Protection des données

(1) Tout traitement de données à caractère personnel qui n’est pas couvert par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, désigné ci-après par le terme « règlement (UE) 2016/679 », ni par la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, est couvert par les dispositions du chapitre Ier, article 4, des chapitres II à VI, VIII et IX et du chapitre VII, section 1re du règlement (UE) 2016/679 et de la présente loi, sous réserve des textes légaux existants qui prévoient d’autres dispositions spécifiques en matière de protection des données à caractère personnel.

(2) La présente loi ne s’applique pas aux traitements de données à caractère personnel effectués par les personnes physiques dans le cadre d’une activité strictement personnelle ou domestique.

Les dispositions du titre II s’appliquent aux responsables de traitement et aux sous-traitants établis sur le territoire luxembourgeois.

La Commission nationale pour la protection des données, désignée ci-après par le terme « CNPD », est un établissement public indépendant doté de la personnalité juridique.

Elle jouit de l’autonomie financière et administrative.

Son siège est fixé par règlement grand-ducal.

La CNPD est chargée de contrôler et de vérifier si les données soumises à un traitement sont traitées en conformité avec les dispositions :

1. règlement (UE) 2016/679
2. de la présente loi ;
3. er
4. des textes légaux prévoyant des dispositions spécifiques en matière de protection des données à caractère personnel.

La CNPD n’est pas compétente pour contrôler les opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles.

La CNPD représente le Luxembourg au « Comité européen de la protection des données » institué par l’article 68 du règlement (UE) 2016/679 et contribue à ses activités.

La CNPD exerce les missions dont elle est investie en vertu de l’article 57 du règlement (UE) 2016/679.

Dans le cadre de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, la CNPD :

1. contrôle l'application des dispositions et des mesures d'exécution et veille au respect de celles-ci ;
2. favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement des données personnelles ;
3. conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ;
4. encourage la sensibilisation des responsables du traitement et des sous-traitants aux obligations qui leur incombent ;
5. fournit, sur demande, à toute personne concernée, des informations sur l'exercice de ses droits et, le cas échéant, coopère à cette fin avec les autorités de contrôle d'autres États membres ;
6. er
7. er
8. met en place des mécanismes efficaces pour encourager le signalement confidentiel des violations des traitements de données à caractère personnel ;
9. er
10. er
11. suit les évolutions pertinentes, dans la mesure où elles ont une incidence sur la protection des données à caractère personnel, notamment dans le domaine des technologies de l'information et de la communication ;
12. er

La CNPD facilite l'introduction des réclamations visées à l’article 8, point 6, par des mesures telles que la fourniture d'un formulaire de réclamation qui peut être rempli également par voie électronique, sans que d'autres moyens de communication ne soient exclus.

La CNPD établit un rapport annuel sur ses activités, qui comprend une liste des types de violations notifiées et des types de sanctions imposées en vertu du règlement 2016/679 et de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. Les rapports sont transmis à la Chambre des députés, au Gouvernement, à la Commission européenne et au Comité européen de la protection des données et sont rendus publics.

L’accomplissement des missions est gratuit pour la personne concernée et, le cas échéant, pour le délégué à la protection des données qui agit dans le cadre de ses missions.

Lorsqu’une demande est manifestement infondée ou excessive, la CNPD peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. Il incombe à la CNPD de démontrer le caractère manifestement infondé ou excessif de la demande.

Dans le cadre des missions de l’article 7, la CNPD dispose des pouvoirs tels que prévus à l’article 58 du règlement (UE) 2016/679.

La CNPD a le pouvoir de porter toute violation du règlement (UE) 2016/679, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et de la présente loi à la connaissance des autorités judiciaires et, le cas échéant, le droit d’ester en justice dans l’intérêt du règlement (UE) 2016/679 conformément à son article 58 et dans l’intérêt de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

Dans le cadre des missions de l’article 8, la CNPD dispose des pouvoirs suivants :

1. obtenir du responsable du traitement ou du sous-traitant l'accès à toutes les données à caractère personnel qui sont traitées et à toutes les informations nécessaires à l'exercice de ses missions ;
2. er
3. er er
4. limiter temporairement ou définitivement, y compris d’interdire, un traitement ;
5. er
6. émettre, de sa propre initiative ou sur demande, des avis à l'attention de la Chambre des députés et de son Gouvernement ou d'autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel.

Les organismes de certification visés à l’article 43, paragraphe 1er, du règlement (UE) 2016/679 doivent être agréés par la CNPD.

La CNPD est un organe collégial composé de quatre membres, dont un président. Les membres sont appelés Commissaires à la protection des données et sont autorisés à porter le titre de « Commissaire » sans que cela ne modifie ni leur rang ni leur traitement. Sont également nommés quatre membres suppléants.

Les membres suppléants sont appelés à suppléer à l’absence ou à l’empêchement de siéger des membres du collège.

Les membres du collège et membres suppléants sont nommés et révoqués par le Grand-Duc sur proposition du Conseil de gouvernement. Le président est désigné par le Grand-Duc. Les membres du collège et membres suppléants sont nommés pour un terme de six ans, renouvelable une fois.

Les membres du collège et les membres suppléants agissent en toute indépendance dans l’exercice de leurs missions et pouvoirs. Ils demeurent libres de toute influence extérieure, qu’elle soit directe ou indirecte, et ne sollicitent ni n’acceptent d’instructions de quiconque.

Le Conseil de gouvernement propose au Grand-Duc comme membres du collège et membres suppléants des personnes remplissant les conditions d’admission pour l’examen-concours du groupe de traitement A1 et ayant la nationalité luxembourgeoise.

Les membres du collège et les membres suppléants sont nommés sur la base de leur compétence et expérience en matière de protection des données à caractère personnel.

Les postes vacants pour les mandats des membres du collège sont publiés au plus tard six mois avant l’expiration du mandat. La publication se fait sous la forme d’un appel à candidats précisant le nombre de places vacantes, les conditions de nomination, les missions de l’organe à composer et les modalités de dépôt de la candidature.

Avant d’entrer en fonction, le président prête entre les mains du Grand-Duc ou de son représentant le serment suivant : « Je jure fidélité au Grand-Duc, obéissance à la Constitution et aux lois de l’État. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité. »

Avant d’entrer en fonction, les membres et membres suppléants prêtent entre les mains du président le serment suivant : « Je jure fidélité au Grand-Duc, obéissance à la Constitution et aux lois de l’État. Je promets de remplir mes fonctions avec intégrité, exactitude et impartialité. »

Les membres du collège ont la qualité de fonctionnaire en ce qui concerne leur statut, leur traitement et leur régime de pension.

Ils bénéficient d’une indemnité spéciale tenant compte de l’engagement requis par les fonctions, à fixer par règlement grand-ducal sans que pour autant le total du traitement barémique et de l’indemnité spéciale ne puisse dépasser le traitement barémique du grade S1.

Sans préjudice de l’application d’éventuelles sanctions disciplinaires, le membre du collège, qui bénéficiait auparavant du statut d’agent de l’État, dont le mandat n’est pas renouvelé ou qui est révoqué, est nommé au dernier grade de la fonction la plus élevée de l’un des sous-groupes de traitement, à l’exception du sous-groupe à attributions particulières, de la catégorie de traitement A, groupe de traitement A1 de son administration d’origine, à l’échelon de traitement correspondant à l’échelon de traitement atteint dans la fonction précédente ou, à défaut d’échelon correspondant, à l’échelon de traitement immédiatement inférieur. Les indemnités spéciales attachées à sa fonction de membre du collège ne sont pas maintenues. Il peut faire l’objet d’un changement d’administration dans une autre administration ou un établissement public, conformément à l’article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l’État.

Sans préjudice de l’application d’éventuelles sanctions disciplinaires, le membre du collège, qui ne bénéficiait pas auparavant du statut d’agent de l’État, dont le mandat n’est pas renouvelé ou qui est révoqué, est nommé au dernier grade de la fonction la plus élevée de l’un des sous-groupes de traitement, à l’exception du sous-groupe à attributions particulières, de la catégorie de traitement A, groupe de traitement A1 d’un département ministériel, à l’échelon de traitement correspondant à l’échelon de traitement atteint dans la fonction précédente ou, à défaut d’échelon correspondant, à l’échelon de traitement immédiatement inférieur. Les indemnités spéciales attachées à sa fonction de membre du collège ne sont pas maintenues. Il peut faire l’objet d’un changement d’administration dans une autre administration ou un établissement public, conformément à l’article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l’État.

En cas d’absence de vacance de poste budgétaire dans le groupe de traitement visé aux articles 21 et 22, l’effectif du personnel est augmenté temporairement jusqu’à la survenance de la prochaine vacance de poste dans ce groupe de traitement.

Les membres suppléants touchent une indemnité dont le montant est fixé par règlement grand-ducal.

(1) Les membres du collège et membres suppléants ne peuvent être révoqués de leurs fonctions que s’ils ont commis une faute grave ou s’ils ne remplissent plus les conditions nécessaires à l’exercice de leurs fonctions. Dans ces cas, la révocation a lieu par le Grand-Duc sur proposition du Conseil de gouvernement.

(2) Par dérogation à la limite d’âge prévue à l’article 7.I.2 de la loi modifiée du 25 mars 2015 instituant un régime de pension spécial transitoire pour les fonctionnaires de l’État et des communes ainsi que pour les agents de la Société nationale des Chemins de Fer luxembourgeois, et à l’article 67.II.1 de la loi modifiée du 3 août 1998 instituant des régimes de pension spéciaux pour les fonctionnaires de l'État et des communes ainsi que pour les agents de la Société nationale des Chemins de Fer luxembourgeois, les membres du collège qui atteignent l’âge de soixante-cinq ans en cours de mandat peuvent continuer ce mandat jusqu’à l'âge de soixante-huit ans.

La limite d’âge applicable aux membres suppléants est de soixante-huit ans.

(3) Par dérogation à l’article 29, les compétences attribuées en matière disciplinaire au ministre du ressort sont exercées à l’égard des membres du collège par le ministre ayant les Relations avec la Commission nationale pour la protection des données dans ses attributions.

En cas de cessation de mandat par un membre du collège ou un membre suppléant, il est désigné un successeur conformément aux articles 17 à 19.

Les membres du collège ou membres suppléants ne peuvent être membres du Gouvernement, de la Chambre des députés, du Conseil d’État ou du Parlement européen, ni exercer d’activité professionnelle ou détenir directement ou indirectement des intérêts dans une entreprise ou tout autre organisme opérant dans le champ des traitements de données.

Le cadre du personnel de la CNPD comprend des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État. Le cadre du personnel peut être complété, selon les besoins et dans la limite des crédits budgétaires, par des stagiaires, des employés et des salariés de l’État.

Les pouvoirs conférés au chef d'administration par les lois et règlements grand-ducaux applicables aux agents de l’État sont exercés à l'égard du personnel de la CNPD par le président. Les pouvoirs conférés au ministre du ressort ou au Conseil de gouvernement ou à l’autorité investie du pouvoir de nomination par les lois et règlements précités sont exercés à l'égard du personnel de la CNPD par le collège.

Les rémunérations et autres indemnités de tous les membres du collège, membres suppléants et agents de la CNPD sont à charge de la CNPD.

La CNPD peut faire appel à des experts externes dont les prestations sont définies et rémunérées sur la base d’un contrat de droit privé.

(1) La CNPD établit son règlement d’ordre intérieur pris à l’unanimité des membres du collège réunis au complet et comprenant ses procédures et méthodes de travail. Le règlement d’ordre intérieur est publié au Journal officiel du Grand-Duché de Luxembourg.

(2) Le collège peut déléguer des compétences de nature technique ou administrative à un membre du collège. Une telle délégation doit être fixée par le règlement d’ordre intérieur.

Sous réserve des dispositions de la présente loi et sans préjudice des textes cités à l’article 4, le règlement d’ordre intérieur fixe :

1. les conditions de fonctionnement de la CNPD ;
2. l’organisation des services de la CNPD ;
3. les modalités de la convocation des membres du collège et la tenue des réunions collégiales.

Le collège ne peut valablement siéger ni délibérer qu’à condition de réunir trois membres du collège au moins.

Les membres du collège et membres suppléants ne peuvent siéger, délibérer ou décider dans une affaire dans laquelle ils ont un intérêt direct ou indirect.

Les délibérations sont prises à la majorité des voix. En cas d’égalité des voix, la voix du président est prépondérante. Les abstentions ne sont pas recevables.

La CNPD peut intervenir de sa propre initiative ou à la demande de toute personne physique ou morale conformément aux articles 77 et 80 du règlement (UE) 2016/679 et aux articles 44 et 46 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

L’ouverture d’une enquête peut être proposée à tout moment par un membre du collège. Il soumet cette proposition au collège qui l’approuve endéans un délai d’un mois à la majorité des voix et qui désigne un membre du collège en tant que chef d’enquête. Le président ne peut être désigné comme chef d’enquête.

L’enquête doit se faire à charge et à décharge.

Un règlement de la CNPD définit la procédure devant la CNPD dans le respect du principe du contradictoire.

Le collège prend une décision sur l’issue de l’enquête dans les meilleurs délais. Le chef d’enquête ne peut ni siéger, ni délibérer lorsque le collège décide sur l’issue de l’enquête.

Sans préjudice de l’article 23 du Code de procédure pénale, toutes les personnes exerçant ou ayant exercé une activité pour la CNPD sont tenues au secret professionnel et passibles des peines prévues à l’article 458 du Code pénal en cas de violation de ce secret. Ce secret implique que les informations confidentielles qu’ils reçoivent à titre professionnel ne peuvent être divulguées à quelque personne ou autorité que ce soit, excepté sous une forme sommaire ou agrégée de façon que les personnes soumises à surveillance ne puissent être identifiées, sans préjudice des cas relevant du droit pénal en cas de violation de ce secret.

Par dérogation à l’interdiction de divulgation et de communication prévue à l’article 42 de la présente loi et à l’article 458 du Code pénal, les membres du collège, membres suppléants et agents de la CNPD sont autorisés, pendant l’exercice de leur activité, à communiquer aux autorités et services publics les informations et documents nécessaires à ceux-ci pour l’exercice de leurs missions, à condition que ces autorités, organes et personnes tombent sous un secret professionnel équivalent à celui visé à l’article 42 de la présente loi.

Par dérogation à l’interdiction de divulgation et de communication prévue à l’article 42 de la présente loi et à l’article 458 du Code pénal, les membres du collège, membres suppléants et agents de la CNPD sont autorisés, pendant l’exercice de leur activité, à communiquer aux autorités de contrôle des autres États membres, au comité européen de la protection des données ainsi qu’à la Commission européenne les informations et documents nécessaires à ceux-ci pour l’exercice de leur surveillance, à condition que ces autorités, organes et personnes tombent sous un secret professionnel équivalent à celui visé à l’article 42 de la présente loi et dans la mesure où ces autorités, organes et personnes accordent les mêmes informations à la CNPD.

L’exercice financier de la CNPD coïncide avec l’année civile.

Les comptes de la CNPD sont tenus selon les règles de la comptabilité commerciale. Avant le 30 juin de chaque année, le président du collège de la CNPD soumet au collège les comptes annuels comprenant le bilan et le compte de profits et pertes, l'annexe, arrêtés au 31 décembre de l'exercice écoulé, ainsi que son rapport d'activité et le rapport du réviseur d'entreprises agréé. Le budget annuel de la CNPD est proposé au collège par le président du collège avant le 31 décembre pour l'année qui suit.

Les comptes annuels au 31 décembre de l'exercice écoulé avec le rapport du réviseur d'entreprises agréé, le rapport d'activité et le budget annuel sont transmis au Gouvernement en conseil qui décide de la décharge à donner à la CNPD. La décision constatant la décharge accordée à la CNPD ainsi que les comptes annuels de la CNPD sont publiés au Journal officiel.

Le Gouvernement en conseil nomme un réviseur d'entreprises agréé sur proposition du collège de la CNPD. Le réviseur d'entreprises agréé a pour mission de vérifier et de certifier les comptes annuels de la CNPD. Le réviseur d'entreprises agréé est nommé pour une période de 3 ans renouvelable. Il peut être chargé par le collège de la CNPD de procéder à des vérifications spécifiques. Sa rémunération est à la charge de la CNPD.

La CNPD bénéficie d’une dotation d’un montant à déterminer sur une base annuelle et à inscrire au budget de l’État.

Sans préjudice de l’article 11, la CNPD peut imposer des redevances dans le cadre de ses pouvoirs d’autorisation et de consultation en vertu de l’article 58, paragraphe 3, lettres e), f), h) et j) du règlement (UE) 2016/679. Un règlement de la CNPD détermine le montant et les modalités de paiement des redevances.

(1) La CNPD peut imposer les amendes administratives telles que prévues à l’article 83 du règlement (UE) 2016/679, sauf à l’encontre de l’État ou des communes.

(2) Dans le cadre d’une violation de l’article 10 du règlement (UE) 2016/679 par une personne physique ou une personne morale de droit privé ou de droit public, à l’exception de l’État ou des communes, la CNPD peut imposer les amendes administratives prévues à l’article 83, paragraphe 4, du règlement (UE) 2016/679.

(1) La CNPD peut, par voie de décision, infliger au responsable de traitement ou sous-traitant**, **à l’exception de l’État et des communes, des astreintes jusqu’à concurrence de 5 pour cent du chiffre d’affaires journalier moyen réalisé au cours de l’exercice social précédent, ou au cours du dernier exercice social clos, par jour de retard à compter de la date qu’il fixe dans sa décision, pour le contraindre :

1. er règlement (UE) 2016/679
2. règlement (UE) 2016/679

Pour les besoins de l’application du présent paragraphe, les agents de l’Administration de l’enregistrement et des domaines sont tenus de communiquer à la CNPD tous renseignements qu’ils détiennent et qui sont nécessaires à la fixation des astreintes.

(2) Lorsque les responsables de traitement ont satisfait à l’obligation pour l’exécution de laquelle l’astreinte a été infligée, la CNPD peut fixer le montant définitif de celle-ci à un chiffre inférieur à celui qui résulte de la décision initiale.

Le recouvrement des amendes ou astreintes est confié à l’Administration de l’enregistrement et des domaines. Il se fait comme en matière d’enregistrement.

Quiconque empêche ou entrave sciemment, de quelque manière que ce soit, l’accomplissement des missions incombant à la CNPD, est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement.

La CNPD peut ordonner, aux frais de la personne sanctionnée, la publication intégrale ou par extraits de ses décisions à l’exception des décisions relatives au prononcé d’astreintes, et sous réserve que :

1. les voies de recours contre la décision sont épuisées ; et
2. la publication ne risque pas de causer un préjudice disproportionné aux parties en cause.

(1) Les pouvoirs conférés à la CNPD en vertu de l’article 58 du règlement (UE) 2016/679 et des articles 14, 48, 49 et 52 de la présente loi sont soumis au délai de prescription de cinq ans.

(2) La prescription court à compter du jour où la violation du règlement (UE) 2016/679, de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et de la présente loi a pris fin.

(3) La prescription est interrompue par tout acte de la CNPD. L’interruption de la prescription prend effet le jour où l’acte est notifié au responsable de traitement ou sous-traitant ayant participé au traitement.

(4) La prescription court à nouveau à partir de chaque interruption. Toutefois, la prescription est acquise au plus tard le jour où un délai égal au double du délai de prescription arrive à expiration sans que la CNPD ait prononcé une amende ou une astreinte. Ce délai est prorogé de la période pendant laquelle la prescription est suspendue conformément au paragraphe 5.

(5) La prescription est suspendue aussi longtemps que la décision de la CNPD fait l’objet d’une procédure pendante devant le Tribunal administratif.

(1) Les amendes et les astreintes prononcées en application des articles 48 et 49 se prescriront par cinq années révolues.

(2) La prescription court à compter du jour où la décision est devenue définitive.

(3) La prescription de l’exécution de la décision est interrompue :

1. par la notification d’une décision modifiant le montant initial de l’amende ou de l’astreinte ou rejetant une demande tendant à obtenir une telle modification ;
2. par tout acte de l’Administration de l’enregistrement et des domaines visant au recouvrement forcé de l’amende ou de l’astreinte.

(4) La prescription court à nouveau à partir de chaque interruption.

(5) La prescription de l’exécution de la décision est suspendue :

1. aussi longtemps qu’un délai de paiement est accordé ;
2. aussi longtemps que l’exécution forcée du paiement est suspendue en vertu d’une décision juridictionnelle.

Un recours contre les décisions de la CNPD prises en application de la présente loi est ouvert devant le Tribunal administratif qui statue comme juge du fond.

Il est créé une administration dénommée « Commissariat du Gouvernement à la protection des données auprès de l’État », désignée ci-après par le terme « Commissariat ».

Le Commissariat est placé sous l’autorité du Premier Ministre, Ministre d’État.

Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents désignent un ou plusieurs délégués à la protection des données.

Les ministres du ressort ou, sous leur autorité, les chefs d’administration compétents, peuvent désigner le Commissariat comme leur délégué à la protection des données.

La désignation est notifiée au Commissariat.

Le Commissariat peut également assurer la fonction de délégué à la protection des données pour les communes.

Les collèges des bourgmestre et échevins peuvent désigner le Commissariat comme leur délégué à la protection des données.

La désignation est notifiée au Commissariat.

Le Commissariat a pour mission :

1. de développer la protection des données à caractère personnel au sein de l’administration étatique ;
2. de promouvoir les bonnes pratiques à travers l’administration étatique et de stimuler la sensibilisation des agents ;
3. 1. en proposant au Gouvernement un programme de gestion de la conformité des activités de traitement de données des entités de l’administration étatique avec la législation applicable, en guidant et accompagnant les chefs d’administration compétents dans la mise en place des mesures appropriées, de procédures et lignes de conduite pour les agents de l’État ;
4. en assistant les délégués à la protection des données de l’administration étatique ;
5. en conseillant, sur demande, les membres du Gouvernement ;
6. règlement (UE) 2016/679 règlement (UE) 2016/679
7. de collaborer étroitement avec le ministre ayant la Protection des données dans ses attributions.

Le Commissariat est dirigé par un commissaire du Gouvernement à la protection des données auprès de l’État. Le commissaire peut être assisté d’un commissaire adjoint.

(1) Le cadre du personnel comprend un commissaire du Gouvernement, un commissaire du Gouvernement adjoint à la protection des données auprès de l’État nommés par le Grand-Duc sur proposition du Gouvernement en conseil, ainsi que des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État.

(2) Ce cadre peut être complété par des fonctionnaires stagiaires, des employés et salariés de l’État suivant les besoins du service et dans la limite des crédits budgétaires.

(3) Les candidats aux fonctions de commissaire du Gouvernement à la protection des données auprès de l’État ou de commissaire du Gouvernement adjoint doivent disposer de connaissances spécialisées de la législation et des pratiques de protection des données et remplir les conditions d’admission au groupe de traitement A1.

Le traitement mis en œuvre aux seules fins de journalisme ou d’expression universitaire, artistique ou littéraire n’est pas soumis :

1. 1. er règlement (UE) 2016/679
2. règlement (UE) 2016/679 lorsque le traitement se rapporte à des données rendues manifestement publiques par la personne concernée ou à des données qui sont en rapport direct avec la vie publique de la personne concernée ou avec le fait dans lequel elle est impliquée de façon volontaire ;
3. règlement (UE) 2016/679
4. règlement (UE) 2016/679
5. règlement (UE) 2016/679
6. au droit d’accès de la personne concernée qui est différé et limité en ce qu’il ne peut pas porter sur des informations relatives à l’origine des données et qui permettraient d’identifier une source. Sous cette réserve l’accès doit être exercé par l’intermédiaire de la CNPD en présence du président du Conseil de presse ou de son représentant, ou le président du Conseil de presse dûment appelé.

