Projet de loi relative à la mise en place du portefeuille européen d’identité numérique et portant mise en œuvre du règlement (UE) 2024/1183 du Parlem

Exposé des motifs Le présent projet de loi a pour objet de mettre en œuvre certaines dispositions du règlement (UE) 2024/1183 du Parlement européen et du Conseil du 11 avril 2024 modifiant le règlement (UE) n° 910/2014 (ci-après « règlement eIDAS 2 »), en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique.

1. Le contexte européen Le règlement eIDAS 2 modifie le règlement (UE) n° 910/2014 et poursuit l’objectif d’introduire un cadre européen d’identité numérique et d’établir des règles pour la délivrance, l’utilisation et la reconnaissance des portefeuilles européens d’identité numérique (ci-après « EUDI Wallet »). Dans ce contexte, chaque État membre doit mettre à disposition au moins un EUDI Wallet conforme ou assurer l’accès à un ou plusieurs moyens permettant aux citoyens de l’Union européen d’obtenir un portefeuille conforme, et reconnaître les portefeuilles émis par d’autres États membres pour les services publics et, le cas échéant, privés. Le règlement eIDAS 2 impose des exigences de sécurité et de protection des données en relevant les niveaux de sécurité par le biais d’exigences techniques strictes pour l’authentification, la conservation et la transmission des données, y compris des garanties contre la fraude et l’usurpation d’identité et en soumettant le traitement de ces données au droit de l’Union européenne en matière de protection des données personnelles et aux principes y relatifs. Le règlement eIDAS 2 élargit le champ d’application de la reconnaissance de l’identité numérique, en l’imposant non seulement aux entités publiques, mais également aux acteurs privés. En conséquence, les opérateurs économiques devront mettre en place des procédures internes adéquates. Ces procédures devront garantir un niveau élevé de sécurité et de protection des données à caractère personnel. L’adoption du règlement eIDAS 2 s’inscrit en outre dans la volonté de la Commission européenne de favoriser un marché unique numérique et pleinement harmonisé. À travers ce règlement, la Commission entend garantir à tous les citoyens un accès universel à une identité numérique sécurisée. En promouvant une solution européenne commune, le législateur européen entend réduire la dépendance à des systèmes numériques extra-européens. Le règlement eIDAS 2 introduit également quelques nouveaux services de confiance, qui peuvent être fournies en tant que services de confiance qualifiés, à savoir : • l’archivage électronique de données électroniques et de documents électroniques, • l’enregistrement de données électroniques dans des registres électroniques, • la gestion de dispositifs de création de signature ou de cachet électronique à distance, et • la délivrance d’attestations électroniques d’attributs.
2. Le contexte luxembourgeois Certaines dispositions du règlement (UE) n° 910/2014 dans sa mouture originale, ont été entérinées en droit luxembourgeois par le biais de la loi du 14 août 2000 relative au commerce électronique. Afin 1 de mettre en œuvre les nouvelles dispositions du règlement eIDAS 2, des modifications législatives s’avèrent nécessaires, notamment une modification de la loi du 14 août 2000 relative au commerce électronique et de la loi du 4 juillet 2014 portant réorganisation de l’ILNAS. A ce stade, il convient néanmoins de souligner, que les dispositions du règlement eIDAS 2 ayant trait à la mise en œuvre et la gestion du portefeuille d’identité numérique, font l’objet d’un projet de loi distinct, déposé par le ministère de la Digitalisation.1 Il en va de même de la désignation d’un point de contact unique au sens du règlement eIDAS
3. Le projet de loi déposé par le ministère de la Digitalisation prévoit déjà la désignation d’un point de contact unique. Il y a lieu également de relever que certaines dispositions du présent projet de loi prévoient un renvoi vers des articles du projet de loi concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de : 1° la loi modifiée du 14 août 2000 relative au commerce électronique ; 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut- Commissariat à la Protection nationale ; 3° la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques (ci-après « projet de loi NIS 2 »). Il s’agit plus concrètement des dispositions du présent projet de loi ayant trait à l’obligation à charge de l’ILNAS de procéder au retrait du statut qualifié d’un prestataire de services de confiance lorsque les autorités désignées en vertu du projet de loi NIS 2 informent l’ILNAS que le prestataire de services de confiance qualifié ne respecte pas l’une des exigences prévues actuellement à l’article 12 du projet de loi NIS
4. Il va sans dire, que des ajustements concernant le renvoi peuvent se révéler nécessaires à l’issue de l’adoption définitive du projet de loi NIS
