Projet de loi relative à une administration transparente et ouverte. 2. Loi du 23 mai 2016 modifiant la loi du 4 décembre 2007 sur la réutilisation de

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 » ou « la loi »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier en date du 15 juin 2015, Monsieur le Ministre des Communications et des Médias a invité la Commission nationale à se prononcer sur le projet de loi n° 6811 modifiant la loi du 4 décembre 2007 sur la réutilisation des informations du secteur public (ci-après « le projet de loi n° 6811 »). Le projet de loi n° 6811 a pour objectif de transposer en droit national la directive 2013/37/UE concernant la réutilisation des informations du secteur public, adoptée le 26 juin 2013 et modifiant la directive 2003/98/CE du 17 novembre 2003 qui a le même objet. Cette première directive de 2003, également dénommée « Directive ISP 1 », avait été transposée en droit luxembourgeois par la loi du 4 décembre 2007 sur la réutilisation des informations du secteur public. La directive 2013/37/UE (ci-après « directive ISP II vise à encourager et à faciliter la réutilisation des informations de nature diverses détenues par le secteur public, qui constituent une source de croissance importante de l'économie numérique et une valeur ajoutée potentiellement forte pour les services offerts aux citoyens et aux entreprises. Elle aura pour effet d'engager le Luxembourg plus avant dans une logique d'ouverture et de partage des informations détenues par les organismes du secteur public. II ressort du considérant n° 8 de la directive ISP II que le but poursuivi est d' imposer aux Etats rnembres une obligation claire de rendre tous les documents réutilisables, à moins que des règles nationales relatives à l'accès aux documents ne limitent ou n'excluent cet accès et sous réserve des autres exceptions prévues par la présente directive ». L'exposé des motifs du projet de loi n° 6811 précise par ailleurs que « le projet de loi ne tend pas à définir, élargir ou modifier les règles d'accès aux informations détenues par le secteur public, mais se greffe sur les dispositions existantes en matière d'accès et se limite à fixer les conditions de leur réutilisation ». Sans créer d'obligation d'autoriser la réutilisation de documents, le projet de loi n° 6811 vise à faciliter la réutilisation des informations du secteur public accessibles en vertu du droit national, CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public La Commission nationale relève un lien certain entre le projet de loi n° 6811 et le projet de loi n° 6810 relative à une administration transparente et ouverte (ci-après « le projet de loi n° 6810 ») qui ont fait l'objet d'un dépôt simultané à la Chambre des députés, le 5 mai

1. En effet, ces deux projets de lois convergent vers un double objectif de transparence et d'ouverture de l'administration. Elle note que le Conseil d'Etat a souligné dans son avis n° 6811/03 du 24 novembre 2015, à propos des projets de lois n° 6810 et 6811 que « ces deux projets de lois n'ont manifestement fait l'objet d'aucune coordination préalable. Les deux textes accusent en effet des divergences de terminologie et de champ d'application importantes ». La Commission nationale observe que l'environnement légal et réglementaire, ainsi que les pratiques administratives en matière d'accès aux informations du secteur public sont appelés à évoluer profondément avec l'entrée en vigueur des projets de lois n° 6810 et
2. Le Gouvernement entend en effet moderniser l'Etat luxembourgeois, notamment à travers l'initiative Digital Lètzebuerg, en le dotant d'une administration numérique performante, transparente et ouverte. La Commission nationale ne peut que souscrire aux objectifs poursuivis par les deux initiatives législatives précitées, qui concourent toutes deux à rendre plus effectif le droit pour les citoyens de s'informer des affaires publiques. Aux termes des évolutions que les deux projets de textes introduiront en droit luxembourgeois, les citoyens seront en effet plus à même de suivre, de comprendre et de contrôler l'activité de l'administration. La Commission nationale observe que ce mouvement tend en outre à instaurer une confiance accrue et à améliorer la qualité des relations entre l'administration et les citoyens. Dans le même temps, elle se soucie de parvenir à la définition d'un cadre juridique où l'accès aux documents administratifs, la réutilisation des données publiques et la protection de la vie privée et des données à caractère personnel trouvent un équilibre. 11 lui importe que la protection des données contribue à construire un cadre juridique solide et exigeant pour une meilleure transparence de l'action publique. Au vu des éléments qui précèdent et compte tenu de la complémentarité des deux projets de lois et de leurs objectifs communs, la Commission nationale a estimé utile de les examiner conjointement dans le cadre du présent avis. Sur le proiet de loi n° 6810 relative à une administration transparente et ouverte l. Le projet de loi n° 6810 a pour objectif de définir un cadre pour la mise en ceuvre d'une politique d'ouverture aux citoyens des documents qui sont détenus par les administrations et services de l'Etat, les communes, les établissements publics placés sous leur tutelle ainsi que les personnes morales fournissant des services publics, dans la mesure où les documents correspondent à une activité administrative1 . Ce projet de loi traduit la partie du programme gouvernemental dédiée au développement d'une administration transparente et ouverte. ' Exposé des motifs du projet de loi n° 6810 relatif à une administration transparente et ouverte, spéc. p.
3. CNPD 1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 2/14 A. Sur l'objet du projet de loi n° 6810 L'article 1 paragraphe

