Loi du 31 mars 1979 réglementant l'utilisation des données nominatives dans les traitements informatiques

a) de la collecte de ces données en vue d’un traitement automatique; b) de leur enregistrement dans les banques de données; c) du traitement automatique appliqué à ces données; d) de la transmission à des tiers de ces données et des résultats de ces traitements.

Donnée nominative: toute information au sujet d’une personne déterminée ou susceptible d’être déterminée. Personne: toute personne physique ou morale,publique ou privée ou groupement de fait. Banque de données: collection de données de base enregistrées sur un support informatique. Propriétaire de la banque de données: personne pour le compte de laquelle la banque est tenue et qui en dispose. Gestionnaire de la banque de données: personne qui tient effectivement la banque en appliquant aux données nominatives des traitements automatiques. Tiers: toute personne autre que le propriétaire ou gestionnaire. Dans le secteur public on entend par tiers une adminis- tration,un service public ou ministère autre que celui qui est propriétaire ou gestionnaire de la banque.

(1) La loi est applicable à toutes les banques de données nominatives installées ou utilisées sur le territoire du Grand-Duché de Luxembourg. (2) Sont exclus du champ d’application de la présente loi: a) les banques de données qui en vertu d’une loi ou d’un règlement sont accessibles au public; b) celles qui contiennent exclusivement des données en rapport avec le propriétaire de la banque; c) celles qui sont établies pour compte des institutions de droit international public. (3) Les prescriptions de la présente loi sont applicables aux banques de données implantées sur le territoire luxem- bourgeois,même si les données sont uniquement utilisées à l’étranger. Si une banque de données,implantée sur territoire étranger,est accessible au Grand-Duché de Luxembourg au moyen d’un terminal,les prescriptions de la présente loi doivent être observées par l’utilisateur de ce terminal.

tion préalable du ministre ayant dans ses attributions le répertoire national des banques de données défini à l’article 13.

(1) La demande d’autorisation est adressée par le propriétaire et le gestionnaire éventuel au Ministre. (2) En cas d’utilisation d’une banque de données implantée hors du territoire luxembourgeois l’obligation de demande d’autorisation incombe à l’utilisateur situé sur le territoire luxembourgeois. (3) La demande doit contenir pour chaque banque de données les informations suivantes: a) le nom,la raison sociale ou la dénomination,l’adresse des propriétaires et gestionnaires,ou le cas échéant de l’uti- lisateur. b) La dénomination de la banque de données. c) La description détaillée du but poursuivi par la banque. d) La nature et l’origine des données accessibles dans la banque ainsi que leur pertinence par rapport au but poursuivi par la banque. e) En cas de communication de données à des tiers,la nature des données et résultats transmis,ainsi que l’identifica- tion des tiers ou groupes de tiers destinataires. 2243

3 mois depuis la saisine de la commission consultative,l’autorisation est accordée par le Ministre lorsqu’il n’existe aucune raison de craindre une utilisation abusive des données nominatives ou une violation des dispositions de la présente loi. La décision du Ministre accordant ou refusant l’autorisation doit être motivée. L’autorisation porte uniquement sur l’objet de la demande. Elle détermine obligatoirement la durée de validité de l’autorisation.Cette durée ne peut en aucun cas dépasser dix ans. L’autorisation peut en outre contenir réglementation des points suivants: a) les systèmes de sécurité et de contrôle à mettre en place. b) la période au-delà de laquelle les données ne peuvent plus,le cas échéant,être gardées,utilisées ou diffusées. Toute modification touchant à l’objet de l’autorisation ou aux points réglementés par le Ministre dans sa décision est soumise à autorisation préalable conformément aux dispositions des articles 4 et 5. L’autorisation est personnelle dans le chef du propriétaire,du gestionnaire et de l’utilisateur.Elle est révocable et sera retirée si les termes n’en sont pas respectés.

