Loi – valorisation des données dans un environnement de confiance

Projet de loi relatif à la valorisation des données dans un environnement de confiance 1 Projet de loi

TITRE Ier – Dispositions préliminaires

Art. 1Objet

1° le traitement de données à caractère personnel par les entités publiques dans le cadre de l’exécution des missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies, agissant en leur qualité de responsable du traitement ;

2° l’échange d’informations et de données à caractère personnel obtenues par une entité publique auprès d'une autre entité publique dans le cadre du traitement d’une demande ou d’une déclaration d’un administré, ou pour informer l’administré sur ses droits au bénéfice éventuel d'une prestation ou d'un avantage prévus par des dispositions législatives ou réglementaires et pour pouvoir lui attribuer éventuellement lesdits prestations ou avantages ;

3° le traitement ultérieur de données à caractère personnel par les entités publiques pour les finalités déterminées dans la présente loi ;

4° l’accès et la réutilisation de certaines catégories de données collectées par les organismes du secteur public, en application du chapitre II du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données), désigné ci-après par le terme « règlement (UE) 2022/868 » ;

5° la fourniture de services d’intermédiation de données, en application du chapitre III du règlement (UE) 2022/868 ; et 6° la mise à disposition de données à des fins altruistes, en application du chapitre IV du règlement (UE) 2022/868.

Art. 2Définitions

1° « anonymisation » : le processus consistant à rendre anonymes des données à caractère personnel de telle sorte que la personne concernée à laquelle celles-ci se rapportent ne soit pas ou plus identifiée ou identifiable, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour identifier la personne physique directement ou indirectement ;

2° « entité publique » : un Ministère, y compris ses services, une administration ou une commune luxembourgeoise, ainsi que les établissements publics luxembourgeois, les groupements d’intérêt économique et les personnes morales d’utilité publique listés expressément par règlement grand-ducal aux fins d’application des dispositions des titres IV et V. Toutefois, ne sont pas considérées comme entité publique aux fins d’application de la présente loi :

3° « tiers de confiance » : toute entité fonctionnellement indépendante des entités publiques visées au titre V, des organismes du secteur public détenant les données et du réutilisateur de données visés au titre VI, qui remplit les conditions prévues à l’article 6.

TITRE II – Traitement de données à caractère personnel par les entités publiques nécessaire à

l’exécution de la mission d’intérêt public ou relevant de l’exercice de l’autorité publique

Art. 3Licéité du traitement de données à caractère personnel par les entités publiques nécessaire

à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique Les entités publiques sont habilitées à traiter les données à caractère personnel nécessaires aux fins relevant de l’exécution de leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies par une disposition de droit de l’Union européenne ou de droit national applicable.

TITRE III – Acteurs compétents en matière de traitement ultérieur de données à caractère

personnel et d’accès et de réutilisation de données

Art. 4Autorité des données

3

Art. 5Assistance technique

4

Art. 6Tiers de confiance

Art. 7Point d’information unique

7

Art. 8Conseil consultatif de la valorisation des données dans un environnement de confiance

1° de fonctionner comme organe consultatif de l’Autorité des données ;

2° de soumettre un avis motivé dans les cas où ce dernier est sollicité conformément aux dispositions de la présente loi ;

3° de se prononcer sur toute question en matière de traitement ultérieur de données à caractère personnel et d’accès et de réutilisation de données qui lui est soumise par le ministre ayant le Commissariat du Gouvernement à la protection des données auprès de l’État dans ses attributions ;

4° de promouvoir l’accès et la réutilisation des données visés au titre VI.

TITRE IV – Informations et données à caractère personnel obtenues par les entités publiques

auprès d’une autre entité publique (« once only »)

Art. 9Obligation du « once only »

Elles échangent entre elles les informations ou les données à caractère personnel nécessaires pour pouvoir informer les administrés sur leur droit au bénéfice éventuel d’une prestation ou d’un avantage prévus par des dispositions législatives ou réglementaires et pour pouvoir leur attribuer éventuellement lesdits prestations ou avantages.

Art. 10Certification de l’exactitude des informations et données à caractère personnel

Art. 11Conditions applicables au « once only »

9 L’obligation prévue à l’alinéa qui précède s’applique également dans les cas où l’entité publique se procure des informations ou des données à caractère personnel auprès d’autres entités publiques pour informer les administrés sur leurs droits au bénéfice éventuel d’une prestation ou d’un avantage prévus par des dispositions législatives ou réglementaires et pour pouvoir leur attribuer éventuellement lesdits prestations ou avantages.

Pour les cas visés à l’article 9, paragraphe 2, alinéa 2, au plus tard au moment de la première communication individuelle avec l’administré, celui-ci est avisé de son droit de s’opposer à la poursuite du traitement des données à caractère personnel. En cas d’opposition exprimée par l’administré de poursuivre le traitement, les informations et les données à caractère personnel obtenues à la suite de cet échange sont détruites sans délai.

Dans les cas visés à l’alinéa qui précède, l’entité publique chargée du traitement de la demande ou de la déclaration et l’entité publique détentrice des informations et données à caractère personnel remédient dans les meilleurs délais à l’impossibilité d’échanger les informations et les données à caractère personnel en question.

Art. 12Recensement des informations et des données à caractère personnel disponibles auprès

d’une autre entité publique

10

Dans un délai d’un mois à partir de la notification visée à l’alinéa qui précède, les entités publiques notifiées :

Une copie de l’information visée aux points a) et b) du présent paragraphe est transmise au ministre ayant la digitalisation dans ses attributions.

Art. 13Protocole « once only »

Le protocole contient, au moins, les éléments suivants :

1° les coordonnées des entités publiques d’où proviennent les informations et les données à caractère personnel et des entités publiques destinataires des informations et les données à caractère personnel ;

2° une description détaillée du contexte du traitement des informations et des données à caractère personnel ainsi que les motifs pour lesquels les informations et les données à caractère personnel sont nécessaires pour le respect des obligations prévues à l’article 9 ;

3° une description détaillée des catégories d’informations et de données à caractère personnel visées par l’échange à l’entité publique destinataire ;

4° une description détaillée des catégories de personnes concernées ;

5° une description détaillée des finalités du traitement ;

6° le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers et les pays tiers à destination desquels des transferts de données à caractère personnel sont envisagés ainsi que l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679 ;

7° les motifs pour lesquels les données à caractère personnel sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies.

11

Les entités publiques informent sans délai l’Autorité des données lorsqu’un protocole n’est plus applicable. L’Autorité des données maintient la publication des protocoles pendant une durée de deux ans à partir de la réception de l’information visée au présent alinéa. Pendant cette période, elle indique que le protocole n’est plus applicable.

