Loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau;

Notre Conseil d’Etat entendu;

De l’assentiment de la Chambre des Députés;

Vu la décision de la Chambre des Députés du 17 juillet 2002 et celle du Conseil d’Etat du 19 juillet 2002 portant qu’il n’y a pas lieu à second vote;

Avons ordonné et ordonnons:

Chapitre I. Dispositions générales relatives à la protection de la personne à l'égard des traitements des données à caractère personnel

Art. 1^er. Objet

La présente loi protège les libertés et les droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel et fait respecter les intérêts légalement protégés des personnes morales.

Art. 2. Définitions

Aux fins de la présente loi, on entend par:

(a) "code de conduite": contributions sectorielles élaborées en vue de la bonne application de la présente loi. Les codes de conduite sont élaborés à l’échelon national ou communautaire par les associations professionnelles et les autres organisations représentatives des responsables du traitement et sont facultativement soumis pour approbation à la Commission nationale ou au groupe de protection des personnes à l'égard du traitement des données à caractère personnel tel qu'institué par l'article 29 de la Directive 95/46/CE;

(b) "Commission nationale": la Commission nationale pour la protection des données;

(c) "consentement de la personne concernée": toute manifestation de volonté expresse, non équivoque, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou statutaire accepte que les données à caractère personnel fassent l'objet d’un traitement;

(d) "destinataire": la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu'il s'agisse ou non d'un tiers; les autorités qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre de l'exécution d'une mission légale d'enquête ou de contrôle ne sont pas considérées comme des destinataires;

(e) "donnée à caractère personnel" (ci-après dénommée "donnée"): toute information de quelque nature qu'elle soit et indépendamment de son support, y compris le son et l'image, concernant une personne identifiée ou identifiable ("personne concernée"); une personne physique ou morale est réputée identifiable si elle peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique;

(f) "donnée relative à la santé": toute information concernant l'état physique et mental d'une personne concernée, y compris les données génétiques;

(g) "donnée génétique": toute donnée concernant les caractères héréditaires d'un individu ou d'un groupe d'individus apparentés;

(h) "fichier de données à caractère personnel" (ci-après dénommé "fichier"): tout ensemble structuré de données accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique;

(i) "instance médicale": tout praticien de la santé et toute personne soumise à la même obligation de secret professionnel, ainsi que tout établissement hospitalier visé par la loi du 28 août 1998 sur les établissements hospitaliers, effectuant un traitement de données nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements ou de la gestion de services de santé;

(j) "interconnexion": toute forme de traitement qui consiste en la corrélation de données traitées pour une finalité avec des données traitées pour des finalités identiques ou liées par un ou d'autres responsables du traitement;

(k) "ministre": le ministre ayant dans ses attributions la protection des données;

(l) "organisme de sécurité sociale": tout organisme de droit public ou privé qui assure des prestations, obligatoires ou facultatives, relatives à la maladie, la maternité, la vieillesse, les accidents corporels, l’invalidité, la dépendance, le décès, le chômage, ainsi que des prestations familiales ou d’aides sociales;

(m) "pays tiers": Etat non membre de l’Union européenne;

(n) "personne concernée": toute personne physique ou morale, publique ou privée ou groupement de fait, qui fait l'objet d’un traitement de données à caractère personnel;

(o) "responsable du traitement": la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque les finalités et les moyens du traitement sont déterminés par ou en vertu des dispositions légales, le responsable du traitement est déterminé par ou en vertu des critères spécifiques conformément aux dispositions légales;

(p) "sous-traitant": la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données pour le compte du responsable du traitement;

(q) "surveillance": toute activité faisant appel à des moyens techniques en vue de détecter, d’observer, de copier ou d’enregistrer les mouvements, images, paroles, écrits, ou l'état d'un objet ou d'une personne fixe ou mobile;

(r) "tiers": la personne physique ou morale, l’autorité publique, le service ou tout autre organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placés sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilités à traiter les données. Dans le secteur public, on entend par tiers un ministère, une administration, un établissement public, une commune ou un service public autre que le responsable du traitement ou son sous-traitant;

(s) "traitement de données à caractère personnel" (ci-après dénommé "traitement") : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et appliquées à des données, telles que la collecte, l'enregistrement, l'organisation, la conservation, l’adaptation ou la modification, l'extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l'effacement ou la destruction.

