Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8625 sur les médias et portant organisation de l’Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du : 1° Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique ; et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques ; et 2° la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias ; et 3° la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de l'établissement public « Autorité luxembourgeoise indépendante de l'audiovisuel » et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques Délibération n°42/AV11/2026 du 22 mai 2026 1. Conformément à l’article 57 paragraphe 1 point
- c)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le « règlement général sur la protection des données » ou le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». CNPD rcjt .* wrc:o- Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8625 sur les médias et portant organisation de l’Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du : T Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avnl 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique ; et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques ; et 2* la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias ; et 3 e la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de l'établissement public « Autorité luxembourgeoise indépendante de l'audiovisuel » et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques 1/6 2. N'ayant pas été directement saisie par le gouvernement, la Commission nationale s'autosaisit, alors qu’elle souhaite néanmoins se prononcer quant au projet de loi n°8625 sur les médias et portant organisation de l’Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du : 1° Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique ; et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques ; et 2° la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias ; et 3° la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de l'établissement public « Autorité luxembourgeoise indépendante de l'audiovisuel » et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques (ci-après le « projet de loi »). 3. Selon l’exposé des motifs, la loi modifiée du 27 juillet 1991 sur les médias électroniques a fait l’objet de nombreuses adaptations depuis son adoption, mais n’a pas été réévaluée dans son ensemble depuis plus de trente ans, alors que le paysage médiatique a connu de grandes transformations sur le plan technologique et structurel. Une refonte globale du cadre législatif s’est donc révélée nécessaire. En effet, le projet de loi a pour objet de moderniser le dispositif en vigueur en s’appliquant à tous les services de médias, indépendamment de leur mode de diffusion et il prévoit, entre autres, (
- i)un socle commun de principes clés et de règles applicables à tous les fournisseurs de services de médias, (
- ii)un renforcement de la protection des mineurs dans le contexte des services de plateformes de partage de vidéos ainsi que (iii) la redéfinition des missions et des pouvoirs de l’Autorité luxembourgeoise indépendante de l’audiovisuel dont la dénomination est appelée à être remplacée par « Autorité luxembourgeoise indépendante des médias » (ci-après I’ « Autorité »). 4. Par ailleurs, le projet de loi vise à transposer la directive 2010/13/UE du Parlement européen et du Conseil du 10 mars 2010 visant à la coordination de certaines dispositions législatives, règlementaires et administratives des Etats membres relatives à la fourniture de service de médias audiovisuels, telle que modifiée par la directive (UE) 2018/1808 du Parlement européen et du Conseil du 14 novembre 2018 modifiant la directive 2010/13/UE visant la coordination de certaines dispositions législatives, règlementaires et administratives des Etats membres relatives à la fourniture de services de médias audiovisuels (ci-après la « directive SMA »). CNPD ?0*>wU>O-< •ejt .» OUOO~<-MJ Avis de la Commission nationale pour la protection des données relatif au projet de loi n ’ 8625 sur les médias et portant organisation de l’Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du : 1 - Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique ; et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques : et 2" la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias : et 3" la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de l'établissement public « Autorité luxembourgeoise indépendante de l'audiovisuel ■ et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques 5. D'autres dispositions du projet de loi accompagnent la mise en œuvre de deux règlements européens, à savoir le règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive SMA, et le règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique (ciaprès le « règlement (UE) 2024/900 »). 6. Le présent avis se limite à analyser les dispositions du projet de loi concernant la mise en œuvre du règlement (UE) 2024/900 relatives aux compétences qui en découlent pour la Commission nationale. 7. Sous le Titre 4 du projet de loi, l’article 44 désigne l’Autorité luxembourgeoise indépendante des médias (ci-après « ALIM ») comme autorité compétente pour surveiller le règlement (UE) 2024/900. 8. L’exposé des motifs du projet de loi précise en plus que l’ALIM « est nommée autorité compétente pour la surveillance de ce règlement, aux côtés de la Commission nationale pour la protection des données, qui sera en charge des aspects en lien avec la protection des données personnelles »1 9. En effet, l’article 22 paragraphe
