Source: http://memorial.lu/eli/etat/leg/loi/2018/08/01/a689/jo
Timestamp: 2019-04-22 18:26:49+00:00
Document Index: 224641764

Matched Legal Cases: ["l'article 1", "l'article 1", "l'article 1", "l'article 1", "l'article 9", "l'article 12", "l'article 14", "l'article 15", "l'article 14", "l'article 29", "l'article 12", "l'article 34", "l'article 2", "l'article 2", "l'article 2", "l'article 5", "l'article 24"]

Loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et portant modification1° de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ;2° de la loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (Convention Europol), signée à Bruxelles, le 26 juillet 1995 ;3° de la loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; - de l'Accord relatif à l'application provisoire entre certains États membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; 4° de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ;5° de la loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l’État ;6° de la loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle ;7° de la loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d’hébergement ;8° de la loi modifiée du 29 mars 2013 relative à l’organisation du casier judiciaire ;9° de la loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière ;10° de la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés ;11° de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ;12° de la loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État ;13° de la loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière ;14° de la loi du 18 juillet 2018 sur la Police grand-ducale ; et15° de la loi du 18 juillet 2018 sur l’Inspection générale de la Police. - Legilux
Mémorial : A689
Sujets secondaires : Europol, empreinte génétique, protection, accès au traitement de données à caractère personnel, entraide judiciaire, Centre socio-éducatif de l'État, échange automatique de données, enquête, casier judiciaire, Service de Renseignement de l'État
Intitulé court : Loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
Permalink ELI : http://data.legilux.public.lu/eli/etat/leg/loi/2018/08/01/a689/jo
Pour l’application de la présente loi, lorsque les notions utilisées ne sont pas définies au paragraphe 1 er, les définitions de l’article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après désigné comme « le règlement (UE) n° 2016/679 », sont applicables.
Les traitements effectués, par le même ou par un autre responsable du traitement, pour l'une des finalités énoncées à l'article 1 er autre que celles pour lesquelles les données ont été collectées, sont autorisés s’ils sont nécessaires et proportionnés à cette finalité, sous réserve du respect des dispositions prévues par le présent chapitre et par les chapitres IV et V.
Ces traitements, par le même ou par un autre responsable du traitement, peuvent comprendre l'archivage dans l'intérêt public, à des fins scientifiques, statistiques ou historiques, pour l’une des finalités énoncées à l'article 1 er.
Le responsable du traitement est responsable du respect des paragraphes 1 er, 2 et 3 et est en mesure de démontrer que ces dispositions sont respectées.
Le traitement n'est licite que si et dans la mesure où il est nécessaire à l'exécution des missions de l’autorité compétente définie à l’article 2, paragraphe 1 er, point 7°, pour une des finalités énoncées à l’article 1 er et lorsque cette mission est effectuée en application de dispositions législatives régissant l’autorité compétente visée.
Les données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article 1 er ne peuvent être traitées à des fins autres que celles y énoncées, à moins qu’un tel traitement ne soit autorisé par le droit de l’Union européenne ou par une disposition du droit luxembourgeois. Dans ce cas, le traitement de ces données est effectué conformément aux dispositions du règlement (UE) n° 2016/679 ou de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.
Lorsque des autorités compétentes sont chargées d'exécuter des missions autres que celles énoncées à l'article 1 er, le règlement (UE) n° 2016/679 ou, le cas échéant, la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données s'appliquent au traitement des données effectué à de telles fins, y compris à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques.
Les décisions visées au paragraphe 1 er ne sont pas fondées sur les catégories particulières de données à caractère personnel visées à l'article 9, à moins que des mesures appropriées pour la sauvegarde des droits et des libertés et des intérêts légitimes de la personne concernée ne soient en place.
- Droits de la personne concernée
En plus des informations visées au paragraphe 1 er, le responsable du traitement fournit à la personne concernée, dans des cas particuliers, les informations additionnelles suivantes afin de lui permettre d'exercer ses droits :
Dans les cas visés au paragraphe 1 er, le responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d'accès, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au paragraphe 1 er. Le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l’autorité de contrôle compétente ou de former un recours juridictionnel.
Dans les cas visés à l'article 12, paragraphe 3, à l'article 14, paragraphe 1 er, et à l'article 15, paragraphe 4, les droits de la personne concernée peuvent être exercés par l'intermédiaire de l'autorité de contrôle compétente.
Le responsable du traitement informe la personne concernée de la possibilité qu'elle a d'exercer ses droits par l'intermédiaire de l'autorité de contrôle compétente en application du paragraphe 1 er.