(1)du projet de loi n° 6810 dispose que « les documents accessibles en vertu de la présente loi sont d'office rendus publics et diffusés auprès du public ». Sans définir expressément la notion de « document accessible », le projet de loi n° 6810 dresse, en son article 4, une liste limitative de restrictions à l'accessibilité et à la communicabilité des documents. L'article 1." paragraphe

(2)du projet de loi instaure quant à lui un droit d'accès général aux documents détenus par l'administration, dans la mesure où ce droit concerne les documents détenus par les administrations et services de l'Etat, les communes, les établissements publics placés sous leur tutelle, ainsi que les personnes morales fournissant des services publics, dès lors que les documents correspondent à une activité administrative. II concerne en outre les documents détenus par la Chambre des Députés, le Conseil d'Etat, le Médiateur et la Cour des comptes. II ressort de la lecture combinée des paragraphes

(1)et

(2)de l'article 1 précité que la notion de « document accessible » au sens du projet de loi est particulièrement large. Elle s'étend en effet à tout type de document détenu par une administration. Le commentaire des articles précise toutefois, s'agissant de l'article 1 du projet de loi n° 6810, que les documents visés sont ceux « qui revêtent un caractère administratif » et qui se « rapportent donc à la gestion d'une activité administrative ». Le commentaire de cet article précise en outre que « les documents étrangers à la gestion administrative d'un service public et que Padministration ou une personne morale est venue à détenir dans le cadre de ces activités ne sont pas accessibles. Ainsi, les documents qui se rapportent à la gestion d'une activité industrielle et commerciale exercée, par exemple, par un établissement public à caractère industriel et commercial tel qu'il est défini par l'instruction du Gouvernement en Conseil du 1.1 juin 2004 sur la ligne de conduite et les règles générales en matière de création d'établissements publics ne sont pas accessibles ». En dépit des précisions apportées dans le commentaire des articles, la Commission nationale estime que la notion de « document accessible » pourrait être encore clarifiée à l'article ler du projet de loi n° 6810, afin de mieux circonscrire le périmètre de l'accessibilité des documents détenus par l'administration. La Commission nationale est d'autant plus attentive à l'impact et au champ d'application du projet de loi n° 6810 que son exposé des motifs traduit la volonté du Gouvernement de proposer un cadre moins restrictif concernant l'accès aux documents administratifs que celui que prévoyait le projet de loi n° 6540 relative à l'accès des citoyens aux documents détenus par l'administration (déposé le 5 février 2013). La Commission nationale note à cet égard que le Gouvernement a retiré du rôle de la Chambre des Députés le projet de loi n° 6540 précité. La Commission nationale constate que le projet de loi n° 6810 entend poser le cadre d'une politique de mise à disposition générale des documents administratifs. En effet, aux termes de l'article le paragraphe

