eux les données à collecter, les catégories de personnes concernées, les finalités spécifiques, les responsables du traitement ou encore les durées de conservation nécessaires.
\nDe même, cela couvre également des activités intrinsèquement liées aux missions conférées aux entités publiques, telles que la publication de l’annuaire des entités publiques, l’échange des comptes rendus de réunions par voie de courriels ou la tenue d’un agenda de réunions dans lequel sont inscrits les participants.
\nDans ce sens, la Commission nationale de l’informatique et des libertés (CNIL) indique dans son registre des traitements publié sur son site Internet, l’exécution de la mission d’intérêt public (article 6, paragraphe 1er, point e) du règlement (UE) 2016/679) comme fondement de licéité, notamment, pour les traitements de données liés à « l’envoi par messagerie électronique (emailing) d’informations sur l’actualité ou sur des actions particulières réalisées par la CNIL » ou pour ceux liés à la production et le partage de la doctrine via le canal d’une plateforme électronique (ce qui implique l’identification des utilisateurs, la gestion des profils utilisateurs, les contributions, les abonnements aux notifications, l’historisation des actions, etc.)8.
\nEn tout état de cause, il paraît difficilement concevable que le législateur adopte pour chacun des traitements de données à caractère personnel nécessaires au bon fonctionnement et à la réalisation des missions des entités publiques (dont le nombre d’hypothèses est en réalité considérable voire illimité) une loi spécifique au sens formel. a) de développer et d'entreprendre des activités de recherche fondamentale orientée et de recherche appliquée, support nécessaire aux activités de recherche, de développement et d'innovation;
\n8 https://www.cnil.fr/sites/cnil/files/2023-07/registre_rgpd_de_la_cnil_juin_2023.pdf 41
\npersonnel et d’accès et de réutilisation des données Ad article 4 L’article 7 du règlement (UE) 2022/868 impose aux États membres la désignation d’un ou de plusieurs organismes compétents.
\nDans ce cadre, conformément à l’article 7 paragraphe 2 du règlement (UE) 2022/868, l’État membre peut désigner un « organisme compétent » avec pour mission d’octroyer ou de refuser les accès et les réutilisations de certaines catégories de données protégées détenues par des organismes du secteur public, dont les données à caractère personnel ainsi que les données protégées pour des motifs de confidentialité commerciale (y compris le secret d’affaires, le secret professionnel et le secret d’entreprise), de secret statistique, ou de protection des droits de propriété intellectuelle de tiers.
\nPour des raisons de cohérence et d’économie budgétaire, cette option est mise en œuvre par la création d’une Autorité des données centralisée. En effet, il s’avère excessif de recruter un spécialiste disposant des connaissances et de l’expérience pratique afférente auprès de chacune des plus d’une centaine d’entités étatiques ainsi qu’auprès de chacune des plus d’une centaine de communes luxembourgeoises et des autres organismes de droit public relevant du champ d’application du règlement (UE) 2022/868.
\nDe ce fait, il ne reviendrait pas à chaque organisme du secteur public individuellement, mais à l’organisme compétent agissant comme organe central, de veiller au respect des conditions liées à la réutilisation des données.
\nEn tant que structure centrale spécialisée disposant d’une longue expérience dans le conseil en matière de traitement et de réutilisation de données, il apparait indiqué de désigner le Commissariat du gouvernement à la protection des données auprès de l’État comme organisme compétent habilité à octroyer ou refuser les accès et les réutilisations des données au sens dudit règlement européen. Le Commissariat a ainsi pour vocation de mettre à disposition de toutes les entités publiques son expertise juridique dans cette matière complexe à laquelle les administrés sont de plus en plus attentifs au vu des progrès rapides des technologies numériques.
\nCette approche assure la cohérence des actions et contribue à une économie d’échelle substantielle aux fins d’une gestion efficace des finances publiques.
\nDans un même ordre d’idée, l’Autorité des données aura pour mission d’autoriser ou de refuser le traitement ultérieur de données à caractère personnel par les entités publiques aux conditions établies par la loi.
\nEn parallèle, elle fonctionnera comme organe de réflexion dans les domaines du traitement ultérieur de données à caractère personnel et de l’accès et de la réutilisation des données. Dans ce contexte, l’Autorité des données sera notamment chargée de formuler des avis et des propositions en la matière au ministre ayant la digitalisation dans ses attributions, de proposer des mesures en la matière ou de conseiller, sur demande, le ministre précité. Elle doit également promouvoir les bonnes pratiques et sensibiliser les acteurs ainsi que le public en la matière, notamment par le biais de séances de formation et d’information du public.
\n42 Au vu des missions actuelles du Commissariat du gouvernement à la protection des données auprès de l’État et des nouvelles fonctions de l’Autorité des données, il parait opportun de préciser que le personnel impliqué dans le traitement d’une demande de traitement ultérieur du titre V ou d’accès et de réutilisation des données du titre VI ne doit pas avoir été, ou être, impliqué en amont dans la préparation d’une demande en qualité de délégué à la protection des données. Cette séparation fonctionnelle permet d’éviter d’éventuelles situations de conflits d’intérêts.
\nA noter qu’une telle séparation fonctionnelle n’est pas novatrice. Elle est régulièrement envisagée dans le cadre de l’organisation d’autres autorités qui se voient confier des missions qui sont susceptibles d’aboutir à d’éventuels conflits d’intérêts. Citons certaines autorités de contrôle, pour lesquelles une séparation fonctionnelle est mise en place entre les pouvoirs d’enquête et de prise de décision afin d’assurer l’indépendance des services habilités à conduire l’enquête ainsi que le caractère impartial de la décision finale. A titre d’exemple, la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données et le règlement d’ordre intérieur de la CNPD prévoient une séparation fonctionnelle entre les pouvoirs d’enquête exercés par le chef d’enquête et les pouvoirs de sanction exercés par la formation restreinte de la CNPD, le chef d’enquête n’étant en tout état de cause pas autorisé à siéger, ni à délibérer lorsque la formation restreinte de la CNPD se prononce sur l’issue de l'enquête.
\nPar ailleurs, cette solution permettrait également d’allouer efficacement les ressources adéquates à l’exercice de chacune de ces fonctions au sein de l’Autorité des données.
\nAd article 5 Conformément à l’article 7 du règlement (UE) 2022/868, les États membres peuvent désigner des organismes du secteur public ayant pour mission d’aider l’organisme du secteur public qui octroie ou refuse l’accès aux fins de la réutilisation des catégories de données (à savoir l’Autorité des données visée à l’article 4 du projet).
\nLe Centre des technologies de l’information de l’État (Centre) ainsi que le groupement d’intérêt économique Plateforme nationale d’échange de données (LNDS) sont désignés à cette fin.
\nLes missions du Centre et du LNDS sont prévues aux paragraphes 2 et 3. Elles n’appellent pas d’observations particulières.
\nDans un objectif de renforcer la confiance du public, les paragraphes 4 et suivants prévoient des conditions relatives au personnel du Centre et du LNDS, dont notamment l’indépendance fonctionnelle. Le personnel qui assure la réalisation des missions conférées au tiers de confiance doit être nominativement désigné par ce dernier.
\nL’article sous examen, précise l’obligation de secret que doivent respecter les deux acteurs. Cette disposition énonce le principe d’interdiction de communication d’informations à un tiers permettant la réidentification ou étant susceptible de porter préjudice aux droits à la protection des données, à la propriété intellectuelle, à la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel, le secret d’entreprise et le secret statistique. A l’instar de l’article 41 de la loi du 19 juin 2013 relative à l’identification des personnes physiques, ne sont pas visés par cette interdiction les acteurs habilités par ou en vertu de la loi à recevoir communication desdites informations.
\n43 Afin de se prémunir de tout risque de conflits d’intérêts, les personnels du Centre et du LNDS ne sauraient exercer une activité qui ne se concilie pas avec leurs missions.
\nLe paragraphe 6 de l’article sous examen prévoit également l’application de l’article 458 du Code pénal relatif au secret professionnel au personnel. Cette disposition n’est pas prévue de porter préjudice à une éventuelle sous-traitance, en particulier informatique, du CTIE ou du LNDS à des prestataires externes.
\nA noter, à toutes fins utiles, que le Centre peut charger le LNDS ou d’autres prestataires d’exécuter des tâches en sous-traitance. Dans pareil cas de figure, les dispositions de l’article 28 du règlement (UE) 2016/679 sont applicables dans la mesure où cette sous-traitance implique le traitement de données à caractère personnel pour le compte du Centre.
\nAd article 6 Pour renforcer les mesures et garanties appliquées aux processus d’anonymisation et de pseudonymisation des données à caractère personnel et de méthode de contrôle de la divulgation des données à caractère non personnel protégées, il est dans certaines hypothèses nécessaire que les informations permettant la réidentification des acteurs soient gérées de façon à en garantir la confidentialité.
\nPar sa neutralité, le tiers de confiance constitue le garant essentiel de la non réidentification des personnes concernées dans le cadre du traitement ultérieur ou de la réutilisation des données à caractère personnel visés au titre V et VI de la loi sous examen.
\nL’article sous examen, instaure l’obligation de secret pour le tiers de confiance. Cette disposition énonce ainsi le principe d’interdiction de communication d’informations permettant la réidentification ou étant susceptibles de porter préjudice aux droits à la protection des données, à la propriété intellectuelle, à la confidentialité commerciale, y compris le secret d’affaires, au secret professionnel, au secret d’entreprise et au secret statistique. A l’instar de l’article 41 de la loi du 19 juin 2013 relative à l’identification des personnes physiques, ne sont pas visés par cette interdiction les acteurs habilités par ou en vertu de la loi à recevoir communication desdites informations.
\nComme pour le Centre et le LNDS, au vu de l’importance de ses missions, afin de garantir la protection appropriée des données faisant l’objet d’un traitement ultérieur et d’une réutilisation des données ainsi que de renforcer la confiance des personnes concernées, l’article sous examen prévoit des conditions relatives au personnel du tiers de confiance. Ainsi, le personnel qui assure la réalisation des missions conférées au tiers de confiance doit être nominativement désigné par ce dernier.
\nEn outre, pour éviter tout risque de conflit d’intérêt, des restrictions supplémentaires sont prévues pour le personnel telles que l’impossibilité d’exercer une activité qui ne se concilie pas avec les missions du tiers de confiance conférées par la loi, ou l’absence d’intérêt dans le traitement ultérieur ou l’accès et la réutilisation prévus par le projet de loi. L’article sous examen prévoit également l’application de l’article 458 du Code pénal relatif au secret professionnel au personnel du tiers de confiance. A noter que cette disposition n’est pas prévue de porter préjudice à une éventuelle soustraitance, en particulier informatique, du tiers de confiance à des prestataires externes.
\n44 Ad article 7 Conformément à l’article 8 du règlement 2022/868, l’article sous examen instaure un point d’information unique sous l’autorité du ministre ayant la digitalisation dans ses attributions. Il prévoit la possibilité pour le ministre ayant la digitalisation dans ses attributions de sous-traiter les missions du point d’information unique au groupement d’intérêt économique Plateforme nationale d’échange de données (LNDS).
\nCette disposition n’appelle pas d’observation particulière.
\nAd article 8 L’article 8 instaure le Conseil consultatif de la valorisation des données dans un environnement de confiance (ci-après désigné « Conseil consultatif »), qui a notamment pour mission de régler d’éventuelles difficultés d’application de la loi en rendant des avis à l’Autorité des données, aux entités publiques et aux organismes de droit public dans le cadre du traitement ultérieur de données à caractère personnel et de la réutilisation des données. En complément, le Conseil consultatif a pour mission de fonctionner comme organe de réflexion en la matière.
\nUn règlement grand-ducal précise la composition, le mode de fonctionnement et les attributions du Conseil consultatif. Le projet de règlement grand-ducal a été rajouté au projet de loi.
\nLe système ainsi prévu fait le parallèle avec le Conseil national des archives instauré conformément aux dispositions de la loi du 17 août 2018 relative à l’archivage. Il s’inspire également des dispositions de l’article 11 de la loi du 19 juin 2013 relative à l’identification des personnes physiques.
\npubliques auprès d’une autre entité publique Ad article 9 L’article vise à simplifier voire supprimer certaines démarches administratives pesant lourdement sur les administrés dans le cadre de la présentation d’une demande ou d’une déclaration auprès d’une entité publique.
\nIl entend faciliter le traitement par les entités publiques des demandes et déclarations présentées par les administrés, d’une part, en obligeant les entités publiques à échanger entre elles toutes informations, données à caractère personnel ou pièces justificatives nécessaires au traitement desdites demandes ou déclarations et, d’autre part, en permettant aux administrés ayant déjà produit des pièces justificatives auprès d’une entité publique de ne pas être tenus de les produire à nouveau.