être déférées au Conseil d’Etat,Comité du Contentieux,qui statuera comme juge du fond. Le recours doit être introduit,sous peine de forclusion,dans le délai d’un mois à partir de la notification de la décision entreprise. Section 2:Banques de données relevant de l’Etat

qu’en application d’une loi ou d’un règlement grand-ducal.

projet de règlement grand-ducal portant création d’une banque de données ainsi que le texte de tout amendement concernant ces projets de loi ou de règlement grand-ducal. Il fournit à la commission tous les renseignements visés à l’article 5 (3).

Il peut contenir des propositions concernant: a) les systèmes de sécurité et de contrôle à mettre en place en vue d’assurer l’intégralité des données,de prévenir et de détecter les détournements de données,intentionnels ou non; b) la période au-delà de laquelle les données ne devront plus,le cas échéant,être gardées,utilisées ou diffusées. La commission arrête son avis à la majorité de ses membres.Un avis minoritaire peut y être joint sans désignation de l’auteur.

l’Etat fixe la durée de validité de cette autorisation qui ne peut en aucun cas dépasser dix ans.

publique,le Gouvernement en conseil peut les dispenser de l’inscription au répertoire national visé à l’article 13. (Loi du 30 septembre 1992) «Art.12-1. (1) La création et l’exploitation de banques de données d’ordre général constituées pour les besoins de la prévention, de la recherche, de la constatation et de la poursuite des infractions sont réservées aux organes de la gendarmerie et de la police,selon les modalités à déterminer par règlement grand-ducal pris sur avis du Conseil d’Etat. (2) Par dérogation aux articles 8 et 11,la création et l’exploitation d’une banque de données constituée dans le cadre d’une ou de plusieurs affaires pénales peuvent être autorisées par le ministre ayant dans ses attributions le répertoire national des banques de données,après avoir entendu en son avis la commission consultative prévue à l’article 30. Le ministre arrête les conditions de création de la banque et en fixe la durée qui ne peut dépasser dix ans. (3) Les dispositions des paragraphes (1) et (2) n’excluent pas le recours à un gestionnaire pour le traitement et la conservation des données y visées. (4) Sans préjudice du droit de contrôle du ministre conformément à l’article 29, l’exploitation des banques de données visées aux paragraphes (1) et (2) est placée sous le contrôle du procureur général d’Etat, qui peut déléguer à cette fin un membre de son parquet. Le procureur général d’Etat est informé immédiatement de la création de chaque banque. Il veille à ce que les traitements automatisés des données personnelles soient effectués conformément aux disposi- tions de la présente loi et de ses règlements d’exécution ainsi qu’aux conditions imposées par le ministre. Pour l’exercice de son contrôle,le procureur général d’Etat a un droit d’accès direct aux banques visées. Il peut, par décision particulière, charger un ou plusieurs fonctionnaires de procéder, quant aux traitements visés, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission. Il fait opérer les rectifications et radiations nécessaires. Il présente chaque année au ministre ayant dans ses attributions le répertoire national des banques de données un rapport rendant compte de l’exécution de sa mission. 2244 (5) Par dérogation aux dispositions du chapitre 5,le droit d’accès aux banques de données visées aux paragraphes (1) et (2) ne peut être exercé que par l’intermédiaire du membre magistrat de la commission consultative prévue par l’article 30. Celui-ci procède aux vérifications et investigations utiles, fait opérer les rectifications nécessaires et informe l’inté- ressé que la banque ne contient aucune donnée contraire à la loi,à ses règlements d’exécution ou aux conditions impo- sées par le ministre.» Chapitre 3. - Répertoire national des banques de données

présente loi. Le répertoire national contient pour chaque banque de données: a) le nom,la raison sociale ou la dénomination,l’adresse des propriétaires et gestionnaires et le cas échéant des utili- sateurs; b) la dénomination de la banque; c) la description du but poursuivi par la banque; d) la nature et l’origine des données enregistrées dans la banque; e) les tiers destinataires des informations traitées et la nature des données transmises; f) la date de l’autorisation ou celle de la loi ou du règlement grand-ducal autorisant la création et l’exploitation d’une banque; g) l’indication de la durée de validité de l’autorisation; h) le cas échéant l’indication de la date du retrait de l’autorisation ou de la suppression de la banque de données. A ce répertoire tel qu’il est défini ci-dessus il est adjoint une annexe qui contient les avis prévus aux articles 9 et 10. Pour les besoins de la surveillance et de la consultation le répertoire peut être constitué sous forme de banque de données sans procédure d’autorisation.

