Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et mise en oeuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État.
(1)Tout traitement de données à caractère personnel qui n’est pas couvert par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, désigné ci-après par le terme « règlement (UE) 2016/679 », ni par la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, est couvert par les dispositions du chapitre Ier, article 4, des chapitres II à VI, VIII et IX et du chapitre VII, section 1re du règlement (UE) 2016/679 et de la présente loi, sous réserve des textes légaux existants qui prévoient d’autres dispositions spécifiques en matière de protection des données à caractère personnel.
(2)La présente loi ne s’applique pas aux traitements de données à caractère personnel effectués par les personnes physiques dans le cadre d’une activité strictement personnelle ou domestique.
art_2
Les dispositions du titre II s’appliquent aux responsables de traitement et aux sous-traitants établis sur le territoire luxembourgeois.
Chapitre 2-Commission nationale pour la protection des données
Section Ire-Statut juridique et indépendance
art_3
La Commission nationale pour la protection des données, désignée ci-après par le terme « CNPD », est un établissement public indépendant doté de la personnalité juridique.
Elle jouit de l’autonomie financière et administrative.
Son siège est fixé par règlement grand-ducal.
Section II-Compétences de la CNPD
art_4
La CNPD est chargée de contrôler et de vérifier si les données soumises à un traitement sont traitées en conformité avec les dispositions :
1°du règlement (UE) 2016/679 ;
2°de la présente loi ;
3°de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ;
4°des textes légaux prévoyant des dispositions spécifiques en matière de protection des données à caractère personnel.
art_5
La CNPD n’est pas compétente pour contrôler les opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles.
art_6
La CNPD représente le Luxembourg au « Comité européen de la protection des données » institué par l’article 68 du règlement (UE) 2016/679 et contribue à ses activités.
Section III-Les missions de la CNPD
Sous-section Ire-Les missions de la CNPD dans le cadre du règlement(UE) 2016/679
art_7
La CNPD exerce les missions dont elle est investie en vertu de l’article 57 du règlement (UE) 2016/679.
Sous-section II-Les missions de la CNPD dans le cadre de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale
art_8
Dans le cadre de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, la CNPD :
1°contrôle l'application des dispositions et des mesures d'exécution et veille au respect de celles-ci ;
2°favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement des données personnelles ;
3°conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ;
4°encourage la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent ;
5°fournit, sur demande, à toute personne concernée, des informations sur l'exercice de ses droits et, le cas échéant, coopère à cette fin avec les autorités de contrôle d'autres États membres ;
6°traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association conformément à l'article 44 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire ;
7°vérifie la licéité du traitement, et informe la personne concernée dans un délai raisonnable de l'issue de la vérification, conformément à l’article 16, paragraphe 3, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, ou des motifs ayant empêché sa réalisation ;
8°met en place des mécanismes efficaces pour encourager le signalement confidentiel des violations des traitements de données à caractère personnel ;
9°coopère avec d'autres autorités de contrôle, y compris en partageant des informations, et leur fournit une assistance mutuelle dans ce cadre en vue d'assurer une application cohérente de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et des mesures prises pour en assurer le respect ;
10°effectue des enquêtes sur l'application de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, y compris sur la base d'informations reçues d'une autre autorité de contrôle ou d'une autre autorité publique ;
11°suit les évolutions pertinentes, dans la mesure où elles ont une incidence sur la protection des données à caractère personnel, notamment dans le domaine des technologies de l'information et de la communication ;
12°fournit des conseils sur les opérations de traitement visées à l'article 27 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
art_9
La CNPD facilite l'introduction des réclamations visées à l’article 8, point 6, par des mesures telles que la fourniture d'un formulaire de réclamation qui peut être rempli également par voie électronique, sans que d'autres moyens de communication ne soient exclus.
Sous-section III-Dispositions communes
art_10
La CNPD établit un rapport annuel sur ses activités, qui comprend une liste des types de violations notifiées et des types de sanctions imposées en vertu du règlement 2016/679 et de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. Les rapports sont transmis à la Chambre des députés, au Gouvernement, à la Commission européenne et au Comité européen de la protection des données et sont rendus publics.
art_11
L’accomplissement des missions est gratuit pour la personne concernée et, le cas échéant, pour le délégué à la protection des données qui agit dans le cadre de ses missions.
Lorsqu’une demande est manifestement infondée ou excessive, la CNPD peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. Il incombe à la CNPD de démontrer le caractère manifestement infondé ou excessif de la demande.