(1)du règlement (UE) 2024/900 dispose que : « [l]es autorités de contrôle visées à l'article 51 du règlement (UE) 2016/679 ou le Contrôleur européen de la protection des données visé à l'article 52 du règlement (UE) 2018/1725 sont compétents pour contrôler l'application des articles 18 et 19 du présent règlement dans leur domaine de compétence respectif. L'article 58 du règlement (UE) 2016/679 et l'article 58 du règlement (UE) 2018/1725 s'appliquent mutatis mutandis. Le chapitre VII du règlement (UE) 2016/679 s'applique aux activités couvertes par les articles 18 et 19 du présent règlement ». Il en découle implicitement que la CNPD, en tant qu’autorité de contrôle en matière de protection des données, exercerait ses pouvoirs en vertu des missions qui lui sont conférées par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données pour contrôler les techniques de ciblage et les techniques de diffusion d’annonces publicitaires qui impliquent le traitement de données à caractère personnel dans le contexte de la publicité à caractère politique en ligne, tel que prévu par les articles 18 et 19 du règlement (UE) 2024/
- 1 Exposé des motifs du projet de loi, page
- CNPD fOvwWO* •C* .* Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8625 sur les médias et portant organisation de l’Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du 1* Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique ; et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques ; et 2* la loi modifiée du 8 juin 2004 sur la liberté d'expression dans les médias ; et 3" la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de l'établissement public « Autorité luxembourgeoise indépendante de l’audiovisuel » et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques 3/6
- Or, aucune disposition du projet de loi ne prévoit la désignation explicite de la CNPD comme autorité compétente pour contrôler l'application des articles 18 et 19 du règlement (UE) 2024/
- L’article 88 paragraphe
(4)du projet de loi indique quant à lui que dans l’exercice des pouvoirs et dans l’accomplissement des missions qui lui ont été conférés, l’Autorité échange des informations avec les autres autorités ou organismes de régulation nationaux et la Commission européenne lorsque cela est nécessaire à l’accomplissement de leurs missions respectives, sans pour autant désigner nommément quels sont « /es autres autorités et organismes de régulation nationaux ».
- L’article 22 paragraphe 7 du règlement (UE) 2024/900 dispose que « [l]es Etats membres veillent à assurer une coopération et une coordination efficaces et structurées au niveau national entre toutes les autorités compétentes concernées afin de faciliter les échanges rapide et sécurisé d’informations sur les questions liées à l'exercice de leurs missions et pouvoirs de surveillance et d'exécution conformément au règlement notamment en notifiant les infractions détectées qui sont pertinentes pour d'autres autorités, en partageant les constatations en l'expertise et en se concertant sur l’application et l’exécution des règles en vigueur ».
- Le considérant 94 du règlement (UE) 2024/900 précise aussi qu’« [i]l convient d'aider les autorités de contrôle indépendantes au titre du règlement (UE) 2016/679 à faire pleinement usage des pouvoirs qui leur sont conférés par ledit règlement pour surveiller la protection des données à caractère personnel prévue par le présent règlement, y compris dans le cadre de la procédure de coopération, du mécanisme de contrôle de la cohérence et, en particulier, de la procédure d'urgence. La période précédant les élections ou les référendums est particulièrement importante dans le cadre des campagnes politiques, car elle incite les citoyens à se forger des opinions politiques et à exercer leur droit de vote. Elle est également particulièrement sensible aux violations des règles applicables, car, pour être efficace, des mesures correctives doivent généralement être mises en place avant l'événement électoral. C'est pourquoi les violations des règles applicables au traitement des données à caractère personnel à des fins de ciblage de la publicité à caractère politique au cours de cette période sont susceptibles d'avoir des effets négatifs particulièrement importants sur les droits des citoyens, y compris sur leur liberté de se forger des opinions sans inférence indue et sur leur liberté d'information. Afin de garantir une action rapide pour protéger les droits et libertés des personnes pendant la période critique précédant le vote au cours d'une élection, les autorités chargées de la protection des données devraient veiller à être en mesure d'agir rapidement pour faire respecter les droits des personnes concernées ». CNPD ••o-ieiiOM OCOOfv'rti! Avis de la Commission nationale pour la protection des données relatif au projet de loi n“ 8625 sur les médias et portant organisation de l’Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du : V Réglement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Réglement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique : et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques ; et 2° la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias : et 3' la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de rétablissement public « Autorité luxembourgeoise indépendante de l’audiovisuel » et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques 4/6
- Dans ce contexte, la Commission nationale regrette que les auteurs du projet de loi n'aient pas choisi d'aller plus loin dans l'encadrement de la coopération entre l’ALIM et la CNPD. L’absence de désignation formelle de la CNPD risque de compromettre non seulement la clarté de la répartition des compétences, notamment en matière de protection des données, mais également l'effectivité d’une collaboration cohérente entre les deux institutions.
- Même si le règlement (UE) 2024/900 est d’application directe, la Commission nationale estime qu’afin de respecter le principe de prévisibilité auquel doit répondre tout texte légal et dans un souci de sécurité juridique et de meilleure lisibilité des compétences respectives des autorités, il est nécessaire de prévoir une désignation explicite de la CNPD dans le projet de loi.
- À ce titre, elle ne peut que se rallier à l’avis du 23 février 2026 de l’Autorité luxembourgeoise indépendante de l’audiovisuel2 qui souligne que « l’absence d’une désignation formelle de la CNPD risque d’entraver la collaboration et la répartition des rôles entre l’ALIM, officiellement autorité compétente, et la CNPD, susceptible d’intervenir sur les questions relatives à la protection des données, ce qui peut engendrer des conflits institutionnels et ralentir le processus décisionnel. Sans un cadre national explicite pour la CNPD, des divergences dans les procédures de contrôle et de sanction pourraient survenir, avec des risques d’incohérences, de doublons, voire de blocages dans l'application du règlement. Par ailleurs, les entités concernées par le règlement peuvent se trouver dans l’incertitude quant à l'étendue exacte des obligations, ayant du mal à distinguer les compétences réelles de l’ALIM de celles de la CNPD, ce qui complique leur conformité effective ».
- La CNPD estime dès lors nécessaire que l’article 44 du projet de loi précise les missions exercées par les différentes autorités impliquées et en particulier les missions que la CNPD est amenée à réaliser dans le contexte des articles 18 et 19 du règlement (UE) 2024/900, voire d’envisager une intégration correspondante au sein de la loi du 1er août 2018 portant organisation de la Commission nationale.
- Enfin, il y a lieu de souligner que le législateur français a l’intention d’aller exactement dans ce sens, alors que le projet de loi portant diverses dispositions d'adaptation au droit de l’Union européenne en matière économique, financière, environnementale, énergétique, d’information, de transport, de santé, d’agriculture et de pêche (souvent appelé DDADUE 2026) qui met en 2 Document parlementaire n°8625/06, Avis n°04/2026 du 23 février 2026 du Conseil d’administration de l’Autorité luxembourgeoise indépendante de l’audiovisuel, page 11 - IL Compétences éventuelles de l’Autorité de la Concurrence (DSC- coordinateur pour les services numériques) et de la CNPD et page 46 - La mise en œuvre de différents règlements européens. CNPD ’C-* • Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8625 sur les médias et portant organisation de l’Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du 1* Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique ; et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques : et 2° la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias : et 3* la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de l'établissement public « Autorité luxembourgeoise indépendante de l’audiovisuel » et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques 5/6 œuvre, entre autres, le règlement (UE) 2024/900, prévoit en son article 35 de modifier la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés pour désigner la CNIL autorité compétente pour contrôler l'application des articles 18 et 19 du règlement (UE) 2024/900.3 Ainsi adopté à Belvaux en date du 22 mai
- La Commission nationale pour la protection des données Tine A. Larsen Présidente 3 Commissaire Commissaire https://www.senat.fr/dossier-leqislatif/pjl25-118.html. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8625 sur les médias et portant organisation de I Autorité luxembourgeoise indépendante des médias et portant mise en œuvre du : 1° Règlement (UE) 2024/1083 du Parlement européen et du Conseil du 11 avril 2024 établissant un cadre commun pour les services de médias dans le marché intérieur et modifiant la directive 2010/13/UE (règlement européen sur la liberté des médias) ; et du 2° Règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique ; et portant modification de : 1° la loi modifiée du 27 juillet 1991 sur les médias électroniques ; et 2’ la loi modifiée du 8 juin 2004 sur la liberté d'expression dans les médias : et 3‘ la loi du 27 août 2013 modifiant la loi modifiée du 27 juillet 1991 sur les médias électroniques en vue de la création de rétablissement public • Autorité luxembourgeoise indépendante de l’audiovisuel » et modifiant 1) la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État et 2) la loi du 20 avril 2009 relative à l’accès aux représentations cinématographiques publiques 6/6