Lorsque les données à caractère personnel sont traitées à des fins de recherche scientifique ou historique, ou à des fins statistiques, le responsable du traitement peut déroger aux droits de la personne concernée prévus aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 dans la mesure où ces droits risquent de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques, sous réserve de mettre en place des mesures appropriées telles que visées à l’article 65.

Le traitement de catégories particulières de données à caractère personnel telles que définies à l’article 9, paragraphe 1er du règlement (UE) 2016/679, peut être mis en œuvre pour les finalités prévues à l’article 9, paragraphe 2, point j) de ce même règlement, si le responsable de traitement remplit les conditions de l’article 65.

Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable d’un traitement mis en œuvre à des fins de recherche scientifique ou historique, ou à des fins statistiques, doit mettre en œuvre les mesures appropriées additionnelles suivantes :

1. la désignation d’un délégué à la protection des données ;
2. la réalisation d’une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel ;
3. règlement (UE) 2016/679
4. le recours à un tiers de confiance fonctionnellement indépendant du responsable du traitement pour l’anonymisation ou la pseudonymisation des données ;
5. le chiffrement des données à caractère personnel en transit et au repos, ainsi qu’une gestion des clés conformes à l’état de l’art ;
6. l’utilisation de technologies renforçant la protection de la vie privée des personnes concernées ;
7. la mise en place de restrictions de l’accès aux données à caractère personnel au sein du responsable du traitement ;
8. des fichiers de journalisation qui permettent d’établir le motif, la date et l’heure de la consultation et l’identification de la personne qui a collecté, modifié ou supprimé les données à caractère personnel ;
9. la sensibilisation du personnel participant au traitement des données à caractère personnel et au secret professionnel ;
10. l’évaluation régulière de l’efficacité des mesures techniques et organisationnelles mises en place à travers un audit indépendant ;
11. l’établissement au préalable d’un plan de gestion des données ;
12. règlement (UE) 2016/679 règlement (UE) 2016/679

Le responsable de traitement doit documenter et justifier pour chaque projet à des fins de recherche scientifique ou historique ou à des fins statistiques l’exclusion, le cas échéant, d’une ou plusieurs des mesures énumérées à cet article.

Le traitement de données génétiques aux fins de l’exercice des droits propres au responsable du traitement en matière de droit du travail et d’assurance est interdit.

(1) Les pouvoirs d’accès de la CNPD tels que prévus à l’article 58, paragraphe 1er, lettres e) et f) du règlement (UE) 2016/679 doivent être exercés auprès ou à l’égard d’un avocat conformément aux règles prévues à l’article 35, paragraphe 3, de la loi modifiée du 10 août 1991 sur la profession d’avocat.

(2) Les pouvoirs d’accès de la CNPD tels que prévus à l’article 58, paragraphe 1er, lettre e) du règlement (UE) 2016/679 doivent être exercés auprès ou à l’égard d’un notaire conformément aux règles prévues à l’article 41 de la loi modifiée du 9 décembre 1976 relative à l´organisation du notariat.

(3) Les pouvoirs d’accès de la CNPD tels que prévus à l’article 58, paragraphe 1er, lettres e) et f) du règlement (UE) 2016/679 doivent être exercés auprès ou à l’égard d’un professionnel visé par la loi modifiée du 23 juillet 2016 relative à la profession de l’audit, conformément à l’article 28, paragraphe 8, de cette loi.

(4) Conformément à l’article 90, paragraphe 2 du règlement (UE) 2016/679, les règles prévues aux paragraphes 1er, 2 et 3 ne sont applicables qu'aux données à caractère personnel que l’avocat, le notaire ou le professionnel visé par la loi modifiée du 23 juillet 2016 relative à la profession de l’audit a reçues ou a obtenues dans le cadre d'une activité couverte par son secret professionnel.

Toute référence à la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel est remplacée par une référence au règlement (UE) 2016/679, à la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et la présente loi.

La loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État est complétée comme suit :

1. 1. er de membre effectif de la Commission nationale pour la protection des données de commissaire du Gouvernement adjoint à la protection des données auprès de l’État, de commissaire du Gouvernement adjoint du commissariat chargé de l’instruction disciplinaire,
2. er et de commissaire du Gouvernement à la protection des données auprès de l’État commissaire du Gouvernement chargé de l’instruction disciplinaire
3. er président de la Commission nationale pour la protection des données commissaire à la protection des données
4. er , de président de la Commission nationale pour la protection des données de président de l’association d’assurance contre les accidents
5. L’article 16, paragraphe 3, lettre g), est supprimé.
6. 1. membre effectif de la Commission nationale pour la protection des données commissaire du Gouvernement adjoint à la protection des données auprès de l’État, commissaire du Gouvernement adjoint du commissariat du Gouvernement chargé de l’instruction disciplinaire,
7. président de la Commission nationale pour la protection des données commissaires à la protection des données commissaire du Gouvernement à la protection des données auprès de l’État, commissaire du Gouvernement chargé de l’instruction disciplinaire,
8. président de la Commission nationale pour la protection des données
9. 1. er de membre effectif de la Commission nationale pour la protection des données
10. er de commissaire du Gouvernement adjoint à la protection des données auprès de l’État, de commissaire du Gouvernement adjoint du commissariat du Gouvernement chargé de l’instruction disciplinaire, , de membre effectif de la Commission nationale pour la protection des données

L’intitulé du titre VI du livre II du Code du travail prend la teneur suivante :Titre VI**Traitement de données à caractère personnel à des fins de surveillance dans **le cadre des relations de travail.

L’article L.261-1 du Code du travail prend la teneur suivante :L. 261-1.(1)Le traitement de données à caractère personnel à des fins de surveillance des salariés dans le cadre des relations de travail ne peut être mis en œuvre par l’employeur que dans les cas visés à l’article 6, paragraphe 1er, lettres a) à f), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (règlement général sur la protection des données), et conformément aux dispositions du présent article.(2)Sans préjudice du droit à l’information de la personne concernée, sont informés préalablement par l’employeur : pour les personnes tombant sous l’empire de la législation sur le contrat de droit privé : le comité mixte ou, à défaut, la délégation du personnel ou, à défaut encore, l’inspection du travail et des mines ; pour les personnes tombant sous l’empire d’un régime statutaire : les organismes de représentation du personnel tels que prévus par les lois et règlements afférents.Cette information préalable contient une description détaillée de la finalité du traitement envisagé, ainsi que des modalités de mise en œuvre du système de surveillance et, le cas échéant, la durée ou les critères de conservation des données, de même qu’un engagement formel de l’employeur de la non-utilisation des données collectées à une finalité autre que celle prévue explicitement dans l’information préalable.(3)Lorsque le traitement des données à caractère personnel prévu au paragraphe 1er est mis en œuvre :pour les besoins de sécurité et de santé des salariés,pour le contrôle de production ou des prestations du salarié, lorsqu’une telle mesure est le seul moyen pour déterminer le salaire exact, oudans le cadre d’une organisation de travail selon l’horaire mobile conformément aux dispositions du présent code,les dispositions prévues aux articles L.211-8, L.414-9 et L.423-1 s’appliquent, sauf lorsque le traitement répond à une obligation légale ou réglementaire.(4)Pour les projets des traitements visés au paragraphe 1er, la délégation du personnel, ou à défaut, les salariés concernés, peuvent, dans les quinze jours suivant l’information préalable, soumettre une demande d’avis préalable relative à la conformité du projet de traitement à des fins de surveillance du salarié dans le cadre des relations de travail à la Commission nationale pour la protection des données, qui doit rendre son avis dans le mois de la saisine. Cette demande a un effet suspensif pendant ce délai.(5)Les salariés concernés ont le droit d’introduire une réclamation auprès de la Commission nationale pour la protection des données. Une telle réclamation ne constitue ni un motif grave, ni un motif légitime de licenciement.

La loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel est abrogée.

La CNPD continue la personnalité juridique, y compris le personnel et les engagements juridiques, de la Commission nationale pour la protection des données telle que créée par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel.

La durée du mandat des membres du collège et des membres suppléants, nommés avant l’entrée en vigueur de la présente loi, est calculée à partir de la date de nomination de leur mandat en cours lors de l’entrée en vigueur de la présente loi.

Les membres du collège, nommés avant l’entrée en vigueur de la présente loi, sont classés dans le nouveau grade au même numéro d’échelon, diminué d’un échelon ou, à défaut d’un tel échelon, au dernier échelon du grade auquel ils ont été reclassés, sans préjudice du report de l’ancienneté d’échelon acquise sous l’ancienne législation.

En cas de non-renouvellement ou de révocation d’un mandat d’un membre du collège, nommé pour la première fois avant l’entrée en vigueur de la présente loi, celui-ci devient conseiller général auprès de la CNPD avec maintien de son statut et de son niveau de rémunération de base, à savoir le grade 17 pour le président et le grade 16 pour les deux autres membres, à l’exception des indemnités spéciales attachées à sa fonction antérieure. Il peut faire l’objet d’un changement d’administration dans une administration ou dans un autre établissement public, conformément à l’article 6 de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l’État.

La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant : « Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ».

(1) Le président de la Commission nationale pour la protection des données bénéficie d'une indemnité spéciale de cent cinquante points indiciaires par mois à partir de son entrée en fonction.

(2) Les membres du collège de la Commission nationale pour la protection des données, autres que le président, bénéficient chacun d'une indemnité spéciale de cent vingt points indiciaires par mois à partir de leur entrée en fonction.

(3) La valeur du point indiciaire applicable aux indemnités du président et des autres membres du collège de la Commission nationale pour la protection des données est celle applicable conformément à la lettre B) de l'article 1er de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'État.

Les indemnités visées aux paragraphes 1er et 2 ne sont pas pensionnables.

Les membres suppléants de la Commission nationale pour la protection des données touchent une indemnité de soixante euros par vacation horaire à partir de leur entrée en fonction.

Le règlement grand-ducal du 7 juillet 2003 portant fixation des indemnités revenant au président, aux membres effectifs et aux membres suppléants de la Commission nationale pour la protection des données est abrogé.

Notre Ministre des Communications et des Médias est chargé de l'exécution du présent règlement qui sera publié au Journal officiel du Grand-Duché de Luxembourg.

(1) La présente loi s’applique aux traitements de données à caractère personnel mis en oeuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l’exercice de l’autorité publique et des prérogatives de puissance publique, ci-après dénommés « autorité compétente ».

(2) La présente loi s'applique également aux traitements de données à caractère personnel effectués :

1. er
2. loi du 5 juillet 2016
3. loi modifiée du 15 juin 2004
4. loi modifiée du 23 juillet 1952
5. loi modifiée du 7 mars 1980
6. par les autorités luxembourgeoises dans le cadre des activités qui relèvent du champ d’application du titre V, chapitre 2, du Traité sur l’Union européenne relatif à la politique étrangère et de sécurité commune.

(3) La présente loi s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

(1) Aux fins de la présente loi, on entend par :

1. « données à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable, ci-après dénommée « personne concernée » ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2. « traitement » : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
3. « limitation du traitement » : le marquage de données à caractère personnel conservées en vue de limiter leur traitement futur ;
4. « profilage » : toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne ;
5. « pseudonymisation » : le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ;
6. « fichier » : tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ;
7. 1. toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, ainsi que les fonctionnaires et agents des administrations et services publics auxquels des lois spéciales ont attribué certains pouvoirs de police administrative ou judiciaire, dans les conditions et dans les limites fixées par ces lois, ou
8. tout autre organisme ou entité à qui le droit d'un État membre confie l'exercice de l'autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;
9. « responsable du traitement » : l'autorité compétente qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union européenne ou le droit luxembourgeois, le responsable du traitement ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union européenne ou le droit luxembourgeois ;
10. « sous-traitant » : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;
11. « destinataire » : la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication des données à caractère personnel, qu'il s'agisse ou non d'un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière conformément à la loi ne sont pas considérées comme des destinataires ; le traitement de ces données par les autorités publiques en question est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement ;
12. « violation de données à caractère personnel » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ;
13. « données génétiques » : les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question ;
14. « données biométriques » : les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ;
15. « données concernant la santé » : les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la fourniture de soins de santé, qui révèlent des informations sur l'état de santé de cette personne ;
16. 1. er
17. l’autorité de contrôle judiciaire instituée par l’article 40 ;
18. « organisation internationale » : une organisation internationale et les organismes de droit public international qui en relèvent, ou tout autre organisme qui est créé par un accord entre deux pays ou plus, ou en vertu d'un tel accord, y compris l’Organisation internationale de police criminelle (OIPC - Interpol).

(2) Pour l’application de la présente loi, lorsque les notions utilisées ne sont pas définies au paragraphe 1er, les définitions de l’article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après désigné comme « le règlement (UE) n° 2016/679 », sont applicables.

(1) Les données à caractère personnel visées par la présente loi sont :

1. traitées de manière licite et loyale ;
2. collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d'une manière incompatible avec ces finalités ;
3. adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;
4. exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ;
5. conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ;
6. traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées.

(2) Les traitements effectués, par le même ou par un autre responsable du traitement, pour l'une des finalités énoncées à l'article 1er autre que celles pour lesquelles les données ont été collectées, sont autorisés s’ils sont nécessaires et proportionnés à cette finalité, sous réserve du respect des dispositions prévues par le présent chapitre et par les chapitres IV et V.

(3) Ces traitements, par le même ou par un autre responsable du traitement, peuvent comprendre l'archivage dans l'intérêt public, à des fins scientifiques, statistiques ou historiques, pour l’une des finalités énoncées à l'article 1er.

(4) Le responsable du traitement est responsable du respect des paragraphes 1er, 2 et 3 et est en mesure de démontrer que ces dispositions sont respectées.

(1) Le responsable du traitement fixe des délais appropriés pour l'effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver les données à caractère personnel. Les délais sont à fixer eu égard à la finalité du traitement.

(2) Le responsable du traitement établit des règles procédurales en vue d’assurer le respect de ces délais qui déterminent les personnes intervenant au nom et pour compte du responsable du traitement dans cette procédure, y compris le délégué à la protection des données, ainsi que les délais dans lesquelles ces personnes doivent accomplir leurs tâches respectives. Les règles procédurales sont mises à la disposition de la personne concernée conformément à l’article 11 et à l’autorité de contrôle compétente sur demande de celle-ci.

Le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :

1. les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ;
2. les personnes reconnues coupables d'une infraction pénale ;
3. les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale, et
4. les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales, ou des contacts ou des associés de l'une des personnes visées aux lettres a) et b).

(1) Les données à caractère personnel fondées sur des faits sont, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles.

(2) Les autorités compétentes prennent toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour ne soient pas transmises ou mises à disposition. À cette fin, chaque autorité compétente vérifie, dans la mesure du possible, la qualité des données à caractère personnel avant leur transmission ou mise à disposition. Dans la mesure du possible, lors de toute transmission de données à caractère personnel, sont ajoutées des informations nécessaires permettant à l'autorité compétente destinataire de juger de l'exactitude, de l'exhaustivité, de la fiabilité, ainsi que du niveau de mise à jour des données à caractère personnel en cause.

(3) S'il s'avère que des données à caractère personnel inexactes ont été transmises ou que des données à caractère personnel ont été transmises de manière illicite, le destinataire en est informé sans retard. Dans ce cas, les données à caractère personnel sont rectifiées ou effacées ou leur traitement est limité conformément à l'article 16.

(1) Le traitement n'est licite que si et dans la mesure où il est nécessaire à l'exécution des missions de l’autorité compétente définie à l’article 2, paragraphe 1er, point 7°, pour une des finalités énoncées à l’article 1er et lorsque cette mission est effectuée en application de dispositions législatives régissant l’autorité compétente visée.

(2) Le traitement assure la proportionnalité de la durée de conservation des données à caractère personnel, compte tenu de l’objet du fichier et de la nature ou de la gravité des infractions et faits concernés.

(1) Les données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article 1er ne peuvent être traitées à des fins autres que celles y énoncées, à moins qu’un tel traitement ne soit autorisé par le droit de l’Union européenne ou par une disposition du droit luxembourgeois. Dans ce cas, le traitement de ces données est effectué conformément aux dispositions du règlement (UE) n° 2016/679 ou de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

(2) Lorsque des autorités compétentes sont chargées d'exécuter des missions autres que celles énoncées à l'article 1er, le règlement (UE) n° 2016/679 ou, le cas échéant, la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données s'appliquent au traitement des données effectué à de telles fins, y compris à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques.

(3) Lorsque le droit de l’Union européenne ou une disposition du droit luxembourgeois applicable à l’autorité compétente qui transmet les données soumet leur traitement à des conditions spécifiques, l’autorité compétente qui transmet les données informe le destinataire de ces données à caractère personnel de ces conditions et de l'obligation de les respecter.

(4) L’autorité compétente qui transmet les données n'applique pas aux destinataires dans les autres États membres ou aux services, organes et organismes établis en vertu des chapitres 4 et 5 du titre V du Traité sur le fonctionnement de l'Union européenne des conditions en vertu du paragraphe 3 différentes de celles applicables aux transferts de données similaires à d’autres autorités compétentes établies sur le territoire du Grand-Duché de Luxembourg.

Le traitement des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont autorisés uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :

1. lorsqu'ils sont autorisés par le droit de l'Union européenne ou en application de la présente loi ou d’une autre disposition du droit luxembourgeois ;
2. pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique, ou
3. lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée.

(1) Toute décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques défavorables pour la personne concernée ou l'affecte de manière significative, est interdite, à moins qu'elle ne soit autorisée par une disposition légale nationale ou par le droit de l'Union européenne, et que le responsable du traitement fournit des garanties appropriées pour les droits et libertés de la personne concernée, et au minimum le droit d'obtenir une intervention humaine de la part du responsable du traitement.

(2) Les décisions visées au paragraphe 1er ne sont pas fondées sur les catégories particulières de données à caractère personnel visées à l'article 9, à moins que des mesures appropriées pour la sauvegarde des droits et des libertés et des intérêts légitimes de la personne concernée ne soient en place.

(3) Tout profilage qui entraîne une discrimination à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel visées à l'article 9 est interdit.

(1) Le responsable du traitement prend des mesures raisonnables pour fournir toute information visée à l'article 12 et procède à toute communication relative au traitement ayant trait à l'article 10, aux articles 13 à 17 et à l'article 30 à la personne concernée d'une façon concise, compréhensible et aisément accessible, en des termes clairs et simples. Les informations sont fournies par tout moyen approprié, y compris par voie électronique. De manière générale, le responsable du traitement fournit les informations sous la même forme que la demande.

(2) Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée par l'article 10 et les articles 13 à 17.

(3) Le responsable du traitement informe par écrit, dans les meilleurs délais, la personne concernée des suites données à sa demande.

(4) Aucun paiement n'est exigé pour fournir les informations visées à l'article 12 et pour procéder à toute communication et prendre toute mesure au titre de l'article 10, des articles 13 à 17 et de l'article 30. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :

1. soit exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder à la communication ou prendre les mesures demandées,
2. soit refuser de donner suite à la demande.

Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.

(5) Lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée aux articles 13 ou 15, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée.

(1) Le responsable du traitement met à la disposition de la personne concernée au moins les informations suivantes :

1. l'identité et les coordonnées du responsable du traitement ;
2. les coordonnées du délégué à la protection des données ;
3. les finalités du traitement auquel sont destinées les données à caractère personnel ;
4. le droit d'introduire une réclamation auprès d'une des deux autorités de contrôle visées aux articles 39 et 40 et les coordonnées de ladite autorité ;
5. l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et la limitation du traitement des données à caractère personnel relatives à une personne concernée.

(2) En plus des informations visées au paragraphe 1er, le responsable du traitement fournit à la personne concernée, dans des cas particuliers, les informations additionnelles suivantes afin de lui permettre d'exercer ses droits :

1. la base juridique du traitement ;
2. la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
3. le cas échéant, les catégories de destinataires des données à caractère personnel, y compris dans les pays tiers ou au sein d'organisations internationales ;
4. au besoin, des informations complémentaires, en particulier lorsque les données à caractère personnel sont collectées à l'insu de la personne concernée.

(3) Le responsable du traitement peut retarder ou limiter la fourniture des informations à la personne concernée en application du paragraphe 2, ou ne pas fournir ces informations, dès lors et aussi longtemps qu'une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, eu égard à la finalité du traitement concerné, et en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour :

1. éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires ;
2. éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ;
3. protéger la sécurité publique ;
4. protéger la sécurité nationale et la défense nationale ; ou
5. protéger les droits et libertés d'autrui.

Sous réserve de l'article 14, la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données ainsi que les informations suivantes :

1. les finalités du traitement ainsi que sa base juridique ;
2. les catégories de données à caractère personnel concernées ;
3. les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;
4. lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
5. l'existence du droit de demander au responsable du traitement la rectification ou l'effacement des données à caractère personnel, ou la limitation du traitement des données à caractère personnel relatives à la personne concernée ;
6. le droit d'introduire une réclamation auprès de l'une des deux autorités de contrôle compétentes visées aux articles 39 et 40 et les coordonnées de ladite autorité ;
7. la communication des données à caractère personnel en cours de traitement, ainsi que toute information disponible quant à leur source.

(1) Le responsable du traitement peut limiter, entièrement ou partiellement, le droit d'accès de la personne concernée, dès lors et aussi longtemps qu'une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée dans une société démocratique, eu égard à la finalité du traitement concerné, et en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour :

1. éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires ;
2. éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ;
3. protéger la sécurité publique ;
4. protéger la sécurité nationale et la défense nationale ; ou
5. protéger les droits et libertés d'autrui.

(2) Dans les cas visés au paragraphe 1er, le responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d'accès, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au paragraphe 1er. Le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l’autorité de contrôle compétente ou de former un recours juridictionnel.

(3) Le responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l’autorité de contrôle compétente.

(1) Le responsable du traitement rectifie, dans les meilleurs délais, des données à caractère personnel de la personne concernée qui sont inexactes. Compte tenu des finalités du traitement, les données à caractère personnel incomplètes de la personne concernée sont complétées, y compris par une déclaration complémentaire fournie par la personne concernée fournie à cet effet.

(2) Le responsable du traitement efface dans les meilleurs délais les données à caractère personnel de la personne concernée lorsque le traitement de ces données constitue une violation des dispositions prévues par les articles 3, 7 ou 9, ou lorsque les données à caractère personnel doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement.

(3) Au lieu de procéder à l'effacement, le responsable du traitement limite le traitement lorsque :

1. l'exactitude des données à caractère personnel est contestée par la personne concernée et qu'il ne peut être déterminé si les données sont exactes ou non, ou
2. les données à caractère personnel doivent être conservées à des fins probatoires.

Lorsque le traitement est limité en vertu de l’alinéa 1er, lettre a), du présent paragraphe, le responsable du traitement informe la personne concernée avant de lever la limitation du traitement.

