Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Personne en charge du dossier: Roland Gaasch it 247 - 82953 Luxembourg, le 12 février 2018 SCL : L 5384 / R 5672 / R 5673 - 231 / ak V/réf. 52.422 / 52.419 / 52.420 Doc. parl. 7184 Objet : 1. Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. 2. Projet de règlement grand-ducal portant fixation du siège de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant transfert du siège de la Commission nationale pour la protection des données. 3. Projet de règlement grand-ducal portant fixation des indemnités revenant au Président, aux membres et aux membres suppléants de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant fixation des indemnités revenant au président, aux membres effectifs et aux membres suppléants de la Commission nationale pour la protection des données. Monsieur le Président, Comme suite à mes lettres du 12 septembre 2017, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre de commerce sur le projet de loi et les projets de règlement grand-ducal sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu CHAMIRE COMMERCE 11.1xEMISOURG Luxembourg, le 5 février 2018 Objet : Projet de loi n°7184 portant création de la Commission nationale pour la protection des données et la mise en oeuvre du règlement (UE) 20161679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant rnodification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Projet de règlement grand-ducal portant fixation du siège de la Commission nationale pour la protection des données et abrogeant le règleinent grandducal du 7 juillet 2003 portant transfert du siège de la Commission nationale pour la protection des données. Projet de règlement grand-ducal portant fixation des indemnités revenant au Président, aux membres et aux membres suppléants de la Commission nationale pour la protection des données et abrogeant le règlement grandducal du 7 juillet 2003 portant fixation des indemnités revenant au président, aux membres effectifs et aux membres suppléants de la Commission nationale pour la protection des données. (4921SBE) Saisine : Ministre des Communications et des Médias (13 sep(embre 2017) AVIS DE LA CHAMBRE DE COMMERCE Au Luxembourg, la protection des données à caractère personnel est actuellement régie par les dispositions de la loi modifiée du 2 août 2002 relative à la protection des personnes à régard du traitement des données à caractère personnel (ci-après, la « Loi modifiée du 2 août 2002 »). Sur le fond, cette loi a transposé dans le droit national la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après, la « Directive 95/46/CE ») et a institué la Commission nationale pour la protection des données (ci-après, la « CNPD ») en tant qu'autorité indépendante de contrôle en la matière. La Loi modifiée du 2 août 2002 est complétée notamment par deux règlements grand-ducaux du 7 juillet 2003, l'un portant transfert du siège de la Commission nationale pour la protection des données et l'autre 2003 portant fixation des indemnités revenant au président, aux membres effectifs et aux membres suppléants de la Commission nationale pour la protection des données. L'ensemble de ces textes, à savoir la Directive 95/46/CE, la Loi modifiée du 2 août 2002 et les règlements grand-ducaux du 7 juillet 2003, vont être abrogés avec effet au 25 mai 2018. G UURIDIQUE1Am12018,4921SBE_PL Céallon Ct4P0 et chsposnoons spécrfiquesOu RGPO.ctocx 7' CHAMBREDE COMMERCE LUXEM8OURG 2 En effet, c'est à cette date que doivent entrer simultanément en vigueur les quatre nouveaux textes fixant au Luxembourg le nouveau régime en matière de protection des données à caractère personnel, à savoir : 1) Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, désigné dans le projet de loi sous avis «règlement (UE) 2016/679 » mais plus communément appelé « règlement général sur la protection des données » ou en abrégé « RGPD » comme dans le présent avis de la Chambre de Commerce. 2) une future loi, actuellement le projet de loi n°7184 sous avis (

1. i)portant création de la Commission nationale pour la protection des données et mise en ceuvre du Règlement (UE) 2016/679, (
