Loi du 25 juillet 2015 relative à l'archivage électronique

(1) La présente loi a pour objectifs:

• de définir les conditions de dématérialisation d’originaux au sens de la présente loi et les conditions de conservation de copies et d’originaux numériques;
• de déterminer les conditions dans lesquelles les copies visées à l’alinéa précédent peuvent bénéficier d’une présomption de conformité à l’original; et
• de fixer les règles applicables à l’activité de prestataire de services de dématérialisation ou de conservation.

(2) Ne relèvent pas de la présente loi les activités de simple stockage de données qui ne consistent pas à conserver une copie ou un original numérique en garantissant son intégrité.

Aux termes de la présente loi, on entend par:

1. «certificateur»: toute personne accréditée par l’ILNAS ou tout autre organisme d’accréditation reconnu par l’ILNAS dans les cadre des accords de reconnaissance mutuelle européens ou internationaux et dont la notification a été validée par l’ILNAS;
2. «conservation électronique»: l’activité qui consiste à conserver un original numérique ou une copie à valeur probante dans des conditions qui assurent des garanties fiables quant au maintien de l’intégrité du document conservé;
3. «copie à valeur probante»: une reproduction fidèle et durable sous forme numérique ou micrographique d’un original;
4. «dématérialisation»: l’activité qui consiste à créer une copie à valeur probante d’un original existant sous forme analogique dans des conditions qui assurent des garanties fiables quant à la conformité de la copie ainsi créée à l’original;
5. «détenteur»: toute personne qui détient légitimement ou est tenue par la loi de détenir un original existant sous forme analogique ou numérique ou une copie à valeur probante;
6. Code de commerce
7. loi du 4 juin 2025
8. «prestataire de services de dématérialisation ou de conservation»: toute personne qui exerce à titre principal ou accessoire, pour ses propres besoins ou pour compte d’autrui, des activités de dématérialisation ou de conservation électronique et qui est, dans les conditions et selon les modalités de la présente loi, certifiée à cette fin et inscrite sur la liste visée à l’article 4 (3).

La dématérialisation de tout original et la conservation électronique doivent répondre aux exigences arrêtées par règlement grand-ducal.

(1) Seules les personnes qui sont certifiées par un certificateur pour avoir mis en place et pour respecter les règles relatives à l’établissement et à la gestion d’un système de la sécurité de l’information et à une gestion opérationnelle spécifiques aux processus de dématérialisation ou de conservation peuvent demander auprès de l’ILNAS leur inscription sur la liste visée au paragraphe 3 afin d’obtenir le statut de prestataire de services de dématérialisation ou de conservation.

Le certificateur vérifie, au moyen d’audits, que les règles visées à l’alinéa 1 permettent d’assurer que des garanties fiables existent:

• en matière de dématérialisation, quant à la conformité des copies à valeur probante aux originaux, au caractère lisible des copies à valeur probante, à la confidentialité des originaux et copies à valeur probante ainsi qu’à l’intégrité des copies à valeur probante tant que celles-ci sont en la possession du prestataire de services de dématérialisation ou de conservation; et
• en matière de conservation électronique, quant à l’intégrité, à la confidentialité et à la disponibilité des copies à valeur probante et des originaux numériques confiés au prestataire de services de dématérialisation ou de conservation.

Les règles visées au présent paragraphe sont déterminées par règlement grand-ducal.

(2) Les éléments vérifiés pour la validation de la demande d’inscription par l’ILNAS visée au paragraphe 1er portent notamment sur:

• l’actualité et l’étendue de l’accréditation du certificateur,
• l’actualité et l’étendue de la certification du demandeur d’inscription,
• la connaissance par les auditeurs ayant réalisé l’audit de certification de la législation nationale pertinente,
• la couverture de l’audit de certification sur base du rapport d’audit,
• loi du 24 février 1984
• le cas échéant, la levée des écarts majeurs soulevés lors de l’audit.

L’ILNAS peut procéder à tout moment à des vérifications supplémentaires dans le contexte de l’attribution ou du maintien du statut de prestataire de services de dématérialisation ou de conservation. L’ILNAS peut avoir recours au certificateur pour effectuer ces vérifications.