a) les données relatives aux opinions ou activités politiques,syndicales,philosophiques ou religieuses des personnes; b) les données concernant l’intimité de la vie privée. (Loi du 19 novembre 1987) «c) les données à caractère personnel révélant l’origine raciale.» Il n’est pas interdit à une association de droit ou de fait de tenir le répertoire de ses membres sous forme d’une banque de données. De même les appartenances syndicales peuvent être collectées et enregistrées dans les banques de données en cas de demande expresse des intéressés. Ces données ne peuvent être communiquées à un tiers.

données suivantes: a) les inscriptions figurant au casier judiciaire à l’exception de celles concernant les jugements et arrêts déclaratifs de faillite; b) les mesures prises par l’application de la loi du 12 novembre 1971 relative à la protection de la jeunesse.

(Abrogé par la loi du 1er octobre 1992)

(1) Les personnes auprès desquelles sont recueillies en vue d’un traitement informatique des données nominatives doivent être informées: a) du but poursuivi par le traitement automatique des données; b) du caractère obligatoire ou facultatif des réponses; c) des conséquences à leur égard d’un défaut de réponse; d) des tiers destinataires des informations; e) de l’existence d’un droit d’accès et de rectification. Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent mentionner ces prescrip- tions. (2) Ces dispositions ne s’appliquent pas à la collecte des informations nécessaires à la poursuite des infractions.

national des banques de données et obtenir copie intégrale ou partielle des informations concernant une banque de données déterminée contre paiement d’une taxe de bureau à fixer par règlement grand-ducal. 2245

en vue de savoir si la banque de données contient des données nominatives qui la concernent et, le cas échéant, d’en obtenir communication. La communication doit être faite dans le mois suivant la réception de la demande sous une forme intelligible et conforme au contenu des enregistrements. Un règlement grand-ducal fixera le montant de la redevance à percevoir pour la communication définie ci-dessus.

vertu d’une loi ou d’un règlement grand-ducal,ne peuvent être communiquées aux personnes exerçcant le droit d’accès. Font exception à l’obligation de communiquer les informations qui sont déjà communiquées ou communicables sous une autre forme que celle prévue au présent article et ce en vertu d’une loi,d’un règlement ou d’un contrat. (...) (Abrogé par la loi du 1er octobre 1992)

cées les données le concernant qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l’enregistre- ment,la communication ou la conservation sont interdit. Lorsque l’intéressé en fait la demande,il doit être délivré sans frais copie de l’enregistrement rectifié. Lorsque le titulaire du droit d’accès obtient une modification de l’enregistrement, la redevance versée en application de l’article 20 est remboursée.

qui lui ont été communiquées ne sont pas conformes aux données enregistrées,peut en informer le ministre ayant dans ses attributions le répertoire national des banques de données.Il appartient au ministre d’ordonner, le cas échéant,une enquête.

transmission des données personnelles sont tenues au secret professionnel.

données à jour, pour corriger les données erronées ou pour supprimer les données périmées ou obtenues par des moyens illicites ou frauduleux. Ils doivent prendre toutes précautions utiles afin de préserver la sécurité des données enregistrées et notamment d’empêcher qu’elles ne soient déformées,endommagées ou communiquées à des tiers non autorisés. Ils doivent s’assurer du caractère approprié des programmes servant au traitement automatique des données ainsi que de la régularité de leur application. Ils doivent veiller à la régularité de la transmission des données et des résultats.

