attribution d’enregistrer les parties utilisatrices qui ont l’intention de recourir à des portefeuilles européens d’identité numérique pour la fourniture de services publics ou privés au moyen d’une interaction numérique. En effet, l'article 5bis du règlement (UE) n° 910/2014 impose aux États membres de désigner un organisme chargé d’établir et de tenir à jour la liste des parties utilisatrices enregistrées qui se fient aux portefeuilles européens d’identité numérique conformément à l’article 5ter, paragraphe 5 dudit règlement. Le CGPD assume les fonctions attribuées au bureau d’enregistrement en vertu du règlement (UE) n° 910/2014 et du règlement d’exécution (UE) 2025/848 de la Commission du 6 mai 2025 portant modalités d’application du règlement (UE) n° 910/2014 du Parlement européen et du Conseil en ce qui concerne l’enregistrement des parties utilisatrices de portefeuille (ci-après « règlement d’exécution (UE) 2025/848 »). Les missions dont le CGPD a la charge sont les suivantes : - élaborer la politique et les procédures nationales d’enregistrement conformément aux articles 4 et 6 du règlement d’exécution (UE) 2025/848 ; - établir et tenir à jour la liste des parties utilisatrices de portefeuille enregistrées conformément à l’article 3 du règlement d’exécution (UE) 2025/848 précité ; - mettre les informations concernant les parties utilisatrices de portefeuille à la disposition du public en ligne conformément à l’article 3, paragraphe 4 du règlement d’exécution (UE) 2025/848 précité ; - procéder aux vérifications liées aux parties utilisatrices de portefeuille et à l’utilisation du portefeuille par les parties utilisatrices conformément à l’article 5ter du règlement (UE) n° 910/2014 et au règlement d’exécution (UE) 2025/848 précité ; 2 - approuver, modifier, suspendre et annuler l’enregistrement d’une partie utilisatrice tel que prévu à l’article 5ter du règlement (UE) n° 910/2014 et à l’article 9 du règlement d’exécution (UE) 2025/848. Finalement, les paragraphes 7 et 8 désignent le CTIE comme autorité de certification chargée de délivrer des certificats d’accès et d’enregistrement aux parties utilisatrices enregistrées. Un certificat d’accès de partie utilisatrice est un certificat de cachet électronique ou de signature électronique qui authentifie et valide la partie utilisatrice, alors qu’un certificat d’enregistrement de partie utilisatrice est un objet de données qui décrit l’utilisation prévue par la partie utilisatrice et qui indique les attributs pour lesquels la partie utilisatrice a enregistré son intention de les demander aux utilisateurs. Ad article 3 Le paragraphe 1er précise l’organisme fournissant les données d’identification personnelle aux personnes physiques et morales, et attribue cette tâche au CTIE, dans la mesure où le CTIE est chargé de la gestion du registre national des personnes physiques (RNPP) où seront extraites ces données. Les données d’identification personnelle sont importantes dans le cycle de vie du portefeuille car elles permettent, pour l’utilisateur, personne physique ou morale, l’initialisation de son unité de portefeuille. Le paragraphe précise en outre que la finalité de cette fourniture est l’association à l’unité de portefeuille. Le paragraphe 2 traite de l’éligibilité des personnes physiques ou morales quant à l’obtention de données d’identification personnelle. Pour les personnes physiques, sont éligibles les ressortissants luxembourgeois ainsi que les résidents. Les frontaliers non luxembourgeois ne pourront pas demander de données d’identification personnelle au Luxembourg ; toutefois s’ils ont une nationalité d’un autre État membre de l’Union européenne, ils pourront obtenir les données d’identification personnelle de cet État. Pour les personnes morales, la condition d’obtention de ces données est double : avoir son siège au Luxembourg et être inscrite au registre national des personnes morales. Dans le paragraphe 3, il est indiqué que pour les personnes physiques, le CTIE a recours au registre national des personnes physiques pour fournir leurs données d’identification personnelles. En effet, le RNPP est la source authentique et ainsi le registre au Luxembourg qui garantit l'authenticité des données d'identification des personnes physiques. Le paragraphe 4 révèle les attributs qui constituent les données d’identification personnelles d’un utilisateur personne physique. Les données énumérées à l’article 5, paragraphe 2, lettres a),