Art. 14Identification des sources authentiques d’informations et de données à caractère personnel

TITRE V – Traitement ultérieur de données à caractère personnel par les entités publiques

Section I – Dispositions générales

Art. 15Finalités du traitement ultérieur autorisées et licéité du traitement

1° les conditions énoncées au présent titre sont remplies ; et 2° que le traitement des données à caractère personnel est effectué exclusivement pour une ou plusieurs des finalités suivantes :

12

Art. 16Conditions d’anonymisation et de pseudonymisation des données à caractère personnel

Elles renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

Sans préjudice du paragraphe 3, il est interdit aux entités publiques effectuant le traitement ultérieur de données à caractère personnel de rétablir l’identité de toute personne concernée à laquelle se rapportent les données à caractère personnel. Les entités publiques prennent des mesures techniques et opérationnelles pour empêcher toute réidentification.

Section II – Traitement ultérieur de données à caractère personnel par la même entité publique

Art. 17Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel

par la même entité publique

13

Section III – Traitement ultérieur de données à caractère personnel par une autre entité publique

ou par plusieurs entités publiques

Art. 18Conditions spécifiques applicables au traitement ultérieur de données à caractère personnel

par une autre entité publique ou par plusieurs entités publiques

1° l’entité publique qui détient les données à caractère personnel :

2° le traitement ultérieur de données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard des finalités poursuivies ;

3° les données à caractère personnel sont anonymisées préalablement au traitement ultérieur des données à caractère personnel, ou lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, si :

Le Conseil consultatif émet un avis quant à la demande de partage dans un délai de trois semaines.

L’avis du Conseil consultatif est communiqué à l’entité publique qui sollicite le partage ainsi qu’à l’entité publique détenant les données à caractère personnel, qui est appelée à considérer à nouveau la demande de partage.

L’entité publique détenant les données à caractère personnel sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Elle transmet une copie de sa décision finale sans délai à l’entité publique qui sollicite le partage et au Conseil consultatif. L’absence de décision finale de l’entité publique détenant les données à caractère personnel sollicitées dans le délai imparti vaut refus.

En cas d’accord, l’entité publique détentrice des données à caractère personnel contresigne la demande visée à l’article 27.

14

TITRE VI – Accès et réutilisation des données détenues par des organismes du secteur public par

des réutilisateurs de données

Section I – Dispositions générales

Art. 19Catégories de données protégées disponibles à l’accès et à la réutilisation

1° de confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise ;

2° de secret statistique ;

3° de protection des droits de propriété intellectuelle de tiers ; ou 4° de protection des données à caractère personnel, dans la mesure où de telles données ne relèvent pas du champ d’application de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public.

1° aux données énoncées à l’article 3, paragraphe 2, du règlement (UE) 2022/868 ;

2° aux cas visés par les autres titres de la présente loi.

Art. 20Finalités d’accès et réutilisation des données autorisées

L’accès et la réutilisation des données par des réutilisateurs de données sont autorisés si :

1° les conditions énoncées à la section II du présent titre sont remplies ; et 2° l’accès et la réutilisation des données est effectué exclusivement pour une ou plusieurs des finalités suivantes :

15

Art. 21Conditions d’anonymisation, de pseudonymisation et de méthodes de contrôle de

divulgation des données

Ils renseignent les motifs pour lesquels les données doivent être protégées dans le plan de confidentialité prévu à l’article 35 et indiquent sur quelles parties des informations porte cette protection.

Il est interdit aux réutilisateurs de données de rétablir l’identité de toute personne concernée à laquelle se rapportent les données. Les réutilisateurs de données prennent les mesures techniques et opérationnelles nécessaires pour empêcher toute réidentification.

Section II – Conditions applicables à la réutilisation de données à caractère personnel

Art. 22L’accès et la réutilisation de données à caractère personnel par des réutilisateurs de données

1° l’Autorité des données autorise l’accès et la réutilisation conformément à l’article 31 ;

2° l’organisme du secteur public qui détient les données :

3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ;

4° les données à caractère personnel sont anonymisées ou pseudonymisées préalablement à leur accès et à leur réutilisation ;

5° l’accès et la réutilisation des données à caractère personnel se font dans l’environnement de traitement sécurisé visé à l’article 36.

L’avis du Conseil consultatif est communiqué au réutilisateur de données et à l’organisme du secteur public détenant les données, qui est appelé à considérer à nouveau la demande d’accès et de réutilisation.

L’organisme du secteur public détenant les données sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Il transmet une copie de sa décision finale sans délai au réutilisateur de données et au Conseil consultatif. L’absence de décision finale de l’organisme du secteur public détenant les données sollicitées dans les délais impartis vaut refus.

En cas d’accord, l’organisme du secteur public détenant les données contresigne la demande visée à l’article 28.

Section III – Conditions applicables à la réutilisation de données à caractère non personnel

Art. 23L’accès et la réutilisation de données à caractère non personnel détenues par les organismes

du secteur public

1° l’Autorité des données autorise l’accès et la réutilisation conformément à l’article 31 ;

2° l’organisme du secteur public qui détient les données :

3° l’accès et la réutilisation ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1er, points 1° à 3°;

4° les données à caractère non personnel sont modifiées, agrégées, supprimées ou traitées selon toute autre méthode de contrôle de la divulgation préalablement à leurs accès et à leur réutilisation ;

5° l’accès et la réutilisation des données à caractère non personnel se font dans l’environnement de traitement sécurisé visé à l’article 36.

L’avis du Conseil consultatif est communiqué au réutilisateur de données et à l’organisme du secteur public détenant les données, qui est appelé à considérer à nouveau la demande d’accès et de réutilisation.

L’organisme du secteur public détenant les données sollicitées acte sa décision finale par écrit dans un délai de trois semaines. Il transmet une copie de sa décision finale sans délai au réutilisateur de données et au Conseil consultatif. L’absence de décision finale de l’organisme du secteur public détenant les données sollicitées dans les délais impartis vaut refus.

En cas d’accord, l’organisme du secteur public détenant les données contresigne la demande visée à l’article 28.

Section IV – Conditions applicables à la réutilisation d’ensembles contenant des données à

caractère personnel et des données à caractère non personnel

Art. 24Conditions applicables à la réutilisation d’ensembles mixtes de données détenus par les

organismes du secteur public Lorsque l’accès et la réutilisation portent sur un ensemble de données détenu par un organisme du secteur public qui contient des données à caractère personnel et des données à caractère non personnel, l’accès et la réutilisation sont soumis aux conditions énoncées aux articles 19 à 23.