les mesures générales à caractère technique destinées à assurer la sécurité matérielle des banques de données et des trai- tements. L’effet de protection recherché par ces mesures doit être dans un rapport adéquat avec les dépenses qu’elles occasionnent.

endéans un mois au ministre ayant dans ses attributions le répertoire national des banques de données. (Loi du 1er octobre 1992) «Chapitre 6-1. – Des banques de données médicales» (Loi du 1er octobre 1992) «Art.28-1. (1) La création et l’exploitation de banques de données nominatives comportant la collecte et le traite- ment de données médicales sont réservées aux instances médicales, aux organismes de la sécurité sociale, ainsi qu’aux administrations et services publics qui gèrent des données médicales en exécution de leurs attributions. Cette disposition n’exclut pas le recours à un gestionnaire pour le traitement et la conservation des données médi- cales. (2) Au sens des dispositions de la présente loi sont considérés comme: – Donnée médicale: toute donnée concernant l’état physique et mental d’une personne, y compris les informations sociales et administratives connexes susceptibles d’avoir une incidence sur cet état; – Instance médicale:toute personne physique ou morale qui est autorisée à exercer des activités techniques et scien- tifiques ayant pour but la prévention,la détection,la guérison,ainsi que le soulagement des maladies et infirmités; – Organisme de sécurité sociale: tout organisme de droit public ou privé qui assure des prestations, obligatoires ou facultatives, relatives à la maladie, la maternité, la vieillesse, les accidents corporels, l’invalidité, le décès, le chômage,ainsi que des prestations familiales ou d’aides sociales. (3) Par dérogation à l’article 20, l’exercice du droit d’accès à une banque de données nominatives comportant des données médicales ne peut s’opérer que par l’intermédiaire d’un médecin désigné par l’intéressé. 2246 (4) Un règlement grand-ducal pris sur avis du Conseil d’Etat détermine: – les modalités d’après lesquelles les banques de données médicales peuvent être créées et exploitées; – les modalités d’après lesquelles les données médicales peuvent être collectées et traitées; – les conditions à observer afin de garantir la sécurité technique et le caractère confidentiel des données médicales collectées et traitées; – les modalités d’après lesquelles les données médicales peuvent être communiquées à un tiers; – les modalités d’après lesquelles les données médicales peuvent être utilisées à des fins de recherche. Ce règlement peut aussi compléter les dispositions prévues aux chapitres 2 à 6 de la présente loi. (5) La communication de données relatives à des prestations médicales, faite par le fournisseur de soins à un orga- nisme de sécurité sociale aux fins de remboursement des dépenses afférentes,est autorisée.»

(1) Le ministre ayant dans ses attributions le répertoire national des banques de données veille à ce que les traitements automatisés de données personnelles soient effectués conformément aux dispositions de la présente loi et de ses règlements d’exécution ainsi qu’aux conditions d’exploitation imposées. (2) Il prend les décisions individuelles dans les cas prévus par la présente loi et ses règlements d’exécution. (3) Il procède aux inscriptions dans le répertoire national des banques de données. Il peut procéder à la radiation des banques de données qui ne sont plus exploitées depuis cinq ans au moins. (4) Il peut,par décision particulière,charger un ou plusieurs fonctionnaires de procéder,à l’égard de tout traitement, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission. (5) Il peut demander des explications aux intéressés. (6) Il reçcoit les réclamations. (7) Il adresse aux intéressés des recommandations et des avertissements. (8) Il surveille l’exercice des droits conférés aux particuliers par les articles 19 à 23. (9) Il dénonce aux autorités judiciaires les infractions dont il a connaissance.

une commission consultative qui est composée d’au moins cinq membres nommés par le Grand-Duc pour une durée de cinq ans et recrutés dans les secteurs public et privé parmi des juristes et des informaticiens.Le mandat des membres de la commission est renouvelable. L’organisation de la commission de même que les procédures et méthodes de travail par elle suivies font l’objet d’un règlement grand-ducal.