\nAinsi, un administré n’aurait plus à présenter par lui-même ces informations et données à caractère personnel, dès lors que l’entité publique auprès de laquelle il présente la demande ou la déclaration est en mesure de les obtenir directement auprès de l’entité publique.
\nEn d’autres termes, l’article érige en obligation légale le traitement de données à caractère personnel nécessaire pour la mise en œuvre du présent titre par les entités publiques. Les échanges de données 45 à caractère personnel sont dès lors fondés sur les dispositions de l’article 6, paragraphe 1er, lettre c) et, pour autant que des catégories de données à caractère personnel sont concernées, de l’article 9, paragraphe 2, lettre g) du règlement (UE) 2016/679.
\nPar ailleurs, lorsque les informations et données à caractère personnel ne sont pas encore détenues par les entités publiques, l’administré présentant la demande ou produisant la déclaration est tenu de les produire lui-même. Tel est notamment le cas si l’administré est le seul à disposer d’une facture nécessaire pour solliciter une aide financière (ex. acquisition d’un véhicule électrique).
\nL’article renforce ainsi la communication des informations et des données à caractère personnel entre les entités publiques et donne un cadre législatif à ces échanges dans l’intérêt de l’administré. Ceci contribue à la modernisation de l’action publique et permet d’améliorer la prise de décision efficace au sein des entités publiques. Dans cet esprit, il y a lieu d'encourager les entités publiques à mettre au point des formats interopérables permettant la disponibilité des informations et données à caractère personnel et la mise en œuvre efficace du « once only ».
\nEn effet, de nombreux freins à la bonne circulation des informations et des données à caractère personnel entre les entités publiques ont pu être identifiés. Ces freins ont des impacts importants en termes budgétaires, sociologiques et juridiques. Ils entraînent également des conséquences sousoptimales en termes de qualité, d’efficience et de réactivité de l’action publique et peuvent susciter des effets de renoncement à la donnée (notamment par manque de connaissances ou par abandon de l’administré) ou de stratégies de contournement (notamment par la constitution de bases de données équivalentes à celles déjà produites par une autre administration).
\nL’introduction en droit interne luxembourgeois d’une obligation générale de transmission des informations et des données à caractère personnel entre entités publiques permettra de réduire les coûts administratifs en supprimant le temps passé par les entités publiques à examiner la possibilité juridique de transmettre des données à caractère personnel à une autre entité publique, qui serait chargée de traiter lesdites informations dans l’exercice de ses missions d’intérêt public.
\nEn outre, l’article participe à l’amélioration de la circulation des informations et des données à caractère personnel entre entités publiques. De ce fait, il est de nature à engendrer plusieurs externalités positives, notamment en termes de productivité et de gain de temps. En posant un principe et une obligation générale d’échange de données entre administrations dans le cadre d’une demande ou d’une déclaration présentée par l’administré, l’article en question développe également des effets de réseau entre les entités publiques, ce qui permet un meilleur usage coordonné des données produites par les entités publiques. En conséquence, il contribue à un renforcement de la transparence de l’action publique et à la réalisation de gains de productivité en termes budgétaires et socioéconomiques.
\nPar ailleurs, l’article mettra fin aux situations parfois irrationnelles où un administré doit produire à plusieurs reprises un même document administratif auprès de différentes entités publiques dans le cadre d’une demande ou d’une déclaration présentée à ces dernières. Pour contrecarrer ce problème, l’article constitue un allégement substantiel de la charge des formalités administratives imposées aux administrés et un moyen efficace dans la lutte contre la fraude en sécurisant la production et la transmission des informations, des données à caractère personnel et des pièces justificatives.
\n46 En d’autres mots, le système « once only » constitue une vraie mesure de simplification administrative qui repose, pour le traitement des demandes et déclarations des administrés, sur trois caractéristiques essentielles, à savoir : la réalisation d’une démarche à l’initiative de l’administré ; la limitation des informations et des données à caractère personnel échangées à celles strictement nécessaires à la démarche initiée par l’administré ; la possibilité, pour les seules entités publiques agissant dans le cadre de leurs missions légales ou réglementaires, et régulièrement habilitées à connaître ces informations et données, de bénéficier de ces échanges.
\nLe système proposé constitue dès lors une réforme majeure de nature à simplifier les démarches administratives pour la population. Il permettra également de diminuer les dépenses et favorisera une gestion plus efficace des ressources des entités publiques. En effet, répondre à une autre entité publique selon un cadre prédéfini est vraisemblablement plus simple que de traiter des demandes ou déclarations, y compris les pièces, revêtant différentes formes et provenant de différents canaux de communication (ex. via MyGuichet, par accès au bureau compétent, par téléphone, par courrier, par fax) ou comprenant des erreurs commises notamment par les administrés.
\nAinsi, la disposition sous examen contribue directement à une approche proactive des pouvoirs publics et ce dans l’intérêt de tous les administrés, qui font face à une complexité de plus en plus importante du cadre réglementaire, et ce dans le respect des exigences de la protection des données.
\nEn effet, le système d’échange français, sur lequel repose le texte proposé, a été validé par le Conseil d’État français et a été avisé positivement par la Commission nationale de l’informatique et des libertés française (CNIL) comme étant conforme aux exigences prévues par le règlement (UE) 2016/679.
\nLa CNIL note dans ce cadre expressément que la simplification des démarches administratives et l’amélioration des relations entre le public et les administrations constituent des objectifs légitimes.
\nElle a, en outre, souligné que l’atteinte à la vie privée apparaît faible dans le cadre d’un système d’échanges d’informations et de données à caractère personnel automatique entre entités publiques aux fins de répondre aux demandes et de traiter les déclarations de l’administré. De ce fait, ces échanges ne posent pas de difficultés de principe au niveau de la protection des données à caractère personnel.
\nAinsi, la CNIL n’a pas émis d’objection quant à la finalité d’un partage par défaut d’information et de données à caractère personnel entre entités publiques en cas de demande ou de déclaration de l’administré.
\nPour éviter d’éventuels abus, le texte indique expressément que les échanges doivent être « nécessaires ». L’ajout de ce terme indique clairement que l’échange d’informations et de données à caractère personnel est une dérogation au principe général de non-recoupement des fichiers administratifs tenus par les entités publiques. A titre d’illustration, si une entité publique en charge d’un dossier a besoin de savoir si une personne est, ou non, imposable, elle ne devra solliciter que cette information, et non une copie de l’ensemble du bulletin d’imposition, qui comporte des informations sensibles telles que les revenus, la situation maritale, les déductions fiscales, etc.
\n47 En complément de ces cas de figure où les entités publiques seront au terme de l’article tenues, d’échanger entre elles toutes les informations et données à caractère personnel nécessaires pour traiter une demande ou une déclaration présentée par un administré en application d’une disposition législative ou d’un acte réglementaire, la disposition sous examen constitue également une réforme majeure de nature à simplifier les démarches administratives en ce qu’elle autorise les entités publiques à échanger entre elles les informations et données à caractère personnel nécessaires pour pouvoir informer les administrés sur leur droit au bénéfice éventuel d’une prestation ou d’un avantage prévu par une disposition légale ou réglementaire. Par ailleurs, elle autorise les entités publiques à échanger des informations et des données à caractère personnel dans la mesure où cet échange est nécessaire pour attribuer éventuellement lesdites prestations ou avantages à l’administré.
\nTout comme pour les échanges d’informations et de données nécessaires au traitement des demandes et déclarations présentées par les administrés, la CNIL n’a pas émis d’objection de principe à l’échange d’informations et de données à caractère personnel à des fins d’information de l’administré concernant ses droits ou aux fins de lui octroyer des prestations ou avantages. Ce système s’inscrit dans l’intérêt de tous les administrés, en ce qu’il vise à permettre aux entités publiques de les informer de manière proactive, sans qu’une intervention ou un accord ne soit requis pour initier l’échange de données et d’informations entre entités publiques.
\nPour éviter d’éventuels abus, ces échanges sont entourés de garanties appropriées, que ce soit par le biais de la condition de la nécessité (« nécessaire ») ou par les conditions prévues à l’article 11 de la loi.
\nA l’instar de l’article 4 de la loi du 19 juin 2013 relative à l’identification des personnes physiques, le paragraphe 3 de l’article énonce les finalités du traitement de données à caractère personnel et de l’échange d’informations entre entités publiques. L’échange d’informations et de données à caractère personnel est dès lors autorisé s’il vise à assurer la mise à disposition d’informations et de données à caractère personnel aux entités publiques pour l’exécution de leurs obligations et de leurs missions d’intérêt public. Il en va de même si l’échange vise à alléger la charge administrative des administrés dans le cadre de leur demande et déclaration ou s’il permet d’éviter aux entités publiques d’organiser elles-mêmes la collecte d’informations et de données à caractère personnel auprès des administrés pour autant que ces informations et données à caractère personnel soient déjà disponibles auprès d’une autre entité publique.
\nCette précision des finalités du « once only » constitue une garantie supplémentaire pour les droits et libertés des personnes concernées non prévue par les dispositions françaises dont s’inspire le présent titre.
\nAd article 10 Cet article prévoit l’obligation pour les administrés de certifier l’exactitude des informations et des données à caractère personnel que l’entité publique chargée de traiter la demande ou déclaration présentée par l’administré a obtenues auprès d’une entité publique. Il constitue le pendant logique de l’obligation prévue à l’article 5, paragraphe 1er, point d) du règlement (UE) 2016/679 qui prévoit expressément que les données à caractère personnel doivent être exactes et, si nécessaire, tenues à jour. En l’absence de cette certification, la demande ou déclaration sera incomplète.
\n48 Pour couvrir toutes les hypothèses, et à l’instar des dispositions prévues à l’article 21 de la loi du 19 juin 2013 relative à l’identification des personnes physiques, l’article sous examen prévoit expressément que l’exactitude des informations et des données à caractère personnel ne peut pas seulement être certifiée par l’administré, mais également par son tuteur, son curateur, son administrateur légal, son administrateur ad hoc ainsi que par son mandataire spécial.
\nLa mesure proposée constitue une mesure raisonnable et efficace visant à assurer que les informations et les données à caractère personnel qui sont inexactes, soient rectifiées sans tarder.
\nPar ailleurs, il revient à l’administré de demander la rectification de données à caractère personnel et des informations inexactes auprès de l’entité publique d’où celles-ci proviennent et de communiquer les informations et les données rectifiées à l’entité publique en charge du traitement de la demande ou de la déclaration.
\nCette procédure est conforme aux dispositions du règlement (UE) 2016/679 en ce que la rectification de données à caractère personnel doit être sollicitée auprès du responsable du traitement initial qui détient les données et qui est censé les échanger avec l’entité publique qui traite les données à caractère personnel dans le cadre de la demande ou de la déclaration présentée par la personne concernée.
\nAd article 11 Le présent article vise à fixer les conditions et modalités applicables à l’échange d’informations et de données à caractère personnel entre les entités publiques.
\nLe paragraphe 1er de l’article prévoit une interdiction pour les entités publiques de solliciter l’échange d’informations et de données à caractère personnel auprès d’une autre entité publique s’il est manifeste qu’elles ne sont compétentes, au regard de leurs missions légales et réglementaires, ni pour traiter la demande ou la déclaration présentée par l’administré, ni pour l’informer sur son droit au bénéfice éventuel d’une prestation ou d’un avantage voire pour les lui attribuer.
\nLa disposition consacre le principe généralement accepté en matière de protection de données du « besoin d’en connaître » (« need to know »), d’après lequel les entités publiques doivent seulement avoir accès aux données à caractère personnel nécessaires pour la réalisation de leurs missions.
\nLe paragraphe 2 de l’article prévoit une autre garantie appropriée pour les droits et libertés de l’administré en imposant à l’entité publique chargée de traiter la demande ou la déclaration d’informer l’administré du fait que les informations et les données à caractère personnel qu’elle collecte auprès d’une autre entité publique sont nécessaires pour le traitement de la demande ou de la déclaration.
\nDans ce contexte, et dans une optique de loyauté et de transparence envers l’administré découlant notamment des dispositions de l’article 5, paragraphe 1er, point a) du règlement (UE) 2016/679, l’entité publique doit faire parvenir à l’administré pour chaque catégorie d’informations et de données à caractère personnel les coordonnées des entités publiques d’où proviennent les informations et données en question.
\n49 La même obligation d’information de l’administré s’applique également dans le cas de figure où l’entité publique se procure des informations ou des données à caractère personnel auprès d’autres entités publiques pour informer l’administré sur ses droits ou au bénéfice éventuel d’une prestation ou d’un avantage prévu par des dispositions législatives ou règlementaires ou pour les lui attribuer.
