(1)Le traitement ultérieur de données à caractère personnel par des entités publiques est autorisé si : 1° les conditions énoncées au présent titre sont remplies ; et 2° que le traitement des données à caractère personnel est effectué exclusivement pour une ou plusieurs des finalités suivantes :

1. a)l’analyse statistique ;
2. b)les activités d’éducation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ;
3. c)la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
4. d)l’évaluation et la planification des politiques envisagées ou planifiées par le Gouvernement et approuvées par décision du Gouvernement en conseil, ou en ce qui concerne les communes, envisagées ou planifiées par le Conseil communal ;
5. e)lorsque la mise en œuvre d’un accord international requiert la communication d’informations ou lorsque le traitement ultérieur des données à caractère personnel permet de répondre aux demandes d’informations officielles provenant de gouvernements étrangers ou d’organisations internationales approuvées par décision du Gouvernement en conseil ;
6. f)les activités de développement, d’évaluation, de démonstration, de sécurité et d’innovation de dispositifs ou de services ;
7. g)la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numériques. 12

(2)Le traitement ultérieur des données à caractère personnel, y compris leur partage et leur mise à disposition, par les entités publiques conformément au présent titre, est licite au sens de l’article 6, paragraphe 1er, lettre

1. e)et, si applicable, de l’article 9, paragraphe 2, lettre
2. g)ou
3. j)du règlement (UE) 2016/679. Art. 16. Conditions d’anonymisation et de pseudonymisation des données à caractère personnel

(1)Les données à caractère personnel détenues par des entités publiques doivent être anonymisées préalablement à leur traitement ultérieur aux fins énoncées à l’article 15, paragraphe 1er point 2°.

(2)Lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel doivent être pseudonymisées préalablement à leur traitement ultérieur aux fins énoncées à l’article 15, paragraphe 1er point 2°.

(3)Lorsque le traitement ultérieur de données à caractère personnel pseudonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel peuvent être traitées ultérieurement aux fins énoncées à l’article 15, paragraphe 1er point 2° de manière nonpseudonymisées dans les limites du strict nécessaire.

(4)Les entités publiques qui détiennent les données à caractère personnel sont tenus d’identifier les informations protégées pour des motifs de protection des données à caractère personnel. Elles renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

(5)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel sont tenues d’une obligation de confidentialité interdisant la divulgation de toute information compromettant les droits et intérêts de la personne concernée qu’elles peuvent avoir acquise malgré les garanties mises en place conformément aux dispositions de la présente loi. Sans préjudice du paragraphe 3, il est interdit aux entités publiques effectuant le traitement ultérieur de données à caractère personnel de rétablir l’identité de toute personne concernée à laquelle se rapportent les données à caractère personnel. Les entités publiques prennent des mesures techniques et opérationnelles pour empêcher toute réidentification. Section II – Traitement ultérieur de données à caractère personnel par la même entité publique Art. 17. Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel par la même entité publique

(1)Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel qu’elle détient pour les finalités énoncées à l’article 15, paragraphe 1er, point 2°, sous réserve du respect des dispositions de l’article 16.

(2)Lorsque le traitement ultérieur porte sur des données à caractère personnel visées aux articles 9, paragraphe 1er et 10 du règlement (UE) 2016/679, les données à caractère personnel ne peuvent pas être traitées ultérieurement de manière non-anonymisées ou non-pseudonymisées. 13 Section III – Traitement ultérieur de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques Art. 18. Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques

(1)Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel détenues par une autre entité publique pour les finalités énoncées à l’article 15, paragraphe 1er, point 2°, aux conditions suivantes : 1° l’entité publique qui détient les données à caractère personnel :

1. a)a marqué son accord de principe au traitement ultérieur, y compris le partage et la mise à disposition en inscrivant les données à caractère personnel disponibles sur la liste des ressources consultables tenues par le point d’information unique, conformément au paragraphe 3 ; ou
2. b)a marqué son accord spécifique au traitement ultérieur, y compris le partage et la mise à disposition, en contresignant la demande visée à l’article 27 ; 2° le traitement ultérieur de données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard des finalités poursuivies ; 3° les données à caractère personnel sont anonymisées préalablement au traitement ultérieur des données à caractère personnel, ou lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, si :
3. a)l’Autorité des données autorise le traitement ultérieur de données à caractère personnel conformément à l’article 31 ;
4. b)les données à caractère personnel sont pseudonymisées préalablement à leur traitement ultérieur ;
5. c)le traitement ultérieur de données à caractère personnel est effectué dans l’environnement de traitement sécurisé prévu à l’article 36.

(2)L’entité publique sollicitant le traitement ultérieur de données à caractère personnel détenues par une autre entité publique qui se voit opposer un refus de partage par l’entité publique détenant les données à caractère personnel sollicitées peut saisir pour avis le Conseil consultatif. Le Conseil consultatif émet un avis quant à la demande de partage dans un délai de trois semaines. L’avis du Conseil consultatif est communiqué à l’entité publique qui sollicite le partage ainsi qu’à l’entité publique détenant les données à caractère personnel, qui est appelée à considérer à nouveau la demande de partage. L’entité publique détenant les données à caractère personnel sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Elle transmet une copie de sa décision finale sans délai à l’entité publique qui sollicite le partage et au Conseil consultatif. L’absence de décision finale de l’entité publique détenant les données à caractère personnel sollicitées dans le délai imparti vaut refus. En cas d’accord, l’entité publique détentrice des données à caractère personnel contresigne la demande visée à l’article 27. 14

(3)Le point d’information unique met à disposition par voie électronique une liste de ressources consultable contenant un aperçu de toutes les ressources en données disponibles en vue de leur traitement ultérieur conformément au présent titre, avec des informations pertinentes décrivant les données à caractère personnel disponibles, y compris au minimum le format et la taille des données ainsi que les conditions applicables à leur traitement ultérieur. TITRE VI – Accès et réutilisation des données détenues par des organismes du secteur public par des réutilisateurs de données Section I –

(1)Le présent titre s’applique à l’accès et à la réutilisation, par un réutilisateur de données, des données détenues par des organismes du secteur public, conformément au règlement (UE) 2022/868, qui sont protégées pour des motifs : 1° de confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise ; 2° de secret statistique ; 3° de protection des droits de propriété intellectuelle de tiers ; ou 4° de protection des données à caractère personnel, dans la mesure où de telles données ne relèvent pas du champ d’application de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public.

(2)Le présent titre ne s’applique pas : 1° aux données énoncées à l’article 3, paragraphe 2, du règlement (UE) 2022/868 ; 2° aux cas visés par les autres titres de la présente loi. Art. 20. Finalités d’accès et réutilisation des données autorisées L’accès et la réutilisation des données par des réutilisateurs de données sont autorisés si : 1° les conditions énoncées à la section II du présent titre sont remplies ; et 2° l’accès et la réutilisation des données est effectué exclusivement pour une ou plusieurs des finalités suivantes :

1. a)l’analyse statistique ;
2. b)les activités d’éducation, de formation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ;
3. c)la recherche scientifique dans l’intérêt public ou dans l’intérêt général ;
4. d)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de technologies ;
5. e)le développement, l’évaluation, la démonstration, la sécurité et l’innovation de produits ;
6. f)l’évaluation des politiques publiques luxembourgeoises ou européennes. 15 Art. 21. Conditions d’anonymisation, de pseudonymisation et de méthodes de contrôle de divulgation des données

(1)Les données à caractère personnel détenues par des organismes du secteur public doivent être anonymisées préalablement à l’accès et à la réutilisation par le réutilisateur de données.

(2)Lorsque l’accès et la réutilisation de données à caractère personnel anonymisées ne permet pas d’atteindre la finalité poursuivie, les données à caractère personnel doivent être pseudonymisées préalablement à l’accès et à la réutilisation par le réutilisateur de données.

(3)Les accès et réutilisations effectués conformément au présent titre, par des réutilisateurs de données, de données à caractère personnel détenues par les organismes du secteur public, sous une forme non anonymisée ou non pseudonymisée, sont interdits.

(4)Les données détenues par des organismes du secteur public doivent être modifiées, agrégées, supprimées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à l’accès et à la réutilisation par le réutilisateur de données, pour éviter toute atteinte disproportionnée aux droits de propriété intellectuelle, à la confidentialité commerciale, y compris le secret d’affaires, au secret professionnel, au secret d’entreprise et au secret statistique.