Art. 3.- Champ d'application

(1)

La présente loi s'applique au traitement automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données contenues ou appelées à figurer dans un fichier.

(2)

Sont soumis à la présente loi:

(3)

La présente loi s'applique au traitement de données concernant la sécurité publique, la défense, la recherche et la poursuite d'infractions pénales ou la sûreté de l'Etat, même liées à un intérêt économique ou financier important de l'Etat, sans préjudice des dispositions spécifiques de droit national ou international régissant ces domaines.

(4)

La présente loi s'applique à toute forme de captage, de traitement et de diffusion de sons et images qui permettent d'identifier des personnes physiques ou morales.

(5)

La présente loi ne s'applique pas:

• au traitement mis en œuvre par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques,
• au traitement de données concernant une personne morale et dont la publication est prescrite par une loi ou un règlement.

Chapitre II. Conditions de licéité du traitement

Art. 4. Qualité des données

(1)

Le responsable du traitement doit s'assurer que les données qu’il traite le sont loyalement et licitement, et notamment que ces données sont:

(2)

Les données traitées à des finalités déterminées peuvent être traitées ultérieurement à des fins historiques, statistiques ou scientifiques et sont soumises aux conditions prévues par le régime d’autorisation préalable de la Commission nationale tel que prévu à l’article 14.

(3)

Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 5. Légitimité du traitement

(1)

Le traitement de données ne peut être effectué que si:

(2)

Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 6. Traitement de catégories particulières de données

(1)

Les traitements qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les traitements de données relatives à la santé et à la vie sexuelle, y compris le traitement des données génétiques sont interdits.

(2)

Le paragraphe (1) ne s’applique pas lorsque:

(3)

L’article 6 paragraphe (1) ne s’applique pas lors d’une procédure judiciaire ou d’une enquête pénale. Toutefois les données génétiques ne peuvent être traitées que pour vérifier l’existence d’un lien génétique dans le cadre de l’administration de la preuve en justice, pour l'identification d'une personne, la prévention ou la répression d’une infraction pénale déterminée.

(4)

Par dérogation à l'article 6, paragraphe (1), les données génétiques ne peuvent faire l'objet d'un traitement que:

(5)

Quiconque effectue un traitement ou opère une communication à un tiers en violation des dispositions du paragraphe (1) qui précède est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement ou de la communication contraires aux dispositions du paragraphe (1) du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 7. Traitement de catégories particulières de données par les services de la santé

(1)

Lorsque le traitement de données tel que défini à l’article 6 paragraphe (1) de la présente loi est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements ou de la gestion de services de santé, de la recherche scientifique dans le domaine de la biologie et de la médecine, le traitement de ces données peut être mis en œuvre par des instances médicales, ainsi que lorsque le responsable du traitement est soumis au secret professionnel, par les organismes de sécurité sociale et les administrations qui gèrent ces données en exécution de leurs missions légales et réglementaires, par les entreprises d'assurance, les sociétés gérant les fonds de pension, la Caisse médico-chirurgicale mutualiste et par celles des personnes physiques ou morales bénéficiant d'un agrément dans le domaine médico-social ou thérapeutique en vertu de la loi du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique, désignées par règlement grand-ducal. Le recours à un sous-traitant est possible dans les conditions prévues à l’article 21.

(2)

Le traitement visé ci-dessus fait l’objet d’une autorisation préalable de la Commission nationale.

