LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Personne en charge du dossier: Jean-Luc Schleich lt 247 - 82954 Luxembourg, le 3 décembre 2018 SCL : L 5416 / R 5904 - 2184 / ak V/réf. 52.580 / 53.091 Doc. parl. 7217 Objet : 1) Projet de loi instituant un Registre des bénéficiaires effectifs et portant 1. transposition des dispositions de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n°648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission ayant trait au registre des bénéficiaires effectifs des sociétés et autres entités juridiques et aux obligations de celles-ci en rapport avec leurs bénéficiaires effectifs ; 2. modification de la loi modifiée du 19 décembre 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels des entreprises. 2) Projet de règlement grand-ducal portant exécution de la loi instituant un Registre des bénéficiaires effectifs. Monsieur le Président, À la demande du Ministre de la Justice, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données portant sur le projet de loi initial et sur le projet de règlement grandducal sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-245o Luxembourg Tél. (+352) 247-82952 Fax (-1-352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs et portant 10 transposition des dispositions de l'article 30 de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n° 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission, telle que modifiée par la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018; 2° modification de la loi modifiée du 19 décembre 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels des entreprises et au projet de règlement grand-ducal portant exécution de la loi du xx/xx/2018 instituant un Registre des bénéficiaires effectifs Délibération n° 485/2018 du 22 novembre 2018 Conformément à l'article 57, paragraphe ler, lettre (
- c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Faisant suite à la demande lui adressée par Monsieur le Ministre de la Justice en date du 6 décembre 2017, la Commission nationale entend présenter ci-après ses réflexions et commentaires relatifs au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs et portant 10 transposition des dispositions de larticle 30 de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financernent du terrorisme, modifiant le règlement (UE) n° 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission, telle que modifiée par la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018; 2° modification de la loi modifiée du 19 décembre 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels des entreprises (ci-après « le projet de loi »). Selon l'exposé des motifs, le projet de loi entend adapter la législation luxembourgeoise aux exigences internationales en matière de transparence des personnes morales qui découlent de l'article 30 de la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n° 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement [ CNP61 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 1/12 européen et du Conseil et la directive 2006/70/CE de la Commission (ci-après la « Directive 2015/849 »). Le projet de loi vise à instituer un registre central concernant des bénéficiaires effectifs ayant pour mission la conservation et la mise à disposition des informations sur les bénéficiaires effectifs des personnes morales. Par courriers du 3 juillet 2018 et du 4 octobre 2018, Monsieur le Ministre de la Justice a saisi la CNPD afin qu'elle se prononce sur les amendements gouvernementaux du projet de loi sous objet ainsi que sur le projet de règlement grand-ducal portant exécution de la loi du xx/xx/2018 instituant un Registre des bénéficiaires effectifs (ci-après « le projet de règlement grand-ducal »). La première série d'amendements vise à intégrer dans le texte du projet de loi, les changements apportés à la Directive 2015/849 par la Directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/CE (ci-après « la Directive 2018/843 »). La deuxième série d'amendements du 4 octobre 2018 vise à intégrer les commentaires du Conseil d'Etat. Selon les commentaires généraux des amendements gouvernementaux, « la principale évolution est l'ouverture au grand public de l'accès audit registre, sans devoir justifier d'un intérêt légitime. » 1 En effet, alors que la Directive 2015/849 et le projet de loi initial prévoyaient un accès au registre par le public, cet accès était limité aux personnes pouvant démontrer un intérêt légitime. Soucieuse de vouloir contribuer « à préserver la confiance dans l'intégrité des transactions commerciales et du système