(5)Les organismes du secteur public qui détiennent les données à caractère personnel et les données à caractère non personnel sont tenus d’identifier les données protégées pour les motifs visés à l’article 19, paragraphe 1er. Ils renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

(6)Les réutilisateurs de données sont tenus d’une obligation de confidentialité interdisant la divulgation de toute information compromettant les droits et intérêts protégés par la présente loi qu’ils peuvent avoir acquis malgré les garanties mises en place conformément aux dispositions de la présente loi. Il est interdit aux réutilisateurs de données de rétablir l’identité de toute personne concernée à laquelle se rapportent les données. Les réutilisateurs de données prennent les mesures techniques et opérationnelles nécessaires pour empêcher toute réidentification. Section II – Conditions applicables à la réutilisation de données à caractère personnel Art. 22. L’accès et la réutilisation de données à caractère personnel par des réutilisateurs de données

(1)Un réutilisateur de données peut accéder et réutiliser les données à caractère personnel détenues par un organisme du secteur public pour les finalités énoncées à l’article 20, paragraphe 1er, point 2° aux conditions cumulatives suivantes : 1° l’Autorité des données autorise l’accès et la réutilisation conformément à l’article 31 ; 2° l’organisme du secteur public qui détient les données :

1. a)a marqué son accord de principe à la mise à disposition des données à caractère personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en inscrivant les données disponibles sur la liste des ressources consultable tenue par le 16 point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ; ou
2. b)a marqué son accord spécifique à la mise à disposition des données à caractère personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en contresignant la demande visée à l’article 28 ; 3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 4° les données à caractère personnel sont anonymisées ou pseudonymisées préalablement à leur accès et à leur réutilisation ; 5° l’accès et la réutilisation des données à caractère personnel se font dans l’environnement de traitement sécurisé visé à l’article 36.

(2)Le traitement de données à caractère personnel, y compris leur partage et leur mise à disposition, par les organismes du secteur public conformément au présent titre, est licite au sens de l’article 6, paragraphe 1er, lettre e) et, si applicable, de l’article 9, paragraphe 2, lettre g) ou j) du règlement (UE) 2016/679.

(3)Le réutilisateur de données qui se voit opposer un refus d’accès de réutilisation des données par l’organisme du secteur public détenant les données sollicitées peut saisir le Conseil consultatif, qui émet un avis quant à la demande d’accès et de réutilisation dans un délai de trois semaines. L’avis du Conseil consultatif est communiqué au réutilisateur de données et à l’organisme du secteur public détenant les données, qui est appelé à considérer à nouveau la demande d’accès et de réutilisation. L’organisme du secteur public détenant les données sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Il transmet une copie de sa décision finale sans délai au réutilisateur de données et au Conseil consultatif. L’absence de décision finale de l’organisme du secteur public détenant les données sollicitées dans les délais impartis vaut refus. En cas d’accord, l’organisme du secteur public détenant les données contresigne la demande visée à l’article 28. Section III – Conditions applicables à la réutilisation de données à caractère non personnel Art. 23. L’accès et la réutilisation de données à caractère non personnel détenues par les organismes du secteur public

(1)Un réutilisateur de données peut accéder et réutiliser les données à caractère non personnel détenues par un autre organisme du secteur public et protégées pour les motifs visés à l’article 19, paragraphe 1er, points 1° à 3° aux conditions cumulatives suivantes : 1° l’Autorité des données autorise l’accès et la réutilisation conformément à l’article 31 ; 2° l’organisme du secteur public qui détient les données :

1. a)a marqué son accord de principe à la mise à disposition des données à caractère non personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en inscrivant les données disponibles sur la liste des ressources consultables tenue par le 17 point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ; ou
2. b)a marqué son accord spécifique à la mise à disposition des données à caractère non personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en contresignant la demande visée à l’article 28 ; 3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1er, points 1° à 3°; 4° les données à caractère non personnel sont modifiées, agrégées, supprimées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à leurs accès et à leur réutilisation ; 5° l’accès et la réutilisation des données à caractère non personnel se font dans l’environnement de traitement sécurisé visé à l’article 36.

(2)Le réutilisateur de données sollicitant l’accès et la réutilisation de données détenues par un organisme du secteur public qui se voit opposer un refus d’accès de réutilisation des données par les organismes du secteur public détenant les données sollicitées peut saisir le Conseil consultatif, qui émet un avis quant à la demande d’accès et de réutilisation dans un délai de trois semaines. L’avis du Conseil consultatif est communiqué au réutilisateur de données et à l’organisme du secteur public détenant les données, qui est appelé à considérer à nouveau la demande d’accès et de réutilisation. L’organisme du secteur public détenant les données sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Il transmet une copie de sa décision finale sans délai au réutilisateur de données et au Conseil consultatif. L’absence de décision finale de l’organisme du secteur public détenant les données sollicitées dans les délais impartis vaut refus. En cas d’accord, l’organisme du secteur public détenant les données contresigne la demande visée à l’article

1. Section IV – Conditions applicables à la réutilisation d’ensembles contenant des données à caractère personnel et des données à caractère non personnel Art.
2. Conditions applicables à la réutilisation d’ensembles mixtes de données détenus par les organismes du secteur public Lorsque l’accès et la réutilisation portent sur un ensemble de données détenu par un organisme du secteur public qui contient des données à caractère personnel et des données à caractère non personnel, l’accès et la réutilisation sont soumis aux conditions énoncées aux articles 19 à
3. 18 TITRE VII – Modalités applicables au traitement ultérieur des données à caractère personnel par les entités publiques et à l’accès et à la réutilisation de données par des réutilisateurs de données Section I –

(1)Les demandes de traitement ultérieur de données à caractère personnel visées au titre V ainsi que les demandes d’accès et de réutilisation visées au titre VI à présenter à l’Autorité des données doivent être formulées de façon précise et revêtir une forme écrite.

(2)Toute modification substantielle de la demande intervenant au cours de l’instruction de la demande par l’Autorité des données qui affecte les informations et pièces visées aux articles 27 et 28 nécessite le dépôt d’une nouvelle demande conformément à l’article 29. Art. 27. Contenu de la demande de traitement ultérieur de données à caractère personnel

(1)Dans les cas visés au titre V, la demande à présenter par les entités publiques effectuant le traitement ultérieur des données à caractère personnel doit contenir les informations suivantes : 1° les coordonnées des entités publiques effectuant le traitement ultérieur des données à caractère personnel ; 2° les coordonnées des entités publiques détentrices des données à caractère personnel ; 3° une description détaillée du contexte du traitement de données à caractère personnel envisagé ; 4° une description détaillée des catégories de données à caractère personnel et des catégories de personnes concernées ; 5° la base de licéité du traitement ainsi qu’une description détaillée des finalités du traitement ; 6° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation et de pseudonymisation des données à caractère personnel, en particulier la justification du respect des conditions visées à l’article 16 ; 7° la durée du traitement de données à caractère personnel envisagée dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; 8° les destinataires de données à caractère personnel et, le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ainsi que l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679 ; 9° les motifs pour lesquels le traitement ultérieur des données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 19 10° les motifs pour lesquels les données à caractère personnel sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ; 11° le cas échéant, une description détaillée des données à caractère personnel provenant de sources autres que les entités publiques effectuant le traitement ultérieur de données à caractère personnel et les entités publiques détenant les données à caractère personnel, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée ; 12° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ; 13° la signature de la demande par toutes les entités publiques visées au point 1° du présent paragraphe ; 14° pour les cas visés à l’article 18, paragraphe 1er, point 1°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 18, paragraphe 3 ; 15° pour les cas visés à l’article 18, paragraphe 1, point 1°, lettre b), la signature de la demande par toutes les entités publiques visées au point 2° du présent paragraphe.

(2)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel, en leur qualité de responsables du traitement, joignent les documents suivants à leur demande : 1° si applicable, l’analyse d’impact relative à la protection des données à caractère personnel visée par l’article 35 du règlement (UE) 2016/679 ; 2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ; 3° le plan de confidentialité signé par toutes les parties visées à l’article 35, paragraphe 2 ; 4° l’attestation de faisabilité visée à l’article 35, paragraphe 3 émise par le Centre ; 5° si applicable, une copie de l’avis du Conseil consultatif visé à l’article 18, paragraphe 2.