(3)

Par dérogation au paragraphe (2) qui précède sont soumis à notification:

• le traitement mis en œuvre conformément à l’article 36 de la loi du 28 août 1998 sur les établissements hospitaliers;
• le traitement mis en œuvre par un médecin et concernant ses patients.

(4)

Sous réserve que leur traitement soit en lui-même licite au regard des articles 6 et 7, les données y visées peuvent être communiquées à des tiers ou utilisées à des fins de recherche, d'après les modalités et suivant les conditions à déterminer par règlement grand-ducal.

(5)

Quiconque effectue un traitement ou opère une communication à un tiers en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement ou de la communication contraires aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 8. Traitement de données judiciaires

(1)

Le traitement des données dans le cadre d'enquêtes pénales et de procédures judiciaires est opéré dans le respect des dispositions du Code d'instruction criminelle, du Code de procédure civile, de la loi portant règlement de procédure devant les juridictions administratives ou d'autres lois.

(2)

Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être mis en œuvre qu'en exécution d'une disposition légale.

(3)

Il ne peut être tenu de recueil exhaustif des condamnations pénales que sous le contrôle de l’autorité publique compétente en la matière.

(4)

Quiconque, agissant à titre privé, effectue un traitement en violation des dispositions du présent article est puni d'un emprisonnement de huit jours à un an et d'une amende de 251 à 125.000 euros ou d'une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 9. Traitement réalisé dans le cadre de la liberté d’expression

(1)

Sans préjudice des dispositions prévues dans la législation sur la liberté dans les moyens de communication de masse et dans la mesure où les dérogations ci-après s'avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression, le traitement mis en œuvre aux seules fins de journalisme ou d’expression artistique ou littéraire n’est pas soumis:

aux limitations concernant le traitement de données judiciaires prévues à l’article 8;

lorsque le traitement se rapporte à des données rendues manifestement publiques par la personne concernée ou à des données qui sont en relation étroite avec le caractère public de la personne concernée ou du fait dans lequel elle est impliquée;

(2)

Lors de la notification d’un traitement effectué à des fins de journalisme ou d’expression artistique ou littéraire, la notification ne renseigne que sur le(s) nom(s) et adresse(s) du responsable du traitement ou de son représentant.

Art. 10. Traitement à des fins de surveillance

(1)

Le traitement à des fins de surveillance ne peut être effectué que:

(2)

Les personnes concernées sont informées par des moyens appropriés tels que des panneaux de signalisation, des circulaires et/ou des envois recommandés par voie postale ou électronique de la mise en œuvre des traitements visés au paragraphe (1), lettres (b) et (c). A la demande de la personne concernée, le responsable du traitement fournit à celle-ci les informations prévues à l'article 26, paragraphe (2).

(3)

Les données collectées à des fins de surveillance ne sont communiquées que:

(4)

Quiconque effectue un traitement en violation des dispositions du paragraphe (1) qui précède est puni d'un emprisonnement de huit jours à un an et d'une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du paragraphe (1) du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 11. Traitement à des fins de surveillance sur le lieu du travail

(1)

Le traitement à des fins de surveillance sur le lieu de travail peut être mis en œuvre, conformément à l'article 14, par l'employeur s'il en est le responsable. Un tel traitement n'est possible que s'il est nécessaire:

Dans les cas visés aux lettres (a), (d) et (e), le comité mixte d'entreprise, le cas échéant institué, a un pouvoir de décision tel que défini à l'article 7, paragraphes (1) et (2), de la loi modifiée du 6 mai 1974 instituant des comités mixtes dans les entreprises du secteur privé et organisant la représentation des salariés dans les sociétés anonymes.

Le consentement de la personne concernée ne rend pas légitime le traitement mis en œuvre par l'employeur.

(2)

Sans préjudice du droit à l'information de la personne concernée sont informés préalablement par l'employeur:

• la personne concernée, ainsi que
• pour les personnes tombant sous l'empire de la législation sur le contrat de droit privé: le comité mixte ou à défaut la délégation du personnel ou à défaut encore l'Inspection du travail et des mines;
• pour les personnes tombant sous l'empire d'un régime statutaire: les organismes de représentation du personnel tels que prévus par les lois et règlements afférents.

