581 MEMORIAL MEMORIAL Journal Officiel du Grand-Duché de Luxembourg Amtsblatt des Großherzogtums Luxemburg RECUEIL DE LEGISLATION A N° 29 11 avril 1979 SOMMAIRE Loi du 31 mars 1979 réglementant l´utilisation des données nominatives dans les traitements informatiques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . page 582 Sommaire Chapitre 1 . Objet, définitions, champ d´application (Art. 1er _ 3) . . . . . . . . . Chapitre
- Création et exploitation des banques de données (Art. 4 _ 12) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Chapitre
- Répertoire national des banques de données (Art. 13) . . . . . . Chapitre
- Réglementation de la collecte des données (Art. 14 _ 18) . . . Chapitre
- Exercice du droit d´accès (Art. 19 _ 24) . . . . . . . . . . . . . . . . . . . . . . . . . Chapitre
- Obligations des propriétaires, gestionnaires et utilisateurs des banques d e données (Art. 25 _ 28) . . . . . . . . . . . . . . . . . . . . . . . . . Chapitre
- Mission du ministre compétent et de la commission consultative (Art . 29 _ 31) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Chapitre
- Dispositions pénales (Art. 32 _ 39) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Chapitre
- Entrée en vigueur et disposition transitoire (Art. 40 _ 41) er 582 583 584 584 585 586 586 587 588 582 Loi du 31 mars 1979 réglementant l´utilisation des données nominatives dans les traitements informatiques. Nous JEAN, par la grâce de Dieu, Grand-Duc de Luxembourg, Duc de Nassau; Notre Conseil d´Etat entendu; De l´assentiment de la Chambre des députés; Vu la décision de la Chambre des députés du 8 mars 1979 et celle du Conseil d´Etat du 20 mars 1979 portant qu´il n´y a pas lieu à second vote; Avons ordonné et ordonnons: Chapitre 1er . Objet, définitions, champ d´application Art. 1er . Les personnes physiques ou morales sont protégées contre l´utilisation abusive de données nominatives lors a) de la collecte de ces données en vue d´un traitement automatique; b) de leur enregistrement dans les banques de données; c) du traitement automatique appliqué à ces données; d) de la transmission à des tiers de ces données et des résultats de ces traitements. Art.
- Pour l´application de la présente loi les termes énumérés ci-après ont les significations suivantes: Donnée nominative: toute information au sujet d´une personne déterminée ou susceptible d´être déterminée. Personne: toute personne physique ou morale, publique ou privée ou groupement de fait. Banque de données: collection de données de base enregistrées sur un support informatique. Propriétaire de la banque de données: personne pour le compte de laquelle la banque est tenue et qui en dispose. Gestionnaire de la banque de données: personne qui tient effectivement la banque en appliquant aux données nominatives des traitements automatiques. Tiers: toute personne autre que le propriétaire ou gestionnaire. Dans le secteur public on entend par tiers une administration, un service public ou ministère autre que celui qui esr propriétaire ou gestionnaire de la banque. Art. 3.
(1)La loi est applicable à toutes les banques de données nominatives installées ou utilisées sur le territoire du Grand-Duché de Luxembourg.
(2)Sont exclus du champ d´application de la présente loi:
- a)les banques de données qui en vertu d´une loi ou d´un règlement sont accessibles au public;
- b)celles qui contiennent exclusivement des données en rapport avec le propriétaire de la banque;
- c)celles qui sont établies pour compte des institutions de droit international public.
(3)Les prescriptions de la présente loi sont applicables aux banques de données implantées sur le territoire luxembourgeois, même si les données sont uniquement utilisées à l´étranger. Si une banque de données, implantée sur territoire étranger, est accessible au Grand-Duché de Luxembourg au moyen d´un terminal, les prescriptions de la présente loi doivent être observées par l´utilisateur de ce terminal. 583 Chapitre
- Création et exploitation des banques de données Section 1re : Banques de données ne relevant pas de l´Etat Art.
- La création et l´exploitation de toute banque de données ne relevant pas de l´Etat sont soumises à l´autorisation préalable du ministre ayant dans ses attributions le répertoire national des banques de données défini à l´article
- Art. 5.
(1)La demande d´autorisation est adressée par le propriétaire et le gestionnaire éventuel au Ministre.
