Law

Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et mise en oeuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État.

Luxembourg · statute

Ask the law about this More laws of Luxembourg For machines: Markdown

Open at the publisher →

In force since 2025-12-26, as the publisher states.

Copy read on 2026-11-01. The page it was read from

sha256 aeb96cd9c2ade302b0d8acf1c75f45149b4b1a7a59072c0ad196066354a1df5e

Contents: 71 provisions

71 provisions

art_41

Le collège prend une décision sur l’issue de l’enquête dans les meilleurs délais. Le chef d’enquête ne peut ni siéger, ni délibérer lorsque le collège décide sur l’issue de l’enquête. Section IX-Secret professionnel

art_42

Sans préjudice de l’article 23 du Code de procédure pénale, toutes les personnes exerçant ou ayant exercé une activité pour la CNPD sont tenues au secret professionnel et passibles des peines prévues à l’article 458 du Code pénal en cas de violation de ce secret. Ce secret implique que les informations confidentielles qu’ils reçoivent à titre professionnel ne peuvent être divulguées à quelque personne ou autorité que ce soit, excepté sous une forme sommaire ou agrégée de façon que les personnes soumises à surveillance ne puissent être identifiées, sans préjudice des cas relevant du droit pénal en cas de violation de ce secret.

art_43

art_44

Par dérogation à l’interdiction de divulgation et de communication prévue à l’article 42 de la présente loi et à l’article 458 du Code pénal, les membres du collège, membres suppléants et agents de la CNPD sont autorisés, pendant l’exercice de leur activité, à communiquer aux autorités de contrôle des autres États membres, au comité européen de la protection des données ainsi qu’à la Commission européenne les informations et documents nécessaires à ceux-ci pour l’exercice de leur surveillance, à condition que ces autorités, organes et personnes tombent sous un secret professionnel équivalent à celui visé à l’article 42 de la présente loi et dans la mesure où ces autorités, organes et personnes accordent les mêmes informations à la CNPD. Section X-Dispositions financières

art_45

L’exercice financier de la CNPD coïncide avec l’année civile.

art_46

Les comptes de la CNPD sont tenus selon les règles de la comptabilité commerciale. Avant le 30 juin de chaque année, le président du collège de la CNPD soumet au collège les comptes annuels comprenant le bilan et le compte de profits et pertes, l'annexe, arrêtés au 31 décembre de l'exercice écoulé, ainsi que son rapport d'activité et le rapport du réviseur d'entreprises agréé. Le budget annuel de la CNPD est proposé au collège par le président du collège avant le 31 décembre pour l'année qui suit. Les comptes annuels au 31 décembre de l'exercice écoulé avec le rapport du réviseur d'entreprises agréé, le rapport d'activité et le budget annuel sont transmis au Gouvernement en conseil qui décide de la décharge à donner à la CNPD. La décision constatant la décharge accordée à la CNPD ainsi que les comptes annuels de la CNPD sont publiés au Journal officiel. Le Gouvernement en conseil nomme un réviseur d'entreprises agréé sur proposition du collège de la CNPD. Le réviseur d'entreprises agréé a pour mission de vérifier et de certifier les comptes annuels de la CNPD. Le réviseur d'entreprises agréé est nommé pour une période de 3 ans renouvelable. Il peut être chargé par le collège de la CNPD de procéder à des vérifications spécifiques. Sa rémunération est à la charge de la CNPD.

art_47

La CNPD bénéficie d’une dotation d’un montant à déterminer sur une base annuelle et à inscrire au budget de l’État. Sans préjudice de l’article 11, la CNPD peut imposer des redevances dans le cadre de ses pouvoirs d’autorisation et de consultation en vertu de l’article 58, paragraphe 3, lettres e), f), h) et j) du règlement (UE) 2016/679. Un règlement de la CNPD détermine le montant et les modalités de paiement des redevances. Section XI-Sanctions

art_48

(1)La CNPD peut imposer les amendes administratives telles que prévues à l’article 83 du règlement (UE) 2016/679, sauf à l’encontre de l’État ou des communes. (2)Dans le cadre d’une violation de l’article 10 du règlement (UE) 2016/679 par une personne physique ou une personne morale de droit privé ou de droit public, à l’exception de l’État ou des communes, la CNPD peut imposer les amendes administratives prévues à l’article 83, paragraphe 4, du règlement (UE) 2016/679.

