Données et confidentialité · Luxembourg
Données et confidentialité — Luxembourg (2026)
Le Luxembourg dispose d’un régime complet de protection des données fondé sur le RGPD de l’UE, directement applicable, complété au niveau national par la loi du 1er août 2018, qui a créé et organise l’autorité de contrôle (CNPD) et fixe les spécifications nationales. Une loi complémentaire du 1er août 2018 transpose la directive européenne relative à la coopération en matière répressive (2016/680) concernant le traitement des données à des fins pénales et de sécurité nationale. La CNPD est une autorité de contrôle active, qui a rendu des décisions notables, notamment l'amende de 746 millions d'euros infligée à Amazon (aujourd'hui annulée et renvoyée).
Cadre principalRèglement général sur la protection des données de l’Union européenne (règlement (UE) 2016/679, RGPD), transposé au niveau national par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données (CNPD) et établissant le cadre général de la protection des données ; soumis au contrôle de la CNPD.
Points clés
La protection des données à caractère personnel est régie par le RGPD de l'UE (règlement (UE) 2016/679), directement applicable et en vigueur depuis le 25 mai 2018, qui s'applique à tous les secteurs.
La loi du 1er août 2018 régit la CNPD et transpose le RGPD au niveau national, abrogeant ainsi la loi antérieure du 2 août 2002. Elle a été publiée au Mémorial le 16 août 2018.
La Commission nationale pour la protection des données (CNPD) est l'autorité nationale de contrôle indépendante chargée de surveiller et de faire respecter la législation relative à la protection des données au Luxembourg.
Une loi distincte du 1er août 2018 transpose la directive européenne 2016/680 relative au traitement des données à caractère personnel par les autorités compétentes en matière pénale et de sécurité nationale.
En 2025, la CNPD a prononcé 7 mesures correctives, dont 6 amendes (allant de 1 277 à 175 000 euros), portant principalement sur la tenue des registres des activités de traitement et la conformité de la vidéosurveillance au RGPD.
Le 12 mars 2026, la Cour d'appel administrative a annulé l'amende record de 746 millions d'euros infligée par la CNPD à Amazon au titre du RGPD, mais a confirmé la plupart des conclusions de la CNPD et a renvoyé l'affaire pour réexamen à la lumière de la jurisprudence actualisée de la CJUE.
Cette page est une traduction fournie à titre indicatif ; la version anglaise fait foi et ne constitue pas un avis juridique.