(3) Une fois la demande d’inscription validée, l’ILNAS inscrit le demandeur sur la liste des prestataires de services de dématérialisation ou de conservation tenue par l’ILNAS et publiée sur le site Internet de l’ILNAS. L’ILNAS informe le demandeur de son inscription et de tout changement concernant cette inscription.

Les prestataires de services de dématérialisation ou de conservation inscrits sur la liste prévue à l’alinéa 1 ont le droit d’utiliser dans leur dénomination sociale, leur nom commercial ou toute communication commerciale la dénomination de prestataire de services de dématérialisation ou de conservation ou l’acronyme PSDC.

(4) Le prestataire de services de dématérialisation ou de conservation est tenu d’établir annuellement vis-à-vis de l’ILNAS qu’il remplit les conditions du paragraphe 2, alinéa 1. L’ILNAS peut à tout moment vérifier ou faire vérifier de sa propre initiative l’existence de ces conditions.

(5) Les personnes qui exercent une activité de dématérialisation ou de conservation électronique limitée à leurs propres besoins ou ceux d’une ou de plusieurs entreprises appartenant au même groupe peuvent également obtenir le statut de prestataire de services de dématérialisation ou de conservation. Les dispositions du paragraphe 3 de l’article 5 ainsi que les articles 6, 8 et 9, à l’exception de son paragraphe 1er, ne s’appliquent pas à ces prestataires de services de dématérialisation ou de conservation.

(1) L’ILNAS peut procéder à tout moment à la suspension de l’inscription ou au retrait de la liste des prestataires de services de dématérialisation ou de conservation en cas de découverte de tout événement, circonstance ou incident de nature à causer, ou avoir causé, une violation des dispositions de la présente loi ou des règlements pris en son exécution.

Dans ce cas, l’ILNAS peut, si une telle mesure de publicité est nécessaire à l’intérêt public, publier un communiqué soit au Mémorial, soit dans un ou plusieurs journaux luxembourgeois ou étrangers.

(2) Le prestataire de services de dématérialisation ou de conservation est tenu d’informer l’ILNAS sans délai de la découverte de tout événement, circonstance ou incident de nature à causer, ou avoir causé, une violation des dispositions de la présente loi ou des règlements pris en son exécution.

(3) Le prestataire de services de dématérialisation ou de conservation est tenu d’informer les détenteurs sans délai d’une éventuelle suspension de son inscription ou du retrait de la liste des prestataires de services de dématérialisation ou de conservation. Dans ce cas, le détenteur est en droit de réclamer au prestataire de services de dématérialisation ou de conservation la restitution ou le transfert à tout tiers de son choix de tout document, copie à valeur probante ou original numérique lui appartenant ainsi que de toute information relative à la création et à la conservation des copies à valeur probante ou originaux numériques sans que puissent lui être appliqués des pénalités ou des frais de traitements excessifs. Toute disposition contractuelle contraire est réputée non écrite.

(1) Préalablement à toute relation contractuelle avec un détenteur, le prestataire de services de dématérialisation ou de conservation met à disposition, sur un support durable et dans des termes aisément compréhensibles, les informations relatives aux conditions de dématérialisation ou de conservation électronique pour lesquelles il est certifié.

(2) Ces informations se rapportent, en fonction des services prestés, au moins:

1. à la procédure suivie pour la dématérialisation ou pour la conservation électronique;
2. à la procédure suivie afin de restituer les copies à valeur probante sous une forme lisible en garantissant la fidélité à l’original;
3. aux modalités et conditions d’une éventuelle sous-traitance y compris le lieu de stockage des données;
4. aux obligations légales que le prestataire de services de dématérialisation ou de conservation doit observer;
5. aux conditions contractuelles de réalisation des prestations, y compris les limites éventuelles de responsabilité du prestataire de services de dématérialisation ou de conservation; et
6. aux normes et aux procédures mises en œuvre ainsi que les caractéristiques techniques essentielles des installations utilisées pour la réalisation des prestations.

(1) Les administrateurs, les membres des organes directeurs et de surveillance, les dirigeants, les employés et les autres personnes qui sont au service d’un prestataire de services de dématérialisation ou de conservation sont obligés de garder strictement secrets tous les renseignements, originaux, documents et copies confiés à eux dans le cadre de leur activité professionnelle, à l’exception de ceux dont le détenteur a accepté ou demandé la révélation. La révélation de tels renseignements est punie des peines prévues à l’article 458 du Code pénal.