(2)du projet de loi n° 6810, l'accès aux documents administratifs sera désormais de droit, sauf dans les cas où le législateur lui-même en a limité la portée. La loi luxembourgeoise se rapprochera ainsi de plusieurs législations étrangères ayant instauré un principe de libre accès aux documents administratifs. Elle dépassera en outre l'objectif atteint par les initiatives législatives ponctuelles ou sectorielles de reconnaissance de la transparence administrative par le législateur jusqu'à ce jour (notamment par la loi du le' septembre 1978 [ CNPfi Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 3/14 réglementant la procédure administrative non contentieuse, par les lois successives du 12 juin 1937, du 20 mars 1974 et du 21 mai 1999 dans le domaine de l'aménagement du territoire, par la loi du 16 avril 1979 dans le domaine des établissements classés, par la loi du 31 mars 1979 réglementant l'utilisation des données nominatives dans les traitements informatiques, par la loi modifiée du 2 août 2002 en matière de protection des données à caractère personnel, ou encore par les lois du 10 août 1992, puis du 25 novembre 2005 en matière environnementale). B. Sur la diffusion des documents Comme énoncé précédemment, l'article ler paragraphe

(1)du projet de loi n° 6810 pose un principe de publication et diffusion d'office auprès du public des documents accessibles en vertu de ladite loi en projet. La Commission nationale note que l'article 2 du projet de loi n° 6810 prévoit que les administrations et établissements publics soumis audit projet de loi sont « tenus de procéder à la publication des documents accessibles en vertu de la présente loi. Ces documents sont diffusés moyennant les nouvelles technologies de l'information et de la communication. Par ailleurs, l'article 3 du projet de loi dispose que « sans préjudice d'autres dispositions légales qui règlent l'accès des documents détenus par les organismes visés à l'article 1", ces derniers sont tenus de communiquer les documents qu'ils détiennent, quel que soit le support, à toute personne physique ou morale qui en fait la demande, sans que celle-ci ne soit obligée de faire valoir un intérêt ». Ilressort de la lecture com binée de ces articles que le Gouvernement entend ériger en pri ncipe l'obligation de diffusion des documents administratifs et faire de leur communication sur demande une exception. En ce sens, l'exposé des motifs du projet de loi n° 6810 indique que « le projet de loi pose le principe de l'ouverture et du partage en ligne des documents administratifs. L'administration devra prendre l'initiative de publier en ligne les documents qui ont vocation à être librement accessibles en application des règles inscrites dans le projet de loi ». L'exposé des motifs poursuit en précisant qu « étant donné que l'égal accès aux nouvelles technologies n'est pas toujours assuré, le texte proposé continue à prévoir, à l'instar du projet de loi n° 6540, la possibilité pour toute personne physique de prendre l'initiative pour demander l'accès à un document ». Le commentaire des articles précise s'agissant de l'article 2 du projet de loi relatif à l'obligation de publication des documents accessibles en vertu de ladite loi qu' « s'agit en fait de la généralisation d'une mission que le Service information et presse du Gouvernement (SIP) remplit depuis des années, cela en application de l'article 32 de la loi modifiée du 27 juillet 1991 sur les médias électroniques et qui confère au SIP, entre autres, la mission d'assurer leinformation de la presse, mais également du public et des milieux intéressés sur les activités de l'Etat ». La Commission nationale observe que ces dispositions sont de nature à accroître la transparence de l'action publique en introduisant une logique de « l'offre » (logique reposant sur un pri ncipe de diffusion par les administrations de leur propre initiative des documents administratifs qu'elles détiennent), allant ainsi plus loin que la logique de la « demande » que de nombreuses [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet cle 6810 concernant une administration transparente et ouverte et au projet de loi loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 4/14 législations européennes ont adoptée jusqu'à ce jour (logique reposant sur un principe de communication des documents administratifs sur demande des intéressés). Elle relève que ces dispositions pourraient opérer un changement de paradigme important qui va dans le sens des réflexions récemment menées à l'étranger, notamment en France, afin de rendre effective la transparence administrative au moyen notamment d'une plus grande ouverture des données détenues par les administrations (mouvement plus connu sous le nom d'« Open Data »). La Commission nationale ne peut donc que souscrire à l'objectif poursuivi par les dispositions précitées du projet de loi. Elle estime toutefois qu'un temps d'adaptation devra nécessairement être laissée aux administrations pour se conformer à ce nouveau cadre juridique, dans des conditions respectueuses de la loi modifiée du 2 août 2002. C. Sur les limites au droit d'accès L'article 4 du projet de loi n° 6810 pose des limites à l'accessibilité et à la communicabilité des documents. L'article 4 paragraphe