2. ii)portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État et (iii) abrogeant la Loi modifiée du 2 août 2002 (ci-après, le « Projet de loi n°7184 ») ; 3) un futur règlement grand-ducal portant fixation du siège de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant transfert du siège de la Commission nationale pour la protection des données, dont le projet fait l'objet du présent avis ; 4) un futur règlement grand-ducal portant fixation des indemnités revenant au Président, aux membres et aux membres suppléants de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant fixation des indemnités revenant au président, aux membres effectifs et aux membres suppléants de la Commission nationale pour la protection des données, dont le projet fait l'objet du présent avis. Quelques définitions fondamentales Donnée à caractère personnel Traitement de données Toute information se rapportant à une personne physique identifiée ou identifiable directement ou indirectement (appelée « personne concernée ») Exemples : un nom, un numéro d'identification (sécurité sociale, carte cridentité), une adresse (y compri,s une adtesse électronique), un numéro de téléphone, des données de locatisation. un identifiant en ligne, un élément spécifique pnzepre à son identité physique, génétique. psychique, économique, culturelle ou sociale Toute opération appliquée à des données à caractère personnel, effectuée ou non à l'aide de procédés automatisés (traitement sur support papier ou informatique) Exemples . la collecte, renregistrement rorgenisation, la structuration, la conservation, ledaptation ou ta modification, lextraction, la consultation, rutilisation, la communication par transmission, le rapprochement ou rinterconnexion, la Iimitation, reffacement ou la destruction Responsable du traitement Sous-traitant la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement Toute personne physique ou morale, autorité publique, service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement Exemples : une fiduciaire (traitement des salaires), un data center (archivage informatique) G UURIMQUE \A.s12018%4921SRE_PL_céabon CWPD o dispovbans spéefiques du RGPD docx CHAMBRE DE COMMERCE LUXEMBOURG -4- d'une importante charge administrative et nécessitent des ressources à la fois financières et humaines conséquentes. Au vu des nouvelles menaces de sanctions qui vont peser sur les entreprises, la Chambre de Commerce demande donc à la CNPD de faire preuve de flexibilité, au moins dans les premiers mois suivant l'entrée en vigueur de la réforme, dans le cadre de sa mission de surveillance des nouvelles dispositions du RGPD et de la future loi. La Chambre de Commerce veut croire que le RGPD peut néanmoins constituer une belle opportunité de susciter la confiance qui permettra le développement de l'économie numérique, ce que soutiennent particulièrement le Gouvernement et la Chambre de Commerce. Quant aux projets de règlements grand-ducaux sous avis, ils n'appellent pas de commentaire de fond de la part de la Chambre de Commerce. Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d'approuver les projets de loi et de règlements grand-ducaux sous rubrique sous réserve de la prise en compte de ses remarques. Appréciation des proiets de loi et de redlements drand-ducaux: Compétitivité de l'économie luxembourgeoise lmpact financier sur les entreprises Transposition de directive Simplification administrative lmpact sur les finances publiques Développement durable Légende : ++ 0 -rta 0 n.a. _3 + très favorable favorable neutre défavorable très défavorable non applicable La mise en conformité au RGPD imphque pour les entreprises des changements aux niveaux organisationnel, informatique et juridique ainsi qu'au niveau des processus opérationnels qui nécessitent des ressources à la fois financières et humaines importantes. 2 La mise en conformité au RGPD implique pour les entreptises des changements aux niveaux organisationnel. informatique et juridique ainsi qu'au niveau des processus opérattonnets, qui sont générateurs crune importante charge adrninistrative. 