- d)et
- f)de la loi modifiée du 19 juin 2013 sont : les noms et prénoms, la date et le lieu de naissance et enfin la nationalité. Ce sont là les attributs obligatoires au sens de l’annexe, point 1, tableau 1 du règlement (UE) 2024/2977. Comme ces cinq attributs obligatoires ne sont pas suffisants pour rendre le jeu des données d’identification personnelle unique pour chaque personne, il est prévu d’ajouter un numéro administratif personnel. En effet, ce numéro figure dans la liste des données d’identification personnelle dans le règlement (UE) 2024/2977 parmi les attributs que les États membres peuvent choisir d’inclure dans les données d’identification personnel émises par cet État. 3 Comme ces données d’identification personnelle, avec le numéro administratif personnel inclus, ont vocation à être partagées avec le secteur privé, il est proposé de ne pas recourir au numéro d’identification national, couramment dénommée « matricule » pour devenir ce numéro administratif personnel. Il sera donc fait usage d’un numéro associé au numéro d’identification national, autrement dit d’une version pseudonymisée de ce dernier. Le paragraphe 5 est le pendant de l’article 3 pour les personnes morales, et autorise le CTIE à accéder au RNPM à des fins de fourniture des données d’identification personnelle à une personne morale et ici aussi, le RNPM est le registre au Luxembourg qui garantit l'authenticité des données d'identification des personnes morales. Selon le paragraphe 6, les attributs constituant les données d’identification personnelle d’une personne morale correspondent exactement aux deux attributs obligatoires au sens de l’annexe, point 2, tableau 3 du règlement (UE) 2024/2977, à savoir la dénomination sociale et le numéro d’identité au sens de la loi du 30 mars 1979. La présence de ce numéro d’identité de la personne morale suffit à rendre unique son jeu de données d’identification personnelle. Le paragraphe 7 rend explicite la procédure d’association des données d’identification personnelle d’un utilisateur à son unité de portefeuille. Le paragraphe 8 charge le CTIE de créer un identifiant pour chaque jeu de données d’identification personnelle, et un identifiant pour chaque unité de portefeuille. Ces identifiants ont pour finalité de rendre chaque jeu de données d’identification personnelle et chaque unité de portefeuille uniques afin de pouvoir les distinguer et de les stocker. Le paragraphe 9 dispose qu’un registre dédié, et séparé de tout autre registre contenant des données à caractère personnel, est créé afin d’y conserver les informations nécessaires à la gestion des données d’identification personnelle. Il y aura un tel registre pour les personnes physiques ayant obtenu leurs données d’identification personnelle, et un autre pour les personnes morales. Pour une personne physique, le registre dédié contient le numéro administratif personnel, l’identifiant du jeu de données d’identification personnelle et l’identifiant de son unité de portefeuille. Pour les personnes morales, le registre dédié enregistre pour toute personne morale : le numéro d’identité, l’identifiant du jeu de données d’identification personnelle, et l’identifiant de son unité de portefeuille. Enfin, il est prévu que la durée de conservation dans le registre dédié ne peut pas dépasser la durée de validité de l’unité de portefeuille. Finalement, le paragraphe 10 prévoit que la fourniture des données d’identification personnelle et l’association au portefeuille amène le CTIE à opérer des traitements de données à caractère personnel. Il précise que le CTIE est le responsable du traitement conformément à l'article 4, paragraphe 7 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). 4 Ad article 4 L’enrôlement de l’utilisateur est le processus qui consiste d’une part en l’installation d’une application sur un appareil contrôlé par l’utilisateur et d’autre part en l’obtention des données d’identification personnelle. Or, il est essentiel que l’utilisateur obtienne des données d’identification personnelle qui le représentent, il s’agit là d’une exigence formulée dans l’article 5bis, paragraphe 5, point
