← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 Délibération n°39/AV9/2026 du 22 mai 2026

  1. Conformément à l’article 57, paragraphe 1, point c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le « règlement général sur la protection des données » ou le « RGPD »), auquel se réfère l’article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36 paragraphe 4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
  2. Par courrier en date du 27 janvier 2026, Monsieur le Ministre de la Mobilité et des Travaux publics a invité la Commission nationale à se prononcer sur le projet de loi n°8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents (ci-après le ou les « STI ») dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 (ci-après le « projet de loi »). CNPD L— -J Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 1/6
  3. Selon l’exposé des motifs, le projet de règlement grand-ducal n°8544 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport a fait l’objet d’un avis du Conseil d’ Etat du 7 octobre 2025, aux termes duquel ce dernier avait considéré que les matières visées constituaient des matières réservées à la loi, notamment la liberté du commerce et de l’industrie garantie par l’article 35 de la Constitution, de sorte que seule une loi pouvait en régir les conditions 1 . En conséquence, ledit projet de règlement a été retiré par décision du Gouvernement en conseil du 12 décembre 2025 et le présent projet de loi s’y substitue.
  4. Le projet de loi vise à transposer la directive (UE) 2023/2661 du Parlement européen et du Conseil du 22 novembre 2023, modifiant la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010, cette première ayant pour objet de développer le déploiement et l’utilisation des STI sur les routes du réseau transeuropéen de transport et de prévoir la fourniture obligatoire de certains services STI ainsi que la disponibilité et l’accessibilité de données essentielles pour informer les usagers de la route et des services STI.
  5. Le présent avis limite ses observations aux problématiques liées à la protection des données à caractère personnel soulevées par le projet de loi.
  6. Le considérant