(2) L’obligation au secret cesse lorsque la révélation d’un renseignement est autorisée ou imposée par ou en vertu d’une disposition législative, même antérieure à la présente loi.

(3) L’obligation au secret professionnel n’existe pas à l’égard de l’ILNAS agissant dans le cadre de ses compétences légales.

(4) Sous réserve des règles applicables en matière pénale, les renseignements visés au paragraphe 1er , une fois révélés, ne peuvent être utilisés qu’à des fins pour lesquelles la loi a permis leur révélation.

Le prestataire de services de dématérialisation ou de conservation qui fournit des services de conservation électronique doit garantir qu’à tout moment au moins un exemplaire de toutes les copies à valeur probante et des originaux numériques qu’il conserve pour compte des détenteurs soit placé sur des matériels ou supports dont il a la pleine propriété. Il ne peut donner en garantie ou constituer de sûreté sur ces matériels ou supports. Les sûretés et garanties constituées en violation du présent alinéa sont nulles de plein droit. Ces matériels ou supports sont insaisissables tant que les copies probantes ou les originaux numériques n’ont pas été restitués aux détenteurs.

Ne sont pas visés par les dispositions du présent article les matériels ou supports sur lesquels le prestataire de services de dématérialisation ou de conservation conserve d’éventuels autres exemplaires de copies probantes ou originaux numériques pour compte des détenteurs.

(1) Le prestataire de services de dématérialisation ou de conservation peut transférer à un autre prestataire de services de dématérialisation ou de conservation tout ou partie de ses activités.

(2) Le transfert des copies à valeur probante ou des originaux numériques est opéré, avec l’accord du détenteur, aux conditions suivantes:

1. Le prestataire de services de dématérialisation ou de conservation avertit le détenteur au moins un mois à l’avance qu’il envisage de cesser son activité de prestataire de services de dématérialisation ou de conservation et de transférer ses copies à valeur probante ou ses originaux numériques.
2. Il précise en même temps l’identité du prestataire de services de dématérialisation ou de conservation auquel le transfert des copies à valeur probante ou originaux numériques est envisagé.
3. Il indique en même temps au détenteur qu’il dispose du droit de refuser le transfert envisagé, ainsi que les modalités selon lesquelles il peut exprimer un tel refus. En cas de refus du détenteur, le prestataire de services de dématérialisation ou de conservation restituera à ce dernier, respectivement à tout prestataire de services de dématérialisation ou de conservation ou à tout tiers désigné par le détenteur, toute copie à valeur probante ou tout original numérique lui appartenant ainsi que toute information relative à la dématérialisation et à la conservation des copies à valeur probante et des originaux numériques.
4. Le transfert a lieu au plus tard à la date de cessation des activités du prestataire de services de dématérialisation ou de conservation.

(3) Le prestataire de services de dématérialisation ou de conservation qui cesse ses activités sans que celles-ci soient reprises par un autre prestataire de services de dématérialisation ou de conservation, prend les mesures nécessaires à la restitution au détenteur, à tout prestataire de services de dématérialisation ou de conservation ou à tout tiers désigné par celui-ci, dans de bonnes conditions de toute copie à valeur probante ou tout original numérique lui appartenant. Il doit par ailleurs restituer toute information relative à la dématérialisation et à la conservation des copies à valeur probante ou des originaux numériques.

(4) Le prestataire de services de dématérialisation ou de conservation qui a l’intention de mettre fin à ses activités ou qui se trouve dans l’incapacité de pouvoir poursuivre ses activités en informe immédiatement l’ILNAS. Il s’assure, dans un délai de trois mois, de la reprise de celles-ci par un autre prestataire de services de dématérialisation ou de conservation, dans les conditions prévues au paragraphe 2 ou, à défaut, prend les mesures prévues au paragraphe 3 et en informe l’ILNAS.