3 Les nouvelles règles du RGPD et de mise en place de la « nouvelle CNPD » auront un impact budgétaire annuel estimé à 160.000 euros brut (cf. fiche financière) G ‘JURIDIQUE1Ave201814921$DE_PL_céation CNPD et dispositions spécdtques du RGPO.docx CHAMBRE DE COMMERCE LUXEMBOURG -6- II s'agit ensuite de la directive (UE) 2016/881 relative à l'utilisation des données des dossiers passagers (PNR4) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. Au Luxembourg, la transposition de cette directive, dont le délai est fixé au 25 mai 2018 au plus tard, doit quant à elle être assurée par le projet de loi n°7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave, qui a été déposé par le Ministre de la sécuhté intérieure (ci-après, le « Projet de loi n°7151 »). Même si lesdits projets de loi précités font chacun l'objet d'un avis distine de la Chambre de Commerce, les trois projets de ioi s'articulent conjointement et doivent se lire ensemble, à l'instar du paquet européen. Considérations générales sur le Projet de loi sous avis Le projet de loi sous avis a principalement pour objet de « créer » la CNPD (en ce sens qu'il s'agira de la future loi organique de la CNPD en raison de l'abrogation de la Loi modifiée du 2 août 2002) et de mettre en ceuvre le RGPD. En outre et compte tenu de l'ampleur de la réforme introduite, le projet de loi sous avis comporte un ensemble de dispositions modificatives, abrogatoires et transitoires. Ces trois points, qui forment les trois chapitres du projet de loi sous avis, seront successivement commentés par la Chambre de Commerce. Si la Chambre de Commerce souligne que le projet de loi sous avis doit se lire conjointement avec le RGPD, elle précise également que l'objet du présent avis n'est pas de commenter à proprement parler les dispositions du RGPD, lesquelles seront directement et automatiquement applicables dans tous les Etats membres de l'Union européenne à compter du 25 mai 2018. A. Concernant les dispositions relatives à la CNPD (chapitre 1 du projet de loi sous avis) Le projet de loi sous avis, qui désigne la CNPD comme « autorité publique indépendante » en vue de veiller à l'application de la législation sur la protection des données, a vocation à constituer la nouvelle organique de cette autorité de contrôle nationale, en remplacement de la Loi modifiée du 2 août 2002 qui sera abrogée. 1. La « nouvelle CNPD » : un statut juridique et une indépendance confirmés La Chambre de Commerce observe que le statut juridique et l'indépendance de la CNPD, déjà garantis par la loi actuelle, sont confirmés par le projet de loi sous avis à plusieurs niveaux : - ainsi, sur le plan statutaire, la CNPD est organisée en tant qu'autorité indépendante prenant la forme d'un établissement public (placée sous la tutelle du Ministre d'Etat) ; 4 « PNR » sIgnifie « Passenger Name Records ». 5 Concemant le Projet de loi n°7168, la Chambre du Commerce renvoie à son avis émis le 13 décembre 2017. G UURIDIQUElAvJs1,201En4921SBE__PL_oéatIon CNPD el cfisposrbons spécfiques ciu RGPO eucn ..;.— CHAMBREDE ( COMMERCE LUXEMBOURG -8- juridictionnelles, échapperont par contre à la compétence générale de la CNPD et seront soumis au contrôle d'une autorité de contrôle « judiciaire »1°. Le Projet de loi n°7168 est donc à mettre en relation étroite avec le projet de loi sous avis dans la mesure où il constitue le fondement du rôle élargi de la CNPD. Ce point est plus particulièrement développé par la Charnbre de Commerce dans l'avis précité et auquel elle renvoie pour autant que de besoin. 3. La « nouvelle CNPD » : des pouvoirs sensiblement renforcés Le renforcement des pouvoirs reconnus aux autorités de contrôle nationales, et donc à la CNPD, constitue un des points les plus importants de la réforme orchestrée au niveau européen et est la conséquence - du changement de paradigme opéré par le RGPD qui prévoit de remplacer l'actuel système de contrôle ex ante par un systême de contrôle ex post" reposant sur le principe de responsabilisation du « responsable de traitement » et du « sous-traitant »; - de l'augmentation du niveau de protection des « personnes concernées » (avec la reconnaissance de nouveaux droits tels que le droit à l'effacement (ou « droit à l'oubli »), droit à la portabilité des données, droit à être informé en cas de violation de données)12, - de la réorganisation des autorités de contrôle (décrite ci-avant) qui conduit à attribuer à la « nouvelle CNPD » une compétence générale13 pour veiller au respect des principes de protection des données y compris les traitements de données effectués en matière pénale et sécurité nationale tombant dans le champ d'application du Projet de loi n°7168. Dans ce contexte, la Chambre de Commerce juge utile de s'attarder sur la nature et l'étendue des pouvoirs qui seront prochainement conférés à la CNPD14 en vertu du RGPD, du projet de loi sous avis mais aussi du Projet de loi n°716816 (qui prévoit que la CNPD deviendra l'autorité de contrôle de droit commun en matière pénale). Les pouvoirs qui pourront être exercés par la CNPD en vertu du RGPID16, à compter du 25 mai 2018, à l'encontre des « responsables de traitement » ettou des « sous-traitants » sont les suivants : - pouvoirs d'enquête : la CNPD qui dispose déjà du droit d'accéder aux données et aux locaux où celles-ci sont stockées, pourra procéder à des audits sur la protection des données ; 10 Cf. article 41 du Projet de loi n°7168 11 La disparition du contrôle ex ante impliquera donc la fin des procédures actuelles de notifications de traitements à la CNPD et d'autorisations préalables de la part de la CNPD. 12 Cf. articles 12 à 21 du RGPD 13 La CNPD surveille égalernent les traitements des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave tombant dans le champ d'application du Projet de loi n°7151. 14 La Charnbre de Commerce souligne que l'autorité de contrôle judiciaire, mise en place par le projet de loi n°7168, se verra octroyer des pouvoirs semblables à la CNPD. 15 Cf. article 16 du projet de loi sous avis 16 Cf. article 58 du RGPD G-ULJRID1DUE1Avts12018\4021S13E_PL_eéaeon CNPD et diedotetions spécifiques du PDPD.docx CHAMBRE DE COMMERCE LUXEMBOURG - 10 - chiffre d'affalres annuel mondial total de l'exercice précédent (le montant le plus élevé étant retenu) ; en vertu de l'article 49 du projet de loi sous avis, la CNPD pourra imposer de telles amendes à toute personne morale de droit public établie au Luxembourg21. Selon, le commentaire des articles22, ces amendes feront l'objet d'un recouvrement par l'Administration de l'enregistrement selon le RGPD, ces amendes administratives pourront être imposées en complément ou à la place des mesures correctrices décrites ci-avant en fonction des caractéristiques propres à chaque cas et en tenant compte notamment de la nature, de la gravité et de la durée de la violation. Compte tenu de l'importance des amendes administratives que la CNPD pourra, à l'avenir, imposer notamment en cas de violation du RGPD, la Chambre de Commerce salue le choix des auteurs du projet de loi de ne pas reprendre les sanctions pénales actuellement prévues par la Loi modifiée du 2 août 2002 (à prononcer par les juridictions en cas de violations des règles en matière de protection des données). Tandis qu'aujourd'hui, dix-huit infractions pénales sont sanctionnées par une peine d'emprisonnement de huit jours à un an et/ou amende de 251 à 125.000 euros, le projet loi sous avis se limite à conserver le délit d'entrave à raccomplissement des missions de la CNPD23. La Chambre de Commerce relève toutefois qu'en sus du pouvoir de prendre des amendes administratives, le projet de loi sous avis reconnaît à la CNPD le pouvoir d'imposer des astreintes en disposant, sous l'article 50, que « La CNPD peut imposer une astreinte pour le cas où le responsable de traitement ne satisfait pas à sa décision administrative24. Toutefois, lestreinte ne peut être prononcée en cas dimposition d'une amende administrative ». La Chambre de Commerce se demande si cette disposition est bien conforme au RGPD, spécialement à rarticle 84, paragraphe 1 qui prévoit que « Les États membres détenninent le régime des autres sanctions applicables en cas de violations du présent règlement, en particuller pour les violations qui ne font pas roblet des amendes administratives prévues à l'article 8325, et prennent toutes les mesures nécessaires pour garantir leur mise en œuvre.» En effet, parmi les décisions que pourra prendre la CNPD en vertu de rarticle 58, paragraphe 2 du RGPD figurent plusieurs injonctions25 qui peuvent déjà faire l'objet d'amendes administratives en vertu de rarticle 83 du RGPD. 21 L'article 83, paragraphe 7 du RGPD laisse en effet le choix aux Etats rnembres de déterminer si et dans quelle mesure les autorités publiques devraient faire l'objet de ces amendes administratives. 22 Cf. commentaire des articles sous article 50, page 50 du projet de loi sous avis 23 Cf. article 53 du projet de loi sous avis 24 Texte souligné par la Chambre de Commerce 25 Texte souligné par la Chambre de Commerce 26 11 s'agit notamment de l'injonction de satisfaire aux demandes de la personne concernée en vue d'exercer ses droits ; de l'injonction de communiquer à la personne concernée une violation de données à caractère personnel , de l'injonction de procéder à la rectification ou à l'effacement de données. 