(3)

Quiconque effectue un traitement en violation des dispositions du présent article est puni d’une peine d’emprisonnement de huit jours à un an et d'une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Chapitre III. Formalités préalables à la mise en œuvre des traitements et publicités des traitements

Art. 12. Notification préalable à la Commission nationale

(1)

(a) A l'exception de ceux qui relèvent des dispositions prévues aux articles 8, 14 et 17, les traitements de données font l'objet d'une notification préalable par le responsable du traitement auprès de la Commission nationale.

(b) Les traitements relevant d'un même responsable du traitement et ayant des finalités identiques ou liées entre elles peuvent faire l'objet d'une notification unique. Dans ce cas les informations requises en application de l'article 13 ne sont fournies pour chacun des traitements que dans la mesure où elles lui sont propres.

(2)

Pour les traitements des données dont la mise en œuvre n'est pas susceptible de porter atteinte aux libertés et droits fondamentaux, et notamment à la vie privée, des personnes concernées, la Commission nationale établit et publie des directives en vue d'une notification simplifiée.

Ces directives précisent:

Les traitements qui correspondent à ces directives font l'objet d'une notification simplifiée de conformité envoyée à la Commission nationale le cas échéant par voie électronique.

(3)

Est exempté de l’obligation de notification:

(4)

Quiconque ne se soumet pas à l’obligation de notification ou fournit des informations incomplètes ou inexactes est puni d’une amende de 251 à 125.000 euros. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 13. Contenu et forme de la notification

(1)

La notification comprend au moins les informations suivantes:

(2)

Toute modification affectant les informations visées au paragraphe (1) doit être notifiée à la Commission nationale préalablement à la mise en œuvre du traitement.

(3)

La notification se fait auprès de la Commission nationale moyennant support papier ou informatique suivant un schéma à établir par elle. Il est accusé réception de la notification.

(4)

Un règlement grand-ducal fixera le montant et les modalités de paiement d’une redevance à percevoir lors de toute notification et de toute modification de notification.

Art. 14. Autorisation préalable de la Commission nationale

(1)

Sont soumis à l’autorisation préalable de la Commission nationale:

(2)

La demande d'autorisation comprend les informations suivantes:

(3)

Les traitements qui ont une même finalité, qui portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisées par une décision unique de la Commission nationale. Dans ce cas le responsable de chaque traitement adresse à la Commission nationale un engagement formel de conformité de celui-ci à la description figurant dans l’autorisation.

(4)

Quiconque effectue un traitement en violation des dispositions du présent article est puni d'un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 15. Publicité des traitements

(1)

La Commission nationale tient un registre public des traitements.

(2)

Figurent dans ce registre:

(3)

Le registre tenu par la Commission nationale contient sur chaque traitement les informations requises respectivement par l'article 13, paragraphe (1) et par l'article 14, paragraphe (2). Pour les traitements soumis à autorisation préalable, le registre renseigne en plus sur l'autorisation émise par la Commission nationale.

(4)

Toute personne peut prendre connaissance, et ce gratuitement, des informations contenues dans le registre public qui est en ligne, à l'exception de celles prévues respectivement à l'article 13, paragraphe (1) lettre (g) et à l'article 14, paragraphe (2) lettre (i).

(5)

Cependant la Commission nationale peut limiter cette publicité lorsqu'une telle mesure est nécessaire pour sauvegarder:

(6)

La Commission nationale publie un rapport annuel qui fait état des notifications et autorisations.

(7)

Le présent article ne s’applique pas aux traitements ayant pour seul but la tenue d’un registre qui, en vertu d’une loi ou d’un règlement grand-ducal, est destiné à l’information du public et qui est ouvert à la consultation du public ou de toute personne justifiant d’un intérêt légitime.

