Projet de loi relative — au contrôle de l'exportation, du transfert, du transit et de l'importation des biens de nature strictement civile, des produi

(3)lettre (e) de la 101 modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de méme quesur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier du 11 juillet 2014, Monsieur le Ministre de l'Economie a invité la Commission nationale à se prononcer au sujet du projet de loi n°6708 relative au contrôle de l'exportation, du transfert, du transit et de l'importation des biens cle nature strictement civile, des produits liés à la défense et des biens à double usage ; au courtage et à l'assistanee technique ; au transfert intangible de technologie ; à la mise en ceuvre de résolutions du Conseil de sécurité des Nations unies et d'actes adoptés par l'Union européenne comportant des mesures restrictives en matière commerciale à l'encontre de certains Etats, régimes politiques, personnes, entités et groupes (ci-après : « projet de loi ») ainsi que sur le projet de règlement grand-ducal portant exécution de la présente loi relative au contrôle des exportations. Suivant l'exposé des motifs, le projet de loi « s'inscrit dans une logique de simplification administrative et de codification réformatrice dans le domaine du contrôle de l'exportation, de l'importation et de transit des marchandises et de certains biens dits sensibles ». L'article 37 paragraphe

(3)du projet de loi prévoit que le traitement, par l'Office du contrôle des exportations, importations et du transit, des données à caractère personnel collectées dans le cadre de ses missions, est mis en ceuvre par voie de règlement grand-ducal tel aue prévu par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. La Cornmission nationale se pose la question de savoir sur quelle base légale exacte de la loi modifiée du 2 août 2002, le législateur entend justifier la nécessité de recourir à un règlement grand-ducal pour encadrer les traitements effectués par l'Office du contrôle des exportations, importations et du transit (ci-après « l'Office »). La Commission nationale s'interroge dès lors de savoir si le législateur entend prévoir un règlement grand-ducal sur base de l'artiele 17 de la loi précitée en raison de la nature Avis de la Commission nationale oour la orotection des données relatif au projet de loi N°6708 relative au contrôle de i'exportation, du transfert, du transit et de l'importation des biens de nature strictement civile, des produits liés à la défense et des biens à double usage ; au courtage et à l'assistance technique ; au transfert intangible de technologie ; à la mise en ceuvre de résolutions du Conseil de sécurité des Nations unies et d'actes adoptés par l'Union européenne cornportant des mesures restrictives en rnatière commerciale à l'encontre de certains Etats, régimes politiques, personnes, entités et groupes ainsi que sur re projet de règlement grandducal portant exécution de ia présente loi relative au contrôle des exportations 114 particulière des produits visés par les opérations d'exportations, cl'importations et du transit, à savoir des produits liés à la défense. En effet, l'article 17 de la loi modifiée du 2 août 2002 dispose que les traitements relatifs à la sûreté de l'Etat à la défense et à la sécurité publique font l'objet d'un règlement grand-ducal. En raison de l'absence de précisions dans le projet de règlernent grand-ducal quant aux traitements de données effectuées, la Commission nationale n'est, à ce stade, pas en mesure d'apporter un avis éclairé ni sur le contenu du projet de loi lui-même, ni sur le projet de règlement grand-ducal portant exécution. De ce fait, la Commission nationale se limite à quelques observations et plus spécifiquement â l'article 37 du projet de loi qui dispose que : «

(1)L'Office du contrôle des exportations, importations et du transit est habilité à donner accès aux documents conservés dans le cadre de l'exercice de ses attributions à toute administration nationale et internationale, et aux services externes dûment commis par ces dernières pour autant qu'un tel accès soit nécessaire afin de permettre au Grand-Duché de Luxembourg de remplir ses engagements internationaux.