\nL’information ainsi requise par le texte proposé est aussi une condition sine qua non pour l’exercice efficace du droit de rectification prévu à l’article 10, paragraphe 2 du projet de loi.
\nA l’instar du système avisé favorablement par la CNIL comme étant conforme au règlement (UE) 2016/679, le paragraphe 3 prévoit expressément que le dispositif d’échange d’informations et de données à caractère personnel ne saurait être utilisé pour des finalités incompatibles, en particulier pour la détection systématique des cas de fraudes notamment au moyen de croisements de données et d’informations.
\nPar ailleurs, en ce qui concerne le cas de figure où les informations et données à caractère personnel sont échangées pour informer les administrés sur leur droit ou bénéfice éventuel d’une prestation ou d’un avantage voire pour leur attribuer ces derniers, l’entité publique procédant auxdits échanges est tenue d’informer l’administré au plus tard au moment de la première communication individuelle sur le fait qu’il a le droit de s’opposer à la poursuite du traitement des données en question. Si l’administré choisit d’exercer son droit d’opposition inconditionnel, l’entité publique qui a obtenu les informations ou données à caractère personnel dans le cadre du « once only » est tenue de les détruire sans délai.
\nLe paragraphe 4 introduit une cause exonératoire de responsabilité dont les entités publiques peuvent se prévaloir lorsqu’il est impossible d’échanger les informations et les données à caractère personnel, notamment parce que les informations et données à caractère personnel ne sont pas disponibles dans un format structuré, couramment utilisé et lisible par machine. L’effet de cette cause exonératoire est double : d’une part, selon la lettre a), les entités publiques ne peuvent alors pas être tenues de procéder à l’échange d’informations et de données à caractère personnel, et d’autre part, selon la lettre b), une obligation est prévue pour les administrés de produire eux-mêmes les informations et les données.
\nEn cas d’impossibilité de procéder à l’échange d’informations et de données à caractère personnel visé par l’article 9, paragraphe 2, les entités publiques sont tenues de dûment motiver en quoi exactement consiste l’impossibilité, en fournissant des explications quant aux circonstances exactes de l’impossibilité, et les mesures nécessaires aux entités publiques pour y remédier. Il revient alors aux entités publiques de remédier dans les meilleurs délais à cette impossibilité afin de rendre possible l’échange des informations et des données à caractère personnel.
\nUn exemple d’une impossibilité de procéder à l’échange visé serait l’inexistence dans un format électronique des informations et des données à caractère personnel ; notamment parce que celles-ci n’existent que sous format papier. Dans un tel cas, les informations et les données à caractère personnel doivent être digitalisées par les entités publiques afin de permettre sans délai l’échange des informations et données à caractère personnel.
\nSuivant l’article 12, paragraphe 2, une copie de la motivation de l’impossibilité de procéder à l’échange est transmise au ministre ayant la digitalisation dans ses attributions. Cette information peut également être accédée par les administrés par le biais, notamment, d’une demande d’accès formulée conformément aux dispositions de la loi du 14 septembre 2018 relative à une administration 50 transparente et ouverte. Le Ministère de la Digitalisation, dans sa poursuite continue de la réussite du gouvernement numérique, reste à disposition des entités publiques étant confrontées à une impossibilité de procéder à l’échange nécessaire d’informations et de données à caractère personnel, afin de leur fournir assistance et conseil pour parvenir sans délai audit échange.
\nEn outre, pour que le « once only » constitue une mesure efficace de simplification administrative et de modernisation de l’action publique, les entités publiques destinataires des informations et des données à caractère personnel ne peuvent se voir opposer le secret professionnel si elles agissent dans le cadre de leurs missions légales et qu’elles sont habilitées à avoir connaissance des informations ou données en question.
\nAd article 12 L’article impose aux entités publiques d’identifier dans les meilleurs délais les informations et les données à caractère personnel qu’elles peuvent obtenir auprès d’une autre entité publique, et ce tant pour le traitement des demandes et déclarations présentées par les administrés que pour l’information de ces derniers sur leur droit au bénéfice d’une éventuelle prestation ou d’un avantage ou pour pouvoir les leur attribuer.
\nSur base de cette analyse, les entités publiques sont tenues de notifier sans délai les échanges d’informations et des données à caractère personnel identifiés aux entités publiques à la source des informations et données. Ces dernières sont tenues en retour de, soit certifier la disponibilité des informations et des données sollicitées (même si cet échange s’avèrera techniquement impossible par la suite au sens de l’article 11, paragraphe 4 de la loi), soit informer les entités publiques demanderesses du fait que les informations et données sollicitées ne sont pas disponibles.
\nUne copie de l’information relative à la disponibilité des informations et données est transmise au ministre ayant la digitalisation dans ses attributions afin de permettre à ce dernier de cartographier les flux des échanges « once only », notamment pour l’identification d’éventuelles sources authentiques.
\nAd article 13 Cet article prévoit l’obligation pour les entités publiques concernées de formaliser chaque type d’échange d’informations et de données à caractère personnel visé par l’obligation « once only » par le biais d’un protocole contenant tous les éléments obligatoires cités par la disposition sous examen.
\nDans un objectif d’« accountability », prévu à l’article 5, paragraphe 2 du règlement (UE) 2016/679, et de transparence administrative, les entités publiques sont tenues d’amender le protocole en cas de changement des éléments liés à l’obtention des informations et des données à caractère personnel.
\nLe protocole ainsi que tout avenant à ce dernier doivent être transmis sans délai à l’Autorité des données pour publication par voie électronique.
\nLe système du protocole et de sa publication par l’Autorité des données repose sur les dispositions du droit français et des observations formulées par la CNIL en France. Cette dernière a souligné que la diffusion publique de ces informations est un élément important qui contribue à l’équilibre du 51 dispositif « once only », puisqu’il permettra aux administrés d’avoir une vision exhaustive des échanges mis en place.
\nLa mise en place d’une infrastructure standardisée de publication des protocoles et d’un pilotage centralisé au niveau de l’Autorité des données permettent en effet de garantir de manière efficace la transparence administrative dans le cadre de la mise en œuvre du principe « once only ». Ainsi, les administrés peuvent consulter toutes les informations sur les échanges d’informations et de données à caractère personnel effectués par les entités publiques auprès d’une seule source centralisée.
\nPour que cet outil de transparence puisse fonctionner de manière efficace, l’Autorité des données doit être tenue informée de toute modification dans l’application des protocoles en vigueur.
\nEn cas de modification, l’Autorité des données maintient la publication du protocole obsolète durant une période supplémentaire de deux années tout en indiquant dans ladite publication que le protocole n’est plus applicable. Le système sous examen s’inspire du Journal officiel du Grand-Duché de Luxembourg (au Mémorial A, toute loi abrogée reste affichée sur le site internet www.legilux.lu) ou du Registre de commerce et des sociétés (les informations sur une société continuent d’être publiées sur le site internet www.lbr.lu ensemble avec l’indication que la société en question a été radiée).
\nAd article 14 Cet article prévoit l’obligation pour l’Autorité des données de tenir un registre de tous les protocoles qui lui ont été transmis par les entités publiques pour publication conformément à l’article 13 de la loi.
\nEn vue d’identifier les sources authentiques d’informations et de données, le ministre ayant la digitalisation dans ses attributions dispose d’un accès direct au dit registre tenu par l’Autorité des données.
\nAd article 15 Cet article crée le fondement juridique, en droit interne, pour les entités publiques, d’un traitement ultérieur de données à caractère personnel pour des finalités autres que celles pour lesquelles les données ont été initialement collectées, et ce indépendamment de leur compatibilité et de leur base de licéité initiale. A cette fin, l’article énonce limitativement les finalités pour lesquelles le traitement ultérieur de données à caractère personnel par des entités publiques est autorisé.
\nA noter que le système proposé s’applique sans préjudice de la possibilité pour les entités publiques d’effectuer des traitements ultérieurs de données à caractère personnel sur base de leur compatibilité (articles 5, paragraphe 1er, point b) et 6, paragraphe 4 du règlement (UE) 2016/679) ou de procéder à des traitements ultérieurs de données à caractère personnel sur base d’une disposition spécifique du droit de l’Union ou du droit national applicable, telles que l’article 4, paragraphe 4 de la loi du 3 52 décembre 2014 ayant pour objet l'organisation des centres de recherche publics ou l’article 423, point 4° du Code de la sécurité sociale.
\nAu sens du présent titre, le traitement ultérieur de données à caractère personnel par des entités publiques est autorisé s’il est réalisé pour l’une ou plusieurs des finalités énoncées à l’article 15, sous réserve que les conditions énoncées au titre V de la loi soient remplies. Ainsi, l’entité publique est autorisée à effectuer un traitement ultérieur de données à caractère personnel pour des finalités déterminées par le texte, sans devoir réaliser le test de compatibilité des finalités conformément aux critères énoncés à l’article 6, paragraphe 4 du règlement (UE) 2016/679. Ceci couvre tant la mise à disposition des données à caractère personnel et leur partage, que le traitement ultérieur mis en œuvre par les entités publiques.
\nLe système proposé met dès lors en œuvre la faculté prévue par l’article 6, paragraphe (4) du règlement (UE) 2016/679 de permettre au législateur national de définir les finalités pour lesquelles des traitements de données à caractère sont autorisés, indépendamment de leur compatibilité ou non avec les finalités pour lesquelles les données ont été initialement collectées, sous réserve que cette mesure soit nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs visés à l’article 23, paragraphe 1er du règlement (UE) 2016/679.
\nParmi les objectifs visés à l’article 23, paragraphe 1er du règlement (UE) 2016/679 se trouvent les « autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaires, budgétaires et fiscales, de la santé publique et de la sécurité sociale ».
\nC’est également sur base de cette énumération non limitative des objectifs importants d’intérêt public que le législateur allemand a décidé d’introduire, en droit interne, une liste de finalités pour lesquelles les entités publiques allemandes sont d’office autorisées à procéder à des traitements ultérieurs de données à caractère personnel, dans l’exécution de leurs missions : « 1) Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch öffentliche Stellen im Rahmen ihrer Aufgabenerfüllung ist zulässig, wenn 1. offensichtlich ist, dass sie im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass sie in Kenntnis des anderen Zwecks ihre Einwilligung verweigern würde, 2. Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen, 3. sie zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, zur Wahrung erheblicher Belange des Gemeinwohls oder zur Sicherung des Steuer- und Zollaufkommens erforderlich ist, 4. sie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Absatz 1 Nummer 8 des 53 Strafgesetzbuchs oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Geldbußen erforderlich ist, 5. sie zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist, oder 6. sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen des Verantwortlichen dient; dies gilt auch für die Verarbeitung zu Ausbildungs- und Prüfungszwecken durch den Verantwortlichen, soweit schutzwürdige Interessen der betroffenen Person dem nicht entgegenstehen. […]»9.
\nLe législateur finlandais a, lui-aussi, introduit en droit interne, par le biais du « Act on the Secondary Use of Health and Social Data », une liste de finalités pour lesquelles un traitement ultérieur de données à caractère personnel est autorisé, indépendamment de la question de savoir si les finalités sont compatibles ou non. Il s’agit des finalités suivantes : « 1) statistics ;
\nEn conséquence, l’article constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs visés à l’article 23, paragraphe 1er du règlement (UE) 2016/679.
\nA l’instar des dispositions du « Bundesdatenschutzgesetz »11 ainsi que, notamment, de l’article 3 paragraphe 6bis de la loi relative à la lutte contre le blanchiment et contre le financement du terrorisme12, le paragraphe 2 prévoit, dans une optique de sécurité juridique, le fondement de licéité aux termes du règlement (UE) 2016/679 pour le traitement ultérieur, y compris le partage et la mise à disposition de données à caractère personnel, par les entités publiques conformément au titre V de la loi.
\nA noter que le considérant (159) du règlement (UE) 2016/679 précise expressément que le « traitement de données à caractère personnel à des fins de recherche scientifique devrait être 9 Bundesdatenschutzgesetz (BDSG), § 23 Verarbeitung zu anderen Zwecken durch öffentliche Stellen.
\n10 Act on the Secondary Use of Health and Social Data, Section 2.
\n11 Bundesdatenschutzgesetz (BDSG), § 23 Verarbeitung zu anderen Zwecken durch öffentliche Stellen.
\n12 « Le traitement de données à caractère personnel sur base de la présente loi aux fins de la prévention du blanchiment et du financement du terrorisme est considéré comme une question d’intérêt public au titre du règlement (UE) 2016/679 ».