(1)du projet de loi dispose notamment que « ne sont pas accessibles les documents dont la communication porterait atteinte à la sécurité des personnes ou au respect de la vie privée » ou encore « à un secret ou une confidentialité protégés par la loi ». Par ailleurs, l'article 4 paragraphe

(2)du projet de loi dispose que « ne sont communicables qu'à la personne concernée les documents qui : comportent des données à caractère personnel ; comportent une appréciation ou un jugement de valeur sur une personne physique, nommément désignée ou facilement identifiable, à moins que celle-ci n'ait donné son accord , comportent une opinion communiquée à titre confidentiel à l'administration, à moins que le caractère confidentiel du document n'ait été levé par la personne qui est à l'origine du document. » La Commission nationale salue les efforts mis en ceuvre par les auteurs du projet de loi n° 6810 en vue d'assurer la protection d'intérêts privés fondamentaux qui peuvent entrer en conflit avec le droit d'accès aux documents administratifs. Au vu des dispositions précitées de l'article 4 paragraphes

(1)et

(2), la Commission nationale s'interroge néanmoins sur l'articulation des dispositions de la loi modifiée du 2 août 2002 et de celles qui seront issues du projet de loi n° 6810. Elle note que le projet de loi n° 6810 est silencieux sur ce point. Le commentaire des articles du projet de loi n° 6810 précise, s'agissant de l'article 4 précité, que « l'autorité publique sollicitée devra, le cas échéant, mettre en balance l'intérêt de la communication d'un document et l'intérêt protégé par un motif d'exception. Etant donné que l'accès aux documents constitue la règle générale, les motifs d'exception doivent être interprétés de manière restrictive ». Sur ce point, la Commission nationale estime que la balance des intérêts réalisée par les autorités publiques concernées devra s'effectuer au terme d'un examen minutieux des risques Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 5/14 qu'une telle communication pourrait engendrer pour la vie privée, risques nécessairement plus importants en raison de l'accessibilité accrue des documents administratifs. Le commentaire des articles poursuit plus loin, s'agissant du paragraphe

(2)de l'article 4 précité : « le respect de la vie privée des personnes explique que les documents qui contiennent des informations d'ordre personnel ou privé ne sont accessibles qu'à la personne concernée. La disposition en question ne fait toutefois pas forcément obstacle à la communication du document dans sa totalité. En effet, suffit bien souvent d'occulter certaines mentions pour que le document devienne librement accessible ». La CNPD tient à souligner que, dès lors que les documents accessibles ou communicables en vertu du projet de loi n° 6810 contiendraient des données à caractère personnel, des garanties adéquates au regard de la loi modifiée du 2 août 2002 devraient être prévues. L'obligation de procéder à la publication des documents accessibles en vertu de l'article 2 du projet de loi n° 6810 doit s'exercer, en effet, sans préjudice des exigences en matière de protection des données. Elle relève que l'article 4 paragraphe

(5)du projet de loi n° 6810 prévoit que « lorsque la demande porte sur un document comportant des mentions non communicables mais qu'il est possible d'occulter ou de disjoindre, sans charge administrative excessive, le document est communiqué au demandeur après occultation ou disjonction de ces mentions. » La Commission nationale accueille favorablement le principe de telles mesures dans une optique de protection des données. Elle relève qu'une disposition similaire existe en droit français, mais que les auteurs du projet de loi y ont ajouté la mention « sans charge administrative excessive ». Elle estime que cet ajout pourrait limiter de façon inopportune le recours auxdites mesures d'occultation et de disjonction et suggère, dès lors, de supprimer la mention « sans charge administrative excessive » de l'article 4 paragraphe

(5)du projet de loi n° 6810. Les administrations doivent faire preuve d'une certaine vigilance en présence de documents administratifs contenant des données à caractère personnel, compte tenu des risques de réidentification qui pourraient exister. La limite posée par l'article 4 paragraphes

(1)et

(2)du projet de loi n° 6810 a en effet pour conséquence que les administrations doivent identifier clairement, préalablement à la publication de documents administratifs, les documents comportant des données à caractère personnel. A ce jour, la Commission nationale a été saisie à plusieurs reprises de situations dans lesquelles la présence de données à caractère personnel a échappé à une administration qui les a mises en ligne, la technique d'anonymisation utilisée par une administration n'a pas permis une anonymisation irréversible des documents diffusés ou encore de situations dans lesquelles le caractère indirectement identifiant des données n'est pas apparu de prime abord. Or, dans de tels cas de figure, l'impact de la publication de documents sur la vie privée des personnes a pu être considéré comme excédant ce qui est acceptable au nom de l'impératif de transparence (pour une illustration dans le cadre de la publication des aides reçues par les agriculteurs dans le cadre de la politique agricole commune, voir CJUE, 9 novembre 2010, Volker und Markus Schecke GbR et Hartmut Eifert c./ Land Hessen, req. n° C-92/09 et C-93/09). Dans une optique de « privacy by design », la Commission nationale recommande par ailleurs que les bases de données appelées à être développées par les administrations prévoient, dès leur conception, les modalités d'anonymisation éventuelle des données. [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 6/14 Elle estime en outre, à l'instar des recommandations de la Commission Nationale de l'Informatique et des Libertés (CNIL) en France et de l'Information Commissioner's Office (ICO) au Royaume-Uni (équivalent britannique de la CNPD et de la future « Commission d'accès aux documents » envisagée à l'article 8 du projet de loi n° 6810), que les administrations devraient s'interroger préalablement à la publication et au partage en ligne des documents administratifs sur les risques de réidentification existants. Ainsi, ces administrations pourront décider d'une accessibilité plus ou moins large des documents qu'elles détiennent, en fonction du risque pour les données en cause , par exemple la diffusion des documents sur Internet auprès du grand public et sans restriction d'accès, la mise en ligne de documents subordonnée à des conditions d'accès restreintes (notamment l'obligation de créer un compte d'utilisateur pour pouvoir accéder aux données), la consultation sur place de documents etc. D. Sur l'instauration d'une « Commission d'accès aux documents » L'article 8 du projet de loi n° 6810 prévoit l'instauration d'une « Commission d'accès aux documents » chargée de veiller au respect du droit d'accès dans les conditions prévues par ledit projet de loi. La CNPD note que la Commission d'accès aux documents ne sera pas dotée d'un pouvoir décisionnel, mais jouera un rôle consultatif essentiel. Ladite Commission pourra en effet éclairer les intéressés (administrations et administrés) sur l'application du droit d'accès aux documents administratifs, et ce en amont d'éventuels recours contentieux devant le juge administratif. La CNPD se réjouit de la présence obligatoire de l'un de ses représentants au sein du collège de la Commission d'accès aux documents, afin de garantir une application harmonieuse des dispositions issues du projet de loi n° 6810 et de la loi modifiée du 2 août

1. E. Sur la combinaison du proiet de loi n° 6810 et du proiet de loi n° 6811 A titre subsidiaire, la Commission nationale relève que le projet de loi n° 6810 est silencieux quant à son articulation avec d'autres lois en vigueur ou projets de lois visant à encadrer de manière spécifique l'accès aux documents (notamment l'actuel projet de loi sur le régime des archives nationales) et, plus particulièrement, avec le projet de loi n° 6811 sur la réutilisation des informations du secteur public. Elle s'interroge sur la mise en cohérence de l'ensemble de ces initiatives législatives concomitantes et sur leur contrariété textuelle. En définitive, s'agissant du projet de loi n° 6810, la Commission nationale accueille favorablement l'introduction d'un droit d'accès général aux documents administratifs en droit i nterne. Compte tenu des risques particuliers que la mise en ligne des documents administratifs pourrait constituer pour la protection des données à caractère personnel, elle estime toutefois essentiel de circonscrire le périmètre des informations accessibles, en application du projet de loi n°
2. Cette délimitation est d'autant plus importante que la définition du cadre juridique applicable au droit d'accès aux documents administratifs est une compétence étatique, à la [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 7/14 différence de la définition du cadre applicable à la réutilisation des informations du secteur public, qui fait l'objet d'une harmonisation européenne.
3. Sur le proiet de loi n° 6811 concernant la réutilisation des informations du secteur public La CNPD est consciente de la marge de manceuvre limitée laissée au législateur, compte tenu du cadre juridique existant en matière de réutilisation des informations du secteur public (directive 2003/98/CE du 17 novembre 2003 et la loi du 4 décembre 2007 la transposant en droit interne) et des nouvelles obligations introduites par la directive 2013/3 7/UE. Elle tient à formuler des observations au regard de la loi modifiée du 2 août 2002 dans les situations où des documents ou informations publiques mis à disposition à des fins de réutilisation comporteraient des données à caractère personnel. A. Sur l'applicabilité de la loi modifiée du 2 août 2002 à la réutilisation d'informations du secteur public comportant des données à caractère personnel L'article 1e du projet de loi n° 6811 pose un principe général selon lequel toutes les informations du secteur public accessibles au public en vertu du droit national et qui ne sont pas couvertes par une des exceptions prévues à l'article 2 du projet de loi sont réutilisables à des fins commerciales et non commerciales. Cet article traduit l'objectif de la directive 2013/37/UE d'encourager et de faciliter la réutilisation de données détenues par les administrations et qui représentent un potentiel important pour l'économie numérique. Sont ici visées, comme le souligne l'exposé des motifs du projet de loi n° 6811, tant les données géo-spatiales, que les données environnementales, les données routières, les données statistiques diverses, ou encore les données de santé publique. Au titre des exceptions prévues à l'article 2 figurent « les documents dont raccès est exclu ou limité en application des règles d'accès en vigueur pour des motifs de protection des données à caractère personnel, et aux parties de documents accessibles en vertu des règles d'accès en vigueur qui contiennent des données à caractère personnel dont la réutilisation est incompatible avec la législation concernant la protection des personnes physiques à l'égard du traitement des données à caractère personnel ». Bien que de nombreuses informations publiques visées par le projet de loi n° 6811 ne portent pas sur des données à caractère personnel, la Commission nationale estime que les organismes relevant du secteur public détiennent un volume important de données à caractère personnel dont la nature et la sensibilité peuvent varier. Elle estime en outre que des données à caractère personnel pourraient être accidentellement diffusées à l'occasion de la mise à disposition de données au public et que les garanties visant à éviter toute réidentification possible des personnes risquent parfois de ne pas être suffisamment robustes. Elle relève enfin que la loi impose parfois expressément la publication d'informations personnelles. La Commission nationale rappelle que la notion de « donnée à caractère personnel » est définie de manière large, en application de l'article 2 lettre