Lorsque le droit visé au paragraphe 1 er est exercé, l'autorité de contrôle compétente informe au moins la personne concernée du fait qu'elle a procédé à toutes les vérifications nécessaires ou à un examen. L'autorité de contrôle informe également la personne concernée de son droit de former un recours juridictionnel.
- Responsable du traitement et sous-traitant
- Obligations générales
Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1 er comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement.
Compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant lors de la détermination des moyens du traitement que lors du traitement proprement dit, des mesures techniques et organisationnelles appropriées , telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires, afin de répondre aux exigences de la présente loi et de protéger les droits des personnes concernées.
Indépendamment des termes de l'accord visé au paragraphe 1 er, la personne concernée peut exercer les droits que lui confère la présente loi à l'égard de et contre chacun des responsables du traitement.
L'analyse visée au paragraphe 1 er contient au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect de la loi, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées.
L'autorité de contrôle peut établir une liste des opérations de traitement devant faire l'objet d'une consultation préalable conformément au paragraphe 1 er.
Lorsque l'autorité de contrôle compétente est d'avis que le traitement prévu visé au paragraphe 1 er constituerait une violation de la présente loi, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle compétente fournit par écrit, dans un délai maximum de six semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement, et le cas échéant au sous-traitant, et elle peut faire usage des pouvoirs visés à l'article 14 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ou à l’article 43 de la présente loi, en fonction de l’autorité de contrôle compétente. Ce délai peut être prolongé d'un mois, en fonction de la complexité du traitement prévu. L'autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de toute prorogation dans un délai d'un mois à compter de la réception de la demande de consultation, ainsi que des motifs du retard.
Le responsable du traitement documente toute violation de données à caractère personnel visée au paragraphe 1 er en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier, afin que la documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article.
La communication à la personne concernée visée au paragraphe 1 er décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et les mesures visées à l'article 29, paragraphe 3, lettres b), c) et d).
La communication à la personne concernée visée au paragraphe 1 er n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie :
La communication à la personne concernée visée au paragraphe 1 er peut être retardée, limitée ou omise, sous réserve des conditions et pour les motifs visés à l'article 12, paragraphe 3.
- Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales
Les transferts effectués sans l'autorisation préalable d'un autre État membre prévue au paragraphe 1 er, lettre c), sont autorisés uniquement lorsque le transfert de données à caractère personnel est nécessaire aux fins de la prévention d'une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers ou pour les intérêts essentiels d'un État membre et si l'autorisation préalable ne peut pas être obtenue en temps utile. L'autorité à laquelle il revient d'accorder l'autorisation préalable est informée sans retard.
Le responsable du traitement informe l'autorité de contrôle compétente des catégories de transferts relevant du paragraphe 1 er, lettre b).
Lorsqu'un transfert est effectué sur la base du paragraphe 1 er, lettre b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle compétente, sur demande, et comporte la date et l'heure du transfert, des informations sur l'autorité compétente destinataire, la justification du transfert et les données à caractère personnel transférées.
Les données à caractère personnel ne sont pas transférées si l'autorité compétente qui transfère les données estime que les libertés et droits fondamentaux de la personne concernée l'emportent sur l'intérêt public dans le cadre du transfert visé au paragraphe 1 er, lettres d) et e).
Lorsqu'un transfert est effectué sur la base du paragraphe 1 er, lettre b), ce transfert est documenté et la documentation est mise à la disposition de l'autorité de contrôle, sur demande, et indique la date et l'heure du transfert, donne des informations sur l'autorité compétente destinataire, indique la justification du transfert et les données à caractère personnel transférées.
Par dérogation à l'article 34, paragraphe 1 er, lettre b), et sans préjudice de tout accord international visé au paragraphe 2, les autorités compétentes au sens de l'article 2, point 7), lettre a), peuvent, dans certains cas particuliers, transférer des données à caractère personnel directement aux destinataires établis dans des pays tiers, uniquement lorsque les autres dispositions de la présente loi sont respectées et que toutes les conditions ci-après sont remplies :
Par accord international visé au paragraphe 1 er, on entend tout accord international bilatéral ou multilatéral en vigueur entre le Grand-Duché de Luxembourg et des pays tiers dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière.
Lorsqu'un transfert est effectué sur la base du paragraphe 1 er, ce transfert est documenté.
- Autorités de contrôle indépendantes
- Autorité de contrôle administrative
- Autorité de contrôle judiciaire
Par dérogation à l’article 39, les opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles, que ce soit pour les finalités visées à l’article 1 er de la présente loi ou pour celles visées par le règlement (UE) n° 2016/679, sont soumises au contrôle de l’autorité de contrôle judiciaire.