(2)L'Office du contrôle des exportations, importations et du transit est habilité à correspondre avec la Commission européenne et les autres instances d'organisations intergouvernementales auxquelles le Grand-Duché de Luxembourg a adhéré, pour tout ce qui a trait aux attributions de l'office du contrôle des exportations, importations et du transit telles que déterminées par la présente loi et aux engagements du Luxembourg vis-à-vis de ces organisations. L'Office du contrôle des exportations, importations et du transit est autorisé à consulter, traiter et utiliser les données figurant dans les bases de données constituées dans le cadre de l'Union européenne et des régimes, organismes et traités internationaux de contrôle des exportations tels que définis dans la proposition 2000/401/PESC du Conseil du 22 juin 2000 relative au contrôle de l'assistance technique liée à certaines destinations finales militaires.

(3)Le traitement, par l'Office du contrôle des exportations, importations et du transit, des données à caractère personnel collectées dans le cadre de ses missions, est mis en ceuvre par voie de règlement grand-ducal tel que prévu par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. » La Commission nationale attire l'attention des auteurs du projet de loi et du règlement grandducal que la loi modifiée du 2 août 2002 s'applique exclusivement aux données à caractère personnel qui concernent des personnes ohysioues identifiées ou identifiables ; une personne physique est réputée identifiable si elle peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économiquel. Par conséquent, les traitements de données concernant exclusivement des personnes morales ne tombent pas dans le champ d'application de la présente loi. Autrement dit, la loi modifiée du 2 août 2002 s'applique uniquement aux traitements effectués par l'Office qui comprennent des données relatives à des personnes physiques. La Commission nationale souhaite également attirer l'attention des auteurs du projet de loi et du règlement grand-ducal sur l'arrêt de la Cour constitutionnelle du 29 novembre 2013, selon lequel l'essentiel du cadrage nonnatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des I Article 2 lettre (e) de la loi modifiée du 2 août 2002 Avis de la Commission nationale pour la protection des données relatif au projet de loi N°6708 relative au contróle de l'exportation, du transfert, du transit et de l'importation des Diens de nature strictement cvile, des produits liés à la défense et des biens à doubte usage ; au courtage et à l'assistance technique ; au transfert intangible de technologie ; à la rnise en ceuvre de résolutions du Conseit de sécurité des Nations unies et d'actes adoptés parl'Union européenne comportant des mesures restrictives en matière cornmerciale à rencontre de certains Etats, régimes politiques, personnes, entités et groupes ainsi que sur le projet de regiernent grandducal portant exécution de la présente toi relative au contrõle des exportations 2/4 règlements »2. La CNPD se réfère également à un récent avis du Conseil d'Etat selon lequel « dans les matières réservées à la loi formelle, l'exercice du pouvoir réglernentaire par le GrandDuc est subordonné à l'existence d'une disposition législative spécifiant les fins, les conditions et les modalités dans lesquelles un règlement grand-ducal peut ètre pris »3. La Commission nationale estime dès lors que le projet de loi devrait préciser d'une part, qui est le responsable de traitement et d'autre part, quelles sont les finalités des traitements. Quant au responsable du traitement, il ressort de l'article 36, paragraphe

(2)du projet de loi que l'Office est placé sous l'autorité d'un membre du gouvernement qui en assume la responsabilité administrative et politique. Les autorisations pour les opérations portant sur des biens de nature strictement civile, sur les produits liés à la défense, sur les biens susceptibles d'être utilisés en vue d'infliger la peine capitale, la torture ou d'autres peines ou traitements cruels, inhumains ou dégradants, sur les biens à double usage et quant au transfert intangible de technologie sont délivrées par le ministre ayant le Commerce extérieur dans ses attributions. Par conséquent, il y a lieu de considérer le ministre ayant le Commerce extérieur dans ses attributions comme responsable du traitement au sens de l'article 2 lettre (n) de la loi modifiée du 2 août 2002. Quant aux finalités du traitement, la Commission nationale estime que celles-ci auraient dû être précisées d'ores et déjà dans le projet de loi. L'article 4 paragraphe