\n54 interprété au sens large et couvrir, par exemple, le développement et la démonstration de technologies, la recherche fondamentale, la recherche appliquée et la recherche financée par le secteur privé. Il devrait, en outre, tenir compte de l'objectif de l'Union mentionné à l'article 179, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, consistant à réaliser un espace européen de la recherche. Par « fins de recherche scientifique », il convient également d'entendre les études menées dans l'intérêt public dans le domaine de la santé publique » (mise en évidence ajoutée).
\nDe ce fait, le traitement de données à caractère personnel effectué par les entités publiques pour les finalités énoncées à l’article 15 est licite en application de l’article 9, paragraphe 2, point j), sinon le point g) du règlement (UE) 2016/679, en particulier compte tenu du fait que la loi prévoit expressément des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.
\nAd article 16 Cet article reprend le principe général de la minimisation des données prévue à l’article 5, paragraphe 1er, point c) du règlement (UE) 2016/679 tel que spécifié par les dispositions de l’article 89, paragraphe 1er du même règlement.
\nLa rédaction des paragraphes 1er à 3 de l’article 16 est inspirée des articles 186 et suivants de la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.
\nIl prévoit explicitement que les entités publiques doivent à chaque fois procéder à un traitement ultérieur qui ne permet pas l’identification des personnes concernées si cela s’avère possible.
\nSeulement lorsque le traitement des données anonymisées ne permet pas d’atteindre la finalité poursuivie, les entités publiques sont autorisées à traiter ultérieurement des données sous format pseudonymisé. Dans ce même ordre d’idées, un traitement des données en clair est seulement permis dans les limites du strict nécessaire, à savoir à condition que les entités publiques, en leur qualité de responsables du traitement, prouvent que les finalités du traitement n’ont pas pu être atteintes en traitant des données anonymisées ou des données à caractère personnel pseudonymisées.
\nPour réduire au minimum le risque de réidentification des personnes concernées, l’article prévoit, à l’instar des dispositions du règlement relatif à l’espace européen des données de santé, une obligation pour les entités publiques qui détiennent les données à caractère personnel d’identifier les informations protégées pour des motifs de protection des données à caractère personnel.
\nLe paragraphe 5 traite plus spécifiquement des risques de réidentification. L’état de la technique et les procédés d’anonymisation sont évolutifs, tout comme les données disponibles (publiquement ou pas) qui rendraient les personnes concernées identifiables (ex. nouvelles possibilités de réidentification des personnes concernées lorsqu’il y a eu une fuite de données, publication d’autres jeux de données qui n’étaient pas encore disponibles au moment de l’anonymisation, etc.). Dans un tel contexte, l’état anonyme ou non de données pourtant « anonymisées » et communiquées comme telles (à savoir, comme sortant du champ d’application du règlement) variera avec le temps.
\nLa disposition en question instaure une obligation de confidentialité pour les entités publiques qui procèdent au traitement ultérieur de données à caractère personnel. De ce fait, elle interdit la divulgation de toute information qui pourrait compromettre les droits et intérêts des individus, que 55 les entités publiques auraient pu acquérir dans le cadre du traitement ultérieur de données à caractère personnel, et ce malgré les garanties mises en place conformément à la loi. Dans ce contexte, le texte interdit également aux entités publiques d’effectuer un traitement ultérieur de données à caractère personnel visant à rétablir l’identité des personnes concernées.
\nEn tout état de cause, les entités publiques sont tenues, en outre, de mettre en place des mesures techniques et opérationnelles pour empêcher toute réidentification.
\nAd article 17 Une entité publique est autorisée à traiter ultérieurement les données à caractère personnel qu’elle détient, qu’elles proviennent directement de la personne concernée ou d’autres sources. Ceci couvre aussi les cas de figure où les entités publiques, comme notamment l’Observatoire national de la santé, l’Inspection générale de la sécurité sociale, ou encore le Service de Coordination de la Recherche et de l’Innovation pédagogiques et technologiques, traitent ultérieurement des données qu’elles ont initialement collectées auprès d’autres entités publiques dans le cadre de leurs missions.
\nLe traitement ultérieur par une même entité est seulement autorisé pour les finalités limitativement énoncées à l’article 15 et ceci sous réserve des conditions d’anonymisation et de pseudonymisation prévues à l’article 16 de la loi.
\nComme énoncé plus haut dans le commentaire des articles, le fait que la loi énonce limitativement des finalités pour lesquelles le traitement ultérieur de données à caractère personnel est d’office autorisé n’exclut nullement que les entités publiques traitent ultérieurement des données à caractère personnel si les finalités ultérieures sont compatibles conformément aux articles 5, paragraphe 1er, point b) et 6, paragraphe 4 du règlement (UE) 2016/679.
\nEn dérogation au système général instauré par le paragraphe 1er, des conditions plus strictes sont prévues pour le traitement ultérieur des catégories particulières de données à caractère personnel visées aux articles 9 et 10 du règlement (UE) 2016/679. Ces catégories des données peuvent seulement être traitées ultérieurement par la même entité si elles ont préalablement été anonymisées ou pseudonymisées. Pour ce faire, l’entité publique peut (mais ne doit pas) recourir au service du Centre. En revanche, le traitement desdites catégories de données à caractère personnel en clair est formellement interdit par la loi.
\nou par plusieurs entités publiques Ad article 18 Cet article prévoit des conditions strictes pour le traitement ultérieur de données à caractère personnel détenues par une entité publique, indépendamment de leur source initiale, par une autre entité publique ou par plusieurs entités publiques.
\n56 Les traitements ultérieurs de données à caractère personnel ainsi visés peuvent seulement être mis en œuvre pour les finalités énoncées à l’article 15, sous réserve de respecter les conditions cumulatives limitativement énumérées au paragraphe 1er.
\nAinsi, il est requis que l’entité publique détenant les données à caractère personnel donne son accord au traitement ultérieur des données à caractère personnel. Dans ce contexte, il échet de noter que seul l’accord de l’entité publique qui détient les données à caractère personnel est requis, sans que cette dernière soit obligée de solliciter l’accord des entités publiques auprès desquelles les données ont initialement été collectées.
\nL’entité publique peut marquer son accord de principe au traitement ultérieur, y compris le partage et la mise à disposition des données, en signalant que les données sont disponibles à des fins de traitement ultérieur par le biais de leur inscription sur la liste des ressources consultable tenue par le point d’information unique. Dans l’hypothèse où les données ne figurent pas sur cette liste, les entités publiques ont la possibilité de marquer leur accord spécifique au traitement ultérieur de données à caractère personnel en contresignant la demande que l’entité publique effectuant le traitement ultérieur prévoit d’introduire auprès de l’Autorité des données.
\nCela étant dit, l’article sous examen ne crée pas d’obligation pour les entités publiques de partager des données à caractère personnel avec d’autres entités publiques en vue d’un traitement ultérieur conformément aux dispositions du titre V.
\nEn pratique, l’entité publique souhaitant traiter ultérieurement les données à caractère personnel se concertera avec les entités publiques détenant les données en amont de l’introduction auprès de l’Autorité des données de la demande de traitement ultérieur conformément au titre VII de la loi.
\nPour ce faire, les entités publiques souhaitant traiter ultérieurement les données à caractère personnel ont la faculté de recourir aux services proposés par le LNDS, qui dans ce cas de figure est obligé de les assister, que ce soit au niveau de la préparation de la demande et des pièces à joindre à celle-ci, ou au niveau de la préparation des démarches auprès des organismes du secteur public en vue d’obtenir leur accord à l’accès et la réutilisation des données que ces derniers détiennent. Rien n’empêche cependant que l’entité publique souhaitant traiter ultérieurement les données à caractère personnel recoure aux services offerts par d’autres acteurs, tels que le Centre qui peut dispenser des conseils dans le cadre des missions qui lui sont assignées par la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État, pour préparer la demande d’accès et de réutilisation. Cela étant dit, le texte n’impose pas d’obligation au Centre de fournir cette assistance.
\nDans une optique de mise en balance des intérêts poursuivis par les entités publiques et ceux de la personne concernée, l’article prévoit que le traitement ultérieur ne doit pas porter une atteinte disproportionnée aux droits et libertés des individus au regard des finalités poursuivies. L’analyse de proportionnalité doit être documentée dans le cadre de la demande et des pièces justificatives qui doivent y être jointes. Le libellé de cette condition s’inspire étroitement des dispositions de l’article 17, paragraphe 4 de la loi du 17 août 2018 relative à l’archivage.
\nLa troisième condition énoncée par l’article sous examen s’inscrit dans l’esprit de la mise en œuvre des garanties appropriées généralement acceptées en matière de protection des données. Elle s’inspire notamment des dispositions des articles 5, paragraphe 1er, point c), 24, 25 et 89 du règlement (UE) 2016/679.
\n57 Ainsi, les données à caractère personnel peuvent être traitées ultérieurement, soit sous réserve d’être préalablement anonymisées, soit lorsque le traitement de données anonymisées ne permet pas d’atteindre la finalité poursuivie, pour autant qu’elles aient été pseudonymisées, et à condition que l’Autorité des données délivre une autorisation préalable et que le traitement ultérieur soit effectué dans l’environnement de traitement sécurisé prévu à l’article 36.
\nLe paragraphe 2 ouvre la possibilité aux entités publiques demanderesses qui se voient refuser le partage de données à caractère personnel par une autre entité publique de saisir le Conseil consultatif pour avis. La procédure prévue à l’article sous examen est identique à celle prévue par les dispositions de l’article 17 de la loi du 17 août 2018 relative à l’archivage.
\nL’avis du Conseil consultatif ne lie pas l’entité publique détenant les données à caractère personnel.
\nCette dernière restera libre dans sa prise de décision. Elle est seulement appelée à reconsidérer sa position et à émettre sa décision finale par écrit dans un délai de trois semaines. L’absence de décision finale dans le délai imparti vaut refus définitif de partage de la part de l’entité publique en question.
\nEn cas d’accord au traitement ultérieur de données à caractère personnel, l’entité publique détentrice des données est tenue de contresigner la demande conformément aux dispositions de la loi.
\npublic par des réutilisateurs de données
\nObservations générales :
\nLe titre VI concerne spécifiquement la mise en œuvre, en droit national, du chapitre II du règlement (UE) 2022/868 concernant la réutilisation de certaines catégories de données protégées détenues par des organismes du secteur public.
\nL’objectif du règlement (UE) 2022/868 est d’accroître la confiance dans le partage des données en établissant des mécanismes appropriés de garanties pour les personnes et les organismes du secteur public détenant les données et ce, en levant les obstacles notamment techniques à la réutilisation des données (voir considérant (5) du règlement (UE) 2022/868).
\nLe titre VI se distingue des traitements couverts par le titre V en ce qu’il traite de la réutilisation des données au sens du règlement (UE) 2022/868, la réutilisation étant définie par ledit règlement européen comme étant une utilisation de données par des personnes physiques ou morales, à l’exception de l’échange de données entre des organismes du secteur public aux seules fins de l’exercice de leurs missions de service public.
\nLe titre VI prévoit les catégories de données concernées disponibles à l’accès et à la réutilisation (articles 19 et 21) ainsi qu’un régime d’autorisation et de réutilisation de ces données (article 20 et articles 22 à 24).
\n58 Ad article 19 Conformément aux dispositions du règlement (UE) 2022/868, l’article précise les catégories de données susceptibles d’être accédées et réutilisées aux termes du titre VI de la loi.
\nLe paragraphe 2 énonce expressément que les entités publiques ne sont pas en droit d’invoquer les dispositions du titre VI pour solliciter l’accès et la réutilisation des données. En revanche, les entités publiques, en tant qu’organismes du secteur public, sont visées par les dispositions du titre VI pour ce qui concerne la mise à disposition des données aux réutilisateurs de données.
\nAd article 20 Conformément aux dispositions du règlement (UE) 2022/868, l’article liste limitativement les finalités pour lesquelles l’accès et la réutilisation aux données visés au titre VI de la loi sont autorisés, sous réserve des conditions applicables.
\nA la lumière des dispositions du règlement (UE) 2022/868, la réutilisation des données sous le régime dudit règlement inclut l’utilisation de données détenues par des organismes du secteur public, et ce tant à des fins commerciales, qu’à des fins non commerciales autres que l’objectif initial de la mission de service public pour lequel les données ont été produites.
\nAd article 21 Cet article précise la forme que les données prévues à l’article 19, paragraphe 1er doivent avoir lorsqu’elles sont rendues accessibles à des fins de réutilisation au sens du titre VI.