Art. 16. Interconnexion de données

(1)

L’interconnexion de données qui n’est pas expressément prévue par un texte légal doit faire l’objet d’une autorisation préalable de la Commission nationale sur demande conjointe présentée par les responsables des traitements en cause.

(2)

L’interconnexion de données doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements, ne pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées, être assortie de mesures de sécurité appropriées et tenir compte du type de données faisant l’objet de l’interconnexion.

(3)

L'interconnexion n'est autorisée que dans le respect des finalités identiques ou liées de fichiers et du secret professionnel auquel les responsables du traitement sont le cas échéant astreints.

Art. 17. Autorisation par voie réglementaire

(1)

Font l'objet d'un règlement grand-ducal:

(2)

Le contrôle et la surveillance des traitements mis en œuvre tant en application d'une disposition de droit interne qu'en application d'une convention internationale est exercé par une autorité de contrôle composée du Procureur Général d'Etat, ou de son délégué qui la préside, et de deux membres de la Commission nationale nommés, sur proposition de celle-ci, par le ministre.

L'organisation et le fonctionnement de l'autorité de contrôle font l'objet d'un règlement grand-ducal.

L'autorité de contrôle est informée immédiatement de la mise en œuvre d'un traitement de données visé par le présent article. Elle veille à ce que ces traitements soient effectués conformément aux dispositions légales qui les régissent.

Pour l'exercice de sa mission, l'autorité de contrôle a un accès direct aux données traitées. Elle peut procéder, quant aux traitements effectués, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission. Elle peut également charger un de ses membres à procéder à des missions de contrôle spécifique qui sont exécutées dans les conditions indiquées ci-dessus. L'autorité de contrôle fait opérer les rectifications et radiations nécessaires. Elle présente chaque année au ministre un rapport rendant compte de l'exécution de sa mission.

Le droit d'accès aux données visées au présent article ne peut être exercé que par l'intermédiaire de l'autorité de contrôle. Celle-ci procède aux vérifications et investigations utiles, fait opérer les rectifications nécessaires et informe la personne concernée que le traitement en question ne contient aucune donnée contraire aux conventions, à la loi et à ses règlements d'exécution.

(3)

Toute personne, agissant à titre privé, qui effectue un traitement en violation des dispositions du présent article est punie d'un emprisonnement de huit jours à un an et d'une amende de 251 à 125.000 euros ou d'une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Chapitre IV. Transferts de données vers des pays tiers

Art. 18. Principes

(1)

Le transfert vers un pays tiers de données faisant l’objet d’un traitement ou destinées à faire l'objet d'un traitement après leur transfert, ne peut avoir lieu que si le pays en question assure un niveau de protection adéquat et moyennant le respect des dispositions de la présente loi et de ses règlements d’exécution.

(2)

Le caractère adéquat du niveau de protection offert par un pays tiers doit être apprécié par le responsable du traitement au regard de toutes les circonstances relatives à un transfert ou une catégorie de transferts de données, notamment la nature des données, la finalité et la durée du ou des traitements envisagés, le pays d’origine et le pays de destination finale, les règles de droit générales et sectorielles en vigueur dans le pays en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.

(3)

En cas de doute, le responsable du traitement informe sans délai la Commission nationale qui apprécie si un pays tiers assure un niveau de protection adéquat. La Commission nationale notifie conformément à l’article 20 à la Commission européenne les cas dans lesquels elle estime que le pays tiers n’assure pas un niveau de protection adéquat.

(4)

Lorsque la Commission européenne ou la Commission nationale constate qu’un pays tiers ne dispose pas d’un niveau de protection adéquat, tout transfert de données vers ce pays est prohibé.