6. Les mesures prévues par la loi Elargissement du champ d’application de la loi du 14 août 2000 relative au commerce électronique Le présent projet de loi accroît le champ d’application de la loi du 14 août 2000 relative au commerce électronique afin d’y inclure les fournisseurs d’attestations électroniques d’attributs. Le projet de loi entend en outre renforcer les exigences applicables aux prestataires de services de confiance non-qualifiés et qualifiés, prévoit un alignement en matière de vérification de l'identité des personnes physiques au règlement eIDAS 2 et met en œuvre une obligation de coopération entre l’ILNAS et les autorités compétentes dans le cadre du projet de loi NIS 2 et la Commission nationale pour la protection des données. Quant aux méthodes de vérification d’identité, le projet de loi opère un changement concernant les méthodes pouvant être employées par les prestataires de services de confiance qualifiés afin de mener à bien cette vérification. Dans un souci de s’aligner avec les dispositions du règlement eIDAS 2, il ne sera plus possible de recourir à « d’autres méthodes d’identification reconnues au niveau national qui fournissent une garantie équivalente en termes de fiabilité à la présence en personne ». Projet de loi relative à la mise en place du portefeuille européen d’identité numérique et portant mise en œuvre du règlement (UE) 2024/1183 du Parlement européen et du Conseil du 11 avril 2024 modifiant le règlement (UE) n° 910/2014 en ce qui concerne l’établissement du cadre européen relatif à une identité numérique et modifiant la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques. 1 2 Adaptation du régime des sanctions Un volet important du présent projet de loi concerne l’adaptation du régime des sanctions à la lumière du règlement eIDAS
7. La tendance actuelle du droit européen s’oriente vers une prédominance des sanctions administratives plutôt que pénales. Pour cette raison, les sanctions pénales prévues dans la loi relative au commerce électronique sont abrogées et remplacées par des mécanismes administratifs. Par ailleurs, le projet de loi NIS 2 prévoit la suppression des lettres a) et b) du paragraphe 3 de l’article 45bis de la loi sur le commerce électronique. Selon le commentaire des articles dudit projet « Les lettres a) et b) du paragraphe 3 de l’article 45bis de la loi modifiée du 14 août 2000 relative au commerce électronique sont abrogées. La lettre a) porte sur les sanctions, visées à l’article 19, paragraphe 4, de la loi modifiée du 14 août 2000 relative au commerce électronique, en cas de non-respect du secret professionnel par toute personne chargée ou ayant été chargée de procéder à des audits auprès d’un prestataire de services de confiance. Afin d’assurer une bonne coopération entre les autorités compétentes, le point de contact unique et les CSIRT et d’assurer une approche cohérente en matière de cybersécurité, les sanctions en cas de non-respect du secret professionnel sont abrogées. Ceci permet aux autorités de s’échanger des informations en cas de besoin. La lettre b) porte sur les sanctions en cas de non-conformité aux exigences de notification d’incidents de sécurité visées à l’article 19, paragraphe 2, du règlement (UE) n° 910/
8. Cet article est abrogé puisque les prestataires de services de confiance tombent entièrement sous le champ d’application du présent projet de loi et bénéficient ainsi du cadre juridique établi par ce projet. L’objectif est de rationaliser les obligations imposées auxdites entités en lien avec la sécurité des réseaux et systèmes d’information. » Toutefois, les auteurs du présent projet de loi considèrent, qu’en ce qui concerne l’article 45bis, paragraphe 3, lettre a) de la loi du 14 août 2000 relative au commerce électronique, il s’avère utile pour l’ILNAS, de maintenir la possibilité pour ce dernier de sanctionner un potentiel manquement à l’obligation de secret professionnel pesant sur les auditeurs mandatés par l’ILNAS. Quant à la suppression de la lettre b) de l’article précité, les auteurs du présent projet de loi n’y voient pas d’objection. En effet, l’article 19bis, paragraphe 1er, point b) et l’article 24, paragraphe 2, lettre f ter du règlement (UE) n°910/2014, tel que modifié, prévoient que les prestataires de services de confiance non qualifiées et qualifiés doivent toujours notifier (entres autres) des atteintes à la sécurité à l’ILNAS. Aussi, le projet de loi prévoit une augmentation du quantum des sanctions administratives afin de s’aligner avec l’article 16 du règlement eIDAS
9. En effet, cet article du règlement indique que « […]
10. Les États membres veillent à ce que les infractions au présent règlement commises par des prestataires de services de confiance qualifiés et non qualifiés soient soumises à des amendes administratives d’un montant maximal s’élevant au moins à : a) 5 000 000 EUR lorsque le prestataire de services de confiance est une personne physique ; ou b) lorsque le prestataire de services de confiance est une personne morale, 5 000 000 EUR ou 1 % du chiffre d’affaires annuel mondial total de l’entreprise à laquelle le prestataire de services de confiance appartenait lors de l’exercice précédant l’année au cours de laquelle l’infraction a été commise, le montant le plus élevé étant retenu. » 3 L’article 10 du présent projet de loi reprend cette nouvelle possibilité de sanction élargie. 4