\nLorsqu’il s’agit de données à caractère personnel, l’accès et la réutilisation ne peuvent concerner que des données à caractère personnel préalablement anonymisées. Par dérogation à ce principe général, il peut être fait usage de données à caractère personnel préalablement pseudonymisées, à condition de démontrer que la réutilisation de données anonymisées ne permet pas d’atteindre les finalités poursuivies.
\nA l’instar des dispositions du règlement européen relatif à l’espace européen des données de santé, l’article impose aux organismes du secteur public qui détiennent les données à caractère personnel et les données à caractère non personnel d’identifier les données protégées pour les motifs visés à l’article 19 de la loi.
\nPar ailleurs, conformément aux exigences de la réglementation européenne, en particulier les dispositions du règlement (UE) 2022/868, le texte prévoit une obligation de confidentialité à laquelle le réutilisateur des données est tenu lorsqu’il prend connaissance, malgré les garanties mises en place, d’informations compromettant les droits et libertés de tiers.
\nDans ce même ordre d’idées, la disposition interdit au réutilisateur de données de rétablir l’identité de toute personne concernée à laquelle se rapportent les données. Il est également tenu de mettre en place des mesures techniques et opérationnelles appropriées. Celles-ci doivent être actualisées en tenant compte de l’état de la technique.
\n59 Le système proposé s’applique sans préjudice des obligations prévues aux articles 33 et 34 du règlement (UE) 2016/679 auxquelles les réutilisateurs de données sont tenus en leur qualité de responsable du traitement. Il en va de même des obligations incombant aux réutilisateurs de données conformément à l’article 5, paragraphe 5 du règlement (UE) 2022/868.
\nAd article 22 Cet article prévoit les conditions cumulatives dans lesquelles les accès et la réutilisation de données à caractère personnel par les réutilisateurs de données sont autorisés conformément aux dispositions du titre VI de la loi.
\nAinsi, il faut que le réutilisateur de données veille à ce que l’accès et la réutilisation s’inscrivent exclusivement dans une ou plusieurs des finalités limitativement énoncées par la loi. En signant la demande et en soumettant cette dernière conformément aux dispositions des titres VI et VII, il s’engage à les respecter.
\nEncore est-il requis que l’accès et la réutilisation des données ne porte pas une atteinte disproportionnée aux droits et libertés de la personne concernée. L’analyse de proportionnalité doit être documentée dans le cadre de la demande et des pièces justificatives qui doivent y être jointes.
\nLe libellé de cette condition, visant à encadrer la réutilisation des données de manière non discriminatoire, transparente, proportionnée et objectivement justifiée conformément au règlement (UE) 2022/868, s’inspire étroitement des dispositions de l’article 17, paragraphe 4 de la loi du 17 août 2018 relative à l’archivage.
\nDe plus, l’accès et la réutilisation des données à caractère personnel présupposent qu’un accord a été trouvé entre les réutilisateurs de données et tous les organismes du secteur public détenant les données et que ces derniers marquent leur accord à l’accès aux fins de la réutilisation des données.
\nDans ce contexte, il échet de noter que seul l’accord de l’organisme du secteur public qui détient les données est requis. En d’autres termes, il n’est pas nécessaire de solliciter l’accord de tous les autres acteurs auprès desquelles l’organisme du secteur public a initialement collecté les données.
\nL’accord par les organismes du secteur public qui détiennent les données peut être exprimé par ces derniers en inscrivant les données disponibles sur la liste des ressources consultable, qui est tenue par le point d’information unique conformément à l’article 8, paragraphe 2 du règlement (UE) 2022/868.
\nDans l’hypothèse où les données ne figurent pas sur cette liste, les organismes du secteur public qui détiennent les données à caractère personnel ont la possibilité de marquer leur accord spécifique à la mise à disposition des données à caractère personnel aux fins d’accès et de réutilisation par les réutilisateurs de données en contresignant la demande que le réutilisateur des données prévoit d’introduire auprès de l’Autorité des données. Le réutilisateur de données sera dès lors tenu de procéder à une concertation avec tous les organismes du secteur public détenant les données en amont de l’introduction auprès de l’Autorité des données de la demande d’accès et de réutilisation des données conformément au titre VII de la loi.
\nPour ce faire, les réutilisateurs de données ont la faculté de recourir aux services proposés par le LNDS, qui dans ce cas de figure est obligé d’assister le réutilisateur, que ce soit au niveau de la préparation 60 de la demande et des pièces à joindre à celle-ci, ou au niveau de la préparation des démarches auprès des organismes du secteur public en vue d’obtenir leur accord à l’accès et à la réutilisation des données que ces derniers détiennent. Rien n’empêche que le réutilisateur recoure aux services offerts par d’autres acteurs, tel que le Centre, pour préparer la demande d’accès et de réutilisation. Cela étant dit, le texte n’impose pas d’obligation au Centre de fournir cette assistance.
\nDans ce cas de figure, l’accord des organismes du secteur public détenant les données se manifeste par leur contresignature de la demande à introduire auprès de l’Autorité des données. En l’absence de la contresignature de la demande par toutes les parties en question, la demande d’accès et de réutilisation de données à caractère personnel est déclarée irrecevable par l’Autorité des données conformément aux dispositions de l’article 29, paragraphe 4.
\nCela étant, le réutilisateur de données, confronté à un refus d’un ou de plusieurs organismes du secteur public détenant les données (notamment au motif d’une atteinte disproportionnée aux droits et libertés de la personne concernée ou parce que la demande ne s’inscrit pas dans une des finalités prévues par la loi), a la faculté de saisir le Conseil consultatif pour avis. Comme évoqué plus haut (commentaire ad article 18), la procédure prévue à l’article sous examen est identique à celle prévue par les dispositions de l’article 17 de la loi du 17 août 2018 relative à l’archivage.
\nAinsi, l’avis du Conseil consultatif n’est pas contraignant, mais invite les organismes du secteur public détenant les données à revoir leur position et, le cas échéant, à rendre une décision finale favorable à la réutilisation.
\nLe Conseil consultatif dispose d’un délai de trois semaines pour rendre son avis. Une fois l’avis rendu, l’organisme du secteur public détenant les données sollicitées dispose de trois semaines pour prendre une décision finale. Cette décision d’autorisation ou de refus doit être actée par écrit. A noter que le défaut de réponse formelle par l’organisme du secteur public détenant les données équivaudra à un refus.
\nEn cas d’accord, l’organisme du secteur public détenant les données à caractère personnel contresigne la demande d’accès et de réutilisation visée à l’article 28, sous peine d’irrecevabilité.
\nEn complément des conditions énoncées ci-avant, l’article sous examen soumet l’accès et la réutilisation des données à caractère personnel à la condition que les données soient anonymisées ou pseudonymisées préalablement à leur accès et à leur réutilisation. A noter également que les dispositions de l’article 35 relatives aux mesures appropriées trouvent application.
\nEnfin, et sous réserve du respect des conditions susvisées, l’article conditionne l’accès et la réutilisation des données à caractère personnel au fait que l’accès et la réutilisation des données se fassent dans l’environnement de traitement sécurisé visé à l’article 36.
\nA l’instar des dispositions du « Bundesdatenschutzgesetz »13 ainsi que, notamment, de l’article 3(6bis) de la loi relative à la lutte contre le blanchiment et contre le financement du terrorisme14, le paragraphe 2 prévoit, dans une optique de sécurité juridique, le fondement de licéité aux termes du règlement (UE) 2016/679 pour le traitement ultérieur, y compris le partage et la mise à disposition de 13 Bundesdatenschutzgesetz (BDSG), § 23 Verarbeitung zu anderen Zwecken durch öffentliche Stellen.
\n14 « Le traitement de données à caractère personnel sur base de la présente loi aux fins de la prévention du blanchiment et du financement du terrorisme est considéré comme une question d’intérêt public au titre du règlement (UE) 2016/679 ».
\n61 données à caractère personnel, par les organismes du secteur public conformément au titre VI. Dans ce cadre, il est renvoyé aux explications reprises sous le commentaire de l’article 15 supra.
\nLe considérant (159) du règlement (UE) 2016/679 précise expressément que le « traitement de données à caractère personnel à des fins de recherche scientifique devrait être interprété au sens large et couvrir, par exemple, le développement et la démonstration de technologies, la recherche fondamentale, la recherche appliquée et la recherche financée par le secteur privé. Il devrait, en outre, tenir compte de l'objectif de l'Union mentionné à l'article 179, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, consistant à réaliser un espace européen de la recherche. Par « fins de recherche scientifique », il convient également d'entendre les études menées dans l'intérêt public dans le domaine de la santé publique » (mise en évidence ajoutée).
\nDe ce fait, le traitement de données à caractère personnel effectué par les réutilisateurs de données conformément au titre VI pour les finalités énoncées à l’article 20 devrait être licite en application de l’article 9, paragraphe 2, points g) ou j) du règlement (UE) 2016/679, en particulier compte tenu du fait que la loi prévoit expressément des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.
\nAd article 23 L’article 23 de la loi sous examen constitue le pendant de l’article 22. La différence avec l’article 22 réside dans son champ d’application qui est celui de l’accès et de la réutilisation des données à caractère non personnel détenues par les organismes du secteur public.
\nAinsi, les conditions sont fort semblables à celles de l’article 22, tout en étant adaptées aux spécificités liées à la nature des informations et des données à caractère non personnel.
\nIl n’appelle pas d’observations particulières autres que celles formulées dans le cadre de l’article 22 supra.
\ncaractère personnel et des données à caractère non personnel Ad article 24 L’article 24 vise les cas de figure où un accès et une réutilisation portent sur un ensemble de données inextricablement liées comprenant à la fois des données à caractère personnel ainsi que des données à caractère non personnel. Tel est notamment le cas lorsqu’un accès et une réutilisation portent sur des informations protégées pour un ou plusieurs motifs visés à l’article 19, paragraphe 1er, points 1° à 3°, combinées avec les coordonnées des personnes concernées (constituant des données à caractère personnel au sens du règlement (UE) 2016/679) auxquelles se rapportent les informations en question.
\nDans ces cas de figure, les conditions applicables aux données à caractère personnel et celles applicables aux données à caractère non personnel s’appliquent cumulativement.
\n62
\npar les entités publiques et à l’accès et la réutilisation des données par des réutilisateurs de données
\nAd article 25 Cet article précise que les dispositions du titre VII couvrent tant les cas de figure visés au titre V (traitement ultérieur de données à caractère personnel par les entités publiques) que ceux du titre VI du projet de loi sous examen (accès et réutilisation de données détenues par des organismes du secteur public), qui sont soumis à autorisation de l’Autorité des données. De ce fait, l’article rend inapplicables les dispositions du titre VII, y compris de l’obligation de la mise en place d’un plan de confidentialité et d’un recours à l’environnement de traitement sécurisé, au traitement ultérieur de données à caractère personnel par la même entité publique conformément à l’article 17 de la loi.
\nLe présent titre, qui s’inscrit dans l’esprit de la mise en œuvre des garanties appropriées généralement acceptées en matière de protection des données, est soumise à une analyse d’impact relative à la protection des données générale dans le cadre de l’adoption de la loi conformément à l’article 35, paragraphe (10) du règlement (UE) 2016/679. x Détermination par la loi des bases de licéité. x x x Qualité des données x Non-réidentification x Accès restreint Détermination limitative par la loi des finalités autorisées.
\nNécessité x Proportionnalité x Privacy by default Sécurité juridique x MESURES Privacy by design Responsabilisation Détermination par le législateur des responsables du traitement et des sous-traitants.
\nGARANTIES Minimisation Transparence L’analyse d’impact révèle que les nombreuses mesures prévues par la loi constituent des garanties transversales fortes permettant d’éviter d’atteintes disproportionnées aux droits et libertés des personnes concernées par rapport aux finalités de traitement ultérieur et de réutilisation autorisées par la loi. Les principales mesures et garanties peuvent être résumées comme suit :
\n63 Accord préalable de l’entité publique détentrice. x Autorisation préalable de l’Autorité de données en cas de données non-anonymes sur base d’une analyse extensive concrète des conditions du traitement ultérieur et de la réutilisation. x Exigence d’une documentation détaillée relative au traitement ultérieur à charge des entités publiques utilisatrices/relative au réutilisation des données à charge des réutilisateurs. x x x x x x x x x x x x x x x x x x x x x x x x x x x x x Anonymisation / pseudonymisation préalable aux actes de traitement effectués dans le cadre du traitement ultérieur et de la réutilsation, ainsi que d’agrégation en cas de réutilisation. x x x Actes de pseudonymisation sous la responsabilité de l’Autorité des données, du Centre et, le cas échéant, du tiers de confiance. x x x x x x x x x x x x x x x x x Exigence d’un plan de confidentialité à mettre en place par les entités publiques utilisatrices et les réutilisateurs décrivant le processus d’anonymisation ou de pseudonymisation et d’agéragation des données.
\nValidation du plan de confidentialité par le Centre ou un tiers de confiance mandaté par le Centre.
\nRéalisation du traitement ultérieur (sur des données non anonymes) et de la réutilisation dans un environnement de traitement sécurisé. x x 64 Définition d’exigences légales strictes concernant le fonctionnement de l’environnement sécurisé. x x x x x x x x x x x x Indépendance des acteurs et de leur personnel. x Obligation de confidentialité et au secret professionnel (art. 458 du code pénal) des acteurs désignés pour intervenir dans le cadre de la mise en place du processus d’anonymisation ou de pseudonymisation des données à caractère personnel.
\nObligation à charge de l’Autorité des données, du Centre et du tiers de confiance de désigner le personnel en charge des missions prévues le texte.
\nInterdiction de réidentification des personnes concernées. x x x x La mise en œuvre des mesures et garantie prévues par la loi est dès lors de nature à limiter de manière satisfaisante le risque de perte de confidentialité (i.e. accès illégitime aux données), d’intégrité (i.e. modification non désirée des données) et de perte de disponibilité (i.e. vol et destruction de données).
\nAinsi, les entités publiques effectuant un traitement ultérieur de données à caractère personnel au sens du titre V ainsi que les réutilisateurs de données visés au titre VI, soumis aux formalités du titre VII, peuvent se limiter lors de la réalisation de leur propre analyse d’impact aux seuls éléments spécifiques du traitement ultérieur ou de la réutilisation qu’ils envisagent, à savoir en particulier aux éléments visés respectivement aux articles 27 et 28.
\nAd article 26 L’article sous examen pose l’exigence que les demandes à adresser à l’Autorité des données revêtent une forme écrite. La formulation prévue est techniquement neutre. Ainsi, les demandes sont présentées exclusivement sous format électronique et peuvent être signées électroniquement.
\nLes demandes doivent être formulées avec un degré de précision suffisant pour que l’Autorité des données soit en mesure de prendre une décision éclairée et ce en connaissance de tous les éléments entourant le traitement ultérieur ou l’accès et la réutilisation des données.
\n65 Aux termes du paragraphe 2, toute modification substantielle de la demande ou de ses annexes nécessite le dépôt d’une nouvelle demande dans les formes et conditions prévues à l’article 29 du projet de loi. Tel est notamment le cas si le réutilisateur de données sollicite : - un élargissement du contexte du traitement de données envisagé, que ce soit au niveau des organismes du secteur public détenant les données, qu’au niveau des destinataires des données ; une modification des conditions d’anonymisation, de pseudonymisation, d’agrégation ou de toute autre méthode de contrôle de la divulgation des données visées à l’article 21 ; une modification des catégories de données, notamment compte tenu d’une introduction souhaitée de données dans l’environnement de traitement sécurisé, ou de personnes concernées ; une modification des finalités de l’accès et de la réutilisation.
\nAd article 27 Cet article énonce limitativement les informations et éléments que la demande de traitement ultérieur de données à caractère personnel doit contenir.
\nIl énonce également de manière expresse les documents qui doivent être annexés à la demande, à savoir l’analyse d’impact relative à la protection des données à caractère personnel visée par les dispositions du règlement (UE) 2016/679 ainsi que la notice d’information à l’adresse des personnes concernées, de même que le plan de confidentialité signé par les acteurs impliqués par ledit traitement.
\nLa responsabilité de veiller à l’exactitude des informations contenues dans la demande et les pièces jointes repose exclusivement sur les entités publiques qui soumettent la demande à l’Autorité des données. Cette dernière ne saurait être tenue responsable d’éventuels manquements par le demandeur ou d’éventuelles non-conformités des documents, tels que l’analyse d’impact relative à la protection des données visée par l’article 35 du règlement (UE) 2016/679 ou l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679, versés par le demandeur. Il en va de même pour le plan de confidentialité soumis à l’Autorité des données dans le cadre de la demande.
\nDans ce sens, le paragraphe 3 prévoit expressément que les entités publiques effectuant le traitement ultérieur de données à caractère personnel certifient l’exactitude des informations contenues dans la demande et les pièces jointes, ainsi que le fait que le plan de confidentialité tient compte de tous les éléments de la demande. Ils s’engagent, en outre, formellement à respecter les termes de l’autorisation de l’Autorité des données et du plan de confidentialité.
\nToute fourniture, lors de l’introduction de la demande, d’informations sciemment inexactes ou en violation avec les dispositions de l’article 27 entraînent l’application de sanctions pénales (article 38).
\nAd article 28 66 Cet article prévoit de manière explicite les informations à présenter par les réutilisateurs de données dans le cadre d’une demande d’accès et de réutilisation visée au titre VI du projet de texte.
\nTout comme pour les demandes couvrant les cas de figure visés au titre V, l’article énonce de manière limitative les documents à joindre par le réutilisateur de données à sa demande d’accès et de réutilisation.
\nLa responsabilité de veiller à l’exactitude des informations contenues dans la demande et les pièces jointes repose exclusivement sur les réutilisateurs de données qui soumettent la demande à l’Autorité des données. Cette dernière ne saurait être tenue responsable pour d’éventuels manquements par le demandeur ou pour d’éventuelles non-conformités des documents, tels que l’analyse d’impact relative à la protection des données visée par l’article 35 du règlement (UE) 2016/679 ou l’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679, versés par le demandeur. Il en va de même pour le plan de confidentialité soumis à l’Autorité des données dans le cadre de la demande.
\nDans ce sens, le paragraphe 5 prévoit expressément que les réutilisateurs de données certifient l’exactitude des informations contenues dans la demande et les pièces jointes ainsi que le fait que le plan de confidentialité tient compte de tous les éléments de la demande. Ils s’engagent, en outre, formellement à respecter les termes de l’autorisation de l’Autorité des données et du plan de confidentialité. Ceci s’applique sans préjudice des dispositions du règlement (UE) 2022/868, notamment de l’article 5, paragraphe 10 dudit règlement.
\nToute fourniture, lors de l’introduction de la demande, d’informations sciemment inexactes ou en violation avec les dispositions de l’article 28 entraîne l’application de sanctions pénales (article 38).
\nAd article 29 Cet article précise que les demandes de traitements ultérieurs de données à caractère personnel conformément au titre V ainsi que les demandes de réutilisation de données conformément au titre VI doivent être déposées auprès de l’Autorité des données et prévoit la procédure de dépôt.
\nIl prévoit également des dispositions spécifiques visant le cas où le demandeur sollicite une modification limitée à la durée (prévue aux articles 27, paragraphe 1er, point 7° ou 28, paragraphe 1er, point 10°) couverte par l’autorisation initiale de l’Autorité des données.
\nLa procédure de modification ponctuelle de la durée est inspirée du régime mis en œuvre par l’autorité finlandaise « FinData » (« Social and health data permit authority ») dans le contexte de la législation sur la réutilisation des données de santé et de la sécurité sociale sous le régime du « Act on the Secondary Use of Health and Social Data ».
\nPour éviter la suppression irrémédiable des données liées à un projet autorisé, ces dernières sont conservées dans un système d’archivage intermédiaire à accès restreint pendant le délai d’instruction de la demande de modification ponctuelle, lorsque le temps pris pour instruire la demande excède la durée couverte par l’autorisation initiale de l’Autorité des données.
\n67 Pour éviter toute fraude ou traitement illicite d’informations dans le système d’archivage intermédiaire, le Centre, en tant que gestionnaire de l’environnement de traitement sécurisé, doit au moins mettre en œuvre les garanties appropriées prévues par la disposition sous examen.
\nDans un souci de simplification administrative, le paragraphe 5 prévoit une procédure spécifique lorsque l’Autorité des données demande des renseignements complémentaires au demandeur.
\nL’objectif est d’éviter que le demandeur ne doive recommencer l’entière procédure prévue au titre VII en raison d’un élément mineur qui fait défaut ou devrait être clarifié. Si le demandeur ne répond pas dans un délai d’un mois, sa demande est rejetée d’office.
\nCela étant dit, la procédure spécifique du paragraphe 5 est sans préjudice des cas de figure où l’Autorité des données est appelée à déclarer irrecevable les demandes qui ne comprennent pas tous les éléments énoncés aux articles 27 ou 28.
\nAd article 30 Cet article prévoit que l’Autorité des données fixe, pour chaque demande de traitement ultérieur des données ou d’accès et de réutilisation des données, une redevance afin couvrir les frais administratifs occasionnés par le traitement de la demande et par la mise à disposition des données dans l’environnement de traitement sécurisé.
\nLa procédure applicable à la perception de la redevance est fixée par règlement grand-ducal.
\nAd article 31 Cet article prévoit les cas dans lesquels l’Autorité des données délivre l’autorisation conformément aux titres V à VII de la loi sous examen.
\nLe système proposé s’inscrit dans la mise en œuvre des garanties appropriées conformément à l’article 89, paragraphe 1er du règlement (UE) 2016/679 et dans la mise en œuvre des dispositions du règlement (UE) 2022/868.
\nAinsi, l’Autorité des données autorise toute demande qui respecte les conditions énoncées à l’article sous examen, après s’être assurée, sur base d’un examen quant au fond, de l’absence d’atteinte disproportionnée aux droits et libertés d’autrui au regard des finalités poursuivies.
\nA noter que le demandeur qui se voit accorder une autorisation de l’Autorité des données est tenu de respecter les conditions émises.
\nLes décisions d’autorisation ou de refus de l’Autorité des données doivent être motivées. Elles comportent comme pièces jointes, la demande qui lui a été présentée ainsi que, le cas échéant, l’avis du Conseil consultatif.
\nLe paragraphe 4 prévoit les conditions dans lesquelles une modification substantielle du traitement ultérieur de données à caractère personnel visé au titre V ou de l’accès et de la réutilisation des données visés au titre VI couverts par une autorisation de l’Autorité des données peut être sollicitée par le demandeur initial. Dans l’hypothèse où l’entité publique effectuant le traitement ultérieur de 68 données à caractère personnel couvert par l’autorisation initiale de l’Autorité des données sollicite une modification substantielle de celui-ci, elle est tenue d’introduire une nouvelle demande et de recommencer la procédure prévue au titre VII de la loi. Constituent notamment une modification substantielle du traitement ultérieur autorisé : - un élargissement du contexte du traitement de données envisagé, que ce soit au niveau des organismes du secteur public détenant les données, qu’au niveau des destinataires des données ; une modification des conditions d’anonymisation ou de pseudonymisation des données à caractère personnel ; une modification des catégories de données ou de personnes concernées ; une modification des finalités de l’accès et de la réutilisation.
\nA noter que la procédure est identique pour les cas où la modification substantielle porte sur l’accès et la réutilisation des données visés au titre VI.
\nEn dérogation à cette procédure, le paragraphe 5 instaure une procédure spécifique pour les cas où la modification sollicitée porte exclusivement sur les éléments visés à l'article 27, paragraphe 1er, point 7° ou à l'article 28, paragraphe 1er, point 10° autorisés par l’Autorité des données. Dans ces cas de figure, l’Autorité des données est appelée à statuer par voie de procédure accélérée conformément aux dispositions de l’article 29, paragraphe 3.
\nA l’instar des dispositions du règlement européen relatif à l’espace européen des données de santé, le texte impose aux entités publiques et aux organismes du secteur public de mettre les données à caractère personnel et les données à caractère non personnel visées par l’autorisation de l’Autorité des données à disposition de celle-ci en vue de la mise en œuvre des mesures d’anonymisation, de pseudonymisation et d’agréagtion ainsi que de leur mise à disposition de l’environnement de traitement sécurisé.
\nPar ailleurs, l’article prévoit que les entités publiques traitant ultérieurement les données à caractère personnel et les réutilisateurs de données doivent traiter les données uniquement conformément aux termes de l’autorisation de l’Autorité des données.
\nAd article 32 Conformément aux dispositions du règlement (UE) 2022/868, l’Autorité des données a le droit de vérifier le processus, les moyens et tout résultat du traitement ultérieur de données à caractère personnel et des accès et réutilisations de données faits conformément aux dispositions du projet de loi, afin de préserver l’intégrité de la protection des données ainsi que des autres droits éventuellement applicables, tels que la propriété intellectuelle ou la confidentialité commerciale.
\nPour autant, le Centre reste le garant de l’efficacité de l’anonymisation et de la pseudonymisation des données à caractère personnel ainsi que de la modification, de l’agrégation, de la suppression et du contrôle de la divulgation des données, conformément aux exigences de la loi sous examen et du règlement (UE) 2022/868.
