Loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et portant modification 1° de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ; 2° de la loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (Convention Europol), signée à Bruxelles, le 26 juillet 1995 ; 3° de la loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; - de l'Accord relatif à l'application provisoire entre certains États membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; 4° de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 5° de la loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l’État ; 6° de la loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle ; 7° de la loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d’hébergement ; 8° de la loi modifiée du 29 mars 2013 relative à l’organisation du casier judiciaire ; 9° de la loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière ; 10° de la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés ; 11° de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ; 12° de la loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État ; 13° de la loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière ; 14° de la loi du 18 juillet 2018 sur la Police grand-ducale ; et 15° de la loi du 18 juillet 2018 sur l’Inspection générale de la Police

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau,

Notre Conseil d’État entendu ;

De l’assentiment de la Chambre des Députés ;

Vu la décision de la Chambre des Députés du 26 juillet 2018 et celle du Conseil d’État du 27 juillet 2018 portant qu’il n’y a pas lieu à second vote ;

Avons ordonné et ordonnons :

*Chapitre 1^er Dispositions générales*

Art. 1^er. Objet et champ d’application

(1)

La présente loi s’applique aux traitements de données à caractère personnel mis en oeuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l’exercice de l’autorité publique et des prérogatives de puissance publique, ci-après dénommés « autorité compétente ».

(2) La présente loi s'applique également aux traitements de données à caractère personnel effectués :

(3)

La présente loi s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

Art. 2. Définitions

(1)

Aux fins de la présente loi, on entend par :

(2)

Pour l’application de la présente loi, lorsque les notions utilisées ne sont pas définies au paragraphe 1^er, les définitions de l’article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après désigné comme « le règlement (UE) n° 2016/679 », sont applicables.

Chapitre 2 Principes

Art. 3. Principes relatifs au traitement des données à caractère personnel

(1)

Les données à caractère personnel visées par la présente loi sont :

(2)

Les traitements effectués, par le même ou par un autre responsable du traitement, pour l'une des finalités énoncées à l'article 1^er autre que celles pour lesquelles les données ont été collectées, sont autorisés s’ils sont nécessaires et proportionnés à cette finalité, sous réserve du respect des dispositions prévues par le présent chapitre et par les chapitres IV et V.

(3)

Ces traitements, par le même ou par un autre responsable du traitement, peuvent comprendre l'archivage dans l'intérêt public, à des fins scientifiques, statistiques ou historiques, pour l’une des finalités énoncées à l'article 1^er.

(4)

Le responsable du traitement est responsable du respect des paragraphes 1^er, 2 et 3 et est en mesure de démontrer que ces dispositions sont respectées.

Art. 4. Délais de conservation et d'examen

(1)

Le responsable du traitement fixe des délais appropriés pour l'effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver les données à caractère personnel. Les délais sont à fixer eu égard à la finalité du traitement.

(2)

Le responsable du traitement établit des règles procédurales en vue d’assurer le respect de ces délais qui déterminent les personnes intervenant au nom et pour compte du responsable du traitement dans cette procédure, y compris le délégué à la protection des données, ainsi que les délais dans lesquelles ces personnes doivent accomplir leurs tâches respectives. Les règles procédurales sont mises à la disposition de la personne concernée conformément à l’article 11 et à l’autorité de contrôle compétente sur demande de celle-ci.

Art. 5. Distinction entre différentes catégories de personnes concernées

Le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :

Art. 6. Distinction entre les données à caractère personnel et vérification de la qualité des données à caractère personnel

(1)

Les données à caractère personnel fondées sur des faits sont, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles.

(2)

Les autorités compétentes prennent toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour ne soient pas transmises ou mises à disposition. À cette fin, chaque autorité compétente vérifie, dans la mesure du possible, la qualité des données à caractère personnel avant leur transmission ou mise à disposition. Dans la mesure du possible, lors de toute transmission de données à caractère personnel, sont ajoutées des informations nécessaires permettant à l'autorité compétente destinataire de juger de l'exactitude, de l'exhaustivité, de la fiabilité, ainsi que du niveau de mise à jour des données à caractère personnel en cause.