(3)Les entités publiques effectuant le traitement ultérieur de données à caractère personnel :

1. a)certifient l’exactitude des informations contenues dans la demande et les pièces jointes visées au présent article ;
2. b)certifient que le plan de confidentialité correspond aux informations contenues dans la demande présentée à l’Autorité des données ;
3. c)s’engagent formellement à respecter les termes de l’autorisation de l’Autorité des données et du plan de confidentialité. Art. 28. Contenu de la demande d’accès et de réutilisation de données

(1)Dans les cas visés au titre VI, la demande à présenter par les réutilisateurs des données doit contenir les informations suivantes : 1° les coordonnées des réutilisateurs des données ; 2° les coordonnées des organismes du secteur public détenant les données ; 3° une description détaillée du contexte de l’accès et de la réutilisation des données ; 4° une description détaillée des données et des catégories de personnes visées par la demande ; 5° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation, de pseudonymisation et d’agrégation des données 20 visées à l’article 21, en particulier la justification du respect des conditions visées à l’article 21 ; 6° les motifs pour lesquels les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ; 7° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1er ; 8° les destinataires de données ; 9° le cas échéant, une description détaillée des données provenant des réutilisateurs de données et/ou de détenteurs de données autres que les organismes du secteur public, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée par le réutilisateur de données ; 10° la durée d’accès et de réutilisation des données dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ; 11° le cas échéant, l’intention d’effectuer un transfert de données vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ; 12° la signature de la demande par tous les réutilisateurs des données visés au point 1° du présent paragraphe ; 13° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre a) et à l’article 23, paragraphe

(2)point 2°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ; 14° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre b) et à l’article 23, paragraphe 2 point 2°, lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe.

(2)Lorsque la demande porte sur des données à caractère personnel, elle contient également les informations suivantes : 1° la base de licéité du traitement de données à caractère personnel ainsi qu’une description détaillée des finalités du traitement de données à caractère personnel ; 2° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ; 3° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ; 4° le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679.

(3)La demande doit être accompagnée du plan de confidentialité signé par toutes les parties visées à l’article 35, paragraphe 2 et de l’attestation de faisabilité visée à l’article 35, paragraphe 3 émise par le Centre. 21

(4)Les réutilisateurs de données effectuant l’accès et la réutilisation des données à caractère personnel, en leur qualité de responsables du traitement, joignent les documents suivants à leur demande : 1° si applicable, l’analyse d’impact relative à la protection des données visée par l’article 35 du règlement (UE) 2016/679 ; 2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ; 3° si applicable, une copie de l’avis du Conseil consultatif visé aux articles 22, paragraphe 3 et 23, paragraphe 2.

(5)Les réutilisateurs de données :

1. a)certifient l’exactitude des informations contenues dans la demande et les pièces jointes visées au présent article ;
2. b)certifient que le plan de confidentialité correspond aux informations contenues dans la demande présentée à l’Autorité des données ;
3. c)s’engagent formellement à respecter les termes de l’autorisation de l’Autorité des données et du plan de confidentialité. Section III – Instruction de la demande par l’Autorité des données Art. 29. Dépôt et procédure d’instruction de la demande

(1)Le dépôt des demandes visées à la section II du présent titre, ci-après désignées la « demande », se fait auprès de l’Autorité des données.

(2)L’Autorité des données statue dans un délai de deux mois à compter du dépôt de la demande. En cas de demande exceptionnellement détaillée et complexe, le délai de deux mois peut être prolongé de trente jours au maximum. L’Autorité des données informe le demandeur dès que possible de la nécessité du délai supplémentaire pour instruire la demande, ainsi que des raisons qui justifient ce délai.

(3)Pour les cas visés à l’article 31, paragraphe 5, l’Autorité des données statue dans un délai d’un mois à compter du dépôt de la demande de modification ponctuelle. Dans les cas où le délai d’instruction de la demande par l’Autorité des données excède la durée couverte par l’autorisation initiale adoptée par cette dernière, les données disponibles dans l’environnement de traitement sécurisé sont conservées dans un système d’archivage intermédiaire à accès restreint pendant le délai d’instruction de la demande par l’Autorité des données, et ce jusqu’à adoption de la décision finale. Le système d’archivage intermédiaire et les systèmes informatiques par lesquels le traitement ultérieur des données à caractère personnel ou l’accès et la réutilisation des données sont opérés, doivent être aménagés de sorte que leur accès est sécurisé, moyennant une authentification forte, et que les informations relatives au gestionnaire du dossier ayant initié la requête, les informations demandées, la date et l’heure puissent être retracées.

(4)La demande ne comprenant pas tous les éléments énoncés aux articles 27 ou 28 est déclarée irrecevable. 22

(5)L’Autorité des données peut demander des renseignements complémentaires aux demandeurs. En pareil cas, les délais visés aux paragraphes 2 et 3 sont suspendus à compter de la transmission de la demande de renseignements complémentaires, et ce jusqu’à réception par l’Autorité des données des renseignements sollicités. Faute de réponse du demandeur dans un délai d’un mois, la demande est rejetée d’office.

(6)Les échanges et démarches visés au présent article se font par voie électronique via le point d’information unique.

(7)L’Autorité des données peut transmettre la demande de traitement ultérieur de données à caractère personnel visée à l’article 27 et la demande d’accès et de réutilisation visée à l’article 28 au Conseil consultatif pour avis. Elle y joint toute autre pièce dont elle dispose qui est sollicitée par le Conseil consultatif. L’absence d’avis du Conseil consultatif dans un délai de trois semaines à compter de la transmission de la demande et de la décision de l’organisme du secteur public détenant les données, vaut avis favorable. Art.

1. Redevances Pour chaque demande visée à l’article 28, une redevance est fixée par l’Autorité des données pour couvrir les frais administratifs occasionnés par le traitement de la demande et par la mise à disposition des données dans l’environnement de traitement sécurisé. Un règlement grand-ducal détermine la procédure applicable à la perception de la redevance. Art.
2. Autorisation par l’Autorité des données

(1)Dans les cas visés au titre V, l’Autorité des données autorise le traitement ultérieur de données à caractère personnel lorsque :

1. a)la demande visée à l’article 27 est complète et accompagnée de toutes les pièces visées à l’article 27, paragraphe 2 ;
2. b)l’entité publique détentrice des données à caractère personnel a donné son accord écrit spécifique au traitement ultérieur de données à caractère personnel, y compris au partage et à la mise à disposition, en contresignant la demande visée à l’article 27 ;
3. c)le traitement ultérieur de données à caractère personnel est exclusivement effectué pour une ou plusieurs finalités visées à l’article 15, paragraphe 1er, point 2 ;
4. d)le traitement ultérieur de données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie.

(2)Dans les cas visés au titre VI, l’Autorité des données autorise l’accès et la réutilisation de données : 1° dans le cas où la demande vise l’accès et la réutilisation de données à caractère personnel, lorsque :

1. a)la demande visée à l’article 28 est complète et accompagnée de toutes les pièces visées à l’article 28, paragraphes 3 et 4 ;
2. b)pour les cas visés à l’article 22, paragraphe 2, point 2°: i. lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ; 23 ii. lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe ;
3. c)l’accès et la réutilisation de données est exclusivement effectuée pour une ou plusieurs finalités visées à l’article 20, paragraphe 1er, point 2° ;
4. d)l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ;
5. e)la réutilisation des données n’entraine pas un risque pour la défense nationale, la sécurité publique ou l’ordre public. 2° dans les cas où la demande vise l’accès et la réutilisation de données à caractère non personnel, lorsque :
6. a)la demande visée à l’article 28 est complète et est accompagnée de toutes les pièces visées à l’article 28, paragraphes 3 et 4 ;
7. b)pour les cas visés à l’article 23, paragraphe 2 point 2° : i. lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ; ii. lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe ;
8. c)la réutilisation est exclusivement effectuée pour une ou plusieurs finalités visées à l’article 20, paragraphe 1er, point 2 ;
9. d)l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 20, paragraphe 1er, points 1° à 3° ;
10. e)la réutilisation des données n’entraine pas un risque pour la défense nationale, la sécurité publique ou l’ordre public. 3° dans le cas où la demande vise l’accès et la réutilisation d’ensembles mixtes de données, les conditions prévues aux points 1° et 2° du présent paragraphe s’appliquent.

(3)La décision d’autorisation ou de refus de l’Autorité des données est motivée. L’Autorité des données joint la demande et, si applicable, l’avis du Conseil consultatif à sa décision.

(4)Toute modification substantielle du traitement ultérieur de données à caractère personnel visé au titre V ou de l’accès et de la réutilisation des données visés au titre VI couverts par une autorisation de l’Autorité des données conformément au présent article, doit faire l’objet d’une nouvelle demande et d’une nouvelle autorisation par l’Autorité des données, conformément aux dispositions des articles 27 à 31.