(2)En cas d´utilisation d´une banque de données implantée hors du territoire luxembourgeois l´obligation de demande d´autorisation incombe à l´utilisateur situé sur le territoire luxembourgeois.
(3)La demande doit contenir pour chaque banque de données les informations suivantes:
- a)le nom, la raison sociale ou la dénomination, l´adresse des propriétaires et gestionnaires, ou le cas échéant de l´utilisateur.
- b)La dénomination de la banque de données.
- c)La description détaillée du but poursuivi par la banque.
- d)La nature et l´origine des données accessibles dans la banque ainsi que leur pertinence par rapport au but poursuivi par la banque.
- e)En cas de communication de données à des tiers, la nature des données et résultats transmis, ainsi que l´identification des tiers ou groupes de tiers destinataires. Art. 6. Après avis de la Commission consultative prévue à l´article 30 ou à son défaut après l´expiration d´un délai de 3 mois depuis la saisine de la commission consultative, l´autorisation est accordée par le Ministre lorsqu´il n´existe aucune raison de craindre une utilisation abusive des données nominatives ou une violation des dispositions de la présente loi. La décision du Ministre accordant ou refusant l´autorisation doit être motivée. L´autorisation porte uniquement sur l´objet de la demande. Elle détermine obligatoirement la durée de validité de l´autorisation. Cette durée ne peut en aucun cas dépasser dix ans. L´autorisation peut en outre contenir réglementation des points suivants:
- a)les systèmes de sécurité et de contrôle à mettre en place.
- b)la période au-delà de laquelle les données ne peuvent plus, le cas échéant, être gardées, utilisées ou diffusées. Toute modification touchant à l´objet de l´autorisation ou aux points réglementés par le Ministre dans sa décision est soumise à autorisation préalable conformément aux dispositions des art. 4 et 5. L´autorisation est personnelle dans le chef du propriétaire, du gestionnaire et de l´utilisateur. Elle est révocable et sera retirée si les termes n´en sont pas respectés. Art. 7. Les décisions du ministre portant octroi, refus ou retrait des autorisations prévues par la présente loi peuvent être déférées au Conseil d´Etat, Comité du Contentieux, qui statuera comme juge du fond. Le recours doit être introduit, sous peine de forclusion, dans le délai d´un mois à partir de la notification de la décision entreprise. Section 2: Banques de données relevant de l´Etat Art. 8. La création et l´exploitation de banques de données nominatives pour compte de l´Etat ne peuvent se faire qu´en application d´une loi ou d´un tèglement grand-ducal. Art. 9. Le Gouvernement soumet à l´avis de la commission consultative le texte de tout projet de loi et de tout projet de règlement grand-ducal portant création d´une banque de données ainsi-que le texte de tout amendement concernant ces projets de loi ou de règlement grand-ducal. Il fournit à la commission tous les renseignements visés à l´article 5
(3). 584 Art. 10. L´avis motivé de la commission consultative porte sur le respect des droits protégés par la présente loi. Il peut contenir des propositions concernant
- a)les systèmes de sécurité et de contrôle à mettre en place en vue d´assurer l´intégralité des données, de prévenir et de détecter les détournements de données, intentionnels ou non;
- b)la période au-delà de laquelle les données ne devront plus, le cas échéant. être gardées, utilisées ou diffusées. La commission arrête son avis à la majorité de ses membres. Un avis minoritaire peut y être joint sans désignation de l´auteur. Art. 11. La loi ou le règlement grand-ducal qui autorise la création et l´exploitation d´une banque pour compte de l´Etat fixe la durée de validité de cette autorisation qui ne peut en aucun cas dépasser dix ans. Art. 12. En ce qui concerne les banques de données intéressant la sûreté de l´Etat, la défense nationale et la sécurité publique, le Gouvernement en conseil peut les dispenser de l´inscription au répertoire national visé à l´article 13. Chapitre 3. Répertoire national des banques de données Art. 13. Il est créé un répertoire national des banques de données tombant sous le champ d´appli cation de la présente loi. Le répertoire national contient pour chaque banque de données:
- a)le nom, la raison sociale ou la dénomination, l´adresse des propriétaires et gestionnaires et le cas échéant des utilisateurs;
- b)la dénomination de la banque;
- c)la description du but poursuivi par la banque;
- d)la nature et l´origine des données enregistrées dans la banque;
- e)les tiers destinataires des informations traitées et la nature des données transmises;
- f)la date de l´autorisation ou celle de la loi ou du règlement grand-ducal autorisant la création et l´exploitation d´une banque;