(3)

S'il s'avère que des données à caractère personnel inexactes ont été transmises ou que des données à caractère personnel ont été transmises de manière illicite, le destinataire en est informé sans retard. Dans ce cas, les données à caractère personnel sont rectifiées ou effacées ou leur traitement est limité conformément à l'article 16.

Art. 7. Licéité du traitement

(1)

Le traitement n'est licite que si et dans la mesure où il est nécessaire à l'exécution des missions de l’autorité compétente définie à l’article 2, paragraphe 1^er, point 7°, pour une des finalités énoncées à l’article 1^er et lorsque cette mission est effectuée en application de dispositions législatives régissant l’autorité compétente visée.

(2)

Le traitement assure la proportionnalité de la durée de conservation des données à caractère personnel, compte tenu de l’objet du fichier et de la nature ou de la gravité des infractions et faits concernés.

Art. 8. Conditions spécifiques applicables au traitement

(1)

Les données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article 1^er ne peuvent être traitées à des fins autres que celles y énoncées, à moins qu’un tel traitement ne soit autorisé par le droit de l’Union européenne ou par une disposition du droit luxembourgeois. Dans ce cas, le traitement de ces données est effectué conformément aux dispositions du règlement (UE) n° 2016/679 ou de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

(2)

Lorsque des autorités compétentes sont chargées d'exécuter des missions autres que celles énoncées à l'article 1^er, le règlement (UE) n° 2016/679 ou, le cas échéant, la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données s'appliquent au traitement des données effectué à de telles fins, y compris à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques.

(3)

Lorsque le droit de l’Union européenne ou une disposition du droit luxembourgeois applicable à l’autorité compétente qui transmet les données soumet leur traitement à des conditions spécifiques, l’autorité compétente qui transmet les données informe le destinataire de ces données à caractère personnel de ces conditions et de l'obligation de les respecter.

(4)

L’autorité compétente qui transmet les données n'applique pas aux destinataires dans les autres États membres ou aux services, organes et organismes établis en vertu des chapitres 4 et 5 du titre V du Traité sur le fonctionnement de l'Union européenne des conditions en vertu du paragraphe 3 différentes de celles applicables aux transferts de données similaires à d’autres autorités compétentes établies sur le territoire du Grand-Duché de Luxembourg.

Art. 9. Traitement portant sur des catégories particulières de données à caractère personnel

Le traitement des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont autorisés uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :

Art. 10. Décision individuelle automatisée

(1)

Toute décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques défavorables pour la personne concernée ou l'affecte de manière significative, est interdite, à moins qu'elle ne soit autorisée par une disposition légale nationale ou par le droit de l'Union européenne, et que le responsable du traitement fournit des garanties appropriées pour les droits et libertés de la personne concernée, et au minimum le droit d'obtenir une intervention humaine de la part du responsable du traitement.

(2)

Les décisions visées au paragraphe 1^er ne sont pas fondées sur les catégories particulières de données à caractère personnel visées à l'article 9, à moins que des mesures appropriées pour la sauvegarde des droits et des libertés et des intérêts légitimes de la personne concernée ne soient en place.

(3)

Tout profilage qui entraîne une discrimination à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel visées à l'article 9 est interdit.

Chapitre 3 Droits de la personne concernée

Art. 11. Communication et modalités de l'exercice des droits de la personne concernée

(1)

Le responsable du traitement prend des mesures raisonnables pour fournir toute information visée à l'article 12 et procède à toute communication relative au traitement ayant trait à l'article 10, aux articles 13 à 17 et à l'article 30 à la personne concernée d'une façon concise, compréhensible et aisément accessible, en des termes clairs et simples. Les informations sont fournies par tout moyen approprié, y compris par voie électronique. De manière générale, le responsable du traitement fournit les informations sous la même forme que la demande.

(2)

Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée par l'article 10 et les articles 13 à 17.

(3)

Le responsable du traitement informe par écrit, dans les meilleurs délais, la personne concernée des suites données à sa demande.

(4)

Aucun paiement n'est exigé pour fournir les informations visées à l'article 12 et pour procéder à toute communication et prendre toute mesure au titre de l'article 10, des articles 13 à 17 et de l'article 30. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :

Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.

(5)

Lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée aux articles 13 ou 15, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée.