(5)

Quiconque effectue un transfert de données vers un pays tiers en violation des dispositions des paragraphes (1), (2) et (4) qui précèdent est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du transfert contraire aux dispositions des paragraphes (1), (2) et (4) du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 19. Dérogations

(1)

Le transfert de données ou d’une catégorie de données vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 18, paragraphe (2), peut toutefois être effectué à condition que:

(2)

Dans le cas d’un transfert effectué vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 18, paragraphe (2), le responsable du traitement doit notifier à la Commission nationale un rapport établissant les conditions dans lesquelles il a opéré le transfert.

(3)

Sans préjudice des dispositions du paragraphe (1), la Commission nationale peut autoriser, sur la base d’une demande dûment motivée, un transfert ou un ensemble de transferts de données vers un pays tiers et n’assurant pas un niveau de protection adéquat, au sens de l’article 18, paragraphe (2), ceci lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes concernées, ainsi qu’à l’exercice des droits correspondants. Ces garanties peuvent résulter de clauses contractuelles appropriées. Le responsable du traitement est tenu de se conformer à la décision de la Commission nationale.

(4)

Quiconque effectue un transfert de données vers un pays tiers en violation des dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du transfert contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 20. Information réciproque

(1)

La Commission nationale informe le ministre de toute décision prise en application de l’article 18, paragraphes (3) et (4), et de l’article 19, paragraphes (1) et (2). Le ministre en informe la Commission européenne.

(2)

Le ministre informe la Commission nationale de toute décision relative au niveau de protection d’un pays tiers prise par la Commission européenne.

Chapitre V. Subordination et sécurité des traitements

Art. 21. Subordination

Toute personne qui agit sous l’autorité du responsable du traitement ou sous celle du sous-traitant, ainsi que le sous-traitant lui-même, et qui accède à des données ne peut les traiter que sur instruction du responsable du traitement, sauf en vertu d’obligations légales.

Art. 22. Sécurité des traitements

(1)

Le responsable du traitement doit mettre en œuvre toutes les mesures techniques et l’organisation appropriées pour assurer la protection des données qu’il traite contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite. Ces mesures font l’objet d’un rapport annuel à soumettre par le responsable du traitement à la Commission nationale.

(2)

Lorsque le traitement est mis en œuvre pour compte du responsable du traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d’organisation relatives aux traitements à effectuer. Il incombe au responsable du traitement ainsi qu'au sous-traitant de veiller au respect de ces mesures.

(3)

Tout traitement effectué pour compte doit être régi par un contrat ou un acte juridique consigné par écrit qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que:

1. le sous-traitant n’agit que sur la seule instruction du responsable du traitement; et que

Art. 23. Mesures de sécurité particulières

En fonction du risque d’atteinte à la vie privée, ainsi que de l’état de l’art et des coûts liés à leur mise en œuvre, les mesures visées à l’article 22, paragraphe (1) doivent:

1. empêcher toute personne non autorisée d’accéder aux installations utilisées pour le traitement de données (contrôle à l’entrée des installations);

Art. 24. Secret professionnel

(1)

Les membres de la Commission nationale et toute personne qui exerce des fonctions auprès de la Commission nationale ou accomplit une mission pour son compte ainsi que le chargé de la protection des données sont soumis au respect du secret professionnel prévu à l’article 458 du Code pénal, même après la fin de leur fonction.

(2)

Le chargé de la protection des données agissant dans le cadre de l’accomplissement de ses missions, ne peut opposer à la Commission nationale le secret professionnel auquel il est soumis.

(3)

Le prestataire de service de certification ne peut opposer à la Commission nationale le secret professionnel auquel il est soumis conformément à l’article 19 de la loi du 14 août 2000 relative au commerce électronique.

(4)

Le responsable du traitement agissant dans le cadre de l’accomplissement de ses missions visées à l’article 7, paragraphe (1), ne peut opposer à la Commission nationale le secret professionnel auquel il est soumis lorsque celle-ci a été saisie conformément à l'article 32, paragraphes (4) et (5).