(1) La commission émet les avis prévus par la présente loi. (2) En outre elle possède une mission d’information dans le cadre de laquelle elle: a) se tient informée et conseille le Gouvernement au sujet des conséquences de l’utilisation de l’informatique et de ses perspectives d’évolution au regard de l’exercice des libertés et du fonctionnement des institutions démocrati- ques;elle fait procéder,à cette fin,à des études et à des enquêtes; b) porte à l’attention du Gouvernement les déficiences ou abus qui ne sont pas spécifiquement visés par les disposi- tions légales,réglementaires et administratives existantes; c) présente chaque année au Gouvernement un rapport rendant compte de l’exécution de sa mission. Ce rapport est publié.

de ces peines seulement quiconque crée,exploite ou utilise une banque de données sans être détenteur d’une autorisa- tion valable répondant aux conditions prévues au chapitre 2 de la présente loi,ou ne se conforme pas aux conditions de celle-ci. Est puni des mêmes peines quiconque exploite ou utilise une banque de données après que l’autorisation dont il est question à l’alinéa qui précède lui a été retirée. Est puni des mêmes peines le détenteur de données nominatives qui,à l’occasion de leur enregistrement,de leur clas- sement, de leur transmission ou de toute autre forme de traitement, les a détournées de leur finalité telle qu’elle est définie dans l’autorisation prévue au chapitre 2 ou dans les dispositions légales ou réglementaires qui sont à la base de la banque de données, ou si le détenteur de données nominatives a, sans l’autorisation de l’intéressé, sciemment transmis ou laissé transmettre ces données à des tiers.

ces peines seulement quiconque a collecté ou fait collecter,enregistré ou fait enregistrer,conservé ou fait conserver des données nominatives en violation des dispositions des articles 14,15,16 et «28-1»1. Le tribunal peut en outre ordonner l’insertion du jugement,intégralement ou par extraits,dans un ou plusieurs jour- naux et son affichage,dans les conditions qu’il détermine,aux frais du condamné. 1 Ainsi modifié par la loi du 1er octobre 1992. 2247

de ces peines seulement quiconque ne fournit pas dans le délai prévu par la loi les renseignements demandés en vertu de l’article 20 ou donne sciemment des renseignements inexacts, ou ne remplit pas les obligations qui lui incombent en vertu des articles 22 et 23.

ces peines seulement quiconque a pris un nom ou prénom supposé ou une fausse qualité pour obtenir communication de données nominatives par application de l’article 20.

cles 26 et 28 ou des règlements grand-ducaux pris en exécution de l’article 27. (Loi du 30 septembre 1992) «Art.37. Est puni d’un emprisonnement de huit jours à six mois et d’une amende de 2.501 à 500.000 francs ou d’une de ces peines seulement quiconque empêche ou entrave volontairement,de quelque manière que ce soit,l’accomplisse- ment de la mission incombant au ministre ayant dans ses attributions le répertoire national des banques de données,au procureur général d’Etat ou à la commission consultative. Est considéré notamment comme empêchant ou entravant volontairement la mission du ministre ou du procureur général d’Etat,le refus opposé aux organes chargés d’une enquête de donner accès aux locaux et aux documents ou de fournir les renseignements demandés.»

des infractions prévues aux articles 32 et 33 sont toujours prononcées en cas de condamnation. Elles peuvent être prononcées du chef d’infractions prévues aux articles 34,36 et 37.

l’appréciation des circonstances atténuantes, telle qu’elle a été modifiée par la loi du 16 mai 1904, sont applicables aux délits prévus par la présente loi.

Mémorial.

de la présente loi doivent s’y conformer endéans les douze mois suivant cette entrée en vigueur. Ils introduisent leur demande d’autorisation dans les six mois suivant l’entrée en vigueur de la loi.