Art. 12. Informations à mettre à la disposition de la personne concernée ou à lui fournir

(1)

Le responsable du traitement met à la disposition de la personne concernée au moins les informations suivantes :

(2)

En plus des informations visées au paragraphe 1^er, le responsable du traitement fournit à la personne concernée, dans des cas particuliers, les informations additionnelles suivantes afin de lui permettre d'exercer ses droits :

(3)

Le responsable du traitement peut retarder ou limiter la fourniture des informations à la personne concernée en application du paragraphe 2, ou ne pas fournir ces informations, dès lors et aussi longtemps qu'une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, eu égard à la finalité du traitement concerné, et en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour :

Art. 13. Droit d'accès par la personne concernée

Sous réserve de l'article 14, la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données ainsi que les informations suivantes :

Art. 14. Limitations du droit d'accès

(1)

Le responsable du traitement peut limiter, entièrement ou partiellement, le droit d'accès de la personne concernée, dès lors et aussi longtemps qu'une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée dans une société démocratique, eu égard à la finalité du traitement concerné, et en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour :

(2)

Dans les cas visés au paragraphe 1^er, le responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d'accès, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au paragraphe 1^er. Le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l’autorité de contrôle compétente ou de former un recours juridictionnel.

(3)

Le responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l’autorité de contrôle compétente.

Art. 15. Droit de rectification ou d'effacement des données à caractère personnel et limitation du traitement

(1)

Le responsable du traitement rectifie, dans les meilleurs délais, des données à caractère personnel de la personne concernée qui sont inexactes. Compte tenu des finalités du traitement, les données à caractère personnel incomplètes de la personne concernée sont complétées, y compris par une déclaration complémentaire fournie par la personne concernée fournie à cet effet.

(2)

Le responsable du traitement efface dans les meilleurs délais les données à caractère personnel de la personne concernée lorsque le traitement de ces données constitue une violation des dispositions prévues par les articles 3, 7 ou 9, ou lorsque les données à caractère personnel doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement.

(3)

Au lieu de procéder à l'effacement, le responsable du traitement limite le traitement lorsque :

Lorsque le traitement est limité en vertu de l’alinéa 1^er, lettre a), du présent paragraphe, le responsable du traitement informe la personne concernée avant de lever la limitation du traitement.

(4)

Le responsable du traitement informe la personne concernée par écrit de tout refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement, ainsi que des motifs du refus. Le responsable du traitement peut limiter, en tout ou en partie, la fourniture de ces informations, dès lors qu'une telle limitation constitue une mesure nécessaire et proportionnée dans une société démocratique, eu égard à la finalité du traitement concerné, et en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour :

Le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès d'une autorité de contrôle ou de former un recours juridictionnel.

(5)

Le responsable du traitement communique la rectification des données à caractère personnel inexactes à l'autorité compétente dont proviennent les données à caractère personnel inexactes.

(6)

Lorsque des données à caractère personnel ont été rectifiées ou effacées ou que le traitement a été limité au titre des paragraphes 1, 2 et 3, le responsable du traitement adresse une notification aux destinataires afin que ceux-ci rectifient ou effacent les données à caractère personnel ou limitent le traitement des données à caractère personnel sous leur responsabilité.

Art. 16. Exercice des droits de la personne concernée et vérification par l'autorité de contrôle

(1)

Dans les cas visés à l'article 12, paragraphe 3, à l'article 14, paragraphe 1^er, et à l'article 15, paragraphe 4, les droits de la personne concernée peuvent être exercés par l'intermédiaire de l'autorité de contrôle compétente.

(2)

Le responsable du traitement informe la personne concernée de la possibilité qu'elle a d'exercer ses droits par l'intermédiaire de l'autorité de contrôle compétente en application du paragraphe 1^er.

(3)

Lorsque le droit visé au paragraphe 1^er est exercé, l'autorité de contrôle compétente informe au moins la personne concernée du fait qu'elle a procédé à toutes les vérifications nécessaires ou à un examen. L'autorité de contrôle informe également la personne concernée de son droit de former un recours juridictionnel.