\nDans l’hypothèse où l’Autorité des données constate que les résultats contiennent des informations qui seraient susceptibles de porter atteinte aux droits et intérêts de tiers, elle a le droit d’interdire 69 l’utilisation desdits résultats. Sa décision d’interdiction doit être transparente et compréhensible pour les réutilisateurs de données.
\nLes dispositions de l’article 32 s’entendent sans préjudice des prérogatives de la Commission nationale pour la protection des données d’interdire les traitements de données à caractère personnel opérés en contravention aux conditions reprises dans l’autorisation émise par l’Autorité des données, conformément au règlement (UE) 2016/679, lu ensemble avec la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.
\nAd article 33 L’article 33 met en œuvre les exigences prévues, en particulier à l’article 5, paragraphe 1er du règlement (UE) 2022/868.
\nIl n’appelle pas d’observations particulières.
\nAd article 34 L’Autorité des données tient un registre des traitements ultérieurs de données à caractère personnel autorisés conformément au titre V, ainsi que des accès et réutilisations des données autorisés conformément au titre VI. Le registre est accessible publiquement. Ce registre contient pour chaque autorisation accordée, une copie de la décision adoptée ainsi que, si applicable, l’avis du Conseil consultatif et la notice d’information à destination des personnes concernées visée aux articles 12 à 14 du règlement (UE) 2016/679 à communiquer par le demandeur.
\nDans un objectif de transparence, la publication des éléments d’information à destination des personnes concernées visée au paragraphe 2 vaut information des personnes concernées au sens des articles 12 à 14 du règlement (UE) 2016/679.
\nLe système central d’information des personnes concernées constitue une avancée substantielle par rapport au status quo, qui se caractérise par une diversité de canaux de communication indirects d’informations (notamment sur les différents sites internet) à l’adresse des personnes concernées sur les traitements de données à caractère personnel, conformément à l’article 14, paragraphe 5 du règlement (UE) 2016/679.
\nLa responsabilité de veiller à l’exactitude des éléments contenus dans la notice d’information soumis à l’Autorité des données revient exclusivement aux entités publiques effectuant le traitement ultérieur des données à caractère personnel et aux réutilisateurs de données. L’Autorité des données ne saurait être tenue responsable d’éventuels manquements par le demandeur ou d’éventuelles nonconformités de l’information à destination des personnes concernées au regard des dispositions du règlement (UE) 2016/679.
\n70
\ntraitement sécurisé Ad article 35 Cet article impose la mise en œuvre de mesures d’anonymisation et/ou de pseudonymisation des données à caractère personnel et/ou de modification, d’agrégation, de suppression et de traitement selon toute autre méthode de contrôle de la divulgation des données préalablement aux traitements ultérieurs de données à caractère personnel et aux réutilisations de données. Ces mesures doivent être effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits de tiers, telles que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle.
\nPour garantir la confidentialité des données, le paragraphe 1er instaure le principe de l’anonymisation, de la pseudonymisation et de l’agrégation des données à la source, et ce afin que nul autre que l’entité publique ou l’organisme du secteur public desquelles proviennent les données n’ait accès aux données en clair.
\nLe recours à de telles mesures appropriées à la source s’inscrit dans une optique de mise en œuvre de garanties appropriées pour les droits et libertés de la personne concernée conformément à l’article 89, paragraphe 1er du règlement (UE) 2016/679. Il permet également d’assurer le respect des exigences instaurées par le règlement (UE) 2022/868.
\nLe paragraphe 2 énonce la procédure applicable et prévoit que les méthodes et modalités des mesures d’anonymisation, de pseudonymisation et d’agrégation des données doivent être choisies et mises en œuvre sur base d’une évaluation spécifique à la demande.
\nL’évaluation des mesures spécifiques à mettre en œuvre est initiée par l’acteur qui souhaite introduire une demande d’autorisation à l’Autorité des données conformément à l’article 29, à savoir, dans les cas visés au titre V, par les entités publiques effectuant le traitement ultérieur de données à caractère personnel et, dans les cas visés au titre VI, par les réutilisateurs de données.
\nCette analyse doit être consignée dans un plan de confidentialité.
\nLe Centre, ou le tiers de confiance mandaté par le Centre, fort de son expertise en la matière, doit valider le projet de plan de confidentialité qui lui est soumis. Afin de lui permettre d’évaluer les besoins spécifiques d’anonymisation et de pseudonymisation des données à caractère personnel et/ou les besoins spécifiques liés à la modification, l’agrégation, la suppression et au traitement selon toute autre méthode de contrôle de la divulgation des données, le demandeur doit, de sa propre initiative et sur sollicitation, fournir au Centre, ou au tiers de confiance mandaté par le Centre, toute information pertinente liée au traitement ultérieur de données à caractère personnel ou à l’accès et la réutilisation de données.
\nRien n’empêche que le LNDS soit sollicité par le demandeur pour lui fournir une assistance dans le cadre de la préparation et de l’amendement du plan de confidentialité. Cette assistance peut prendre la forme de propositions sur la meilleure manière d’anonymiser et de pseudonymiser les données à caractère personnel et d’agréger les données. Cela étant dit, lorsque le demandeur a recours aux 71 services offerts par le LNDS pour préparer le plan de confidentialité et la demande, l’obligation de fourniture de renseignements s’applique également en cas de demande du LNDS.
\nLe plan de confidentialité est amendé jusqu’à validation finale et signature par tous les acteurs concernés. Il contient une description détaillée des mesures appropriées à mettre en œuvre et précise les obligations respectives des acteurs. Par ailleurs, il attribue clairement et de manière univoque les responsabilités respectives dans la mise en œuvre desdites mesures. Sans préjudice des obligations d’anonymisation, de pseudonymisation et d’agrégation à la source, ceci pourrait notamment impliquer que le Centre soit chargé de contrôler que les jeux de données anonymisés, pseudonymisés et/ou agrégés à la source ne permettent pas, notamment, la réidentification des personnes concernées après leur traitement et combinaison conformément au paragraphe 4.
\nEn signant le plan de confidentialité, le Centre, ou le tiers de confiance mandaté par le Centre, certifie que les mesures prévues au paragraphe 1er consignées dans le plan de confidentialité sont effectives et efficaces pour éviter toute réidentification des personnes concernées ainsi que toute atteinte aux droits de tiers, tels que la confidentialité commerciale, y compris le secret d’affaires, le secret professionnel et le secret d’entreprise, le secret statistique et de propriété intellectuelle, de sorte que ces exigences techniques ne font plus l’objet d’une vérification par l’Autorité des données.
\nCompte tenu du fait que le Centre doit certifier la faisabilité de la mise en œuvre des mesures énoncées dans le plan de confidentialité et de la mise à disposition des données dans l’environnement de traitement sécurisé, le Centre doit être impliqué au cours de l’élaboration du plan de confidentialité. L’objectif est de s’assurer, en amont, de la faisabilité du projet et d’œuvrer, dès le départ, vers un plan de confidentialité viable et réalisable. L’attestation de faisabilité du Centre doit être jointe à la demande visée aux articles 27 et 28 de la loi.
\nLe paragraphe 4 a trait aux actions à prendre par le Centre, ou par le tiers de confiance mandaté par ce dernier.
\nSans préjudice de l’obligation de procéder à l’anonymisation, de la pseudonymisation et de l’agrégation à la source, la combinaison et le traitement des données doit se faire exclusivement sous le contrôle du Centre. Ceci permet d’éviter des fuites de données détenues par les organismes du secteur public ainsi que des risques de réidentification potentiels. Ainsi, il est formellement exclu que les données détenues par les acteurs publics sortent de leur environnement sécurisé en vue d’une combinaison éventuelle, notamment par des entités privées avec leurs propres données, car ceci augmente potentiellement le risque de réidentification. Cette restriction constitue dès lors un gardefou important pour le respect des droits et libertés individuels. Elle permet également d’éviter que des données soient mises à disposition dans l’environnement de traitement sécurisé en l’absence d’autorisation de l’Autorité des données.
\nAd article 36 Conformément au règlement (UE) 2022/868, il est instauré un environnement de traitement sécurisé.
\nIl est mis à disposition par l’Autorité des données et géré par le Centre.
\nL’environnement de traitement sécurisé constitue une garantie essentielle en ce qu’il permet de ne pas transmettre directement les données sollicitées aux réutilisateurs et de conserver le contrôle sur ces dernières notamment en sélectionnant quelles opérations de traitement peuvent y être réalisées 72 (notamment l’affichage, le stockage, la suppression, l’exportation) et en encadrant strictement l’extraction des données/résultats (ex. interdiction d’extraction de données non anonymisées). Il constitue ainsi une garantie appropriée pour les droits et libertés de la personne concernée conformément à l’article 89, paragraphe 1er du règlement (UE) 2016/679.
\nAinsi, le réutilisateur de données travaillant dans l’environnement de traitement sécurisé devrait pouvoir réutiliser les données uniquement aux fins et de la manière présentées dans la demande et telles que prévues dans l’autorisation. Le réutilisateur de données ne devrait pas pouvoir reproduire les données, de plus les données devraient y être mises à disposition uniquement dans le cadre d’une demande autorisée de manière cloisonnée. Le système proposé s’inscrit dans le même ordre d’idées que la « Luxembourg Microdata Platform on Labour and Social Protection » développée par l’Inspection générale de la sécurité sociale (IGSS).
\nL’article prévoit également les exigences que l’environnement de traitement sécurisé doit remplir, à savoir notamment la journalisation des accès, les conditions d’authentification des réutilisateurs de données ainsi que le fait que les accès doivent se limiter aux seules données sur lesquelles portent l’autorisation de l’Autorité des données.
\nAfin de conserver le contrôle de l’environnement de traitement sécurisé et des données qui y sont mises à disposition, cet environnement de traitement sécurisé ne doit pas permettre au réutilisateur de données d’y ajouter des données ou de les combiner avec les données provenant des organismes du secteur public sans avoir obtenu l’autorisation de l’Autorité des données.
\nDans le même objectif, il n’est pas permis d’introduire dans l’environnement de traitement sécurisé des solutions technologiques, sauf dans les conditions établies par la loi.
\nLe paragraphe 4 vise des réutilisations transfrontalières de données. Le système proposé permet au Centre, sous réserve de l’autorisation de l’Autorité des données, de créer un environnement de traitement sécurisé commun entre organismes compétents de l’Union européenne désignés conformément à l’article 7 du règlement (UE) 2022/868 et de combiner les données sollicitées dans un tel contexte.
\nAd article 37 A l’instar des dispositions du règlement européen relatif à l’espace européen des données de santé, l’article précise les rôles et responsabilités des parties impliqués dans le traitement ultérieur des données à caractère personnel et dans la réutilisation des données. Il instaure une chaine de responsabilité du traitement de données. En ce faisant, l’article clarifie que les acteurs qu’il vise dans ses paragraphes 1 à 3 n’agissent pas comme responsables conjoints du traitement, mais chacun de manière successive pour les opérations de traitement de données à caractère qu’il opère conformément à la loi. De ce fait, il assure la cohérence avec les dispositions de la réglementation sectorielle, notamment celles prévues par le règlement européen relatif à l’espace européen des données de santé.
\nAinsi, les entités publiques et les organismes du secteur public détenant les données ont la qualité de responsable du traitement pour la mise à disposition des données à caractère personnel sollicitées.
\n73 L’Autorité des données, à son tour, la qualité de responsable du traitement pour le traitement de données à caractère personnel réalisé dans le cadre de l’accomplissement de ses missions conformément à la présente loi, ceci sans préjudice de la possibilité de sous-traiter des tâches à d’autres acteurs. Partant, notamment dans les cas visés aux articles 35 et 36, le Centre agit comme sous-traitant de l’Autorité des données. Le Centre peut sous-traiter ultérieurement les tâches et missions lui attribuées conformément à la loi. Dans ce contexte, la loi régit les relations de soustraitance entre l’Autorité des données et le Centre au sens de l’article 28 du règlement (UE) 2016/679, de sorte qu’un encadrement conventionnel desdites relations ne s’impose plus.
\nLes entités publiques qui traitent ultérieurement les données à caractère personnel et les réutilisateurs de données ont, à leur tour, la qualité de responsable du traitement pour les traitements de données à caractère personnel dans l’environnement de traitement sécurisé.
\nAd article 38 Les décisions adoptées par l’Autorité des données conformément aux dispositions du titre VII sont des actes administratifs. Si ces actes font grief, ils peuvent être portés devant les juridictions administratives.
\nLe recours sera un recours devant le Tribunal administratif qui statue comme juge du fond. Les règles de procédure et de délais applicables sont celles qui régissent ces juridictions.
\nLes dispositions retenues sont reprises de l’article 55 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.
