Loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et portant modification 1° de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ; 2° de la loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (Convention Europol), signée à Bruxelles, le 26 juillet 1995 ; 3° de la loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; - de l'Accord relatif à l'application provisoire entre certains États membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; 4° de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 5° de la loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l’État ; 6° de la loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle ; 7° de la loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d’hébergement ; 8° de la loi modifiée du 29 mars 2013 relative à l’organisation du casier judiciaire ; 9° de la loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière ; 10° de la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés ; 11° de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ; 12° de la loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État ; 13° de la loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière ; 14° de la loi du 18 juillet 2018 sur la Police grand-ducale ; et 15° de la loi du 18 juillet 2018 sur l’Inspection générale de la Police

Le président et les autres membres de l’autorité de contrôle judiciaire disposent chacun d'une voix. Ils votent à main levée. Les décisions sont prises à la majorité des voix exprimées, hormis les abstentions. En cas de partage des voix, celle du président de la réunion est prépondérante.

(6)

Le secrétaire établit après chaque réunion un procès-verbal indiquant le nom des membres présents ou excusés, l'ordre du jour de la réunion ainsi que les décisions prises et, le cas échéant, les motifs à leur base. Le procès-verbal est signé par le président et le secrétaire et communiqué aux membres de l’autorité de contrôle judiciaire.

(7)

L’autorité de contrôle judiciaire agit en toute indépendance dans l'exercice de ses missions et des pouvoirs dont elle est investie conformément à la présente loi. Dans l'exercice de leurs missions et de leurs pouvoirs, les membres de l’autorité de contrôle judiciaire demeurent libres de toute influence extérieure, qu'elle soit directe ou indirecte, et ne sollicitent ni n'acceptent d'instructions de quiconque.

(8)

Les membres de l’autorité de contrôle judiciaire s'abstiennent de tout acte incompatible avec leurs fonctions et, pendant la durée de leur mandat, n'exercent aucune activité professionnelle incompatible, rémunérée ou non.

(9)

Les membres de l’autorité de contrôle judiciaire sont soumis au secret professionnel au sens de l’article 458 du Code pénal concernant toute information confidentielle dont ils ont eu connaissance dans l'exercice de leurs missions ou de leurs pouvoirs, y compris après la cessation de leurs mandats.

(10)

L’autorité de contrôle judiciaire adopte un règlement interne afin de déterminer ses procédures et modalités de travail nécessaires non prévues par la présente loi. Ce règlement est publié au Journal officiel du Grand-Duché de Luxembourg.

Art. 42. Missions de l’autorité de contrôle judiciaire

(1)

Dans les limites de ses compétences prévues à l’article 40, paragraphe 2, et lorsque le traitement de données à caractère personnel concerné par les autorités y visées relève du champ d’application de la présente loi, l’autorité de contrôle judiciaire :

L’autorité de contrôle judiciaire facilite l'introduction des réclamations visées au paragraphe 1^er, lettre f), par des mesures telles que la fourniture d'un formulaire de réclamation qui peut être rempli également par voie électronique, sans que d'autres moyens de communication ne soient exclus.

L'accomplissement des missions de l’autorité de contrôle judiciaire est gratuit pour la personne concernée et pour les délégués à la protection des données compétents pour les traitements de données relevant du champ d’application de la présente loi.

Lorsqu'une demande est manifestement infondée ou excessive en raison, notamment, de son caractère répétitif, l'autorité de contrôle judiciaire peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. Il incombe à l'autorité de contrôle judiciaire de démontrer le caractère manifestement infondé ou excessif de la demande.

(2)

Lorsque le traitement de données à caractère personnel effectué par les autorités visées à l’article 40, paragraphe 2, relève du champ d’application du règlement (UE) n° 2016/679, les missions de l’autorité de contrôle judiciaire sont celles visées à l’article 57 de ce règlement.