art_49

(1)La CNPD peut, par voie de décision, infliger au responsable de traitement ou sous-traitant, à l’exception de l’État et des communes, des astreintes jusqu’à concurrence de 5 pour cent du chiffre d’affaires journalier moyen réalisé au cours de l’exercice social précédent, ou au cours du dernier exercice social clos, par jour de retard à compter de la date qu’il fixe dans sa décision, pour le contraindre : 1°à communiquer toute information que la CNPD a demandée en application de l’article 58, paragraphe 1er, lettre a) du règlement (UE) 2016/679 ; 2°à respecter une mesure correctrice que la CNPD a adoptée en vertu de l’article 58, paragraphe 2, lettres c), d), e), f), g), h) et j) du règlement (UE) 2016/679. Pour les besoins de l’application du présent paragraphe, les agents de l’Administration de l’enregistrement et des domaines sont tenus de communiquer à la CNPD tous renseignements qu’ils détiennent et qui sont nécessaires à la fixation des astreintes. (2)Lorsque les responsables de traitement ont satisfait à l’obligation pour l’exécution de laquelle l’astreinte a été infligée, la CNPD peut fixer le montant définitif de celle-ci à un chiffre inférieur à celui qui résulte de la décision initiale.

art_50

Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement et des domaines. Il se fait comme en matière d’enregistrement.

art_51

Quiconque empêche ou entrave sciemment, de quelque manière que ce soit, l’accomplissement des missions incombant à la CNPD, est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement.

art_52

La CNPD peut ordonner, aux frais de la personne sanctionnée, la publication intégrale ou par extraits de ses décisions à l’exception des décisions relatives au prononcé d’astreintes, et sous réserve que : 1°les voies de recours contre la décision sont épuisées ; et 2°la publication ne risque pas de causer un préjudice disproportionné aux parties en cause. Section XII-Prescriptions

art_53

(1)Les pouvoirs conférés à la CNPD en vertu de l’article 58 du règlement (UE) 2016/679 et des articles 14, 48, 49 et 52 de la présente loi sont soumis au délai de prescription de cinq ans. (2)La prescription court à compter du jour où la violation du règlement (UE) 2016/679, de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et de la présente loi a pris fin. (3)La prescription est interrompue par tout acte de la CNPD. L’interruption de la prescription prend effet le jour où l’acte est notifié au responsable de traitement ou sous-traitant ayant participé au traitement. (4)La prescription court à nouveau à partir de chaque interruption. Toutefois, la prescription est acquise au plus tard le jour où un délai égal au double du délai de prescription arrive à expiration sans que la CNPD ait prononcé une amende ou une astreinte. Ce délai est prorogé de la période pendant laquelle la prescription est suspendue conformément au paragraphe 5. (5)La prescription est suspendue aussi longtemps que la décision de la CNPD fait l’objet d’une procédure pendante devant le Tribunal administratif.

art_54

(1)Les amendes et les astreintes prononcées en application des articles 48 et 49 se prescriront par cinq années révolues. (2)La prescription court à compter du jour où la décision est devenue définitive. (3)La prescription de l’exécution de la décision est interrompue : 1°par la notification d’une décision modifiant le montant initial de l’amende ou de l’astreinte ou rejetant une demande tendant à obtenir une telle modification ; 2°par tout acte de l’Administration de l’enregistrement et des domaines visant au recouvrement forcé de l’amende ou de l’astreinte. (4)La prescription court à nouveau à partir de chaque interruption. (5)La prescription de l’exécution de la décision est suspendue : 1°aussi longtemps qu’un délai de paiement est accordé ; 2°aussi longtemps que l’exécution forcée du paiement est suspendue en vertu d’une décision juridictionnelle. Section XIII-Recours contre les décisions de la CNPD

art_55

Un recours contre les décisions de la CNPD prises en application de la présente loi est ouvert devant le Tribunal administratif qui statue comme juge du fond. Chapitre 3-Commissariat du Gouvernement à la protection des données auprès de l’État 1° 2° 3° a) b) c) 4° 5° Titre II-Dispositions spécifiques selon le règlement (UE) 2016/679 Chapitre 1er-Traitement et liberté d’expression et d’information

