Les courtiers en données sous contrôle : Le Luxembourg se prépare à de nouvelles réglementations numériques

En réponse à une enquête parlementaire menée par les députés Ben Polidori et Franz Fayot, le gouvernement luxembourgeois a confirmé que les activités des "courtiers en données" - intermédiaires dans le commerce et l'agrégation de données personnelles - ne sont pas encore réglementées par une législation spécifique. Le pays ne dispose pas d'une cartographie de ces activités et les dispositions générales du règlement général sur la protection des données (RGPD) sont actuellement applicables.

Toutes les entreprises qui traitent des données à caractère personnel - y compris les courtiers en données - sont tenues de respecter les principes de transparence, de licéité et de limitation des finalités du traitement des données, comme le prévoit le GDPR. Ces règles sont complétées par les dispositions de la loi du 1er août 2018 relative à la Commission nationale de protection des données et du règlement national de protection des données.

Le respect du GDPR est contrôlé par la Commission de protection des données (CNPD), qui dispose de pouvoirs d'inspection et de sanction. Les citoyens peuvent exercer leurs droits d'accès, de rectification et de suppression des données et, le cas échéant, déposer une plainte auprès de la CNPD en cas de violation de leurs droits.

Dans le cadre des initiatives européennes sur la souveraineté numérique, le Luxembourg se prépare à mettre en œuvre le règlement (UE) 2022/868 sur la "gouvernance des données". Le projet de loi n° 8395 est déjà en préparation. Il prévoit la création d'une procédure de notification spéciale pour les fournisseurs de services d'échange de données, la CNPD étant désignée comme l'autorité compétente pour contrôler le respect des exigences du chapitre III du règlement.

La CNPD sera également chargée de contrôler et de traiter les plaintes des personnes physiques et morales concernant les actions des intermédiaires de partage de données.