Loi du 30 septembre 1992 modifiant la loi du 31 mars 1979 réglementant

2239 MEMORIAL MEMORIAL Journal Officiel du Grand-Duché de Luxembourg Amtsblatt des Großherzogtums Luxemburg RECUEIL DE LEGISLATION A — No 74 2 octobre 1992 Sommaire UTILISATION DES DONNEES NOMINATIVES DANS LES TRAITEMENTS INFORMATIQUES Loi du 30 septembre 1992 modifiant la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques . . . . . . . . . . . . . . . . . page 2240 Loi du 1er octobre 1992 modifiant la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques . . . . . . . . . . . . . . . . . . . . . 2241 Texte coordonné du 2 octobre 1992 de la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques,telle qu’elle a été modifiée . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2242 Règlement grand-ducal du 2 octobre 1992 relatif à la création et à l’exploitation d’une banque de données nominatives de police générale . . . . . . . . . . . . . . . . . . . . . . . . . . 2247 Règlement grand-ducal du 2 octobre 1992 réglementant l’utilisation des données nominatives médicales dans les traitements informatiques . . . . . . . . . . . . . . . . . . . . . . . . 2250 2240 Loi du 30 septembre 1992 modifiant la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques. Nous JEAN, par la grâce de Dieu, Grand-Duc de Luxembourg, Duc de Nassau; Notre Conseil d’Etat entendu; De l’assentiment de la Chambre des Députés; Vu la décision de la Chambre des Députés du 9 juillet 1992 et celle du Conseil d’Etat du 17 juillet 1992 portant qu’il n’y a pas lieu à second vote; Avons ordonné et ordonnons: Article unique. La loi modifiée du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques est modifiée comme suit: 1. Il est inséré à la suite de l’article 12 un article 12-1 de la teneur suivante: «Art. 12-1.

(1)La création et l’exploitation de banques de données d’ordre général constituées pour les besoins de la prévention, de la recherche, de la constatation et de la poursuite des infractions sont réservées aux organes de la gendarmerie et de la police, selon les modalités à déterminer par règlement grand-ducal pris sur avis du Conseil d’Etat.

(2)Par dérogation aux articles 8 et 11, la création et l’exploitation d’une banque de données constituée dans le cadre d’une ou de plusieurs affaires pénales peuvent être autorisées par le ministre ayant dans ses attributions le répertoire national des banques de données, après avoir entendu en son avis la commission consultative prévue à l’article 30. Le ministre arrête les conditions de création de la banque et en fixe la durée qui ne peut dépasser dix ans.

(3)Les dispositions des paragraphes

(1)et

(2)n’excluent pas le recours à un gestionnaire pour le traitement et la conservation des données y visées.

(4)Sans préjudice du droit de contrôle du ministre conformément à l’article 29, l’exploitation des banques de données visées aux paragraphes

(1)et

(2)est placée sous le contrôle du procureur général d’Etat, qui peut déléguer à cette fin un membre de son parquet. Le procureur général d’Etat est informé immédiatement de la création de chaque banque. Il veille à ce que les traitements automatisés des données personnelles soient effectuées conformément aux dispositions de la présente loi et de ses règlements d’exécution ainsi qu’aux conditions imposées par le ministre. Pour l’exercice de son contrôle, le procureur général d’Etat a un droit d’accès direct aux banques visées. Il peut, par décision particulière, charger un ou plusieurs fonctionnaires de procéder, quant aux traitements visés, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission. Il fait opérer les rectifications et radiations nécessaires. Il présente chaque année au ministre ayant dans ses attributions le répertoire national des banques de données un rapport rendant compte de l’exécution de sa mission.

(5)Par dérogation aux dispositions du chapitre 5, le droit d’accès aux banques de données visées aux paragraphes

(1)et

(2)ne peut être exercé que par l’intermédiaire du membre magistrat de la commission consultative prévue par l’article

Celui-ci procède aux vérifications et invesigations utiles, fait opérer les rectifications nécessaires et informe l’intéressé que la banque ne contient aucune donnée contraire à la loi, à ses règlements d’exécution ou aux conditions imposées par le ministre.»
L’article 37 est modifié comme suit: «Art.
Est puni d’un emprisonnement de huit jours à six mois et d’une amende de 2.501 à 500.000 francs ou d’une de ces peines seulement quiconque empêche ou entrave volontairement, de quelque manière que ce soit, l’accomplissement de la mission incombant au ministre ayant dans ses attributions le répertoire national des banques de données, au procureur général d’Etat ou à la commission consultative. Est considéré notamment comme empêchant ou entravant volontairement la mission du ministre ou du procureur général d’Etat, le refus opposé aux organes chargés d’une enquête de donner accès aux locaux et aux documents ou de fournir les renseignements demandés.» Mandons et ordonnons que la présente loi soit insérée au Mémorial pour être exécutée et observée par tous ceux que la chose concerne. Le Ministre de la Justice, Marc Fischbach Doc. parl. 3303; sess. ord. 1988-1989 et 1991-
Château de Berg, le 30 septembre
Jean 2241 Loi du 1er octobre 1992 modifiant la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques. Nous JEAN, par la grâce de Dieu, Grand-Duc de Luxembourg, Duc de Nassau; Notre Conseil d’Etat entendu; De l’assentiment de la Chambre des Députés; Vu la décision de la Chambre des Députés du 9 juillet 1992 et celle du Conseil d’Etat du 17 juillet 1992 portant qu’il n’y a pas lieu à second vote; Avons ordonné et ordonnons: Article unique. La loi modifiée du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques est modifiée comme suit:
L’article 17 est supprimé.
Il est ajouté entre les chapitres 6 et 7 un chapitre 6-1 intitulé: «Des banques de données médicales» comprenant un article 28-1 libellé: «Art. 28-1.

(1)La création et l’exploitation de banques de données nominatives comportant la collecte et le traitement de données médicales sont réservées aux instances médicales, aux organismes de la sécurité sociale, ainsi qu’aux administrations et services publics qui gèrent des données médicales en exécution de leurs attributions.

