Commentaire des articles Ad article 1er Cet article vise à modifier l’article 1er de la loi du 14 août 2000 relative au

Commentaire des articles Ad article 1er Cet article vise à modifier l’article 1er de la loi du 14 août 2000 relative au commerce électronique, telle que modifiée (ci-après : « loi sur le commerce électronique »), afin d’y introduire les définitions « attestation électronique d’attributs » et « attestation électronique d’attributs qualifiée ». Il s’agit de notions introduites par le règlement (UE) 2024/1183 du Parlement européen et du Conseil du 11 avril 2024 modifiant le règlement (UE) n° 910/2014 (ci-après « règlement eIDAS ») en ce qui concerne l’établissement du cadre européen relatif à une identité numérique (ci-après « règlement eIDAS 2 »). Ad article 2 L’intitulé du chapitre 2 (titre II) de la loi sur le commerce électronique est modifié afin d’inclure explicitement des fournisseurs d’attestations électroniques d’attributs. Ad article 3 L’intitulé du chapitre 2, section 2 (titre II) de la loi sur le commerce électronique est modifié afin d’inclure explicitement des fournisseurs d’attestations électroniques d’attributs et les attestations électroniques d’attributs. Ad article 4 Cet article vise à modifier l’article 19, paragraphe 4 de la loi sur le commerce électronique en ce qui concerne la référence qui y est faite à l’article 45bis de la loi sur le commerce électronique. En effet, le présent projet de loi prévoit d’abroger l’article 45bis de la loi sur le commerce électronique qui traite des sanctions pénales pouvant être prononcées à l’égard des prestataires de service de confiance et de les remplacer par des sanctions administratives. Cette démarche, s’inscrit dans une volonté d’abandonner la voie pénale au profit de sanctions administratives dans le but d’accroître l’efficacité des dispositifs de sanction de la loi sur le commerce électronique. En effet, la modification de cet article s’inscrit plus globalement dans la mise en application de l’article 16 du règlement eIDAS 2 qui prône la mise en place par les États membres d’un régime de sanctions administratives pouvant être prononcées à l’égard d’un prestataire de service de confiance. En conséquence, la violation du respect du secret professionnel tel qu’il découle de l’article 19, paragraphe 4 de la loi sur le commerce électronique, est désormais susceptible de faire l’objet d’une sanction administrative conformément à l’article 34bis, paragraphe 1er de la loi sur le commerce électronique. Ad article 5 Le point 1° modifie l’article 21 de la loi sur le commerce électronique, afin d’inclure les attestations électroniques d’attributs dans l’intitulé. 1 Le point 2° introduit un nouveau paragraphe 2bis à l’article 21 de la loi sur le commerce électronique contenant une obligation à l’encontre du titulaire de l’attestation électronique d’attributs consistant à faire révoquer sans délai cette dernière en cas de perte de la conformité à la réalité des informations contenues dans celle-ci. Ad article 6 Cet article vise à modifier la loi sur le commerce électronique afin d’y ajouter un nouvel article 26bis ayant trait à la révocation des attestations électroniques d’attributs en imposant des obligations à charge du fournisseur d’attestation électroniques d’attributs. Le paragraphe 1er instaure l’obligation pour le fournisseur d’attestation électroniques d’attributs d’informer le titulaire de l’attestation de la révocation de cette dernière. Le paragraphe 2 prévoit les cas de figure dans lesquels le fournisseur d’attestations électroniques d’attributs qualifiées doit procéder à une révocation de l’attestation électronique d’attributs et dont la validité est supérieure à 24 heures. Ad article 7 - L’article 7, point 1°, du présent projet de loi, vise à modifier l’article 29 de la loi sur le commerce électronique en supprimant les mots « du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, ci-après « règlement (UE) n° 910/2014. » En effet, les auteurs du texte considèrent qu’il n’est plus nécessaire de recourir à l’intitulé complet du règlement eIDAS étant donné qu’un intitulé abrégé est introduit à l’article 1er de la loi sur le commerce électronique. - L’article 7, point 2°, du présent projet de loi, ajoute un paragraphe 4bis à l’article 29 de la loi sur le commerce électronique et prescrit une obligation pour l’Institut luxembourgeois de la normalisation, de l'accréditation, de la sécurité et qualité des produits et services (ci-après « ILNAS ») d’informer la Commission Nationale pour la Protection des Données (ci-après : « CNPD ») en cas de violation des règles en matière de protection des données à caractère personnel par un prestataire de services de confiance qualifié. - L’article 7, point 3°, du présent projet de loi, insère un nouveau paragraphe 4ter à l’article 29 de la loi sur le commerce électronique qui vise à mettre en œuvre l’obligation de coopération prévue à l’article 46ter, paragraphe 4, lettre

