Projet de loi n°83951 1) relatif à la valorisation des données dans un environnement de confiance ; 2) relatif à la mise en œuvre du principe « once o

Luxembourg, le 6 décembre 2024 Objet : Projet de loi n°83951 1) relatif à la valorisation des données dans un environnement de confiance ; 2) relatif à la mise en œuvre du principe « once only » ; 3) relatif à la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4) relatif à la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). Projet de règlement grand-ducal2 fixant certaines modalités d’application de la loi du […] relative à la valorisation des données dans un environnement de confiance. (6661MEM/SBE) Saisine : Ministre de la Digitalisation (13 juin 2024) Le projet de loi sous avis (ci-après, le « Projet de loi ») a pour objet (

1. i)d’autoriser les entités publiques à traiter des données à caractère personnel dès lors que leur traitement est nécessaire aux fins de l’exécution de leur mission d’intérêt public3 ; (
2. ii)de mettre en œuvre le principe de simplification administrative dit « once only », (iii) de mettre en application pour les organismes du secteur public certaines dispositions du règlement européen sur la gouvernance des données4, appelé « Data Governance Act » (ci-après, le « DGA ») et (
3. iv)de mettre en application certaines dispositions du règlement général sur la protection des données5 (ci-après, le « RGPD »). Le Projet de loi se décompose en neuf titres, comme suit : - Titre I - Dispositions préliminaires - Titre II - Traitement de données à caractère personnel par les entités publiques nécessaire à l’exécution de la mission d’intérêt public ou relevant de l’exercice de l’autorité publique 1 Lien vers le projet de loi sur le site de la Chambre des Députés 2 Lien vers le projet de règlement grand-ducal sur le site de la Chambre de Commerce ou de leurs missions relevant de l’exercice de l’autorité publique dont elles sont investies par une disposition de droit de l’Union européenne ou de droit luxembourgeois. 3 4 Règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) 5 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 2 - - Titre III - Acteurs compétents en matière de traitement ultérieur de données à caractère personnel et d’accès et de réutilisation de données Titre IV - Informations et données à caractère personnel obtenues par les entités publiques auprès d’une autre entité publique (« once only ») Titre V - Traitement ultérieur de données à caractère personnel par les entités publiques Titre VI - Accès et réutilisation des données détenues par des organismes du secteur public par des réutilisateurs de données Titre VII - Modalités applicables au traitement ultérieur des données à caractère personnel par les entités publiques et à l’accès et à la réutilisation de données par des réutilisateurs de données Titre VIII - Gouvernance en matière de services d’intermédiation de données et d’altruisme des données Titre IX - Dispositions finales Le Projet de loi s’accompagne d’un projet de règlement grand-ducal (ci-après, le « Projet de règlement grand-ducal ») qui a pour objet de déterminer certaines modalités d’application du Projet de loi, concernant le Conseil consultatif institué par l’article 8 du Projet de loi (composition, fonctionnement et attributions) ainsi que les redevances prévues à l’article 30 du Projet de loi (règles relatives au calcul et à la perception des redevances, à payer par les acteurs privés, en contrepartie de la mise à disposition de données protégées détenues par les organismes publics). En bref ➢ La Chambre de Commerce se félicite des dispositions projetées qui contribueront au développement de l'économie numérique en encourageant la réutilisation des données (ouvertes ou protégées) et en garantissant un environnement de confiance pour les citoyens et les entreprises. ➢ Elle salue tout particulièrement l’objectif de simplification administrative découlant de la mise en oeuvre du principe dit du « once only », qui devrait profiter aux entreprises, idéalement via le portail unique My guichet. ➢ Elle salue également le soutien aux PME et aux jeunes pousses qui pourront accéder et réutiliser les données protégées détenues par les organismes publics (en lien avec la mise en œuvre du DGA), moyennant une redevance réduite ou à titre gratuit, à des fins d’analyse statistique, d’activités d’éducation, de formation ou d’enseignement, de recherche scientifique, de développement de technologies ou de produits et d’évaluation des politiques publiques. ➢ Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d’approuver les projets de loi et de règlement grand-ducal sous avis, sous réserve de la prise en compte de ses observations. ➢ s 3 Résumé La Chambre de Commerce se félicite des dispositions projetées qui contribueront au développement de l'économie numérique en encourageant la réutilisation des données - ouvertes ou protégées - et en garantissant un environnement de confiance pour les citoyens et les entreprises. Cette initiative est la bienvenue au regard des conclusions de la dernière enquête World Digital Competitiveness Ranking 2024 de l’International Institute for Management Development (IMD) qui vient de paraître6, selon lesquelles le Luxembourg peinerait à suivre le rythme des autres pays en ce qui concerne les transformations digitales. A titre liminaire, elle souligne toutefois que la définition lacunaire de l’« entité publique » donnée par le Projet de loi7 qui vise notamment « les personnes morales d’utilité publique listées expressément par règlement grand-ducal aux fins d’application des dispositions des titres IV et V » à défaut pour les auteurs d’avoir communiqué ce projet de règlement grand-ducal avec le Projet de loi, ce qui empêche la Chambre de Commerce de prendre toute la mesure du champ d’application du Projet de loi. La Chambre de Commerce accueille favorablement le Projet de loi, composé de quatre piliers de mesures, qui vise à valoriser le traitement des données et leur circulation dans un environnement de confiance en application des règlements européens que sont le DGA (applicable à tous types de données) et le RGPD (relatif aux données à caractère personnel). Elle accueille favorablement la mesure qui vise à sécuriser juridiquement les traitements de données à caractère personnel (déjà) réalisés par les entités publiques dans ce cadre (premier pilier) ainsi que celles qui permettront d’améliorer la réutilisation des données publiques, en favorisant les traitements ultérieurs de données personnelles par les entités publiques elles-mêmes et entre elles (troisième pilier). Elle salue particulièrement l’objectif de simplification administrative notamment au profit des entreprises, par la mise en place du principe dit du « once only » (deuxième pilier). Plus concrètement, elle soutient les intentions du gouvernement de favoriser cette simplification administrative par l’intermédiaire de l’espace My guichet, et insiste tout particulièrement pour que cet objectif soit mis en œuvre dans les meilleurs délais aux niveaux des procédures d’immigration / obtention d’un titre de séjour pour indépendant, de la prévention des difficultés des entreprises et des aides financières aux entreprises. Néanmoins, eu égard notamment aux obligations auxquelles devront se conformer les administrations pour rendre ledit principe effectif, la Chambre de Commerce s’interroge sur l’opportunité d’insérer éventuellement une entrée en vigueur échelonnée de la future loi. Enfin, la Chambre de Commerce salue encore tout particulièrement le soutien donné aux PME et aux jeunes pousses qui pourront accéder et réutiliser les données protégées détenues par les organismes du secteur public (en lien avec la mise en œuvre du DGA), moyennant une redevance réduite ou à titre gratuit, et de surcroît acquitté en ligne pour des raisons de simplification administrative ainsi que la publication d’une liste des catégories de réutilisation concernées. Très concrètement, la Chambre de Commerce voit dans le pilier 4 du Projet de loi, un moyen de Suivant cette enquête, « [L]e Luxembourg, 29e, s’éloigne encore un peu plus de sa performance de 2019 (21
4. e)et peine visiblement à suivre le rythme des autres pays en ce qui concerne les transformations digitales. », cf. https://www.cc.lu/toutelinformation/actualites/detail/imd-world-digital-competitiveness-ranking-2024-il-est-temps-dinverser-la-tendance 6 7 cf. article 2, paragraphe 2, 2° du Projet de loi 4 développer l’activité de startups notamment dans le secteur des MedTech 8 (technologies médicales), ce qu’elle soutient puisque ce pilier 4 doit permettre aux acteurs du secteur privé d’accéder et de réutiliser les données protégées du secteur public à des fins d’analyse statistique, d’activités d’éducation, de formation ou d’enseignement, recherche scientifique, de développement de technologies ou de produits et d’évaluation des politiques. * * * Après consultation de ses ressortissants, la Chambre de Commerce est en mesure de d’approuver les projets de loi et de règlement grand-ducal sous avis, sous réserve de la prise en compte de ses observations. Appréciation du projet de loi : Compétitivité de l’économie luxembourgeoise Impact financier sur les entreprises Transposition de la directive Simplification