18

TITRE VII – Modalités applicables au traitement ultérieur des données à caractère personnel par

les entités publiques et à l’accès et à la réutilisation de données par des réutilisateurs de données

Section I – Dispositions générales

Art. 25Champ d’application

Les dispositions du présent titre s’appliquent aux traitements ultérieurs de données à caractère personnel visés au titre V et aux accès et réutilisation de données prévus au titre VI, qui sont soumis à autorisation de l’Autorité des données.

Section II – Demande de traitement ultérieur ou d’accès et de réutilisation des données

Art. 26Forme de la demande de traitement ultérieur ou d’accès et de réutilisation des données

Art. 27Contenu de la demande de traitement ultérieur de données à caractère personnel

1° les coordonnées des entités publiques effectuant le traitement ultérieur des données à caractère personnel ;

2° les coordonnées des entités publiques détentrices des données à caractère personnel ;

3° une description détaillée du contexte du traitement de données à caractère personnel envisagé ;

4° une description détaillée des catégories de données à caractère personnel et des catégories de personnes concernées ;

5° la base de licéité du traitement ainsi qu’une description détaillée des finalités du traitement ;

6° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation et de pseudonymisation des données à caractère personnel, en particulier la justification du respect des conditions visées à l’article 16 ;

7° la durée du traitement de données à caractère personnel envisagée dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ;

8° les destinataires de données à caractère personnel et, le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ainsi que l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679 ;

9° les motifs pour lesquels le traitement ultérieur des données à caractère personnel ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ;

19 10° les motifs pour lesquels les données à caractère personnel sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ;

11° le cas échéant, une description détaillée des données à caractère personnel provenant de sources autres que les entités publiques effectuant le traitement ultérieur de données à caractère personnel et les entités publiques détenant les données à caractère personnel, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée ;

12° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ;

13° la signature de la demande par toutes les entités publiques visées au point 1° du présent paragraphe ;

14° pour les cas visés à l’article 18, paragraphe 1er, point 1°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 18, paragraphe 3 ;

15° pour les cas visés à l’article 18, paragraphe 1, point 1°, lettre b), la signature de la demande par toutes les entités publiques visées au point 2° du présent paragraphe.

1° si applicable, l’analyse d’impact relative à la protection des données à caractère personnel visée par l’article 35 du règlement (UE) 2016/679 ;

2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ;

3° le plan de confidentialité signé par toutes les parties visées à l’article 35, paragraphe 2 ;

4° l’attestation de faisabilité visée à l’article 35, paragraphe 3 émise par le Centre ;

5° si applicable, une copie de l’avis du Conseil consultatif visé à l’article 18, paragraphe 2.

Art. 28Contenu de la demande d’accès et de réutilisation de données

1° les coordonnées des réutilisateurs des données ;

2° les coordonnées des organismes du secteur public détenant les données ;

3° une description détaillée du contexte de l’accès et de la réutilisation des données ;

4° une description détaillée des données et des catégories de personnes visées par la demande ;

5° une description détaillée des mesures appropriées qui permettent d’apprécier le respect des exigences en matière d’anonymisation, de pseudonymisation et d’agrégation des données 20 visées à l’article 21, en particulier la justification du respect des conditions visées à l’article 21 ;

6° les motifs pour lesquels les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ;

7° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits protégés pour les motifs visés à l’article 19, paragraphe 1er ;

8° les destinataires de données ;

9° le cas échéant, une description détaillée des données provenant des réutilisateurs de données et/ou de détenteurs de données autres que les organismes du secteur public, dont l’introduction dans l’environnement de traitement sécurisé est sollicitée par le réutilisateur de données ;

10° la durée d’accès et de réutilisation des données dans l’environnement de traitement sécurisé visé à l’article 36 et, le cas échéant, la durée de conservation des données dans le système d’archivage intermédiaire du Centre, ainsi que la justification pour laquelle ces durées sont limitées à ce qui est nécessaire ;

11° le cas échéant, l’intention d’effectuer un transfert de données vers un pays tiers et les pays tiers à destination desquels des transferts de données sont envisagés ;

12° la signature de la demande par tous les réutilisateurs des données visés au point 1° du présent paragraphe ;

13° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre a) et à l’article 23, paragraphe (2) point 2°, lettre a), la preuve de l’inscription des données à caractère personnel sur la liste de ressources consultable tenue par le point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868 ;

14° pour les cas visés à l’article 22, paragraphe 2, point 2°, lettre b) et à l’article 23, paragraphe 2 point 2°, lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe.

1° la base de licéité du traitement de données à caractère personnel ainsi qu’une description détaillée des finalités du traitement de données à caractère personnel ;

2° les motifs pour lesquels l’accès et la réutilisation des données ne portent pas une atteinte disproportionnée aux droits et libertés de la personne concernée au regard de la finalité poursuivie ;

3° les obligations respectives des responsables du traitement aux fins d’assurer le respect des exigences du règlement (UE) 2016/679, notamment en ce qui concerne l’exercice des droits de la personne concernée ;

4° le cas échéant, l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence de garanties appropriées conformément au chapitre V du règlement (UE) 2016/679.

21

1° si applicable, l’analyse d’impact relative à la protection des données visée par l’article 35 du règlement (UE) 2016/679 ;

2° l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 ;

3° si applicable, une copie de l’avis du Conseil consultatif visé aux articles 22, paragraphe 3 et 23, paragraphe 2.

Section III – Instruction de la demande par l’Autorité des données

Art. 29Dépôt et procédure d’instruction de la demande

En cas de demande exceptionnellement détaillée et complexe, le délai de deux mois peut être prolongé de trente jours au maximum. L’Autorité des données informe le demandeur dès que possible de la nécessité du délai supplémentaire pour instruire la demande, ainsi que des raisons qui justifient ce délai.

Dans les cas où le délai d’instruction de la demande par l’Autorité des données excède la durée couverte par l’autorisation initiale adoptée par cette dernière, les données disponibles dans l’environnement de traitement sécurisé sont conservées dans un système d’archivage intermédiaire à accès restreint pendant le délai d’instruction de la demande par l’Autorité des données, et ce jusqu’à adoption de la décision finale.

Le système d’archivage intermédiaire et les systèmes informatiques par lesquels le traitement ultérieur des données à caractère personnel ou l’accès et la réutilisation des données sont opérés, doivent être aménagés de sorte que leur accès est sécurisé, moyennant une authentification forte, et que les informations relatives au gestionnaire du dossier ayant initié la requête, les informations demandées, la date et l’heure puissent être retracées.