art_62

Le traitement mis en œuvre aux seules fins de journalisme ou d’expression universitaire, artistique ou littéraire n’est pas soumis : 1° a)à la prohibition de traiter les catégories particulières de données telle que prévue à l’article 9, paragraphe 1er, du règlement (UE) 2016/679 ; b)aux limitations concernant le traitement de données judiciaires prévues à l’article 10 du règlement (UE) 2016/679 ; lorsque le traitement se rapporte à des données rendues manifestement publiques par la personne concernée ou à des données qui sont en rapport direct avec la vie publique de la personne concernée ou avec le fait dans lequel elle est impliquée de façon volontaire ; 2°au chapitre V relatif aux transferts vers des pays tiers ou à des organisations internationales du règlement (UE) 2016/679 ; 3°à l’obligation d’information de l’article 13 du règlement (UE) 2016/679, lorsque son application compromettrait la collecte des données auprès de la personne concernée ; 4°à l’obligation d’information de l’article 14 du règlement (UE) 2016/679, lorsque son application compromettrait soit la collecte des données, soit une publication en projet, soit la mise à disposition du public, de quelque manière que ce soit de ces données ou fournirait des indications permettant d’identifier les sources d’information ; 5°au droit d’accès de la personne concernée qui est différé et limité en ce qu’il ne peut pas porter sur des informations relatives à l’origine des données et qui permettraient d’identifier une source. Sous cette réserve l’accès doit être exercé par l’intermédiaire de la CNPD en présence du président du Conseil de presse ou de son représentant, ou le président du Conseil de presse dûment appelé. Chapitre 2-Traitement à des fins de recherche scientifique ou historique ou à des fins statistiques

art_63

Lorsque les données à caractère personnel sont traitées à des fins de recherche scientifique ou historique, ou à des fins statistiques, le responsable du traitement peut déroger aux droits de la personne concernée prévus aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 dans la mesure où ces droits risquent de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques, sous réserve de mettre en place des mesures appropriées telles que visées à l’article 65.

art_64

Le traitement de catégories particulières de données à caractère personnel telles que définies à l’article 9, paragraphe 1er du règlement (UE) 2016/679, peut être mis en œuvre pour les finalités prévues à l’article 9, paragraphe 2, point j) de ce même règlement, si le responsable de traitement remplit les conditions de l’article 65.

art_65

Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable d’un traitement mis en œuvre à des fins de recherche scientifique ou historique, ou à des fins statistiques, doit mettre en œuvre les mesures appropriées additionnelles suivantes : 1°la désignation d’un délégué à la protection des données ; 2°la réalisation d’une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel ; 3°l’anonymisation, la pseudonymisation au sens de l’article 4, paragraphe 5, du règlement (UE) 2016/679 ou d’autres mesures de séparation fonctionnelle garantissant que les données collectées à des fins de recherche scientifique ou historique, ou à des fins statistiques, ne puissent être utilisées pour prendre des décisions ou des actions à l’égard des personnes concernées ; 4°le recours à un tiers de confiance fonctionnellement indépendant du responsable du traitement pour l’anonymisation ou la pseudonymisation des données ; 5°le chiffrement des données à caractère personnel en transit et au repos, ainsi qu’une gestion des clés conformes à l’état de l’art ; 6°l’utilisation de technologies renforçant la protection de la vie privée des personnes concernées ; 7°la mise en place de restrictions de l’accès aux données à caractère personnel au sein du responsable du traitement ; 8°des fichiers de journalisation qui permettent d’établir le motif, la date et l’heure de la consultation et l’identification de la personne qui a collecté, modifié ou supprimé les données à caractère personnel ; 9°la sensibilisation du personnel participant au traitement des données à caractère personnel et au secret professionnel ; 10°l’évaluation régulière de l’efficacité des mesures techniques et organisationnelles mises en place à travers un audit indépendant ; 11°l’établissement au préalable d’un plan de gestion des données ; 12°l’adoption de codes de conduite sectoriels tels que prévus à l’article 40 du règlement (UE) 2016/679 approuvés par la Commission européenne en vertu de l’article 40, paragraphe 9, du règlement (UE) 2016/679. Le responsable de traitement doit documenter et justifier pour chaque projet à des fins de recherche scientifique ou historique ou à des fins statistiques l’exclusion, le cas échéant, d’une ou plusieurs des mesures énumérées à cet article. Chapitre 3-Traitement de catégories particulières de données à caractère personnel