(5)Si la modification sollicitée porte exclusivement sur les éléments visés à l’article 27, paragraphe 1er, point 7° ou à l’article 28, paragraphe 1er, point 10° autorisés par l’Autorité des données, l’Autorité des données statue sur le bien-fondé de la demande de modification dans le cadre de la procédure accélérée visée à l’article 29, paragraphe 3. La demande de modification visée au présent paragraphe contient : 1° dans le cas visé au titre V :

1. a)les coordonnées des entités publiques effectuant le traitement ultérieur des données à caractère personnel et des entités publiques détentrices des données à caractère personnel ; 24
2. b)la nouvelle durée du traitement de données à caractère personnel envisagée dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ;
3. c)l’attestation du Centre, ou du tiers de confiance mandaté par le Centre, que la modification sollicitée ne porte pas préjudice à l’efficacité des mesures consignées dans le plan de confidentialité ;
4. d)la signature de la demande par toutes les entités publiques visées au point a). 2° dans le cas visé au titre VI :
5. a)les coordonnées des organismes du secteur public détenant les données et des réutilisateurs des données ;
6. b)la nouvelle durée d’accès et de réutilisation des données dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ;
7. c)l’attestation du Centre, ou du tiers de confiance mandaté par le Centre, que la modification sollicitée ne porte pas préjudice à l’efficacité des mesures consignées dans le plan de confidentialité ;
8. d)la signature de la demande par tous les organismes du secteur public détenant les données et des réutilisateurs des données visés au point a).

(6)Les entités publiques et les organismes du secteur public mettent les données à caractère personnel et les données à caractère non personnel visées par l’autorisation de l’Autorité des données à disposition de celle-ci en vue de la mise en œuvre des mesures prévues au présent titre et de leur mise à disposition dans l’environnement de traitement sécurisé.

(7)Les entités publiques traitant ultérieurement les données à caractère personnel et les réutilisateurs de données sont tenus de traiter les données uniquement conformément aux termes de l’autorisation de l’Autorité des données.

(8)Chaque fois que les réutilisateurs de données utilisent les données conformément aux titres VI et VII, ils citent les sources de données et mentionnent que les données ont été obtenues dans le cadre de la présente loi. Art. 32. Contrôle par l’Autorité des données

(1)L’Autorité des données a le droit de vérifier le processus, les moyens et tout résultat du traitement ultérieur de données à caractère personnel effectué par les entités publiques conformément au titre V et des accès et réutilisation des données effectués par les réutilisateurs de données conformément au titre VI, afin de préserver l’intégrité de la protection des données et le respect des conditions prévues par la présente loi, notamment en ce qui concerne les droits de propriété intellectuelle, la confidentialité commerciale et le secret statistique.

(2)L’Autorité des données a le droit d’interdire l’utilisation des résultats qui contiennent des informations portant une atteinte disproportionnée aux droits et aux intérêts de tiers. La décision d’interdire l’utilisation des résultats est transparente et compréhensible pour le réutilisateur de données. 25

(3)L’Autorité des données peut demander tous renseignements et informations nécessaires pour l’accomplissement des missions prévues par la présente loi au Centre, au tiers de confiance mandaté par le Centre, au LNDS, aux entités publiques, aux organismes du secteur public qui détiennent les données, aux réutilisateurs ainsi qu’à tout autre entité impliquée dans la mise en œuvre de la loi. Section IV – Publicité par l’Autorité des données Art.

1. Publicité des conditions d’accès et de réutilisation de données détenues par les organismes du secteur public et procédure applicable Pour les cas visés au titre VI, l’Autorité des données rend publiques les conditions d’autorisation d’accès et de réutilisation de données détenues par les organismes du secteur public et la procédure prévue à la section III du présent titre par l’intermédiaire du point d’information unique. Art.
2. Publicité des autorisations adoptées par l’Autorité des données

(1)L’Autorité des données tient un registre public des traitements ultérieurs de données à caractère personnel et des accès et réutilisations de données autorisées. Le registre contient pour chaque autorisation accordée par l’Autorité des données conformément au titre VII les informations suivantes : 1° une copie de la décision adoptée par l’Autorité des données conformément à l’article 31 ; 2° si applicable, l’avis du Conseil consultatif ; 3° dans le cas de données à caractère personnel, l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679, communiquée par le demandeur.

(2)La publication par l’Autorité des données des éléments d’information à destination des personnes concernées, telle que visée au paragraphe 1er, alinéa 2, point 3°, vaut information de la personne concernée au sens des articles 12 à 14 du règlement (UE) 2016/679 pour les traitements ultérieurs de données visés au titre V et les accès et réutilisations visés au titre VI. Section V – Mesures appropriées et mise à disposition des données dans un environnement de traitement sécurisé Art. 35. Mesures appropriées

(1)Les mesures d’anonymisation et/ou de pseudonymisation des données à caractère personnel et/ou de modification, d’agrégation, de suppression et de traitement selon toute autre méthode de contrôle de la divulgation des données requises par les dispositions de la présente loi et par les dispositions du règlement (UE) 2022/868 doivent être mises en œuvre préalablement au traitement ultérieur de données à caractère personnel et à l’accès et la réutilisation de données visés aux titres V et VI. Ces mesures doivent être effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens raisonnablement 26 susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations. La mise en œuvre des mesures visées au présent paragraphe doit être opérée de sorte que nul autre que l’entité publique ou l’organisme du secteur public duquel proviennent les données n’ait accès aux données dans un format non anonymisé, non pseudonymisé ou non agrégé.

(2)Pour chaque demande visée aux articles 27 et 28, il est établi une évaluation spécifique des méthodes et des modalités de mise en œuvre des mesures visées au paragraphe qui précède. L’évaluation est initiée, dans les cas visés au titre V, par les entités publiques effectuant le traitement ultérieur de données à caractère personnel et, dans les cas visés au titre VI, par les réutilisateurs de données. Elle est consignée dans un plan de confidentialité. Le plan de confidentialité est préparé par les parties visées à l’alinéa qui précède. Il précise les conditions et les modalités, y compris les opérations et procédures de mise en œuvre, des mesures visées au paragraphe 1er. Le projet de plan de confidentialité est amendé jusqu’à validation finale et signature commune par le Centre, ou par le tiers de confiance mandaté par le Centre, et :

1. a)pour les cas visés au titre V, les entités publiques effectuant le traitement ultérieur de données à caractère personnel et les entités publiques détenant les données à caractère personnel ;
2. b)pour les cas visés au titre VI, les réutilisateurs de données et les organismes du secteur public détenant les données. Toutes les parties visées au présent paragraphe fournissent au Centre, ou au tiers de confiance mandaté par le Centre, et, dans les cas visés à l’article 5, paragraphe 3, point
3. d)au LNDS, toute information nécessaire pour la mise en place du plan de confidentialité, qui les traitent pour les seules finalités visées au présent article ou à des fins de preuve. Le tiers de confiance et le Centre se concertent étroitement. En signant le plan de confidentialité, le Centre, ou le tiers de confiance mandaté par le Centre, certifie que les mesures prévues au paragraphe 1er consignées dans le plan de confidentialité sont effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations.

(3)Sur présentation du plan de confidentialité signé par toutes les parties, le Centre atteste de la faisabilité :

1. a)de la mise en œuvre des mesures énoncées dans le plan de confidentialité ;
2. b)de la mise à disposition des données dans l’environnement de traitement sécurisé. L’attestation du Centre est jointe à la demande visée aux articles 27 et 28.