22

En pareil cas, les délais visés aux paragraphes 2 et 3 sont suspendus à compter de la transmission de la demande de renseignements complémentaires, et ce jusqu’à réception par l’Autorité des données des renseignements sollicités. Faute de réponse du demandeur dans un délai d’un mois, la demande est rejetée d’office.

Art. 30Redevances

Pour chaque demande visée à l’article 28, une redevance est fixée par l’Autorité des données pour couvrir les frais administratifs occasionnés par le traitement de la demande et par la mise à disposition des données dans l’environnement de traitement sécurisé.

Un règlement grand-ducal détermine la procédure applicable à la perception de la redevance.

Art. 31Autorisation par l’Autorité des données

1° dans le cas où la demande vise l’accès et la réutilisation de données à caractère personnel, lorsque :

23 ii. lettre b), la signature de la demande par tous les organismes du secteur public visés au point 2° du présent paragraphe ;

2° dans les cas où la demande vise l’accès et la réutilisation de données à caractère non personnel, lorsque :

3° dans le cas où la demande vise l’accès et la réutilisation d’ensembles mixtes de données, les conditions prévues aux points 1° et 2° du présent paragraphe s’appliquent.

La demande de modification visée au présent paragraphe contient :

1° dans le cas visé au titre V :

24

2° dans le cas visé au titre VI :

Art. 32Contrôle par l’Autorité des données

25

Section IV – Publicité par l’Autorité des données

Art. 33Publicité des conditions d’accès et de réutilisation de données détenues par les organismes

du secteur public et procédure applicable Pour les cas visés au titre VI, l’Autorité des données rend publiques les conditions d’autorisation d’accès et de réutilisation de données détenues par les organismes du secteur public et la procédure prévue à la section III du présent titre par l’intermédiaire du point d’information unique.

Art. 34Publicité des autorisations adoptées par l’Autorité des données

Le registre contient pour chaque autorisation accordée par l’Autorité des données conformément au titre VII les informations suivantes :

1° une copie de la décision adoptée par l’Autorité des données conformément à l’article 31 ;

2° si applicable, l’avis du Conseil consultatif ;

3° dans le cas de données à caractère personnel, l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679, communiquée par le demandeur.

Section V – Mesures appropriées et mise à disposition des données dans un environnement de

traitement sécurisé

Art. 35Mesures appropriées

Ces mesures doivent être effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens raisonnablement 26 susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations.

La mise en œuvre des mesures visées au présent paragraphe doit être opérée de sorte que nul autre que l’entité publique ou l’organisme du secteur public duquel proviennent les données n’ait accès aux données dans un format non anonymisé, non pseudonymisé ou non agrégé.

L’évaluation est initiée, dans les cas visés au titre V, par les entités publiques effectuant le traitement ultérieur de données à caractère personnel et, dans les cas visés au titre VI, par les réutilisateurs de données. Elle est consignée dans un plan de confidentialité.

Le plan de confidentialité est préparé par les parties visées à l’alinéa qui précède. Il précise les conditions et les modalités, y compris les opérations et procédures de mise en œuvre, des mesures visées au paragraphe 1er.

Le projet de plan de confidentialité est amendé jusqu’à validation finale et signature commune par le Centre, ou par le tiers de confiance mandaté par le Centre, et :

Toutes les parties visées au présent paragraphe fournissent au Centre, ou au tiers de confiance mandaté par le Centre, et, dans les cas visés à l’article 5, paragraphe 3, point d) au LNDS, toute information nécessaire pour la mise en place du plan de confidentialité, qui les traitent pour les seules finalités visées au présent article ou à des fins de preuve. Le tiers de confiance et le Centre se concertent étroitement.

En signant le plan de confidentialité, le Centre, ou le tiers de confiance mandaté par le Centre, certifie que les mesures prévues au paragraphe 1er consignées dans le plan de confidentialité sont effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits d’autrui, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour réaliser la réidentification ou pour compromettre la confidentialité des informations.

L’attestation du Centre est jointe à la demande visée aux articles 27 et 28.

27

Art. 36Environnement de traitement sécurisé

L’environnement de traitement sécurisé respecte notamment les mesures de sécurité suivantes:

28

Pour établir la certification, le Centre, ou le tiers de confiance mandaté par le Centre, peut exiger une évaluation préalable, le cas échéant, sous forme d’audit, établie par un organisme spécialisé, à présenter, dans les cas visés au titre V, par les entités publiques effectuant le traitement de données à caractère personnel ou dans les cas visés au titre VI par les réutilisateurs de données.

Art. 37Responsabilité du traitement

Section VI – Recours

Art. 38Recours

Un recours contre les décisions de l’Autorité des données peut être exercé devant le Tribunal administratif qui statue comme juge du fond.

29

TITRE VIII – Gouvernance en matière de services d’intermédiation de données et d’altruisme des

données

Section I – Services d’intermédiation de données

Art. 39Autorité compétente

La Commission nationale pour la protection des données, désignée ci-après par le terme « CNPD », est l’autorité compétente pour effectuer les tâches liées à la procédure de notification pour les services d’intermédiation de données, telle que visée à l’article 13 du règlement (UE) 2022/868.

Art. 40Pouvoirs

Dans le cadre des tâches qui lui sont assignées à l’article 39, la CNPD dispose des pouvoirs de contrôle tels que prévus à l’article 14 du règlement (UE) 2022/868.

Art. 41Procédure

Un règlement interne de la CNPD définit la procédure en matière de notification pour les services d’intermédiation de données, conformément à l’article 11 du règlement (UE) 2022/868.

Art. 42Redevances

La CNPD peut imposer des redevances proportionnées et objectives pour la notification des services d’intermédiation, conformément à l’article 11, paragraphe 11, du règlement (UE) 2022/868. Un règlement de la CNPD détermine le montant et les modalités de paiement des redevances.

Art. 43Sanctions

1° à communiquer toute information demandée par la CNPD en vertu de l’article 14, paragraphe 2, du règlement (UE) 2022/868 ;

2° à respecter une demande de cessation prononcée en vertu de l’article 14, paragraphe 4, du règlement (UE) 2022/868.

30

Section II – Altruisme des données

Art. 44Autorité compétente

La CNPD est l’autorité compétente responsable du registre public national des organisations altruistes en matière de données reconnues, tel que visé à l’article 23 du règlement (UE) 2022/868.

La CNPD tient et met à jour régulièrement le registre public national des organisations altruistes en matière de données reconnues, conformément à l’article 17, paragraphe 1er, du règlement (UE) 2022/868.