financier »2 , la Directive 2018/843 ouvre l'accès au registre des bénéficiaires effectifs au grand public, « sans condition de résidence ni d'intérêt spécifiques »3. L'avis de la Commission nationale tient compte des amendements gouvernementaux et se réfère à la numérotation des articles du texte coordonné. Ayant déjà été consultée par le ministère de la Justice au stade d'avant-projet de loi en question, la Commission nationale se limite à formuler les observations suivantes. l. Les rôles et responsabilités La CNPD note que le ministre ayant la Justice dans ses attributions serait à considérer comme le responsable du traitement (article 5, paragraphe 1er du projet de loi). Le gestionnaire, à savoir le « Luxembourg Business Registers », aurait la qualité de sous-traitant (article 5, paragraphe 2 du projet de loi). La CNPD rappelle l'article 28, paragraphe 3 du RGPD, qui énonce que le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui « lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du Projet de loi n° 7217, doc. parl. n° 7217/09 page 2. 2 Directive 2018/843, considérant 30. Projet de loi n° 7217, doc. parl. n° 7217/09 page 4. [ CNPD PC•0 prorr Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 2/12 traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement » et qui comporte, au moins, les clauses prévues dans la disposition en question. La CNPD tient à soulever qu'en tant que responsable du traitement, le Ministre ayant la Justice dans ses attributions, serait responsable du contenu du registre. Or, le responsable du traitement, à savoir le Ministre ayant la Justice dans ses attributions, n'aurait, en principe, pas pour mission de vérifier l'exactitude des données inscrites, mais la publication des informations transmises par les entités immatriculées. La CNPD part du postulat que la disposition selon laquelle « le gestionnaire n'est pas responsable du contenu de l'information inscrite » (article 5, paragraphe 4 du projet de loi) ne vise pas à enlever la responsabilité du responsable du traitement du registre. Pour le cas où des informations inexactes figureraient dans le registre, il reviendrait donc au responsable du traitement ayant transmis les informations, à savoir l'entité immatriculée, à procéder à la correction de ces informations et d'en informer le gestionnaire. La CNPD se réfère à cet égard à ses remarques faites au point vIl du présent avis. 11. Les entités immatriculées La CNPD s'interroge sur l'inclusion de certaines organisations sur la liste des entités devant transmettre les informations sur les bénéficiaires effectifs au registre (article 1er, point 4 du projet de loi), comme par exemple les associations sans buts lucratifs ou bien des établissements publics de l'Etat et des communes (article 1er, points 7 et 11 de la loi modifiée du 19 décembre 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels des entreprises). Elle se demande notamment quelles personnes seraient considérées comme étant les bénéficiaires effectifs et quelles données seraient transmises au registre. 111. Les données conservées par les entités immatriculées Les données relatives aux bénéficiaires effectifs, qui doivent être obtenues et conservées par les entités immatriculées, sont les informations indiquées à l'article 3 du projet de loi ainsi que des pièces justificatives (article 17, paragraphe 2 du projet de loi). Ces informations doivent être adéquates, exactes et actuelles. Ces informations doivent être fournies aux autorités compétentes et aux professionnels sur demande dans les conditions prévues par le projet de loi (articles 18 et 19 du projet de loi). II convient de rappeler que les autorités nationales ne peuvent demander des informations que dans le cadre de l'accomplissement de leurs missions et compétences spécifiques en matière de lutte contre le blanchiment et contre le financement du terrorisme. IV. Les données figurant au redistre II ressort du projet de loi et du projet de règlement grand-ducal que les données traitées par le gestionnaire dans le cadre de la gestion du registre comprennent, au moins, les données figurant sur les demandes d'inscription en cours, acceptées et refusées, les données actuelles CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 3/12 inscrites dans le registre et les données historiques et les pièces justificatives. Le projet de loi ne contient cependant pas une disposition prévoyant l'ensemble des données traitées par le gestionnaire. Or, selon l'article 5, paragraphe 1er, lettre (
- c)du RGPD, seules les données adéquates, pertinentes et nécessaires au regard des finalités poursuivies par le responsable du traitement doivent être collectées (principe de minimisation des données). La CNPD propose dès lors d'indiquer dans un article unique une liste exhaustive des données seront traitées par le gestionnaire. Elle s'interroge encore sur les « données historiques » et suggère de préciser cette notion. En outre, l'article 4, paragraphe 3 du projet de loi stipule que la demande d'inscription des informations comprend les pièces justificatives qui seraient précisées par un règlement grandducal. L'article 5 du projet de règlement grand-ducal annexé aux amendements du 4 octobre 2018 précise qu'il s'agit des (
- a)« pièces officielles permettant d'établir Pidentité des bénéficiaires effectifs, accompagnées d'une traduction en langue française, allemande ou luxembourgeoise si les pièces officielles ne sont pas rédigées en caractères latins », (
- b)« le cas échéant, de la demande de limitation » et (
- c)« le cas échéant, d'un document attestant que la société est cotée sur un marché réglementé... ». La CNPD s'interroge sur la nécessité et la proportionnalité de la transmission des pièces d'identité au gestionnaire et de la conservation des pièces par ce dernier. Selon le commentaire des articles du règlement grand-ducal, « la plus importante est sans conteste la copie d'une pièce didentité », sans préciser pourquoi ce document serait nécessaire4. Selon le commentaire des articles du texte original du projet de loi, les pièces justificatives permettraient « au gestionnaire de contrôler que les informations dont l'inscription et les modifications sont demandées correspondent bien aux pièces en question »5. Dans la mesure où le gestionnaire devrait vérifier les données transmises lors de l'inscription et la demande de modifications, la CNPD est à se demander pourquoi d'autres pièces justificatives ne devraient pas être fournies, comme par exemple, des documents démontrant « l'étendue des intérêts détenus » par le bénéficiaire effectif. Or, ces informations ne figurent pas parmi les pièces justificatives, qui doivent être transmises avec la demande d'inscription. ll convient encore de soulever que l'article 30 de la Directive 2015/849 ne fait aucunement mention à des pièces d'identité dans le cadre des informations contenues dans le registre. Par ailleurs, comme soulevé ci-avant, le projet de loi prévoit une obligation d'obtention et de conservation des informations relatives aux bénéficiaires effectifs pour les entités immatriculées et une obligation de transmettre ces informations aux autorités nationales. La CNPD est ainsi à se demander s'il est nécessaire que les pièces d'identité soient conservées au sein du registre, alors qu'une telle conservation impliquerait non seulement une multiplication des copies des documents, mais également une centralisation des données à caractère personnel relatives à un grand nombre de personnes concernées. Elle rappelle à cet égard l'importance du principe de minimisation des données ainsi que le principe de proportionnalité et de nécessité, selon lequel tout traitement de données à caractère personnel doit être proportionné aux finalités à atteindre, compte tenu du risque que le traitement fait peser sur la vie privée des personnes concernées. Projet de règlement grand-ducal, page 7. Projet de loi n° 7217, doc. parl. 7217/00, p. 13. 1•01., te ”POIG71., mals. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 4/12 Afin de minimiser les traitements de données dans le cadre du présent projet de loi et étant donné que les pièces d'identité doivent être conservées par les entités immatriculées, la CNPD suggère dès lors de supprimer du projet de loi l'obligation pour les entités immatriculées de fournir des pièces d'identité avec la demande et l'obligation pour le gestionnaire de conserver ces pièces. La CNPD note encore que ni la notion d « intérêts effectifs détenus », ni celle de « l'étendue des intérêts effectifs détenus » ne sont définies dans le projet de loi. Afin de définir clairement les informations qui doivent être conservées et de respecter ainsi le principe de minimisation des données, elle se rallie dès lors à l'avis du Conseil d'Etat et préconise de clarifier ces notione Finalement, en conformité avec le principe de minimisation des données et pour diminuer l'impact du registre public pour les personnes concernées, la CNPD préconise encore de suivre la recommandation du considérant 34 de la Directive 2018/843 qui précise que « Nes registres devraient faire apparaître clairement si le dirigeant principal a été identifié comme étant le bénéficiaire effectif uniquement ex officio et non pas du fait qu'il détient une participation ou exerce un contrôle par un autre moyen. ». V. L'accès aux données contenues dans le redistre a. Accès par le drand public ressort de l'article 12 du projet de loi que « l'accès aux informations visées à l'article 3, paragraphe 1er, points 1° à 8°, 12° et 13° est ouvert à toute personne », à savoir le nom et le(
- s)prénom(s), la (ou les) nationalité(s), le jour, le mois et l'année de naissance, le lieu et le pays de naissance ainsi que la nature et l'étendue des intérêts effectifs détenus. Selon l'article 30, paragraphe 5, alinéa 2 de la Directive 2015/849, telle que modifiée par la Directive 2018/843, les seules données auxquelles le public devra avoir accès sont le nom, le mois et l'année de naissance, la nationalité, le pays de résidence ainsi que la nature et l'étendue des intérêts effectifs détenus. L'alinéa 3 dudit article permet aux États membres de donner accès à des informations supplémentaires, telles que « la date de naissance ou les coordonnées » des bénéficiaires effectifs. II en résulte que les auteurs se sont prévalus de cette possibilité en permettant au grand public d'avoir accès, en sus des informations prévues à l'article 30, paragraphe 5, alinéa 2 de la Directive 2015/849, au jour et au lieu de naissance des bénéficiaires effectifs. La mise à disposition de ces informations supplémentaires au grand public se justifierait, selon le commentaire des articles, par les mesures techniques et organisationnelles du registre. En effet, comme les professionnels auraient accès aux données visées à l'article 3, paragraphe er, points 1° à 8° et 12° à 13°, il serait difficile pour le gestionnaire de distinguer entre l'accès par les professionnels et par le grand public en cas de demande d'accès7. Projet de loi n° 7217, doc. parl. n° 7217/10 page 5. ' Projet de loi n° 7217, doc. parl. n° 7217/09, page 4. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 5/1 2 Or, l'article 5, paragraphe 1er, lettre (
- c)du RGPD prescrit que seules les données adéquates, pertinentes et nécessaires au regard des finalités poursuivies par le responsable du traitement doivent être traitées. Par ailleurs, selon l'article 25, paragraphe 2 du RGPD, le responsable du traitement doit « mettre en ceuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées » (protection des données par défaut). II importe ainsi de limiter au stricte nécessaire les informations disponibles au public dès la conception du traitement. Une limitation de ces informations contribuerait à la protection des données des personnes concernées contenues dans le registre et coïnciderait avec le considérant 34 de la Directive 2018/843, selon lequel « un juste équilibre devrait, notamment, être recherché entre l'intérêt du grand public à la prévention du blanchiment de capitaux et du financement du terrorisme et les droits fondamentaux des personnes concernées. L'ensemble des données devant être mises à la disposition du public devrait être limité, défini de manière claire et exhaustive, et être de nature générale, de manière à réduire au minimum le préjudice susceptible d'être causé aux bénéficiaires effectifs ». En tenant compte de ce qui précède, la CNPD estime dès lors nécessaire de supprimer le jour de naissance et le lieu de naissance des bénéficiaires effectifs de la liste des informations auxquelles le grand public aura accès. b. Modalités d'accès et de recherche L'article 30, paragraphe 5bis de la Directive 2015/849, telle que modifiée par la Directive de conditionner la mise à 2018/843, précise que les États membres ont la possibilité « disposition des informations conservées dans les registres nationaux visés au paragraphe 3 à une inscription en ligne et au paiement d'une redevance... ». L'article 13, paragraphe 2 du projet de loi, dans la version résultant des amendements gouvernementaux du 4 octobre 2018, précise que « Le système informatique, par lequel l'accès au Registre des bénéficiaires effectifs des autorités visées à l'article 11 est opéré, doit être aménagé de sorte que l'accès aux fichiers soit sécurisé moyennant une authentification forte, que les informations relatives à la personne ayant procédé à la consultation, les informations consultées, la date, l'heure et la référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif précis de la consultation puissent être retracés. Les données de journalisation doivent être conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées. » L'article 13, paragraphe 1er du projet de loi amendé laisse à des règlements grand-ducaux le soin de régler les modalités d'accès au registre et les critères de recherche. Le projet de loi et le projet de règlement grand-ducal créent des régimes distincts pour la consultation par les autorités nationales, d'une part, et par le grand public et les entités assujetties, d'autre part. Les autorités nationales L'article 8, paragraphes jer et 2 du projet de règlement grand-ducal précise que la demande d'accès doit émaner du responsable de l'autorité et que les modalités d'accès doivent être fixées dans une convention signée entre l'autorité et le gestionnaire. Or, comme l'a précisé le Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 6/1 2 Conseil d'Etat dans son avis du 7 juin 2016 sur le projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'État pour études supérieures, « raccès à des fichiers externes et la communication de données informatiques à des tiers constituent une ingérence dans la vie privée et partant, en vertu de rarticle 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle » 8. Les éléments essentiele les objectifs et les principesw, dont notamment les modalités d'accès, doivent dès lors figurer dans un texte légal. ii. Les entités assujetties et le grand public II ressort du projet de loi et du projet de règlement grand-ducal que la consultation du registre ne serait pas soumise à une inscription en ligne et que les mesures de sécurité décrites à l'article 13 du projet de loi ne s'appliqueraient pas dans le cadre de la consultation du registre par le grand public et par les entités assujetties. La CNPD constate encore que le projet de règlement grand-ducal institue le principe de la gratuité de la consultation du registre (article 7) en soumettant uniquement la demande d'un extrait ou d'un certificat à l'acquittement des frais administratifs (article 9). Selon le commentaire des articles, la gratuité s'explique par « la transparence qu'il entend créer. Une consultation payante pourrait en effet être perçue comme une barrière à la consultation.»11 La CNPD regrette le choix des auteurs de ne pas soumettre l'accès au registre par les entités assujetties et le grand public à ces mesures de sécurité. En effet, si l'ouverture de ce registre au grand public se justifierait, selon le considérant 30 de la Directive 2018/843, entre autre, par le fait que « raccès du public aux informations sur les bénéficiaires effectifs permet un contrôle accru des informations par la société civlle, notamment la presse ou les organisations de la société civile, et contribue à préserver la confiance dans lintégrité des transactions commerciales et du système financier », il est néanmoins important de trouver un juste équilibre « entre lintérêt du grand public à la prévention du blanchiment de capitaux et du financement du terrorisme et les droits fondamentaux des personnes concernées » (considérant 34). Cette ouverture du registre au grand public devrait ainsi être compensée par des sauvegardes que les Etats membres pourraient mettre en place « dans le but d'assurer une approche proportionnée et équilibrée et de garantir les droits au respect de la vie privée et à la protection des données à caractère personnel », comme, par exemple, l'exigence d'une inscription en ligne et le paiement d'une redevance, ainsi que la mise en place d'un traçage des personnes ayant consulté le registre (considérant 36 de la Directive 2018/843). La CNPD estime que ces mesures représentent des sauvegardes indispensables pour cadrer l'ouverture du registre au grand public avec la législation en matière de protection des données Avis du Conseil d'Etat du 7 juin 2016 relatif au projet de loi n° 6975 portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures, p. 4. Arrêt de la Cour constitutionnelle - Arrêts n° 00132 et 00133 du 2 mars 2018. Avis n° 52976 du Conseil d'Etat du 24 juillet 2018 relatif au Projet de règlement gand-ducal 1. modifiant le règlement grand-ducal modifié du 10 août 2005 relatif au fonctionnement du lycée-pilote, et 2. abrogeant le règlement grand-ducal du 27 août 2012 portant sur les classes de la division supérieure de l'enseignement secondaire dans le cycle de formation du lycée Ermesinde. Projet de règlement grand-ducal, page 8. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 7/12 et pour contribuer à la balance entre l'objectif légitime de la lutte contre le blanchiment et les droits fondamentaux des personnes concernées. Le traçage des personnes ayant consulté le registre est par ailleurs justifié pour répondre aux droits des personnes concernées (les bénéficiaires effectifs) qui leurs sont conférés par le RGPD, à savoir le droit à l'information (article 12 à 14 du RGPD) et le droit d'accès (article 15 du RGPD). En effet, ces droits garantissent aux personnes concernées d'être informé sur les destinataires de leurs données, respectivement d'avoir accès aux informations relatives aux destinataires. A ce titre, il est encore renvoyé aux observations formulées au point vIl du présent avis. La CNPD soulève à cet égard que d'autres Etats membres ont jugé opportun de soumettre l'accès au registre à l'acquittement des frais administratif (p.ex. la Belgique12). Elle rappelle finalement l'avis du Conseil d'Etat, selon lequel « les frais de fonctionnement de ce registre ne devraient pas exclusivement reposer sur l'entité immatriculée et que les personnes ayant accès à ce registre en application de l'article 13 contribuent également à ces frais de fonctionnement »13 . Comme soulevé ci-avant, les sauvegardes proposées par la Directive 2018/843, à savoir l'inscription en ligne, l'exigence du paiement des frais administratif et le traçage des personnes ayant procédées aux consultations pourraient empêcher une utilisation abusive de ce nouvel outil de transparence. La CNPD estime dès lors nécessaire de soumettre tout accès au registre, que ce soit par les autorités nationales, par les entités assujetties ou par le grand public, aux conditions prévues au paragraphe 2 de l'article 13 de la loi en projet. c. Limitation de l'accès au redistre L'article 15 du projet de loi prévoit la possibilité pour les entités immatriculées ou les bénéficiaires effectifs de demander la limitation de l'accès aux données contenues dans le registre et décrit la procédure à suivre. Afin de prendre une décision, le gestionnaire consultera le ministère public et la police grand-ducale14. La CNPD se demande si le gestionnaire serait amené à transmettre des données au ministère public et comment se ferait cette transmission dans le cadre de sa vérification de la concordance entre les affirmations du demandeur et les données détenues par le ministère public et la police à des fins pénales? Par ailleurs, afin de fournir une réponse au gestionnaire, est-ce que le ministère public ou la police transmettraient des données qu'ils traitent au gestionnaire ? Dans un souci de sécurité juridique, la CNPD estime nécessaire d'encadrer cette coopération entre les autorités, notamment en précisant si le régime général du RGPD et de la loi modifiée du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ou si le régime spécifique de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale15 s'applique à cet échange d'information. Article 14 de l'arrêté royal belge du 30 juillet 2018 relatif aux modalités de fonctionnement du registre UBO. Projet de loi n° 7217, doc. parl. n° 7217/10, page 2. 14 Projet de loi n° 7217, doc. parl. n° 7217/14, page 14. 15 Loi qui transpose la directive (UE) n° 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités 12 13 [ CNPD PCM 1,1.31,1.14P11 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 8/12 Par ailleurs, s'agissant d'une matière réservée à la loi, il convient de fixer les éléments essentiels de cette coopération dans la loi. La durée de conservation Selon l'article 10 du projet de loi, les informations concernant les bénéficiaires effectifs sont conservées au sein du registre pendant cinq ans après la date de la radiation de l'entité immatriculée du Registre de Commerce et des Sociétés. Les amendements gouvernementaux du 4 octobre 2018 précise que les pièces justificatives seraient conservées pendant cinq ans. La CNPD rappelle que les personnes concernées auraient la possibilité d'exercer leurs droits aussi longtemps que leurs données sont traitées. Nonobstant sa recommandation de supprimer l'obligation pour les entités immatriculées de transmettre les pièces justificatives au registre et au cas où cette obligation serait maintenue dans le projet de loi, la CNPD estime nécessaire de préciser la date à partir de laquelle le délai de conservation de cinq ans commence à courir. Par ailleurs, la CNPD s'interroge sur la conservation des données relatives aux personnes concernées qui cessent d'être des bénéficiaires effectifs des entités immatriculées. Selon le paragraphe 4 de l'article 8 du projet de règlement grand-ducal, les autorités nationales auraient accès aux informations inscrites et historiques, à l'exception des pièces justificatives. Selon le commentaire des articles du projet de règlement grand-ducal, l'accès à ces informations serait nécessaire dans le cadre de procès pénaux afin de pouvoir retracer les bénéficiaires effectifs d'une société16. Si les données dites « historiques » ne seraient pas disponibles pour le public et les entités assujetties, les autorités nationales y auraient accès par contre. La CNPD s'interroge ainsi sur la durée de conservation de ces données. En effet, ni le projet de loi, ni le projet de règlement grand-ducal n'indiquent la durée de conservation des données des personnes concernées qui cessent d'être des bénéficiaires effectifs. Or, conformément à l'article 5, paragraphe 1er, lettre (
- e)du RGPD, les données doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Dès lors, afin de limiter l'impact que la conservation des données pourrait avoir pour les personnes concernées et pour respecter les principes de minimisation des données et de limitation de la conservation, la CNPD estime nécessaire de limiter la durée pendant laquelle les données historiques seront conservées et pourront être accédées et encore de limiter les autorités pouvant accéder aux données historiques aux seules autorités nationales figurant aux lettres (
- a)à (
- d)du point 5 de l'article ier du projet de loi. compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil. Projet de règlement grand-ducal, page 8. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 9/1 2 Par ailleurs, quelle serait la durée de conservation des données obtenues et conservées par les entités immatriculées ? Dans un souci de sécurité juridique, il convient de préciser le projet de loi à cet égard. VIL Les droits des personnes concernées Pour ce qui est du responsable du traitement du registre des bénéficiaires effectifs, à savoir le ministre ayant la Justice dans ses attributions, celui-ci collectera les données de manière indirecte et devra, dès lors, en principe fournir toutes les informations prévues à l'article 14 du RGPD endéans les délais prévus à l'article 14, paragraphe 3 du RGPD. En vertu de l'article 14, paragraphe 5, lettre (
- c)du RGPD, le responsable du traitement est exempté de cette obligation, si l'obtention ou la communication est prévue par la loi, qui doit prévoir « des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ». Or, le considérant 38 de la Directive 2018/843 précise que « les personnes physiques dont les données à caractère personnel sont conservées dans des registres nationaux en tant que bénéficiaires effectifs devralent être informées en conséquence ». En tenant compte de la publication des données contenues dans le registre et afin de protéger les intérêts légitimes des personnes concernées, la CNPD estime nécessaire de prévoir, à l'instar de l'article 21, alinéa 2 de l'arrêté royal belge du 30 juillet 2018 relatif aux modalités de fonctionnement du registre UBO, que le gestionnaire devrait informer chaque personne physique individuellement de son inscription dans le registre. Les personnes concernées devraient également recevoir les autres informations indiquées à l'article 14, dont notamment les informations relatives à leurs droits, ainsi que les procédures applicables à l'exercice de ces droits, conformément au considérant 38 de la Directive 2018/843. La Commission nationale estime que cette information devrait avoir lieu endéans les délais prévus à l'article 14, paragraphe 3 du RGPD. II convient encore de souligner que les entités immatriculées, qui collectent les données directement auprès des bénéficiaires effectifs, ont l'obligation de fournir à ces derniers les informations figurant à l'article 13 du RGPD. A titre d'information, la CNPD rappelle encore que l'exercice par les personnes concernées de leurs droits, tel que les droits d'accès, de rectification et d'effacement, est gratuit et que les personnes concernées peuvent exercer ces droits auprès de chacun des responsables du traitement traitant leurs données, y compris le ministre ayant la Justice dans ses attributions par le biais du gestionnaire17. II convient aussi de mentionner qu'en vertu du droit d'accès, les personnes concernées pourront connaitre la source des données contenues dans le registre (article 15, paragraphe ler, lettre (
- g)du RGPD). Pour ce qui est du droit à la rectification, la CNPD note que le projet de loi prévoit un régime spécifique pour le cas où le gestionnaire est informé que des personnes ont constaté « rexistence de données erronées ou le défaut de tout ou partie des données dans le Registre des bénéficiaires effectifs » (article 8, paragraphe 3 du projet de loi). Le projet de loi prévoit, en effet, que les personnes concernées ne peuvent pas obtenir la rectification des données directement auprès du responsable du traitement du registre, mais qu'ils doivent en informer le gestionnaire de la présence des données inexactes dans le registre. Le gestionnaire 17 RGPD, article 12, paragraphe 5. mcso CNP/ Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 10/12 contacterait par après les entités immatriculées pour demander la rectification des données inscrites. Pour informer les personnes consultant le registre que les données ont été déclarées comme étant incorrecte, « une mention spécifique sera portée par le gestionnaire dans le Registre des bénéficiaires effectifs en regard de Pinformation concernée » (article 8, paragraphe 3 du projet de loi). Afin de garantir le droit de rectification pour les personnes concernées auprès des entités immatriculées et pour qu'elles puissent obtenir la rectification des données dès que possible, la CNPD suggère de rajouter au projet de loi une disposition précisant que les personnes concernées (bénéficiaires effectifs) pourront également contacter les entités immatriculées afin de demander la rectification des données incomplètes ou inexactes. Les auteurs du projet de loi pourraient s'inspirer de l'article 23 de l'arrêté royal belge du 30 juillet 2018 relatif aux modalités de fonctionnement du registre UBO : « § ler. Toute personne physique peut, directement ou par Pintermédiaire de PAdministration de la Trésorerie, demander sans frais au redevable d'information dont il est le bénéficiaire effectif la rectification ou la suppression des données inexactes enregistrées à son nom. § 2. Le redevable d'information est tenu, sous sa responsabilité exclusive, de rectifier ou supprimer les données inexactes enregistrées en rapport avec ses bénéficiaires effectifs dans ses propres fichiers et de communiquer sans délai ces modifications au registre. » Le considérant 38 de la Directive 2018/843 spécifie encore que les États membres peuvent, « afin de prévenir l'utilisation abusive des informations contenues dans les registres et de rééquilibrer les droits des bénéficiaires effectifs, mettre à la disposition du bénéficiaire effectif des informations relatives au demandeur ainsi que la base juridique pour sa demande ». Selon l'article 13, paragraphe 3 de la loi en projet, tel qu'amendé par les amendements gouvernementaux du 4 octobre 2018, « [a]ucune information sur une consultation des données par une autorité visée à Particle 11 ne peut être communiquée aux entités immatriculées ou aux bénéficiaires effectifs. Le gestionnaire s'assure que la consultation de données du registre est opérée sans en alerter Pentité immatriculée concernée ou ses bénéficiaires effectifs. » La CNPD estime que les mesures proposées au considérant 38 de la Directive 2018/843 constitueraient des garanties pour les personnes concernées et contribueraient à la protection de leurs droits au respect de la vie privée et à la protection des données. Ces mesures seraient encore conforme à l'article 25, paragraphe 1er du RGPD, qui dispose que le responsable du traitement doit implémenter, dès la conception d'un traitement et en cours de traitement, des mesures techniques et organisationnelles appropriées, qui sont destinées à mettre en ceuvre les principes relatifs à la protection des données de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 11112 Afin d'offrir des garanties appropriées aux personnes concernées et de permettre le traçage des consultations des données y contenues et la base légale de la consultation, la Commission nationale estime nécessaire, à l'instar de ses homologues belges et en conformité avec le prédit considérant de la Directive 2018/843, de compléter le texte du projet de loi afin de prévoir de manière explicite, la possibilité pour les personnes concernées de connaître toutes les autorités, organismes et personnes qui ont, au cours des six mois écoulés, consultés ou mis à jour leurs données à l'exception des autorités administratives et judiciaires chargées de la recherche et de la répression de la lutte contre le blanchiment18. Ainsi décidé à Esch-sur-Alzette en date du 22 novembre 2018. La Commission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang Commissaire ristophe Buschmann François Thill ommissaire Membre suppléant 18 Commission de la protection de la vie privée, avis n° 43/2018 du 23 mai 2018 portant sur un arrêté royal relatif aux modalités de fonctionnement du registre des bénéficiaires effectifs (CO-A-2018-031), page 4. [ CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7217 instituant un Registre des bénéficiaires effectifs 1 2/1 2