(4)Sous réserve d’autorisation de l’Autorité des données visée à l’article 31 et d’acquittement par le demandeur de la redevance visée à l’article 30 : 27

1. a)le Centre, ou le tiers de confiance mandaté par le Centre, s’assure de la mise en œuvre les mesures visées au présent article conformément aux stipulations du plan de confidentialité ;
2. b)le Centre : i. combine et traite les données provenant des entités publiques et des organismes du secteur public visés au paragraphe 1er, alinéa 3, pour lesquelles le traitement ultérieur et/ou l’accès et la réutilisation a été autorisé par l’Autorité des données ; ii. procède à la mise à disposition des données à caractère personnel visées au titre V et des données visées au titre VI dans l’environnement de traitement sécurisé, sous réserve des exigences prévues dans le plan de confidentialité et dans l’autorisation de l’Autorité des données. Art. 36. Environnement de traitement sécurisé

(1)Le traitement ultérieur de données à caractère personnel visé au titre V et l’accès et la réutilisation de données visés au titre VI se font dans un environnement de traitement sécurisé mis à disposition par l’Autorité des données et géré par le Centre. L’environnement de traitement sécurisé respecte notamment les mesures de sécurité suivantes:

1. a)restreindre aux personnes physiques autorisées indiquées dans l’autorisation correspondante visée à l’article 31 l’accès à l’environnement de traitement sécurisé ;
2. b)réduire au minimum le risque de lecture, de copie, de modification ou de suppression non autorisées des données hébergées dans l’environnement de traitement sécurisé par des mesures techniques et organisationnelles de pointe ;
3. c)restreindre à un nombre limité d’individus identifiables autorisés l’introduction de données et l’inspection, la modification ou la suppression de données hébergées dans l’environnement de traitement sécurisé ;
4. d)veiller à ce que les personnes visées au point
5. a)n’aient accès qu’aux données couvertes par leur autorisation correspondante visée à l’article 31, au moyen d’identifiants individuelles et uniques et de modes d’accès confidentiels uniquement ;
6. e)tenir des registres identifiables de l’accès à l’environnement de traitement sécurisé et des activités qui y sont menées pendant la période nécessaire pour vérifier et contrôler toutes les opérations de traitement dans cet environnement. Les registres d’accès devraient être conservés pendant au moins un an ;
7. f)veiller à la conformité et contrôler les mesures de sécurité énumérées au présent article afin d’atténuer les menaces potentielles pour la sécurité.

(2)L’environnement de traitement sécurisé doit être aménagé de sorte à ce qu’il ne permet pas :

1. a)de reproduire les données à l’extérieur de l’environnement et ainsi de les réutiliser dans un autre contexte ou pour des finalités autres qu’autorisées ;
2. b)d’introduire des solutions technologiques, y compris d’intelligence artificielle, à moins qu’elles aient expressément été inclues dans le plan de confidentialité, ou préalablement été évaluées et certifiées par le Centre, ou par le tiers de confiance mandaté par le Centre, comme ne présentant aucun risque d’atteinte aux exigences visées à l’article 35, paragraphe 1er ;
3. c)d’introduire des données, à moins que cette introduction ait expressément été demandée conformément à l’article 27, paragraphe 1, point 10° et à l’article 28, paragraphe 1, point 8° et autorisée par l’Autorité des données conformément aux dispositions du présent titre ; 28
4. d)d’extraire les données de l’environnement de traitement sécurisé, à moins qu’elles aient préalablement été anonymisées.

(3)Dans les cas visés au paragraphe 2, point b), la certification établie par le Centre, ou par le tiers de confiance mandaté par le Centre, est jointe au plan de confidentialité. Une copie est transmise sans délai à l’Autorité des données. Pour établir la certification, le Centre, ou le tiers de confiance mandaté par le Centre, peut exiger une évaluation préalable, le cas échéant, sous forme d’audit, établie par un organisme spécialisé, à présenter, dans les cas visés au titre V, par les entités publiques effectuant le traitement de données à caractère personnel ou dans les cas visés au titre VI par les réutilisateurs de données.

(4)Sous réserve de l’autorisation de l’Autorité des données et du respect des conditions prévues par le présent titre, le Centre peut, dans le cadre d’une demande spécifique visée aux articles 27 ou 28 :

1. a)créer un environnement de traitement sécurisé commun, ensemble avec des organismes compétents désignés conformément à l’article 7 du règlement (UE) 2022/868, afin de mettre les données à disposition des entités publiques ou des réutilisateurs de données ;
2. b)combiner et traiter les données visées au titre VI avec des données provenant d’environnements de traitement sécurisés d’autres États membres gérés par des organismes compétents désignés conformément à l’article 7 du règlement (UE) 2022/868 afin de les mettre à disposition des réutilisateurs de données. Art. 37. Responsabilité du traitement

(1)Les entités publiques détenant les données à caractère personnel et les organismes du secteur public détenant les données ont la qualité de responsable du traitement pour la mise à disposition des données à caractère personnel sollicitées à l’Autorité des données conformément à l’article 31, paragraphe 6.

(2)L’Autorité des données a la qualité de responsable du traitement pour le traitement de données à caractère personnel pour l’accomplissement des missions conformément à la présente loi.

(3)Les entités publiques qui traitent ultérieurement les données à caractère personnel et les réutilisateurs de données ont la qualité de responsable du traitement pour les traitements de données à caractère personnel dans l’environnement de traitement sécurisé.

(4)Dans les cas visés aux articles 35 et 36, le Centre agit comme sous-traitant de l’Autorité des données. Le Centre peut sous-traiter ultérieurement les tâches et missions lui attribués conformément à la présente loi. Section VI – Recours Art.

1. Recours Un recours contre les décisions de l’Autorité des données peut être exercé devant le Tribunal administratif qui statue comme juge du fond. 29 TITRE VIII – Gouvernance en matière de services d’intermédiation de données et d’altruisme des données Section I – Services d’intermédiation de données Art.
2. Autorité compétente La Commission nationale pour la protection des données, désignée ci-après par le terme « CNPD », est l’autorité compétente pour effectuer les tâches liées à la procédure de notification pour les services d’intermédiation de données, telle que visée à l’article 13 du règlement (UE) 2022/
3. Art.
4. Pouvoirs Dans le cadre des tâches qui lui sont assignées à l’article 39, la CNPD dispose des pouvoirs de contrôle tels que prévus à l’article 14 du règlement (UE) 2022/
5. Art.
6. Procédure Un règlement interne de la CNPD définit la procédure en matière de notification pour les services d’intermédiation de données, conformément à l’article 11 du règlement (UE) 2022/
7. Art.
8. Redevances La CNPD peut imposer des redevances proportionnées et objectives pour la notification des services d’intermédiation, conformément à l’article 11, paragraphe 11, du règlement (UE) 2022/
9. Un règlement de la CNPD détermine le montant et les modalités de paiement des redevances. Art.
10. Sanctions

(1)Dans le cadre d’une violation de l’obligation de notification incombant aux prestataires de services d’intermédiation de données en vertu de l’article 11 du règlement (UE) 2022/868 ou des conditions liées à la fourniture de services d’intermédiation de données en vertu de l’article 12 du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer des amendes administratives à hauteur de 500 à 100.000 euros aux prestataires de services d’intermédiation de données.

(2)La CNPD peut, par voie de décision, infliger au prestataire de services d’intermédiation de données des astreintes jusqu’à concurrence de 250 euros par jour de retard à compter de la date qu’elle fixe dans sa décision, pour le contraindre : 1° à communiquer toute information demandée par la CNPD en vertu de l’article 14, paragraphe 2, du règlement (UE) 2022/868 ; 2° à respecter une demande de cessation prononcée en vertu de l’article 14, paragraphe 4, du règlement (UE) 2022/868.

(3)Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement, des domaines et de la TVA. Il se fait comme en matière d’enregistrement. 30 Section II – Altruisme des données Art.

1. Autorité compétente La CNPD est l’autorité compétente responsable du registre public national des organisations altruistes en matière de données reconnues, tel que visé à l’article 23 du règlement (UE) 2022/
2. La CNPD tient et met à jour régulièrement le registre public national des organisations altruistes en matière de données reconnues, conformément à l’article 17, paragraphe 1er, du règlement (UE) 2022/
3. Art.
4. Pouvoirs Dans le cadre des missions qui lui sont assignées à l’article 44, la CNPD dispose des pouvoirs de contrôle, tels que prévus à l’article 24 du règlement (UE) 2022/
5. Section III – Recours Art.
6. Recours Un recours contre les décisions de la CNPD prises en application des sections I et II du présent titre est ouvert devant le Tribunal administratif qui statue comme juge du fond. TITRE IX – Dispositions finales Art.
7. Intitulé de citation La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant : « loi du […] relative à la valorisation des données dans un environnement de confiance ». * 31 EXPOSE DES MOTIFS L’évolution rapide des technologies numériques et la mondialisation ont, au cours des dernières années, transformé l’économie et la société, touchant tous les secteurs d’activité et la vie quotidienne. Les données sont au cœur de cette transformation et l’innovation fondée sur celles-ci apportera des avantages considérables aussi bien aux citoyens qu’à l’économie, tout en favorisant les activités de recherche scientifique dans l’intérêt public. Afin que l’économie et la recherche fondées sur les données soient inclusives à l’égard de tous les citoyens, il faut veiller tout particulièrement à réduire la fracture numérique et à promouvoir une expertise de pointe nationale dans le secteur des technologies. L’économie des données doit être construite de manière à permettre aux entreprises de prospérer, en garantissant la neutralité de l’accès aux données ainsi que la portabilité et l’interopérabilité des données, et en évitant les effets de verrouillage. Ces évolutions requièrent un cadre de réutilisation des données solide et plus cohérent, assorti d’un contrôle rigoureux des règles via l’intervention d’un organisme compétent autorisant ou refusant les accès et les réutilisation des données détenues par les organismes du secteur public, car il importe de susciter la confiance citoyenne qui permettra à l’économie numérique et à la recherche scientifique de se développer. C’est pourquoi le règlement (UE) 2022/868 sur la gouvernance des données a pour objectif d’instaurer la confiance entre les citoyens et les acteurs impliqués dans l’accès et la réutilisation des données, en particulier en concevant des mécanismes appropriés permettant le respect des droits individuels dans le contexte de l’accès et de la réutilisation des données à caractère personnel et à caractère non personnel détenues par les organismes du secteur public. Le règlement (UE) 2022/868 – dont la mise en œuvre relève, depuis l’arrêté grand-ducal du 27 novembre 2023 portant approbation et publication du règlement interne du Gouvernement, du ressort du Ministère de la Digitalisation – est applicable dès le 24 septembre
8. Comme il s’agit d’un règlement européen d’application directe, c’est le règlement (UE) 2022/868 qui déterminera la majorité des dispositions de fond, en particulier pour les aspects de l’intermédiation des données (chapitre III) et de l’altruisme des données (chapitre IV). Cependant, il convient de préciser au niveau national les conditions applicables à l’accès et à la réutilisation des données détenues par les organismes du secteur public (chapitre II). Ces conditions doivent être non discriminatoires, transparentes, proportionnées et objectivement justifiées en ce qui concerne les catégories de données et les finalités de la réutilisation, ainsi que la nature des données pour lesquelles la réutilisation est autorisée. Le projet de loi sous rubrique, qui doit se lire conjointement avec le règlement (UE) 2022/868, complète ainsi ce cadre européen par les dispositions nationales qui s’imposent, en particulier la désignation des organismes compétents, la procédure à suivre pour l’octroi des autorisations d’accès et de réutilisation des données, et les conditions applicables à l’accès et à la réutilisation des données. Pour des raisons d’économie budgétaire et de gestion efficace des finances publiques, le Commissariat du gouvernement à la protection des données auprès de l’État est désigné comme organisme 32 compétent pour octroyer ou refuser les accès et les réutilisations des données détenues par les organismes du secteur public. En cette qualité, et vu sa longue expérience en tant que structure spécialisée dans le conseil en matière de traitement et de réutilisation de données, il agira comme Autorité des données centralisée conformément au règlement (UE) 2022/
9. En effet, il s’avère excessif de recruter un spécialiste disposant des connaissances et de l’expérience pratique afférente auprès de chacune des plus d’une centaine d’entités étatiques, de chacune des plus d’une centaine de communes luxembourgeoises ainsi qu’auprès de tous les autres organismes de droit public relevant du champ d’application du règlement (UE) 2022/
10. De ce fait, il ne reviendrait pas à chaque organisme du secteur public individuellement, mais à l’Autorité des données agissant comme organe central, de veiller au respect des conditions liées à la réutilisation des données. En cette fonction, l’Autorité des données a pour vocation de veiller à une application cohérente de la loi et de mettre à disposition de toutes les entités publiques son expertise juridique dans cette matière complexe à laquelle les administrés sont de plus en plus attentifs au vu des progrès rapides des technologies numériques. Le Centre des technologies de l’information de l’État et le « Luxembourg National Data Service » sont désignés organismes compétents conformément au règlement (UE) 2022/868 pour aider l’Autorité des données dans l’exercice des missions d’octroyer et de refuser les accès et les réutilisations. En outre, ils ont pour mission de mettre en œuvre les mesures imposées par le règlement (UE) 2022/868 et la loi. Pour éviter d’éventuels conflits d’intérêts et pour maintenir la confiance des citoyens dans une gestion prudente de leurs données par les acteurs publics, la loi prévoit la possibilité pour le Centre des technologies de l’information de l’État de recourir aux services d’un tiers de confiance. En complément du règlement (UE) 2022/868, et afin de faciliter la mise en œuvre de traitements ultérieurs de données dans le secteur public, le projet de loi sous rubrique prévoit des dispositions spécifiques visant la mise en œuvre du règlement (UE) 2016/679, notamment du chapitre IX. Ainsi, il énonce les finalités pour lesquelles le traitement ultérieur de données à caractère personnel est autorisé, sous réserve du respect des conditions prévues par le projet de loi, et ce nonobstant leur compatibilité avec les finalités initiales du traitement de données à caractère personnel. Dans un objectif d’approche cohérente garantissant l’efficacité du processus décisionnel, la procédure applicable et la répartition des rôles de l’Autorité des données et des organismes compétents susmentionnés sont identiques à celles sous le régime visant la mise en œuvre du règlement (UE) 2022/
11. Dans un objectif de rendre plus rapides et plus efficaces les procédures pour les citoyens et les entreprises, le projet de loi instaure également le principe du « once only », qui constitue une priorité du Gouvernement, et selon lequel une personne fournit une seule fois des données aux autorités, au lieu de devoir le faire à plusieurs reprises. Le système proposé fera économiser beaucoup de temps, de ressources et d’argent à tous les acteurs concernés, qu’il s’agisse des citoyens et des entreprises ou de l’administration publique. Le système « once only » constitue ainsi une vraie mesure de simplification administrative qui permettra de diminuer les dépenses et favorisera une gestion plus efficace des ressources des entités publiques. Pour renforcer la sécurité juridique et pour assurer une gestion efficiente des données par les entités publiques dans le respect de la protection des données, le projet de loi sous rubrique explicite, à 33 l’instar des dispositions du « Bundesdatenschutzgesetz », la lecture quasi unanime du fondement de licéité prévu par l’article 6, paragraphes 1, point e) et 3 du règlement (UE) 2016/679, des traitements de données opérés par les entités publiques en lien avec l’exécution des missions d’intérêt public ou relevant de l’exercice de l’autorité publique leurs conférées par les dispositions applicables. Toutes les propositions ont été élaborées en concertation étroite avec les acteurs concernés. * 34 COMMENTAIRE DES ARTICLES Titre Ier – Dispositions préliminaires Ad article 1er Cette disposition précise l’objet de la loi. Il énonce les différents titres prévus par la loi. Le point 1° précise l’objet du titre II de la loi. La loi vise à renforcer la sécurité juridique en complétant le cadre législatif national concernant le traitement de données à caractère personnel en introduisant en droit luxembourgeois des précisions quant aux traitements de données à caractère personnel effectués par les entités publiques dans le cadre de l’exécution de leurs missions d’intérêts public ou relevant de l’autorité publique dont elles sont investies. L’article 1, paragraphe 1er, point 1° est sans préjudice des bases de licéité prévues aux articles 6 et 9 du règlement (UE) 2016/679, telles que le traitement de données à caractère personnel qui est nécessaire à l’exécution d’un contrat. Le point 2° renvoie au titre IV, qui instaure le principe du « once only ». Le point 3° énonce l’objet du titre V de la loi, qui règle le traitement ultérieur de données à caractère personnel mis en œuvre par les entités publiques pour les finalités que la loi autorise. Le point 4° renvoie au titre VI qui met en œuvre le règlement (UE) 2022/868 en prévoyant un cadre spécifique à la réutilisation de certaines catégories de données protégées détenues par des organismes du secteur public. La loi contient aussi des précisions relatives aux services d’intermédiation de données et à l’altruisme en matière de données (points 5° et 6°). En revanche, la loi s’applique sans préjudice des dispositions plus spécifiques relatives au traitement de données à caractère personnel. De ce fait, les traitements de données à caractère personnel opérés sur base d’un autre fondement de licéité prévu par le règlement (UE) 2016/679, notamment parce qu’ils sont prévus par une disposition légale, restent possibles. A titre d’exemple, l’Inspection générale de la sécurité sociale est tenue de réaliser des analyses et des études à des fins d’évaluation et de planification des régimes de protection sociale et de recueillir à ces fins les données auxquelles elle a accès en vertu des dispositions légales et réglementaires en vigueur, de les centraliser, de les traiter et de les gérer sous forme pseudonymisée (article 423, point 4° du Code de la sécurité sociale). Encore peut-on citer, à titre d’illustration des traitements de données à caractère personnel qui restent intouchés par les dispositions de la présente loi, les traitements de données nécessaires à l’exécution des missions conférées à l’Observatoire national de la Santé par la loi du 2 mars 2021 portant création d’un Observatoire national de la santé ou ceux relatifs à la gestion et à la tenue du registre national des personnes physiques opérés par le Centre des technologies de l’information de l’État, sous l’autorité du ministre ayant le Centre dans ses attributions. 35 Dans ce contexte, il échet également de noter que la loi s’applique sans préjudice de la possibilité d’effectuer des traitements ultérieurs de données à caractère personnel effectué dans le respect du principe de compatibilité des finalités prévu à l’article 5, paragraphe 1er, point b) du règlement (UE) 2016/679, lu en combinaison avec l’article 6, paragraphe 4 du même règlement. Par ailleurs, les dispositions de la loi n’ont pas vocation à remplacer la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public, ni à remplacer la loi modifiée du 14 septembre 2018 relative à une administration transparente et ouverte, ou de porter préjudice aux dispositions sectorielles, telles que la loi du 17 août 2018 relative à l’archivage. Ad article 2 Cet article définit les notions employées dans la loi. A moins que disposées autrement, les définitions prévues par le règlement (UE) 2022/868 et le règlement (UE) 2016/679 s’appliquent à la loi. L’article prévoit, pour des raisons de sécurité juridique, une définition en droit interne du terme « anonymisation ». La définition repose sur le texte du considérant