(4) Le responsable du traitement informe la personne concernée par écrit de tout refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement, ainsi que des motifs du refus. Le responsable du traitement peut limiter, en tout ou en partie, la fourniture de ces informations, dès lors qu'une telle limitation constitue une mesure nécessaire et proportionnée dans une société démocratique, eu égard à la finalité du traitement concerné, et en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour :

1. éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires ;
2. éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ;
3. protéger la sécurité publique ;
4. protéger la sécurité nationale et la défense nationale ; ou
5. protéger les droits et libertés d'autrui.

Le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès d'une autorité de contrôle ou de former un recours juridictionnel.

(5) Le responsable du traitement communique la rectification des données à caractère personnel inexactes à l'autorité compétente dont proviennent les données à caractère personnel inexactes.

(6) Lorsque des données à caractère personnel ont été rectifiées ou effacées ou que le traitement a été limité au titre des paragraphes 1, 2 et 3, le responsable du traitement adresse une notification aux destinataires afin que ceux-ci rectifient ou effacent les données à caractère personnel ou limitent le traitement des données à caractère personnel sous leur responsabilité.

(1) Dans les cas visés à l'article 12, paragraphe 3, à l'article 14, paragraphe 1er, et à l'article 15, paragraphe 4, les droits de la personne concernée peuvent être exercés par l'intermédiaire de l'autorité de contrôle compétente.

(2) Le responsable du traitement informe la personne concernée de la possibilité qu'elle a d'exercer ses droits par l'intermédiaire de l'autorité de contrôle compétente en application du paragraphe 1er.

(3) Lorsque le droit visé au paragraphe 1er est exercé, l'autorité de contrôle compétente informe au moins la personne concernée du fait qu'elle a procédé à toutes les vérifications nécessaires ou à un examen. L'autorité de contrôle informe également la personne concernée de son droit de former un recours juridictionnel.

Lorsque les données à caractère personnel sont relatives à des faits qui font l’objet d’une enquête préliminaire, d’une instruction préparatoire, qui ont été renvoyés devant une juridiction de jugement, qui font l’objet d’une citation, ou lorsque l’autorité compétente sur base de la loi modifiée du 10 août 1992 relative à la protection de la jeunesse est saisie de ces faits, les droits visés aux articles 12, 13 et 15 sont exercés conformément aux dispositions du Code de procédure pénale ou à d’autres dispositions légales applicables.

(1) Le responsable du traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, met en œuvre les mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément à la présente loi. Ces mesures sont réexaminées et actualisées, si nécessaire.

(2) Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1er comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement.

(1) Compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant lors de la détermination des moyens du traitement que lors du traitement proprement dit, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires, afin de répondre aux exigences de la présente loi et de protéger les droits des personnes concernées.

(2) Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cette obligation s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne concernée.

(1) Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect de la loi, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 11 et 12, par voie d'accord entre eux. Le point de contact unique pour les personnes concernées, afin que celles-ci puissent exercer leurs droits, est désigné dans l'accord.

(2) Indépendamment des termes de l'accord visé au paragraphe 1er, la personne concernée peut exercer les droits que lui confère la présente loi à l'égard de et contre chacun des responsables du traitement.

(1) Le responsable du traitement, lorsqu'un traitement doit être effectué pour son compte, fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences de la présente loi et garantisse la protection des droits de la personne concernée.

(2) Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.

(3) Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union européenne, du droit luxembourgeois ou du droit d’un autre État membre, qui lie le sous-traitant à l'égard du responsable du traitement et qui définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant :

1. n'agit que sur instruction du responsable du traitement ;
2. veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
3. aide le responsable du traitement, par tout moyen approprié, à veiller au respect des dispositions relatives aux droits de la personne concernée ;
4. selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation des services de traitement des données, et détruit les copies existantes, à moins qu’une disposition légale n'exige la conservation des données à caractère personnel ;
5. met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect du présent article ;
6. respecte les conditions visées aux paragraphes 2 et 3 pour recruter un autre sous-traitant.

(4) Le contrat ou l'autre acte juridique visé au paragraphe 3 revêt la forme écrite, y compris la forme électronique.

(5) Si, en violation de la présente loi, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.

Le sous-traitant, et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel ne les traite que sur instruction du responsable du traitement, à moins d'y être obligé par une disposition légale.

(1) Les responsables du traitement tiennent un registre de toutes les catégories d'activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes :

1. le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement et du délégué à la protection des données ;
2. les finalités du traitement ;
3. les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ;
4. une description des catégories de personnes concernées et des catégories de données à caractère personnel ;
5. le cas échéant, le recours au profilage ;
6. le cas échéant, les catégories de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ;
7. une indication de la base juridique de l'opération de traitement, y compris les transferts, à laquelle les données à caractère personnel sont destinées ;
8. dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données à caractère personnel ;
9. er

(2) Chaque sous-traitant tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, comprenant :

1. le nom et les coordonnées du ou des sous-traitants, de chaque responsable du traitement pour le compte duquel le sous-traitant agit et, le cas échéant, du délégué à la protection des données ;
2. les catégories de traitements effectués pour le compte de chaque responsable du traitement ;
3. le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, lorsqu'il en est expressément chargé par le responsable du traitement, y compris l'identification de ce pays tiers ou de cette organisation internationale ;
4. er

(3) Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite, y compris la forme électronique. Le responsable du traitement et le sous-traitant mettent ces registres à la disposition de l'autorité de contrôle, sur demande.

(1) Des journaux sont établis au moins pour les opérations de traitement suivantes dans des systèmes de traitement automatisé : la collecte, la modification, la consultation, la communication, y compris les transferts, l'interconnexion et l'effacement. Les journaux des opérations de consultation et de communication permettent d'établir le motif, la date et l'heure de celles-ci et l'identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l'identité des destinataires de ces données à caractère personnel.

(2) Les journaux sont utilisés uniquement à des fins de vérification de la licéité du traitement, d'autocontrôle, de garantie de l'intégrité et de la sécurité des données à caractère personnel et à des fins de procédures pénales.

(3) Le responsable du traitement et le sous-traitant mettent les journaux à la disposition de l'autorité de contrôle sur demande de celle-ci.

Le responsable du traitement et le sous-traitant coopèrent avec l'autorité de contrôle compétente, à la demande de celle-ci, dans l'exécution de ses missions.

(1) Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement effectue préalablement au traitement une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

(2) L'analyse visée au paragraphe 1er contient au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect de la loi, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées.

(1) Le responsable du traitement ou le sous-traitant consulte l'autorité de contrôle compétente préalablement au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer :

1. lorsqu'une analyse d'impact relative à la protection des données, telle qu'elle est prévue à l'article 26, indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque, ou
2. lorsque le type de traitement, en particulier, en raison de l'utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées.

(2) L'autorité de contrôle compétente est consultée dans le cadre de l'élaboration d'un projet de loi ou d’un projet de règlement grand-ducal qui se rapporte au traitement.

(3) L'autorité de contrôle peut établir une liste des opérations de traitement devant faire l'objet d'une consultation préalable conformément au paragraphe 1er.

(4) Le responsable du traitement fournit à l'autorité de contrôle l'analyse d'impact relative à la protection des données en vertu de l'article 26 et, sur demande, toute autre information afin de permettre à l'autorité de contrôle d'apprécier la conformité du traitement et, en particulier, les risques pour la protection des données à caractère personnel de la personne concernée et les garanties qui s'y rapportent.

(5) Lorsque l'autorité de contrôle compétente est d'avis que le traitement prévu visé au paragraphe 1er constituerait une violation de la présente loi, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle compétente fournit par écrit, dans un délai maximum de six semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement, et le cas échéant au sous-traitant, et elle peut faire usage des pouvoirs visés à l'article 14 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ou à l’article 43 de la présente loi, en fonction de l’autorité de contrôle compétente. Ce délai peut être prolongé d'un mois, en fonction de la complexité du traitement prévu. L'autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de toute prorogation dans un délai d'un mois à compter de la réception de la demande de consultation, ainsi que des motifs du retard.

(1) Compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel visées à l'article 9.

(2) En ce qui concerne le traitement automatisé, le responsable du traitement ou le sous-traitant met en œuvre, à la suite d'une évaluation des risques, des mesures destinées à :

1. empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement (contrôle de l'accès aux installations) ;
2. empêcher que des supports de données puissent être lus, copiés, modifiés ou supprimés de façon non autorisée (contrôle des supports de données) ;
3. empêcher l'introduction non autorisée de données à caractère personnel dans le fichier, ainsi que l'inspection, la modification ou l'effacement non autorisé de données à caractère personnel enregistrées (contrôle de la conservation) ;
4. empêcher que les systèmes de traitement automatisé puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données (contrôle des utilisateurs) ;
5. garantir que les personnes autorisées à utiliser un système de traitement automatisé ne puissent accéder qu'aux données à caractère personnel sur lesquelles porte leur autorisation (contrôle de l'accès aux données) ;
6. garantir qu'il puisse être vérifié et constaté à quelles instances des données à caractère personnel ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données (contrôle de la transmission) ;
7. garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé, et à quel moment et par quelle personne elles y ont été introduites (contrôle de l'introduction) ;
8. empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou supprimées de façon non autorisée (contrôle du transport) ;
9. garantir que les systèmes installés puissent être rétablis en cas d'interruption (restauration) ;
10. garantir que les fonctions du système opèrent, que les erreurs de fonctionnement soient signalées (fiabilité) et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système (intégrité).

(1) En cas de violation de données à caractère personnel, le responsable du traitement notifie la violation en question à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans un délai de 72 heures au plus tard après en avoir pris connaissance, à moins qu'il soit peu probable que la violation en question n'engendre des risques pour les droits et les libertés d'une personne physique. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.

(2) Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

(3) La notification visée aux paragraphes 1 et 2 doit au moins :

1. décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ;
2. communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
3. décrire les conséquences probables de la violation de données à caractère personnel, et
4. décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

(4) Si et dans la mesure où il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.

(5) Le responsable du traitement documente toute violation de données à caractère personnel visée au paragraphe 1er en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier, afin que la documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article.

(6) Lorsque la violation de données à caractère personnel porte sur des données à caractère personnel qui ont été transmises par le responsable du traitement d'un autre État membre ou à celui-ci, les informations visées au paragraphe 3 sont communiquées au responsable du traitement de cet État membre dans les meilleurs délais.

(1) Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et les libertés d'une personne physique, le responsable du traitement communique la violation à la personne concernée dans les meilleurs délais.

(2) La communication à la personne concernée visée au paragraphe 1er décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et les mesures visées à l'article 29, paragraphe 3, lettres b), c) et d).

(3) La communication à la personne concernée visée au paragraphe 1er n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie :

1. le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces dernières ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement ;
2. er
3. elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace.

(4) Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie.

(5) La communication à la personne concernée visée au paragraphe 1er peut être retardée, limitée ou omise, sous réserve des conditions et pour les motifs visés à l'article 12, paragraphe 3.

(1) Le responsable du traitement désigne un délégué à la protection des données.

(2) Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à exercer les missions visées à l'article 33.

(3) Un seul délégué à la protection des données peut être désigné pour plusieurs autorités compétentes, compte tenu de leur structure organisationnelle et de leur taille.

(4) Le responsable du traitement publie les coordonnées du délégué à la protection des données et les communique à l'autorité de contrôle.

(1) Le responsable du traitement veille à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

(2) Le responsable du traitement aide le délégué à la protection des données à exercer les missions visées à l'article 33 en fournissant les ressources nécessaires pour exercer ces missions ainsi que l'accès aux données à caractère personnel et aux traitements, et lui permettant d'entretenir ses connaissances spécialisées.

Le responsable du traitement confie au délégué à la protection des données au moins les missions suivantes :

1. informer et conseiller le responsable du traitement et les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu de la présente loi et d'autres dispositions du droit de l'Union européenne ou du droit luxembourgeois en matière de protection des données ;
2. contrôler le respect de la présente loi, d'autres dispositions du droit de l'Union européenne ou du droit luxembourgeois en matière de protection des données et des règles internes du responsable du traitement en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant à des opérations de traitement, et les audits s'y rapportant ;
3. dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 26 ;
4. coopérer avec l'autorité de contrôle compétente ;
5. faire office de point de contact pour la personne concernée et l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 27, et mener des consultations, le cas échéant, sur tout autre sujet en relation avec ses missions.

(1) Un transfert, par des autorités compétentes, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après leur transfert vers un pays tiers ou à une organisation internationale, y compris des transferts ultérieurs vers un autre pays tiers ou à une autre organisation internationale, n'a lieu, sous réserve du respect des autres dispositions de la présente loi, que lorsque les conditions définies dans le présent chapitre sont respectées, à savoir :

1. er
2. er
3. en cas de transmission ou de mise à disposition de données à caractère personnel provenant d'un autre État membre, celui-ci a préalablement autorisé ce transfert conformément à son droit national ;
4. la Commission européenne a adopté une décision d'adéquation en application de l'article 35 ou, en l'absence d'une telle décision, des garanties appropriées ont été prévues ou existent en application de l'article 36 ou, en l'absence de décision d'adéquation au titre de l'article 35 et de garanties appropriées conformément à l'article 36, des dérogations pour des situations particulières s'appliquent en vertu de l'article 37 ;
5. en cas de transfert ultérieur vers un autre pays tiers ou à une autre organisation internationale, l'autorité compétente qui a procédé au transfert initial ou une autre autorité compétente du même État membre autorise le transfert ultérieur, après avoir dûment pris en considération l'ensemble des facteurs pertinents, y compris la gravité de l'infraction pénale, la finalité pour laquelle les données à caractère personnel ont été transférées initialement et le niveau de protection des données à caractère personnel dans le pays tiers ou au sein de l'organisation internationale vers lequel ou laquelle les données à caractère personnel sont transférées ultérieurement.

(2) Les transferts effectués sans l'autorisation préalable d'un autre État membre prévue au paragraphe 1er, lettre c), sont autorisés uniquement lorsque le transfert de données à caractère personnel est nécessaire aux fins de la prévention d'une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers ou pour les intérêts essentiels d'un État membre et si l'autorisation préalable ne peut pas être obtenue en temps utile. L'autorité à laquelle il revient d'accorder l'autorisation préalable est informée sans retard.

(3) Toutes les dispositions du présent chapitre sont appliquées de manière que le niveau de protection des personnes physiques assuré par la présente loi ne soit pas compromis.

(1) Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission européenne, en application de l’article 36 de la directive (UE) n° 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, ci-après désignée comme « la directive (UE) n° 2016/680 », a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique.

(2) Une décision adoptée en vertu de l’article 36, paragraphe 5, de la directive (UE) n° 2016/680 est sans préjudice des transferts de données à caractère personnel vers le pays tiers, le territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou à l'organisation internationale en question, effectués en application des articles 36 et 37.

(1) En l'absence de décision en vertu de l'article 35, un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque :

1. des garanties appropriées en ce qui concerne la protection des données à caractère personnel sont fournies dans un instrument juridiquement contraignant, ou
2. le responsable du traitement a évalué toutes les circonstances du transfert et estime qu'il existe des garanties appropriées au regard de la protection des données à caractère personnel.

(2) Le responsable du traitement informe l'autorité de contrôle compétente des catégories de transferts relevant du paragraphe 1er, lettre b).

(3) Lorsqu'un transfert est effectué sur la base du paragraphe 1er, lettre b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle compétente, sur demande, et comporte la date et l'heure du transfert, des informations sur l'autorité compétente destinataire, la justification du transfert et les données à caractère personnel transférées.

(1) En l'absence de décision d'adéquation en vertu de l'article 35 ou de garanties appropriées en vertu de l'article 36, un transfert ou une catégorie de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu'à condition que le transfert soit nécessaire :

1. à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne ;
2. à la sauvegarde des intérêts légitimes de la personne concernée ;
3. pour prévenir une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers ;
4. er
5. er

(2) Les données à caractère personnel ne sont pas transférées si l'autorité compétente qui transfère les données estime que les libertés et droits fondamentaux de la personne concernée l'emportent sur l'intérêt public dans le cadre du transfert visé au paragraphe 1er, lettres d) et e).

(3) Lorsqu'un transfert est effectué sur la base du paragraphe 1er, lettre b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle, sur demande, et indique la date et l'heure du transfert, donne des informations sur l'autorité compétente destinataire, indique la justification du transfert et les données à caractère personnel transférées.

(1) Par dérogation à l'article 34, paragraphe 1er, lettre b), et sans préjudice de tout accord international visé au paragraphe 2, les autorités compétentes au sens de l'article 2, point 7), lettre a), peuvent, dans certains cas particuliers, transférer des données à caractère personnel directement aux destinataires établis dans des pays tiers, uniquement lorsque les autres dispositions de la présente loi sont respectées et que toutes les conditions ci-après sont remplies :

1. er
2. l'autorité compétente qui transfère les données établit qu'il n'existe pas de libertés ni de droits fondamentaux de la personne concernée qui prévalent sur l'intérêt public nécessitant le transfert dans le cas en question ;
3. er
4. er
5. l'autorité compétente qui transfère les données informe le destinataire de la finalité ou des finalités déterminées pour lesquelles les données à caractère personnel ne doivent faire l'objet d'un traitement que par cette dernière, à condition qu'un tel traitement soit nécessaire.

(2) Par accord international visé au paragraphe 1er, on entend tout accord international bilatéral ou multilatéral en vigueur entre le Grand-Duché de Luxembourg et des pays tiers dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière.

(3) L'autorité compétente qui transfère les données informe l'autorité de contrôle des transferts relevant du présent article.

(4) Lorsqu'un transfert est effectué sur la base du paragraphe 1er, ce transfert est documenté.

L’autorité de contrôle instituée par l’article 3 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données est compétente pour contrôler et vérifier le respect des dispositions de la présente loi.

(1) Il est créé une autorité de contrôle de la protection des données judiciaires, ci-après désignée comme « autorité de contrôle judiciaire ».

(2) Par dérogation à l’article 39, les opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles, que ce soit pour les finalités visées à l’article 1er de la présente loi ou pour celles visées par le règlement (UE) n° 2016/679, sont soumises au contrôle de l’autorité de contrôle judiciaire.

(3) L’autorité de contrôle judiciaire est composée de six membres effectifs et de leurs suppléants comme suit :

1. le Président de la Cour supérieure de Justice ou son délégué ;
2. un représentant des autres juridictions de l’ordre judiciaire ;
3. le Président de la Cour administrative ou son délégué ;
4. le Procureur général d’État ou son délégué ;
5. un représentant du Parquet de l’arrondissement de Luxembourg ou de l’arrondissement de Diekirch, et
6. un représentant de la Commission nationale pour la protection des données.

Un fonctionnaire ou employé de l’administration judiciaire assume le rôle de secrétaire de l’autorité de contrôle judiciaire. Un ou plusieurs autres fonctionnaires ou employés de l’administration judiciaire peuvent être nommés en tant que membres du secrétariat de l’autorité de contrôle judiciaire, dont un en tant que secrétaire suppléant.

(4) Les membres effectifs et leurs suppléants ainsi que les fonctionnaires et employés assurant le secrétariat de l’autorité de contrôle judiciaire sont nommés par arrêté du ministre ayant la justice dans ses attributions sur proposition :

1. er
2. du procureur général d’État pour les membres effectifs et suppléants visés au paragraphe 3, points 4) et 5), et
3. du président de la Commission nationale pour la protection des données pour le membre visé au paragraphe 3, point 6).

(5) Ne peuvent être nommés que des membres effectifs et suppléants qui disposent d’une ancienneté d’au moins trois ans au sein respectivement de la magistrature de l’ordre judiciaire, des juridictions administratives ou de la Commission nationale pour la protection des données. La durée du mandat des membres effectifs et de leurs suppléants est de six ans et est renouvelable une fois. Les mandats prennent encore fin en cas de démission en tant que membre de l’autorité de contrôle judiciaire ou en tant que membre de la magistrature de l’ordre judiciaire, des juridictions administratives ou de la Commission nationale pour la protection des données, ou en cas de mise ou de départ à la retraite. Un membre ne peut être démis de son mandat que s'il a commis une faute grave ou s'il ne remplit plus les conditions nécessaires à l'exercice de ses fonctions. En cas de vacance d’un mandat effectif ou supplétif, il est pourvu à son remplacement par la nomination d'un nouveau membre, désigné conformément au paragraphe 4, qui achève le mandat de celui qu'il remplace.

(6) Pendant la durée de leur mandat, les membres effectifs de l’autorité de contrôle judiciaire bénéficient chacun d’une prime mensuelle non pensionnable de cinquante points indiciaires. Cette prime est de trente points pour les membres suppléants de l’autorité de contrôle judiciaire et de vingt points pour les membres de son secrétariat.

En cas de nomination d’un délégué au sens des paragraphes 3 et 4, le titulaire ayant procédé à la délégation ne pourra bénéficier de la prime visée à l’alinéa 1er pendant la durée de cette délégation.

(1) La présidence de l’autorité de contrôle judiciaire est assurée par le Président de la Cour supérieure de Justice ou son délégué et sa vice-présidence est assurée par le Président de la Cour administrative ou son délégué.

(2) L’autorité de contrôle judiciaire ne peut valablement délibérer que lorsque au moins trois de ses membres effectifs ou suppléants, dont au moins un membre effectif, sont présents. Le membre effectif qui est empêché de participer à une réunion en informe son suppléant.

L’autorité de contrôle judiciaire peut s'adjoindre des experts qui peuvent assister, à sa demande, aux réunions avec voix consultative.

(3) L’autorité de contrôle judiciaire se réunit, sur convocation de son président, toutes les fois que l'exigent les affaires comprises dans ses attributions. Les réunions de l’autorité de contrôle judiciaire sont présidées par son président ou, en cas d’absence, par son vice-président, sinon conformément aux dispositions de son règlement interne visé au paragraphe 10.

Hormis le cas d'urgence, la convocation, contenant l'ordre du jour et mentionnant le lieu, le jour et l'heure de la réunion, est envoyée par voie postale ou par voie électronique au moins huit jours de calendrier avant la date fixée pour la réunion aux adresses indiquées par les membres effectifs.

(4) Le président ouvre et clôt la réunion et dirige les débats. Lorsque le président constate que l’autorité de contrôle judiciaire n'est pas en nombre pour délibérer valablement, il clôt la réunion. Dans ce cas il convoque à nouveau, dans un délai de huit jours de calendrier, l’autorité de contrôle judiciaire avec le même ordre du jour. L’autorité de contrôle judiciaire siège et délibère alors valablement quel que soit le nombre et la qualité des membres présents.

(5) Le président et les autres membres de l’autorité de contrôle judiciaire disposent chacun d'une voix. Ils votent à main levée. Les décisions sont prises à la majorité des voix exprimées, hormis les abstentions. En cas de partage des voix, celle du président de la réunion est prépondérante.

(6) Le secrétaire établit après chaque réunion un procès-verbal indiquant le nom des membres présents ou excusés, l'ordre du jour de la réunion ainsi que les décisions prises et, le cas échéant, les motifs à leur base. Le procès-verbal est signé par le président et le secrétaire et communiqué aux membres de l’autorité de contrôle judiciaire.

(7) L’autorité de contrôle judiciaire agit en toute indépendance dans l'exercice de ses missions et des pouvoirs dont elle est investie conformément à la présente loi. Dans l'exercice de leurs missions et de leurs pouvoirs, les membres de l’autorité de contrôle judiciaire demeurent libres de toute influence extérieure, qu'elle soit directe ou indirecte, et ne sollicitent ni n'acceptent d'instructions de quiconque.