Art. 25. Sanctions relatives à la subordination et à la sécurité des traitements

Quiconque effectue un traitement en violation des règles relatives à la confidentialité ou à la sécurité visées aux articles 21, 22 et 23 est puni d’un emprisonnement de huit jours à six mois et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions des articles 21, 22 et 23 sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Chapitre VI. Droits de la personne concernée

Art. 26. Le droit à l’information de la personne concernée

(1)

Lorsque des données sont collectées directement auprès de la personne concernée, le responsable du traitement doit fournir à la personne concernée, au plus tard lors de la collecte et quels que soient les moyens et supports employés, les informations suivantes, sauf si la personne concernée en a déjà été informée:

les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées; le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse; l’existence d’un droit d’accès aux données la concernant et de rectification de ces données; la durée de conservation des données.

(2)

Lorsque les données n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit, dès l’enregistrement des données ou, si une communication de données à un tiers est envisagée, au plus tard lors de la première communication de données, fournir à la personne concernée, sauf si elle en est déjà informée, les informations suivantes:

les catégories de données concernées; les destinataires ou les catégories de destinataires des données auxquels les données sont susceptibles d’être communiquées; l’existence d’un droit d’accès aux données la concernant et de rectification de ces données; la durée de conservation des données.

(3)

Quiconque contrevient aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 27. Exceptions au droit à l’information de la personne concernée

(1)

L’article 26, paragraphes (1) et (2), ne s’applique pas lorsque le traitement est nécessaire pour sauvegarder:

(2)

Les dispositions de l’article 26 sont susceptibles de dérogations lors de la collecte de données dans les conditions prévues à l’article 9, paragraphe (1) lettre (c).

(3)

Les dispositions de l’article 26 paragraphes (1) et (2) ne s’appliquent pas lorsque, en particulier pour un traitement ayant une finalité statistique, historique ou scientifique, l’information de la personne concernée se révèle impossible ou implique des efforts disproportionnés ou si l’enregistrement ou la communication des données est prévu par la loi.

(4)

Quiconque contrevient aux dispositions des paragraphes (1) et (2) qui précèdent est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions des paragraphes (1) et (2) du présent article sous peine d'astreinte dont le maximum est fixé par ladite juridiction.

Art. 28. Droit d’accès

(1)

Sur demande à introduire auprès du responsable du traitement, la personne concernée ou ses ayants droit justifiant d'un intérêt légitime peuvent obtenir sans frais, à des intervalles raisonnables et sans délais excessifs:

(2)

Celui qui entrave sciemment par quelque moyen que ce soit, l’exercice du droit d’accès, sera puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

(3)

Le patient a un droit d’accès aux données le concernant. Le droit d'accès est exercé par le patient lui-même ou par l'intermédiaire d'un médecin qu'il désigne. En cas de décès du patient, son conjoint non séparé de corps et ses enfants ainsi que toute personne qui au moment du décès a vécu avec lui dans le ménage ou, s'il s'agit d'un mineur, ses père et mère, peuvent exercer, par l'intermédiaire d'un médecin qu'ils désignent, le droit d'accès dont question à l'alinéa qui précède.

Le droit d'accès du patient pourra encore être exercé, du vivant d'une personne placée sous le régime de la curatelle ou sous celui de la tutelle tel qu'il est organisé par la loi du 11 août 1982, par l'intermédiaire d'un médecin désigné par son curateur ou tuteur.

(4)

Toute personne a un droit d’accès aux données la concernant et utilisées aux fins d’un traitement mis en œuvre dans le cadre de la liberté d’expression tel que prévu à l’article 9. Aussi longtemps que les données auxquelles l’accès est demandé n’ont pas été publiées, la communication de ces données, ainsi que toute information disponible sur leur origine ne peut se faire que par l’intermédiaire de la Commission nationale.

(5)

Selon le cas, le responsable du traitement procédera à la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la présente loi, notamment en raison du caractère incomplet ou inexact des données, sous peine d'encourir dans les conditions de l'article 33 l'interdiction temporaire ou définitive du traitement ou la destruction des données.