- f)du règlement (UE) n° 910/2014. Ainsi, la représentation univoque découle de l’unicité de chaque jeu de données d’identification personnelle et est garantie par les choix effectués au niveau des attributs constitutifs de ces données. L’utilisateur doit donc, avant de récupérer ses données d’identification personnelle, s’identifier et s’authentifier. Pour cela, il a potentiellement trois méthodes à sa disposition, toutes passent d’une manière ou d’une autre par le guichet unique électronique au sens de la loi modifiée du 24 mai 2011 relative aux services dans le marché intérieur. La première méthode est une authentification en ligne par un moyen d’identification électronique notifié au niveau de garantie élevé au sens du règlement (UE) n° 910/2014. A ce jour, le Luxembourg dispose d’un seul tel moyen, à savoir la carte d’identité physique, avec les certificats d’authentification activés. La seconde méthode est une authentification qui s’effectue à l’aide d’une carte d’identité ou d’un passeport en face-à-face, que ce soit à l’administration communale ou dans les locaux du guichet physique. Enfin, la troisième méthode repose sur une utilisation en ligne d’un moyen d’identification électronique de niveau de garantie substantiel, en combinaison avec des procédures d’enrôlement supplémentaires précisées dans un acte d’exécution référencé par l’article 5bis, paragraphe 24 du règlement (UE) n° 910/2014. Ces procédures supplémentaires, en combinaison avec l’utilisation du moyen d’identification électronique au niveau de garantie substantiel, permettent alors de classer le processus intégral au niveau de garantie élevé. Ad article 5 L’article 5bis, paragraphe 3 du règlement (UE) n° 910/2014 impose la publication du code source de tous les composants logiciels installés sur l’appareil de l’utilisateur. Par ailleurs, pour d’autres composants spécifique, la non-divulgation est autorisée si des raisons dûment justifiées sont avancées. Dans cet article 5, il est précisé qu’il n’y aura pas de divulgation du code source lorsque la sécurité de l’infrastructure informatique de l’État ou des droits de propriété intellectuelle entrent en ligne de compte. Ad article 6 Le paragraphe 1er prévoit les conditions de révocation à la demande d’un utilisateur de son unité de portefeuille. En effet, l’utilisation de portefeuilles européens d’identité numérique ainsi que l’arrêt de son utilisation constitue un droit et un choix exclusif de l’utilisateur. Ainsi, un utilisateur, par exemple en cas 5 de perte ou de vol de son portable, peut demander la révocation de son unité de portefeuille au CTIE qui est le fournisseur du portefeuille. Il peut faire cette demande par tous les moyens, par exemple par mail ou par téléphone. Après réception de la demande, le CTIE est obligé de révoquer l’unité de portefeuille dans un délai maximum de 24 heures. Des conditions similaires de révocation de l’unité de portefeuille sont prévues au paragraphe 2 en cas de décès de l’utilisateur ou de la cessation d’activité d’une personne morale. Dans ce cas, une personne responsable du règlement de la succession de la personne physique ou des actifs de la personne morale peut aussi demander la révocation de l’unité de portefeuille au CTIE par tous les moyens et le CTIE est ici aussi obligé de révoquer l’unité de portefeuille dans un délai maximum de 24 heures. Le paragraphe 3 fixe le délai de 24 heures endéans lequel, le fournisseur du portefeuille, à savoir le CTIE, suspend la fourniture et l’utilisation du portefeuille en cas d’atteinte à la sécurité ou compromission des solutions de portefeuille ou des mécanismes de validation visés à l’article 5bis, paragraphe 8 du règlement (UE) no 910/2014, ou du schéma d’identification électronique dans le cadre duquel les solutions de portefeuille sont fournies. Or, avant de suspendre la fourniture et l’utilisation du portefeuille, le CTIE évalue d’abord si une atteinte à la sécurité ou une compromission d’une solution de portefeuille, des mécanismes de validation visés à l’article 5 bis, paragraphe 8, du règlement (UE) no 910/2014 ou du schéma d’identification électronique dans le cadre duquel une solution de portefeuille est fournie et a une incidence sur la fiabilité de cette solution de portefeuille ou d’autres solutions de portefeuille. Finalement, le paragraphe 4 prévoit que dès qu’il y a un changement dans les données d’identification personnelle d’un utilisateur, par exemple en cas de changement de nom, ces données sont automatiquement révoquées par le CTIE afin d’éviter tout abus qui pourrait être fait par cet utilisateur. Ad article 7 L’article 7 a pour objectif de compléter l’article 48bis du règlement (UE) n° 910/2014, qui oblige les États membres, entre autres, à recueillir des statistiques relatives au fonctionnement de leur solution nationale de portefeuille. Alors que l’article 48bis règle de manière détaillée les modalités du recueil des statistiques, il laisse aux États membres le choix de l’organisme étatique chargé de cette mission. La loi sous projet confie cette responsabilité au CTIE. Ad article 8 Les articles 8 à 13 portent sur l’enregistrement des parties utilisatrices de portefeuille. En effet, en vertu de l’article 5ter, paragraphe 1er du règlement (UE) n° 910/2024, les parties utilisatrices établies au GrandDuché de Luxembourg, qui ont l’intention de recourir au portefeuille pour la fourniture de services publics ou privés au moyen d’une interaction numérique, doivent préalablement s’enregistrer. Sur base dudit article 5ter, paragraphe 11, la Commission a adopté le règlement d’exécution (UE) 2025/848, qui apporte de nombreuses précisions concernant les modalités de l'enregistrement des parties utilisatrices et les fonctions du bureau d'enregistrement. L'article 4 du règlement (UE) 2025/848 précité impose aux États 6 membres de définir et publier une ou plusieurs politiques d’enregistrement. Le paragraphe 1er de l'article 8 précise que la politique d’enregistrement des parties utilisatrices établies au Grand-Duché de Luxembourg est élaborée et publiée par le bureau d’enregistrement. L’article 8 liste également des données que le bureau d’enregistrement peut collecter, afin de procéder à l’enregistrement des parties utilisatrices conformément à ce que requièrent le règlement (UE) n° 910/2024 et le règlement d’exécution (UE) 2025/848. En outre, le règlement d’exécution (UE) 2025/848 préconise le recours à des processus et moyens automatisés pour l’enregistrement des parties utilisatrices, par exemple en ayant recours à des registres existants. Dans cette perspective, le paragraphe 4 de l’article 8 précise que le bureau d’enregistrement peut, par accès direct, collecter les données nécessaires dans les fichiers nationaux énumérés. De plus, dans ce même souci d’automatisation et de simplification des démarches pour les parties utilisatrices, le paragraphe 5 prévoit la possibilité pour le bureau d’enregistrement d’obtenir directement un extrait du casier judiciaire luxembourgeois auprès de l’entité responsable de l’article 1er de la loi du 29 mars 2013 relative à l’organisation du casier judiciaire. Il convient de noter qu’il sera également nécessaire de prévoir la modification du règlement grand-ducal modifié du 23 juillet 2016 fixant la liste des administrations et personnes morales de droit public pouvant demander un bulletin N° 2 ou N° 3 du casier judiciaire avec l'accord écrit ou électronique de la personne concernée. Ad article 9 L’article 9 précise qu'il revient au bureau d'enregistrement de s'assurer de la mise à disposition du public des informations, requise par l'article 9, paragraphe 4, du règlement d’exécution (UE) 2025/848. Ad article 10 L’enregistrement des parties utilisatrices répond à un objectif de transparence et de confiance dans l’utilisation des portefeuilles européens d’identité numérique. Dans cette perspective, le règlement (UE) n° 910/2014 et le règlement d’exécution (UE) 2025/848 prévoient un certain nombre de vérifications attachées à l’enregistrement des parties utilisatrices, telles que la vérification de l’identité de la partie utilisatrice (dans la mesure du possible de manière automatisée). Dans ce cadre, l’article 10 précise cette mission, dont a la charge le bureau d’enregistrement ainsi que des moyens dont il dispose pour la remplir, tels que l’accès direct à des fichiers nationaux existants, afin de vérifier l’exactitude des informations fournies par la partie utilisatrice. Il convient de préciser que ces vérifications peuvent également porter sur les intermédiaires agissant pour le compte de parties utilisatrices qui sont, en vertu de l’article 5ter du règlement (UE) n° 910/2014, réputés être des parties utilisatrices. 7 L’article 10, paragraphe 3 prévoit que la responsabilité du bureau d’enregistrement soit engagée à la suite de la preuve d’une négligence grave du chef du bureau d’enregistrement. Cette disposition est reprise de l’article 20 de la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier. Comme le précise le commentaire des articles dans le projet de loi n° 4469, dans un tel cas la responsabilité est engagée du fait d’une négligence grave dans le choix et l’application des moyens de vérifications, et non seulement d’une erreur d’appréciation. Ad article 11 Le règlement d’exécution (UE) 2025/848, précise dans son considérant 11, que les bureaux d’enregistrement devraient pouvoir suspendre ou annuler sans préavis l’enregistrement de toute partie utilisatrice de portefeuille lorsqu’ils ont des raisons de croire que l’enregistrement contient des informations inexactes, obsolètes ou trompeuses ou que la partie utilisatrice de portefeuille ne respecte pas la politique d’enregistrement ou plus généralement, qu’elle agit en violation du droit national ou du droit de l'Union. L'article 11 précise que le bureau d'enregistrement peut opérer des analyses dans ce cadre et peut annuler ou suspendre un enregistrement de parties utilisatrices de sa propre initiative. En parallèle, le bureau d'enregistrement suspend et annule l'enregistrement de parties utilisatrice lorsqu’une demande dans ce sens lui est présentée par l'organe de contrôle. Ad article 12 A l’instar de l’article 4, paragraphe 5 de la loi du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves et de l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, l’article 12 précise les prescriptions auxquelles doit répondre le système informatique par lequel les accès aux fichiers nationaux sont prévus. Ad article 13 L’article 13 instaure la possibilité d’un recours en reformation contre les décisions prises par le bureau d’enregistrement. Ad article 14 Cet article prévoit quels sont les organismes du secteur public qui peuvent délivrer des attestations électroniques d’attributs. Comme ces attestations ont un même effet juridique que des attestations délivrées légalement sur papier, il est nécessaire de s’assurer que ces organismes soient capables de 8 pouvoir délivrer ces attestations en respectant le plus haut niveau de sécurité et en respectant les exigences prévues au règlement (UE) n° 910/2014. Ainsi, les organismes qui remplissent ces critères sont les organismes du secteur public qui sont responsables de la source authentique concernée et le CTIE. Le CTIE est un choix naturel, dans la mesure où sa qualité de fournisseur de portefeuille lui confère le savoirfaire nécessaire au processus technique de délivrance de ces attestations émanant d’organismes du secteur public. Parmi les attestations les plus importantes à envisager, il y a la carte d’identité, la carte de sécurité sociale, le permis de conduire, mais aussi le certificat de résidence ou l’extrait de casier judiciaire. Dans ce contexte, il y a lieu de citer l’article 45ter du règlement eIDAS 2.0, relatif aux effets juridiques de l’attestation électronique d’attributs. L’article 45ter se veut de créer une équivalence entre l’effet juridique d’une attestation électronique d’attributs qualifiée et des attestations d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte, ET les attestations délivrées légalement sur papier. En ce qui concerne la validité juridique automatique des attestations électroniques, cela signifie que tout document administratif officiel (par exemple une attestation d’état civil, le permis de conduire, une autorisation administrative, un diplôme) intégré dans le portefeuille et émis par une autorité compétente, est juridiquement valable, sans qu’il ne soit nécessaire d’ajouter une base juridique nationale supplémentaire pour le reconnaître. Ainsi, l’attestation électronique d’attributs ne peut pas être rejetée au seul motif qu’elle est dématérialisée. Si l’attestation est qualifiée (c’est-à-dire émise selon des règles strictes d’identification et de sécurité), ou émise par une autorité publique responsable d’une source authentique, elle a la même valeur juridique qu’un document papier équivalent. Une attestation émise par un service public d’un État membre bénéficie d’une reconnaissance dans toute l’Union européenne : elle est automatiquement reconnue dans tous les autres États membres, sans qu’une loi nationale supplémentaire ne soit nécessaire pour justifier sa validité. Ad article 15 Remarquons à titre préliminaire que les attributions de l’organe de contrôle instaurées par la loi sous projet s’inspirent fortement de celles mises en place par le projet de loi n° 8364 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. Vu l’expertise et la compétence de certaines autres autorités compétentes, dont notamment la Commission de surveillance du secteur financier (CSSF) en matière bancaire et financière, le Commissariat aux Assurances ou l'Institut luxembourgeois de la normalisation, de l'accréditation, de la sécurité et qualité des produits et services, il a été jugé cohérent de donner la possibilité à l’ILR de demander aux autorités sectorielles pertinentes de coopérer. Afin d’assurer une bonne coopération entre les autorités compétentes, ainsi qu’une approche cohérente en matière de contrôle du fournisseur et du portefeuille qu’il met en place, le deuxième paragraphe de l’alinéa 2 prévoit une exception au secret professionnel inscrit dans les lois organiques respectives de l’ILR, 9 ainsi que des autorités sectorielles afin de permettre aux autorités compétentes, à la CNPD et au point de contact unique d’échanger des informations en cas de besoin. Ad article 16 Du fait que l’ILR voit ses missions nettement élargies par la loi sous projet, l’organe de contrôle se voit accorder une contribution financière à charge du budget de l’État afin de couvrir l’intégralité des frais de fonctionnement qui résultent de l’exercice de ses missions prévues par la présente loi. Ad article 17 L’article 17 prévoit que le contrôle exercé par l’ILR à l’égard du fournisseur, ainsi que du produit fourni, peut prendre la forme d’activités de contrôle, ex ante et ex post, et détaille la nature des mesures de contrôle que l’organe de contrôle est libre de prendre. Ces mesures, qui visent à garantir que le CTIE respecte les obligations prévues par le règlement (UE) 2024/1183 et le présent projet, doivent être effectives, proportionnées et dissuasives compte tenu des circonstances spécifiques de chaque cas. Parmi les activités de contrôle que l’organe de contrôle peut exercer, l’article 17 cite, en son paragraphe 3, les inspections sur place et les contrôles à distance, les audits de conformité, les audits ad hoc, les demandes d’informations, les demandes d’accès à des données et documents et les demandes de preuves de mise en œuvre des dispositions du règlement (UE) n° 910/2014. Remarquons que lorsqu’un audit de sécurité est effectué par un organisme indépendant, les coûts en relation avec cet audit sont à la charge du fournisseur. Il est important de noter que l’exercice d’une ou de plusieurs activités de contrôle par l’ILR ne devraient pas entraver inutilement les activités du fournisseur. La nécessité de trouver un équilibre entre la sécurité numérique et la continuité des activités économiques est cruciale dans un environnement de plus en plus numérique. Alors que des mesures de supervision rigoureuses sont nécessaires pour garantir la sécurité des réseaux et des systèmes d’information, elles doivent être appliquées de manière à minimiser les conséquences économiques négatives. Le dernier paragraphe oblige l’ILR de préciser la nature des informations demandées au CTIE, ainsi que d’indiquer la finalité de la demande. Ad article 18 Cet article introduit des mesures d’exécution applicables au fournisseur. Le premier paragraphe prévoit que l’organe de contrôle peut prendre des mesures de contrôle ex post basées sur des éléments de preuve, des indications ou des informations indiquant une possible violation du projet de loi. Ces éléments peuvent être communiqués par diverses sources, y compris d’autres autorités, des citoyens, les médias ou d’autres entités, ou peuvent résulter des activités menées par l’ILR. 10 Ensuite sont énumérés les pouvoirs d’exécution accordés à l’organe de contrôle. Il s’agit de l’adoption d’instructions contraignantes, de l’ordonnance de mettre un terme à des comportements violant le règlement (UE) n° 910/2014 ou la loi sous projet, de l’ordonnance faite au fournisseur de garantir la conformité de ses mesures de gestion des risques, de l’ordonnance d’informer les personnes susceptibles d’être affectées par un incident concernant leur unité de portefeuille, de l’ordonnance de mettre en œuvre