art_66

Le traitement de données génétiques aux fins de l’exercice des droits propres au responsable du traitement en matière de droit du travail et d’assurance est interdit. Chapitre 4-Obligations de secret

art_67

(1)Les pouvoirs d’accès de la CNPD tels que prévus à l’article 58, paragraphe 1er, lettres e) et f) du règlement (UE) 2016/679 doivent être exercés auprès ou à l’égard d’un avocat conformément aux règles prévues à l’article 35, paragraphe 3, de la loi modifiée du 10 août 1991 sur la profession d’avocat. (2)Les pouvoirs d’accès de la CNPD tels que prévus à l’article 58, paragraphe 1er, lettre e) du règlement (UE) 2016/679 doivent être exercés auprès ou à l’égard d’un notaire conformément aux règles prévues à l’article 41 de la loi modifiée du 9 décembre 1976 relative à l´organisation du notariat. (3)Les pouvoirs d’accès de la CNPD tels que prévus à l’article 58, paragraphe 1er, lettres e) et f) du règlement (UE) 2016/679 doivent être exercés auprès ou à l’égard d’un professionnel visé par la loi modifiée du 23 juillet 2016 relative à la profession de l’audit, conformément à l’article 28, paragraphe 8, de cette loi. (4)Conformément à l’article 90, paragraphe 2 du règlement (UE) 2016/679, les règles prévues aux paragraphes 1er, 2 et 3 ne sont applicables qu'aux données à caractère personnel que l’avocat, le notaire ou le professionnel visé par la loi modifiée du 23 juillet 2016 relative à la profession de l’audit a reçues ou a obtenues dans le cadre d'une activité couverte par son secret professionnel. Titre III-Dispositions modificatives, abrogatoire, transitoires et finales Chapitre 1er -Dispositions modificatives

art_68

Toute référence à la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel est remplacée par une référence au règlement (UE) 2016/679, à la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et la présente loi.

art_69

La loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État est complétée comme suit : (1)L’article 12 est modifié comme suit :(a)Au paragraphe 1er, point 8° la mention « de membre effectif de la Commission nationale pour la protection des données » est supprimée et les termes « de commissaire du Gouvernement adjoint à la protection des données auprès de l’État, » sont ajoutés après les termes « de commissaire du Gouvernement adjoint du commissariat chargé de l’instruction disciplinaire, » ; (b)Au paragraphe 1er, point 9° la mention de « et de commissaire du Gouvernement à la protection des données auprès de l’État » est ajoutée après celle de « commissaire du Gouvernement chargé de l’instruction disciplinaire » ; (c)Au paragraphe 1er, point 16° la mention « président de la Commission nationale pour la protection des données » est remplacée par « commissaire à la protection des données » ; (d)Au paragraphe 1er, point 23° la mention « , de président de la Commission nationale pour la protection des données » est ajoutée après « de président de l’association d’assurance contre les accidents » . (2)L’article 16, paragraphe 3, lettre g), est supprimé. (3)L’annexe A - Classification des fonctions - est modifiée comme suit :(a)au grade 16, la fonction de « membre effectif de la Commission nationale pour la protection des données » est supprimée et la fonction de « commissaire du Gouvernement adjoint à la protection des données auprès de l’État, » est ajoutée après celle de « commissaire du Gouvernement adjoint du commissariat du Gouvernement chargé de l’instruction disciplinaire, » ; (b)au grade 17, la fonction de « président de la Commission nationale pour la protection des données » est remplacée par « commissaires à la protection des données » et la fonction de « commissaire du Gouvernement à la protection des données auprès de l’État, » est ajoutée après celle de « commissaire du Gouvernement chargé de l’instruction disciplinaire, » ; (c)au grade 18, la fonction de « président de la Commission nationale pour la protection des données » est ajoutée. (4)L’Annexe B - B2) Allongements - est modifiée comme suit :(a)au paragraphe 1er, les termes « de membre effectif de la Commission nationale pour la protection des données » sont supprimés ; (b)au paragraphe 1er, les termes « de commissaire du Gouvernement adjoint à la protection des données auprès de l’État, » sont ajoutés après « de commissaire du Gouvernement adjoint du commissariat du Gouvernement chargé de l’instruction disciplinaire, » et les termes « , de membre effectif de la Commission nationale pour la protection des données » sont supprimés.