1. f)du règlement eIDAS 2, consistant principalement en une obligation à charge de l’ILNAS, d’informer la CNPD en cas d’atteinte à la sécurité lorsqu’il apparaît que ces atteintes constituent des violations de données à caractère personnel. Ad article 8 Cet article vise à abroger l’article 29bis de la loi sur le commerce électronique afin d’aligner le droit national avec l’article 24, paragraphes 1er et 1bis du règlement eIDAS 2 ayant trait à la vérification d’identité en vue de la délivrance d’un certificat qualifié et aux méthodes autorisées pour mener à bien cette vérification. L’article 24, paragraphes 1er et 1bis, du règlement eIDAS dans sa version actuelle, ne fait plus référence à « d’autres méthodes d’identification reconnues au niveau national qui fournissent une garantie équivalente en mots de fiabilité à la présence en personne » au titre des méthodes d’identification autorisées pour la vérification d’identité en vue de la délivrance d’un certificat qualifié. 2 Ad article 9 Le point 1° de cet article, vise à modifier l’intitulé de l’article 32 de la loi sur le commerce électronique. Le point 2° de cet article, vise à apporter des modifications à l’article 32, paragraphe 1er afin d’y ajouter un nouvel alinéa 3 qui impose au prestataire de services de confiance qualifié d’informer l’ILNAS au moins un mois avant la mise en œuvre de toute modification importante dans la fourniture de ses services de confiance qualifiés. Cette modification a pour but de permettre à l’organe de contrôle d’anticiper d’éventuels impacts sur la conformité au règlement eIDAS des services de confiance qualifiés fournis par le prestataire de services de confiance qualifié. Pour déterminer ce qu’il y a lieu d’entendre par « modification importante », il est renvoyé vers les règlements d’exécutions de la Commission européenne dans ce contexte. Le point 3° de cet article remplace le texte de l’article 32, paragraphe 2 de la loi sur le commerce électronique. Le nouveau dispositif entend élargir le champ d’application de ce paragraphe à davantage de services de confiance en cas de transfert d’activité du prestataire de services de confiance qualifié afin que ce dernier ne soit pas limité aux seuls certificats qualifiés. Ad article 10 Cet article vise à déterminer un régime de sanctions applicables en cas de non-respect des obligations incombant aux prestataires de service de confiance tombant dans le champ d’application du règlement eIDAS 2. Concernant l’article 10, point 1°, du présent projet de loi, l’article 34bis, paragraphe 1er, alinéa 1er de la loi sur le commerce électronique est modifié en vue de la mise en œuvre en droit national de l’article 16 du règlement eIDAS 2. En effet, cet article du règlement indique que « […] 2. Les États membres veillent à ce que les infractions au présent règlement commises par des prestataires de services de confiance qualifiés et non qualifiés soient soumises à des amendes administratives d’un montant maximal s’élevant au moins à:
2. a)5 000 000 EUR lorsque le prestataire de services de confiance est une personne physique ; ou
3. b)lorsque le prestataire de services de confiance est une personne morale, 5 000 000 EUR ou 1 % du chiffre d’affaires annuel mondial total de l’entreprise à laquelle le prestataire de services de confiance appartenait lors de l’exercice précédant l’année au cours de laquelle l’infraction a été commise, le montant le plus élevé étant retenu. » Concernant l’article 10, point 2°, du présent projet de loi, à l’article 34bis, les lettres a),
4. b)et
5. d)de la loi sur le commerce électronique sont supprimées. En effet, le non-respect de l’obligation de la fourniture des documents, informations et d’autres renseignements est déjà sanctionnée par l’article 17ter de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS (ci-après « la loi ILNAS »). La lettre
6. b)est également supprimée, car le fait qu’un prestataire de services de confiance fasse obstacle à l’exercice, par l’ILNAS, de son pouvoir de contrôle se trouve également couvert par l’article 17ter de la loi ILNAS. Quant à la lettre