\nd’altruisme des données
\nAd article 39 Conformément à l’article 13 du règlement (UE) 2022/868, la Commission nationale pour la protection des données est désignée autorité compétente pour effectuer les tâches liées à la procédure de notification pour les services d’intermédiation de données.
\nCet article n’appelle pas d’observations particulières.
\nAd article 40 L’article précise que la CNPD dispose des pouvoirs de contrôle tels que prévus à l’article 14 du règlement (UE) 2022/868.
\n74 Cette disposition n’appelle pas d’observations particulières.
\nAd article 41 L’article précise qu’un règlement interne de la Commission nationale pour la protection des données définit la procédure en matière de notification pour les services d’intermédiation de données, conformément à l’article 11 du règlement (UE) 2022/868.
\nCette disposition n’appelle pas d’observations particulières.
\nAd article 42 L’article précise que la Commission nationale pour la protection des données peut, conformément à l’article 11, paragraphe 11, du règlement (UE) 2022/868, imposer des redevances proportionnées et objectives pour la notification des services d’intermédiation. Les modalités de paiement des redevances sont déterminées par règlement de la Commission nationale pour la protection des données.
\nAd article 43 Dans le cadre d’une violation de l’obligation de notification incombant aux prestataires de services d’intermédiation de données en vertu de l’article 11 du règlement (UE) 2022/868 ou des conditions liées à la fourniture de services d’intermédiation de données en vertu de l’article 12 du règlement (UE) 2022/868, la CNPD peut, par voie de décision, imposer des amendes administratives. L’article prévoit une fourchette pour la détermination des amendes. Par ailleurs, il prévoit la possibilité pour la Commission nationale pour la protection des données d’infliger des astreintes.
\nAd article 44 A l’instar des dispositions de l’article 23 du règlement (UE) 2022/868, la Commission nationale est l’autorité compétente responsable du registre public national des organisations altruistes en matière de données reconnues.
\nPar ailleurs, l’article impose à la Commission nationale pour la protection des données la tenue et la mise à jour du registre public national des organisations altruistes en matière de données reconnues.
\nAd article 45 L’article prévoit que la Commission nationale pour la protection des données dispose des pouvoirs de contrôle prévus à l’article 24 du règlement (UE) 2022/868.
\nCette disposition n’appelle pas d’observations particulières.
\n75
\nAd article 46 Les décisions adoptées par la Commission nationale pour la protection des données conformément aux sections I et II du titre VIII sont des actes administratifs. Si ces actes font grief, ils peuvent être portés devant les juridictions administratives.
\nLe recours sera un recours devant le Tribunal administratif qui statue comme juge du fond. Les règles de procédure et de délais applicables sont celles qui régissent ces juridictions.
\nAd article 47 L’article définit l’intitulé de citation de la loi.
\nCette disposition n’appelle pas d’observations particulières. * 76 FICHE FINANCIÈRE (Article 79 de la loi modifiée du 8 juin 1999 sur le Budget, la Comptabilité et la Trésorerie de l’État) Projet de loi relatif à la valorisation des données dans un environnement de confiance Le projet de loi faisant objet engendre aussi bien un impact financier qu’un besoin de recrutement en effectifs.
\nLe projet de loi relatif à la valorisation des données dans un environnement de confiance met, notamment, en œuvre le règlement (UE) 2022/868 sur la gouvernance des données (« data governance act »), applicable depuis le 24 septembre 2023 qui prévoit le cadre réglementaire pour la réutilisation, par des acteurs du secteur privé, des données détenues par les organismes du secteur public.
\nLe règlement (UE) 2022/868 impose aux États membres de prévoir les conditions applicables à la réutilisation des données et d’assortir ces réutilisations d’un contrôle rigoureux des règles de protection desdites données, et ce par le biais d’une autorisation préalable de réutilisation.
\nDans cette optique, le projet de loi sous rubrique prévoit, en particulier, les rôles et responsabilités des différents organismes compétents, la procédure applicable à l’octroi des autorisations de réutilisation des données ainsi que les conditions applicables à la réutilisation des données.
\nA noter que le projet de loi sous rubrique instaure également : • • le principe du « once only », selon lequel une personne fournit une seule fois des données aux autorités publiques, sans avoir à le faire à plusieurs reprises. Cette mesure de simplification administrative, qui constitue une priorité du Gouvernement, fera économiser beaucoup de temps, de ressources et d'argent à tous les acteurs concernés, qu’il s’agisse des citoyens et des entreprises ou de l’administration publique. Dans une optique de cohérence et de transparence administrative, le Commissariat sera impliqué dans la mise en œuvre des formalités administratives (ex. tenue des protocoles d’échange de données entre entités publiques dans le cadre du « once only » et leur publication). le principe selon lequel les traitements de données opérés par les entités publiques en lien avec l’exécution des missions d’intérêt public leurs conférées par les dispositions applicables sont licites, sans qu’il soit nécessaire de disposer d’une loi spécifique qui précise toutes les modalités du traitement de données à caractère personnel.
\nLe Centre des technologies de l’information de l’État, dénommé ci-après par le terme « CTIE » est désignée organisme compétent au sens de l’article 7, paragraphe 1er, du règlement (UE) 2022/868 pour aider l’Autorité des données dans l’exercice de ses missions conformément aux dispositions de la présente loi. Le CTIE aura notamment pour mission de gérer l’environnement de traitement sécurisé prévu à l’article 36, qui est mis à disposition des réutilisateurs de données, et de fournir des orientations et une assistance technique sur la meilleure manière de structurer et de stocker les 77 données pour les rendre facilement accessibles. En outre le CTIE assurera de la mise en œuvre des mesures d’anonymisation et de pseudonymisation des données à caractère personnel et/ou à de modification, d’agrégation, de suppression et de traitement des informations et données selon toute autre méthode de contrôle de la divulgation des données conformément au plan de confidentialité, préalablement à la mise à disposition des données dans l’environnement de traitement sécurisé.
\nUn rôle crucial reviendra au Commissariat du gouvernement à la protection des données auprès de l’État (« Commissariat »). Pour des raisons d’économie budgétaire, de gestion efficace des finances publiques et de cohérence procédurale, le Commissariat est désigné comme organisme compétent pour octroyer ou refuser l’accès à des fins de réutilisation des données détenues par les organismes du secteur public. En tant que structure spécialisée expérimentée dans le conseil en matière de réutilisation de données, il agira comme « Autorité des données » centralisée compétente conformément à l’article 7 du règlement (UE) 2022/868 pour octroyer et pour refuser l’accès aux données détenues par les organismes du secteur public aux fins de leur réutilisation par toute partie intéressée.
\nPar ailleurs, il interviendra comme entité centralisée, compétente pour autoriser les traitements de données à caractère personnel par les entités publiques et pour gérer les protocoles d’échange de données entre entités publiques dans le cadre du « once only ».
\nLe ministère de la Digitalisation assurera l’instauration d’un point d’information unique conformément à l’article 8 du règlement (UE) 2022/868. Ce point d’information unique a pour mission de recevoir les demandes d’accès et de réutilisation de données visées, de les transmettre à l’Autorité des données et d’assurer les échanges et les démarches. En outre, il a la charge de la mise à disposition d’un catalogue des ressources consultables contenant un aperçu de toutes les ressources en données disponibles à l’accès et à la réutilisation de données, avec des informations pertinentes décrivant les données disponibles, y compris au minimum le format et la taille des données ainsi que les conditions applicables à leur réutilisation.
\nImpact financier Le projet de loi n’engendre a priori pas un budget supplémentaire auprès du ministère de la Digitalisation et du CTIE, comme les coûts pour remplir leurs missions décrites sont inclus dans les limites budgétaires prévues dans le budget pluriannuel du ministère et du CTIE.
\nLes coûts pour la mise en place d’une plateforme back-office pour la gestion des demandes d’accès et des autorisations, sont estimés à 750.000 EUR est sont également inclus dans les limites budgétaires prévues dans le budget pluriannuel du CTIE.
\nLe groupement d’intérêt économique PNED G.I.E. - Plateforme nationale d’échange de données, désigné ci-après par le terme « LNDS », est désigné organisme compétent au sens de l’article 7, paragraphe 1er, du règlement (UE) 2022/868. Les tâches lui conférées par le ministère, le CTIE ou le Commissariat sont réalisées dans les limites budgétaires du G.I.E.
\nConformément à l’article 30 du projet de loi, pour chaque demande d’accès, l’autorité des données perçoit une redevance qui se compose :
\n78
\nA titre indicatif : Les coûts forfaitaires sous a) pourrait être fixés à environ 500 EUR par demande déposée.
\nLes coûts sous b) dépendent de la complexité du dossier et des moyens et méthodes techniques mises en œuvre par le plan de confidentialité.
\nLes coûts sous c) sont actuellement estimés à de 125 euros HTVA par jour pour la mise à disposition d’un environnement de traitement sécurité standard (1 GPU vCore + 5GB RAM, 6 CPU vCore + 32GB RAM, 256GB BS, 1TB OS).
\nCependant la préparation des nouvelles missions prévues d’être attribuées au Commissariat en tant qu’« Autorité des données » conformément aux règlement (UE) 2022/868 et au projet de loi régissant la réutilisation des données à caractère personnel par les entités publiques et le « once only » au sein du secteur public constitue une tâche nouvelle non prévue dans le cadre de la préparation initiale du budget 2024 (déposées au courant du mois d’avril 2023) ainsi que dans le cadre de la planification pluriannuelle 2025-2027.
\nToutefois, ces missions requièrent prévisiblement l’investissement de larges parties du budget du Commissariat pour l’année 2024.
\nEn effet, la réalisation des travaux d’analyse préparatoires ainsi requise vise à établir dans une première phase (surtout 2025), en particulier : • • • l’optimisation des processus de travail, afin de réduire le temps de traitement des demandes (de par la loi a priori 2 mois) ; la prise de décisions administratives par l’Autorité des données, en particulier la préparation de modèles de décisions (irrecevabilités, demandes de renseignements complémentaires, refus, autorisations, etc.) ; la définition des modalités d’échanges entre organismes compétents au sens de la règlementation susmentionnée ainsi que leur perfectionnement et mise en œuvre.
\nDans une deuxième phase (2026 et suivants), le budget pour frais d’experts et d’études sollicité de 375.000 EUR par année est nécessaire pour permettre au Commissariat d’assurer la mise en œuvre des nouvelles tâches prévues de lui être attribuées par la réglementation susvisée (sans négliger pour autant ces missions actuelles), et ce en particulier dans le contexte.
\nEn outre, il est nécessaire d’augmenter le budget relatif aux frais de bureau à 12.000 EUR et le budget relatif aux Indemnités pour services de tiers, honoraires d’experts, frais de formation, frais de maintenance, frais de publicité, de sensibilisation et d’information, acquisition de machines de bureau, dépenses diverses à 80.000 EUR (tendance croissante pour les années 2026 à 2028), et ce proportionnellement aux recrutements envisagés pour les années 2025 à 2028.
\n79 Le tableau ci-après illustre les budgets supplémentaires précités Libellé 2024 Budget voté 6 275 60 2025 Proposition budgétaire 12 (6) 375 (89) 80 (62) Frais de bureau Frais d’experts et d’études.
\nIndemnités pour services de tiers, honoraires d’experts, frais de formation, frais de maintenance, frais de publicité, de sensibilisation et d’information, acquisition de machines de bureau, dépenses diverses.
\nUnité : Milliers d’euros ; Les chiffres en () sont celles indiquées dans le budget pluriannuel 2024 12.041 12.121 12.346 2026 Prévision 2027 Prévision 2028 Prévision 18 (6) 375 (89) 85 (63) 20 (6) 375 (89) 90 (64) 22 375 90 Partant des budgets indiqués dans le plan pluriannuel du budget 2024, le projet de loi engendre une enveloppe budgétaire supplémentaire de 310.000 EUR pour l’année 2025 et les années à suivre.
\nLe renforcement en personnel devra être considéré dans le cadre de la procédure CER pour les budgets 2025 et 2026.
\nContribution à une simplification administrative En tant que structure spécialisée centrale disposant d’une longue expérience dans le conseil en matière de traitement et de réutilisation de données, le Commissariat prend le rôle de facilitateur de la réutilisation des données détenues par les organismes du droit public. En effet, les réutilisateurs – acteurs de la recherche publique ainsi que des acteurs économiques – sauraient s’adresser à une seule autorité pour toutes les démarches.
\nDans cet ordre d’idées, le système proposée (inspiré du système finlandais ayant fait ses preuves) contribue à l’activité économique de la place luxembourgeoise. Il favorise également un environnement propice pour la recherche scientifique.