Art. 43. Pouvoirs de l’autorité de contrôle judiciaire

(1)

Lorsque le traitement de données à caractère personnel effectué par les autorités visées à l’article 40, paragraphe 2, relève du champ d’application de la présente loi, l’autorité de contrôle judiciaire dispose des pouvoirs correctifs suivants :

L’autorité de contrôle judiciaire obtient du responsable du traitement ou du sous-traitant accès à toutes les données à caractère personnel qui sont traitées et à toutes les autres informations nécessaires à l'exercice de ses missions.

L’autorité de contrôle judiciaire conseille le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 27 et émet, de sa propre initiative ou sur demande, des avis à l'attention de la Chambre des députés et du Gouvernement ou d'autres institutions et organismes, ainsi que du public, sur toute question relative à la protection des données à caractère personnel relevant de sa compétence.

L’autorité de contrôle judiciaire a le pouvoir de porter les violations des dispositions de la présente loi à la connaissance des autorités judiciaires en vue de faire respecter les dispositions de la présente loi.

(2)

Lorsque le traitement de données à caractère personnel effectué par les autorités visées à l’article 40, paragraphe 2, relève du champ d’application du règlement (UE) n° 2016/679, les pouvoirs de l’autorité de contrôle judiciaire sont ceux visés à l’article 58 de ce règlement.

Chapitre 7 Voies de recours, responsabilité et sanctions

Art. 44. Droit d'introduire une réclamation auprès d'une autorité de contrôle

(1)

Toute personne concernée peut introduire auprès de la Commission nationale pour la protection des données une réclamation contre des opérations de traitement de données à caractère personnel si elle considère que le traitement des données à caractère personnel la concernant constitue une violation des dispositions de la présente loi.

(2)

Par dérogation au paragraphe 1^er, les réclamations contre des opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles sont traitées comme incident de procédure devant la juridiction qui est compétente pour statuer sur le litige auquel la personne concernée est partie, conformément aux dispositions procédurales applicables au litige concerné.

(3)

Pour toutes les réclamations contre des opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles qui ne peuvent être traitées conformément au paragraphe 2, la personne concernée peut saisir l’autorité de contrôle judiciaire.

(4)

Si la réclamation n'est pas introduite auprès de l'autorité de contrôle compétente, l'autorité de contrôle auprès de laquelle la réclamation a été introduite la transmet dans les meilleurs délais à l'autorité de contrôle compétente. La personne concernée est informée de cette transmission.

(5)

La personne concernée est informée par l'autorité de contrôle compétente de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 45.

Art. 45. Droit à un recours juridictionnel contre une décision de l’autorité de contrôle

(1)

Contre les décisions prises par l’autorité de contrôle judiciaire en application de l’article 44, paragraphe 3, lorsque le traitement de données à caractère personnel visé par la réclamation relève du champ d’application de la présente loi, un recours juridictionnel peut être introduit par la personne concernée devant la chambre du conseil de la cour d’appel.

La requête y afférente est consignée sur un registre tenu à cet effet au greffe de la chambre du conseil de la cour d’appel. Sous peine d’irrecevabilité, la requête doit être déposée au greffe de la chambre du conseil de la cour d’appel dans le délai d’un mois qui court à partir du jour de la notification de la décision en cause par l’autorité de contrôle judiciaire à la personne concernée, ou, lorsque l’autorité de contrôle judiciaire n’a pas statué sur la réclamation de la personne concernée, à partir de l’expiration d’un délai de trois mois à partir du jour de la saisine de l’autorité de contrôle judiciaire par la personne concernée. Le greffier avertit la personne concernée et le responsable du traitement au moins huit jours avant les jour et heure de l’audience.

Le responsable du traitement ou son représentant et la personne concernée et, le cas échéant, son mandataire ont seul le droit d’assister à l’audience et de fournir tels mémoires et de faire telles réquisitions, verbales ou écrites, qu’ils jugent convenables. L’audience de la chambre du conseil n’est pas publique.