- g)l´indication de la durée de validité de l´autorisation;
- h)le cas échéant l´indication de la date du retrait de l´autorisation ou de la suppression de la banque de données. A ce répertoire tel qu´il est défini ci-dessus il est adjoint une annexe qui contient les avis prévus aux art. 9 et 10. Pour les besoins de la surveillance et de la consultation le répertoire peut être constitué sous forme de banque de données sans procédure d´autorisation. Chapitre 4. Réglementation de la collecte des données Art. 14. La collecte de données opérée par tout moyen frauduleux, déloyal ou illicite est interdite. Art. 15. il est interdit de collecter et d´enregistrer dans des banques de données
- a)les données relatives aux opinions ou activités politiques, syndicales, philosophiques ou religieuses des personnes,
- b)les données concernant l´intimité de la vie privée. Il n´est pas interdit à une association de droit ou de fait de tenir le répertoire de ses membres sous forme d´une banque de données. De même les appartenances syndicales peuvent être collectées et enregistrées dans les banques de données en cas de demande expresse des intéressés. Ces données ne peuvent être communiquées à un tiers. 585 Art. 16. Sont réservés à l´Etat dans les seules limites légales ou réglementaires l´enregistrement et le traitement des données suivantes:
- a)les inscriptions figurant au casier judiciaire à l´exception de celles concernant les jugements et arrêts déclaratifs de faillite;
- b)les mesures prises par l´application de la loi du 12 novembre 1971 relative à la protection de la jeunesse. Art. 17. La collecte et l´enregistrement de données médicales sont réservés aux instances médicales, aux organismes de la sécurité sociale et au département ministériel de la Santé Publique selon les modalités à fixer par règlement grand-ducal pris sur avis du Conseil d´Etat. Cette disposition n´exclut pas le recours à un gestionnaire pour le traitement et la conservation des données médicales. Art. 18.
(1)Les personnes auprès desquelles sont recueillies en vue d´un traitement informatique des données nominatives doivent être informées:
- a)du but poursuivi par le traitement automatique des données;
- b)du caractère obligatoire ou facultatif des réponses;
- c)des conséquences à leur égard d´un défaut de réponse;
- d)des tiers destinataires des informations;
- e)de l´existence d´un droit d´accès et de rectification. Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent mentionner ces prescriptions.
(2)Ces dispositions ne s´appliquent pas à la collecte des informations nécessaires à la poursuite des infractions. Chapitre
- Exercice du droit d´accès Art.
- Toute personne peut prendre connaissance gratuitement des informations contenues dans le répertoire national des banques de données et obtenir copie intégrale ou partielle des informations concernant une banque de données déterminée contre paiement d´une taxe de bureau à fixer par règlement grand-ducal. Art.
- Toute personne a le droit d´interroger par écrit le propriétaire, ou l´utilisateur pour les banques étrangères, en vue de savoir si la banque de données contient des données nominatives qui la concernent et, le cas échéant, d´en obtenir communication. La communication doit être faite dans le mois suivant la réception de la demande sous une forme intelligible et conforme au contenu des enregistrements. Un règlement grand-ducal fixera le montant de la redevance à percevoir pour la communication définie ci-dessus. Art.
- Par dérogation aux dispositions de l´article 20, ne sont pas communiquées les données nominatives qui, en vertu d´une loi ou d´un règlement grand-ducal, ne peuvent être communiquées aux personnes exerçant le droit d´accès. Font exception à l´obligation de communiquer les informations qui sont déjà communiquées ou communicables sous une autre forme que celle prévue au présent article et ce en vertu d´une loi, d´un règlement ou d´un contrat. Lorsque l´exercice du droit d´accès s´applique à des informations à caractère médical, celles-ci ne peuvent être communiquées à l´intéressé que par l´intermédiaire d´un médecin qu´il désigne à cet effet. Art.
- Le titulaire d´un droit d´accès peut exiger que soient rectifiées, complétées, clarifiées, mises à jour ou effacées les données le concernant qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l´enregistrement, la communication ou la conservation sont interdit. 586 Lorsque l´intéressé en fait la demande, il doit être délivré sans frais copie de l´enregistrement rectifié. Lorsque le titulaire du droit d´accès obtient une modification de l´enregistrement, la redevance versée en application de l´article 20 est remboursée. Art.
- Si une donnée a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers. Art.
- Toute personne qui dans l´exercice de son droit d´accès a des raisons sérieuses d´admettre que les données qui lui ont été communiquées ne sont pas conformes aux données enregistrées, peut en informer le ministre ayant dans ses attributions le répertoire national des banques de données. Il appartient au ministre d´ordonner, le cas échéant, une enquête. Chapitre
- Obligations des propriétaires, gestionnaires et utilisateurs des banques de données Art.
- Les personnes qui, dans l´exercice de leurs fonctions, interviennent dans la collecte, le traitement ou la transmission des données personnelles sont tenues au secret professionnel. Art.
- Les propriétaires et gestionnaires des banques de données doivent faire toute diligence pour tenir les données à jour, pour corriger les données erronées ou pour supprimer les données périmées ou obtenues par des moyens illicites ou frauduleux. Ils doivent prendre toutes précautions utiles afin de préserver la sécurité des données enregistrées et notamment d´empêcher qu´elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés. Ils doivent s´assurer du caractère approprié des programmes servant au traitement automatique des données ainsi que de la régularité de leur application. Ils doivent veiller à la régularité de la transmission des données et des résultats. Art.
- Un règlement grand-ducal pris sur avis du Conseil d´Etat et de la commission consultative peut déterminer les mesures générales à caractère technique destinées à assurer la sécurité matérielle des banques de données et des traitements. L´effet de protection recherché par ces mesures doit être dans un rapport adéquat avec les dépenses qu´elles occasionnent. Art.
- Les propriétaires et gestionnaires ou les utilisateurs sont tenus de notifier tout changement d´adresse endéans un mois au ministre ayant dans ses attributions le répertoire national des banques de données. Chapitre
- Mission du ministre compétent et de la commission consultative Art. 29.
(1)Le ministre ayant dans ses attributions le répertoire national des banques de données veille à ce que les traitements automatisés de données personnelles soient effectués conformément aux dispositions de la présente loi et de ses règlements d´exécution ainsi qu´aux conditions d´exploitation imposées.
(2)Il prend les décisions individuelles dans les cas prévus par la présente loi et ses règlements d´exécution.
(3)II procède aux inscriptions dans le répertoire national des banques de données. Il peut procéder à la radiation des banques de données qui ne sont plus exploitées depuis cinq ans au moins.
(4)II peut, par décision particulière, charger un ou plusieurs fonctionnaires de procéder, à l´égard de tout traitement, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission.
(5)Il peut demander des explications aux intéressés.
(6)Il reçoit les réclamations.
(7)Il adresse aux intéressés des recommandations et des avertissements.
(8)Il surveille l´exercice des droits conférés aux particuliers par les articles 19 à 23.
(9)Il dénonce aux autorités judiciaires les infractions dont il a connaissance. 587 Art. 30. Il est institué auprès du ministre ayant dans ses attributions le répertoire national des banques de données une commission consultative qui est composée d´au moins cinq membres nommés par le Grand-Duc pour une durée de cinq ans et recrutés dans les secteurs public et privé parmi des juristes et des informaticiens. Le mandat des membres de la commission est renouvelable. L´organisation de la commission de même que les procédures et méthodes de travail par elle suivies font l´objet d´un règlement grand-ducal. Art. 31.
(1)La commission émet les avis prévus par la présente loi.