Sont punis d’une amende de 251 à 125.000 euros les personnes qui ont utilisé dans leur dénomination sociale, leur nom commercial ou toute communication commerciale la dénomination de prestataire de services de dématérialisation ou de conservation ou l’acronyme PSDC sans être inscrites sur la liste visée au paragraphe 3 de l’article 4 de la présente loi.

(1) L’article 1333 du Code civil est complété comme suit:

(2) Après l’article 1334 du Code civil, il est ajouté un article 1334-1 ainsi rédigé:

L’article 16 du Code de commerce est complété comme suit:

La loi modifiée du 5 avril 1993 relative au secteur financier est modifiée comme suit:

1. er d’établissements de paiement, d’établissements de monnaie électronique,
2. er établissements de paiement, établissements de monnaie électronique,
3. er 1. établissements de paiement, établissements de monnaie électronique,
4. à l’établissement de paiement, à l’établissement de monnaie électronique,
5. Les prestataires de services de dématérialisation du secteur financier. (1) Sont prestataires de services de dématérialisation du secteur financier, les prestataires de services de dématérialisation ou de conservation au sens de la loi du 25 juillet 2015 relative à l’archivage électronique qui sont en charge de la dématérialisation de documents pour compte d’établissements de crédit, PSF, établissements de paiement, établissements de monnaie électronique, OPC, FIS, sociétés d’investissement en capital à risque, fonds de pension, organismes de titrisation agréés, entreprises d’assurance ou entreprises de réassurance, de droit luxembourgeois ou de droit étranger. (2) L’agrément pour l’activité de prestataire de services de dématérialisation du secteur financier ne peut être accordé qu’à des personnes morales. Il est subordonné à la justification d’un capital social d’une valeur de 50.000 euros au moins. (3) La CSSF et l’ILNAS collaborent aux fins de l’accomplissement de leurs missions respectives de surveillance des prestataires de services de dématérialisation du secteur financier. Les prestataires de services de conservation du secteur financier. (1) Sont prestataires de services de conservation du secteur financier, les prestataires de services de dématérialisation ou de conservation au sens de la loi du 25 juillet 2015 relative à l’archivage électronique qui sont en charge de la conservation de documents numériques pour compte d’établissements de crédit, PSF, établissements de paiement, établissements de monnaie électronique, OPC, FIS, sociétés d’investissement en capital à risque, fonds de pension, organismes de titrisation agréés, entreprises d’assurance ou entreprises de réassurance, de droit luxembourgeois ou de droit étranger. (2) L’agrément pour l’activité de prestataire de services de conservation du secteur financier ne peut être accordé qu’à des personnes morales. Il est subordonné à la justification d’un capital social d’une valeur de 125.000 euros au moins. (3) La CSSF et l’ILNAS collaborent aux fins de l’accomplissement de leurs missions respectives de surveillance des prestataires de services de conservation du secteur financier. (4) Ne relèvent pas du présent article les activités de simple stockage de données qui ne consistent pas à conserver une copie à valeur probante ou un original numérique au sens de la loi précitée du 25 juillet 2015 en garantissant son intégrité.» (5) L’article 41, paragraphe 5 est modifié comme suit:

L’ILNAS est autorisé à procéder au cours de l’année 2015 par dérogation aux paragraphes 1er et 2 de l’article 24 de la loi du 19 décembre 2014 concernant le budget des recettes et des dépenses de l’Etat pour l’exercice 2015 et par dépassement des plafonds prévus dans cette loi, aux engagements supplémentaires de trois employés de la carrière supérieure.

Les copies et originaux numériques créés et conservés par un organisme dont c’est une des missions en vertu de dispositions légales existantes, sous le contrôle d’une autorité publique distincte et préalablement à l’entrée en vigueur de la présente loi, sont des copies à valeur probante et originaux numériques au sens de la présente loi, créés et conservés conformément aux dispositions du règlement grand-ducal du 25 juillet 2015 relatif à la dématérialisation et à la conservation des documents à condition de signer électroniquement au sens de l’article 1322-1 du Code civil ces copies et originaux numériques endéans les 24 mois qui suivent l’entrée en vigueur de la présente loi.

Dans toute disposition légale ou réglementaire future, la référence à la présente loi pourra se faire sous une forme abrégée en utilisant les termes de «loi du 25 juillet 2015 relative à l’archivage électronique».