(8) Les membres de l’autorité de contrôle judiciaire s'abstiennent de tout acte incompatible avec leurs fonctions et, pendant la durée de leur mandat, n'exercent aucune activité professionnelle incompatible, rémunérée ou non.

(9) Les membres de l’autorité de contrôle judiciaire sont soumis au secret professionnel au sens de l’article 458 du Code pénal concernant toute information confidentielle dont ils ont eu connaissance dans l'exercice de leurs missions ou de leurs pouvoirs, y compris après la cessation de leurs mandats.

(10) L’autorité de contrôle judiciaire adopte un règlement interne afin de déterminer ses procédures et modalités de travail nécessaires non prévues par la présente loi. Ce règlement est publié au Journal officiel du Grand-Duché de Luxembourg.

(1) Dans les limites de ses compétences prévues à l’article 40, paragraphe 2, et lorsque le traitement de données à caractère personnel concerné par les autorités y visées relève du champ d’application de la présente loi, l’autorité de contrôle judiciaire :

1. contrôle l'application des dispositions de la présente loi et veille au respect de celles-ci ;
2. favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement ;
3. conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ;
4. encourage la sensibilisation des responsables du traitement et des sous-traitants des traitements de données relevant de sa compétence aux obligations qui leur incombent en vertu de la présente loi ;
5. fournit, sur demande, à toute personne concernée, des informations sur l'exercice de ses droits découlant de la présente loi et, le cas échéant, coopère à cette fin avec la Commission nationale pour la protection des données et les autorités de contrôle étrangères ;
6. traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association conformément à l'article 47, enquête sur l'objet de la réclamation, dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire ;
7. vérifie la licéité du traitement en vertu de l'article 16 et informe la personne concernée dans un délai raisonnable de l'issue de la vérification, conformément au paragraphe 3 du même article, ou des motifs ayant empêché sa réalisation ;
8. coopère avec d'autres autorités de contrôle, y compris en partageant des informations, et leur fournit une assistance mutuelle dans ce cadre en vue d'assurer une application cohérente de la présente loi pour en assurer le respect ;
9. effectue des enquêtes sur l'application de la présente loi, y compris sur la base d'informations reçues d'une autre autorité de contrôle ou d'une autre autorité publique ;
10. suit les évolutions pertinentes, dans la mesure où elles ont une incidence sur la protection des données à caractère personnel, notamment dans le domaine des technologies de l'information et de la communication ;
11. fournit des conseils sur les opérations de traitement visées à l'article 27.

L’autorité de contrôle judiciaire facilite l'introduction des réclamations visées au paragraphe 1er, lettre f), par des mesures telles que la fourniture d'un formulaire de réclamation qui peut être rempli également par voie électronique, sans que d'autres moyens de communication ne soient exclus.

L'accomplissement des missions de l’autorité de contrôle judiciaire est gratuit pour la personne concernée et pour les délégués à la protection des données compétents pour les traitements de données relevant du champ d’application de la présente loi.

Lorsqu'une demande est manifestement infondée ou excessive en raison, notamment, de son caractère répétitif, l'autorité de contrôle judiciaire peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. Il incombe à l'autorité de contrôle judiciaire de démontrer le caractère manifestement infondé ou excessif de la demande.

(2) Lorsque le traitement de données à caractère personnel effectué par les autorités visées à l’article 40, paragraphe 2, relève du champ d’application du règlement (UE) n° 2016/679, les missions de l’autorité de contrôle judiciaire sont celles visées à l’article 57 de ce règlement.

(1) Lorsque le traitement de données à caractère personnel effectué par les autorités visées à l’article 40, paragraphe 2, relève du champ d’application de la présente loi, l’autorité de contrôle judiciaire dispose des pouvoirs correctifs suivants :

1. avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions de la présente loi ;
2. ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions adoptées en vertu de la présente loi, le cas échéant de manière spécifique et dans un délai déterminé, en particulier en ordonnant la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement en application de l'article 15 ;
3. limiter temporairement ou définitivement, y compris interdire, un traitement.

L’autorité de contrôle judiciaire obtient du responsable du traitement ou du sous-traitant accès à toutes les données à caractère personnel qui sont traitées et à toutes les autres informations nécessaires à l'exercice de ses missions.

L’autorité de contrôle judiciaire conseille le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 27 et émet, de sa propre initiative ou sur demande, des avis à l'attention de la Chambre des députés et du Gouvernement ou d'autres institutions et organismes, ainsi que du public, sur toute question relative à la protection des données à caractère personnel relevant de sa compétence.

L’autorité de contrôle judiciaire a le pouvoir de porter les violations des dispositions de la présente loi à la connaissance des autorités judiciaires en vue de faire respecter les dispositions de la présente loi.

(2) Lorsque le traitement de données à caractère personnel effectué par les autorités visées à l’article 40, paragraphe 2, relève du champ d’application du règlement (UE) n° 2016/679, les pouvoirs de l’autorité de contrôle judiciaire sont ceux visés à l’article 58 de ce règlement.

(1) Toute personne concernée peut introduire auprès de la Commission nationale pour la protection des données une réclamation contre des opérations de traitement de données à caractère personnel si elle considère que le traitement des données à caractère personnel la concernant constitue une violation des dispositions de la présente loi.

(2) Par dérogation au paragraphe 1er, les réclamations contre des opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles sont traitées comme incident de procédure devant la juridiction qui est compétente pour statuer sur le litige auquel la personne concernée est partie, conformément aux dispositions procédurales applicables au litige concerné.

(3) Pour toutes les réclamations contre des opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles qui ne peuvent être traitées conformément au paragraphe 2, la personne concernée peut saisir l’autorité de contrôle judiciaire.

(4) Si la réclamation n'est pas introduite auprès de l'autorité de contrôle compétente, l'autorité de contrôle auprès de laquelle la réclamation a été introduite la transmet dans les meilleurs délais à l'autorité de contrôle compétente. La personne concernée est informée de cette transmission.

(5) La personne concernée est informée par l'autorité de contrôle compétente de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 45.

(1) Contre les décisions prises par l’autorité de contrôle judiciaire en application de l’article 44, paragraphe 3, lorsque le traitement de données à caractère personnel visé par la réclamation relève du champ d’application de la présente loi, un recours juridictionnel peut être introduit par la personne concernée devant la chambre du conseil de la cour d’appel.

La requête y afférente est consignée sur un registre tenu à cet effet au greffe de la chambre du conseil de la cour d’appel. Sous peine d’irrecevabilité, la requête doit être déposée au greffe de la chambre du conseil de la cour d’appel dans le délai d’un mois qui court à partir du jour de la notification de la décision en cause par l’autorité de contrôle judiciaire à la personne concernée, ou, lorsque l’autorité de contrôle judiciaire n’a pas statué sur la réclamation de la personne concernée, à partir de l’expiration d’un délai de trois mois à partir du jour de la saisine de l’autorité de contrôle judiciaire par la personne concernée. Le greffier avertit la personne concernée et le responsable du traitement au moins huit jours avant les jour et heure de l’audience.

Le responsable du traitement ou son représentant et la personne concernée et, le cas échéant, son mandataire ont seul le droit d’assister à l’audience et de fournir tels mémoires et de faire telles réquisitions, verbales ou écrites, qu’ils jugent convenables. L’audience de la chambre du conseil n’est pas publique.

Les notifications et avertissements visés au présent paragraphe se font dans les formes prévues pour les notifications en matière répressive. Ni le délai de recours, ni la saisine de la chambre du conseil de la cour d’appel en application du présent paragraphe n’ont d’effet suspensif.

(2) Contre les décisions prises par la Commission nationale pour la protection des données sur base de l’article 44, paragraphe 1er, et contre les décisions prises par l’autorité de contrôle judiciaire sur base de l’article 44, paragraphe 3, lorsque le traitement de données à caractère personnel visé par la réclamation relève du champ d’application du règlement (UE) n° 2016/679, la personne concernée peut introduire un recours devant le tribunal administratif qui statue comme juge du fond.

(1) Sans préjudice des dispositions légales relatives à la représentation des parties devant les juridictions de l’ordre judiciaire et de l’ordre administratif, la personne concernée a le droit de mandater une personne morale, remplissant les conditions prévues au paragraphe 2, pour qu’elle exerce en son nom les droits visés aux articles 44 et 45.

(2) Afin de pouvoir représenter valablement la personne concernée, et sous peine d’irrecevabilité de la réclamation ou du recours, la personne morale visée au paragraphe 1er doit remplir les conditions suivantes :

1. loi modifiée du 21 avril 1928
2. s’il s’agit d’une association sans but lucratif, avoir été reconnue d’utilité publique conformément à l’article 26-2 de la loi visée à la lettre a) ;
3. la protection des droits et libertés de la personne concernée dans le cadre de la protection des données à caractère personnel doit figurer aux statuts de l’association ou de la fondation comme l’objet ou l’un des objets en vue desquels l’association ou la fondation a été créée ;
4. disposer de la personnalité juridique au moment de l’introduction de la réclamation ou de l’action en justice au nom de la personne concernée ;
5. avoir été mandatée par écrit et préalablement à l’exercice des droits de la personne visés aux articles 44 et 45.

(3) Le mandat délivré en application du présent article ayant comme objet la défense de l’intérêt général est nul.

(1) La violation des articles 3 à 15, 18 à 30, et 34 à 38 de la présente loi sont passibles d’une amende administrative de 500 à 250 000 euros qui est prononcée, par voie de décision, par l’autorité de contrôle. Un recours contre cette décision est ouvert devant le Tribunal administratif qui statue comme juge du fond.

(2) L’autorité de contrôle compétente peut, par voie de décision, prononcer une astreinte de 100 euros par jour de retard afin de contraindre le responsable du traitement de se conformer aux injonctions soit émises par la Commission nationale pour la protection des données en application de l’article 14, points 1°, 3° et 4° de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, soit émises par l’autorité de contrôle judiciaire en application de l’article 43, lettres b) et c).

L’astreinte court à compter de la date fixée dans la décision prononçant l’astreinte. Cette date ne peut être antérieure à la date de la notification de la décision. Un recours contre cette décision est ouvert devant le Tribunal administratif qui statue comme juge du fond.

(3) Par ailleurs, la violation des articles 9, 10 et 29 de la présente loi avec une intention frauduleuse ou à dessein de nuire est punie d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement. La juridiction saisie prononce la cessation du traitement contraire aux dispositions des articles précités sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

(4) La Commission nationale pour la protection des données et le procureur d’État coopèrent pour la répression administrative ou pénale des violations ou des infractions aux dispositions de la présente loi et à celles de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et au régime général sur la protection des données. À cette fin, la Commission nationale pour la protection des données, le procureur d’État et la Police grand-ducale peuvent échanger toute information qu’ils jugent utile ou nécessaire.

(5) Si des indices peuvent justifier l’ouverture par la Commission nationale pour la protection des données d’une procédure administrative susceptible d’aboutir à l’imposition d’une sanction administrative pour un ou plusieurs faits constituant une violation du paragraphe 8 ou des articles 48 et 49 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, elle en informe le procureur d’État qui décide, endéans les deux mois de la réception de cette information, s’il exerce l’action publique. Dans ce cas, il en informe la Commission nationale pour la protection des données.

Si le procureur d’État décide de poursuivre, la Commission nationale pour la protection des données ne procède pas. En cas de décision négative ou en l’absence d’une réponse du procureur d’État après le délai de deux mois, la Commission nationale pour la protection des données procède conformément à la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

Lorsqu’au cours de la procédure la Commission nationale pour la protection des données constate l’existence d’indices que les personnes suspectées sont susceptibles d’avoir contrevenu aux dispositions du paragraphe 8 ou des articles 48 et 49 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, elle se dessaisit du dossier et le transmet au procureur d’État qui procède conformément au Code de procédure pénale.

Si le procureur d’État estime au cours de son enquête et avant qu’il ne cite à comparaître que les conditions d’une poursuite pénale ne sont pas remplies mais que des sanctions administratives sont susceptibles de s’appliquer, il transmet le dossier à la Commission nationale pour la protection des données qui procède conformément à la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

(6) Lorsque le procureur d’État est saisi sur base d’une plainte de faits susceptibles de constituer une infraction au paragraphe 8 ou aux articles 48 et 49 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données et qu’il décide d’exercer l’action publique, il en informe la Commission nationale pour la protection des données. Dans ce cas, la Commission nationale pour la protection des données ne procède pas. Si le procureur d’État décide de ne pas poursuivre, la Commission nationale pour la protection des données procède conformément à la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

Si le procureur d’État estime au cours de son enquête et avant qu’il ne cite à comparaître que les conditions d’une poursuite pénale ne sont pas remplies mais que des sanctions administratives sont susceptibles de s’appliquer, il transmet le dossier à la Commission nationale pour la protection des données qui procède conformément à la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

(7) Les dispositions des paragraphes 4 à 6 s’appliquent également à l’autorité de contrôle judiciaire lorsqu’elle exerce les missions et dispose des pouvoirs prévus par le règlement (UE) n° 2016/679.

(8) Quiconque empêche ou entrave sciemment, de quelque manière que ce soit, l’accomplissement des missions incombant à l’autorité de contrôle judiciaire est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement.

(9) Les dispositions des articles 51 à 53 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données sont applicables à l’autorité de contrôle judiciaire lorsqu’elle agit dans la cadre de ses compétences relatives au règlement (UE) n° 2016/679 ou prévues par la présente loi. Le recouvrement des amendes ou astreintes qu’elle prononce est confié à l’Administration de l’enregistrement et des domaines. Il se fait comme en matière d’enregistrement.

L’article 75-8 de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire est remplacé comme suit :Art. 75-8.Le droit de toute personne d'avoir accès aux données à caractère personnel la concernant qui sont traitées par Eurojust, tel que prévu par l'article 19 de la décision précitée du Conseil du 28 février 2002 se fait suivant les modalités du droit d'accès au Luxembourg telles qu'elles sont prévues par les articles 13, 14 et 16 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

L’article 3 de la loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (Convention Europol), signée à Bruxelles, le 26 juillet 1995 est remplacé comme suit :Art. 3.L'autorité de contrôle prévue à l’article 2, paragraphe 1er, point 15) a), de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est désignée comme l'autorité de contrôle nationale prévue à l'article 23 de la Convention avec mission de contrôler le respect des dispositions en matière de protection des données à caractère personnel dans le cadre de l'exploitation du système d'information Europol.

L’article 2 de la loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995; - de l'Accord relatif à l'application provisoire entre certains États membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 est remplacé comme suit :Art. 2.L’autorité de contrôle prévue à l’article 2, paragraphe 1er, point 15) a), de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est désignée comme l'autorité de contrôle nationale prévue à l'article 17 de la Convention, avec mission de contrôler le respect des dispositions en matière de protection des données à caractère personnel dans le cadre de l'exploitation du système d'information des douanes.

À l’article 23 de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité, l’alinéa 1er est remplacé comme suit :Le traitement, par l'Autorité nationale de Sécurité, des informations collectées dans le cadre de ses missions est mis en œuvre conformément aux dispositions de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

La loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l’État est modifiée comme suit :

1. bis Le procureur général d’État est considéré, en ce qui concerne le traitement des données à caractère personnel, comme responsable du traitement au sens de l’article 4, point 7), du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après désigné comme le « règlement (UE) n° 2016/279 ».
2. Le directeur du centre est considéré, en ce qui concerne le traitement des données à caractère personnel dans le cadre de l’hébergement et de l’encadrement du pensionnaire, comme responsable du traitement au sens de l’article 4, point 7), du règlement (UE) n° 2016/679.

La loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle est modifiée comme suit :

1. er Le traitement de ces données est soumis aux prescriptions de l’article 9 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
2. (2) Un profil d'ADN établi est à considérer comme donnée à caractère personnel, au sens de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, à partir du moment où le code alphanumérique de l'analyse d'ADN a été associé à une information relative à la personne physique en cause permettant de l'identifier.

À l’article 3 de la loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d’hébergement, la première phrase est remplacée comme suit :Le logeur est obligé de communiquer à la Police grand-ducale la fiche d'hébergement concernant les personnes hébergées aux fins de la prévention et de la détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

À l’article 8 de la loi modifiée du 29 mars 2013 relative à l’organisation du casier judiciaire, la deuxième phrase du point 2 est remplacée comme suit :Le SRE transmet sur une base trimestrielle la liste de ses demandes de délivrance et les motifs de ces demandes à l’autorité de contrôle judiciaire prévue à l’article 40 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ;

L’article 6 de la loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière est remplacé comme suit :Art. 6.(1) Le traitement des données à caractère personnel dans le cadre de la présente loi est effectué à des fins de prévention, de recherche et de constatation des infractions pénales ou administratives relevant de son champ d'application et se fait conformément aux articles 24 à 32 de la décision 2008/615/JAI précitée et aux dispositions, y non contraires, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.(2)Toute personne concernée a le droit d'obtenir des informations sur les données à caractère personnel transmises dans le cadre de la présente loi, y compris la date de la demande et l'autorité compétente de l'État membre de l'infraction, conformément aux articles 11 à 17 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

L’article 10 de la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés est remplacé comme suit :Art. 10.Le Centre procède au traitement des données à caractère personnel qui est nécessaire à l’accomplissement de ses missions qui est effectué conformément aux dispositions de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

La loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État est modifiée comme suit :

1. Sous réserve des conditions définies à l'alinéa 1er, le SRE peut échanger directement des données à caractère personnel avec des services de renseignement étrangers, y compris au moyen d'installations communes de transmission, conformément aux articles 34 et 38 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
2. er (1) Le SRE procède au traitement de données à caractère personnel qui sont nécessaires à l'accomplissement de ses missions légales qui est effectué conformément aux dispositions de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
3. Le SRE transmet sur une base trimestrielle la liste de ses demandes de délivrance et les motifs de ces demandes à l’autorité de contrôle judiciaire prévue à l’article 40 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
4. er Le directeur est responsable du traitement des données visées aux paragraphes 1er et 2. Il désigne un chargé de la protection des données qui est compétent sous son autorité de l'application conforme de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et de la mise en œuvre des mesures de sécurité des traitements auxquels procède le SRE.

La loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État est modifiée comme suit :

1. (11) Pendant l'exercice de la mission des experts, le directeur du Service de renseignement de l'État est le responsable du traitement des données au sens de l'article 2, point 8), de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, et les Archives nationales sont considérées comme sous-traitant du Service de renseignement de l'État au sens de l'article 2, point 9), de la même loi.
2. Le rapport final ne peut contenir aucune donnée à caractère personnel ni aucun élément susceptible permettant l'identification d'une personne sauf consentement exprès de la personne concernée, conformément à l’article 6, paragraphe 1, lettre a), du règlement (UE) n° 2016/679.
3. 1. les banques de données historiques recensées au sens de l'article 3, paragraphe 6, point 2, sont versées définitivement aux Archives nationales tel que prévu à l'article 7 de la loi modifiée du 25 juin 2004 portant réorganisation des instituts culturels de l'État et sous réserve des dispositions du règlement (UE) n° 2016/679. Les Archives nationales deviennent responsables de traitement de ces données à partir de la date de versement définitif ;
4. (1) L’accès d’une personne concernée à des données la concernant pendant l'exercice de la mission des experts s’effectue conformément aux dispositions des articles 13, 14 et 16 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. (2) Des données à caractère personnel, constatées au cours de la mission des experts et couvrant des personnes qui ont déjà introduit une demande d'accès, sont communiquées à la personne concernée conformément aux dispositions visées au paragraphe 1er.
5. (5) Dans l'exercice de leur mission, les experts disposent d'un accès intégral aux banques de données historiques du Service de renseignement de l'État ainsi qu'un accès aux données à caractère personnel et traitent ces données conformément au principe de légitimité au sens de l'article 5, paragraphe 1er, lettre b), du règlement (UE) n° 2016/679.

La loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière est modifiée comme suit :

1. er loi modifiée du 2 août 2002 er
2. (2) La transmission des données et informations se fait dans une forme permettant à la Commission nationale pour la protection des données de vérifier si toutes les conditions requises par la loi étaient remplies au moment de la transmission. La documentation de la transmission est conservée pendant une durée de deux ans.
3. er (1) Les données et informations transmises à l’administration de l’État concernée font partie du traitement des données à caractère personnel dont l’administration ou son représentant est le responsable du traitement au sens de l’article 4, point 7), du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). La Commission nationale pour la protection des données est compétente pour vérifier l’application des dispositions du règlement précité et de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
4. La Commission nationale pour la protection des données contrôle et surveille le respect des conditions d'accès prévues par la présente loi. Le rapport à transmettre au ministre ayant la Protection des données dans ses attributions, en exécution de l’article 10 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, contient une partie spécifique ayant trait à l’exécution de sa mission de contrôle exercée au titre de la présente loi.

À l’article 43 de la loi du 18 juillet 2018 sur la Police grand-ducale, l’alinéa 6 est remplacé comme suit :L’autorité de contrôle prévue à l’article 2, paragraphe 1er, point 15), lettre a), de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale contrôle et surveille le respect des conditions d’accès prévues par le présent article. Le rapport à transmettre au ministre ayant la Protection des données dans ses attributions, en exécution de l’article 10 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, contient une partie spécifique ayant trait à l’exécution de sa mission de contrôle exercée au titre du présent article.

L’article 15 de la loi du 18 juillet 2018 sur l’Inspection générale de la Police est modifié comme suit :

1. (3) Dans le cadre des missions énoncées aux articles 4, 7 et 9, l’IGP a accès aux données retraçant les accès aux traitements des données à caractère personnel dont le responsable du traitement est le directeur général de la Police.
2. (6) L’autorité de contrôle prévue à l’article 2, paragraphe 1er, point 15), lettre a), de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale contrôle et surveille le respect des conditions d’accès prévues par le présent article. Le rapport à transmettre au ministre ayant la Protection des données dans ses attributions, en exécution de l’article 10 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, contient une partie spécifique ayant trait à l’exécution de sa mission de contrôle exercée au titre du présent article.

(1) À titre exceptionnel et lorsque cela exige des efforts disproportionnés, les systèmes de traitements de données à caractère personnel automatisés installés avant le 6 mai 2016 sont mis en conformité avec l'article 24 au plus tard le 6 mai 2023.

(2) Par dérogation au paragraphe 1er, et dans des circonstances exceptionnelles, un système donné de traitement de données à caractère personnel automatisé visé au paragraphe 1er peut être mis en conformité avec l'article 24 jusqu’à une date butoir à déterminer par une décision du Gouvernement en conseil et située après le 6 mai 2023 lorsque, à défaut de cela, de graves difficultés se posent pour le fonctionnement du système de traitement automatisé en question. La date butoir ne peut être fixée au-delà du 6 mai 2026.

La référence à la présente loi se fait sous la forme suivante : « Loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. »

La présente loi règle le transfert, par les transporteurs aériens, des données des dossiers passagers et le traitement de ces données à des fins de prévention, de recherche, de constatation et de poursuite des infractions terroristes et des formes graves de criminalité.