les recommandations, ainsi que de l’ordonnance de rendre publics les aspects de violations de la loi sous projet ou du règlement (UE) n° 910/2014. Le paragraphe 2 impose l’obligation à l’organe de contrôle d’exposer de manière détaillée les motifs des mesures d’exécution, d’informer le fournisseur de ses conclusions préliminaires et de laisser au fournisseur un délai de 5 jours ouvrables pour communiquer ses observations. Cela permet de protéger les droits de la défense et garantit ainsi un traitement équitable et transparent pour le fournisseur. Le paragraphe 2 précise que, dans l’hypothèse où les mesures d’exécution s’avèrent sans effets, l’ILR a la possibilité de fixer un délai, qui ne peut être supérieur à trois mois, dans lequel le fournisseur doit remédier aux irrégularités étant à l’origine des mesures d’exécution imposées. Si le fournisseur n’y donne pas suite, l’ILR peut prendre une ou plusieurs des sanctions visées à l’article 19 à son encontre. A partir du moment où le fournisseur prend les mesures nécessaires pour remédier aux insuffisances ou se conformer aux exigences de l’organe de contrôle, les mesures d’exécution cessent. C’est le paragraphe 3 qui précise qu’à partir du moment où le fournisseur prend les mesures nécessaires pour remédier aux insuffisances ou se conformer aux exigences de l’organe de contrôle, les mesures d’exécution cessent. Le paragraphe 4 liste les circonstances que l’organe de contrôle prend en compte lors de la mise en œuvre des mesures d’exécution. Ainsi, sont notamment pris en compte la gravité de la violation, la durée de celle-ci, toute violation antérieure commise, les dommages causés, le fait que l’auteur de la violation ait agi délibérément ou par négligence, les mesures prises pour prévenir ou atténuer les dommages, ou encore l’application de mécanismes de certification approuvés. Cette approche garantit que les mesures d’exécution sont adaptées à la situation et ne sont ni excessives, ni inadéquates. Finalement, c’est le paragraphe 5 qui précise que, dans l’hypothèse où les mesures d’exécution s’avèrent sans effets, l’ILR a la possibilité de fixer un délai, qui ne peut être supérieur à trois mois, dans lequel le fournisseur doit remédier aux irrégularités étant à l’origine des mesures d’exécution imposées. Si le fournisseur n’y donne pas suite, l’ILR peut prendre une ou plusieurs des sanctions visées à l’article 19 à son encontre. Ad article 19 L’article en question porte sur les sanctions en cas de non-respect des obligations prévues par les articles 5bis, 5 sexies, 12ter et, 15 du règlement (UE) n° 910/2014, et par les règlements d’exécution (UE) n° 2024/2979 et (UE) n° 2024/2982, visant à garantir que le fournisseur de portefeuille se conforme aux conditions requises. A défaut pour le fournisseur de mettre fin, dans un délai de trois mois, aux irrégularités étant à l’origine d’une ou de plusieurs des mesures d’exécution imposées, l’ILR peut lui imposer une ou plusieurs des sanctions listées au paragraphe 1er. En effet, afin d’éviter que la présente 11 loi reste lettre morte, il y a lieu de prévoir des sanctions administratives à l’encontre de celui qui ne la respecte pas. Ainsi, l’organe de contrôle peut imposer au fournisseur un avertissement, un blâme ou des amendes administratives. Les amendes administratives peuvent s’avérer significatives, atteignant un maximum de 1 000 000 euros. L’imposition ainsi que le montant des amendes administratives est déterminé en fonction de plusieurs critères, prévus au paragraphe 3, tels que la gravité de la violation, la durée de la violation, toute violation antérieure commise, les dommages causés, le fait que l’auteur de la violation ait agi délibérément ou par négligence, les mesures prises pour prévenir les dommages, l’application de codes de conduite, et de l’application de mécanismes de certification approuvés. Les critères sont les mêmes que ceux prévus à l’article précédent pour l’évaluation des mesures d’exécution à prendre. Comme pour les mesures d’exécution, cette approche garantit que les sanctions sont adaptées à la situation et ne sont ni excessives, ni inadéquates. La procédure contradictoire mise en place, dans les 3e, 4e et 5e paragraphes, permet de protéger les droits de la défense, garantissant que le fournisseur dispose d’un droit de consultation, d’observation, d’assistance