- Voies de recours, responsabilité et sanctions
Par dérogation au paragraphe 1 er, les réclamations contre des opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles sont traitées comme incident de procédure devant la juridiction qui est compétente pour statuer sur le litige auquel la personne concernée est partie, conformément aux dispositions procédurales applicables au litige concerné.
Contre les décisions prises par la Commission nationale pour la protection des données sur base de l’article 44, paragraphe 1 er, et contre les décisions prises par l’autorité de contrôle judiciaire sur base de l’article 44, paragraphe 3, lorsque le traitement de données à caractère personnel visé par la réclamation relève du champ d’application du règlement (UE) n° 2016/679, la personne concernée peut introduire un recours devant le tribunal administratif qui statue comme juge du fond.
Afin de pouvoir représenter valablement la personne concernée, et sous peine d’irrecevabilité de la réclamation ou du recours, la personne morale visée au paragraphe 1 er doit remplir les conditions suivantes :
Un profil d'ADN établi est à considérer comme donnée à caractère personnel, au sens de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, à partir du moment où le code alphanumérique de l'analyse d'ADN a été associé à une information relative à la personne physique en cause permettant de l'identifier.
Toute personne concernée a le droit d'obtenir des informations sur les données à caractère personnel transmises dans le cadre de la présente loi, y compris la date de la demande et l'autorité compétente de l'État membre de l'infraction, conformément aux articles 11 à 17 de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
Le SRE procède au traitement de données à caractère personnel qui sont nécessaires à l'accomplissement de ses missions légales qui est effectué conformément aux dispositions de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
Pendant l'exercice de la mission des experts, le directeur du Service de renseignement de l'État est le responsable du traitement des données au sens de l'article 2, point 8), de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, et les Archives nationales sont considérées comme sous-traitant du Service de renseignement de l'État au sens de l'article 2, point 9), de la même loi.
L’accès d’une personne concernée à des données la concernant pendant l'exercice de la mission des experts s’effectue conformément aux dispositions des articles 13, 14 et 16 de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
Des données à caractère personnel, constatées au cours de la mission des experts et couvrant des personnes qui ont déjà introduit une demande d'accès, sont communiquées à la personne concernée conformément aux dispositions visées au paragraphe 1 er.
Dans l'exercice de leur mission, les experts disposent d'un accès intégral aux banques de données historiques du Service de renseignement de l'État ainsi qu'un accès aux données à caractère personnel et traitent ces données conformément au principe de légitimité au sens de l'article 5, paragraphe 1 er, lettre b), du règlement (UE) n° 2016/679.
Les données et informations transmises à l’administration de l’État concernée font partie du traitement des données à caractère personnel dont l’administration ou son représentant est le responsable du traitement au sens de l’article 4, point 7), du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). La Commission nationale pour la protection des données est compétente pour vérifier l’application des dispositions du règlement précité et de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.
L’autorité de contrôle prévue à l’article 2, paragraphe 1 er, point 15), lettre a), de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale contrôle et surveille le respect des conditions d’accès prévues par le présent article. Le rapport à transmettre au ministre ayant la Protection des données dans ses attributions, en exécution de l’article 10 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, contient une partie spécifique ayant trait à l’exécution de sa mission de contrôle exercée au titre du présent article.
- Dispositions transitoires, mise en conformité et intitulé de citation
Par dérogation au paragraphe 1 er, et dans des circonstances exceptionnelles, un système donné de traitement de données à caractère personnel automatisé visé au paragraphe 1 er peut être mis en conformité avec l'article 24 jusqu’à une date butoir à déterminer par une décision du Gouvernement en conseil et située après le 6 mai 2023 lorsque, à défaut de cela, de graves difficultés se posent pour le fonctionnement du système de traitement automatisé en question. La date butoir ne peut être fixée au-delà du 6 mai 2026.
Autorité de contrôle judiciaire - Nomination. (Mémorial B n° 224 de 2019)
Arrêté ministériel du 1er octobre 2018 portant nomination des membres de l’autorité de contrôle judiciaire. (Mémorial B n° 2751 de 2018)
Convention entre la Caisse nationale de santé et l’Association nationale des diététiciens du Luxembourg, conclue (...) (Mémorial A n° 1132 de 2018)
Mémorial A n° 689 de 2018
Loi du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière (...) (Mémorial A n° 250 de 2014)
Loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement. (Mémorial A n° 94 de 2008)
Loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat. (Mémorial A n° 130 de 2004)
Loi du 20 décembre 2002 portant approbation
- de la Convention établie sur base de l'article K.3 du Traité (...) (Mémorial A n° 160 de 2002)
Loi du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne (...) (Mémorial A n° 42 de 1998)
Projet de loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère (...)