(2)de la loi modifiée du 2 août

1. 11 [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 8/1 4 s'agit en effet de « toute information de quelque nature qu'elle soit et indépendamment de son support, y compris le son et l'image, concernant une personne identifiée ou identifiable » . Comme indiqué précédemment, la loi modifiée du 2 août 2002 a vocation à s'appliquer aux cas dans lesquels des organismes du secteur public visés par le projet de loi n° 6811 communiqueraient à des tiers, volontairement ou non, des documents ou informations publiques comportant des données à caractère personnel. La réutilisation de telles données devrait également s'effectuer dans des conditions respectueuses de la loi modifiée du 2 août
2. La Commission nationale relève d'ailleurs que le considérant 11 de la directive ISP 11 prévoit expressément que cette directive « devrait être mise en œuvre et appliquée dans le respect total des principes relatifs à la protection des données à caractère personnel, conformément à la y a lieu, en particulier, de noter qu'en application de ladite directive, directive 95/46/CE les États membres devraient déterminer les conditions dans lesquelles le traitement de données à caractère personnel est licite. Au vu de ces éléments, elle estime que le projet de loi n° 6811 devrait faire référence de manière plus explicite au cadre juridique applicable à la protection des données (notamment par un renvoi à la loi modifiée du 2 août 2002), afin de pallier le fait qu'il accroît l'accessibilité des informations du secteur public contenant des données à caractère personnel et le risque d'usage abusif de telles données. Ainsi, le projet de loi n° 6811 pourrait introduire, après l'article 2 de la loi du 4 décembre 2007 en vigueur, une disposition spécifique indiquant dans quelles conditions la réutilisation d'informations publiques comportant des données à caractère personnel est possible (notamment après une anonymisation préalable des informations en cause, en présence d'une disposition légale ou réglementaire le permettant, ou éventuellement si la personne concernée y a expressément consenti). Une telle disposition pourrait prévoir également, comme c'est le cas dans la loi de transposition française (article 13 de la loi n° 78-753 du 17 juillet 1978 portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal), que la réutilisation d'informations publiques comportant des données à caractère personnel est subordonnée au respect des dispositions de la loi modifiée du 2 août
3. A cet effet, la Commission nationale propose d'insérer après l'article 2 de la loi du 4 décembre 2007 en vigueur, une disposition dont le libellé pourrait avoir la teneur suivante : « Les informations du secteur public comportant des données à caractère personnel peuvent faire l'objet d'une réutilisation soit lorsque la personne intéressée y a consenti, soit si l'autorité détentrice est en mesure de les rendre anonymes ou, à défaut d'anonymisation, si une disposition législative ou réglementaire le permet. La réutilisation d'informations du secteur public comportant des données à caractère personnel est subordonnée au respect des dispositions de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. » La Commission nationale relève que le Contrôleur européen de la protection des données (« European Data Protection Supervisor » ou « EDPS ») a émis, le 18 avril 2012, un avis sur le CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 9114 paquet de mesures de la Commission européenne relatif à l'ouverture des données
4. Le Groupe de travail « Article 29 » a également émis un avis visant à garantir une compréhension commune du cadre juridique issu de Ia directive ISP II et à fournir des orientations quant à sa mise en application4 . La Commission nationale tient à souligner qu'elle souscrit entièrement aux recommandations émises par ledit Groupe de travail dans cet avis, dont certains éléments sont repris ou développés ci-après. B. Sur la responsabilité des organismes du secteur public visés pour le traitement de données à caractère personnel La Commission nationale considère, en application de l'article 2 lettre (n) de la loi modifiée du 2 août 2002, que les organismes relevant du projet de loi n° 6811 qui mettraient des données à caractère personnel à disposition de tiers à des fins de réutilisation, en application de l'article du projet de loi n° 6811, doivent être considérés comme des responsables de traitements au sens de ladite loi. Elle note que l'article le du projet de loi n° 6811 permettra d'étendre le champ d'application de la loi aux documents détenus par les bibliothèques (y compris les bibliothèques universitaires, les musées et les archives). La CNPD souscrit entièrement à la recommandation du Groupe de travail « Article 29 » selon laquelle « l'organisme du secteur public concerné (ou le législateur, selon le cas) devrait procéder à une évaluation d'impact sur la protection des données avant de rendre disponibles à des fins de réutilisation des informations du secteur public contenant des données à caractère personnel (ou avant d'adopter une législation permettant la publication de données à caractère personnel et les rendant ainsi potentiellement disponibles à des fins de réutilisation) »
5. Elle estime, dans l'esprit de la réforme à venir du cadre législatif européen en matière de protection des données, qu'une analyse d'impact sera particulièrement nécessaire dans les cas où les traitements sont susceptibles d'entraîner un risque élevé pour les droits et libertés des personnes physiques. Autant que faire se peut, seules des documents ou informations publiques rendues anonymes (notamment par agrégation de données) devraient être mises à disposition à des fins de réutilisation. A défaut, des données à caractère personnel pourraient être rendues disponibles à ces fins, si nécessaire et sous réserve de garanties adéquates. En effet, la Commission nationale rappelle que les organismes du secteur public concernés, en leur qualité de responsables de traitements doivent mettre en place des garanties (juridiques, techniques et organisationnelles) suffisantes pour assurer la protection des personnes à l'égard du traitement Avis de l'EDPS du 18 avril 2012 sur le paquet de mesures de la Commission européenne relatif à l'ouverture des données. Ce paquet comprenait une proposition de directive modifiant la directive 2003/98/CE concernant la réutilisation des informations du secteur public (1SP), une communication sur l'ouverture des données et la décision 201 I /833/UE de la Commission sur la réutilisation des docurnents de la Commission européenne. Ce groupe de travail est institué par l'article 29 de la directive 95146/CE sur la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. 11 est composé de représentants des autorités nationales chargées de la protection des données, de l'EDPS et de la Commission européenne. Le Groupe Article 29 a notamment pour mission de promouvoir l'application homogène de la directive 95/46/CE dans tous les Etats membres de l'Union européenne. Avis 6/2013 du Groupe de travail « Article 29 » sur la réutilisation des informations du secteur public (1SP) et des données ouvertes, 5 juin 2013, WP
6. Avis 6/2013 précité, spéc. p.
7. CNPEll Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 1 0/1 4 de leurs données à caractère personnel notamment au regard de la sécurité et de la confidentialité des données relatives aux administrés. C. Sur la légitimité de la divulgation publique Le traitement de données à caractère personnel qui consisterait à divulguer ces données sur demande doit être légitimé par l'une des conditions prévues à l'article 5 de la loi modifiée du 2 août
8. Dans un souci de sécurité juridique et de prévisibilité, la CNPD souligne, à l'instar du Groupe de travail « Article 29 », « l'importance d'établir une base juridique solide pour rendre les données à caractère personnel accessibles au public, qui tienne compte des règles pertinentes en matière de protection des données, y compris des principes de proportionnalité, de minimisation des données et de limitation de la finalité »
9. Ainsi, à défaut d'anonymisation préalable des données, la Commission nationale estime que toute réutilisation ultérieure d'informations publiques comportant des données à caractère personnel devrait reposer sur une base juridique appropriée (par exemple, un consentement ou une obligation légale), conformément aux dispositions de l'article 5 précité. D. Sur la limitation de la finalité L'article 1 paragraphe