7. d)de l’article 34bis, ce dernier renvoie à l’article 29bis de la loi sur le commerce électronique qui a fait l’objet d’une abrogation par le présent projet de loi et fait suite à la volonté des auteurs de s’aligner avec les dispositions de l’article 24 du règlement eIDAS 2. 3 L’article 10, point 3°, du présent projet de loi vise à adapter le signe de ponctuation suite à l’introduction de nouvelles lettres par le présent projet de loi. L’article 10, point 4°, du présent projet de loi, prévoit à l’article 34bis, paragraphe 1er, de la loi sur le commerce électronique, l’ajout de quatre nouvelles lettres f), g),
8. h)et
9. i): - La lettre
10. f)sanctionne l’utilisation de la dénomination de prestataire de services de confiance qualifié ou de services de confiance qualifié par un prestataire de services de confiance, alors que ce dernier n’est pas inscrit sur une liste de confiance nationale conformément à l’article 22, paragraphe 1er du règlement eIDAS 2. - La lettre
11. g)reprend les dispositions du règlement eIDAS 2 prévoyant des obligations pour les prestataires de services de confiance et dont la violation pourra faire l’objet d’une amende administrative. Les dispositions du règlement eIDAS, dont la violation peut entraîner une telle sanction, infligée par l’ILNAS, sont celles contenant des obligations pour les prestataires de service de confiance : • • • • • • L’article 19bis, paragraphe 1er, oblige les prestataires de service de confiance non qualifiés à mettre en place des procédures pour gérer les risques liés à leurs services et à notifier rapidement toute atteinte à la sécurité ou perturbation affectant le service ou les données personnelles, au plus tard 24 heures après en avoir eu connaissance. L’article 20, paragraphe 1er, oblige le prestataire de service de confiance qualifié (ci-après : PSCQ) de se soumettre à un audit par un organisme de l’évaluation de la conformité au moins tous les 24 mois respectivement et de transmettre le rapport d’évaluation de la conformité qui en résulte à l’ILNAS dans un délai de 3 jours à compter de la réception du rapport. L’article 20, paragraphe 1bis, édicte l’obligation pour le prestataire de services de confiance qualifié d’informer l’ILNAS, au moins 1 mois à l’avance de tout audit planifié et permet à l’ILNAS, sur demande de ce dernier, d’y participer en tant qu’observateur. L’article 20, paragraphe 2, oblige le prestataire de service de confiance à se soumettre à un audit ad hoc sur demande de l’ILNAS. Etant donné, que l’article 45bis de la loi sur le commerce électronique fait référence à l’article 20, paragraphe 1er et 2 du règlement eIDAS et que la présent projet de loi prévoit l’abrogation de l’article 45bis de la loi sur le commerce électronique, et afin de permettre à l’ILNAS de prononcer une sanction à l’encontre d’une éventuelle violation de ces obligations, l’article 20, paragraphe 1er et 2, figure désormais à l’article 34bis de la loi sur le commerce électronique ayant trait aux sanctions administratives. L’article 24, paragraphe 1er, impose au prestataire de services de confiance qualifié de vérifier l’identité du futur titulaire, lorsque ce dernier délivre un certificat ou une attestation électronique d’attributs qualifiée. Etant donné, que l’article 45bis de la loi sur le commerce électronique renvoie vers l’article 24, paragraphe 1er, que l’article 45bis ayant trait aux sanctions pénales fait l’objet d’une abrogation par la présente loi, la référence à l’article 24, paragraphe 1 er figure désormais à l’article 34bis de la loi sur le commerce électronique afin de permettre à l’ILNAS de prononcer une sanction à l’encontre d’une éventuelle violation de cette obligation. L’article 24, paragraphe 1bis, oblige le prestataire de services de confiance qualifié à vérifier l’identité de la personne concernée, directement ou par l’intermédiaire d’un tiers, en utilisant l’une des méthodes légales énumérées dans le règlement eIDAS ou une combinaison de celles-ci, afin d’assurer un degré de confiance élevé et conforme aux exigences prévues. 4 • • • • • • • L’article 24, paragraphe 1ter, impose au prestataire de services de confiance de vérifier les attributs de la personne concernée, directement ou par l’intermédiaire d’un tiers, en utilisant l’une des méthodes légales énumérées dans le règlement eIDAS ou une combinaison de celles-ci, afin d’assurer une vérification avec un degré de confiance élevé et conforme aux exigences prévues. L’article 24, paragraphe 2, oblige le prestataire de services de confiance qualifié à informer l’organe de contrôle en cas de modification ou d’arrêt d’activité, à garantir une information claire et accessible aux utilisateurs, à utiliser des systèmes fiables et sécurisés, à gérer les risques opérationnels et à notifier toute atteinte à la sécurité ou perturbation majeure. Il doit également prendre des mesures contre la falsification ou