(2)En outre elle possède une mission d´information dans le cadre de laquelle elle:
- a)se tient informée et conseille le Gouvernement au sujet des conséquences de l´utilisation de l´informatique et de ses perspectives d´évolution au regard de l´exercice des libertés et du fonctionnement des institutions démocratiques; elle fait procéder, à cette fin, à des études et à des enquêtes;
- b)porte à l´attention du Gouvernement les déficiences ou abus qui ne sont pas spécifiquement visés par les dispositions légales, réglementaires et administratives existantes;
- c)présente chaque année au Gouvernement un rapport rendant compte de l´exécution de sa mission. Ce rapport est publié. Chapitre 8. Dispositions pénales Art. 32. Est puni d´un emprisonnement de huit jours à six mois et d´une amende de 2.501 à 500.000 francs ou d´une de ces peines seulement quiconque crée, exploite ou utilise une banque de données sans être détenteur d´une autorisation valable répondant aux conditions prévues au chapitre 2 de la présente loi, ou ne se conforme pas aux conditions de celle-ci. Est puni des mêmes peines quiconque exploite ou utilise une banque de données après que l´autorisation dont il est question à l´alinéa qui précède lui a été retirée. Est puni des mêmes peines le détenteur de données nominatives qui, à l´occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, les a détournées de leur finalité telle qu´elle est définie dans l´autorisation prévue au chapitre 2 ou dans les dispositions légales ou réglementaires qui sont à la base de la banque de données, ou si le détenteur de données nominatives a, sans l´autorisation de l´intéressé, sciemment transmis ou laissé transmettre ces données à des tiers. Art. 33. Est puni d´un emprisonnement d´un mois à un an et d´une amende de 10.000 à 500.000 francs ou d´une de ces peines seulement quiconque a colecté ou fait collecter, enregistré ou fait enregistrer, conservé ou fait conserver des données nominatives en violation des dispositions des article 14, 15, 16 et 17. Le tribunal peut en outre ordonner l´insertion du jugement, intégralement ou par extraits, dans un ou plusieurs journaux et son affichage, dans les conditions qu´il détermine, aux frais du condamné. Art. 34. Est puni d´un emprisonnement de huit jours à un mois et d´une amende de 2.501 à 100.000 francs ou d´une de ces peines seulement quiconque ne fournit pas dans le délai prévu par la loi les renseignements demandés en vertu de l´article 20 ou donne sciemment des renseignements inexacts, ou ne remplit pas les obligations qui lui incombent en vertu des articles 22 et 23. Art. 35. Est puni d´un emprisonnement de huit jours à un an et d´une amende de 2.501 à 300.000 francs ou d´une de ces peines seulement quiconque a pris un nom ou prénom supposé ou une fausse qualité pour obtenir communication de données nominatives par application de l´article 20. Art. 36. Est puni d´une amende de 2.501 à 100.000 francs quiconque ne se conforme pas aux prescriptions des articles 26 et 28 ou des règlements grand-ducaux pris en exécution de l´article 27. Art. 37. Est puni d´un emprisonnement de huit jours à six mois et d´une amende de 2.501 à 500.000 francs ou d´une de ces peines seulement quiconque empêche ou entrave volontairement, de quelque 588 manière que ce soit, l´accomplissement de la mission incombant au ministre ayant dans ses attributions le répertoire national des banques de données ou à la commission consultative. Est considéré notamment comme empêchant ou entravant volontairement la mission du ministre le refus opposé aux organes chargés d´une enquête de donner accès aux locaux et aux documents ou de fournir les renseignements demandés. Art. 38. La confiscation et la destruction sans indemnité de tout ou partie de la banque de données formant l´objet des infractions prévues aux articles 32 et 33 sont toujours prononcées en cas de condamnation. Elles peuvent être prononcées du chef d´infractions prévues aux article 34, 36 et 37. Art. 39. Le livre premier du code pénal ainsi que la loi du 18 juin 1879 portant attribution aux cours et tribunaux de l´appréciation des circonstances atténuantes, telle qu´elle a été modifiée par la loi du 16 mai 1904, sont applicables aux délits prévus par la présente loi. Chapitre 9. Entrée en vigueur et disposition transitoire Art. 40. La loi entre en vigueur le premier jour du sixième mois qui suit celui au cours duquel elle a été publiée au Mémorial. Art. 41. Les propriétaires, gestionnaires, ou utilisateurs des banques de données existant lors de l´entrée en vigueur de la présente loi doivent s´y conformer endéans les douze mois suivant cette entrée en vigueur. Ils introduisent leur demande d´autorisation dans les six mois suivant l´entrée en vigueur de la loi. Mandons et ordonnons que la présente loi soit insérée au Mémorial pour être exécutée et observée par tous ceux que la chose concerne. Château de Berg, le 31 mars 1979. Jean Le Ministre des Finances, Jacques F. Poos Doc. parl. n° 2131, sess. ord. 1977-1978 et 1978-1979 Imprimerie de la Cour Victor Buck, s. à r. l., Luxembourg