Art. 45Pouvoirs

Dans le cadre des missions qui lui sont assignées à l’article 44, la CNPD dispose des pouvoirs de contrôle, tels que prévus à l’article 24 du règlement (UE) 2022/868.

Section III – Recours

Art. 46Recours

Un recours contre les décisions de la CNPD prises en application des sections I et II du présent titre est ouvert devant le Tribunal administratif qui statue comme juge du fond.

TITRE IX – Dispositions finales

Art. 47Intitulé de citation

La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant : « loi du […] relative à la valorisation des données dans un environnement de confiance ». * 31 EXPOSE DES MOTIFS L’évolution rapide des technologies numériques et la mondialisation ont, au cours des dernières années, transformé l’économie et la société, touchant tous les secteurs d’activité et la vie quotidienne.

Les données sont au cœur de cette transformation et l’innovation fondée sur celles-ci apportera des avantages considérables aussi bien aux citoyens qu’à l’économie, tout en favorisant les activités de recherche scientifique dans l’intérêt public.

Afin que l’économie et la recherche fondées sur les données soient inclusives à l’égard de tous les citoyens, il faut veiller tout particulièrement à réduire la fracture numérique et à promouvoir une expertise de pointe nationale dans le secteur des technologies. L’économie des données doit être construite de manière à permettre aux entreprises de prospérer, en garantissant la neutralité de l’accès aux données ainsi que la portabilité et l’interopérabilité des données, et en évitant les effets de verrouillage.

Ces évolutions requièrent un cadre de réutilisation des données solide et plus cohérent, assorti d’un contrôle rigoureux des règles via l’intervention d’un organisme compétent autorisant ou refusant les accès et les réutilisation des données détenues par les organismes du secteur public, car il importe de susciter la confiance citoyenne qui permettra à l’économie numérique et à la recherche scientifique de se développer.

C’est pourquoi le règlement (UE) 2022/868 sur la gouvernance des données a pour objectif d’instaurer la confiance entre les citoyens et les acteurs impliqués dans l’accès et la réutilisation des données, en particulier en concevant des mécanismes appropriés permettant le respect des droits individuels dans le contexte de l’accès et de la réutilisation des données à caractère personnel et à caractère non personnel détenues par les organismes du secteur public.

Le règlement (UE) 2022/868 – dont la mise en œuvre relève, depuis l’arrêté grand-ducal du 27 novembre 2023 portant approbation et publication du règlement interne du Gouvernement, du ressort du Ministère de la Digitalisation – est applicable dès le 24 septembre 2023.

Comme il s’agit d’un règlement européen d’application directe, c’est le règlement (UE) 2022/868 qui déterminera la majorité des dispositions de fond, en particulier pour les aspects de l’intermédiation des données (chapitre III) et de l’altruisme des données (chapitre IV). Cependant, il convient de préciser au niveau national les conditions applicables à l’accès et à la réutilisation des données détenues par les organismes du secteur public (chapitre II). Ces conditions doivent être non discriminatoires, transparentes, proportionnées et objectivement justifiées en ce qui concerne les catégories de données et les finalités de la réutilisation, ainsi que la nature des données pour lesquelles la réutilisation est autorisée.

Le projet de loi sous rubrique, qui doit se lire conjointement avec le règlement (UE) 2022/868, complète ainsi ce cadre européen par les dispositions nationales qui s’imposent, en particulier la désignation des organismes compétents, la procédure à suivre pour l’octroi des autorisations d’accès et de réutilisation des données, et les conditions applicables à l’accès et à la réutilisation des données.

Pour des raisons d’économie budgétaire et de gestion efficace des finances publiques, le Commissariat du gouvernement à la protection des données auprès de l’État est désigné comme organisme 32 compétent pour octroyer ou refuser les accès et les réutilisations des données détenues par les organismes du secteur public. En cette qualité, et vu sa longue expérience en tant que structure spécialisée dans le conseil en matière de traitement et de réutilisation de données, il agira comme Autorité des données centralisée conformément au règlement (UE) 2022/868.

En effet, il s’avère excessif de recruter un spécialiste disposant des connaissances et de l’expérience pratique afférente auprès de chacune des plus d’une centaine d’entités étatiques, de chacune des plus d’une centaine de communes luxembourgeoises ainsi qu’auprès de tous les autres organismes de droit public relevant du champ d’application du règlement (UE) 2022/868. De ce fait, il ne reviendrait pas à chaque organisme du secteur public individuellement, mais à l’Autorité des données agissant comme organe central, de veiller au respect des conditions liées à la réutilisation des données. En cette fonction, l’Autorité des données a pour vocation de veiller à une application cohérente de la loi et de mettre à disposition de toutes les entités publiques son expertise juridique dans cette matière complexe à laquelle les administrés sont de plus en plus attentifs au vu des progrès rapides des technologies numériques.

Le Centre des technologies de l’information de l’État et le « Luxembourg National Data Service » sont désignés organismes compétents conformément au règlement (UE) 2022/868 pour aider l’Autorité des données dans l’exercice des missions d’octroyer et de refuser les accès et les réutilisations. En outre, ils ont pour mission de mettre en œuvre les mesures imposées par le règlement (UE) 2022/868 et la loi.

Pour éviter d’éventuels conflits d’intérêts et pour maintenir la confiance des citoyens dans une gestion prudente de leurs données par les acteurs publics, la loi prévoit la possibilité pour le Centre des technologies de l’information de l’État de recourir aux services d’un tiers de confiance.

En complément du règlement (UE) 2022/868, et afin de faciliter la mise en œuvre de traitements ultérieurs de données dans le secteur public, le projet de loi sous rubrique prévoit des dispositions spécifiques visant la mise en œuvre du règlement (UE) 2016/679, notamment du chapitre IX. Ainsi, il énonce les finalités pour lesquelles le traitement ultérieur de données à caractère personnel est autorisé, sous réserve du respect des conditions prévues par le projet de loi, et ce nonobstant leur compatibilité avec les finalités initiales du traitement de données à caractère personnel. Dans un objectif d’approche cohérente garantissant l’efficacité du processus décisionnel, la procédure applicable et la répartition des rôles de l’Autorité des données et des organismes compétents susmentionnés sont identiques à celles sous le régime visant la mise en œuvre du règlement (UE) 2022/868.