Pour l’application de la présente loi, on entend par :

1. « transporteur aérien » : toute entreprise de transport aérien possédant une licence d'exploitation en cours de validité ou l'équivalent lui permettant d'assurer le transport aérien de personnes ;
2. « passager » : toute personne, y compris une personne en correspondance ou en transit et à l'exception du personnel d'équipage, transportée ou devant être transportée par un aéronef avec le consentement du transporteur aérien, lequel se traduit par l'inscription de cette personne sur la liste des passagers ;
3. « dossier passager » : le dossier relatif aux conditions de voyage de chaque passager, qui contient les informations nécessaires pour permettre le traitement et le contrôle des réservations par les transporteurs aériens concernés qui assurent les réservations, pour chaque voyage réservé par une personne ou en son nom, que ce dossier figure dans des systèmes de réservation, des systèmes de contrôle des départs utilisés pour contrôler les passagers lors de l’embarquement ou des systèmes équivalents offrant les mêmes fonctionnalités ;
4. « système de réservation » : le système interne du transporteur aérien, dans lequel les données PNR sont recueillies aux fins du traitement des réservations ;
5. « système de contrôle des départs » : le système utilisé pour contrôler les passagers lors de l’embarquement ;
6. « données PNR » : les données contenues dans le dossier passager et énumérées à l’annexe I ;
7. « méthode push » : la méthode par laquelle les transporteurs aériens transfèrent les données PNR vers la base de données de l'Unité d’informations passagers telle que créée à l’article 3 ;
8. ier Code pénal
9. « formes graves de criminalité » : les infractions énumérées à l'annexe II qui sont passibles d’une peine privative de liberté d’une durée maximale d’au moins trois ans ;
10. « dépersonnaliser par le masquage d'éléments des données » : rendre invisibles pour un utilisateur les éléments des données qui pourraient servir à identifier directement la personne concernée ;
11. « services compétents » : les services visés à l’article 13.

Il est créé au sein de la Police grand-ducale une Unité d’informations passagers, ci-après désignée « UIP », qui est chargée :

1. de la collecte des données PNR transférées par les transporteurs aériens ainsi que de la conservation et du traitement de ces données ;
2. du transfert de ces données et des résultats de leur traitement aux services compétents ;
3. de l’échange de ces données et des résultats de leur traitement avec les unités d’informations passagers des autres États membres de l’Union européenne, avec Europol et avec les pays tiers.

(1) Le responsable de l’UIP a la qualité de responsable du traitement des données PNR.

Il est désigné parmi les membres de la catégorie de traitement A1 du cadre policier de la Police grand-ducale.

(2) Outre le personnel de la Police grand-ducale, l’UIP peut comprendre du personnel de l’Administration des douanes et accises et du Service de renseignement de l’État. Chaque membre du personnel de l’UIP agit dans les limites des attributions légales de l’administration dont il relève.

Les membres du personnel de l’Administration des douanes et accises et du Service de renseignement de l’État sont désignés à l’UIP par une décision conjointe du ministre ayant la Police grand-ducale dans ses attributions et du ministre du ressort. Ils continuent de relever de l'autorité hiérarchique de leur chef d’administration et sont placés sous l’autorité fonctionnelle du responsable de l’UIP.

Sans préjudice des obligations imposées en vertu de la loi modifiée du 29 août 2008 sur la libre circulation des personnes et l’immigration, les transporteurs aériens transfèrent à l’UIP, par la méthode push, les données PNR de tous les passagers en provenance de, à destination de ou transitant par le Luxembourg pour autant qu’ils aient déjà recueilli de telles données dans le cours normal de leurs activités de transport aérien.

Lorsqu’il s’agit d’un vol en partage de code entre un ou plusieurs transporteurs aériens, l’obligation de transférer les données PNR incombe au transporteur aérien qui assure le vol.

(1) Les transporteurs aériens transfèrent les données PNR à l’UIP à chacune des échéances suivantes :

1. 48 heures avant l’heure de départ programmée du vol ;
2. immédiatement après la clôture du vol, c'est-à-dire dès que les passagers ont embarqué à bord de l'aéronef prêt à partir et qu'ils ne peuvent plus embarquer ou débarquer.

Le transfert visé à l’alinéa 1er, point 2°, peut se limiter à une mise à jour du transfert visé à l’alinéa 1er, point 1°.

(2) Lorsque l'accès à des données PNR est nécessaire pour répondre à une menace précise et réelle liée à des infractions terroristes ou à des formes graves de criminalité, l’UIP peut demander, au cas par cas, le transfert de données PNR en dehors des délais prévus au paragraphe 1er.

(1) Les données PNR sont transférées à l’UIP par voie électronique au moyen de protocoles communs et de formats de données reconnus, adoptés par la Commission européenne conformément à l’article 16, paragraphe 3, de la directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière.

Les transporteurs aériens portent à la connaissance de l’UIP le protocole commun et le format de données utilisés pour leurs transferts.

(2) En cas de défaillance technique, les données PNR peuvent être transférées par tout autre moyen approprié, pour autant que le même niveau de sécurité soit maintenu et que le droit de l’Union européenne en matière de protection des données soit pleinement respecté.

(3) Dans l’hypothèse où un transporteur aérien ne conserve pas les données API énumérées à l’annexe I, point 18, par les mêmes moyens techniques que ceux utilisés pour d’autres données PNR, il transfère également ces données par la méthode « push » à l’UIP. Dans le cas d’un tel transfert, toutes les dispositions de la présente loi s’appliquent à ces données API.

Le traitement de données PNR qui révèlent l'origine raciale ou ethnique d'une personne, ses opinions politiques, sa religion ou ses convictions philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle est interdit.

Lorsque les données PNR transférées par les transporteurs aériens comportent des informations telles que visées à l’alinéa 1er, l’UIP efface ces informations dès réception et de façon définitive.

Lorsque les données PNR transférées par les transporteurs aériens comportent des données autres que celles énumérées à l’annexe I, l’UIP efface ces données supplémentaires dès réception et de façon définitive.

(1) L’UIP traite les données PNR en vue de réaliser une évaluation des passagers avant leur arrivée prévue sur le territoire national ou leur départ prévu du territoire national afin d’identifier les personnes pour lesquelles un examen plus approfondi par les services compétents et, le cas échéant, par Europol est requis compte tenu du fait qu’elles peuvent être impliquées dans une infraction terroriste ou une forme grave de criminalité.

(2) Pour réaliser cette évaluation l’UIP peut comparer les données PNR :

1. aux traitements de données à caractère personnel mis en œuvre par les services compétents ou qui leur sont accessibles dans l’exercice de leurs missions ;
2. à des critères préétablis.

L’évaluation des passagers au regard de critères préétablis est réalisée de façon non discriminatoire. Les critères sont fixés et réexaminés à des intervalles réguliers par l’UIP en coopération avec les services compétents. Ils doivent être ciblés, proportionnés et spécifiques et ne sont en aucun cas fondés sur l'origine raciale ou ethnique d'une personne, ses opinions politiques, sa religion ou ses convictions philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle.

(3) L’UIP réexamine individuellement, par des moyens non automatisés, toute concordance positive obtenue à la suite d’un traitement automatisé des données PNR effectué en vertu du présent article.

(4) L’UIP transmet aux services compétents, au cas par cas, en vue d’un examen plus approfondi, les données PNR des personnes identifiées conformément au présent article ou le résultat du traitement de ces données.

(5) Les conséquences de l’évaluation des passagers ne compromettent pas le droit d’entrée des personnes jouissant du droit de l’Union européenne à la libre circulation sur le territoire du Grand-Duché de Luxembourg tel que prévu par la loi modifiée du 29 août 2008 sur la libre circulation des personnes et l’immigration.

(6) Lorsque les évaluations sont réalisées pour des vols entre le Grand-Duché de Luxembourg et un autre État membre de l’Union européenne auquel s’applique le règlement (UE) 2016/399 du Parlement européen et du Conseil du 9 mars 2016 concernant un code de l’Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen), les conséquences de ces évaluations doivent respecter ledit règlement.

L’UIP traite les données PNR afin de mettre à jour ou de définir de nouveaux critères à utiliser pour les évaluations visées à l’article 10.

L’UIP traite les données PNR aux fins de répondre aux demandes des services compétents, dûment motivées et fondées sur des motifs suffisants visant à ce que des données PNR leur soient communiquées et à ce que celles-ci fassent l’objet d’un traitement dans des cas spécifiques aux fins visées à l’article 1er, et visant à communiquer aux services compétents ou, le cas échéant, à Europol, le résultat de ce traitement.

Sont habilités à demander à l’UIP ou à recevoir de celle-ci des données PNR ou le résultat du traitement de ces données, en vue de procéder à un examen approfondi de ces informations ou de prendre les mesures appropriées aux fins de la prévention et de la détection d’infractions terroristes ou des formes graves de criminalité, ainsi que des enquêtes et poursuites en la matière :

1. la Police grand-ducale ;
2. loi du 5 juillet 2016
3. l’Administration des douanes et accises.

En recherchant les crimes et délits visés à l’article 2, points 8° et 9°, le procureur d’État peut, par une décision écrite et motivée, charger un officier de police judiciaire de requérir l’UIP afin de communiquer les données des passagers conformément à l’article 12.

Les services compétents ne peuvent traiter les données PNR et le résultat du traitement de ces données que pour les finalités de la présente loi telles que définies à l’article 1er.

L’alinéa 1er est sans préjudice des compétences de la Police grand-ducale et de l’Administration des douanes et accises lorsque d'autres infractions ou indices d'autres infractions sont détectés à la suite de ce traitement.

Les services compétents ne prennent aucune décision produisant des effets juridiques préjudiciables à une personne ou l'affectant de manière significative sur la seule base du traitement automatisé de données PNR.

Les décisions produisant des effets juridiques préjudiciables à une personne ou l'affectant de manière significative ne peuvent pas être fondées sur l’origine raciale ou ethnique d’une personne, ses opinions politiques, sa religion ou ses convictions philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle.

Lorsqu’une personne est identifiée conformément à l’article 10, l’UIP communique toutes les données pertinentes et nécessaires ou le résultat du traitement de ces données aux UIP des autres États membres de l’Union européenne concernés.

Lorsque l’UIP est destinataire d’informations telles que visées à l’alinéa 1er de la part d’une autre UIP, elle transmet ces informations aux services compétents.

(1) L’UIP transmet, dès que possible, à l’UIP d’un autre État membre de l’Union européenne qui en fait la demande, les données PNR qui sont conservées dans sa base de données et qui n’ont pas encore été dépersonnalisées par masquage conformément à l’article 26, et, si nécessaire, le résultat de tout traitement de ces données, s’il a déjà été réalisé conformément à l’article 10.

La demande, dûment motivée, peut être fondée sur un quelconque élément de ces données ou sur une combinaison de tels éléments, selon ce que l'UIP requérante estime nécessaire dans un cas spécifique de prévention ou de détection d’infractions terroristes ou de formes graves de criminalité, ou d’enquêtes ou de poursuites en la matière.

Si les données demandées ont été dépersonnalisées par masquage conformément à l’article 26, l’UIP ne transmet l’intégralité des données PNR que lorsqu’il existe des motifs raisonnables de croire que le transfert est nécessaire aux fins visées à l’article 12 et si elle y est autorisée par le procureur général d’État ou son délégué.

Les dispositions du présent paragraphe ne portent pas atteinte aux dispositions tant internationales que nationales sur l’entraide judiciaire internationale en matière pénale.

(2) Dans des cas d’urgence, les autorités compétentes des autres États membres, désignées conformément à l’article 7, paragraphe 1er , de la directive (UE) 2016/661 du Parlement européen et du Conseil du 27 avril 2016 relative à l’utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière et figurant comme telles au Journal officiel de l’Union européenne, peuvent directement s’adresser à l’UIP pour obtenir communication de données PNR. Les dispositions du paragraphe 1er sont applicables.

(3) À titre exceptionnel, lorsque l'accès à des données PNR est nécessaire pour répondre à une menace précise et réelle liée à des infractions terroristes ou à des formes graves de criminalité, l'UIP d'un État membre a le droit de demander à ce que l'UIP obtienne des données PNR conformément à l'article 6, paragraphe 2, et les communique à l'UIP requérante.

L’UIP et les services compétents visés à l’article 13 peuvent demander aux UIP des autres États membres de l’Union européenne des données PNR ou les résultats du traitement de ces données.

Lorsqu’un service compétent demande directement des données PNR auprès de l’UIP d’un autre État membre de l’Union européenne, il transmet copie de sa demande à l’UIP.

L’échange de données effectué en application du présent chapitre peut avoir lieu par l’intermédiaire de tous les canaux de coopération existant entre les services compétents des États membres de l’Union européenne.

La langue utilisée pour la demande et l’échange des données est celle applicable au canal utilisé.

(1) Dans les limites de ses compétences et pour l’accomplissement de ses missions, Europol peut présenter à l’UIP, au cas par cas, par l’intermédiaire de son unité nationale, une demande électronique dûment motivée visant à obtenir des données PNR spécifiques ou le résultat du traitement de ces données :

1. lorsque cela est strictement nécessaire au soutien et au renforcement de l’action des États membres en vue de prévenir ou de détecter une infraction terroriste spécifique ou une forme grave de criminalité spécifique, ou de mener des enquêtes dans la matière et ;
2. dans la mesure où ladite infraction relève de la compétence d’Europol.

(2) La demande énonce les motifs sur lesquels s’appuie Europol pour estimer que la transmission de données PNR ou du résultat de traitement de ces données contribuera de manière substantielle à la prévention ou à la détection de l’infraction concernée ou à des enquêtes en la matière.

L’UIP peut transférer des données PNR et le résultat de traitement de ces données à un pays non membre de l’Union européenne au cas par cas, et si :

1. er er
2. l’autorité destinataire est chargée de la prévention, recherche, constatation et poursuite d’infractions terroristes ou de formes graves de criminalité ;
3. er
4. er
5. er

Les dispositions du présent article ne portent pas atteinte aux dispositions légales sur l’entraide judiciaire internationale en matière pénale.

(1) Sans préjudice des conditions prévues à l’article 21, l’UIP ne peut transférer des données PNR obtenues d’un autre État membre de l’Union européenne à un pays non membre de l’Union européenne que si l’État membre auprès duquel les données ont été collectées a donné son accord au transfert.

(2) Dans des circonstances exceptionnelles, les données PNR peuvent être transférées à un pays non membre de l’Union européenne sans l’accord du pays membre de l’Union européenne auprès duquel les données ont été collectées si les conditions suivantes sont remplies :

1. ces transferts sont essentiels pour répondre à une menace précise et réelle liée à une infraction terroriste ou à une forme grave de criminalité dans un État membre de l’Union européenne ou un pays tiers ;
2. l’accord préalable n’a pas pu être obtenu en temps utile.

L’UIP de l’État membre de l’Union européenne, qui n’a pas pu donner son accord en temps utile, est informée sans retard et le transfert est dûment enregistré et soumis à une vérification à posteriori.

L’UIP ne peut transférer des données PNR et les résultats du traitement de ces données aux autorités compétentes de pays non membres de l’Union européenne qu’après avoir obtenu l’assurance que l’utilisation que les destinataires entendent faire de ces données PNR respecte les conditions et garanties de la présente loi.

Le délégué à la protection des données visé à l’article 29 est informé de tout transfert de données PNR à un pays non membre de l’Union européenne.

L’UIP conserve les données PNR pendant une durée maximale de cinq ans à compter du transfert par le transporteur aérien.

À l’issue de cette période de cinq ans, elle efface les données PNR de manière définitive. Cette disposition ne s’applique pas si les données PNR spécifiques ont été transférées à un service compétent et sont utilisées dans le cadre de cas spécifiques à des fins de prévention, de détection d'infractions terroristes ou de formes graves de criminalité ou d'enquêtes ou de poursuites en la matière.

(1) À l'expiration d'une période de six mois à compter du transfert par le transporteur aérien, l’UIP dépersonnalise les données PNR par le masquage des éléments suivants :

1. le(s) nom(s), y compris les noms d'autres passagers mentionnés dans le PNR, ainsi que le nombre de passagers voyageant ensemble figurant dans le PNR ;
2. l'adresse et les coordonnées ;
3. des informations sur tous les modes de paiement, y compris l'adresse de facturation, dans la mesure où y figurent des informations pouvant servir à identifier directement le passager auquel le PNR se rapporte ou toute autre personne ;
4. les informations « grands voyageurs » ;
5. les remarques générales, dans la mesure où elles comportent des informations qui pourraient servir à identifier directement le passager auquel le PNR se rapporte ;
6. toute donnée API qui a été recueillie.

(2) À l'expiration de la période de six mois visée au paragraphe 1er, la communication de l'intégralité des données PNR n'est autorisée que sous les conditions suivantes :

1. elle est nécessaire aux fins visées à l’article 12 ;
2. loi du 5 juillet 2016

L’UIP ne conserve le résultat de l’évaluation réalisée en vertu de l’article 10 que le temps nécessaire pour informer les services compétents et, s’il y a lieu, les UIP des autres États membres de l’Union européenne de l'existence d'une concordance positive.

Lorsque, à la suite du réexamen individuel par des moyens non automatisés conformément à l’article 10, paragraphe 3, le résultat du traitement automatisé s'est révélé négatif, il peut néanmoins être archivé tant que les données de base n'ont pas été effacées en vertu de l’article 25, de manière à éviter de futures fausses concordances positives.

L’autorité de contrôle visée à l’article 39 de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est compétente pour contrôler et vérifier le respect des dispositions de la présente loi en ce qui concerne le traitement des données à caractère personnel. Elle exerce ses missions conformément à l’article 8 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données et elle dispose, à cette fin, des pouvoirs prévus à l’article 14 de la même loi.

(1) Le responsable de l’UIP désigne un délégué à la protection des données.

Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et de ses connaissances spécialisées du droit et des pratiques en matière de protection des données.

(2) Le délégué à la protection des données contrôle le traitement des données PNR et met en œuvre les garanties pertinentes au sein de l’UIP.

Il informe et conseille le responsable et le personnel de l’UIP sur les obligations qui leur incombent en matière de protection des données.

Il fait office de point de contact pour les personnes concernées pour toutes les questions relatives au traitement de leurs données PNR et pour la Commission nationale pour la protection des données.

(3) Le délégué à la protection des données effectue ses missions en toute indépendance.

Il fait directement rapport au responsable de l’UIP.

Par dérogation à l’alinéa 2, et sans préjudice du paragraphe 4, alinéa 2, en cas de problèmes relevant de la protection des données, le délégué à la protection des données rapporte directement au directeur général de la Police grand-ducale ou, s’il juge nécessaire, au ministre ayant la Police grand-ducale dans ses attributions.

(4) Le délégué à la protection des données a accès à toutes les données traitées par l'UIP.

Sans préjudice de l’article 23 du Code de procédure pénale, si le délégué à la protection des données estime que le traitement de certaines données n'était pas licite, il peut renvoyer l'affaire à la Commission nationale pour la protection des données conformément à la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

L’UIP met à la disposition du public, par les moyens de communication appropriés, les informations suivantes :

1. ses coordonnées ;
2. les coordonnées du délégué à la protection des données ;
3. les finalités du traitement auquel sont destinées les données PNR ;
4. le droit d’introduire une réclamation auprès de la Commission nationale pour la protection des données et les coordonnées de cette autorité ;
5. l’existence du droit de demander au responsable de l’UIP l’accès aux données PNR, leur rectification ou leur effacement, et la limitation du traitement des données PNR relatives à une personne concernée.

(1) Les personnes dont les données sont traitées en vertu de la présente loi disposent des mêmes droits d’accès, de rectification ou d’effacement et de limitation du traitement que ceux prévus aux articles 13 à 17 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et peuvent exercer ces droits dans les mêmes conditions et limites.

(2) Elles disposent des mêmes droits de réclamation et de recours juridictionnel que ceux prévus aux articles 44 à 46 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

L’UIP conserve, traite et analyse les données PNR en un ou des endroits sécurisés situés sur le territoire du Grand-Duché de Luxembourg.

Le responsable de l’UIP met en œuvre des mesures et des procédures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité adapté aux risques présentés par le traitement et la nature des données PNR.

En ce qui concerne le traitement automatisé, le responsable de l’UIP met en œuvre, à la suite d'une évaluation des risques, des mesures telles que prévues à l’article 28, paragraphe 2 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

L’UIP conserve une trace documentaire relative à tous les systèmes et procédures de traitement sous sa responsabilité.

Cette documentation comprend :

1. le nom et les coordonnées du service et du personnel chargés du traitement des données PNR au sein de l’UIP et les différentes autorisations d’accès ;
2. les demandes formulées par les services compétents et les UIP des autres États membres de l’Union européenne ;
3. toutes les demandes et tous les transferts de données PNR vers un pays tiers.

L’UIP met toute la documentation à la disposition de l'autorité de contrôle, à la demande de celle-ci.

L’UIP tient des registres pour la collecte, la consultation, la communication et l’effacement des données PNR.

Les registres des opérations de consultation et de communication indiquent la finalité, la date et l’heure de l’opération et l’identité de la personne qui a consulté ou communiqué les données PNR ainsi que l’identité des destinataires de ces données.

Les registres sont utilisés uniquement à des fins de vérification et d’autocontrôle, de garantie de l’intégrité et de la sécurité des données ou d’audit.

L’UIP met les registres à la disposition de l'autorité de contrôle, à la demande de celle-ci.

Les registres sont conservés pendant cinq ans.

Lorsqu'une atteinte aux données à caractère personnel est susceptible d'engendrer un risque élevé pour la protection des données à caractère personnel ou d’affecter négativement la vie privée de la personne concernée, l’UIP informe sans retard injustifié la personne concernée et la Commission nationale pour la protection des données de cette atteinte.

La violation intentionnelle de l’article 8, alinéa 1er et de l’article 15 est punie d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement. La juridiction saisie prononce la cessation du traitement contraire aux dispositions de l’article 8, alinéa 1er et de l’article 15 sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Pour le surplus, les dispositions de l’article 47, paragraphes 1er, 2, 4, 5 et 6 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale sont applicables en ce qui concerne les violations des règles relatives à la protection des données établies par la présente loi et par les lois auxquelles elle se réfère.

(1) Est puni d’une amende d’un montant maximum de 50 000 euros le transporteur aérien, à raison de chaque vol pour lequel il n’a pas transmis les renseignements visés à l’article 3, ou ne les a pas transmis dans le délai prévu ou selon les modalités et dans les formats tels que fixés en vertu de l’article 7.

(2) Le manquement est constaté par un procès-verbal établi par la Police grand-ducale. Copie en est transmise au transporteur aérien.

Le transporteur aérien a accès au dossier et est mis à même de présenter ses observations écrites dans un délai d’un mois sur le projet de sanction.

L’amende est prononcée par le ministre ayant la Police grand-ducale dans ses attributions.

(3) La décision du ministre qui est motivée est susceptible d’un recours en réformation à introduire devant le Tribunal administratif dans un délai d’un mois à compter de la notification.

Dans l’article 5 de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat, il est inséré un paragraphe 4 libellé comme suit :(4)Pour un ou plusieurs faits qui ont trait à des activités de terrorisme, d’espionnage, de prolifération d’armes de destruction massive ou de produits liés à la défense et des technologies y afférentes, ou de cyber-menace dans la mesure où celle-ci est liée aux activités précitées, le SRE peut demander la communication des données PNR visées à l’article 10, paragraphe 4, et à l’article 12, de la loi du 1er août 2018 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave.Le directeur du SRE rapporte tous les mois par écrit au Comité la liste des consultations des données des passagers ainsi que les motifs spécifiques pour lesquels l’exercice des missions a exigé la demande de communication.En cas d’urgence, la demande de communication des données PNR peut être mise en œuvre sur autorisation verbale du directeur, à confirmer par écrit dans un délai de quarante-huit heures.