Les notifications et avertissements visés au présent paragraphe se font dans les formes prévues pour les notifications en matière répressive. Ni le délai de recours, ni la saisine de la chambre du conseil de la cour d’appel en application du présent paragraphe n’ont d’effet suspensif.

(2)

Contre les décisions prises par la Commission nationale pour la protection des données sur base de l’article 44, paragraphe 1^er, et contre les décisions prises par l’autorité de contrôle judiciaire sur base de l’article 44, paragraphe 3, lorsque le traitement de données à caractère personnel visé par la réclamation relève du champ d’application du règlement (UE) n° 2016/679, la personne concernée peut introduire un recours devant le tribunal administratif qui statue comme juge du fond.

Art. 46. Représentation des personnes concernées

(1)

Sans préjudice des dispositions légales relatives à la représentation des parties devant les juridictions de l’ordre judiciaire et de l’ordre administratif, la personne concernée a le droit de mandater une personne morale, remplissant les conditions prévues au paragraphe 2, pour qu’elle exerce en son nom les droits visés aux articles 44 et 45.

(2)

Afin de pouvoir représenter valablement la personne concernée, et sous peine d’irrecevabilité de la réclamation ou du recours, la personne morale visée au paragraphe 1^er doit remplir les conditions suivantes :

(3)

Le mandat délivré en application du présent article ayant comme objet la défense de l’intérêt général est nul.

Art. 47. Sanctions

(1)

La violation des articles 3 à 15, 18 à 30, et 34 à 38 de la présente loi sont passibles d’une amende administrative de 500 à 250 000 euros qui est prononcée, par voie de décision, par l’autorité de contrôle. Un recours contre cette décision est ouvert devant le Tribunal administratif qui statue comme juge du fond.

(2)

L’autorité de contrôle compétente peut, par voie de décision, prononcer une astreinte de 100 euros par jour de retard afin de contraindre le responsable du traitement de se conformer aux injonctions soit émises par la Commission nationale pour la protection des données en application de l’article 14, points 1°, 3° et 4° de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, soit émises par l’autorité de contrôle judiciaire en application de l’article 43, lettres b) et c).

L’astreinte court à compter de la date fixée dans la décision prononçant l’astreinte. Cette date ne peut être antérieure à la date de la notification de la décision. Un recours contre cette décision est ouvert devant le Tribunal administratif qui statue comme juge du fond.

(3)

Par ailleurs, la violation des articles 9, 10 et 29 de la présente loi avec une intention frauduleuse ou à dessein de nuire est punie d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement. La juridiction saisie prononce la cessation du traitement contraire aux dispositions des articles précités sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

(4)

La Commission nationale pour la protection des données et le procureur d’État coopèrent pour la répression administrative ou pénale des violations ou des infractions aux dispositions de la présente loi et à celles de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et au régime général sur la protection des données. À cette fin, la Commission nationale pour la protection des données, le procureur d’État et la Police grand-ducale peuvent échanger toute information qu’ils jugent utile ou nécessaire.

(5)

Si des indices peuvent justifier l’ouverture par la Commission nationale pour la protection des données d’une procédure administrative susceptible d’aboutir à l’imposition d’une sanction administrative pour un ou plusieurs faits constituant une violation du paragraphe 8 ou des articles 48 et 49 de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, elle en informe le procureur d’État qui décide, endéans les deux mois de la réception de cette information, s’il exerce l’action publique. Dans ce cas, il en informe la Commission nationale pour la protection des données.

Si le procureur d’État décide de poursuivre, la Commission nationale pour la protection des données ne procède pas. En cas de décision négative ou en l’absence d’une réponse du procureur d’État après le délai de deux mois, la Commission nationale pour la protection des données procède conformément à la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

Lorsqu’au cours de la procédure la Commission nationale pour la protection des données constate l’existence d’indices que les personnes suspectées sont susceptibles d’avoir contrevenu aux dispositions du paragraphe 8 ou des articles 48 et 49 de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, elle se dessaisit du dossier et le transmet au procureur d’État qui procède conformément au Code de procédure pénale.