Dans un objectif de rendre plus rapides et plus efficaces les procédures pour les citoyens et les entreprises, le projet de loi instaure également le principe du « once only », qui constitue une priorité du Gouvernement, et selon lequel une personne fournit une seule fois des données aux autorités, au lieu de devoir le faire à plusieurs reprises. Le système proposé fera économiser beaucoup de temps, de ressources et d’argent à tous les acteurs concernés, qu’il s’agisse des citoyens et des entreprises ou de l’administration publique. Le système « once only » constitue ainsi une vraie mesure de simplification administrative qui permettra de diminuer les dépenses et favorisera une gestion plus efficace des ressources des entités publiques.

Pour renforcer la sécurité juridique et pour assurer une gestion efficiente des données par les entités publiques dans le respect de la protection des données, le projet de loi sous rubrique explicite, à 33 l’instar des dispositions du « Bundesdatenschutzgesetz », la lecture quasi unanime du fondement de licéité prévu par l’article 6, paragraphes 1, point e) et 3 du règlement (UE) 2016/679, des traitements de données opérés par les entités publiques en lien avec l’exécution des missions d’intérêt public ou relevant de l’exercice de l’autorité publique leurs conférées par les dispositions applicables.

Toutes les propositions ont été élaborées en concertation étroite avec les acteurs concernés. * 34 COMMENTAIRE DES ARTICLES Titre Ier – Dispositions préliminaires Ad article 1er Cette disposition précise l’objet de la loi. Il énonce les différents titres prévus par la loi.

Le point 1° précise l’objet du titre II de la loi. La loi vise à renforcer la sécurité juridique en complétant le cadre législatif national concernant le traitement de données à caractère personnel en introduisant en droit luxembourgeois des précisions quant aux traitements de données à caractère personnel effectués par les entités publiques dans le cadre de l’exécution de leurs missions d’intérêts public ou relevant de l’autorité publique dont elles sont investies. L’article 1, paragraphe 1er, point 1° est sans préjudice des bases de licéité prévues aux articles 6 et 9 du règlement (UE) 2016/679, telles que le traitement de données à caractère personnel qui est nécessaire à l’exécution d’un contrat.

Le point 2° renvoie au titre IV, qui instaure le principe du « once only ».

Le point 3° énonce l’objet du titre V de la loi, qui règle le traitement ultérieur de données à caractère personnel mis en œuvre par les entités publiques pour les finalités que la loi autorise.

Le point 4° renvoie au titre VI qui met en œuvre le règlement (UE) 2022/868 en prévoyant un cadre spécifique à la réutilisation de certaines catégories de données protégées détenues par des organismes du secteur public.

La loi contient aussi des précisions relatives aux services d’intermédiation de données et à l’altruisme en matière de données (points 5° et 6°).

En revanche, la loi s’applique sans préjudice des dispositions plus spécifiques relatives au traitement de données à caractère personnel. De ce fait, les traitements de données à caractère personnel opérés sur base d’un autre fondement de licéité prévu par le règlement (UE) 2016/679, notamment parce qu’ils sont prévus par une disposition légale, restent possibles.

A titre d’exemple, l’Inspection générale de la sécurité sociale est tenue de réaliser des analyses et des études à des fins d’évaluation et de planification des régimes de protection sociale et de recueillir à ces fins les données auxquelles elle a accès en vertu des dispositions légales et réglementaires en vigueur, de les centraliser, de les traiter et de les gérer sous forme pseudonymisée (article 423, point 4° du Code de la sécurité sociale). Encore peut-on citer, à titre d’illustration des traitements de données à caractère personnel qui restent intouchés par les dispositions de la présente loi, les traitements de données nécessaires à l’exécution des missions conférées à l’Observatoire national de la Santé par la loi du 2 mars 2021 portant création d’un Observatoire national de la santé ou ceux relatifs à la gestion et à la tenue du registre national des personnes physiques opérés par le Centre des technologies de l’information de l’État, sous l’autorité du ministre ayant le Centre dans ses attributions.

35 Dans ce contexte, il échet également de noter que la loi s’applique sans préjudice de la possibilité d’effectuer des traitements ultérieurs de données à caractère personnel effectué dans le respect du principe de compatibilité des finalités prévu à l’article 5, paragraphe 1er, point b) du règlement (UE) 2016/679, lu en combinaison avec l’article 6, paragraphe 4 du même règlement.

Par ailleurs, les dispositions de la loi n’ont pas vocation à remplacer la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public, ni à remplacer la loi modifiée du 14 septembre 2018 relative à une administration transparente et ouverte, ou de porter préjudice aux dispositions sectorielles, telles que la loi du 17 août 2018 relative à l’archivage.

Ad article 2 Cet article définit les notions employées dans la loi.

A moins que disposées autrement, les définitions prévues par le règlement (UE) 2022/868 et le règlement (UE) 2016/679 s’appliquent à la loi.

L’article prévoit, pour des raisons de sécurité juridique, une définition en droit interne du terme « anonymisation ». La définition repose sur le texte du considérant (26) du règlement (UE) 2016/679 et s’inspire des enseignements des autorités de protection des données nationales et européennes.

Elle tient compte de la neutralité technologique.

La notion d’« entité publique » a été insérée expressément pour énumérer les entités concernées par les dispositions du titre IV relatif à l’échange d’informations et de données à caractère personnel entre entités publiques (« once only »), d’une part, et du titre V relatif au traitement ultérieur de données à caractère personnel par les entités publiques à des fins autorisées par la loi, d’autre part.

A l’instar des dispositions de l’article 2 du règlement (UE) 2016/679 et de l’article 1er de la directive (UE) 2016/6801 transposée en droit luxembourgeois par la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, la définition exclut les autorités compétentes en matière pénale ainsi qu’en matière de sécurité nationale de son champ d’application et, de ce fait, du champ d’application des titres IV et V de la loi.

A la lumière des dispositions de l’article 5 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, réglementant le champ de compétence de la CNPD, sont également exclues du champ d’application les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif, lorsqu’elles effectuent un traitement de données à caractère personnel dans l’exercice de leurs fonctions juridictionnelles.

La notion d’« entité publique » est partant volontairement distincte de la notion d’organisme du secteur public visée par les dispositions du règlement (UE) 2022/868. Elle permet de limiter avec précision le champ d’application des échanges d’informations et de données à caractère personnel dans le cadre du principe « once only » aux Ministères, y compris leurs services, administrations et aux 1 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil.

36 communes luxembourgeoises. Sont également visés par la notion d’entité publique, les établissements publics luxembourgeois, les groupements d’intérêts économiques ainsi que les personnes morales d’utilité publique, telles que les fondations et associations sans but lucratif, notamment les hôpitaux au sens de la loi modifiée du 8 mars 2018 relative aux établissements hospitaliers et à la planification hospitalière, qui sont listés expressément par règlement grand-ducal aux fins d’application du titre IV et/ou du titre V.