À l’article 8, paragraphe 1er de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État, la lettre a) est supprimée.

La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant : « Loi du 1er août 2018 relative au traitement des données des dossiers passagers ».

1. Code repère du dossier passager ;
2. Date de réservation/d'émission du billet ;
3. Date(s) prévue(s) du voyage ;
4. Nom(s) ;
5. Adresse et coordonnées (numéro de téléphone, adresse électronique) ;
6. Toutes les informations relatives aux modes de paiement, y compris l'adresse de facturation ;
7. Itinéraire complet pour le PNR concerné ;
8. Informations « grands voyageurs » ;
9. Agence de voyages/agent de voyages ;
10. Statut du voyageur, y compris les confirmations, l'enregistrement, la non-présentation ou un passager de dernière minute sans réservation ;
11. Indications concernant la scission/division du PNR ;
12. Remarques générales (notamment toutes les informations disponibles sur les mineurs non accompagnés de moins de 18 ans, telles que le nom et le sexe du mineur, son âge, la ou les langues parlées, le nom et les coordonnées du tuteur présent au départ et son lien avec le mineur, le nom et les coordonnées du tuteur présent à l'arrivée et son lien avec le mineur, l'agent présent au départ et à l'arrivée) ;
13. Informations sur l'établissement des billets, y compris le numéro du billet, la date d'émission, les allers simples, les champs de billets informatisés relatifs à leur prix ;
14. Numéro du siège et autres informations concernant le siège ;
15. Informations sur le partage de code ;
16. Toutes les informations relatives aux bagages ;
17. Nombre et autres noms de voyageurs figurant dans le PNR ;
18. Toute information préalable sur les passagers (données API) qui a été recueillie (y compris le type, le numéro, le pays de délivrance et la date d'expiration de tout document d'identité, la nationalité, le nom de famille, le prénom, le sexe, la date de naissance, la compagnie aérienne, le numéro de vol, la date de départ, la date d'arrivée, l'aéroport de départ, l'aéroport d'arrivée, l'heure de départ et l'heure d'arrivée) ;
19. Historique complet des modifications des données PNR énumérées aux points 1 à 18.

1. Participation à une organisation criminelle ;
2. Traite des êtres humains ;
3. Exploitation sexuelle des enfants et pédopornographie ;
4. Trafic de stupéfiants et de substances psychotropes ;
5. Trafic d'armes, de munitions et d'explosifs ;
6. Corruption ;
7. Fraude, y compris la fraude portant atteinte aux intérêts financiers de l'Union ;
8. Blanchiment du produit du crime et faux monnayage, y compris la contrefaçon de l'euro ;
9. Cybercriminalité ;
10. Infractions graves contre l'environnement, y compris le trafic d'espèces animales menacées et le trafic d'espèces et d'essences végétales menacées ;
11. Aide à l'entrée et au séjour irréguliers ;
12. Meurtre, coups et blessures graves ;
13. Trafic d'organes et de tissus humains ;
14. Enlèvement, séquestration et prise d'otage ;
15. Vol organisé ou vol à main armée ;
16. Trafic de biens culturels, y compris d'antiquités et d'œuvres d'art ;
17. Contrefaçon et piratage de produits ;
18. Falsification de documents administratifs et trafic de faux ;
19. Trafic de substances hormonales et d'autres facteurs de croissance ;
20. Trafic de matières nucléaires et radioactives ;
21. Viol ;
22. Infractions graves relevant de la Cour pénale internationale ;
23. Détournement d'avion/de navire ;
24. Sabotage ;
25. Trafic de véhicules volés ;
26. Espionnage industriel.

Sous réserve des dispositions générales concernant la protection des personnes à l’égard du traitement des données à caractère personnel ou régissant les réseaux et services de communications électroniques, les dispositions suivantes s’appliquent spécifiquement au traitement de ces données à caractère personnel dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux de communications publics, y compris les réseaux de communications publics qui prennent en charge les dispositifs de collecte de données et d’identification.

Aux fins de la présente loi on entend par:

1. «abonné»: une personne physique ou morale partie à un contrat avec une entreprise offrant des services de communications électroniques accessibles au public, pour la fourniture de tels services;
2. (abrogé)
3. (b) «consentement»: toute manifestation de volonté libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou statutaire accepte que les données à caractère personnel la concernant fassent l’objet d’un traitement;
4. (c) «communication»: toute information échangée ou acheminée entre un nombre fini de parties au moyen d’un service de communications électroniques accessible au public à l’exception des informations qui sont acheminées dans le cadre d’un service de radiodiffusion au public par l’intermédiaire d’un réseau de communications électroniques sauf si et dans la mesure où un lien peut être établi entre l’information et l’abonné ou l’utilisateur identifiable qui la reçoit;
5. (d) «courrier électronique»: tout message sous forme de texte, de voix, de son ou d’image envoyé par un réseau de communications public qui peut être stocké dans le réseau ou dans l’équipement terminal du destinataire jusqu’à ce que ce dernier le récupère;
6. (e) «données relatives au trafic»: toutes les données traitées en vue de l’acheminement d’une communication par un réseau de communications électroniques ou de sa facturation;
7. (f) «données de localisation»: toutes les données traitées dans un réseau de communications électroniques ou par un service de communications électroniques indiquant la position géographique de l’équipement terminal d’un utilisateur d’un service de communications électroniques accessible au public;
8. (g) «Institut»: l’Institut Luxembourgeois de Régulation;
9. (h) «réseau de communications électroniques»: les systèmes de transmission et, le cas échéant, les équipements de commutation ou de routage et les autres ressources qui permettent l’acheminement de signaux par câble, par voie hertzienne, par moyen optique ou par d’autres moyens électromagnétiques comprenant les réseaux satellitaires, les réseaux terrestres fixes (avec commutation de circuits ou de paquets, y compris l’Internet) et mobiles, les systèmes utilisant le réseau électrique, pour autant qu’ils servent à la transmission de signaux, les réseaux utilisés pour la radiodiffusion sonore et télévisuelle et les réseaux câblés de télévision, quel que soit le type d’information transmise;
10. (i) «réseau de communications public»: un réseau de communications électroniques utilisé entièrement ou principalement pour la fourniture de services de communications électroniques accessibles au public. Le fournisseur du réseau de communications public est dénommé ci-après «opérateur»;
11. (j) «service de communications électroniques»: un service fourni normalement contre rémunération qui consiste entièrement ou principalement en la transmission de signaux sur les réseaux de communications électroniques, y compris les services de télécommunications et les services de transmission sur des réseaux utilisés pour la radiodiffusion, mais qui exclut les services consistant à fournir des contenus à l’aide de réseaux et de services de communications électroniques ou à exercer une responsabilité éditoriale sur ces contenus; il ne comprend pas les services de la société de l’information qui ne consistent pas entièrement ou principalement en la transmission de signaux sur des réseaux de communications électroniques. Le fournisseur de services de communications électroniques est dénommé ci-après «fournisseur de services»;
12. (k) «service à valeur ajoutée»: tout service qui exige le traitement de données relatives au trafic ou à la localisation, à l’exclusion des données qui ne sont pas indispensables pour la transmission d’une communication ou sa facturation;
13. (l) «utilisateur»: une personne physique ou morale qui utilise ou demande un service de communications électroniques accessible au public à des fins privées ou professionnelles sans être nécessairement abonnée à ce service;
14. «violation de données à caractère personnel»: une violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés de données à caractère personnel transmises, stockées ou traitées d’une autre manière en relation avec la fourniture de services de communications électroniques accessibles au public.

(1) Le fournisseur de services prend les mesures techniques et d’organisation appropriées afin de garantir la sécurité de ses services, le cas échéant conjointement avec l’opérateur en ce qui concerne la sécurité du réseau. En cas d’atteinte ou de risque d’atteinte grave à la sécurité du réseau ou des services, le fournisseur de services et le cas échéant l’opérateur prend les mesures appropriées pour y remédier, les frais étant à sa seule charge.

Sous réserve des dispositions générales de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, les mesures visées ci-dessus, pour le moins:

• garantissent que seules des personnes autorisées peuvent avoir accès aux données à caractère personnel à des fins légalement autorisées,
• protègent les données à caractère personnel stockées ou transmises contre la destruction accidentelle ou illicite, la perte ou l’altération accidentelles et le stockage, le traitement, l’accès et la divulgation non autorisés ou illicites, et
• assurent la mise en œuvre d’une politique de sécurité relative au traitement des données à caractère personnel.

La Commission nationale pour la protection des données est habilitée à vérifier les mesures prises par les fournisseurs de services de communications électroniques accessibles au public, ainsi qu’à émettre des recommandations sur les meilleures pratiques concernant le degré de sécurité que ces mesures devraient atteindre.

(2) Sans préjudice de ce qui précède, le fournisseur de services et le cas échéant l’opérateur informe ses abonnés de tout risque imminent d’atteinte à la sécurité du réseau ou des services mettant en cause la confidentialité des communications ainsi que du moyen éventuel pour y remédier, y compris en en indiquant le coût probable.

(3) En cas de violation de données à caractère personnel, le fournisseur de services de communications électroniques accessibles au public avertit sans retard la Commission nationale pour la protection des données de la violation.

Lorsque la violation de données à caractère personnel est de nature à affecter négativement les données à caractère personnel ou la vie privée d’un abonné ou d’un particulier, le fournisseur avertit également sans retard indu l’abonné ou le particulier concerné de la violation.

La notification d’une violation des données à caractère personnel à l’abonné ou au particulier concerné n’est pas nécessaire si le fournisseur a prouvé, à la satisfaction de la Commission nationale pour la protection des données, qu’il a mis en œuvre les mesures de protection technologiques appropriées et que ces dernières ont été appliquées aux données concernées par ladite violation. De telles mesures de protection technologiques rendent les données incompréhensibles à toute personne qui n’est pas autorisée à y avoir accès.

Sans préjudice de l’obligation du fournisseur d’informer l’abonné et le particulier concerné, si le fournisseur n’a pas déjà averti l’abonné ou le particulier de la violation de données à caractère personnel, la Commission nationale pour la protection des données peut, après avoir examiné les effets éventuellement négatifs de cette violation, exiger du fournisseur qu’il s’exécute.

La notification faite à l’abonné ou au particulier décrit au minimum la nature de la violation de données à caractère personnel et les points de contact auprès desquels des informations supplémentaires peuvent être obtenues et recommande des mesures à prendre pour atténuer les conséquences négatives possibles de la violation de données à caractère personnel. La notification faite à la Commission nationale pour la protection des données décrit en outre les conséquences de la violation de données à caractère personnel, et les mesures proposées ou prises par le fournisseur pour y remédier.

La Commission nationale pour la protection des données peut adopter des lignes directrices et, le cas échéant, édicter des instructions précisant les circonstances dans lesquelles le fournisseur est tenu de notifier la violation de données à caractère personnel, le format applicable à cette notification et sa procédure de transmission.

Lors d’un premier manquement aux obligations de notification, le fournisseur est averti par la Commission nationale pour la protection des données. En cas de manquement répété la Commission nationale peut prononcer une amende d’ordre qui ne peut excéder 50.000 euros.

Un recours en réformation est ouvert devant le tribunal administratif contre les décisions prises par la Commission nationale pour la protection des données dans le cadre du présent article.

(4) Les fournisseurs tiennent à jour un inventaire des violations de données à caractère personnel, notamment de leur contexte, de leurs effets et des mesures prises pour y remédier, les données consignées devant être suffisantes pour permettre à la Commission nationale pour la protection des données de vérifier le respect des dispositions du paragraphe (3). Cet inventaire comporte uniquement les informations nécessaires à cette fin.

(5) Quiconque contrevient aux dispositions des paragraphes (1), (2) et (4) est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

(1) Tout fournisseur de services ou opérateur garantit la confidentialité des communications effectuées au moyen d’un réseau de communications public et de services de communications électroniques accessibles au public, ainsi que la confidentialité des données relatives au trafic y afférentes.

(2) Il est interdit à toute autre personne que l’utilisateur concerné d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d’interception ou de surveillance sans le consentement de l’utilisateur concerné.

(3) Le paragraphe (2):

1. n’empêche pas le stockage technique nécessaire à l’acheminement d’une communication, sans préjudice du principe de confidentialité;
2. Code d’instruction criminelle
3. ne s’applique pas aux communications et aux données relatives au trafic y afférentes, effectuées à destination du numéro d’appel d’urgence unique européen 112 et des numéros d’urgence déterminés par l’Institut dans le seul but de permettre (a) la réécoute de messages lors de problèmes de compréhension ou d’ambiguïté entre l’appelant et l’appelé, (b) la documentation de fausses alertes, de menaces et d’appels abusifs et (c) la production de preuves lors de contestation sur le déroulement d’actions de secours. Les données relatives au trafic afférentes aux communications visées ci-dessus, y compris les données de localisation, sont à effacer une fois le secours apporté. Le contenu des communications est à effacer après un délai de 6 mois au plus;
4. Les parties aux transactions ou à toutes autres communications commerciales sont informées au préalable de ce que des enregistrements sont susceptibles d’être effectués, de la ou des raisons pour lesquelles les communications sont enregistrées et de la durée de conservation maximale des enregistrements. Les communications enregistrées sont à effacer dès que la finalité est atteinte, et en tout état de cause, lors de l’expiration du délai légal de recours contre la transaction;
5. Cette disposition ne fait pas obstacle à un stockage ou à un accès techniques visant exclusivement à effectuer la transmission d’une communication par la voie d’un réseau de communications électroniques, ou strictement nécessaires au fournisseur pour la fourniture d’un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur.

(4) Quiconque contrevient aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

(1) (a) Pour les besoins de la recherche, de la constatation et de la poursuite d’infractions pénales qui emportent une peine criminelle ou une peine correctionnelle dont le maximum est égal ou supérieur à un an d’emprisonnement, et dans le seul but de permettre, en tant que de besoin, la mise à disposition des autorités judiciaires d’informations, tout fournisseur de services ou opérateur qui traite ou génère dans le cadre de la fourniture de services des données relatives au trafic est tenu de conserver ces données pendant une période de six mois à compter de la date de la communication. L’obligation de conserver inclut la conservation des données relatives aux appels téléphoniques infructueux lorsque ces données sont générées ou traitées et stockées (en ce qui concerne les données de la téléphonie) ou journalisées (en ce qui concerne les données de l’internet) dans le cadre de la fourniture des services de communications concernés. Un règlement grand-ducal détermine les catégories de données relatives au trafic susceptibles de pouvoir servir à la recherche, à la constatation et à la poursuite d’infractions visées ci-dessus. Ce règlement peut également déterminer les formes et les modalités suivant lesquelles les données visées sont à mettre à la disposition des autorités judiciaires.

(b) Après la période de conservation prévue sub (a), le fournisseur de services ou l’opérateur est obligé d’effacer les données relatives au trafic concernant les abonnés et les utilisateurs, ou de les rendre anonymes.

(2) Tout fournisseur de services ou tout opérateur qui traite des données relatives au trafic concernant les abonnés et les utilisateurs, est tenu de prendre toutes les dispositions nécessaires pour que de telles données soient conservées pendant la période prévue sub (1) (a) de manière telle qu’il est impossible à quiconque d’accéder à ces données dès lors qu’elles ne sont plus nécessaires à la transmission d’une communication ou aux traitements prévus par les dispositions sub (3) et (4), à l’exception des accès qui sont:

• Code d’instruction criminelle
• demandés par les organes compétents dans le but de régler des litiges notamment en matière d’interconnexion ou de facturation.

(3) Les données relatives au trafic qui sont nécessaires en vue d’établir les factures des abonnés et aux fins des paiements d’interconnexion peuvent être traitées. Un tel traitement n’est possible que jusqu’à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement et ne peut en tout état de cause dépasser 6 mois lorsque la facture a été payée et n’a pas fait l’objet de litige ou de contestation.

(4) Les données relatives au trafic peuvent être traitées en vue de commercialiser des services de communications électroniques ou de fournir des services à valeur ajoutée dans la mesure et pour la durée nécessaires à la fourniture ou à la commercialisation de ces services pour autant que le fournisseur d’un service de communications électroniques ou l’opérateur informe préalablement l’abonné ou l’utilisateur concerné des types de données relatives au trafic traitées, de la finalité et de la durée du traitement et que celui-ci ait donné son consentement, nonobstant son droit de s’opposer à tout moment à un tel traitement.

(5) Le traitement des données relatives au trafic effectué dans le cas des activités visées aux paragraphes (1) à (4) est restreint aux personnes agissant sous l’autorité du fournisseur de services ou de l’opérateur qui sont chargés d’assurer la facturation ou la gestion du trafic, répondre aux demandes de clientèle, détecter les fraudes, commercialiser les services de communications électroniques ou fournir un service à valeur ajoutée. Le traitement doit se limiter à ce qui est nécessaire à de telles activités.

(6) Quiconque contrevient aux dispositions des paragraphes (1) à (5) du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

(1) Les données conservées au titre des articles 5 et 9 sont soumises aux exigences prévues aux articles 22 et 23 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.

(2) Les données sont détruites lorsque la durée de conservation prend fin, à l’exception des données auxquelles on a pu légalement accéder et qui ont été préservées.

(1) La Commission nationale pour la protection des données transmet annuellement à la Commission de l’Union européenne des statistiques sur la conservation de données au titre des articles 5 et 9.

A cet effet les fournisseurs de services ou opérateurs conservent et continuent à la Commission nationale, sur demande de celle-ci, les informations comprenant notamment:

• les cas dans lesquels des informations ont été transmises aux autorités compétentes conformément à la législation nationale applicable,
• le laps de temps écoulé entre la date à partir de laquelle les données ont été conservées et la date à laquelle les autorités compétentes ont demandé leur transmission,
• les cas dans lesquels des demandes de données n’ont pu être satisfaites.

(2) Ces statistiques ne contiennent pas de données à caractère personnel.

(1) Tout abonné a le droit de recevoir une facture non détaillée gratuite.

(2) Les appels gratuits y compris ceux aux lignes d’assistance ne sont pas indiqués sur la facture détaillée indépendamment de son degré de détail. En outre la facture détaillée ne contient aucune indication permettant d’identifier l’appelé.

(1) Dans les cas où la présentation de l’identification de la ligne appelante est offerte, le fournisseur du service permet à l’abonné et à l’utilisateur appelant d’empêcher, par un moyen simple et gratuit, la présentation de l’identification de la ligne appelante et ce, appel par appel. L’abonné appelant dispose de cette possibilité de manière permanente pour chaque ligne.

(2) Dans les cas où la présentation de l’identification de la ligne appelante est offerte, l’abonné appelé doit pouvoir empêcher, par un moyen simple et gratuit pour un usage raisonnable de cette fonction, la présentation de l’identification de la ligne pour les appels entrants.

(3) Dans les cas où la présentation de l’identification de la ligne appelante est offerte et où l’identification de la ligne appelante est présentée avant l’établissement de l’appel, l’abonné appelé doit pouvoir, par un moyen simple et gratuit, refuser les appels entrants lorsque l’utilisateur ou l’abonné appelant a empêché la présentation de l’identification de la ligne appelante.

(4) Dans le cas où la présentation de l’identification de la ligne connectée est offerte, l’abonné appelé doit pouvoir, par un moyen simple et gratuit, empêcher la présentation de l’identification de la ligne connectée à l’utilisateur appelant.

(5) (a) Tout fournisseur ou opérateur de services de téléphonie fixe ou mobile qui fournit un accès au numéro d’appel d’urgence unique européen 112 ainsi qu’aux numéros d’urgence déterminés par l’Institut luxembourgeois de régulation transmet («push») pour chaque appel à destination d’un de ces numéros d’appel d’urgence les données disponibles concernant l’appelant y compris les données de localisation.

Aux termes du présent paragraphe on entend par «données disponibles»:

• les données relatives à l’identification: le numéro de téléphone, nom, prénom(s), domicile ou lieu de résidence habituel, dénomination ou raison sociale, lieu d’établissement de l’abonné et de l’utilisateur pour autant que ce dernier soit identifié ou identifiable; l’indication du caractère public ou non public des données, ainsi que
• toutes les données traitées dans un réseau de communications électroniques indiquant la position géographique de l’équipement terminal d’un utilisateur d’un service de communications électroniques accessible au public (données de localisation).

(b) L’Institut luxembourgeois de régulation fixe, en cas de besoin, le format et les modalités techniques de mise à disposition des données visées au paragraphe (5) et au paragraphe (5bis).

(c) Pour les appels effectués à destination du numéro d’appel d’urgence unique européen 112 et des numéros d’urgence déterminés par l’Institut, l’identification de la ligne appelante et les données de localisation de l’appelant sont toujours présentées même lorsque l’appelant les a empêchées.

(5bis) En outre, en cas d’appel au numéro d’urgence unique européen 112 ainsi qu’aux numéros d’urgence déterminés par l’Institut luxembourgeois de régulation, les informations relatives à la localisation de l’appelant obtenues à partir de l’appareil mobile, si elles sont disponibles, sont mises à disposition sans tarder après l’établissement de la communication d’urgence au centre de réception des appels d’urgence le plus approprié, même lorsque l’appelant a désactivé la fonction de localisation. Ces informations sont à effacer après un délai de 24 heures au plus.

(6) Les dispositions du paragraphe (1) s’appliquent également aux appels provenant de l’Union européenne à destination de pays tiers. Les dispositions des paragraphes (2), (3) et (4) s’appliquent également aux appels entrants provenant de pays tiers.

(7) Le fournisseur du service informe le public, par des moyens appropriés et au plus tard lors de la conclusion d’un contrat des possibilités sus énoncées.

(8) L’abonné appelé prétendant être victime d’appels à contenu malveillant ou dérangeant peut demander l’identification de la ligne appelante ou connectée, des appels répétés ou intempestifs, déclarés comme étant malveillants ou dérangeants, lesquels ont été effectués ou repérés sur base d’un même numéro d’appel ou d’un même raccordement. Un règlement grand-ducal fixera les modalités à respecter par le fournisseur du service ou l’opérateur ainsi que par les abonnés prétendant être victime d’appels à contenu malveillant ou dérangeant. Il précisera également les caractéristiques d’un appel à contenu malveillant ou dérangeant et déterminera l’utilisation de l’identification de la ligne appelante même si sa présentation est empêchée.

(9) Quiconque contrevient aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

Dans le cas où le renvoi automatique d’appels (ou déviation) est offert, le fournisseur du service confère à tout abonné la possibilité de mettre fin, par un moyen simple et gratuit, au renvoi automatique d’appels par un tiers vers son appareil terminal lorsque le fournisseur du service peut identifier l’origine des appels renvoyés. Le cas échéant, cette identification se fait en collaboration avec d’autres fournisseurs de services concernés.

(1) (a) Pour les besoins de la recherche, de la constatation et de la poursuite d’infractions pénales qui emportent une peine criminelle ou une peine correctionnelle dont le maximum est égal ou supérieur à un an d’emprisonnement, et dans le seul but de permettre, en tant que de besoin, la mise à disposition des autorités judiciaires d’informations, tout fournisseur de services ou opérateur qui traite ou génère dans le cadre de la fourniture de services des données de localisation autres que des données relatives au trafic est tenu de conserver ces données pendant une période de six mois à compter de la date de la communication. L’obligation de conserver inclut la conservation des données relatives aux appels téléphoniques infructueux lorsque ces données sont générées ou traitées et stockées (en ce qui concerne les données de la téléphonie) ou journalisées (en ce qui concerne les données de l’internet) dans le cadre de la fourniture des services de communications concernés. Pour l’application du présent paragraphe, une seule information de localisation est requise par communication ou appel. Un règlement grand-ducal détermine les catégories de données de localisation autres que les données relatives au trafic susceptibles de pouvoir servir à la recherche, à la constatation et à la poursuite d’infractions visées ci-dessus. Ce règlement peut également déterminer les formes et les modalités suivant lesquelles les données visées sont à mettre à la disposition des autorités judiciaires.

(b) Après la période de conservation prévue sub (a), le fournisseur de services ou l’opérateur est obligé d’effacer les données de localisation autres que les données relatives au trafic concernant les abonnés et les utilisateurs, ou de les rendre anonymes.

(2) Tout fournisseur de services ou opérateur qui traite des données de localisation, autres que les données relatives au trafic, concernant les abonnés et les utilisateurs, est tenu de prendre toutes les dispositions nécessaires à ce que de telles données soient conservées pendant la période prévue au paragraphe (1), (a) de manière telle qu’il est impossible à quiconque d’accéder à ces données, à l’exception des accès qui sont ordonnés par les autorités judiciaires agissant dans le cadre des compétences leur attribuées par la loi et celles compétentes en vertu des articles 88-1 à 88-4 du Code d’instruction criminelle pour sauvegarder la sûreté de l’Etat, la défense, la sécurité publique et pour la prévention, la recherche, la constatation et la poursuite des infractions pénales visées au paragraphe (1), (a).

(3) Tout fournisseur de services ou opérateur ne peut traiter des données de localisation autres que les données relatives au trafic et concernant les abonnés ou les utilisateurs que si celles-ci ont été rendues anonymes ou moyennant le consentement de l’abonné ou de l’utilisateur, dans la mesure et pour la durée nécessaires à la fourniture d’un service à valeur ajoutée et sous réserve des dispositions des paragraphes (2), (4) et (5).

(4) Le fournisseur du service et le cas échéant l’opérateur informe préalablement l’abonné ou l’utilisateur sur les types de données de localisation traitées, autres que les données relatives au trafic, sur la ou les finalité(s) et la durée de ce traitement ainsi que sur la transmission de ces données à des tiers en vue de la fourniture du service à valeur ajoutée. L’abonné ou l’utilisateur a la possibilité de retirer à tout moment son consentement pour le traitement des données de localisation autres que les données relatives au trafic.

Lorsque l’abonné ou l’utilisateur a donné son consentement au traitement des données de localisation autres que les données relatives au trafic, il doit garder la possibilité d’interdire temporairement, par un moyen simple et gratuit, le traitement de ces données pour chaque connexion au réseau ou pour chaque transmission de communication.

(5) Le traitement effectué des données de localisation, autres que les données relatives au trafic, dans le cas des activités visées aux paragraphes (1) à (4) est restreint aux personnes agissant sous l’autorité du fournisseur de services ou de l’opérateur ou du tiers qui fournit le service à valeur ajoutée. Le traitement doit se limiter à ce qui est nécessaire à de telles activités.

(6) Quiconque contrevient aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

(1) L’abonné doit être informé gratuitement et avant d’y être inscrit des fins auxquelles sont établis des annuaires d’abonnés imprimés ou électroniques accessibles au public (ci-après «les annuaires») ou consultables par l’intermédiaire de services de renseignements, dans lesquels les données le concernant peuvent figurer, ainsi que de toute autre possibilité d’utilisation reposant sur des fonctions de recherche intégrées dans les versions électroniques des annuaires.

(2) (a) L’abonné doit avoir la possibilité d’indiquer clairement, lors de la souscription de l’abonnement ou à tout autre moment lors de nouvelles éditions de mises à jour ou d’annuaires, si les données à caractère personnel le concernant, et lesquelles de ces données, doivent figurer dans un annuaire public, dans la mesure où ces données sont pertinentes par rapport à la fonction de l’annuaire en question telle qu’elle a été établie par le fournisseur de l’annuaire.

(b) L’abonné doit pouvoir vérifier, corriger ou supprimer ces données. La non-inscription dans un annuaire public d’abonnés, la vérification, la correction ou la suppression de données à caractère personnel dans un tel annuaire est gratuite.

(3) Quiconque contrevient aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

(1) Il est créé un fichier sous forme électronique auprès de l’Institut qui contient les données transmises conformément au paragraphe 2. Le fichier a pour finalité de mettre à la disposition des autorités et services énumérés au paragraphe 4 les données y figurant.

Le fichier est hébergé auprès du Centre des technologies de l’information de l’État qui en assure la gestion opérationnelle.

(2) Les entreprises notifiées auprès de l’Institut conformément à la loi du 27 février 2011 sur les réseaux et les services de communications électroniques qui fournissent un service de communications électroniques accessible au public en ayant recours à des ressources de numérotation luxembourgeois (ci-après : « les entreprises notifiées ») transmettent d’office et gratuitement à l’Institut par voie électronique et au moyen d’un interface sécurisé, les données suivantes :

1. pour les personnes morales : la dénomination ou raison sociale, l’adresse du lieu d’établissement ainsi que le numéro de contact ;
2. le nom de l’entreprise notifiée, la nature du service fourni par celle-ci, le numéro d’appel alloué pour lequel le service en question a été souscrit et, si disponible, la date de la fin de la relation contractuelle ou en cas de prépaiement la date de désactivation du numéro d’appel.
3. pour les personnes physiques, le type, le pays de délivrance et le numéro de la pièce d’identité ou de l’attestation de dépôt d’une demande de protection internationale de l’abonné en cas de service à prépaiement.

Ces données doivent être actualisées au moins une fois par jour, même en l’absence de changement.

Un rapport sur le transfert des données est généré automatiquement une fois par jour auprès du Centre des technologies de l’information de l’État.

Le protocole et l’interface sécurisés ainsi que le format d’échange à utiliser pour le transfert de ces données sont déterminés par règlement de l’Institut.

(3) Le non-respect du paragraphe 2 et du règlement de l’Institut pris en son exécution peut être sanctionné par l’Institut conformément à l’article 83 de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques.

(4) Le procureur d’État, le juge d’instruction et les officiers de police judiciaire visés à l’article 10 du Code de procédure pénale agissant dans le cadre de l’article 48-27, paragraphe 1er du Code de procédure pénale, ainsi que le Service de renseignement de l’État accèdent de plein droit au fichier visé au paragraphe 1er. L’accès de plein droit se limite aux mesures prévues par l’article 48-27 du Code de procédure pénale et à celles prises dans le cadre de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État.

Les centres d’appels d’urgence de la police grand-ducale accèdent aux seules données visées au paragraphe 2, point 1°. Cet accès se limite aux mesures particulières de secours d’urgence prestées dans le cadre des activités des centres d’appels d’urgence de la police grand-ducale et s’effectue uniquement sur les communications entrantes.

Le motif de chaque consultation doit être enregistré au moment de l’accès.

Le Service de renseignement de l’État et les centres d’appels d’urgence de la police grand-ducale désignent chacun en ce qui le concerne les agents qui bénéficient d’un accès individuel.

(5) L’accès à distance aux données du fichier centralisé se fera par voie de requête électronique et sera sécurisé par un mécanisme d’authentification forte.

(6) Les informations relatives à la personne ayant procédé à la consultation, les informations consultées, les critères de recherche, la date et l’heure de la consultation, ainsi que le motif de la consultation sont enregistrées. Ces données sont effacées irrémédiablement et sans délai, cinq ans à compter de la date d’accès.

(7) Les données à caractère personnel consultées doivent avoir un lien direct avec les faits ayant motivé la consultation.

Les données visées au paragraphe 2 doivent être effacées irrémédiablement et sans délai trois ans à compter de la fin de la relation contractuelle ou, en cas de service à prépaiement, à compter de la date de désactivation du numéro d’appel.

(8) L’institut fait procéder régulièrement à un audit sur le fonctionnement du fichier prévu au paragraphe 1er pour contrôler la mise en œuvre des mesures techniques et organisationnelles appropriées.

(1) L’utilisation de systèmes automatisés d’appel et de communication sans intervention humaine (automates d’appel), de télécopieurs ou de courrier électronique à des fins de prospection directe n’est possible que si elle vise l’abonné ou l’utilisateur ayant donné son consentement préalable.

(2) Nonobstant le paragraphe (1), le fournisseur qui, dans le cadre d’une vente d’un produit ou d’un service, a obtenu (...) de ses clients leurs coordonnées électroniques en vue d’un courrier électronique, peut exploiter ces coordonnées électroniques à des fins de prospection directe pour des produits ou services analogues que lui-même fournit pour autant que lesdits clients se voient donner clairement et expressément le droit de s’opposer, sans frais et de manière simple, à une telle exploitation des coordonnées électroniques lorsqu’elles sont recueillies et lors de chaque message, au cas où ils n’auraient pas refusé d’emblée une telle exploitation.

(3) L’envoi de communications non sollicitées à des fins de prospection directe par d’autres moyens que ceux visés aux paragraphes (1) et (2) n’est possible que si l’abonné ou l’utilisateur concerné a donné son consentement préalable.

(4) Il est interdit d’émettre des messages électroniques à des fins de prospection directe en déguisant, dissimulant ou en dénaturant l’identité de l’émetteur au nom duquel la communication est faite, ou sans indication d’adresse valable à laquelle le destinataire peut transmettre une demande de faire cesser ces communications.

(5) Les paragraphes (1) et (3) s’appliquent à l’abonné qui est une personne physique.

(6) Quiconque contrevient aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

La Commission nationale pour la protection des données instituée par l’article 32 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel est chargée d’assurer l’application des dispositions de la présente loi et de ses règlements d’exécution sans préjudice de l’application de l’article 8 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.

1. Le magistrat présidant la Chambre du tribunal d’arrondissement siégeant en matière commerciale, à la requête de la Commission nationale pour la protection des données, peut ordonner toute mesure destinée à suspendre provisoirement ou à faire cesser tout traitement contraire aux dispositions de la présente loi.
2. L’ordonnance peut intervenir indépendamment de l’action publique. La mesure ordonnée par le magistrat présidant la Chambre du tribunal d’arrondissement siégeant en matière commerciale prend toutefois fin en cas de décision d’acquittement prononcée par le juge pénal et coulée en force de chose jugée.
3. L’action en cessation est introduite selon la procédure applicable devant le tribunal des référés. Le magistrat présidant la Chambre du tribunal d’arrondissement siégeant en matière commerciale statue comme juge de fond. Le délai d’appel est de quinze jours.
4. Il ne peut être procédé à l’affichage et à la publication qu’en vertu d’une décision judiciaire coulée en force de chose jugée.
5. Tout manquement aux injonctions ou interdictions portées par une décision judiciaire prononcée en vertu du présent article et coulée en force de chose jugée est puni d’une amende de 251 à 50.000 euros.

Le fournisseur offrant un annuaire public au sens de l’article 10 avant l’entrée en vigueur de la présente loi informe l’abonné sans délai et conformément à l’article 10 paragraphe (1) de la finalité du traitement de ses données.

Les articles suivants du Code d’instruction criminelle sont modifiés comme suit:

1. Code d’instruction criminelle 1. Les décisions par lesquelles le juge d’instruction ou le président de la chambre du conseil de la Cour d’appel auront ordonné la surveillance et le contrôle de télécommunications ainsi que de correspondances confiées à la poste seront notifiées aux opérateurs des postes ou télécommunications qui feront sans retard procéder à leur exécution.
2. Ces décisions et les suites qui leur auront été données seront inscrites sur un registre spécial tenu par chaque opérateur des postes ou télécommunications.
3. Les télécommunications enregistrées et les correspondances ainsi que les données ou renseignements obtenus par d’autres moyens techniques de surveillance et de contrôle sur la base de l’article 88-1 seront remis sous scellés et contre récépissé au juge d’instruction qui dressera procès-verbal de leur remise. Il fera copier les correspondances pouvant servir à conviction ou à décharge et versera ces copies, les enregistrements ainsi que tous autres données et renseignements reçus au dossier. Il renverra les écrits qu’il ne juge pas nécessaire de saisir aux opérateurs des postes qui les remettront sans délai au destinataire.
4. Code pénal
5. Code d’instruction criminelle 1. Les décisions par lesquelles le Président du Gouvernement aura ordonné la surveillance et le contrôle de télécommunications ainsi que de correspondances seront notifiées aux opérateurs des postes ou télécommunications qui feront procéder sans retard à leur exécution.
6. Les correspondances seront remises sous scellés et contre récépissé au service de renseignements. Le chef du service fera photocopier les correspondances pouvant servir à charge ou à décharge et renverra les écrits qu’il ne juge pas nécessaire de retenir aux opérateurs des postes qui les feront remettre au destinataire.

La référence à la présente loi se fait sous une forme abrégée en recourant à l’intitulé suivant: «Loi du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques».

La présente loi entre en vigueur le premier jour du mois qui suit sa publication au Mémorial.

Le siège de la Commission nationale pour la protection des données est fixé dans la commune de Sanem, localité de Belvaux.

Le règlement grand-ducal du 1er août 2018 portant fixation du siège de la Commission nationale pour la protection des données est abrogé.

Notre ministre ayant les communications et les médias dans ses attributions est chargé de l'exécution du présent règlement qui sera publié au Journal officiel du Grand-Duché de Luxembourg.

La présente loi a pour objet de régler l’archivage dans l’intérêt public tant pour les besoins de la gestion et de la justification des droits des personnes physiques ou morales, publiques ou privées que pour assurer, par le biais de la sauvegarde d’un patrimoine archivistique national et dans un esprit de transparence démocratique, l’accès à la documentation d’intérêt historique, scientifique, culturel, économique ou sociétal du Grand-Duché de Luxembourg.

Pour l’application de la présente loi, l’on entend par :

1. « archives » : l'ensemble des documents, y compris les données, quels que soient leur date, leur lieu de conservation, leur forme matérielle et leur support, produits ou reçus par toute personne physique ou morale et par tout service ou organisme public ou privé dans l'exercice de leur activité ;
2. « archives publiques » : les documents visés au point 1. produits ou reçus par les administrations et services de l’État, les communes, les syndicats de communes, les établissements publics de l’État et des communes, la Chambre des députés, le Conseil d’État, le Médiateur, la Cour des comptes, l’Institut grand-ducal, la Cour grand-ducale pour ce qui est des documents relevant de la fonction du chef d’État, l’Archevêché de Luxembourg, les Consistoires de l’Église protestante et de l’Église protestante réformée du Luxembourg, le Consistoire administratif de l’Église protestante du Luxembourg, le Consistoire israélite, l’Église anglicane du Luxembourg, l’Église orthodoxe au Luxembourg, les Églises orthodoxes hellénique, roumaine, serbe et russe établies au Luxembourg, la Shoura, assemblée de la Communauté musulmane du Grand-Duché de Luxembourg ainsi que le Fonds de gestion des édifices religieux et autres biens relevant du culte catholique. Sont également visés les minutes et répertoires des notaires ;
3. « archives privées » : les documents visés au point 1. qui n’entrent pas dans le champ d’application du point 2. ;
4. « dossier » : ensemble de documents regroupés par un producteur pour son usage courant parce qu'ils concernent un même sujet ou une même affaire ;
5. « versement » : la transmission de la conservation, de la gestion et de la responsabilité du traitement des archives publiques y compris des données à caractère personnel ;
6. « transfert d’archives privées » : la transmission de la gestion d’archives privées par voie de dépôt, de don ou de legs respectivement par voie d’acquisition ;
7. « tableau de tri » : document décrivant toutes les archives d’un producteur ou détenteur d’archives publiques et qui mentionne pour chaque catégorie d’archives les informations suivantes : la typologie, l’intitulé ou la description du contenu, la durée d’utilité administrative et le sort final. Le tableau de tri est accessible au public. Exception est faite pour les tableaux de tri référençant des documents qui ont trait à la défense nationale, à la sécurité du Grand-Duché de Luxembourg ou à la sécurité des États étrangers ou des organisations internationales ou supranationales avec lesquelles le Luxembourg poursuit des objectifs communs sur base d’accords ou de conventions ;
8. « sort final » : sort réservé aux archives à l’expiration de la durée d’utilité administrative et consistant soit en la conservation définitive et intégrale des documents, soit en la destruction définitive et intégrale des documents ;
9. « durée d’utilité administrative » : la durée légale ou pratique pendant laquelle des archives sont susceptibles d'être utilisées par le producteur ou le détenteur, au terme de laquelle est appliquée la décision concernant leur sort final ;
10. « recommandations » : les bonnes pratiques élaborées par les Archives nationales dans le cadre de leur mission d’encadrement en ce qui concerne la gestion, la conservation et la communication des archives publiques ainsi que les conseils émis par les Archives nationales suite à leurs inspections dans le cadre de leur mission d’encadrement ;
11. « fonds d’archives » : l’ensemble de documents de toute nature constitué de façon organique par un producteur ou détenteur d’archives dans l'exercice de ses activités et en fonction de ses attributions.

(1) Les producteurs ou détenteurs d’archives publiques doivent proposer aux Archives nationales le versement de leurs archives publiques à l’expiration de leur durée d’utilité administrative.

Les archives publiques doivent être conservées de sorte que la pérennité, l’authenticité, l’intégrité, le classement, l’accessibilité et la lisibilité des informations soient garantis tout au long de leur cycle de vie.

(2) Lorsqu’il est mis fin à l’existence d’un organisme détenteur d’archives publiques, celles-ci sont, à défaut d’affectation déterminée par l’acte de suppression et quelles que soient leur date ou leur durée d’utilité administrative, directement proposées aux Archives nationales et versées suivant les règles relatives au versement des archives publiques.

(1) Par dérogation au paragraphe 1er de l’article 3, les archives publiques classifiées conformément à la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité doivent être proposées au versement aux Archives nationales après avoir été déclassifiées et après expiration de la durée d’utilité administrative.

(2) Les producteurs ou détenteurs d’archives publiques suivants conservent et gèrent eux-mêmes leurs archives publiques conformément aux principes de la présente loi :

1. la Chambre des députés ;
2. le Conseil d’État ;
3. les juridictions luxembourgeoises ;
4. la Cour grand-ducale ;
5. le Médiateur ;
6. la Cour des comptes ;
7. les établissements publics de l’État ;
8. l’Institut Grand-Ducal.

Au cas où ces producteurs ou détenteurs d’archives publiques ne peuvent pas conserver eux-mêmes leurs archives publiques, les Archives nationales conservent leurs archives publiques après expiration de la durée d’utilité administrative.

(3) L’Archevêché de Luxembourg, les Consistoires de l’Église protestante et de l’Église protestante réformée du Luxembourg, le Consistoire administratif de l’Église protestante du Luxembourg, le Consistoire israélite, l’Église anglicane du Luxembourg, l’Église orthodoxe au Luxembourg, les Églises orthodoxes hellénique, roumaine, serbe et russe établies au Luxembourg, la Shoura, assemblée de la Communauté musulmane du Grand-Duché de Luxembourg, le Fonds de gestion des édifices religieux et autres biens relevant du culte catholique ne sont pas soumis aux dispositions de la présente loi. Au cas où ils ne peuvent pas conserver eux-mêmes leurs archives publiques, ils les versent après expiration de la durée d’utilité administrative aux Archives nationales qui les conservent conformément aux principes de la présente loi et de ses règlements d’exécution. Sur demande, les organismes visés bénéficient des conseils de la part des Archives nationales.

(4) Les communes, les syndicats de communes et les établissements publics des communes ne sont pas soumis aux dispositions de la présente loi à l’exception des dispositions des chapitres IX et X et conservent eux-mêmes leurs archives conformément à la loi communale modifiée du 13 décembre 1988.

L’État peut conclure des contrats de coopération avec les communes et les établissements publics des communes concernant leurs archives. Les contrats de coopération sont élaborés à partir d’un contrat de coopération type dont le contenu et les modalités sont définis par voie de règlement grand-ducal.

La conclusion de ces contrats avec les communes et les établissements publics des communes et leur exécution au nom et pour le compte de l’État relèvent de la compétence conjointe du ministre de la Culture et du ministre de l’Intérieur.

À défaut de contrat de coopération, les communes et les établissements publics des communes informent par écrit le directeur des Archives nationales avant toute destruction de leurs archives après l’expiration de leur durée d’utilité administrative. En cas d’opposition à la destruction de la part du directeur des Archives nationales, les archives en question sont versées aux Archives nationales.

Ils peuvent détruire leurs archives à défaut de réponse du directeur des Archives nationales dans un délai de trois mois.

(1) Le ministre ayant dans ses attributions les Archives nationales, dénommé ci-après « le ministre », peut, après avoir demandé l’avis du directeur des Archives nationales, accorder un régime d’archivage autonome à tout producteur ou détenteur d’archives publiques qui en fait la demande. Le régime d’archivage autonome consiste dans une dispense totale ou partielle de l’obligation de versement prévue à l’article 3, paragraphe 1er et à l’article 4, paragraphe 1er. Le producteur ou détenteur d’archives publiques qui bénéficie du régime d’archivage autonome conserve et gère lui-même ses archives. Il reste soumis à l’encadrement des Archives nationales.

(2) Afin de pouvoir bénéficier d’un archivage autonome, les producteurs ou détenteurs d’archives publiques doivent remplir les obligations de la présente loi et de ses règlements d’exécution afin de garantir la pérennité, l’authenticité, l’intégrité, le classement, l’accessibilité, et la lisibilité des archives publiques.

À ce titre les producteurs ou détenteurs d’archives publiques doivent disposer :

1. d’un service d’archives publiques au sein de leur administration et disposer de personnel qualifié en matière d’archivage. Le chef du service d’archives doit être diplômé en archivistique et tout autre agent de ce service doit au moins avoir suivi le cours d’initiation à l’archivistique proposé par l’Institut national d’administration publique ;
2. d’une infrastructure et de mesures de sécurité ;
3. d’un plan d’urgence mettant à l’abri les archives publiques en cas d’incident mettant en cause leur sécurité.

Tout producteur ou détenteur d’archives publiques qui s’est vu accorder le régime dérogatoire relatif à l’archivage établit des inventaires de ses archives et les rend accessibles pour une consultation en ligne via le moteur de recherche des Archives nationales.

(1) Les Archives nationales procèdent avec les producteurs ou détenteurs d’archives publiques à une évaluation de ces archives qui est consignée dans des tableaux de tri propres à chaque producteur ou détenteur d’archives publiques. Le tableau de tri sort ses effets au moment de la signature par le producteur ou détenteur d’archives publiques et par le directeur des Archives nationales. Les modalités des tableaux de tri sont déterminées par règlement grand-ducal.

(2) Les producteurs ou détenteurs d’archives publiques tenus de proposer leurs documents aux Archives nationales dans les délais prévus aux articles 3, paragraphe 1er, et 4, paragraphe 1er, doivent verser aux Archives nationales les archives publiques désignées à être définitivement conservées selon leur tableau de tri établi conformément au paragraphe 1er.

Un règlement grand-ducal fixe les modalités de versement d’archives aux Archives nationales.

(3) L’établissement des tableaux de tri pour les producteurs ou détenteurs d’archives publiques bénéficiant du régime dérogatoire défini à l’article 4 paragraphe 2 est à leur charge. Sur demande, les Archives nationales peuvent leur fournir des conseils dans l’accomplissement de cette tâche.