et de recours. De plus, la possibilité d’un recours en réformation devant le tribunal administratif, prévue au paragraphe 5, offre une voie supplémentaire pour contester les décisions prises. Le paragraphe 6 précise que le recouvrement des amendes administratives est effectué par l’Administration de l’enregistrement, des domaines et de la TVA. La procédure de recouvrement suivie correspond à celle du recouvrement en matière d’enregistrement. Ad article 20 Dans l’hypothèse où l’ILR aurait affaire à des violations de données à caractère personnel, l’article prévoit une bonne coopération entre l’ILR et la CNPD. Le premier paragraphe souligne l’importance de la coopération entre l’organe de contrôle et les autorités de contrôle en vertu du règlement (UE) 2016/679 précité. Cette coopération revêt une importance cruciale pour traiter les incidents liés aux violations de données à caractère personnel, garantissant ainsi une approche cohérente et coordonnée de ces questions. Le 2e paragraphe porte sur la coordination entre l’ILR et les autorités de contrôle en matière de protection des données à caractère personnel. Le texte souligne l’obligation dont est tenu l’ILR de notifier sans délai injustifié les autorités de contrôle compétentes en vertu du règlement (UE) 2016/679 lorsqu’elles ont connaissance d’une violation de données à caractère personnel. Ad article 21 Cet article contient une disposition modificative, qui concerne la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques. Il est proposé de compléter l’article 5, paragraphe 2 par une nouvelle lettre
- p)établissant que le numéro administratif personnel défini à l’article 3, paragraphe 4 du présent projet de loi, est conservé dans le registre RNPP. 12 La conservation de ce numéro administratif personnel, ainsi que de son association avec le numéro d’identification national du titulaire d’une unité de portefeuille européen d’identité numérique, vise à permettre de réidentifier une personne physique qui souhaite accéder à un service en ligne d’un organisme du secteur public sur lequel elle est déjà connue. Par exemple, sur base de la présentation de ce numéro administratif personnel grâce à une unité de portefeuille européen d’identité numérique, le guichet électronique (MyGuichet.
- lu)pourra rediriger facilement et en toute sécurité un citoyen vers son espace personnel. Un mécanisme similaire n’est pas requis pour les personnes morales titulaires d’une unité de portefeuille européen d’identité numérique. En effet, l’article 3, paragraphe 6, dispose que les données d’identification personnelle des utilisateurs personnes morales incluent leur numéro d’identité au sens du répertoire RNPM. Ensuite, à l’article 11, alinéa 2, il est prévu d'ajouter un membre à la suite des délégués des administrations étatiques de la Commission du registre national qui représente le Commissariat du Gouvernement à la protection des données auprès de l'État. En tant que structure centrale spécialisée disposant d’une longue expérience dans le conseil en matière de traitement données, il apparait indiqué d’ajouter un représentant du Commissariat du Gouvernement à la protection des données auprès de l'État. Ce dernier pourra ainsi contribuer à la protection des données en mettant à la disposition de la Commission du registre national ses compétences juridiques dans cette matière complexe de la protection des données. Finalement, l’article 12, paragraphe 2, 3ème et 4ème phrase de ce texte est modifiée. La modification de la 3ème phrase consiste essentiellement à changer l’approche par rapport au moyen d’authentification (uniquement accessible de manière électronique) du titulaire de la carte d’identité. Ce moyen d’authentification est actuellement fourni seulement à la demande expresse du titulaire au moment de la demande de la carte d’identité ; il est proposé de le fournir d’office, et de lui donner une durée de validité égale à celle de la carte d’identité. Les dispositions concernant le moyen de signature du titulaire sont quant à elles retirées de cette phrase. En effet, comme la fonctionnalité de la signature électronique sera désormais possible via le portefeuille, il n’est plus nécessaire de la prévoir dans la carte d’identité. Ad article 22 Un intitulé de citation est proposé pour une meilleure lisibilité du présent projet de loi. 13