Section IV-Les pouvoirs de la CNPD
art_12
Dans le cadre des missions de l’article 7, la CNPD dispose des pouvoirs tels que prévus à l’article 58 du règlement (UE) 2016/679.
art_13
La CNPD a le pouvoir de porter toute violation du règlement (UE) 2016/679, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et de la présente loi à la connaissance des autorités judiciaires et, le cas échéant, le droit d’ester en justice dans l’intérêt du règlement (UE) 2016/679 conformément à son article 58 et dans l’intérêt de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
art_14
Dans le cadre des missions de l’article 8, la CNPD dispose des pouvoirs suivants :
1°obtenir du responsable du traitement ou du sous-traitant l'accès à toutes les données à caractère personnel qui sont traitées et à toutes les informations nécessaires à l'exercice de ses missions ;
2°avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions adoptées en vertu de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ;
3°ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions adoptées en vertu de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, le cas échéant, de manière spécifique et dans un délai déterminé, en particulier en ordonnant la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement en application de l'article 15 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ;
4°limiter temporairement ou définitivement, y compris d’interdire, un traitement ;
5°conseiller le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 27 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ;
6°émettre, de sa propre initiative ou sur demande, des avis à l'attention de la Chambre des députés et de son Gouvernement ou d'autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel.
Section V-Certification
art_15
Les organismes de certification visés à l’article 43, paragraphe 1er, du règlement (UE) 2016/679 doivent être agréés par la CNPD.
Section VI-Composition et nomination de la CNPD
art_16
La CNPD est un organe collégial composé de quatre membres, dont un président. Les membres sont appelés Commissaires à la protection des données et sont autorisés à porter le titre de « Commissaire » sans que cela ne modifie ni leur rang ni leur traitement. Sont également nommés quatre membres suppléants.
Les membres suppléants sont appelés à suppléer à l’absence ou à l’empêchement de siéger des membres du collège.
art_17
Les membres du collège et membres suppléants sont nommés et révoqués par le Grand-Duc sur proposition du Conseil de gouvernement. Le président est désigné par le Grand-Duc. Les membres du collège et membres suppléants sont nommés pour un terme de six ans, renouvelable une fois.
Les membres du collège et les membres suppléants agissent en toute indépendance dans l’exercice de leurs missions et pouvoirs. Ils demeurent libres de toute influence extérieure, qu’elle soit directe ou indirecte, et ne sollicitent ni n’acceptent d’instructions de quiconque.
art_18
Le Conseil de gouvernement propose au Grand-Duc comme membres du collège et membres suppléants des personnes remplissant les conditions d’admission pour l’examen-concours du groupe de traitement A1 et ayant la nationalité luxembourgeoise.
Les membres du collège et les membres suppléants sont nommés sur la base de leur compétence et expérience en matière de protection des données à caractère personnel.
Les postes vacants pour les mandats des membres du collège sont publiés au plus tard six mois avant l’expiration du mandat. La publication se fait sous la forme d’un appel à candidats précisant le nombre de places vacantes, les conditions de nomination, les missions de l’organe à composer et les modalités de dépôt de la candidature.
art_19
Avant d’entrer en fonction, le président prête entre les mains du Grand-Duc ou de son représentant le serment suivant : « Je jure fidélité au Grand-Duc, obéissance à la Constitution et aux lois de l’État. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité. »
Avant d’entrer en fonction, les membres et membres suppléants prêtent entre les mains du président le serment suivant : « Je jure fidélité au Grand-Duc, obéissance à la Constitution et aux lois de l’État. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité. »
art_20
Les membres du collège ont la qualité de fonctionnaire en ce qui concerne leur statut, leur traitement et leur régime de pension.
Ils bénéficient d’une indemnité spéciale tenant compte de l’engagement requis par les fonctions, à fixer par règlement grand-ducal sans que pour autant le total du traitement barémique et de l’indemnité spéciale ne puisse dépasser le traitement barémique du grade S1.
art_21
Sans préjudice de l’application d’éventuelles sanctions disciplinaires, le membre du collège, qui bénéficiait auparavant du statut d’agent de l’État, dont le mandat n’est pas renouvelé ou qui est révoqué, est nommé au dernier grade de la fonction la plus élevée de l’un des sous-groupes de traitement, à l’exception du sous-groupe à attributions particulières, de la catégorie de traitement A, groupe de traitement A1 de son administration d’origine, à l’échelon de traitement correspondant à l’échelon de traitement atteint dans la fonction précédente ou, à défaut d’échelon correspondant, à l’échelon de traitement immédiatement inférieur. Les indemnités spéciales attachées à sa fonction de membre du collège ne sont pas maintenues. Il peut faire l’objet d’un changement d’administration dans une autre administration ou un établissement public, conformément à l’article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l’État.
art_22
Sans préjudice de l’application d’éventuelles sanctions disciplinaires, le membre du collège, qui ne bénéficiait pas auparavant du statut d’agent de l’État, dont le mandat n’est pas renouvelé ou qui est révoqué, est nommé au dernier grade de la fonction la plus élevée de l’un des sous-groupes de traitement, à l’exception du sous-groupe à attributions particulières, de la catégorie de traitement A, groupe de traitement A1 d’un département ministériel, à l’échelon de traitement correspondant à l’échelon de traitement atteint dans la fonction précédente ou, à défaut d’échelon correspondant, à l’échelon de traitement immédiatement inférieur. Les indemnités spéciales attachées à sa fonction de membre du collège ne sont pas maintenues. Il peut faire l’objet d’un changement d’administration dans une autre administration ou un établissement public, conformément à l’article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l’État.
art_23
En cas d’absence de vacance de poste budgétaire dans le groupe de traitement visé aux articles 21 et 22, l’effectif du personnel est augmenté temporairement jusqu’à la survenance de la prochaine vacance de poste dans ce groupe de traitement.
art_24
Les membres suppléants touchent une indemnité dont le montant est fixé par règlement grand-ducal.
art_25
(1)Les membres du collège et membres suppléants ne peuvent être révoqués de leurs fonctions que s’ils ont commis une faute grave ou s’ils ne remplissent plus les conditions nécessaires à l’exercice de leurs fonctions. Dans ces cas, la révocation a lieu par le Grand-Duc sur proposition du Conseil de gouvernement.
(2)Par dérogation à la limite d’âge prévue à l’article 7.I.2 de la loi modifiée du 25 mars 2015 instituant un régime de pension spécial transitoire pour les fonctionnaires de l’État et des communes ainsi que pour les agents de la Société nationale des Chemins de Fer luxembourgeois, et à l’article 67.II.1 de la loi modifiée du 3 août 1998 instituant des régimes de pension spéciaux pour les fonctionnaires de l'État et des communes ainsi que pour les agents de la Société nationale des Chemins de Fer luxembourgeois, les membres du collège qui atteignent l’âge de soixante-cinq ans en cours de mandat peuvent continuer ce mandat jusqu’à l'âge de soixante-huit ans.
La limite d’âge applicable aux membres suppléants est de soixante-huit ans.
(3)Par dérogation à l’article 29, les compétences attribuées en matière disciplinaire au ministre du ressort sont exercées à l’égard des membres du collège par le ministre ayant les Relations avec la Commission nationale pour la protection des données dans ses attributions.
art_26
En cas de cessation de mandat par un membre du collège ou un membre suppléant, il est désigné un successeur conformément aux articles 17 à 19.
art_27
Les membres du collège ou membres suppléants ne peuvent être membres du Gouvernement, de la Chambre des députés, du Conseil d’État ou du Parlement européen, ni exercer d’activité professionnelle ou détenir directement ou indirectement des intérêts dans une entreprise ou tout autre organisme opérant dans le champ des traitements de données.
Section VII-Le fonctionnement de la CNPD
art_28
Le cadre du personnel de la CNPD comprend des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État. Le cadre du personnel peut être complété, selon les besoins et dans la limite des crédits budgétaires, par des stagiaires, des employés et des salariés de l’État.
art_29
Les pouvoirs conférés au chef d'administration par les lois et règlements grand-ducaux applicables aux agents de l’État sont exercés à l'égard du personnel de la CNPD par le président. Les pouvoirs conférés au ministre du ressort ou au Conseil de gouvernement ou à l’autorité investie du pouvoir de nomination par les lois et règlements précités sont exercés à l'égard du personnel de la CNPD par le collège.
art_30
Les rémunérations et autres indemnités de tous les membres du collège, membres suppléants et agents de la CNPD sont à charge de la CNPD.
art_31
La CNPD peut faire appel à des experts externes dont les prestations sont définies et rémunérées sur la base d’un contrat de droit privé.
art_32
(1)La CNPD établit son règlement d’ordre intérieur pris à l’unanimité des membres du collège réunis au complet et comprenant ses procédures et méthodes de travail. Le règlement d’ordre intérieur est publié au Journal officiel du Grand-Duché de Luxembourg.
(2)Le collège peut déléguer des compétences de nature technique ou administrative à un membre du collège. Une telle délégation doit être fixée par le règlement d’ordre intérieur.
art_33
Sous réserve des dispositions de la présente loi et sans préjudice des textes cités à l’article 4, le règlement d’ordre intérieur fixe :
1°les conditions de fonctionnement de la CNPD ;
2°l’organisation des services de la CNPD ;
3°les modalités de la convocation des membres du collège et la tenue des réunions collégiales.
art_34
Le collège ne peut valablement siéger ni délibérer qu’à condition de réunir trois membres du collège au moins.
art_35
Les membres du collège et membres suppléants ne peuvent siéger, délibérer ou décider dans une affaire dans laquelle ils ont un intérêt direct ou indirect.
art_36
Les délibérations sont prises à la majorité des voix. En cas d’égalité des voix, la voix du président est prépondérante. Les abstentions ne sont pas recevables.
Section VIII-Enquête et décision sur l’issue de l’enquête
art_37
La CNPD peut intervenir de sa propre initiative ou à la demande de toute personne physique ou morale conformément aux articles 77 et 80 du règlement (UE) 2016/679 et aux articles 44 et 46 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
art_38
L’ouverture d’une enquête peut être proposée à tout moment par un membre du collège. Il soumet cette proposition au collège qui l’approuve endéans un délai d’un mois à la majorité des voix et qui désigne un membre du collège en tant que chef d’enquête. Le président ne peut être désigné comme chef d’enquête.
art_39
L’enquête doit se faire à charge et à décharge.
art_40
Un règlement de la CNPD définit la procédure devant la CNPD dans le respect du principe du contradictoire.