Art. 17. Droits des personnes concernées lors des enquêtes judiciaires et des procédures pénales

Lorsque les données à caractère personnel sont relatives à des faits qui font l’objet d’une enquête préliminaire, d’une instruction préparatoire, qui ont été renvoyés devant une juridiction de jugement, qui font l’objet d’une citation, ou lorsque l’autorité compétente sur base de la loi modifiée du 10 août 1992 relative à la protection de la jeunesse est saisie de ces faits, les droits visés aux articles 12, 13 et 15 sont exercés conformément aux dispositions du Code de procédure pénale ou à d’autres dispositions légales applicables.

Chapitre 4 Responsable du traitement et sous-traitant

Section 1^ère Obligations générales

Art. 18. Obligations incombant au responsable du traitement

(1)

Le responsable du traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, met en œuvre les mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément à la présente loi. Ces mesures sont réexaminées et actualisées, si nécessaire.

(2)

Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1^er comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement.

Art. 19. Protection des données dès la conception et protection des données par défaut

(1)

Compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant lors de la détermination des moyens du traitement que lors du traitement proprement dit, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires, afin de répondre aux exigences de la présente loi et de protéger les droits des personnes concernées.

(2)

Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cette obligation s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne concernée.

Art. 20. Responsables conjoints du traitement

(1)

Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect de la loi, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 11 et 12, par voie d'accord entre eux. Le point de contact unique pour les personnes concernées, afin que celles-ci puissent exercer leurs droits, est désigné dans l'accord.

(2)

Indépendamment des termes de l'accord visé au paragraphe 1^er, la personne concernée peut exercer les droits que lui confère la présente loi à l'égard de et contre chacun des responsables du traitement.

Art. 21. Sous-traitant

(1)

Le responsable du traitement, lorsqu'un traitement doit être effectué pour son compte, fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences de la présente loi et garantisse la protection des droits de la personne concernée.

(2)

Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.

(3)

Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union européenne, du droit luxembourgeois ou du droit d’un autre État membre, qui lie le sous-traitant à l'égard du responsable du traitement et qui définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant :

(4)

Le contrat ou l'autre acte juridique visé au paragraphe 3 revêt la forme écrite, y compris la forme électronique.

(5)

Si, en violation de la présente loi, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.

Art. 22. Traitement effectué sous l'autorité du responsable du traitement ou du sous-traitant

Le sous-traitant, et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel ne les traite que sur instruction du responsable du traitement, à moins d'y être obligé par une disposition légale.

Art. 23. Registre des activités de traitement

(1)

Les responsables du traitement tiennent un registre de toutes les catégories d'activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes :

(2)

Chaque sous-traitant tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, comprenant :

(3)

Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite, y compris la forme électronique. Le responsable du traitement et le sous-traitant mettent ces registres à la disposition de l'autorité de contrôle, sur demande.

Art. 24. Journalisation

(1)

Des journaux sont établis au moins pour les opérations de traitement suivantes dans des systèmes de traitement automatisé : la collecte, la modification, la consultation, la communication, y compris les transferts, l'interconnexion et l'effacement. Les journaux des opérations de consultation et de communication permettent d'établir le motif, la date et l'heure de celles-ci et l'identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l'identité des destinataires de ces données à caractère personnel.

(2)

Les journaux sont utilisés uniquement à des fins de vérification de la licéité du traitement, d'autocontrôle, de garantie de l'intégrité et de la sécurité des données à caractère personnel et à des fins de procédures pénales.

(3)

Le responsable du traitement et le sous-traitant mettent les journaux à la disposition de l'autorité de contrôle sur demande de celle-ci.

Art. 25. Coopération avec l'autorité de contrôle compétente

Le responsable du traitement et le sous-traitant coopèrent avec l'autorité de contrôle compétente, à la demande de celle-ci, dans l'exécution de ses missions.

Art. 26. Analyse d'impact relative à la protection des données

(1)

Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement effectue préalablement au traitement une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

(2)

L'analyse visée au paragraphe 1^er contient au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect de la loi, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées.

Art. 27. Consultation préalable de l'autorité de contrôle compétente

(1)

Le responsable du traitement ou le sous-traitant consulte l'autorité de contrôle compétente préalablement au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer :

(2)

L'autorité de contrôle compétente est consultée dans le cadre de l'élaboration d'un projet de loi ou d’un projet de règlement grand-ducal qui se rapporte au traitement.