(2)Au sens des dispositions de la présente loi sont considérés comme: — Donnée médicale: toute donnée concernant l’état physique et mental d’une personne, y compris les informations sociales et administratives connexes susceptibles d’avoir une incidence sur cet état; — Instance médicale: toute personne physique ou morale qui est autorisée à exercer des activités techniques et scientifiques ayant pour but la prévention, la détection, la guérison, ainsi que le soulagement des maladies et infirmités; — Organisme de sécurité sociale: tout organisme de droit public ou privé qui assure des prestations, obligatoires ou facultatives, relatives à la maladie, la maternité, la vieillesse, les accidents corporels, l’invalidité, le décès, le chômage, ainsi que des prestations familiales ou d’aides sociales.

(3)Par dérogation à l’article 20, l’exercice du droit d’accès à une banque de données nominatives comportant des données médicales ne peut s’opérer que par l’intermédiaire d’un médecin désigné par l’intéressé.

(4)Un règlement grand-ducal pris sur avis du Conseil d’Etat détermine: — les modalités d’après lesquelles les banques de données médicales peuvent être créées et exploitées; — les modalités d’après lesquelles les données médicales peuvent être collectées et traitées; — les conditions à observer afin de garantir la sécurité technique et le caractère confidentiel des données médicales collectées et traitées; — les modalités d’après lesquelles les données médicales peuvent être communiquées à un tiers; — les modalités d’après lesquelles les données médicales peuvent être utilisées à des fins de recherche. Ce règlement peut aussi compléter les dispositions prévues aux chapitres 2 à 6 de la présente loi.

(5)La communication de données relatives à des prestations médicales, faite par le fournisseur de soins à un organisme de sécurité sociale aux fins de remboursement des dépenses afférentes est autorisée.» 3. Le dernier alinéa de l’article 21 est abrogé. 4. Au premier alinéa de l’article 33, la référence aux dispositions de l’article 17 est remplacée par la référence aux dispositions de l’article 28-1. Mandons et ordonnons que la présente loi soit insérée au Mémorial pour être exécutée et observée par tous ceux que la chose concerne. Le Ministre de la Justice, Marc Fischbach Doc. parl. 3594; sess. ord. 1991-1992. Château de Berg, le 1er octobre 1992. Jean 2242 Loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques, modifiée par: 1. Loi du 19 novembre 1987 portant

a)approbation de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981;
b)modification de la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques; 2. Loi du 30 septembre 1992 modifiant la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques; 3. Loi du 1er octobre 1992 modifiant la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques. Te x t e c o o rd o n n é d u 2 o c t o b re 1 9 9 2 Chapitre 1er. – Objet, définitions, champ d’application er Art. 1 . Les personnes physiques ou morales sont protégées contre l’utilisation abusive de données nominatives lors:
a)de la collecte de ces données en vue d’un traitement automatique;
b)de leur enregistrement dans les banques de données;
c)du traitement automatique appliqué à ces données;
d)de la transmission à des tiers de ces données et des résultats de ces traitements. Art. 2. Pour l’application de la présente loi les termes énumérés ci-après ont les significations suivantes: Donnée nominative: toute information au sujet d’une personne déterminée ou susceptible d’être déterminée. Personne: toute personne physique ou morale, publique ou privée ou groupement de fait. Banque de données: collection de données de base enregistrées sur un support informatique. Propriétaire de la banque de données: personne pour le compte de laquelle la banque est tenue et qui en dispose. Gestionnaire de la banque de données: personne qui tient effectivement la banque en appliquant aux données nominatives des traitements automatiques. Tiers: toute personne autre que le propriétaire ou gestionnaire. Dans le secteur public on entend par tiers une administration, un service public ou ministère autre que celui qui est propriétaire ou gestionnaire de la banque. Art. 3.

(1)La loi est applicable à toutes les banques de données nominatives installées ou utilisées sur le territoire du Grand-Duché de Luxembourg.

(2)Sont exclus du champ d’application de la présente loi:

a)les banques de données qui en vertu d’une loi ou d’un règlement sont accessibles au public;
b)celles qui contiennent exclusivement des données en rapport avec le propriétaire de la banque;
c)celles qui sont établies pour compte des institutions de droit international public.

(3)Les prescriptions de la présente loi sont applicables aux banques de données implantées sur le territoire luxembourgeois, même si les données sont uniquement utilisées à l’étranger. Si une banque de données, implantée sur territoire étranger, est accessible au Grand-Duché de Luxembourg au moyen d’un terminal, les prescriptions de la présente loi doivent être observées par l’utilisateur de ce terminal. Chapitre

– Création et exploitation des banques de données Section 1re: Banques de données ne relevant pas de l’Etat Art.
La création et l’exploitation de toute banque de données ne relevant pas de l’Etat sont soumises à l’autorisation préalable du ministre ayant dans ses attributions le répertoire national des banques de données défini à l’article
Art. 5.

(1)La demande d’autorisation est adressée par le propriétaire et le gestionnaire éventuel au Ministre.

(2)En cas d’utilisation d’une banque de données implantée hors du territoire luxembourgeois l’obligation de demande d’autorisation incombe à l’utilisateur situé sur le territoire luxembourgeois.