Si le procureur d’État estime au cours de son enquête et avant qu’il ne cite à comparaître que les conditions d’une poursuite pénale ne sont pas remplies mais que des sanctions administratives sont susceptibles de s’appliquer, il transmet le dossier à la Commission nationale pour la protection des données qui procède conformément à la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

(6)

Lorsque le procureur d’État est saisi sur base d’une plainte de faits susceptibles de constituer une infraction au paragraphe 8 ou aux articles 48 et 49 de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données et qu’il décide d’exercer l’action publique, il en informe la Commission nationale pour la protection des données. Dans ce cas, la Commission nationale pour la protection des données ne procède pas. Si le procureur d’État décide de ne pas poursuivre, la Commission nationale pour la protection des données procède conformément à la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

Si le procureur d’État estime au cours de son enquête et avant qu’il ne cite à comparaître que les conditions d’une poursuite pénale ne sont pas remplies mais que des sanctions administratives sont susceptibles de s’appliquer, il transmet le dossier à la Commission nationale pour la protection des données qui procède conformément à la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.

(7)

Les dispositions des paragraphes 4 à 6 s’appliquent également à l’autorité de contrôle judiciaire lorsqu’elle exerce les missions et dispose des pouvoirs prévus par le règlement (UE) n° 2016/679.

(8)

Quiconque empêche ou entrave sciemment, de quelque manière que ce soit, l’accomplissement des missions incombant à l’autorité de contrôle judiciaire est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement.

(9)

Les dispositions des articles 51 à 53 de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données sont applicables à l’autorité de contrôle judiciaire lorsqu’elle agit dans la cadre de ses compétences relatives au règlement (UE) n° 2016/679 ou prévues par la présente loi. Le recouvrement des amendes ou astreintes qu’elle prononce est confié à l’Administration de l’enregistrement et des domaines. Il se fait comme en matière d’enregistrement.

Chapitre 8 Dispositions finales

Section 1^ère Dispositions modificatives

Art. 48. Loi modifiée du 7 mars 1980 sur l'organisation judiciaire

L’article 75-8 de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire est remplacé comme suit :Art. 75-8.Le droit de toute personne d'avoir accès aux données à caractère personnel la concernant qui sont traitées par Eurojust, tel que prévu par l'article 19 de la décision précitée du Conseil du 28 février 2002 se fait suivant les modalités du droit d'accès au Luxembourg telles qu'elles sont prévues par les articles 13, 14 et 16 de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

Art. 49. Loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (Convention Europol), signée à Bruxelles, le 26 juillet 1995

L’article 3 de la loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (Convention Europol), signée à Bruxelles, le 26 juillet 1995 est remplacé comme suit :Art. 3.L'autorité de contrôle prévue à l’article 2, paragraphe 1^er, point 15) a), de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est désignée comme l'autorité de contrôle nationale prévue à l'article 23 de la Convention avec mission de contrôler le respect des dispositions en matière de protection des données à caractère personnel dans le cadre de l'exploitation du système d'information Europol.

Art. 50. Loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995; - de l'Accord relatif à l'application provisoire entre certains États membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995

L’article 2 de la loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995; - de l'Accord relatif à l'application provisoire entre certains États membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 est remplacé comme suit :Art. 2.L’autorité de contrôle prévue à l’article 2, paragraphe 1^er, point 15) a), de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est désignée comme l'autorité de contrôle nationale prévue à l'article 17 de la Convention, avec mission de contrôler le respect des dispositions en matière de protection des données à caractère personnel dans le cadre de l'exploitation du système d'information des douanes.