(3)

L'autorité de contrôle peut établir une liste des opérations de traitement devant faire l'objet d'une consultation préalable conformément au paragraphe 1^er.

(4)

Le responsable du traitement fournit à l'autorité de contrôle l'analyse d'impact relative à la protection des données en vertu de l'article 26 et, sur demande, toute autre information afin de permettre à l'autorité de contrôle d'apprécier la conformité du traitement et, en particulier, les risques pour la protection des données à caractère personnel de la personne concernée et les garanties qui s'y rapportent.

(5)

Lorsque l'autorité de contrôle compétente est d'avis que le traitement prévu visé au paragraphe 1^er constituerait une violation de la présente loi, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle compétente fournit par écrit, dans un délai maximum de six semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement, et le cas échéant au sous-traitant, et elle peut faire usage des pouvoirs visés à l'article 14 de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ou à l’article 43 de la présente loi, en fonction de l’autorité de contrôle compétente. Ce délai peut être prolongé d'un mois, en fonction de la complexité du traitement prévu. L'autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de toute prorogation dans un délai d'un mois à compter de la réception de la demande de consultation, ainsi que des motifs du retard.

Section 2 Sécurité des données

Art. 28. Sécurité du traitement

(1)

Compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel visées à l'article 9.

(2)

En ce qui concerne le traitement automatisé, le responsable du traitement ou le sous-traitant met en œuvre, à la suite d'une évaluation des risques, des mesures destinées à :

Art. 29. Notification à l'autorité de contrôle d'une violation de données à caractère personnel

(1)

En cas de violation de données à caractère personnel, le responsable du traitement notifie la violation en question à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans un délai de 72 heures au plus tard après en avoir pris connaissance, à moins qu'il soit peu probable que la violation en question n'engendre des risques pour les droits et les libertés d'une personne physique. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.

(2)

Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

(3)

La notification visée aux paragraphes 1 et 2 doit au moins :

(4)

Si et dans la mesure où il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.

(5)

Le responsable du traitement documente toute violation de données à caractère personnel visée au paragraphe 1^er en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier, afin que la documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article.

(6)

Lorsque la violation de données à caractère personnel porte sur des données à caractère personnel qui ont été transmises par le responsable du traitement d'un autre État membre ou à celui-ci, les informations visées au paragraphe 3 sont communiquées au responsable du traitement de cet État membre dans les meilleurs délais.

Art. 30. Communication à la personne concernée d'une violation de données à caractère personnel

(1)

Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et les libertés d'une personne physique, le responsable du traitement communique la violation à la personne concernée dans les meilleurs délais.

(2)

La communication à la personne concernée visée au paragraphe 1^er décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et les mesures visées à l'article 29, paragraphe 3, lettres b), c) et d).

(3)

La communication à la personne concernée visée au paragraphe 1^er n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie :

(4)

Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie.

(5)

La communication à la personne concernée visée au paragraphe 1^er peut être retardée, limitée ou omise, sous réserve des conditions et pour les motifs visés à l'article 12, paragraphe 3.

Section 3 Délégué à la protection des données

Art. 31. Désignation du délégué à la protection des données

(1)

Le responsable du traitement désigne un délégué à la protection des données.

(2)

Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à exercer les missions visées à l'article 33.

(3)

Un seul délégué à la protection des données peut être désigné pour plusieurs autorités compétentes, compte tenu de leur structure organisationnelle et de leur taille.

(4)

Le responsable du traitement publie les coordonnées du délégué à la protection des données et les communique à l'autorité de contrôle.

Art. 32. Fonction du délégué à la protection des données

(1)

Le responsable du traitement veille à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

(2)

Le responsable du traitement aide le délégué à la protection des données à exercer les missions visées à l'article 33 en fournissant les ressources nécessaires pour exercer ces missions ainsi que l'accès aux données à caractère personnel et aux traitements, et lui permettant d'entretenir ses connaissances spécialisées.