(26)du règlement (UE) 2016/679 et s’inspire des enseignements des autorités de protection des données nationales et européennes. Elle tient compte de la neutralité technologique. La notion d’« entité publique » a été insérée expressément pour énumérer les entités concernées par les dispositions du titre IV relatif à l’échange d’informations et de données à caractère personnel entre entités publiques (« once only »), d’une part, et du titre V relatif au traitement ultérieur de données à caractère personnel par les entités publiques à des fins autorisées par la loi, d’autre part. A l’instar des dispositions de l’article 2 du règlement (UE) 2016/679 et de l’article 1er de la directive (UE) 2016/6801 transposée en droit luxembourgeois par la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, la définition exclut les autorités compétentes en matière pénale ainsi qu’en matière de sécurité nationale de son champ d’application et, de ce fait, du champ d’application des titres IV et V de la loi. A la lumière des dispositions de l’article 5 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, réglementant le champ de compétence de la CNPD, sont également exclues du champ d’application les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif, lorsqu’elles effectuent un traitement de données à caractère personnel dans l’exercice de leurs fonctions juridictionnelles. La notion d’« entité publique » est partant volontairement distincte de la notion d’organisme du secteur public visée par les dispositions du règlement (UE) 2022/868. Elle permet de limiter avec précision le champ d’application des échanges d’informations et de données à caractère personnel dans le cadre du principe « once only » aux Ministères, y compris leurs services, administrations et aux 1 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil. 36 communes luxembourgeoises. Sont également visés par la notion d’entité publique, les établissements publics luxembourgeois, les groupements d’intérêts économiques ainsi que les personnes morales d’utilité publique, telles que les fondations et associations sans but lucratif, notamment les hôpitaux au sens de la loi modifiée du 8 mars 2018 relative aux établissements hospitaliers et à la planification hospitalière, qui sont listés expressément par règlement grand-ducal aux fins d’application du titre IV et/ou du titre V. Pour des raisons de sécurité juridique et d’application des dispositions relatives au traitement ultérieur et à la réutilisation des données, la loi précise la notion de « tiers de confiance ». Titre II – Traitement de données à caractère personnel par les entités publiques nécessaire à l’exécution des missions d’intérêt public ou relevant de l’exercice de l’autorité publique Ad article 3 L’objectif du présent article est de renforcer la sécurité juridique en matière de traitement de données à caractère personnel par les entités publiques dans le cadre de l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies. Il reprend en droit national le cas d’ouverture pour le traitement de données à caractère personnel prévu à l’article 6, paragraphe 1er, point

1. e)du règlement (UE) 2016/679, à l’instar du « Bundesdatenschutzgesetz » allemand dont l’article 3 dispose : « Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist » Conformément à l’article 6, paragraphe 1er, point
2. e)du règlement (UE) 2016/679, cette disposition autorise les entités publiques à traiter les données à caractère personnel dès lors que leur traitement est nécessaire aux fins de l’exécution de leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies par une disposition de droit de l’Union européenne ou de droit luxembourgeois, par opposition à l’article 6, paragraphe 1er, point
3. c)du même règlement qui concerne l’obligation de traiter certaines données à caractère personnel. La distinction entre ces deux bases de licéité prévues à l’article 6, paragraphe 1er du règlement (UE) 2016/679 peut paraître fine, mais elle est importante. Ainsi, si l’obligation légale de traiter des données à caractère personnel prévue à l’article 6, paragraphe 1er, point
4. c)du règlement (UE) 2016/679 nécessite un fondement en droit interne ou européen qui définit les finalités du traitement, il suffit, d’après l’article 6, paragraphe 3 du règlement (UE) 2016/679 que le traitement de données à caractère personnel prévu à l’article 6, paragraphe 1er, point
5. e)du règlement (UE) 2016/679 soit nécessaire à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ». Dans ce second cas de figure, la définition des finalités dans un texte spécifique n’est pas requise. 37 Comme souligné par la Commission nationale de l’informatique et des libertés française (CNIL), « comme pour toute autorité publique, la mission d’intérêt public peut donc fonder des traitements de données de nature diverse, dès lors qu’ils sont mis en œuvre aux fins du bon exercice des missions légales qui incombent à ces autorités et dans des conditions qui n’excèdent pas ce qui est nécessaire au regard de cet objectif ». Ainsi, le fait pour une administration de pouvoir démontrer qu’elle a reçu dans ses prérogatives des missions spécifiques nécessitant la collecte de certaines données à caractère personnel auprès de personnes concernées pour atteindre les finalités de ces missions suffit pour légitimer la collecte et le traitement de ces données. Cette lecture s’impose également à la lumière du considérant

(45)du règlement (UE) 2016/679 qui confirme le caractère facultatif des spécifications pouvant, selon l’article 6, paragraphe 2 du règlement (UE) 2016/679, être introduites en droit interne (« pourrait préciser »). De ce fait, le principe même que les entités publiques sont en droit de traiter des données à caractère personnel « nécessaires » à l’accomplissement de leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies, et ce sans devoir recourir à une autre base légale spécifique au traitement de données, découle de l’article 6, paragraphe 1er, point