Pour des raisons de sécurité juridique et d’application des dispositions relatives au traitement ultérieur et à la réutilisation des données, la loi précise la notion de « tiers de confiance ».

Titre II – Traitement de données à caractère personnel par les entités publiques nécessaire

à l’exécution des missions d’intérêt public ou relevant de l’exercice de l’autorité publique Ad article 3 L’objectif du présent article est de renforcer la sécurité juridique en matière de traitement de données à caractère personnel par les entités publiques dans le cadre de l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies.

Il reprend en droit national le cas d’ouverture pour le traitement de données à caractère personnel prévu à l’article 6, paragraphe 1er, point e) du règlement (UE) 2016/679, à l’instar du « Bundesdatenschutzgesetz » allemand dont l’article 3 dispose : « Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist »

Conformément à l’article 6, paragraphe 1er, point e) du règlement (UE) 2016/679, cette disposition autorise les entités publiques à traiter les données à caractère personnel dès lors que leur traitement est nécessaire aux fins de l’exécution de leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies par une disposition de droit de l’Union européenne ou de droit luxembourgeois, par opposition à l’article 6, paragraphe 1er, point c) du même règlement qui concerne l’obligation de traiter certaines données à caractère personnel.

La distinction entre ces deux bases de licéité prévues à l’article 6, paragraphe 1er du règlement (UE) 2016/679 peut paraître fine, mais elle est importante.

Ainsi, si l’obligation légale de traiter des données à caractère personnel prévue à l’article 6, paragraphe 1er, point c) du règlement (UE) 2016/679 nécessite un fondement en droit interne ou européen qui définit les finalités du traitement, il suffit, d’après l’article 6, paragraphe 3 du règlement (UE) 2016/679 que le traitement de données à caractère personnel prévu à l’article 6, paragraphe 1er, point e) du règlement (UE) 2016/679 soit nécessaire à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ». Dans ce second cas de figure, la définition des finalités dans un texte spécifique n’est pas requise.

37 Comme souligné par la Commission nationale de l’informatique et des libertés française (CNIL), « comme pour toute autorité publique, la mission d’intérêt public peut donc fonder des traitements de données de nature diverse, dès lors qu’ils sont mis en œuvre aux fins du bon exercice des missions légales qui incombent à ces autorités et dans des conditions qui n’excèdent pas ce qui est nécessaire au regard de cet objectif ».

Ainsi, le fait pour une administration de pouvoir démontrer qu’elle a reçu dans ses prérogatives des missions spécifiques nécessitant la collecte de certaines données à caractère personnel auprès de personnes concernées pour atteindre les finalités de ces missions suffit pour légitimer la collecte et le traitement de ces données. Cette lecture s’impose également à la lumière du considérant (45) du règlement (UE) 2016/679 qui confirme le caractère facultatif des spécifications pouvant, selon l’article 6, paragraphe 2 du règlement (UE) 2016/679, être introduites en droit interne (« pourrait préciser »).

De ce fait, le principe même que les entités publiques sont en droit de traiter des données à caractère personnel « nécessaires » à l’accomplissement de leurs missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies, et ce sans devoir recourir à une autre base légale spécifique au traitement de données, découle de l’article 6, paragraphe 1er, point e) du règlement (UE) 2016/679.

La Cour de Justice de l’Union européenne a récemment confirmé cette lecture dans l’arrêt C‑175/20 « Valsts ieņēmumu dienests » du 24 février 2022. Dans le cadre d’une demande de communication de données émanant de l’administration fiscale à l’adresse d’un prestataire de services d’annonces, qui énonçait clairement les finalités, la Cour a décidé : « 69. Pourvu que les finalités ainsi énoncées dans ladite demande soient nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investie l’administration fiscale, cette circonstance suffit, ainsi qu’il découle de l’article 6, paragraphe 1, premier alinéa, initio et sous e), du règlement 2016/679, lu conjointement avec l’article 6, paragraphe 3, second alinéa, de ce règlement, pour que lesdits traitements satisfassent également à l’exigence de licéité rappelée au point 66 du présent arrêt.

38 Cette lecture de la suffisance de la nécessité du traitement de données pour l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique est également partagée par nos pays voisins.

Aux Pays-Bas, les restrictions au principe constitutionnel du droit à la vie privée doivent être prévues par la loi (article 10 de la Constitution néerlandaise). Cependant, il est constant en droit néerlandais que le règlement (UE) 2016/679 réponde aux exigences constitutionnelles et constitue de ce fait une base suffisante permettant une restriction au droit à la vie privée2.

En Belgique, la pratique décisionnelle va dans le même sens. Ainsi, l’Autorité de protection des données belge estime que l’existence d’une mission d’intérêt public ou d’une autorité publique attribuée à l’entité publique suffit, au sens de l’article 6, paragraphe 1er, point e) du règlement (UE) 2016/679, lu en combinaison avec l’article 6, paragraphe 3 dudit règlement, pour justifier une restriction au principe constitutionnel de la protection de la vie privée.

En d’autres termes, l’Autorité de protection des données belge paraît se limiter à vérifier uniquement si la mission d’intérêt public ou l’autorité publique au sens de l’article 6, paragraphe 1er, point e) du règlement (UE) 2016/679 existe en application du droit interne belge. En revanche, elle ne requiert pas qu’une base légale détaille tous les éléments essentiels du traitement de données à caractère personnel3.

Le Conseil d’État luxembourgeois paraît retenir une position similaire. Dans cet ordre d’idées, il a précisé dans son avis par rapport au projet de loi qui a donné lieu à la loi du 1er août 2018 portant 2 « Verschillende van deze aspecten hebben een specifieke grondwettelijke garantie in artikel 10, tweede en derde lid, in artikel 11, in artikel 12 en artikel 13. In artikel 10, tweede en derde lid, zijn twee opdrachten aan de wetgever opgenomen. In de eerste plaats dient de wet regels te stellen ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken van persoonsgegevens. In de tweede plaats moet de wet regels stellen voor het inzagerecht en voor het recht op verbetering van onjuiste persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) voorziet materieel grotendeels in de regelgeving waartoe artikel 10, tweede en derde lid, van de Grondwet opdraagt. », traduction libre : « Plusieurs de ces aspects font l'objet de garanties constitutionnelles spécifiques dans les articles 10, paragraphes 2 et 3, 11, 12 et 13. L'article 10, paragraphes 2 et 3, contient deux mandats pour le législateur. Premièrement, la loi doit fixer des règles pour protéger la vie privée dans le cadre de l'enregistrement et de la fourniture de données à caractère personnel.