Art. 33. Missions du délégué à la protection des données

Le responsable du traitement confie au délégué à la protection des données au moins les missions suivantes :

Chapitre 5 Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales

Art. 34. Principes généraux applicables aux transferts de données à caractère personnel

(1)

Un transfert, par des autorités compétentes, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après leur transfert vers un pays tiers ou à une organisation internationale, y compris des transferts ultérieurs vers un autre pays tiers ou à une autre organisation internationale, n'a lieu, sous réserve du respect des autres dispositions de la présente loi, que lorsque les conditions définies dans le présent chapitre sont respectées, à savoir :

(2)

Les transferts effectués sans l'autorisation préalable d'un autre État membre prévue au paragraphe 1^er, lettre c), sont autorisés uniquement lorsque le transfert de données à caractère personnel est nécessaire aux fins de la prévention d'une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers ou pour les intérêts essentiels d'un État membre et si l'autorisation préalable ne peut pas être obtenue en temps utile. L'autorité à laquelle il revient d'accorder l'autorisation préalable est informée sans retard.

(3)

Toutes les dispositions du présent chapitre sont appliquées de manière que le niveau de protection des personnes physiques assuré par la présente loi ne soit pas compromis.

Art. 35. Transferts sur la base d'une décision d'adéquation

(1)

Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission européenne, en application de l’article 36 de la directive (UE) n° 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, ci-après désignée comme « la directive (UE) n° 2016/680 », a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique.

(2)

Une décision adoptée en vertu de l’article 36, paragraphe 5, de la directive (UE) n° 2016/680 est sans préjudice des transferts de données à caractère personnel vers le pays tiers, le territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou à l'organisation internationale en question, effectués en application des articles 36 et 37.

Art. 36. Transferts moyennant des garanties appropriées

(1)

En l'absence de décision en vertu de l'article 35, un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque :

(2)

Le responsable du traitement informe l'autorité de contrôle compétente des catégories de transferts relevant du paragraphe 1^er, lettre b).

(3)

Lorsqu'un transfert est effectué sur la base du paragraphe 1^er, lettre b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle compétente, sur demande, et comporte la date et l'heure du transfert, des informations sur l'autorité compétente destinataire, la justification du transfert et les données à caractère personnel transférées.

Art. 37. Dérogations pour des situations particulières

(1)

En l'absence de décision d'adéquation en vertu de l'article 35 ou de garanties appropriées en vertu de l'article 36, un transfert ou une catégorie de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu'à condition que le transfert soit nécessaire :

(2)

Les données à caractère personnel ne sont pas transférées si l'autorité compétente qui transfère les données estime que les libertés et droits fondamentaux de la personne concernée l'emportent sur l'intérêt public dans le cadre du transfert visé au paragraphe 1^er, lettres d) et e).

(3)

Lorsqu'un transfert est effectué sur la base du paragraphe 1^er, lettre b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle, sur demande, et indique la date et l'heure du transfert, donne des informations sur l'autorité compétente destinataire, indique la justification du transfert et les données à caractère personnel transférées.

Art. 38. Transferts de données à caractère personnel à des destinataires établis dans des pays tiers

(1)

Par dérogation à l'article 34, paragraphe 1^er, lettre b), et sans préjudice de tout accord international visé au paragraphe 2, les autorités compétentes au sens de l'article 2, point 7), lettre a), peuvent, dans certains cas particuliers, transférer des données à caractère personnel directement aux destinataires établis dans des pays tiers, uniquement lorsque les autres dispositions de la présente loi sont respectées et que toutes les conditions ci-après sont remplies :

(2)

Par accord international visé au paragraphe 1^er, on entend tout accord international bilatéral ou multilatéral en vigueur entre le Grand-Duché de Luxembourg et des pays tiers dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière.

(3)

L'autorité compétente qui transfère les données informe l'autorité de contrôle des transferts relevant du présent article.

(4)

Lorsqu'un transfert est effectué sur la base du paragraphe 1^er, ce transfert est documenté.

Chapitre 6 Autorités de contrôle indépendantes

Section 1^ère Autorité de contrôle administrative

Art. 39. Compétence de la Commission nationale pour la protection des données

L’autorité de contrôle instituée par l’article 3 de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données est compétente pour contrôler et vérifier le respect des dispositions de la présente loi.

Section 2 Autorité de contrôle judiciaire

Art. 40. Création, compétence et composition de l’autorité de contrôle judiciaire

(1)

Il est créé une autorité de contrôle de la protection des données judiciaires, ci-après désignée comme « autorité de contrôle judiciaire ».