la perte de données, conserver les informations nécessaires pour assurer la continuité du service et disposer d’un plan d’arrêt d’activité vérifié par l’organe de contrôle. La sanction de cette disposition qui existait déjà sous l’article 45bis de la loi sur le commerce électronique, dont l’abrogation est prévue par l’article 11 du présent projet de loi, figure désormais à l’article 34bis de la loi sur le commerce électronique ayant trait aux sanctions administratives afin de permettre à l’ILNAS de sanctionner une éventuelle violation de cette obligation. L’article 24, paragraphe 3, prévoit l’obligation pour le prestataire de services de confiance qualifié qui délivre des certificats qualifiés d’enregistrer toute révocation dans sa base de données et de publier le statut de révocation dans les vingt-quatre heures suivant la demande, la révocation prenant effet immédiatement dès sa publication. La sanction de cette disposition qui existait déjà sous l’article 45bis de la loi sur le commerce électronique, dont l’abrogation est prévue par l’article 11 du présent projet de loi, figure désormais à l’article 34bis de la loi sur le commerce électronique ayant trait aux sanctions administratives afin de permettre à l’ILNAS de sanctionner une éventuelle violation de cette obligation. L’article 24, paragraphe 4, prévoit l’obligation pour les prestataires de services de confiance qualifiés de fournir des informations sur la validité ou le statut de révocation des certificats qualifiés délivrés, ainsi que des attestations électroniques d’attributs qualifiées, conformément aux actes délégués adoptés par la Commission. Les prestataires de services de confiance qualifiés garantissent que ces informations sont disponibles, au moins par certificat, à tout moment et audelà de la période de validité du certificat, sous une forme automatisée qui est fiable, gratuite et efficace. La sanction de cette disposition qui existait déjà sous l’article 45bis de la loi sur le commerce électronique, dont l’abrogation est prévue par l’article 11 du présent projet de loi, figure désormais à l’article 34bis de la loi sur le commerce électronique ayant trait aux sanctions administratives afin de permettre à l’ILNAS de sanctionner une éventuelle violation de cette obligation. L’article 28, paragraphe 1er, soumet les certificats qualifiés de signature électronique à l’obligation de satisfaire aux exigences fixées à l’annexe I du règlement eIDAS. L’article 29, paragraphe 1bis, prévoit que la génération, la gestion ou la reproduction des données de création de signature électronique à des fins de sauvegarde ne soient effectuées que pour et à la demande du signataire, par le prestataire de services de confiance qualifié offrant un service de confiance qualifié de gestion d’un dispositif de création de signature électronique qualifié à distance. L’article 29bis, paragraphe 1er, oblige les prestataires de services de confiance qualifiés qui fournissent des services de gestion de dispositifs de création de signature électronique qualifiés à distance ou de gestion de dispositifs de création de cachet électronique qualifiés à distance à 5 • • • • • • • • • • • • générer ou gérer les données de signature ou de cachet pour le signataire ou le titulaire du cachet, à limiter et sécuriser strictement toute reproduction à des fins de sauvegarde, et à respecter les exigences du rapport de certification du dispositif correspondant, avec des normes et spécifications fixées par la Commission européenne. L’article 32, paragraphes 1er et 2, prévoit l’obligation de garantir qu’un processus de validation d’une signature électronique qualifiée confirme sa validité uniquement si toutes les conditions légales sont respectées, notamment la validité du certificat, l’intégrité des données signées, l’utilisation d’un dispositif de création de signature électronique qualifié et la conformité aux normes et procédures prévues. La sanction de cette disposition qui existait déjà sous l’article 45bis de la loi sur le commerce électronique, dont l’abrogation est prévue par l’article 11 du présent projet de loi, figure désormais à l’article 34bis de la loi sur le commerce électronique ayant trait aux sanctions administratives afin de permettre à l’ILNAS de sanctionner une éventuelle violation de cette obligation. L’article 32bis, paragraphe 1er et 2, prévoit le processus de validation d’une signature électronique avancée reposant sur un certificat qualifié afin de confirmer la validité de telles signatures uniquement si toutes les conditions techniques et légales sont respectées et de fournir à l’utilisateur le résultat correct tout en permettant la