1. e)du règlement (UE) 2016/679. La Cour de Justice de l’Union européenne a récemment confirmé cette lecture dans l’arrêt C‑175/20 « Valsts ieņēmumu dienests » du 24 février 2022. Dans le cadre d’une demande de communication de données émanant de l’administration fiscale à l’adresse d’un prestataire de services d’annonces, qui énonçait clairement les finalités, la Cour a décidé : « 69. Pourvu que les finalités ainsi énoncées dans ladite demande soient nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investie l’administration fiscale, cette circonstance suffit, ainsi qu’il découle de l’article 6, paragraphe 1, premier alinéa, initio et sous e), du règlement 2016/679, lu conjointement avec l’article 6, paragraphe 3, second alinéa, de ce règlement, pour que lesdits traitements satisfassent également à l’exigence de licéité rappelée au point 66 du présent arrêt. 70. À cet égard, il convient de rappeler que la perception de l’impôt et la lutte contre la fraude fiscale doivent être considérées comme étant des missions d’intérêt public, au sens de l’article 6, paragraphe 1, premier alinéa, sous e), du règlement 2016/679 (voir, par analogie, arrêt du 27 septembre 2017, Puškár, C‑73/16, EU :C :2017 :725, point 108). 71. Il s’ensuit que, dans un cas où la communication des données à caractère personnel en cause n’est pas directement fondée sur la disposition légale qui en constitue le fondement, mais résulte d’une demande de l’autorité publique compétente, il est nécessaire que cette demande précise quelles sont les finalités spécifiques de cette collecte de données au regard de la mission d’intérêt public ou de l’exercice de l’autorité publique, afin de permettre au destinataire de ladite demande de s’assurer que la transmission des données à caractère personnel en cause est licite et aux juridictions nationales d’opérer un contrôle de la légalité des traitements concernés ». 38 Cette lecture de la suffisance de la nécessité du traitement de données pour l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique est également partagée par nos pays voisins. Aux Pays-Bas, les restrictions au principe constitutionnel du droit à la vie privée doivent être prévues par la loi (article 10 de la Constitution néerlandaise). Cependant, il est constant en droit néerlandais que le règlement (UE) 2016/679 réponde aux exigences constitutionnelles et constitue de ce fait une base suffisante permettant une restriction au droit à la vie privée2. En Belgique, la pratique décisionnelle va dans le même sens. Ainsi, l’Autorité de protection des données belge estime que l’existence d’une mission d’intérêt public ou d’une autorité publique attribuée à l’entité publique suffit, au sens de l’article 6, paragraphe 1er, point
2. e)du règlement (UE) 2016/679, lu en combinaison avec l’article 6, paragraphe 3 dudit règlement, pour justifier une restriction au principe constitutionnel de la protection de la vie privée. En d’autres termes, l’Autorité de protection des données belge paraît se limiter à vérifier uniquement si la mission d’intérêt public ou l’autorité publique au sens de l’article 6, paragraphe 1er, point
3. e)du règlement (UE) 2016/679 existe en application du droit interne belge. En revanche, elle ne requiert pas qu’une base légale détaille tous les éléments essentiels du traitement de données à caractère personnel3. Le Conseil d’État luxembourgeois paraît retenir une position similaire. Dans cet ordre d’idées, il a précisé dans son avis par rapport au projet de loi qui a donné lieu à la loi du 1er août 2018 portant 2 « Verschillende van deze aspecten hebben een specifieke grondwettelijke garantie in artikel 10, tweede en derde lid, in artikel 11, in artikel 12 en artikel 13. In artikel 10, tweede en derde lid, zijn twee opdrachten aan de wetgever opgenomen. In de eerste plaats dient de wet regels te stellen ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken van persoonsgegevens. In de tweede plaats moet de wet regels stellen voor het inzagerecht en voor het recht op verbetering van onjuiste persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) voorziet materieel grotendeels in de regelgeving waartoe artikel 10, tweede en derde lid, van de Grondwet opdraagt. », traduction libre : « Plusieurs de ces aspects font l'objet de garanties constitutionnelles spécifiques dans les articles 10, paragraphes 2 et 3, 11, 12 et 13. L'article 10, paragraphes 2 et 3, contient deux mandats pour le législateur. Premièrement, la loi doit fixer des règles pour protéger la vie privée dans le cadre de l'enregistrement et de la fourniture de données à caractère personnel. Deuxièmement, la loi doit fixer des règles relatives au droit de regard et au droit de rectification des données à caractère personnel inexactes. Le règlement général sur la protection des données (RGPD) prévoit en grande partie la réglementation requise par l'article 10, paragraphes 2 et 3, de la Constitution. » 3 Autorité de protection des données belge, décision quant au fond no. 149/2022 du 18 octobre 2022, DOS-2021-06293 et DOS-2021-06884 : « 30. Conformément au considérant 41 du RGPD, cette base juridique ou mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l’Union européenne et de la CEDH. Dans l'arrêt Rotaru3, la CEDH a défini plus précisément la notion de prévisibilité de la base juridique. Cette affaire ayant trait aux systèmes de surveillance de l'appareil sécuritaire d'un état, son contexte diffère de la présente affaire. Dans d'autres affaires, la CEDH a en effet indiqué qu'elle pouvait s’inspirer de ces principes, mais elle estime que ces critères, établis et suivis dans le contexte spécifique de cette affaire concrète, ne sont donc pas applicables en tant que tels à toutes les affaires4. […] 37. À cet égard, la Chambre Contentieuse a déjà souligné dans sa décision 124/2021 du 10 novembre 2021 que les missions d'intérêt public ou relevant de l’exercice de l’'autorité publique dont sont investis les responsables de traitement ne sont souvent pas basées sur des obligations ou des normes législatives circonscrites avec précision répondant aux exigences mentionnées aux points 29 e.s. Les traitements ont plutôt lieu sur la base d'une autorisation d'agir plus générale, tel que c’est nécessaire pour l’accomplissement de la mission, comme c'est le cas en l'espèce. Il en résulte que, dans la pratique, la base légale en question ne contient souvent aucune disposition décrivant concrètement les traitements de données nécessaires. Les responsables du traitement qui souhaitent invoquer l'article 6, paragraphe 1, e), du RGPD sur la base d’une telle base légale doivent effectuer eux-mêmes une pondération entre la nécessité du traitement pour la mission d'intérêt public et les intérêts des personnes concernées. » (mise en évidence ajoutée). 4 Conseil d’ État, avis du 30 mars 2018, Projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Voir également M. Besch, Normes et légistique en droit public luxembourgeois, Larcier, 2019, 469 et s. 39 organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données : « Le Conseil d’État voudrait ajouter deux observations concernant les implications de l’adoption de la loi sous examen. La première est relative à la pratique actuelle d’insérer dans les lois organiques des différentes administrations ou dans d’autres lois du secteur public des dispositions particulières sur le traitement des données à caractère personnel. Aux termes de l’article 6 du règlement, la licéité du traitement dans le secteur public est vérifiée si le traitement est nécessaire au respect d’une obligation légale ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. Dans cette logique, il ne s’impose pas de donner à chaque traitement de données une base spécifique légale ou réglementaire. »4 Cette lecture conforme aux dispositions de l’article 6, paragraphe 1er, point
4. e)et paragraphe 3 du règlement (UE) 2016/679, telles qu’interprétées par la Cour de Justice européenne (voir supra), reste à ce jour admissible aux termes de l’article 31 de la Constitution, en particulier au regard du principe de primauté du droit de l’Union européenne rappelé récemment par la Cour de Justice de l’Union européenne dans une affaire liée à l’interprétation du règlement (UE) 2016/6795. Pour renforcer la sécurité juridique et pour expliciter la lecture quasi unanime du fondement de licéité des traitements de données opérés par les entités publiques en lien avec l’exécution des missions d’intérêt public ou avec l’exercice de l’autorité publique leurs conférées par les dispositions applicables, il paraît (et à l’instar des dispositions du « Bundesdatenschutzgesetz ») opportun d’adopter explicitement, en droit luxembourgeois, le principe prévu par l’article 6, paragraphes 1er, point
5. e)et 3 du règlement (UE) 2016/679. Ainsi, le fait pour une entité publique de pouvoir démontrer le respect de la double condition : premièrement qu’elle soit investie d’une mission d’intérêt public ou qui relève de l’exercice de l’autorité publique6 dont elle est investie et, deuxièmement, que le traitement de données à caractère personnel soit « nécessaire » pour réaliser cette mission, suffit à légitimer la collecte et le traitement des données en question. A titre illustratif, les missions des centres de recherche publics instaurés par la loi du 3 décembre 2014 ayant pour objet l’organisation des centres de recherche publics sont clairement énoncées en son article 47. Outre les missions générales, des missions spécifiques à chaque centre de recherche sont 4 Conseil d’ État, avis du 30 mars 2018, Projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Voir également M. Besch, Normes et légistique en droit public luxembourgeois, Larcier, 2019, 469 et s. 5 CJUE, affaire C‑33/22, Österreichische Datenschutzbehörde, arrêt du 16 janvier 2024, point 70 : « En outre, il importe de rappeler que le fait pour un État membre d’invoquer des dispositions de droit national ne saurait porter atteinte à l’unité et à l’efficacité du droit de l’Union. En effet, les effets s’attachant au principe de primauté du droit de l’Union s’imposent à l’ensemble des organes d’un État membre, sans, notamment, que les dispositions internes, y compris d’ordre constitutionnel, puissent y faire obstacle [arrêt du 22 février 2022, RS (Effet des arrêts d’une cour constitutionnelle), C‑430/21, EU:C:2022:99, point 51 et jurisprudence citée] ». 6 Dans ce contexte, il suffit que le fondement juridique conférant une mission d’intérêt public à une entité publique respecte le principe de la hiérarchie de normes. En effet, rien n’empêche notamment que la mission d’intérêt public à exécuter par une commune luxembourgeoise soit prévue par un règlement communal adopté conformément aux dispositions de la loi communale du 13 décembre 1988, tel qu’il est notamment le cas en matière de stationnement payant ou de gestion des déchets. 7 L’article 4 de la loi du 3 décembre 2014 ayant pour objet l'organisation des centres de recherche publics dispose ce qui suit : «

(1)Les centres de recherche publics ont pour missions générales : 40 listées explicitement dans le texte. De ce fait, si les traitements de données à caractère personnel opérés par les centres de recherche publics sont « nécessaires » pour réaliser lesdites missions, cela suffit pour légitimer les traitements de données en question. En revanche, il n’est pas requis qu’une loi nationale spécifique énumère chaque projet de recherche séparément et liste pour chacun d’entre eux les données à col