(2)

Par dérogation à l’article 39, les opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles, que ce soit pour les finalités visées à l’article 1^er de la présente loi ou pour celles visées par le règlement (UE) n° 2016/679, sont soumises au contrôle de l’autorité de contrôle judiciaire.

(3)

L’autorité de contrôle judiciaire est composée de six membres effectifs et de leurs suppléants comme suit :

Un fonctionnaire ou employé de l’administration judiciaire assume le rôle de secrétaire de l’autorité de contrôle judiciaire. Un ou plusieurs autres fonctionnaires ou employés de l’administration judiciaire peuvent être nommés en tant que membres du secrétariat de l’autorité de contrôle judiciaire, dont un en tant que secrétaire suppléant.

(4)

Les membres effectifs et leurs suppléants ainsi que les fonctionnaires et employés assurant le secrétariat de l’autorité de contrôle judiciaire sont nommés par arrêté du ministre ayant la justice dans ses attributions sur proposition :

(5)

Ne peuvent être nommés que des membres effectifs et suppléants qui disposent d’une ancienneté d’au moins trois ans au sein respectivement de la magistrature de l’ordre judiciaire, des juridictions administratives ou de la Commission nationale pour la protection des données. La durée du mandat des membres effectifs et de leurs suppléants est de six ans et est renouvelable une fois. Les mandats prennent encore fin en cas de démission en tant que membre de l’autorité de contrôle judiciaire ou en tant que membre de la magistrature de l’ordre judiciaire, des juridictions administratives ou de la Commission nationale pour la protection des données, ou en cas de mise ou de départ à la retraite. Un membre ne peut être démis de son mandat que s'il a commis une faute grave ou s'il ne remplit plus les conditions nécessaires à l'exercice de ses fonctions. En cas de vacance d’un mandat effectif ou supplétif, il est pourvu à son remplacement par la nomination d'un nouveau membre, désigné conformément au paragraphe 4, qui achève le mandat de celui qu'il remplace.

(6)

Pendant la durée de leur mandat, les membres effectifs de l’autorité de contrôle judiciaire bénéficient chacun d’une prime mensuelle non pensionnable de cinquante points indiciaires. Cette prime est de trente points pour les membres suppléants de l’autorité de contrôle judiciaire et de vingt points pour les membres de son secrétariat.

En cas de nomination d’un délégué au sens des paragraphes 3 et 4, le titulaire ayant procédé à la délégation ne pourra bénéficier de la prime visée à l’alinéa 1^er pendant la durée de cette délégation.

Art. 41. Fonctionnement de l’autorité de contrôle judiciaire

(1)

La présidence de l’autorité de contrôle judiciaire est assurée par le Président de la Cour supérieure de Justice ou son délégué et sa vice-présidence est assurée par le Président de la Cour administrative ou son délégué.

(2)

L’autorité de contrôle judiciaire ne peut valablement délibérer que lorsque au moins trois de ses membres effectifs ou suppléants, dont au moins un membre effectif, sont présents. Le membre effectif qui est empêché de participer à une réunion en informe son suppléant.

L’autorité de contrôle judiciaire peut s'adjoindre des experts qui peuvent assister, à sa demande, aux réunions avec voix consultative.

(3)

L’autorité de contrôle judiciaire se réunit, sur convocation de son président, toutes les fois que l'exigent les affaires comprises dans ses attributions. Les réunions de l’autorité de contrôle judiciaire sont présidées par son président ou, en cas d’absence, par son vice-président, sinon conformément aux dispositions de son règlement interne visé au paragraphe 10.

Hormis le cas d'urgence, la convocation, contenant l'ordre du jour et mentionnant le lieu, le jour et l'heure de la réunion, est envoyée par voie postale ou par voie électronique au moins huit jours de calendrier avant la date fixée pour la réunion aux adresses indiquées par les membres effectifs.

(4)

Le président ouvre et clôt la réunion et dirige les débats. Lorsque le président constate que l’autorité de contrôle judiciaire n'est pas en nombre pour délibérer valablement, il clôt la réunion. Dans ce cas il convoque à nouveau, dans un délai de huit jours de calendrier, l’autorité de contrôle judiciaire avec le même ordre du jour. L’autorité de contrôle judiciaire siège et délibère alors valablement quel que soit le nombre et la qualité des membres présents.

(5)