(1)de la loi modifiée du 2 août 2002 dispose que les-données doivent être collectées pour des finalités déterminées, exalicites et légitimes, et qu'elles ne doivent pas être traitées ultérieurement de manière incompatible avec ces finalités. En vertu du principe de finalité, les données à caractère personnel ne peuvent être traitées qu'en vue d'une ou de plusieurs finalités légitimes, ce qui implique qu'il doit toujours y avoir une raison concrète pour laquelle les données à caractère personnel seront traitées, et que cette raison doit être établie précisément avant le début du traitement. Ce principe est un des principes de base de la protection des données. Par conséquent, la CNPD estime que les termes « collectées dans le cadre de ses missions » repris à l'article 37 paragraphe

(3)du projet de loi définissent de manière trop vague les finalités du traitement. Ainsi, afin d'apporter une meilleure visibilité aux finalités des traitements de données, il y aurait lieu de définir limitativement au sein du projet de loi, les finalités exactes qui justifient la collecte des données à caractère personnel. Par ailleurs, l'article 37 paragraphe

(1)du projet de loi définit de manière trop vague les catégories de destinataires auxquelles les données peuvent être communiquées. Le Conseil d'Etat dans son récent avis du 7 juin 2016 précise également que « la loi doit indiquer les bases de données auxquelles une autorité publique peut avoir accès ou dont une autorité publique peut se faire communiquer des données, tout comme les finalités de cet accès ou de cette communication »

1. La Commission nationale estime qu'il aurait été préférable de définir de manière plus précise les différentes administrations nationales et internationales et services externes dûment habilités à accéder aux données et que le règlement grand-ducal aurait pu définir les différentes catégories de données auxquelles chaque destinataire aurait droit d'accéder. Enfin, comme le mentionne l'exposé des motifs du projet de règlement grand-ducal nous soumis ensemble avec le projet de loi relative au contrôle des exportations, un règlement grand-ducal devra être ultérieurement pris, en raison de la considération nécessaire de circonstances non Cour constitutionnelle, arrêt 108/13 du 29 novembre 2013 (Mém. A n°217 du 13 décembre 2013, p.3886) Avis du Conseil d'Etat du 9 décembre 2014 à l'égard du projet de loi 6588 portant organisation du secteur des services de taxis et modification du code de la consommation, p.11 (article 5). Voir aussi p.19 (article 20) Avis du Conseil d'Etat du 7 juin 2016 à l'égard du projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière cle l'Etat pour études supérieures, p.5 (article 11). Avis de la Commission nationale pour la protection des données relatif au projet de loi N*6708 relative au contrôle de rexportation, du transfert, du transit et de l'importation des biens de nature strictement civile, des produits liés à la défense et des biens à double usage au courtage et à l'assistance technique ; au transfert intangible de technologie ; à la mise en ceuvre de résolutions du Conseil de sécurité des Nations unies et d'actes adoptés par l'Union européenne comportant des mesures restrictives en matière commerciale à l'encontre de certains Etats, régimes politiques, personnes, entités et groupes ainsi que sur le projet de réglement grandducal portant exécution de la présente loi retative au contrôle des exportations 3/4 encore connues à ce jour ou d'autres motifs, pour les traitements de données à caractère personnel collectées par l'Office du contrôle des exportations, irnportations et du transit (ciaprès « l'Office »). Etant donné qu'un tel projet de règlement grand-ducal fait actuellement défaut, la CNPD n'est pas en mesure de formuler d'autres observations. Ainsi décidé à Esch-sur-Alzette en date du 6 juillet
2. La Commission nationale pour la protection des données (f Tine A. Larsen Président Thierry Lallernang Mernbre effectif Georges Wantz Membre e fectif Avis de 1a Commission nationale pour la protection des données relatif au projet de loi N°6708 relative au contrôle de l'exportation, du transfert, du transit et de l'importation des biens de nature strictement civite, des produits liés à ta défense et des biens à double usage ; au courtage et à l'assistance technique ; au transfert intangible de technologie ; à la mise en ceuvre de résolutions du Conseil de sécurité des Nations unies et d'actes adoptés par l'Union européenne comportant des mesures restrictives en matière commerciale à l'encontre de certains Etats, régimes politiques, personnes, entités et groupes ainsi que sur le projet de règlement grandducal portant exécution de la présente 101 relative au contrôle des exportations 4/4