(3)La demande doit contenir pour chaque banque de données les informations suivantes:

a)le nom, la raison sociale ou la dénomination, l’adresse des propriétaires et gestionnaires, ou le cas échéant de l’utilisateur.
b)La dénomination de la banque de données.
c)La description détaillée du but poursuivi par la banque.
d)La nature et l’origine des données accessibles dans la banque ainsi que leur pertinence par rapport au but poursuivi par la banque.
e)En cas de communication de données à des tiers, la nature des données et résultats transmis, ainsi que l’identification des tiers ou groupes de tiers destinataires. 2243 Art. 6. Après avis de la Commission consultative prévue à l’article 30 ou à son défaut après l’expiration d’un délai de 3 mois depuis la saisine de la commission consultative, l’autorisation est accordée par le Ministre lorsqu’il n’existe aucune raison de craindre une utilisation abusive des données nominatives ou une violation des dispositions de la présente loi. La décision du Ministre accordant ou refusant l’autorisation doit être motivée. L’autorisation porte uniquement sur l’objet de la demande. Elle détermine obligatoirement la durée de validité de l’autorisation. Cette durée ne peut en aucun cas dépasser dix ans. L’autorisation peut en outre contenir réglementation des points suivants:
a)les systèmes de sécurité et de contrôle à mettre en place.
b)la période au-delà de laquelle les données ne peuvent plus, le cas échéant, être gardées, utilisées ou diffusées. Toute modification touchant à l’objet de l’autorisation ou aux points réglementés par le Ministre dans sa décision est soumise à autorisation préalable conformément aux dispositions des articles 4 et 5. L’autorisation est personnelle dans le chef du propriétaire, du gestionnaire et de l’utilisateur. Elle est révocable et sera retirée si les termes n’en sont pas respectés. Art. 7. Les décisions du ministre portant octroi, refus ou retrait des autorisations prévues par la présente loi peuvent être déférées au Conseil d’Etat, Comité du Contentieux, qui statuera comme juge du fond. Le recours doit être introduit, sous peine de forclusion, dans le délai d’un mois à partir de la notification de la décision entreprise. Section 2: Banques de données relevant de l’Etat Art. 8. La création et l’exploitation de banques de données nominatives pour compte de l’Etat ne peuvent se faire qu’en application d’une loi ou d’un règlement grand-ducal. Art. 9. Le Gouvernement soumet à l’avis de la commission consultative le texte de tout projet de loi et de tout projet de règlement grand-ducal portant création d’une banque de données ainsi que le texte de tout amendement concernant ces projets de loi ou de règlement grand-ducal. Il fournit à la commission tous les renseignements visés à l’article 5

(3). Art. 10. L’avis motivé de la commission consultative porte sur le respect des droits protégés par la présente loi. Il peut contenir des propositions concernant:

a)les systèmes de sécurité et de contrôle à mettre en place en vue d’assurer l’intégralité des données, de prévenir et de détecter les détournements de données, intentionnels ou non;
b)la période au-delà de laquelle les données ne devront plus, le cas échéant, être gardées, utilisées ou diffusées. La commission arrête son avis à la majorité de ses membres. Un avis minoritaire peut y être joint sans désignation de l’auteur. Art. 11. La loi ou le règlement grand-ducal qui autorise la création et l’exploitation d’une banque pour compte de l’Etat fixe la durée de validité de cette autorisation qui ne peut en aucun cas dépasser dix ans. Art. 12. En ce qui concerne les banques de données intéressant la sûreté de l’Etat, la défense nationale et la sécurité publique, le Gouvernement en conseil peut les dispenser de l’inscription au répertoire national visé à l’article 13. (Loi du 30 septembre 1992) «Art. 12-1.

(3)Les dispositions des paragraphes

(1)et

(2)n’excluent pas le recours à un gestionnaire pour le traitement et la conservation des données y visées.

(4)Sans préjudice du droit de contrôle du ministre conformément à l’article 29, l’exploitation des banques de données visées aux paragraphes

(1)et

(2)est placée sous le contrôle du procureur général d’Etat, qui peut déléguer à cette fin un membre de son parquet. Le procureur général d’Etat est informé immédiatement de la création de chaque banque. Il veille à ce que les traitements automatisés des données personnelles soient effectués conformément aux dispositions de la présente loi et de ses règlements d’exécution ainsi qu’aux conditions imposées par le ministre. Pour l’exercice de son contrôle, le procureur général d’Etat a un droit d’accès direct aux banques visées. Il peut, par décision particulière, charger un ou plusieurs fonctionnaires de procéder, quant aux traitements visés, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission. Il fait opérer les rectifications et radiations nécessaires. Il présente chaque année au ministre ayant dans ses attributions le répertoire national des banques de données un rapport rendant compte de l’exécution de sa mission. 2244

(5)Par dérogation aux dispositions du chapitre 5, le droit d’accès aux banques de données visées aux paragraphes

(1)et

(2)ne peut être exercé que par l’intermédiaire du membre magistrat de la commission consultative prévue par l’article 30. Celui-ci procède aux vérifications et investigations utiles, fait opérer les rectifications nécessaires et informe l’intéressé que la banque ne contient aucune donnée contraire à la loi, à ses règlements d’exécution ou aux conditions imposées par le ministre.» Chapitre 3. - Répertoire national des banques de données Art. 13. Il est créé un répertoire national des banques de données tombant sous le champ d’application de la présente loi. Le répertoire national contient pour chaque banque de données:

a)le nom, la raison sociale ou la dénomination, l’adresse des propriétaires et gestionnaires et le cas échéant des utilisateurs;
b)la dénomination de la banque;
c)la description du but poursuivi par la banque;
d)la nature et l’origine des données enregistrées dans la banque;
e)les tiers destinataires des informations traitées et la nature des données transmises;
f)la date de l’autorisation ou celle de la loi ou du règlement grand-ducal autorisant la création et l’exploitation d’une banque;
g)l’indication de la durée de validité de l’autorisation;
h)le cas échéant l’indication de la date du retrait de l’autorisation ou de la suppression de la banque de données. A ce répertoire tel qu’il est défini ci-dessus il est adjoint une annexe qui contient les avis prévus aux articles 9 et 10. Pour les besoins de la surveillance et de la consultation le répertoire peut être constitué sous forme de banque de données sans procédure d’autorisation. Chapitre 4. – Réglementation de la collecte des données Art. 14. La collecte de données opérée par tout moyen frauduleux, déloyal ou illicite est interdite. Art. 15. Il est interdit de collecter et d’enregistrer dans des banques de données:
a)les données relatives aux opinions ou activités politiques, syndicales, philosophiques ou religieuses des personnes;
b)les données concernant l’intimité de la vie privée. (Loi du 19 novembre 1987) «
c)les données à caractère personnel révélant l’origine raciale.» Il n’est pas interdit à une association de droit ou de fait de tenir le répertoire de ses membres sous forme d’une banque de données. De même les appartenances syndicales peuvent être collectées et enregistrées dans les banques de données en cas de demande expresse des intéressés. Ces données ne peuvent être communiquées à un tiers. Art. 16. Sont réservés à l’Etat dans les seules limites légales ou réglementaires l’enregistrement et le traitement des données suivantes:
a)les inscriptions figurant au casier judiciaire à l’exception de celles concernant les jugements et arrêts déclaratifs de faillite;
b)les mesures prises par l’application de la loi du 12 novembre 1971 relative à la protection de la jeunesse. Art. 17. (Abrogé par la loi du 1er octobre 1992) Art. 18.

(1)Les personnes auprès desquelles sont recueillies en vue d’un traitement informatique des données nominatives doivent être informées:

a)du but poursuivi par le traitement automatique des données;
b)du caractère obligatoire ou facultatif des réponses;
c)des conséquences à leur égard d’un défaut de réponse;
d)des tiers destinataires des informations;
e)de l’existence d’un droit d’accès et de rectification. Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent mentionner ces prescriptions.

(2)Ces dispositions ne s’appliquent pas à la collecte des informations nécessaires à la poursuite des infractions. Chapitre

– Exercice du droit d’accès Art.
Toute personne peut prendre connaissance gratuitement des informations contenues dans le répertoire national des banques de données et obtenir copie intégrale ou partielle des informations concernant une banque de données déterminée contre paiement d’une taxe de bureau à fixer par règlement grand-ducal. 2245 Art.
Toute personne a le droit d’interroger par écrit le propriétaire, ou l’utilisateur pour les banques étrangères, en vue de savoir si la banque de données contient des données nominatives qui la concernent et, le cas échéant, d’en obtenir communication. La communication doit être faite dans le mois suivant la réception de la demande sous une forme intelligible et conforme au contenu des enregistrements. Un règlement grand-ducal fixera le montant de la redevance à percevoir pour la communication définie ci-dessus. Art.
Par dérogation aux dispositions de l’article 20, ne sont pas communiquées les données nominatives qui, en vertu d’une loi ou d’un règlement grand-ducal, ne peuvent être communiquées aux personnes exerçcant le droit d’accès. Font exception à l’obligation de communiquer les informations qui sont déjà communiquées ou communicables sous une autre forme que celle prévue au présent article et ce en vertu d’une loi, d’un règlement ou d’un contrat. (...) (Abrogé par la loi du 1er octobre 1992) Art.
Le titulaire d’un droit d’accès peut exiger que soient rectifiées, complétées, clarifiées, mises à jour ou effacées les données le concernant qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l’enregistrement, la communication ou la conservation sont interdit. Lorsque l’intéressé en fait la demande, il doit être délivré sans frais copie de l’enregistrement rectifié. Lorsque le titulaire du droit d’accès obtient une modification de l’enregistrement, la redevance versée en application de l’article 20 est remboursée. Art.
Si une donnée a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers. Art.
Toute personne qui dans l’exercice de son droit d’accès a des raisons sérieuses d’admettre que les données qui lui ont été communiquées ne sont pas conformes aux données enregistrées, peut en informer le ministre ayant dans ses attributions le répertoire national des banques de données. Il appartient au ministre d’ordonner, le cas échéant, une enquête. Chapitre
– Obligations des propriétaires, gestionnaires et utilisateurs des banques de données Art.
Les personnes qui, dans l’exercice de leurs fonctions, interviennent dans la collecte, le traitement ou la transmission des données personnelles sont tenues au secret professionnel. Art.
Les propriétaires et gestionnaires des banques de données doivent faire toute diligence pour tenir les données à jour, pour corriger les données erronées ou pour supprimer les données périmées ou obtenues par des moyens illicites ou frauduleux. Ils doivent prendre toutes précautions utiles afin de préserver la sécurité des données enregistrées et notamment d’empêcher qu’elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés. Ils doivent s’assurer du caractère approprié des programmes servant au traitement automatique des données ainsi que de la régularité de leur application. Ils doivent veiller à la régularité de la transmission des données et des résultats. Art.
Un règlement grand-ducal pris sur avis du Conseil d’Etat et de la commission consultative peut déterminer les mesures générales à caractère technique destinées à assurer la sécurité matérielle des banques de données et des traitements. L’effet de protection recherché par ces mesures doit être dans un rapport adéquat avec les dépenses qu’elles occasionnent. Art.
Les propriétaires et gestionnaires ou les utilisateurs sont tenus de notifier tout changement d’adresse endéans un mois au ministre ayant dans ses attributions le répertoire national des banques de données. (Loi du 1er octobre 1992) «Chapitre 6-
– Des banques de données médicales» (Loi du 1er octobre 1992) «Art. 28-1.

(2)Au sens des dispositions de la présente loi sont considérés comme: – Donnée médicale: toute donnée concernant l’état physique et mental d’une personne, y compris les informations sociales et administratives connexes susceptibles d’avoir une incidence sur cet état; – Instance médicale: toute personne physique ou morale qui est autorisée à exercer des activités techniques et scientifiques ayant pour but la prévention, la détection, la guérison, ainsi que le soulagement des maladies et infirmités; – Organisme de sécurité sociale: tout organisme de droit public ou privé qui assure des prestations, obligatoires ou facultatives, relatives à la maladie, la maternité, la vieillesse, les accidents corporels, l’invalidité, le décès, le chômage, ainsi que des prestations familiales ou d’aides sociales.

(4)Un règlement grand-ducal pris sur avis du Conseil d’Etat détermine: – les modalités d’après lesquelles les banques de données médicales peuvent être créées et exploitées; – les modalités d’après lesquelles les données médicales peuvent être collectées et traitées; – les conditions à observer afin de garantir la sécurité technique et le caractère confidentiel des données médicales collectées et traitées; – les modalités d’après lesquelles les données médicales peuvent être communiquées à un tiers; – les modalités d’après lesquelles les données médicales peuvent être utilisées à des fins de recherche. Ce règlement peut aussi compléter les dispositions prévues aux chapitres 2 à 6 de la présente loi.

(1)Le ministre ayant dans ses attributions le répertoire national des banques de données veille à ce que les traitements automatisés de données personnelles soient effectués conformément aux dispositions de la présente loi et de ses règlements d’exécution ainsi qu’aux conditions d’exploitation imposées.

(2)Il prend les décisions individuelles dans les cas prévus par la présente loi et ses règlements d’exécution.

(3)Il procède aux inscriptions dans le répertoire national des banques de données. Il peut procéder à la radiation des banques de données qui ne sont plus exploitées depuis cinq ans au moins.

(4)Il peut, par décision particulière, charger un ou plusieurs fonctionnaires de procéder, à l’égard de tout traitement, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission.

(5)Il peut demander des explications aux intéressés.

(6)Il reçcoit les réclamations.

(7)Il adresse aux intéressés des recommandations et des avertissements.

(8)Il surveille l’exercice des droits conférés aux particuliers par les articles 19 à 23.

(9)Il dénonce aux autorités judiciaires les infractions dont il a connaissance. Art. 30. Il est institué auprès du ministre ayant dans ses attributions le répertoire national des banques de données une commission consultative qui est composée d’au moins cinq membres nommés par le Grand-Duc pour une durée de cinq ans et recrutés dans les secteurs public et privé parmi des juristes et des informaticiens. Le mandat des membres de la commission est renouvelable. L’organisation de la commission de même que les procédures et méthodes de travail par elle suivies font l’objet d’un règlement grand-ducal. Art. 31.

(1)La commission émet les avis prévus par la présente loi.

(2)En outre elle possède une mission d’information dans le cadre de laquelle elle:

a)se tient informée et conseille le Gouvernement au sujet des conséquences de l’utilisation de l’informatique et de ses perspectives d’évolution au regard de l’exercice des libertés et du fonctionnement des institutions démocratiques; elle fait procéder, à cette fin, à des études et à des enquêtes;
b)porte à l’attention du Gouvernement les déficiences ou abus qui ne sont pas spécifiquement visés par les dispositions légales, réglementaires et administratives existantes;
c)présente chaque année au Gouvernement un rapport rendant compte de l’exécution de sa mission. Ce rapport est publié. Chapitre 8. – Dispositions pénales Art. 32. Est puni d’un emprisonnement de huit jours à six mois et d’une amende de 2.501 à 500.000 francs ou d’une de ces peines seulement quiconque crée, exploite ou utilise une banque de données sans être détenteur d’une autorisation valable répondant aux conditions prévues au chapitre 2 de la présente loi, ou ne se conforme pas aux conditions de celle-ci. Est puni des mêmes peines quiconque exploite ou utilise une banque de données après que l’autorisation dont il est question à l’alinéa qui précède lui a été retirée. Est puni des mêmes peines le détenteur de données nominatives qui, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, les a détournées de leur finalité telle qu’elle est définie dans l’autorisation prévue au chapitre 2 ou dans les dispositions légales ou réglementaires qui sont à la base de la banque de données, ou si le détenteur de données nominatives a, sans l’autorisation de l’intéressé, sciemment transmis ou laissé transmettre ces données à des tiers. Art. 33. Est puni d’un emprisonnement d’un mois à un an et d’une amende de 10.000 à 500.000 francs ou d’une de ces peines seulement quiconque a collecté ou fait collecter, enregistré ou fait enregistrer, conservé ou fait conserver des données nominatives en violation des dispositions des articles 14, 15, 16 et «28-1»1. Le tribunal peut en outre ordonner l’insertion du jugement, intégralement ou par extraits, dans un ou plusieurs journaux et son affichage, dans les conditions qu’il détermine, aux frais du condamné. 1 Ainsi modifié par la loi du 1er octobre 1992. 2247 Art. 34. Est puni d’un emprisonnement de huit jours à un mois et d’une amende de 2.501 à 100.000 francs ou d’une de ces peines seulement quiconque ne fournit pas dans le délai prévu par la loi les renseignements demandés en vertu de l’article 20 ou donne sciemment des renseignements inexacts, ou ne remplit pas les obligations qui lui incombent en vertu des articles 22 et 23. Art. 35. Est puni d’un emprisonnement de huit jours à un an et d’une amende de 2.501 à 300.000 francs ou d’une de ces peines seulement quiconque a pris un nom ou prénom supposé ou une fausse qualité pour obtenir communication de données nominatives par application de l’article 20. Art. 36. Est puni d’une amende de 2.501 à 100.000 francs quiconque ne se conforme pas aux prescriptions des articles 26 et 28 ou des règlements grand-ducaux pris en exécution de l’article 27. (Loi du 30 septembre 1992) «Art. 37. Est puni d’un emprisonnement de huit jours à six mois et d’une amende de 2.501 à 500.000 francs ou d’une de ces peines seulement quiconque empêche ou entrave volontairement, de quelque manière que ce soit, l’accomplissement de la mission incombant au ministre ayant dans ses attributions le répertoire national des banques de données, au procureur général d’Etat ou à la commission consultative. Est considéré notamment comme empêchant ou entravant volontairement la mission du ministre ou du procureur général d’Etat, le refus opposé aux organes chargés d’une enquête de donner accès aux locaux et aux documents ou de fournir les renseignements demandés.» Art. 38. La confiscation et la destruction sans indemnité de tout ou partie de la banque de données formant l’objet des infractions prévues aux articles 32 et 33 sont toujours prononcées en cas de condamnation. Elles peuvent être prononcées du chef d’infractions prévues aux articles 34, 36 et 37. Art. 39. Le livre premier du code pénal ainsi que la loi du 18 juin 1879 portant attribution aux cours et tribunaux de l’appréciation des circonstances atténuantes, telle qu’elle a été modifiée par la loi du 16 mai 1904, sont applicables aux délits prévus par la présente loi. Chapitre 9. – Entrée en vigueur et disposition transitoire Art. 40. La loi entre en vigueur le premier jour du sixième mois qui suit celui au cours duquel elle a été publiée au Mémorial. Art. 41. Les propriétaires, gestionnaires, ou utilisateurs des banques de données existant lors de l’entrée en vigueur de la présente loi doivent s’y conformer endéans les douze mois suivant cette entrée en vigueur. Ils introduisent leur demande d’autorisation dans les six mois suivant l’entrée en vigueur de la loi. Règlement grand-ducal du 2 octobre 1992 relatif à la création et à l’exploitation d’une banque de données nominatives de police générale. Nous JEAN, par la grâce de Dieu, Grand-Duc de Luxembourg, Duc de Nassau; Vu l’article 12-1 de la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques telle qu’elle a été modifiée; Vu les avis de la commission consultative prévue à l’article 30 de la loi du 31 mars 1979 précitée; Notre Conseil d’Etat entendu; Sur le rapport de Notre ministre de la Force publique, de Notre ministre ayant dans ses attributions le répertoire national des banques de données et de Notre ministre des Communications et après délibération du Gouvernement en conseil; Arrêtons: er Art. 1 . Pour les besoins de la prévention, de la recherche, de la constatation et de la poursuite des infractions, la gendarmerie et la police sont autorisées à créer et à exploiter en copropriété et sous l’autorité du commandant de la gendarmerie et du directeur de la police une banque de données nominatives. Art. 2.

(1)La banque de données est divisée en trois parties: 1o La partie recherche de personnes et d’objets qui est accessible aux agents de la gendarmerie et de la police. 2o La partie documentaire qui est accessible aux chefs de corps de la gendarmerie et de la police et aux officiers de police judiciaire autorisés par eux à cet effet. Les autorisations sont temporaires et révocables. Une liste des agents autorisés à consulter cette partie de la banque de données est communiquée au procureur général d’Etat. 3o La partie archives qui n’est accessible que de l’accord exprès du procureur général d’Etat ou du membre de son parquet désigné à cet effet.

(2)Lors de chaque consultation d’une des trois parties de la banque de données, le nom de l’agent qui a procédé à l’interrogation ainsi que le motif de l’interrogation doivent être enregistrés. 2248

(3)Les données relatives à ces enregistrements ne sont accessibles qu’au procureur général d’Etat ou au membre de son parquet délégué par lui aux fins de contrôle qui lui est conféré par l’article 12-1, alinéa

(4)de la loi modifiée du 31 mars 1979, ainsi qu’au commandant de la gendarmerie et au directeur de la police ou aux agents spécialement désignés par eux aux fins de contrôle interne.

(4)Elles sont effacées si le procureur général d’Etat ou le membre de son parquet délégué par lui décide que l’utilité de leur enregistrement est devenue caduque. Art. 3.

(1)La partie recherche de personnes et d’objets de la banque de données contient les informations relatives: 1o aux personnes recherchées ou signalées par les autorités judiciaires luxembourgeoises; 2o aux personnes ayant fait l’objet d’une décision administrative dont l’inobservation constitue une infraction pénale; o 3 aux personnes ayant fait l’objet d’un arrêté de refus d’entrée et de séjour au Grand-Duché; 4o aux personnes recherchées ou signalées aux autorités luxembourgeoises par des autorités judiciaires étrangères ou par l’Organisation Internationale de Police Criminelle (OIPC-Interpol) ou par des services de police étrangers dans le cadre d’une convention internationale ou d’un accord intergouvernemental; 5o aux personnes majeures ou mineures portées disparues; 6o aux personnes détenues dans un établissement pénitentiaire pour l’exécution d’une peine.

(2)Sont enregistrées au sujet des personnes indiquées ci-avant les informations suivantes:

a)les noms, prénoms, sexe, nationalité, date et lieu de naissance, profession et adresse;
b)le numéro et la date du procès-verbal, du rapport ou du dossier avec l’indication de l’origine.

(3)Sont en outre enregistrés:

a)pour les personnes visées sous 1o, 4o et 5o, l’objet de l’avis de recherche;
b)pour les personnes visées sous 1o et 4o, le mode d’opérer et le signalement descriptif;
c)pour les personnes visées sous 2o et 3o, l’objet de la décision administrative;
d)pour les personnes visées sous 6o, les décisions accordant un congé pénal, une suspension de la peine, une libération conditionnelle ou une libération anticipée;
e)pour les personnes visées sous 1o à 6o, le renvoi éventuel à une photographie ou à une empreinte digitale. Art. 4. Les informations relatives aux personnes visées sous 1o à 6o du paragraphe

(1)de l’article 3 sont effacées dans les conditions suivantes: 1o pour les personnes visées sous 1o et 4o, lorsque l’objet de la recherche ou du signalement est atteint, ou que l’avis de recherche ou le signalement est rapporté. Lorsque l’avis de recherche émane d’une autorité luxembourgeoise celle-ci doit examiner chaque année, sur la base d’une liste qui lui est soumise par les propriétaires de la banque de données, si les inscriptions datant de plus de trente mois doivent être maintenues; o 2 pour les personnes visées sous 2o et 3o, lorsque la décision a été rapportée; 3o pour les personnes visées sous 5o, dès que la réapparition ou le décès de ces personnes a été signalé aux forces de l’ordre; 4o pour les personnes visées sous 6o, a) en cas de congé pénal ou de suspension de la peine, au plus tard un an après leur enregistrement; b) en cas de libération conditionnelle, dès que le délai d’épreuve est écoulé; c) en cas de libération ancitipée, dès que la peine est prescrite. Art. 5.

(1)La partie documentaire de la banque de données contient les informations relatives: 1o aux personnes faisant l’objet d’un procès-verbal ou d’un rapport pour crime, délit ou contravention: 2o aux victimes d’infractions dont l’auteur n’est pas identifié; 3o aux témoins d’infractions dont l’auteur n’est pas identifié; 4o aux personnes faisant l’objet d’une mesure de protection pour autant qu’elles consentent expressément à l’enregistrement.

(2)Sont enregistrées au sujet de ces personnes les informations suivantes:

a)les noms, prénoms, sexe, nationalité, date et lieu de naissance, profession et adresse;
b)la nature des faits faisant l’objet du procès-verbal ou du rapport et les suites judiciaires qui leur ont été réservées;
c)le numéro et la date du procès-verbal, du rapport, du dossier ou du document de collecte avec l’indication de l’origine;
d)les objets recherchés. 2249

(3)Sont en outre enregistrés:

a)pour les personnes visées sous 1o le mode d’opérer, le signalement descriptif avec renvoi éventuel à une photographie ou une empreinte digitale;
b)pour les personnes visées sous 2o, le cas échéant, la nature des objets recherchés;
c)pour les personnes visées sous 4o, les motifs, la portée et la nature de la mesure de protection. Art. 6.

(1)Les informations relatives aux personnes visées sous 1o, 2o et 3o du paragraphe

(1)de l’article 5 sont retirées de la partie documentaire de la banque et transférées à la partie archives dans les conditions suivantes:

a)en cas de décision de non-lieu ou de décision définitive d’acquittement;
b)en cas de condamnation lorsque l’inscription de la condamnation est effacée du casier judiciaire;
c)en l’absence de décision judiciaire: — si les faits constatés aux procès-verbaux ou rapports constituent des contraventions, deux ans après leur constatation; — si les faits constatés aux procès-verbaux ou rapports constituent des délits, six ans après leur constatation; — si les faits constatés aux procès-verbaux ou rapports constituent des crimes, dix ans après leur constatation.

(2)Le procureur général d’Etat peut cependant autoriser la conservation dans la partie documentaire des informations relatives à des crimes et délits au-delà du délai indiqué, tant que la prescription de l’action publique n’est pas acquise. Art. 7. Les informations relatives aux personnes visées sous 4o du paragraphe

(1)de l’article 5 sont effacées lorsque la mesure de protection est rapportée ou que la personne protégée demande l’effacement. Art. 8.

(1)La partie archives de la banque de données contient les informations y transférées conformément à l’article 6.

(2)Ces informations sont effacées soixante ans après leur premier enregistrement dans la banque de données. Art. 9.

(1)Le Centre Informatique de l’Etat est chargé de la gestion de la banque de données.

(2)Les données enregistrées dans la banque sont mises à jour moyennant communication de toute information utile contenue dans d’autres banques de données relevant de l’Etat, pour autant que ces communications aux forces de police et de gendarmerie sont expressément autorisées. Art. 10. La communication de données est autorisée

a)au sein des forces de police et de gendarmerie d’après les conditions à déterminer par le ministre de la Force publique, le commandant de la gendarmerie et le directeur de la police entendus en leurs avis;
b)aux ministères et administrations auxquelles les forces de l’ordre sont tenues de fournir des renseignements en vertu d’une disposition légale;
c)aux autorités judiciaires pour tout ce qui est de leur compétence;
d)à des services de police étrangers dans le cadre d’une convention internationale ou d’un accord intergouvernemental ou par l’intermédiaire de l’Organisation Internationale de Police Criminelle (OIPC-Interpol). Art. 11. La durée de validité de l’autorisation accordée en vertu de l’article 1r est fixée à 5 ans à partir de l’entrée en vigueur du présent règlement. Art. 12. Notre ministre de la Force publique, Notre ministre ayant le répertoire national des banques de données dans ses attributions et Notre ministre des Communications sont chargés, chacun en ce qui le concerne, de l’exécution du présent règlement qui sera publié au Mémorial. Le Ministre de la Force publique, Jacques F. Poos Le Ministre de la Justice, Marc Fischbach Le Ministre des Communications, Alex Bodry Château de Berg, le 2 octobre 1992. Jean 2250 Règlement grand-ducal du 2 octobre 1992 réglementant l’utilisation des données nominatives médicales dans les traitements informatiques. Nous JEAN, par la grâce de Dieu, Grand-Duc de Luxembourg, Duc de Nassau; Vu l’article 28-1 de la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques, telle qu’elle a été modifiée; Vu l’avis du Collège médical; Vu les avis de la commission consultative prévue à l’article 30 de la loi du 31 mars 1979 précitée; Notre Conseil d’Etat entendu; Sur rapport de Notre Ministre de la Famille, de Notre ministre du Travail, de Notre ministre ayant le répertoire national des banques de données nominatives dans ses attributions, de Notre ministre de la Santé et de Notre secrétaire d’Etat à la Sécurité sociale, et après délibération du Gouvernement en conseil; Arrêtons: Art. 1er. Le présent règlement grand-ducal s’applique à toute banque de données nominatives médicales automatisée détenue par des instances médicales, des organismes de sécurité sociale ainsi qu’aux administrations et services publics qui gèrent des données médicales en exécution de leurs attributions. Chapitre I: Création et exploitation de banques de données nominatives comportant des données médicales. Art. 2. La création et l’exploitation de banques de données nominatives comportant des données médicales sont soumises aux dispositions des articles 4 à 11 de la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques, telle qu’elle a été modifiée. Art. 3. L’interconnexion d’une banque de données nominatives comportant des données médicales avec toute autre banque de données nominatives est soumise à autorisation préalable. Art. 4. Outre les informations énumérées à l’article 5

(3)de la loi du 31 mars 1979 précitée, la demande d’autorisation pour la création et l’exploitation d’une banque de données nominatives comportant des données médicales doit contenir:

a)l’indication de la durée de conservation des données enregistrées;
b)l’indication des mesures de sécurité et de protection mises en place pour garantir le caractère confidentiel des données enregistrées. Art. 5.

(1)L’autorisation pour la création et l’exploitation d’une banque de données nominatives comportant des données médicales indique notamment les fins en vue desquelles l’autorisation est accordée et fixe les obligations que doivent respecter le propriétaire, le gestionnaire et l’utilisateur de la banque de données quant:

a)au contenu, à l’utilité, à l’exactitude et à la durée de conservation des données à enregistrer;
b)à la durée de la validité de l’autorisation;
c)à la limitation de la communication des données enregistrées à un tiers;
d)aux mesures de sécurité et de protection à mettre en place, en vue de prévenir l’accès illicite et le détournement des données enregistrées.

(2)En cas d’inobservation de ces obligations, l’autorisation accordée peut à tout moment être retirée. Art.

Lorsque le propriétaire d’une banque de données nominatives comportant des données médicales se propose d’utiliser les données enregistrées à des fins autres que celles pour lesquelles elles ont été collectées, il doit solliciter au préalable une autorisation de modification. Art.
L’autorisation pour la création et l’exploitation d’une banque de données nominatives comportant des données médicales peut prévoir l’obligation pour le propriétaire de la banque de données de désigner une personne spécialement chargée de la mise en place des mesures techniques et d’organisation adéquates pour garantir la sécurité et le caractère confidentiel des données nominatives enregistrées. Art.
L’autorisation pour la création et l’exploitation d’une banque de données nominatives comportant des données médicales peut prévoir la condition que l’accès à la banque de données doit être contrôlé par un système d’identification et d’authentification individuelles des utilisateurs. Art.
Lorsqu’une banque de données nominatives comportant des données médicales comprend plusieurs fichiers médicaux ou sous-systèmes de données médicales, de tels systèmes nécessitent des autorisations distinctes complémentaires accordées en fonction des particularités de ces systèmes. 2251 Chapitre II: Collecte et traitement de données médicales à des fins thérapeutiques. Art. 10.

(1)La personne, dont les données médicales sont collectées par une instance médicale au cours d’une consultation ou dans l’exercice de la médecine curative ou préventive, doit être informée au préalable, par des moyens appropriés et de la manière la plus compréhensible possible, des raisons pour lesquelles ses données médicales sont collectées, des finalités pour lesquelles elles seront utilisées, ainsi que du fait que les données ne seront pas utilisées à d’autres fins que celles pour lesquelles elles ont été collectées, sans préjudice des dispositions de l’article 18

(1)de la loi du 31 mars 1979 précitée.

(2)Lorsque, pour des raisons médicales urgentes, il s’avère nécessaire de collecter et de traiter des données médicales en l’absence de l’information préalable de la personne concernée, il doit être pourvu à cette information dès que l’état de santé de la personne le permet. Art. 11. Le propriétaire d’une banque de données nominatives comportant des données médicales doit s’assurer:

a)que les données soient collectées par des moyens licites et loyaux;
b)que seules soient collectées des données adéquates et pertinentes par rapport aux finalités déclarées;
c)que la concordance entre les données collectées et les données enregistrées soit vérifiée;
d)que le contenu de la banque de données soit tenu à jour. Art. 12.

(1)Les banques de données nominatives comportant des données médicales doivent être conçcues dans la mesure du possible de façcon à permettre le traitement séparé:

a)des données relatives à l’identification des personnes;
b)des données à caractère médical;
c)des données à caractère social;
d)des données à caractère administratif.

(2)Une distinction entre les données basées sur des constatations objectives et celles basées sur des appréciations subjectives doit être faite dans la mesure du possible par rapport aux données mentionnées aux points

b)et
c)qui précèdent. Chapitre III: Collecte et traitement de données médicales à des fins de recherche. Art. 13. Le traitement de données médicales à des fins de recherche médicale et scientifique ne doit se faire que moyennant des données dépersonnalisées. Art. 14. Si, pour des besoins spécifiques et légitimes de recherche médicale et scientifique, il s’avère indispensable de traiter des données médicales nominatives, la collecte et le traitement de ces données ne peuvent se faire que du consentement formulé par écrit de la personne concernée qui, au préalable, aura été informée par des moyens appropriés et de la manière la plus compréhensible possible, des raisons pour lesquelles ses données médicales sont collectées, des finalités pour lesquelles elles seront utilisées,ainsi que du fait que les données ne seront pas utilisées à d’autres fins que celles pour lesquelles elles ont été collectées, sans préjudice des dispositions de l’article 18

(1)de la loi du 31 mars 1979 précitée. Art. 15.

(1)La personne qui a donné son consentement écrit pour que ses données médicales puissent être collectées et traitées à des fins de recherche doit être informée qu’elle peut, à tout moment, retirer son consentement.

(2)Le retrait du consentement écrit n’a toutefois pas d’effet rétroactif. Chapitre IV: Communication de données médicales à un tiers. Art. 16.

(1)La communication à un tiers des données contenues dans une banque de données nominatives comportant des données médicales ne peut se faire que du consentement écrit de la personne concernée.

(2)Toutefois, ce consentement écrit n’est pas requis lorsque l’intérêt direct du malade exige la communication et qu’il y a lieu de présumer le consentement. Art.

La communication de données médicales à des fins de statistique ne doit se faire que moyennant des données dépersonnalisées. 2252 Chapitre V: Exécution Art.
Notre ministre de la Famille, Notre ministre du Travail, Notre ministre ayant le répertoire national des banques de données nominatives dans ses attributions, Notre ministre de la Santé et Notre secrétaire d’Etat à la Sécurité sociale sont chargés, chacun en ce qui le concerne, de l’exécution du présent règlement qui sera publié au Mémorial. Le Ministre de la Famille, Fernand Boden Le Ministre du Travail, Jean-Claude Juncker Le Ministre de la Justice, Marc Fischbach Le Ministre de la Santé, Johny Lahure La Secrétaire d’Etat à la Sécurité sociale, Mady Delvaux-Stehres Editeur : Château de Berg, le 2 octobre
Jean Ministère d’Etat, Service Central de Législation, 43, boulevard F.-D. Roosevelt, L-2450 Luxembourg. Imprimeur : Imprimerie de la Cour Victor Buck, s. à r. l., Luxembourg

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.