administrative Impact sur les finances publiques Développement durable ++ ++ n.a. ++ -9 + Légende : ++ + 0 -n.a. n.d. très favorable Favorable Neutre Défavorable très défavorable non applicable non disponible Concernant le Projet de loi La Chambre de Commerce accueille favorablement le Projet de loi, qui vise notamment à simplifier les démarches administratives des citoyens et entreprises, en mettant en place l’obligation pour les entités publiques de collecter les données des administrés auprès d’autres administrations (principe dit du « once only ») et la possibilité pour les entités publiques d’informer les administrés de manière proactive des bénéfices auxquels ils ont droit de la part de l’Etat. Le Projet de loi vise encore à valoriser le traitement des données détenues par des organismes du secteur public et leur circulation dans un environnement de confiance en application des règlements européens que sont le DGA (applicable à tous types de données) et le RGPD (relatif aux données à caractère personnel). Ce Projet de loi s’inscrit dans la stratégie des données du secteur public du Gouvernement, qui ambitionne d’instaurer ainsi « un cadre juridique propice et fédérateur à la création, l'utilisation, le partage et la réutilisation des données au sein du secteur public. »10. Le Projet de loi est constitué de quatre piliers fonctionnant indépendamment les uns des autres, mais ayant en commun notamment des définitions et l’intervention d’acteurs aux compétences transversales. 8 Ensemble des technologies utilisées pour diagnostiquer, traiter et/ou améliorer la santé et le bien-être d'une personne. 9 cf. fiche financière jointe au Projet de loi 10 cf. Accord de coalition 2023-2028, « Lëtzebuerg fir d’Zukunft stäerken », p.4 et p.7 5 1. Remarques préliminaires La Chambre de Commerce souligne en premier lieu que le champ d’application personnel diffère en fonction des piliers du Projet de loi concernés : les trois premiers piliers s’appliquent aux « entités publiques » alors que le quatrième pilier s’applique aux « organismes du secteur public ». Par ailleurs, seule la définition de l’« entité publique » est fournie par le Projet de loi (à l’article 2, paragraphe 2, point 2°)), comme suit : « un Ministère, y compris ses services, une administration ou une commune luxembourgeoise, ainsi que les établissements publics luxembourgeois, les groupements d’intérêt économique et les personnes morales d’utilité publique listés expressément par règlement grand-ducal aux fins d’application des dispositions des titres IV[« once only »] et V [traitement ultérieur de données par les entités publiques]. » Quant aux termes « organismes du secteur public », visés par le quatrième pilier du Projet de loi mettant en œuvre une partie du DGA, la Chambre de Commerce en déduit que leur définition ressort de l’article 2, point 17) dudit DGA11 qui vise : « l’État, les autorités régionales ou locales, les organismes de droit public ou les associations formées par une ou plusieurs de ces autorités ou un ou plusieurs de ces organismes de droit public ». Enfin, les termes « organismes de droit public » inclus dans la définition qui précède sont définis par l’article 2, point 1) du DGA12 comme suit : « les organismes présentant les caractéristiques suivantes:
5. a)ils ont été créés pour satisfaire spécifiquement des besoins d’intérêt général et n’ont pas de caractère industriel ou commercial;
6. b)ils sont dotés de la personnalité juridique;
7. c)ils sont financés majoritairement par l’État, les autorités régionales ou locales ou d’autres organismes de droit public, leur gestion est soumise à un contrôle de ces autorités ou organismes, ou leur organe d’administration, de direction ou de surveillance est composé de membres dont plus de la moitié sont désignés par l’État, les autorités régionales ou locales ou d’autres organismes de droit public ». Ces différentes définitions ayant été rappelées, la Chambre de Commerce revient plus particulièrement sur celle d’ « entité publique » donnée par le Projet de loi et regrette qu’elle soit actuellement incomplète puisqu’assujettie à un projet de règlement grand-ducal qui n’a pas été communiqué avec le Projet de loi, ce qui empêche la Chambre de Commerce de prendre toute la mesure du champ d’application des mesures projetées. Elle s’interroge également sur la compréhension des termes « aux fins d’application des dispositions des titres IV et V » qui figurent dans le libellé de la définition de l’entité publique : « un Ministère, y compris ses services, une administration ou une commune luxembourgeoise, A noter que la même définition d’ « organisme du secteur public » figure à l’article 2, point 2 de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public (issue de la transposition de la directive (UE) 2019/1024 du Parlement européen et du Conseil du 20 juin 2019 concernant les données ouvertes et la réutilisation des informations du secteur public dite « PSI »). 11 La définition d’ « organisme du secteur public » figure également à l’article 2, point 2 de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public (issue de la transposition de la directive (UE) 2019/1024 du Parlement européen et du Conseil du 20 juin 2019 concernant les données ouvertes et la réutilisation des informations du secteur public dite « PSI »). 12 6 (…)les personnes morales d’utilité publique listés expressément par règlement grand-ducal aux fins d’application des dispositions des titres IV [once only »] et V [Traitement ultérieur de données à caractère personnel par les entités publiques»] et se demande à quelles entités se rapportent ces termes ? S’agit-il de toutes les entités listées dans la définition ou seulement celles qui seront listées dans le futur règlement grand-ducal ?). En outre, si les différents titres concernés (titre IV et V) par la définition de l’entité publique ont été énumérés de manière exhaustive, les dispositions du Titre II (« Traitement de données à caractère personnel par les entités publiques nécessaire à l’exécution de la mission d’intérêt public ou relevant de l’exercice de l’autorité publique ») devraient également être mentionnées le cas échéant. Elle invite en conséquence les auteurs à lever cette insécurité juridique. 2. Descriptions des quatre piliers du Projet de loi et des mesures transversales a. Premier Pilier13 : « traitement primaire de données à caractère personnel14 » par les « entités publiques » (Titre II du Projet de loi) Ce premier pilier - qui correspond au Titre II du Projet de loi - a trait au traitement de données à caractère personnel par les entités publiques, nécessaire à l’exécution de la mission d’intérêt public ou relevant de l’exercice de l’autorité publique. Suivant le RGPD, les traitements de données à caractère personnel ne sont licites que s’ils reposent sur une des six bases de licéité prévue dans son article 6, paragraphe 1 er. Le fait que le traitement soit « nécessaire à l’exécution d’une mission d’intérêt publique ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement »15 figure dans cette liste. Dans ce cadre, l’article 3 du Projet de loi, vient consacrer en droit national l’habilitation des entités publiques16 à traiter les données à caractère personnel nécessaires aux fins relevant de l’exécution de leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont ces autorités sont investies par une disposition de droit de l’Union européenne ou de droit national applicable. Ce faisant, les auteurs du Projet de loi renforcent la sécurité juridique des traitements de données à caractère personnel réalisés par les entités publiques consacrant dans la loi, l’utilisation de la base de licéité prévue à l’article 6, paragraphe 1, lettre
8. e)du RGPD, par opposition à la lettre
9. c)du même article17 qui vise le traitement nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumise. Tel que l’expliquent les auteurs sous le commentaire de l’article, cette consécration légale permet au Luxembourg de s’aligner sur la position des pays voisins. 13 cf. Titre II, article 3 du Projet de loi 14 Présentation du Projet de loi relatif à la valorisation des données dans un environnement de confiance, Ministère de la Digitalisation, https://gouvernement.lu/dam-assets/documents/actualites/2024/06/20-obertin-onceonly/20240620-presentation-mindigital.pdf 15 cf. article 6, paragraphe 1,
10. e)du Projet de loi Pour rappel, l’entité publique est définie à l’article 2, paragraphe 2, sous point 2° du Projet de loi comme « un Ministère, y compris ses services, une administration ou une commune luxembourgeoise, ainsi que les établissements publics luxembourgeois, les groupements d’intérêt économique et les personnes morales d’utilité publique listés expressément par règlement grand-ducal aux fins d’application des dispositions des titres IV[« once only »] et V [traitement ultérieur de données par les entités publiques]. » 16 L’article 6, paragraphe 1, du RGPD prévoit « Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : […]
11. c)le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis;. ». Cette base de licéité nécessite, selon le commentaire de l’article 3 du Projet de loi, un fondement en droit interne ou européen qui définit les finalités de traitement directement dans le texte de loi. 17 7 « Ainsi, le fait pour une entité publique de pouvoir démontrer le respect de la double condition : premièrement qu’elle soit investie d’une mission d’intérêt public ou qui relève de l’exercice de l’autorité publique dont elle est investie et, deuxièmement, que le traitement de données à caractère personnel soit « nécessaire » pour réaliser cette mission, suffit à légitimer la collecte et le traitement des données en question. »18. La Chambre de Commerce accueille favorablement cette mesure qui sécurise les traitements de données à caractère personnel réalisés par les entités publiques dans ce cadre. b. Deuxième pilier19 : principe « once only » entre entités publiques (Titre IV du Projet de loi) Le deuxième pilier (titre IV) du Projet de loi, relatif aux « informations et données à caractère personnel obtenues par les entités publiques auprès d’une autre entité publique » - dit « once only » - contient deux volets, d’une part, un volet relatif à la simplification administrative et d’autre part, un volet relatif à l’administration proactive. Concernant la simplification administrative, l’article 9 paragraphe 1 du Projet de loi impose l’échange d’informations ou de données à caractère personnel entre « entités publiques », afin d’éviter qu’un administré présentant une demande ou produisant une déclaration ne soit tenu de produire des données que l’entité publique détient déjà ou qu’elle peut obtenir auprès d’une autre entité publique. Le volet relatif à l’administration proactive, permet quant à lui, aux entités publiques d’échanger entre elles des informations ou des données à caractère personnel nécessaires, pour pouvoir informer les administrés sur leur droit au bénéfice éventuel d’une prestation ou d’un avantage20 et de pouvoir potentiellement le leur attribuer. La Chambre de Commerce salue l’institution du principe « once only », qui s’inscrit dans un objectif de simplification administrative cher à la Chambre de Commerce, dont la mise en œuvre sera particulièrement bienvenue, car elle simplifiera et allègera les démarches administratives pour les citoyens et les entreprises. La Chambre de Commerce, comprend par ailleurs que le travail technique préalable à l’échange de données entre « entités publiques » est déjà en cours et s’en félicite. A cet égard, elle relève que, suivant l’accord de coalition 2023-202821 : - la plateforme MyGuichet sera optimisée dans l’optique d’introduire le principe du once only de manière à (
12. i)informer les entreprises en temps réel de la progression du traitement de leur demande et leur fournir un aperçu complet, comme, par exemple, au sujet des aides approuvées et des autorisations d’établissement et (
13. ii)faciliter le partage de documents avec différentes administrations publiques et ministères ; - le Gouvernement mettra en place un échange automatique entre administrations pour chaque registre et chaque base de données, habilitant des administrations à se connecter à un système informatique pour échanger des documents et informations, par 18 cf. Commentaire des articles du Projet de loi, p.29 19 cf. Titre IV, art 9 à 14 du Projet de loi L’article 9, paragraphe 2 alinéa 2 précise que la prestation ou l’avantage sont « prévus par des dispositions législatives ou réglementaires ». 20 21 cf. spécialement les pages 158 et 159 (simplification administrative pour les PME) 8 exemple dans le cadre des aides étatiques (interconnexion accrue des systèmes informatiques des différentes administrations). La Chambre de Commerce relève ainsi que la réduction de la charge administrative dans le cadre de la constitution et du traitement des dossiers tels que des demandes d’autorisation d’établissement, d’agréments, de déclaration au Centre commun de la sécurité sociale, d’autorisation de bâtir, d’exploitation dites « commodo-incommodo » ou encore en matière de marchés publics fera gagner du temps aux entreprises luxembourgeoises, qui pourra ainsi être réinvesti dans des tâches plus productives pour l’économie nationale. De manière plus détaillée, mais sans prétendre à l’exhaustivité, la Chambre de Commerce identifie en particulier les démarches suivantes comme prioritaires au niveau du déploiement du « once and only / gouvernement proactif » pour les entreprises, et qui devraient être idéalement accessibles depuis l’espace MyGuichet : - au niveau de la création d’entreprise : créer un guichet unique dans l’Espace MyGuichet pour qu’un seul enregistrement soit nécessaire afin de réaliser toutes les démarches de création et affiliations nécessaires lors du lancement d’une entreprise et par la suite pour enregistrer des modifications ; - au niveau des procédures d’immigration / obtention d’un titre de séjour pour indépendant : la procédure d’obtention d’un titre de séjour pour indépendant reste complexe et la communication de données inter-ministérielles n’est pas encore en place (toute la procédure est encore sous format papier au niveau de la Direction de l’immigration). Par ailleurs, si la procédure d’obtention de l’autorisation d’établissement est étroitement liée à la procédure d’obtention du titre de séjour, il faut actuellement mener les deux procédures en parallèle auprès des deux ministères différents, en envoyant des pièces à l’un et à l’autre, et en partageant également les décisions émises par l’un à l’autre. Dans ce contexte, il serait souhaitable de mettre en place une communication automatique entre le Ministère de l’Economie et le Ministère de l’Intérieur pour diminuer le nombre d’envois de documents par l’administré lui-même (en gardant comme idée la possibilité de visualiser « l’administrative Journey » du demandeur dans MyGuichet) ; - le même type de remarques vaut au niveau des procédures d’immigration (dans le cadre de l’obtention d’un visa, de l’autorisation de travail, du titre de séjour) spécialement pour les travailleurs salariés, hautement qualifiés ou non, en provenance d’Etats tiers à l’Union européenne. - au niveau de la formation professionnelle en cours d’emploi : le soutien financier de l’Etat est soumis à plusieurs conditions préalables tant dans le chef du salarié (il doit être majeur et disposer d’un contrat de travail dans le domaine du métier ou de la profession concernée) que dans le chef de l’employeur, ce qui oblige ce dernier à produire un certain nombre pièces justificatives (la convention d’apprentissage, le contrat de travail du salarié en formation en cours d’emploi et la preuve de l’affiliation de ce dernier au Centre commun de la sécurité sociale). Dans ce contexte, il serait souhaitable d’instaurer une collaboration entre le Centre commun de la sécurité sociale et le ministère chargé de l’instruction des demandes de compensation financière.au niveau de la prévention des difficultés des entreprises : la mise en place d’un bulletin d’alerte ou d’un courrier récapitulatif pouvant être téléchargé sous l’espace digital de l’entreprise dans MyGuichet, qui comprendrait toutes les informations liées à l’entreprise, y compris le cas échéant, la situation quant aux dettes publiques que cette dernière aurait accumulées (regroupement et mise à disposition des données CCSS / AED / ACD pour l’entreprise en question), serait très utile ; 9 - au niveau des aides financières : il serait nécessaire de centraliser, en un endroit unique, par exemple sur MyGuichet, pour chaque entreprise, l’ensemble des informations concernant le contingent des aides liées au régime de minimis afin que l’entreprise puisse voir le budget lui restant octroyable annuellement, ainsi que la « checklist » des aides existantes pour laquelle elle est encore éligible (liste des aides PME) et l’historique identifiant les aides accordées et les échéanciers des virements prévus par l’Etat s’il s’agit d’aides remboursables. La Chambre de Commerce se félicite encore du cadre de confiance proposé par le Projet de loi permettant la traçabilité des informations22 entre administrations et la transparence vis-à-vis de l’administré (citoyens et entreprises) dans le respect du droit de la protection des données à caractère personnel23. De même, la Chambre de Commerce salue l’introduction de dispositions permettant la proactivité des entités publiques notamment envers les entreprises24 afin de pouvoir les identifier et leur proposer, entre autres, des aides financières auxquelles celles-ci pourraient prétendre, faisant ainsi basculer le pouvoir d’initiative vers l’administration. Il s’agit ici d’une excellente nouvelle pour les entreprises, spécialement les PME et TPE qui pour certaines, renoncent à l’heure actuelle à solliciter le bénéfice d’une aide, par manque de temps ou de ressources face à la complexité de l’étude des conditions d’attribution ou de constitution du dossier de demande. Enfin, s’agissant du calendrier, elle constate que le Projet de loi ne prévoit pas de date d’entrée en vigueur, ni de dispositions transitoires. Même si la Chambre de Commerce estime qu’il est important que les administrés puissent bénéficier au plus vite des mesures introduites par le Projet de loi, elle s’interroge néanmoins sur l’opportunité d’insérer éventuellement une entrée en vigueur échelonnée de la future loi alors que : - la mise en œuvre pratique du principe du « once only » notamment se fera certainement par étapes successives compte tenu des défis techniques et informatiques qui en découlent, - les « entités publiques » doivent disposer du temps nécessaire pour se conformer aux nouvelles obligations découlant de la future loi telles que celles d’effectuer le recensement des informations et données à partager25, formaliser les échanges d’informations à travers des protocoles « once only » (à conclure entre elles) ainsi que rédiger les notices d’information à l’attention des administrés26 avant que l’obligation d’échange de données27 ne soit en vigueur. c. Troisième pilier : traitement ultérieur de données à caractère personnel par les entités publiques (Titre V du Projet de loi) En matière de traitement de données à caractère personnel, le RGPD pose le principe général de limitation des finalités28 qui signifie que les données personnelles doivent être collectées cf. article 11 du Projet de loi prévoyant notamment au paragraphe 2 que l’entité publique informe l’administré de l’administration de provenance de chaque catégorie d’information. 22 Son notamment garantis les droits à la rectification (cf. article 10, paragraphe 2 du Projet de loi) et à l’opposition au traitement dans le cadre du traitement des données de « l’administration proactive » (cf. article 11, paragraphe 3, alinéa 2 du Projet de loi). 23 24 cf. article 9, paragraphe 2, alinéa 2 du Projet de loi 25 cf. article 12, paragraphe du Projet de loi 26 cf. article 11, paragraphe 2 du Projet de loi 27 prévue à l’article 9 du Projet de loi 28 cf. article 5, paragraphe 1, b du RGPD 10 pour des finalités déterminées (dans le cadre d’un traitement primaire) et qu’elles ne peuvent pas être traitées ultérieurement pour des finalités incompatibles avec les finalités initiales. L’article 6, paragraphe 4 du RGPD permet de réaliser des traitements ultérieurs des données initialement collectées (
14. i)sur la base du consentement de la personne concernée, (
15. ii)sur la base de leur compatibilité avec le traitement initial29, ou (iii) lorsqu’une disposition spécifique du droit de l’Union européenne ou de droit national30 le permet. C’est cette dernière possibilité que met en œuvre le troisième pilier du Projet de loi (Titre V), en introduisant une disposition spécifique en droit national permettant aux « entités publiques » d’effectuer un traitement ultérieur de données à caractère personnel au-delà de la finalité du traitement initial, dans des conditions précises et en application de l’article 6, paragraphe 4 du RGPD. La Chambre de Commerce salue l’initiative des auteurs du Projet visant à améliorer la réutilisation des données publiques. En effet, cette mesure, porteuse de sécurité juridique, permettra favoriser les traitements ultérieurs de données personnelles par les entités publiques elles-mêmes et entre elles. Ainsi, en application des dispositions du Titre V du Projet de loi, le traitement ultérieur de données à caractère personnel par des entités publiques pourra être réalisé moyennant le respect : - d’une ou plusieurs finalités de traitement prévues à l’article 15 du Projet de loi parmi lesquelles figurent des thématiques que la Chambre de Commerce soutien plus particulièrement telles que : « les activités d’éducation ou d’enseignement, y compris le niveau de l’enseignement professionnel ou supérieur 31», « les activités de développement, d’évaluation, de démonstration, de sécurité et d’innovation de dispositifs ou de services32 » et « la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les application numériques » ; - des conditions d’anonymisation, sinon de pseudonymisation, sinon des limites du strict nécessaire, prévues à l’article 16 du Projet de loi33 ; - des conditions de confidentialité prévues à l’article 16 du Projet de loi ; et - de mesures techniques et organisationnelles pour empêcher la réidentification, prévues à l’article 16 du Projet de loi. En outre, s’y ajouteront des conditions spécifiques différentes en fonction du fait que le traitement ultérieur est réalisé par la même entité publique ou par une autre entité publique. 29 Cette compatibilité doit être analysée et documentée en vertu du principe de responsabilité (accountability) prévu à l’article 5 du RGPD. La disposition spécifique du droit de l’Union européenne ou de droit national qui permet le traitement ultérieur doit, selon le texte de l’article 6, paragraphe 4 du RGPD, constituer « une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l’article 23, paragraphe 1 du RGPD. » 30 31 cf. article 15, paragraphe 1, point 2, lettre b 32 cf. article 15, paragraphe 1, point 2, lettre f 33 cf. article 16, paragraphe 3 du Projet de loi : «