(3)de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010STI décrit les STI comme « des applications avancées qui, sans pour autant comporter de processus intelligent à proprement parler, visent à fournir des services innovants liés aux différents modes de transport et à la gestion de la circulation et permettent à différents utilisateurs d’être mieux informés et de faire un usage plus sûr, plus coordonné et plus « intelligent ». Le considérant 4 de ladite directive précise que les STI « associent les télécommunications, l’électronique et les technologies de l’information à l’ingénierie des transports afin de planifier, concevoir, exploiter, entretenir et gérer les systèmes de transport (...) »2 .
  1. Comme le relève le Comité Européen de la Protection des Données (ci-après le « CEPD ») dans son avis du 2 mars 2022 3 , « le bon fonctionnement des services STI nécessite la collecte et le traitement de données à caractère personnel pour le traitement de chacun des services STI ». 1 Avis du Conseil d’État n° 62.158 du 7 octobre
  2. Voir aussi le considérant 15 de la directive (UE) 2023/2661 qui précise quant à lui : « Les STI-C utilisent des technologies qui permettent aux véhicules routiers de communiquer entre eux et avec l’infrastructure de bord de route, y compris les panneaux de signalisation. Les services STI-C sont une catégorie de services STI qui s'appuient sur une architecture ouverte dans laquelle les stations STI-C peuvent établir des communications « plusieurs à plusieurs» ou «pair à pair». » 3 Avis du CEPD 3/2022 du 2 mars 2022 sur la proposition modifiant la directive concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier, page 7 paragraphe
  3. 2 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 2/6
  4. Dès lors, la Commission nationale considère que le volume et la sensibilité des données à caractère personnel qui sont susceptibles d’être traités dans le contexte des services STI ainsi que les risques sur la vie privée qui peuvent découler de ces traitements de données à caractère personnel, doivent faire l’objet d’une attention particulière.
  5. La CNPD note que le tableau de correspondances du projet de loi indique sans précision supplémentaire la non-transposabilité de l’article 10 de la directive 2010/40/UE, tel que modifié par l’article premier de la directive (UE) 2023/2661, qui dispose que : «
  6. Les données qui constituent des données à caractère personnel au sens de l’article 4, point 1), du règlement (UE) 2016/679 du Parlement européen et du Conseil (*) ne sont traitées en vertu de la présente directive que dans la mesure où leur traitement est nécessaire pour le bon fonctionnement des applications, services et actions STI énumérés à l’annexe I de la présente directive, en vue d’assurer la sécurité ou la sûreté routière et d’améliorer la gestion de la circulation, de la mobilité ou des incidents.
  7. Lorsque les spécifications adoptées en vertu de l’article 6 concernent le traitement de données qui sont des données à caractère personnel au sens de l’article 4, point 1), du règlement (UE) 2016/679, elles définissent les catégories de ces données et prévoient des garanties appropriées en matière de protection des données à caractère personnel conformément au règlement (UE) 2016/679 et à la directive 2002/58/CE. Dans de tels cas, l’analyse d’impact visée à l’article 6, paragraphe 7, de la présente directive comprend une analyse de l’incidence de ce traitement sur la protection des personnes physiques à l’égard du traitement des données à caractère personnel.
  8. Lorsque l’anonymisation est techniquement possible et que les finalités du traitement des données peuvent être atteintes au moyen de données anonymisées, des données anonymisées sont utilisées.
  9. Lorsque l’anonymisation n’est techniquement pas possible, ou que les finalités du traitement des données ne peuvent pas être atteintes au moyen de données anonymisées, les données sont pseudonymisées, pour autant que la pseudonymisation soit techniquement possible et que les finalités du traitement des données puissent être atteintes au moyen de données pseudonymisées ».
  10. À cet égard, il y a lieu de regretter que le projet de loi se limite à un simple renvoi de certains articles auxdites directives sans autre indication quant au traitement de données à caractère personnel qui pourrait intervenir. Par ailleurs, les auteurs du projet de loi se limitent à reprendre les définitions de la directive 2010/40/ UE respectivement de la directive (UE) 2023/2661, telles que les « données routières », les « données concernant la circulation » et les « données concernant des déplacements » sans apporter de plus amples précisions quant aux risques d’inférence avec des données à caractère personnel
  11. À défaut de précisions, il n’est pas 4 Points 15, 16 et 17 de l’article 2 du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 3/6 clairement établi si des traitements de données à caractère personnel sont mis en oeuvre dans le cadre du déploiement des services STI et il serait souhaitable que les auteurs du projet de loi apportent des précisions à cet égard.
  12. De plus, la Commission nationale renvoie à l’avis du Conseil d’État du 8 octobre 2024 5 , rappelant que chaque État membre est tenu de donner aux directives une exécution qui répond pleinement aux exigences de clarté et de certitude des situations juridiques imposées par l’Union européenne, dans l’intérêt des personnes concernées. À cette fin, les dispositions d’une directive doivent être mises en œuvre avec la précision et la clarté requises.
  13. La CNPD relève que des données à caractère personnel ne sont pas systématiquement nécessaires pour tous les services STI
  14. Elle constate toutefois que, conformément à l’article 5 du projet de loi, « /es spécifications adoptées par la Commission européenne conformément à l’article 6 de la directive 2010/40/UE, telle que modifiée parla décision (UE) 2017/2380 et par la directive (UE) 2023/2661, s’appliquent aux applications et services STI, lorsque ceux-ci sont déployés, conformément aux principes énoncés à l’annexe II de ladite directive », lesdites spécifications définissent entre autres les catégories de ces données qui sont amenées à être collectées et préconisent pour certaines les durées de conservation, les finalités des traitements et de manière générale, le respect des principes du RGPD.
  15. Malgré les spécifications adoptées en vertu de l’article 6 de la directive 2010/40/UE, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661, la Commission nationale estime toutefois opportun de prévoir une mention explicite de l’existence des traitements de données à caractère personnel éventuels qui seraient réalisés dans le déploiement des services STI. Au surplus, la CNPD s’interroge sur les modalités concrètes de l’information du public sur l’existence des traitements de données à caractère personnel susceptibles d’être mis en œuvre dans le contexte des services STI. Elle remarque que le projet de loi reste silencieux quant à l’exigence d’une information propre à garantir le respect du principe de transparence et du droit à l’information des personnes concernées. 5 Avis du Conseil d’Etat n°61.799 du 8 octobre 2024, doc. pari. 8364/
  16. Le paragraphe 14 de l’avis du CEPD précité rappelle d'ailleurs que « [l]e documentée travail des services de la Commission accompagnant la proposition précise que «la plupart des données STI ne sont pas à caractère personnel (par exemple, les limitations de vitesse, les règles de circulation, les cartes), mais certaines données à caractère personnel sont nécessaires pour certains services essentiels de sécurité routière (par exemple, les véhicules qui signalent qu’ils sont en train de freiner brusquement avertissent les véhicules venant en sens inverse d’une situation potentiellement dangereuse)» ». 6 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 4/6
  17. La Commission nationale souhaite en outre préciser que le CEPD, dans son avis précité 7 , avait indiqué que « [l]a répartition des responsabilités entre les différents acteurs devait être claire et accessible afin notamment de garantir que les personnes concernées puissent exercer pleinement leurs droits en vertu du RGPD ». Il avait ajouté que « [b]ien que des modalités détaillées visant à garantir le respect des exigences en matière de protection des données puissent être précisées au moyen d’un acte d’exécution », et il estimait que « les rôles des différents acteurs concernés en tant que responsable du traitement, responsable conjoint du traitement ou sous-traitant devraient être clairement assignés ».
  18. La CNPD souligne que la notion de responsable du traitement joue un rôle important dans l’application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer leurs droits. Il est encore à noter que la notion de responsable (conjoint) du traitement est une notion fonctionnelle en ce qu’elle vise à répartir les responsabilités en fonction des rôles réels joués par les parties.
  19. Compte tenu de la nature spécifique des services STI, il y a lieu de regretter que les dispositions légales ne soient pas rédigées avec suffisamment de précisions, de sorte qu’il est difficile de comprendre quels seraient les traitements envisagés et effectués par quelles entités et pour quelles finalités. La CNPD considère que les dispositions du projet de loi devraient refléter la réalité des activités exercées par les différents acteurs et donner, de cette manière, des indications (i) quant aux acteurs concernés, qui sont à considérer comme responsable du traitement comme notamment les prestataires de services STI et les détenteurs de données, et (ii) quant à la nécessité pour ces derniers de se conformer aux obligations en vertu des règles relatives à la protection des données.
  20. Finalement, pour les mêmes raisons ci-dessus évoquées, la Commission nationale estime qu’une référence aux différentes règlementations applicables devrait être intégrée dans le projet de loi, notamment en ce qui concerne les questions relevant de l’usage de l’intelligence artificielle. 7 Avis du CEPD 3/2022 du 2 mars 2022 sur la proposition modifiant la directive concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier, page 9 paragraphe
  21. CNPD L. —I Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 5/6 Ainsi adopté à Belvaux en date du 22 mai
  22. La Commission nationale pour la protection des données eu/w Tine A. Larsen Présidente CNPD Thierry Lallemang Commissaire Main Herrmann Commissaire FlorenpKIi Corrynissâ Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8689 portant transposition de la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport, telle que modifiée par la décision (UE) 2017/2380 et par la directive (UE) 2023/2661 6/6

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.