détection des problèmes de sécurité. L’article 33, paragraphe 1er, prévoit que la fourniture d’un service de validation qualifié des signatures électroniques qualifiées soit réalisée par un PSCQ qui remplit certaines conditions ayant trait notamment à la forme de la validation et à la possibilité pour les parties utilisatrices de recevoir le résultat du processus de validation. L’article 34, paragraphe 1er, dispose qu’un service de conservation qualifié des signatures électroniques qualifiées ne peut être fourni que par un PSCQ qui utilise des procédures et technologies garantissant la fiabilité des signatures électroniques qualifiées au-delà de la période de validité technologique. L’article 38, paragraphe 1er, soumet les certificats qualifiés de cachet électronique à l’obligation de satisfaire les exigences fixées à l’annexe III du règlement eIDAS. L’article 39, paragraphe 1er, prévoit que les dispositifs de création de cachet électronique qualifiés sont soumis aux exigences applicables aux dispositifs de création de signature électronique qualifiés. L’article 39bis, soumet les services qualifiés de gestion de dispositifs de création de cachet électronique qualifiés à distance aux exigences applicables aux services qualifiés de gestion de dispositifs de création de signature électronique qualifiés à distance. L’article 40, soumet le processus de validation et conservation des cachets électroniques qualifiés aux exigences prévues pour la validation et la conservation des signatures électroniques qualifiées. L’article 40bis, dispose que les exigences en matière de signatures électroniques avancées reposant sur un certificat qualifié, sont applicables aux cachets électroniques avancés. L’article 42, paragraphe 1er, prévoit des exigences en matière d’horodatages électroniques qualifiés ayant trait à l’exactitude de l’horloge utilisée, à l’intégrité des données et à l’obligation de signature au moyen d’une signature électronique avancée ou d’un cachet électronique avancé. L’article 44, paragraphe 1er, prévoit des exigences pour le PSCQ en matière d’envoi recommandé électronique qualifiés. L’article 44, paragraphe 2bis, oblige les prestataires de services d’envoi recommandé électronique qualifiés à respecter les exigences légales lorsque ces derniers conviennent d’un cadre d’interopérabilité entre leurs services. Cette interopérabilité est confirmée par un organisme d’évaluation de la conformité. 6 • • • • • • • • L’article 45, paragraphe 1er et 1bis, impose que les certificats qualifiés d’authentification de site internet respectent les exigences de l’annexe IV et oblige les fournisseurs de navigateurs internet à les reconnaître, à assurer leur affichage convivial ainsi que la compatibilité et interopérabilité des navigateurs avec les certificats qualifiés d’authentification de site internet sauf exception temporaire pour les micros et petites entreprises. L’article 45bis, paragraphe 1er, impose aux fournisseurs de navigateur internet de ne prendre aucune mesure contraire à leurs obligations découlant de l’article 45 et notamment de reconnaître les certificats qualifiés d’authentification de site internet et d’afficher de manière conviviale les données d’identité fournies. L’article 45bis paragraphe 3, impose aux fournisseurs de navigateur internet qui prennent des mesures conservatoires de notifier rapidement par écrit ses préoccupations et les mesures prises aux autorités et entités concernées. L’article 45quinquies, paragraphe 1er et 2, prévoit que les attestations électroniques d’attributs qualifiées doivent respecter les exigences de l’annexe V et d’être évaluées selon les normes, spécifications et procédures prévues. L’article 45octies, impose aux fournisseurs d’attestations électroniques d’attributs de permettre aux utilisateurs des portefeuilles européens d’identité numérique de demander, obtenir, stocker et gérer ces attestations, ainsi que de fournir une interface avec les portefeuilles conformes à l’article 5bis du règlement eIDAS. L’article 45nonies, paragraphe 1er à 3, impose aux prestataires de services d’attestation électronique d’attributs de ne pas combiner les données personnelles relatives à la fourniture de services d’attestation électronique d’attributs avec des données à caractère personnel provenant de tout autre service qu’ils offrent. L’article 45nonies, paragraphe 2, oblige les prestataires de services d’attestation électronique d’attributs à opérer une séparation logique des données relatives à ces services, des autres données détenues. En outre, la fourniture des services qualifiés d’attestation électronique d’attributs doit être fonctionnellement