6 lJURIDIOUDAvisvoie‘4921SBE_PLceation Ce.6.0 e d,spositlons spéoliques du RGPD docx CHAMBRE DE COM MERCE LUXEMBOURG - 12 - traitement à des fins de recherche scientifique ou historique ou à des fins statistiques29 et le traitement de catégories particulières de données à caractère personnel par les services de la santé30. Ces dispositions additionnelles n'appellent pas de commentaires particuliers cie la part de la Chambre de Commerce. C. Concernant les autres dispositions modificatives, abrogatoires et transitoires (chapitre 3 du projet de loi sous avis) La Chambre de Commerce rappelle que le RGPD prévoit de remplacer l'actuel système de contrôle ex ante par un système de contrôle ex post (reposant sur le principe d « accountability » de tout responsable de traitement et de sous-traitant). Ainsi, à la date de l'entrée en vigueur du RGPD, soit le 25 mai 2018, l'ensemble des procédures actuelles de notifications et d'autorisations préalables à effectuer auprès de la CNPD seront supprimées compte tenu de l'abrogation simultanée de la loi de la Loi modifiée du 2 août 200231. La Chambre de Commerce souligne à cet égard, que dans la fiche d'évaluation d'impact, les auteurs du projet de loi ont phs le soin de préciser : « II s'agit d'un changement de paradigme pour passer d'un système de contrôle ex ante à un contrôle ex post. II y a suppression des notifications et des autorisations préalables de la CNPD32. » Dans ce contexte, la Chambre de Commerce s'étonne que le projet de loi sous avis ne comporte aucune disposition abrogatoire à ce sujet. En particulier, la Chambre de Commerce demande que les articles L. 261-1 et L. 261-2 du Code du travail concernant le traitement des données à caractère personnel à des fins de surveillance des salariés sur le lieu de travail (qui renvoie à la Loi modifiée du 2 août 2002) soient, pour des raisons de sécurité juridique, formellement abrogés. Subsidiairement, la Chambre de Commerce rappelle qu'un projet de loi n°7049, déposé à la Chambre des Députés le 30 août 2016, 33 avait prévu de ne plus soumettre à l'autorisation préalable de la CNPD trois types de traitement34 et de les soumettre (seulement) au contrôle a posteriori de la CNPD par le biais de la procédure de notification, avant l'entrée en vigueur du RGPD. L'objectif immédiat et clairement affiché dudft projet de loi, à propos duquel la Chambre de Commerce et la CNPD avaient émis un favorable", était d'alléger les formalités administratives exigées lors de la mise en place de certains traitements de données à cara&ère personnel afin de permettre aux acteurs concernés (CNPD et entreprises) de se consacrer à la préparation et à l'anticipation des nouvelles règles européennes en la matière et donc faciliter la transition vers le RGPD, pour toute la période précédant l'entrée en vigueur dudit règlement. 29 Cf. articles 57 et 58 du projet de loi sous avis 3° Cf. arficle 59 du projet de loi sous avis 31 Celles-ci sont actuellement prêvues par les articles 12 et 14 de la Loi modifiée du 2 août 2002. 32 Cf. question 5 sous la rubrique « mieux légiférer », en page 2 de la fiche d'évaluation d'impact 33 Projet de loi re7049 portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel 34 II s'agissait (
3. i)des traitements effectués à des fins de surveillance (y compris dans le cadre de la surveillance des salariés sur le lieu de travail), (
4. ii)l'interconnexion de données et (iii) les traitements concernant le crédit et la solvabilité des personnes concernées lorsqu'ils sont effectués par des personnes autres que des professionnels du secteur financier ou des compagnies d'assurance concernant leurs clients. 33 La Chambre de Commerce a rendu un avis en date du 4 novembre 2016. G UURIDIOUElAmst21:1181.4921SBE_PL_ceaboo CNPD et dispoutions specreques du RGPD docx CHAMBRE DE COMMERCE LUXEMBOURG - 14 - Concernant les articles 44 et 45 II y a lieu de replacer le mot « à » par le mot « de » de manière à lire « Sans préjudice de l'interdiction (...) » au début des articles 44 et 45. Concernant l'article 48, paragraphe 2 Cet article requiert un contrôle des comptes annuels de la CNPD qui en tant que tel est soumis à la loi du 23 juillet 2016 relative à la profession de l'audit qui vise le « réviseur dentreprises agréé » et les « comptes annuels ». Aussi, pour plus de justesse, la Chambre de Commerce propose les modifications suivantes au paragraphe 2 de l'article 48: «