Deuxièmement, la loi doit fixer des règles relatives au droit de regard et au droit de rectification des données à caractère personnel inexactes.

Le règlement général sur la protection des données (RGPD) prévoit en grande partie la réglementation requise par l'article 10, paragraphes 2 et 3, de la Constitution. »

3 Autorité de protection des données belge, décision quant au fond no. 149/2022 du 18 octobre 2022, DOS-2021-06293 et DOS-2021-06884 : « 30. Conformément au considérant 41 du RGPD, cette base juridique ou mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l’Union européenne et de la CEDH. Dans l'arrêt Rotaru3, la CEDH a défini plus précisément la notion de prévisibilité de la base juridique. Cette affaire ayant trait aux systèmes de surveillance de l'appareil sécuritaire d'un état, son contexte diffère de la présente affaire. Dans d'autres affaires, la CEDH a en effet indiqué qu'elle pouvait s’inspirer de ces principes, mais elle estime que ces critères, établis et suivis dans le contexte spécifique de cette affaire concrète, ne sont donc pas applicables en tant que tels à toutes les affaires4. […] 37. À cet égard, la Chambre Contentieuse a déjà souligné dans sa décision 124/2021 du 10 novembre 2021 que les missions d'intérêt public ou relevant de l’exercice de l’'autorité publique dont sont investis les responsables de traitement ne sont souvent pas basées sur des obligations ou des normes législatives circonscrites avec précision répondant aux exigences mentionnées aux points 29 e.s. Les traitements ont plutôt lieu sur la base d'une autorisation d'agir plus générale, tel que c’est nécessaire pour l’accomplissement de la mission, comme c'est le cas en l'espèce. Il en résulte que, dans la pratique, la base légale en question ne contient souvent aucune disposition décrivant concrètement les traitements de données nécessaires. Les responsables du traitement qui souhaitent invoquer l'article 6, paragraphe 1, e), du RGPD sur la base d’une telle base légale doivent effectuer eux-mêmes une pondération entre la nécessité du traitement pour la mission d'intérêt public et les intérêts des personnes concernées. » (mise en évidence ajoutée).

4 Conseil d’ État, avis du 30 mars 2018, Projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Voir également M. Besch, Normes et légistique en droit public luxembourgeois, Larcier, 2019, 469 et s.

39 organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données : « Le Conseil d’État voudrait ajouter deux observations concernant les implications de l’adoption de la loi sous examen. La première est relative à la pratique actuelle d’insérer dans les lois organiques des différentes administrations ou dans d’autres lois du secteur public des dispositions particulières sur le traitement des données à caractère personnel.

Aux termes de l’article 6 du règlement, la licéité du traitement dans le secteur public est vérifiée si le traitement est nécessaire au respect d’une obligation légale ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. Dans cette logique, il ne s’impose pas de donner à chaque traitement de données une base spécifique légale ou réglementaire. »4 Cette lecture conforme aux dispositions de l’article 6, paragraphe 1er, point e) et paragraphe 3 du règlement (UE) 2016/679, telles qu’interprétées par la Cour de Justice européenne (voir supra), reste à ce jour admissible aux termes de l’article 31 de la Constitution, en particulier au regard du principe de primauté du droit de l’Union européenne rappelé récemment par la Cour de Justice de l’Union européenne dans une affaire liée à l’interprétation du règlement (UE) 2016/6795.

Pour renforcer la sécurité juridique et pour expliciter la lecture quasi unanime du fondement de licéité des traitements de données opérés par les entités publiques en lien avec l’exécution des missions d’intérêt public ou avec l’exercice de l’autorité publique leurs conférées par les dispositions applicables, il paraît (et à l’instar des dispositions du « Bundesdatenschutzgesetz ») opportun d’adopter explicitement, en droit luxembourgeois, le principe prévu par l’article 6, paragraphes 1er, point e) et 3 du règlement (UE) 2016/679.

Ainsi, le fait pour une entité publique de pouvoir démontrer le respect de la double condition : premièrement qu’elle soit investie d’une mission d’intérêt public ou qui relève de l’exercice de l’autorité publique6 dont elle est investie et, deuxièmement, que le traitement de données à caractère personnel soit « nécessaire » pour réaliser cette mission, suffit à légitimer la collecte et le traitement des données en question.

A titre illustratif, les missions des centres de recherche publics instaurés par la loi du 3 décembre 2014 ayant pour objet l’organisation des centres de recherche publics sont clairement énoncées en son article 47. Outre les missions générales, des missions spécifiques à chaque centre de recherche sont 4 Conseil d’ État, avis du 30 mars 2018, Projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Voir également M. Besch, Normes et légistique en droit public luxembourgeois, Larcier, 2019, 469 et s.

5 CJUE, affaire C‑33/22, Österreichische Datenschutzbehörde, arrêt du 16 janvier 2024, point 70 : « En outre, il importe de rappeler que le fait pour un État membre d’invoquer des dispositions de droit national ne saurait porter atteinte à l’unité et à l’efficacité du droit de l’Union.

En effet, les effets s’attachant au principe de primauté du droit de l’Union s’imposent à l’ensemble des organes d’un État membre, sans, notamment, que les dispositions internes, y compris d’ordre constitutionnel, puissent y faire obstacle [arrêt du 22 février 2022, RS (Effet des arrêts d’une cour constitutionnelle), C‑430/21, EU:C:2022:99, point 51 et jurisprudence citée] ».

6 Dans ce contexte, il suffit que le fondement juridique conférant une mission d’intérêt public à une entité publique respecte le principe de la hiérarchie de normes. En effet, rien n’empêche notamment que la mission d’intérêt public à exécuter par une commune luxembourgeoise soit prévue par un règlement communal adopté conformément aux dispositions de la loi communale du 13 décembre 1988, tel qu’il est notamment le cas en matière de stationnement payant ou de gestion des déchets.

7 L’article 4 de la loi du 3 décembre 2014 ayant pour objet l'organisation des centres de recherche publics dispose ce qui suit : « (1) Les centres de recherche publics ont pour missions générales :

40 listées explicitement dans le texte. De ce fait, si les traitements de données à caractère personnel opérés par les centres de recherche publics sont « nécessaires » pour réaliser lesdites missions, cela suffit pour légitimer les traitements de données en question. En revanche, il n’est pas requis qu’une loi nationale spécifique énumère chaque projet de recherche séparément et liste pour chacun d’entre