séparée des autres services fournis. L’article 45undecies, paragraphe 1er, prévoit que les services d’archivage électronique qualifiés fournis par des prestataires de services de confiance qualifiés, garantissent la durabilité, l’intégrité et la protection des données tout au long de leur conservation, et permettent la délivrance d’un rapport de manière automatisé confirmant leur intégrité. L’article 45terdecies, paragraphe 1er, prévoit que les registres électroniques qualifiés gérés par des prestataires de services de confiance qualifiés garantissent l’origine, l’intégrité, le classement chronologique séquentiel unique et la détectabilité des modifications ultérieures des enregistrements de données. Il convient d’observer que l’article 5bis, paragraphe 9, lettre
12. a)à c), ainsi que l’article 5sexies, paragraphe 1er du règlement eIDAS , qui sont relatifs aux portefeuilles européens d’identification numérique et aux obligations à charge des fournisseurs de portefeuilles d’identification numérique, n’ont pas été pris en compte dans l’énumération vu que ces dispositions relèvent du projet de loi n° 8583 déposé par le ministère de la Digitalisation et se trouvent par conséquent en dehors du champ de compétences de l’ILNAS. - La lettre
13. h)prévoit la possibilité pour l’ILNAS de sanctionner le manquement à l’obligation de respecter secret professionnel décrite à l’article 19, paragraphe 4, de la loi sur le commerce électronique pour toute personne ayant été mandatée par l’ILNAS afin de procéder à des audits. 7 - La lettre
14. i)sanctionne le prestataire de services de confiance qualifiés qui offre des prétendus services de confiance qualifiés sans être inscrit sur une des listes de confiance visées à l’article 22, paragraphe 1er, du règlement eIDAS. La sanction de cette disposition qui existait déjà sous l’article 45bis de la loi sur le commerce électronique, dont l’abrogation est prévue par l’article 11 du présent projet de loi, figure désormais à l’article 34bis de la loi sur le commerce électronique ayant trait aux sanctions administratives afin de permettre à l’ILNAS de sanctionner une éventuelle violation de cette obligation. - L’article 10, point 5°, du présent projet de loi, prévoit que le paragraphe 2 de l’article 34bis de la loi sur le commerce électronique est supprimé. Ces dispositions sont désormais sanctionnés par l’article 34bis, paragraphe 1er , lettre f). - L’article 10, point 6°, du présent projet de loi, introduit un nouveau paragraphe 2bis à l’article 34bis de la loi sur le commerce électronique afin de permettre à l’ILNAS de procéder au retrait du statut qualifié du prestataire de service de confiance ou au service affecté qu’il fournit, si ledit prestataire ne remédie pas au manquement dans le délai fixé par l’ILNAS. - L’article 10, point 7°, du présent projet de loi, introduit un nouveau paragraphe 2ter à l’article 34bis de la loi sur le commerce électronique et vise à permettre à l’ILNAS de procéder au retrait du statut qualifié du prestataire de service de confiance ou au service affecté qu’il fournit, lorsque ce dernier ne remédie pas au manquements à ces obligations en vertu de l’article 12 de la loi du jj/mm/aaaa concernant des mesures destinées à assurer un niveau élevé de cybersécurité qui transpose en droit national la directive NIS 21 et qui est à l’heure actuelle dans la procédure législative (projet de loi n°8364), dans le délai imparti. - L’article 10, point 8°, du présent projet de loi, ajoute un nouveau paragraphe 2quater à l’article 34bis de loi sur le commerce électronique qui permet à l’ILNAS de retirer le statut qualifié du prestataire de service de confiance ou du service qu’il fournit lorsque qu’il ne satisfait pas aux obligations ayant trait à la protection des données à caractère personnel découlant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. - L’article 10, point 9°, du présent projet de loi, insère un nouveau paragraphe 2quinquies à l’article 34bis de la loi sur le commerce électronique. Il instaure une obligation d’information à l’encontre de l’ILNAS à l’égard du prestataire de service de confiance qualifié qui s’est vu retiré son statut qualifié ou le statut qualifié du service concerné. L’obligation d’information pesant sur l’ILNAS vaut également à l’égard des autorités compétentes désignées en vertu de l’article 3, alinéas 1er et 2 de la loi du jj/mm/aaaa concernant des mesures destinées à assurer un niveau élevé de cybersécurité de ces retraits qui transpose en droit national la directive NIS 2 et qui se trouve actuellement dans la procédure législative. - L’article 10, point 10°, du présent projet de loi, insère un nouveau paragraphe 3bis à l’article 34bis de la loi sur le commerce électronique ayant trait à certains aspects procéduraux en relation avec les amendes administratives. Ainsi, le recouvrement des amendes ainsi que toute autre créance est confié à l’Administration de l’enregistrement, des domaines et de la TVA qui agit comme en matière d’enregistrement. 