art_70

L’intitulé du titre VI du livre II du Code du travail prend la teneur suivante : « Titre VI-Traitement de données à caractère personnel à des fins de surveillance dans le cadre des relations de travail. »

art_71

L’article L.261-1 du Code du travail prend la teneur suivante : « L. 261-1. (1)Le traitement de données à caractère personnel à des fins de surveillance des salariés dans le cadre des relations de travail ne peut être mis en œuvre par l’employeur que dans les cas visés à l’article 6, paragraphe 1er, lettres a) à f), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (règlement général sur la protection des données), et conformément aux dispositions du présent article. (2)Sans préjudice du droit à l’information de la personne concernée, sont informés préalablement par l’employeur : pour les personnes tombant sous l’empire de la législation sur le contrat de droit privé : le comité mixte ou, à défaut, la délégation du personnel ou, à défaut encore, l’inspection du travail et des mines ; pour les personnes tombant sous l’empire d’un régime statutaire : les organismes de représentation du personnel tels que prévus par les lois et règlements afférents. Cette information préalable contient une description détaillée de la finalité du traitement envisagé, ainsi que des modalités de mise en œuvre du système de surveillance et, le cas échéant, la durée ou les critères de conservation des données, de même qu’un engagement formel de l’employeur de la non-utilisation des données collectées à une finalité autre que celle prévue explicitement dans l’information préalable. (3)Lorsque le traitement des données à caractère personnel prévu au paragraphe 1er est mis en œuvre : 1.pour les besoins de sécurité et de santé des salariés, 2.pour le contrôle de production ou des prestations du salarié, lorsqu’une telle mesure est le seul moyen pour déterminer le salaire exact, ou 3.dans le cadre d’une organisation de travail selon l’horaire mobile conformément aux dispositions du présent code, les dispositions prévues aux articles L.211-8, L.414-9 et L.423-1 s’appliquent, sauf lorsque le traitement répond à une obligation légale ou réglementaire. (4)Pour les projets des traitements visés au paragraphe 1er, la délégation du personnel, ou à défaut, les salariés concernés, peuvent, dans les quinze jours suivant l’information préalable, soumettre une demande d’avis préalable relative à la conformité du projet de traitement à des fins de surveillance du salarié dans le cadre des relations de travail à la Commission nationale pour la protection des données, qui doit rendre son avis dans le mois de la saisine. Cette demande a un effet suspensif pendant ce délai. (5)Les salariés concernés ont le droit d’introduire une réclamation auprès de la Commission nationale pour la protection des données. Une telle réclamation ne constitue ni un motif grave, ni un motif légitime de licenciement. » Chapitre 2-Disposition abrogatoire

art_72

La loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel est abrogée. Chapitre 3-Dispositions transitoires

art_73

La CNPD continue la personnalité juridique, y compris le personnel et les engagements juridiques, de la Commission nationale pour la protection des données telle que créée par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel.

art_74

La durée du mandat des membres du collège et des membres suppléants, nommés avant l’entrée en vigueur de la présente loi, est calculée à partir de la date de nomination de leur mandat en cours lors de l’entrée en vigueur de la présente loi.

art_75

Les membres du collège, nommés avant l’entrée en vigueur de la présente loi, sont classés dans le nouveau grade au même numéro d’échelon, diminué d’un échelon ou, à défaut d’un tel échelon, au dernier échelon du grade auquel ils ont été reclassés, sans préjudice du report de l’ancienneté d’échelon acquise sous l’ancienne législation.

art_76

En cas de non-renouvellement ou de révocation d’un mandat d’un membre du collège, nommé pour la première fois avant l’entrée en vigueur de la présente loi, celui-ci devient conseiller général auprès de la CNPD avec maintien de son statut et de son niveau de rémunération de base, à savoir le grade 17 pour le président et le grade 16 pour les deux autres membres, à l’exception des indemnités spéciales attachées à sa fonction antérieure. Il peut faire l’objet d’un changement d’administration dans une administration ou dans un autre établissement public, conformément à l’article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l’État. Chapitre 4-Intitulé de citation

art_77

La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant : « Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ».

← Find another law