(6)

Toute personne qui dans l’exercice de son droit d’accès a des raisons sérieuses d’admettre que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer la Commission nationale qui procède aux vérifications nécessaires.

(7)

Toute rectification, tout effacement ou verrouillage effectué conformément au paragraphe (5) sera notifié sans délai par le responsable du traitement aux destinataires auxquels les données ont été communiquées, à moins que cela ne s’avère impossible.

(8)

Sans préjudice de la sanction prévue au paragraphe (5), quiconque contrevient sciemment aux dispositions du présent article ou quiconque prend sciemment un nom ou prénom supposé ou une fausse qualité pour obtenir communication des données faisant l’objet d’un traitement en application du paragraphe (1), est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

Art. 29. Exceptions au droit d’accès

(1)

Le responsable du traitement peut limiter ou différer l’exercice du droit d’accès d’une personne concernée lorsqu’une telle mesure est nécessaire pour sauvegarder:

(2)

Au cas où il n’existe manifestement aucun risque d’atteinte à la vie privée d'une personne concernée, le responsable du traitement peut limiter le droit d'accès lorsque les données sont traitées exclusivement aux fins de recherche scientifique ou sont stockées sous la forme de données pendant une durée n'excédant pas celle nécessaire à la seule finalité d’établissement de statistiques et que ces données ne puissent être utilisées aux fins de prendre une mesure ou une décision se rapportant à des personnes précises.

(3)

Le responsable du traitement doit indiquer le motif pour lequel il limite ou diffère l’exercice du droit d’accès. Lorsque le droit d'accès est différé, le responsable du traitement doit indiquer la date à partir de laquelle le droit d’accès peut à nouveau être exercé. Le responsable du traitement notifiera le motif à la Commission nationale.

(4)

En cas de limitation de l’exercice du droit d’accès de la personne concernée, le droit d’accès est exercé par la Commission nationale qui dispose d’un pouvoir d’investigation en la matière et qui fait opérer la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente loi. La Commission nationale peut communiquer à la personne concernée le résultat de ses investigations, sans toutefois mettre en danger la ou les finalités des traitements en question.

(5)

Quiconque contrevient à la disposition du paragraphe (3) qui précède est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

Art. 30. Droit d’opposition de la personne concernée

(1)

Toute personne concernée a le droit:

(2)

Quiconque contrevient sciemment aux dispositions du présent article est puni d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement.

Art. 31. Décisions individuelles automatisées

Une personne peut être soumise à une décision individuelle automatisée produisant des effets juridiques à son égard, si cette décision:

1. est prise dans le cadre de la conclusion ou de l’exécution d’un contrat, à condition que la demande de conclusion ou d’exécution du contrat, introduite par la personne concernée, ait été satisfaite ou que des mesures appropriées, telle que la possibilité de faire valoir son point de vue, garantissent la sauvegarde de son intérêt légitime, ou

Chapitre VII. Contrôle et surveillance de l’application de la loi

Art. 32. Missions et pouvoirs de la Commission nationale

(1)

Il est institué une autorité de contrôle dénommée "Commission nationale pour la protection des données" chargée de contrôler et de vérifier si les données soumises à un traitement sont traitées en conformité avec les dispositions de la présente loi et de ses règlements d’exécution.

(2)

Tous les ans, la Commission nationale rend compte, dans son rapport écrit aux membres du Gouvernement en conseil, de l’exécution de ses missions. Dans ce rapport, elle relève plus particulièrement l'état des notifications et des autorisations, les déficiences ou abus qui ne sont pas spécifiquement visés par les dispositions légales, réglementaires et administratives existantes. Elle publiera son rapport annuel. Le rapport est avisé par la commission consultative des droits de l'homme, organe consultatif du gouvernement en matière de droits de l'homme sur le territoire du Grand-Duché de Luxembourg dont la composition et les attributions sont déterminées par règlement grand-ducal.

(3)

Les missions de la Commission nationale sont les suivantes: