Amendements gouvernementaux relatifs au projet de règlement grand-ducal relatif à la plateforme informatique de données énergétiques Amendements gouvernementaux Amendement 1er - modification de l'article 2, paragraphe 2, phrase liminaire Libellé proposé
(2)A partir du 1er février septembre 2024 : Commentaire Cet amendement adapte le délai prévu par le règlement grand-ducal en fonction de l’avancement de la procédure réglementaire entamée et tient compte de l’avis de la Chambre de Commerce du 24 janvier 2024. Amendement 2 - modification de l'article 2, paragraphe 3, phrase liminaire Libellé proposé
(3)Au plus tard au 1er janvier 2025 2026, le responsable de la plateforme fait en sorte que la plateforme offre les fonctionnalités additionnelles suivantes : Commentaire Cet amendement adapte le délai prévu par le règlement grand-ducal en fonction de l’avancement de la procédure réglementaire entamée et tient compte de l’avis de la Chambre de Commerce du 24 janvier 2024. Amendement 3 - modification de l'article 3 Libellé proposé Art. 3. Spécifications en matière de protection des données à caractère personnel
(1)Conformément à l’article 27ter, paragraphe 1er, alinéa 1er, de la loi modifiée du 1er août 2007 relative à l’organisation du marché de l’électricité, le responsable de la plateforme assure le rôle de responsable de traitement au sens du règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, ci-après « Règlement (UE) 2016/679 », pour l’ensemble des traitements des données énergétiques opérés sur ou par la plateforme. Quant aux données énergétiques visées à l’article 2, paragraphes 1er, point 2°, 2, point 2°, et 4, point 2°, les entreprises d’électricité et de gaz naturel sont des tiers au sens du Règlement (UE) 2016/679 qui sont responsables de sont les responsables de traitement en ce qui concerne la collecte de ces données auprès des personnes concernées et pour leur importation dans la plateforme. Le 1 responsable de la plateforme est responsable des traitements des données importées au moyen des interfaces visées à l’article 2, paragraphes 1er, point 1°, lettre b), et 4, point 1°, lettre a). Quant aux traitements des données à caractère personnel visés à l’article 2, paragraphe 2, point 1°, lettre a), point ii., les entreprises d’électricité et de gaz naturel y visées sont considérées comme sous-traitants du responsable de la plateforme au sens du Règlement (UE) 2016/679.
(2)Le responsable traitement procède à une analyse d’impact relative à la protection des données conformément à l’article 35 du Règlement (UE) 2016/
- Commentaire Cet amendement tient compte des observations développées sous le point 15 de l’avis n° 21/AV9/2024 de la Commission nationale pour la protection des données émis en date du 25 avril 2024 au sujet du présent projet de règlement grand-ducal. Amendement 4 - modification de l'article 4 Libellé proposé Art.
- Spécifications en matière de sécurité de la plateforme
(1)Le responsable de la plateforme se conforme aux dispositions du Règlement (UE) 2018/1807 du parlement européen et du conseil du 14 novembre 2018 établissant un cadre applicable au libre flux des données à caractère non personnel dans l'Union européenne.
(2)Le responsable de la plateforme prend les mesures techniques et organisationnelles afin de protéger la plateforme contre les accès non-autorisés et afin de garantir un niveau de sécurité élevé, notamment pour assurer la confidentialité, l’intégrité, l’authenticité et la disponibilité des données stockées, traitées ainsi que transmises sur la plateforme. Ces mesures incluent au moins : 1° Un journal d’audit et de traçage de tous les accès aux données ainsi que des traitements opérés sur celles-ci par l’intermédiaire de la plateforme. Chaque utilisateur de la plateforme a accès à ce journal afin de pouvoir retracer les accès et traitements en lien avec les données les concernant ; 2° Un stockage encrypté et isolé sur la plateforme des disques encryptés ainsi qu’une encryption du canal de transfert vers et depuis la plateforme des données visées à l’article 27ter, paragraphe 3, lettre b), de la loi modifiée du 1er août 2007 relative à l’organisation du marché de l’électricité ; 3° La mise en place d’une authentification forte pour tout accès à la plateforme ; 4° Une hiérarchie de droits d’accès aux données stockés sur la plateforme clairement définie pour les entreprises d’électricité et de gaz naturel et leurs représentants ; 5° Un contrôle des accès à la plateforme ; 6° Une surveillance 24 heures sur 24 et 7 jours sur 7 opérée par un centre des opérations de sécurité permettant de déclencher des alertes en cas d’incidents sécuritaires, ainsi qu’une gestion d’incidents ; 7° Des tests de sécurité et d’évaluation de la sécurité à effectuer au moins une fois par an et à l’occasion de chaque changement architectural ou changement opérationnel fondamental. Toute vulnérabilité découverte est à évaluer selon une échelle de priorités et à traiter par conséquent. 2 Le responsable de la plateforme établit au plus tard six mois après l’entrée en vigueur du présent règlement un plan de gestion de la sécurité de l’information et de continuité des activités, qu’il notifie au régulateur et au ministre. Le régulateur et le ministre peuvent donner des recommandations concernant ces mesures de sécurité. Le plan est mis à jour au moins une fois tous les deux ans ou à l’occasion de chaque changement architectural ou changement opérationnel fondamental.
(3)Les entreprises d’électricité et de gaz naturel visées à l’article 3, paragraphe 1er, alinéa 2, mettent en œuvre les mesures techniques et organisationnelles de sécurité appropriées afin de garantir un niveau de sécurité adapté aux risques liés à leurs activités. Commentaire Cet amendement fait suite à des commentaires qui ont été avancés par le régulateur lors d’une réunion d’information aux parties intéressées le 15 novembre 2023, selon lesquels un cryptage de toutes les données mènerait à une complexité et un besoin de ressources très élevés, sans apporter de plusvalue significative par rapport à un cryptage des disques dans leur ensemble. Il est donc proposé de mandater le cryptage des disques sur lesquels les données de consommation sont stockées, sans néanmoins demander le cryptage de chaque donnée individuelle sur ces disques. En réponse au point 27 de l’avis précité de la Commission nationale pour la protection des données, il est en sus proposé de mandater un transfert de données de et vers la plateforme via des canaux encryptés. 3