(4) Lorsque les archives publiques comportent des données à caractère personnel collectées dans le cadre de traitements régis par la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, ces données font l’objet, à l’expiration de la durée prévue à l’article 4 paragraphe 1er point d) de la loi précitée du 2 août 2002, d’une sélection pour déterminer les données destinées à être conservées et celles, dépourvues d’utilité administrative ou d’intérêt scientifique, statistique ou historique, destinées à être éliminées.

(1) Les producteurs ou détenteurs d’archives publiques ne peuvent procéder à la destruction de leurs archives publiques sans que ces archives aient été destinées à cette fin dans leur tableau de tri établi conformément à l’article 6 paragraphes 1er et 3. Les modalités de destruction d’archives sont fixées par voie de règlement grand-ducal.

(2) Le fait pour une personne détentrice d'archives publiques en raison de ses fonctions, de détourner ou soustraire tout ou partie de ces archives ou de les détruire de manière intentionnelle contrairement à l’évaluation fixée dans le tableau de tri est puni d'une amende de 500 à 45.000 euros.

Est puni de la même amende le fait, pour une personne détentrice d'archives publiques en raison de ses fonctions, d'avoir sciemment laissé détourner, soustraire ou détruire tout ou partie de ces archives contrairement à l’évaluation fixée dans le tableau de tri.

Les faits prévus aux alinéas 1er et 2 commis par négligence par une personne détentrice d'archives publiques sont punis d’une amende de 500 à 15.000 euros.

La tentative des délits prévus aux alinéas 1er et 2 est punie de la même amende.

(1) Les producteurs ou détenteurs d’archives publiques peuvent confier à un sous-traitant privé la conservation de leurs archives, c’est-à-dire le maintien de l’intégrité physique des archives dans le temps et le stockage physique de leurs archives publiques jusqu’au moment du versement ou de la destruction prévus aux articles 6 paragraphe 2 et 7, paragraphe 1er.

Ces producteurs ou détenteurs d’archives publiques restent responsables du traitement des archives publiques y compris des données à caractère personnel en cas de sous-traitance.

Les producteurs ou détenteurs d’archives publiques qui bénéficient d’un régime d’archivage autonome doivent conserver eux-mêmes leurs archives publiques destinées à être définitivement conservées.

(2) Les producteurs ou détenteurs d’archives publiques qui recourent à un sous-traitant en informent les Archives nationales. Cette information doit au moins porter sur l’identité du sous-traitant ainsi que sur la durée du contrat de sous-traitance.

(1) Les Archives nationales ont une mission d’encadrement en ce qui concerne la gestion et la conservation des archives publiques en vue de garantir la pérennité, l’authenticité, l’intégrité, le classement, l’accessibilité et la lisibilité des informations qu’elles contiennent tout au long de leur cycle de vie.

Cette mission leur permet :

• de contrôler, sur information préalable, à distance ou moyennant inspections sur place, l’organisation et la gestion des archives publiques, l’état des documents conservés par les producteurs ou détenteurs d’archives publiques, respectivement leur sous-traitant et l’état des infrastructures et des aménagements dédiés à l’archivage ;
• de formuler des recommandations sur la manière d’organiser les archives publiques, de les gérer, de les conserver ou faire conserver.

Pour tout producteur ou détenteur d’archives qui gère lui-même ses archives en vertu de l’article 5, la mission d’encadrement inclut le contrôle par les Archives nationales du respect des conditions de communication, de reproduction et de publication des archives prévues par la présente loi et ses règlements d’exécution.

Les inspections des Archives nationales sont ponctuelles et s’effectuent en présence du producteur ou détenteur d’archives publiques.

Les modalités d’exercice de cette mission d’encadrement sont déterminées par voie de règlement grand-ducal.

(2) Les producteurs ou détenteurs d’archives publiques demandent l’avis des Archives nationales lors de l’introduction de systèmes techniques de création, de stockage et de conservation de documents numériques, ou de modifications de ces systèmes impactant le cycle de vie des documents numériques, afin de contribuer à la systématisation des systèmes informatiques en place et de permettre d’analyser la compatibilité desdits systèmes avec une préservation à long terme des données numériques.

(3) Au niveau de chaque producteur ou détenteur d’archives publiques, le chef d’administration est chargé de l’archivage. Il peut déléguer la gestion de l’archivage et les travaux archivistiques à un ou plusieurs agents de son administration.

(4) Sont exclus de la mission d’encadrement des Archives nationales les notaires, ainsi que les producteurs ou détenteurs d’archives publiques bénéficiant d’un régime dérogatoire tel que défini à l’article 4, paragraphe 2. Sur demande, les organismes visés bénéficient des conseils de la part des Archives nationales.

Le directeur des Archives nationales, après consultation du Conseil des archives institué par l’article 22, dresse annuellement un rapport au ministre sur les constats faits durant l’année écoulée sur la gestion, la conservation, la sécurité, le versement et la communication au public des archives publiques par les différents producteurs ou détenteurs d’archives publiques. Des réclamations peuvent lui être adressées par les utilisateurs d’archives. Il en fait mention dans son rapport au ministre.

(1) Les archives publiques sont imprescriptibles, inaliénables et insaisissables. Nul ne peut détenir sans droit ni titre des archives publiques.

(2) Le ministre peut engager une action en revendication d’archives publiques ou en nullité de tout acte intervenu en méconnaissance des dispositions du paragraphe 1er.

(3) Toute personne détentrice d’archives publiques en violation du paragraphe 1er est punie d’une amende de 500 à 15.000 euros.

Le transfert des archives privées définies à l’article 2, point 3 peut s’effectuer aux instituts culturels définis comme tels dans la loi modifiée du 25 juin 2004 portant réorganisation des instituts culturels de l’État, ci-après dénommés « instituts culturels », en concordance avec leurs missions définies dans ladite loi par dépôt, don, legs ou acquisition.

Les archives privées qui entrent dans les collections des instituts culturels par don, legs ou acquisition, sont imprescriptibles, inaliénables et insaisissables.

Pour chaque don ou dépôt d’archives privées auprès des instituts culturels est conclu un contrat déterminant les conditions du transfert, de communication, de reproduction et de publication de ces archives.

Le don, le legs et l’acquisition d’archives privées impliquent la transmission de la responsabilité du traitement des archives privées y compris des données à caractère personnel. La responsabilité en cas de dépôt est réglée par contrat entre le déposant et le dépositaire des archives privées.

(1) La communication gratuite des archives publiques est garantie à toute personne qui en fait la demande aux Archives nationales après leur versement ou auprès des producteurs et détenteurs d’archives qui bénéficient d’un régime dérogatoire en matière d’archivage conformément aux articles 4, paragraphes 2 et 4, et 5, à l’expiration de la durée d’utilité administrative.

La gratuité de la communication des archives ne fait pas obstacle à la facturation de services accessoires, tels que la délivrance de copies ou l’utilisation d’équipements techniques particuliers.

(2) Par dérogation au paragraphe précédent, le délai de communication est de cinquante ans à partir de la date du document le plus récent inclus dans le dossier pour les archives publiques :

1. dont la communication porterait atteinte aux relations extérieures, à la sécurité du Grand-Duché de Luxembourg ou à l’ordre public ;
2. ayant trait aux affaires portées devant les instances juridictionnelles, extrajudiciaires ou disciplinaires ;
3. ayant trait à la prévention, à la recherche ou à la poursuite de faits punissables ;
4. dont la communication porterait atteinte au caractère confidentiel des informations commerciales et industrielles.

Le délai de communication est de cent ans à partir de la date du document le plus récent inclus dans le dossier pour les archives publiques qui sont couvertes par le secret fiscal.

(3) Les archives qui contiennent des renseignements individuels relatifs à la vie privée, familiale et professionnelle ou à la situation financière d’une personne physique, qui révèlent l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale ainsi que le traitement de données relatives à la santé et à la vie sexuelle, y compris le traitement des données génétiques ne peuvent être communiquées que :

• vingt-cinq ans après le décès de la personne concernée, au cas où la date de décès est connue ;
• soixante-quinze ans à compter de la date du document le plus récent inclus dans le dossier au cas où la date de décès n’est pas connue ou la recherche de la date de décès entraînerait un effort administratif démesuré.

(4) Ces délais de communication valent également pour les inventaires nominatifs relatifs aux archives énumérées au précédent paragraphe.

(5) Les minutes et répertoires des notaires versés aux Archives nationales ne peuvent être communiqués à des fins de consultation à d’autres qu’aux personnes intéressées en nom direct ou à leurs héritiers et ayants droit qu’après l’expiration du délai de communication prolongé de soixante-quinze ans à partir de la date de l’acte notarié. Pour ces archives publiques, aucune communication antérieure à des fins de consultation par des tiers ne peut avoir lieu.

(6) Les archives citées aux paragraphes 3 et 5 ne peuvent être mises en ligne que cent ans à compter de la date du document.

(7) Pour toute communication d’archives pour lesquelles au moins deux des délais visés par le présent article s’appliquent, le plus long des délais l’emporte.

(8) La communication d’archives peut être restreinte lorsque l’état de conservation du document d’archives est tel qu’une consultation risquerait de compromettre la conservation à long terme du document ou lorsque les archives ne sont pas encore inventoriées ou en cours de traitement interne.

Le détenteur d’archives publiques peut mettre à disposition une copie existante du document concerné.

(1) Les producteurs d’archives qui ont versé leurs archives publiques aux Archives nationales peuvent les consulter sur demande avant échéance des délais de communication dans les salles de lecture des Archives nationales. Au cas où un dossier versé aux Archives nationales est réouvert par l’entité versante, il est retourné à l’entité versante.

(2) L’autorisation de consultation des documents d’archives publiques visés à l’article 16, paragraphe 3, est accordée, avant l’expiration des délais de communication prolongés, aux personnes qui en font la demande dans la mesure où elles disposent d’une autorisation écrite de la personne concernée. En cas de décès de la personne concernée, l’autorisation peut être accordée par le conjoint non séparé de corps ou par le partenaire au sens de l’article 2 de la loi modifiée du 9 juillet 2004 relative aux effets légaux de certains partenariats, par ses descendants en ligne directe, ou s’il s’agit d’un mineur, par son représentant légal.

(3) Le directeur des Archives nationales, sur avis du Conseil des archives, peut autoriser la communication des archives publiques conservées aux Archives nationales avant l’expiration des délais de communication prévus à l’article 16, paragraphe 3, pour les documents contenant des informations ayant trait à la vie privée des personnes exposées publiquement par leur profession, leur mission ou leur statut, si la communication de ces archives publiques est nécessaire à la réalisation d’une recherche ou d’un travail scientifique effectués dans l’intérêt public et si cette communication ne porte pas une atteinte excessive à la vie privée de la personne concernée.

(4) Le directeur des Archives nationales, après l’accord de l’entité versante, autorise la communication des archives publiques conservées aux Archives nationales avant l’expiration des délais de communication dans les cas suivants :

1. la communication des archives publiques visées à l’article 16, paragraphe 2 avant l’expiration du délai de communication est nécessaire à la réalisation d’une recherche ou d’un travail scientifique effectués dans l’intérêt public et si cette communication ne porte pas une atteinte excessive aux intérêts protégés par ladite disposition ;
2. la communication des archives publiques visées à l’article 16, paragraphe 3 avant l’expiration des délais de communication est nécessaire à la réalisation d’une recherche ou d’un travail scientifique effectués dans l’intérêt public et si cette communication ne porte pas une atteinte excessive à la vie privée de la personne concernée.

(5) La demande d’autorisation de communication est adressée par le demandeur au directeur des Archives nationales. La demande doit revêtir une forme écrite et doit contenir l’autorisation écrite de la personne concernée ou expliquer l’intérêt public motivant la réduction des délais de communication. Elle doit être formulée de façon précise et contenir les éléments permettant d’identifier le ou les documents demandés.

(6) L’entité versante transmet sa décision au directeur des Archives nationales dans un délai de trois semaines à compter de la transmission de la demande de communication. Passé ce délai et en l’absence de décision de l’entité versante, le directeur des Archives nationales prend la décision quant à la demande de communication.

(7) Le demandeur qui se voit opposer un refus de communication d’archives publiques peut saisir pour avis le Conseil des archives. Le Conseil des archives émet un avis quant à la demande de communication dans un délai de trois semaines. L’avis du Conseil des archives est communiqué à l’entité versante qui est appelée à considérer à nouveau la demande de communication. L’entité versante émet sa décision finale dans un délai de trois semaines.

(8) Les demandes de communication des archives publiques avant l’expiration des délais de communication et les décisions y relatives sont publiées sur le site internet des Archives nationales. Lorsque la demande vise des archives publiques qui concernent une seule personne ou un nombre limité de personnes nommément désignées, l’information des personnes concernées se fait en leur donnant personnellement connaissance de l’introduction de la demande et de la décision prise à la fin de la procédure.

(9) Les producteurs ou détenteurs d’archives publiques qui conservent eux-mêmes leurs archives publiques en vertu des articles 4, paragraphes 2 et 4, et 5 peuvent autoriser la communication des archives publiques avant l’expiration des délais de communication prolongés aux conditions énoncées aux paragraphes 2 à 8. Dans ce cas, une demande d’autorisation est adressée par le demandeur au producteur ou détenteur des archives en question.

Toute personne chargée de la collecte ou de la conservation d’archives en application des dispositions de la présente loi est tenue au secret professionnel en ce qui concerne les informations contenues dans les archives aussi longtemps qu’elles ne sont pas communicables au public.

La violation du secret professionnel est passible des peines prévues par l’article 458 du Code pénal.

(1) Pour faire valoir leur droit d’accès défini à l’article 15 du Règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après « règlement (UE) 2016/679 », les personnes concernées au sens du règlement (UE) 2016/679 doivent fournir des renseignements précis en vue de l’identification des données les concernant.

Ce droit d’accès peut consister en une consultation des archives par la personne concernée elle-même, si l’état de conservation des archives le permet et si des intérêts de tiers ne sont pas affectés.

(2) Si ces personnes sont en mesure de fournir des renseignements prouvant que les archives comportent des affirmations litigieuses ou inexactes, elles peuvent exiger qu’une déclaration contradictoire soit ajoutée aux archives.

La déclaration contradictoire doit se limiter à l’affirmation des faits et doit énumérer les preuves sur lesquelles se base la déclaration contradictoire. Une déclaration contradictoire n’est pas possible pour des dossiers où existe un jugement rendu par les juridictions judiciaires ou administratives.

Par dérogation aux articles 16 et 18 et conformément à l’article 89, paragraphe 3 du règlement (UE) 2016/679, les personnes concernées ne peuvent pas exiger ni la rectification de données ni la limitation du traitement.

(3) Par dérogation à l’article 20 et conformément à l’article 89, paragraphe 3 du règlement (UE) 2016/679 et considérant l’ancienneté de certaines données conservées, la reproduction fournie à la personne concernée ne doit pas être dans un format structuré et lisible par machine à l’exception des données versées sous cette forme.

(4) Par dérogation à l’article 21 et conformément à l’article 89, paragraphe 3 du règlement (UE) 2016/679, la personne concernée ne peut faire valoir aucun droit d’opposition au traitement de données versées à caractère personnel la concernant.

(5) Après le décès de la personne concernée, les dispositions du présent article sont applicables au conjoint non séparé de corps ou au partenaire au sens de l’article 2 de la loi modifiée du 9 juillet 2004 relative aux effets légaux de certains partenariats, aux descendants en ligne directe, ou s’il s’agit d’un mineur, à son représentant légal.

(1) Toute reproduction des archives publiques ou privées conservées par un institut culturel ou un producteur ou détenteur d’archives publiques qui gère lui-même ses archives dont la durée d’utilité administrative est venue à échéance, et ce en vertu des articles 4 et 5, à l’exception des reproductions internes à des fins techniques qui visent la préservation, la sécurisation ou l’optimisation de l’accès aux archives, doit être autorisée par les détenteurs des archives. Cette autorisation est accordée en conformité avec les délais de communication, les dispositions concernant la consultation des archives publiques avant l’expiration des délais de communication ainsi que les contrats conclus avec les propriétaires d’archives privées et pour autant que l’état de conservation du document le permette.

(2) Toute publication en tout ou en partie des archives publiques par un utilisateur doit être notifiée à leur détenteur.

Toute publication d’archives privées doit être autorisée par l’institut culturel, auquel les archives privées ont été transférées, et ce conformément au contrat conclu entre l’institut culturel et le propriétaire d’archives privées.

(3) Les modalités relatives à la demande en obtention de l’autorisation de reproduction et de l’autorisation de publication en ce qui concerne les archives privées précitées sont déterminées par voie de règlement grand-ducal.

Sans préjudice des dispositions relatives au dépôt légal, tel que défini dans les articles 10 et 19 de la loi modifiée du 25 juin 2004 portant réorganisation des instituts culturels de l'État, un exemplaire justificatif de tous les travaux et de toutes les publications qui se fondent entièrement ou partiellement sur les archives conservées au sein d’un institut culturel ou d’un producteur ou détenteur d’archives publiques qui gère lui-même ses archives dont la durée d’utilité administrative est venue à échéance, en vertu des articles 4 et 5 est à déposer gratuitement au détenteur des archives.

(1) Il est institué un Conseil des archives dont les missions sont :

1. de fonctionner comme organe consultatif et de se prononcer sur toute question en matière d’archives qui lui est soumise par le ministre ;
2. de fonctionner comme organe de réflexion et d’impulsion dans le domaine des archives et de formuler des avis et des propositions au ministre ;
3. de proposer des mesures en matière de politique archivistique sur le plan national ;
4. de promouvoir l’archivage ;
5. de se prononcer sur les propositions de classement d’archives privées comme archives privées historiques ;
6. d’émettre un avis dans le cas d’un refus de communication d’archives publiques avant l’expiration des délais de communication.

(2) Le Conseil des archives est composé d’un minimum de sept et d’un maximum de quinze personnes représentant les producteurs ou détenteurs d’archives numériques et non-numériques, les utilisateurs de ces archives, le monde professionnel des archives et la société civile. Les membres du Conseil des archives sont nommés par arrêté grand-ducal pour une période renouvelable de trois ans.

Le Conseil des archives peut recourir aux services d’experts. Les membres, les experts et le secrétaire ont droit à un jeton de présence dont le montant est fixé par règlement grand-ducal.

(3) Le président du Conseil des archives est désigné parmi ses membres par le ministre. Le secrétariat du Conseil est assuré par les Archives nationales. Le fonctionnement interne du Conseil des archives est fixé par règlement grand-ducal.

La loi modifiée du 25 juin 2004 portant réorganisation des instituts culturels de l’État est modifiée comme suit :

1. Sans préjudice des missions spécifiques définies pour chaque institut, les missions générales des instituts culturels de l’État, dans le domaine propre à chacun, sont l’étude, la conservation et l’épanouissement du patrimoine culturel et intellectuel, des activités de sensibilisation, d’éducation et de formation, ainsi que des activités de recherche, telles que définies à l’article 3, paragraphe 8, 3e tiret, de la loi modifiée du 31 mai 1999 portant création d’un fonds national de la recherche dans le secteur public. Les instituts culturels de l’État : 1. peuvent rechercher la collaboration d’instituts similaires au niveau international et collaborer à des projets internationaux ;
2. peuvent faire appel à des experts et chercheurs ;
3. peuvent entreprendre des activités de recherche, en relation avec leurs missions et leurs collections. Ils peuvent à cette fin collaborer avec des partenaires du secteur public ou du secteur privé ;
4. peuvent publier des ouvrages scientifiques et didactiques sans préjudice des dispositions légales en vigueur ;
5. Code Civil
6. Les Archives nationales ont pour missions : 1. de collecter, de réunir, de conserver, de classer, d’inventorier, d’étudier et de communiquer des documents d’intérêt historique, scientifique, économique, sociétal et culturel national ;
7. de conseiller les producteurs ou détenteurs d’archives, publiques ou privées, sur le classement, l’inventorisation et la conservation de leurs archives ;
8. d’assurer l’encadrement et d’élaborer des recommandations sur la manière d’organiser, de gérer, de conserver les archives publiques et de les verser aux Archives nationales ;
9. d’accepter des archives privées par don, legs ou dépôt en vue de leur intégration ou de leur mise en dépôt aux Archives nationales et d’acquérir au profit de l’État des archives privées d’intérêt historique, scientifique, économique, sociétal ou culturel ;
10. d’assurer la protection et la préservation des archives publiques et des archives privées classées conformément à la loi sur l’archivage ;
11. d’organiser des expositions temporaires, des colloques, des conférences ainsi que des activités pédagogiques qui sont en rapport avec ses activités dans le but de valoriser le patrimoine archivistique national et de sensibiliser le public à l’importance de la conservation de ce patrimoine ;
12. de sensibiliser les institutions, administrations et services publics aux techniques de l’archivage et à la conservation des documents d’intérêt historique, scientifique, économique, sociétal et culturel national ;
13. de contribuer au développement de l’archivistique au niveau national et au niveau international.

Aux articles 225 et 261 de la loi électorale modifiée du 18 février 2003, les mots sont transférés aux archives de l’État où ils sont conservés sont remplacés par les mots sont conservés au ministère de l’Intérieur.

À l’article 56 du décret modifié du 18 juin 1811 contenant règlement pour l’administration de la justice en matière criminelle, de police correctionnelle et de simple police, et tarif général des frais est ajouté un deuxième paragraphe qui se lit comme suit :« En matière criminelle, correctionnelle et de simple police, le Procureur général d’État peut autoriser toute personne présentant un intérêt légitime à consulter, reproduire ou publier les dossiers répressifs déposés aux Archives nationales, sans déplacement et sur demande spécialement motivée par rapport aux dossiers concernés, avant l’expiration des délais de communication prévus par la loi du 17 août 2018 sur l’archivage et ses règlements d’exécution ».

Les tableaux de tri tels que définis à l’article 6, paragraphes 1 et 3 sont établis dans un délai de sept ans qui suivent l’entrée en vigueur de la présente loi.

Tant qu’un producteur ou détenteur d’archives publiques ne dispose pas encore de tableau de tri établi conformément à l’article 6 paragraphe 1er, l’obligation de proposition de versement prévue aux articles 3, paragraphe 1er, et 4, paragraphe 1er, l’obligation de versement prévue à l’article 6 paragraphe 2 et l’interdiction de destruction prévue à l’article 7 paragraphe 1er ne sont pas applicables.

Par dérogation à l’alinéa 2, les archives publiques ayant plus de soixante-dix ans au moment de la publication de la présente loi doivent être proposées au versement aux Archives nationales au plus tard dans un délai d’un an.

Par dérogation à l’article 3 paragraphe 1er, le versement des archives publiques conservées auprès du producteur ou détenteur d’archives publiques n’ayant plus d’utilité administrative et ayant plus de dix ans au moment où le tableau de tri sort ses effets peut être échelonné sur une période de cinq ans.

(1) Les archives publiques ayant été versées aux Archives nationales avant la publication de la présente loi et qui présentent encore une utilité administrative pour le producteur ou détenteur d’archives publiques, sont gérées par les Archives nationales tout au long de leur cycle de vie.

(2) Les documents visés au paragraphe 1er peuvent être détruits par les Archives nationales dès qu’ils ne présentent plus d’utilité administrative et de l’accord préalable de l’entité versante.

La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant « loi du 17 août 2018 relative à l’archivage ».

La présente loi entre en vigueur le 1er septembre 2018.