Art. 51. Loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité

À l’article 23 de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité, l’alinéa 1^er est remplacé comme suit :Le traitement, par l'Autorité nationale de Sécurité, des informations collectées dans le cadre de ses missions est mis en œuvre conformément aux dispositions de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

Art. 52. Loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l’État

La loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l’État est modifiée comme suit :

Art. 53. Loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle

La loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle est modifiée comme suit :

Art. 54. Loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d’hébergement

À l’article 3 de la loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d’hébergement, la première phrase est remplacée comme suit :Le logeur est obligé de communiquer à la Police grand-ducale la fiche d'hébergement concernant les personnes hébergées aux fins de la prévention et de la détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

Art. 55. Loi modifiée du 29 mars 2013 relative à l’organisation du casier judiciaire

À l’article 8 de la loi modifiée du 29 mars 2013 relative à l’organisation du casier judiciaire, la deuxième phrase du point 2 est remplacée comme suit :Le SRE transmet sur une base trimestrielle la liste de ses demandes de délivrance et les motifs de ces demandes à l’autorité de contrôle judiciaire prévue à l’article 40 de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ;

Art. 56. Loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière

L’article 6 de la loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière est remplacé comme suit :Art. 6.(1) Le traitement des données à caractère personnel dans le cadre de la présente loi est effectué à des fins de prévention, de recherche et de constatation des infractions pénales ou administratives relevant de son champ d'application et se fait conformément aux articles 24 à 32 de la décision 2008/615/JAI précitée et aux dispositions, y non contraires, de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.(2)Toute personne concernée a le droit d'obtenir des informations sur les données à caractère personnel transmises dans le cadre de la présente loi, y compris la date de la demande et l'autorité compétente de l'État membre de l'infraction, conformément aux articles 11 à 17 de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

Art. 57. Loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés

L’article 10 de la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés est remplacé comme suit :Art. 10.Le Centre procède au traitement des données à caractère personnel qui est nécessaire à l’accomplissement de ses missions qui est effectué conformément aux dispositions de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

Art. 58. Loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État

La loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État est modifiée comme suit :

Art. 59. Loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État

La loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État est modifiée comme suit :

Art. 60. Loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière

La loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière est modifiée comme suit :

Art. 61. Loi du 18 juillet 2018 sur la Police grand-ducale

À l’article 43 de la loi du 18 juillet 2018 sur la Police grand-ducale, l’alinéa 6 est remplacé comme suit :L’autorité de contrôle prévue à l’article 2, paragraphe 1^er, point 15), lettre a), de la loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale contrôle et surveille le respect des conditions d’accès prévues par le présent article. Le rapport à transmettre au ministre ayant la Protection des données dans ses attributions, en exécution de l’article 10 de la loi du 1^er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, contient une partie spécifique ayant trait à l’exécution de sa mission de contrôle exercée au titre du présent article.

Art. 62. Loi du 18 juillet 2018 sur l’Inspection générale de la Police

L’article 15 de la loi du 18 juillet 2018 sur l’Inspection générale de la Police est modifié comme suit :

Section 2 Dispositions transitoires, mise en conformité et intitulé de citation

Art. 63. Dispositions transitoires et mise en conformité

(1)

À titre exceptionnel et lorsque cela exige des efforts disproportionnés, les systèmes de traitements de données à caractère personnel automatisés installés avant le 6 mai 2016 sont mis en conformité avec l'article 24 au plus tard le 6 mai 2023.

(2)

Par dérogation au paragraphe 1^er, et dans des circonstances exceptionnelles, un système donné de traitement de données à caractère personnel automatisé visé au paragraphe 1^er peut être mis en conformité avec l'article 24 jusqu’à une date butoir à déterminer par une décision du Gouvernement en conseil et située après le 6 mai 2023 lorsque, à défaut de cela, de graves difficultés se posent pour le fonctionnement du système de traitement automatisé en question. La date butoir ne peut être fixée au-delà du 6 mai 2026.

Art. 64. Intitulé de citation

La référence à la présente loi se fait sous la forme suivante : « Loi du 1^er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. »

Mandons et ordonnons que la présente loi soit insérée au Journal officiel du Grand-Duché de Luxembourg pour être exécutée et observée par tous ceux que la chose concerne.

Le Ministre de la Justice,Félix Braz

Cabasson, le 1^er août 2018.Henri