1 Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) (Texte présentant de l’intérêt pour l’EEE). 8 Ad Article 11 Cet article prévoit d’abroger l’article 45bis de la loi sur le commerce électronique qui traite des sanctions pénales pouvant être prononcées à l’égard des prestataires de service de confiance et de le remplacer par des sanctions administratives. Cette démarche, s’inscrit dans une volonté d’abandonner la voie pénale au profit de sanctions administratives et vise principalement à accroître l’efficacité des dispositifs de sanction au sein de la loi sur le commerce électronique et à mettre en application la lettre du règlement eIDAS 2 qui à travers son article 16, prône la mise en place par les États membres d’un régime de sanctions administratives pouvant être prononcées à l’égard d’un prestataire de service de confiance. Ad Article 12 - L’article 12, point 1° du présent projet de loi, tend à modifier l’intitulé de la section 3 du chapitre II, de la section 3 de la loi ILNAS afin de corriger une erreur matérielle qui s’est introduite lors de l’adoption de la loi du 20 décembre 2024 portant sur certaines modalités d’application et les sanctions du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité) et portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS et notamment son article 14 (ci-après : « loi CSA »). - L’article 12, point 2°, lettre
15. a)du présent projet de loi, vise à redresser une erreur matérielle qui s’est introduite dans la loi ILNAS suite à l’adoption de la loi CSA. - L’article 12, point 2°, lettre
16. b)du présent projet de loi, vise à modifier l’article 4, paragraphe 1er, point 3°, de la loi ILNAS. Pour des raisons de clarté, les mots « tel que modifié » sont insérés afin de préciser que le règlement eIDAS a fait l’objet d’une modification. - L’article 12, point 2°, lettre
17. c)du présent projet de loi a pour objet de modifier l’article 4, paragraphe 1er, point 4° de la loi ILNAS et remplace les mots « l’article 17 » par les mots « l’article 46ter » qui devient à présent l’article d’habilitation pour les organes de contrôle des prestataires de services de confiance qualifiés et non qualifiés désignés par les Etats membres. - L’article 12, point 2°, lettre
18. d)vise à adapter le signe de ponctuation suite à l’introduction de nouveaux points par le présent projet de loi. - L’article 12, point 2°, lettre
19. e)du présent projet du loi, insère deux nouveaux points 7° et 8° à l’article 4, paragraphe 1er de la loi ILNAS. Il vise à mettre en œuvre une partie de l’obligation de recueillir des statistiques, prévue à l’article 48bis du règlement eIDAS. L’article 48bis impose à l’Etat membre de recueillir des statistiques sur le fonctionnement des portefeuilles européens d’identité ainsi que les services de confiance qualifiés. L’ILNAS, par son rôle d’organe de contrôle des prestataires de services de confiance qualifiés, est chargé de recueillir des statistiques ayant trait aux services de confiance qualifiés. Quant à l’obligation de recueillir des statistiques sur le fonctionnement des portefeuilles européens d’identité numérique, elle incombe au CTIE conformément au projet de loi n° 8583 déposé par le ministère de la Digitalisation. 9 Le point 8° édicte une obligation à charge de le l’ILNAS de notifier, dans les meilleurs délais, à la Commission européenne, certaines informations sur l’accréditation des organismes d’évaluations de la conformité ainsi que tout changement ultérieur y relatif. - L’article 12, point 3°, du présent projet du loi, vise à apporter des modifications à l’article 14, paragraphe 1er, de la loi ILNAS afin d’inclure les infractions à la loi sur le commerce électronique dans le champ d’action des infractions pouvant être constatées par les officiers de police judiciaire dans le cadre de leurs investigations. - L’article 12, point 4°, du présent projet de loi, tend à modifier l’article 17quater, paragraphe 2, de la loi ILNAS afin d’y corriger une erreur matérielle. En effet, cet article traite des aspects procéduraux en relation avec les amendes administratives et les décisions d’infliger de telles amendes sont prises en vertu de l’article 17, 17bis et 17ter, de la loi ILNAS. En ce sens, l’article 17quater est modifié et les mots « en vertu du présent article » sont supprimés. 10