(2)du projet de loi n° 6811 prévoit, en application de la directive ISP II, d'insérer un principe de réutilisation compatible des données, sans autre précision. La Commission nationale note toutefois que l'exposé des motifs du projet de loi n° 6811 précise que « l'un des principes de ladite loi [loi modifiée du 2 août 20021 est celui selon lequel les données à caractère personnel ne peuvent pas faire l'objet d'un traitement ultérieur à une collecte qui serait incompatible avec les finalités déterminées, explicites et légitimes pour lesquelles ces données ont fait l'objet d'une collecte. » L'application effective du principe de limitation de finalité est particulièrement difficile à mettre en oeuvre dans le contexte de la réutilisation des informations du secteur public. A cet égard, la Commission nationale tient à souligner que le seul fait que des informations du secteur public comportant des données à caractère personnel soient accessibles au public pour une finalité spécifique ne signifie pas nécessairement que de telles informations soient susceptibles d'être réutilisées pour toute autre finalité. Elle rappelle que plusieurs facteurs doivent être pris en considération pour déterminer si un traitement ultérieur de données est ou non compatible avec les finalités pour lesquelles ces données ont été initialement collectées : (

1. i)la relation entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur ; (
2. ii)le contexte dans lequel les données ont été collectées et les attentes raisonnables des personnes concernées à propos de leur utilisation ultérieure ; (iii) la nature des données et l'impact de leur traitement ultérieur sur les personnes concernées ; (
3. iv)les garanties mises en ceuvre par le Avis 6/2013 précité, spéc. p. 22. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 11/14 responsable du traitement pour assurer un traitement équitable et éviter tout impact excessif sur les personnes concernées'. En outre, la Commission nationale se rallie à l'avis du Groupe de travail « Article 29 » selon lequel la directive ISP II n'exclut pas la possibilité pour l'organisme du secteur public concerné (ou pour le législateur) de limiter les finalités de réutilisation possible. A cet égard, elle relève qu'en application de l'article 7 de la loi du 4 décembre 2007 en vigueur, les organismes du secteur public peuvent imposer des conditions à la réutilisation de documents, par le biais de licences. Elle estime que l'introduction de conditions particulières dans des licences de ce type pourrait permettre de garantir que des données à caractère personnel ne seront pas utilisées pour des finalités incompatibles avec celles pour laquelle elles ont été initialement collectées. Elle note que le droit luxembourgeois offre d'ores et déjà la possibilité d'un tel encadrement contractuel, notamment dans le cadre du règlement grand-ducal du 9 mars 2009 portant fixation des conditions et modalités de délivrance de la documentation cadastrale. E. Sur la proportionnalité La Commission nationale rappelle que l'article 4 paragraphe

(1)lettre (b) de la loi modifiée du 2 août 2002 pose un principe de proportionnalité qui devrait être appliqué minutieusement dans le choix des méthodes, des modalités et des degrés de détail envisagés pour rendre les informations publiquement disponibles. Elle tient notamment à souligner qu'en vertu du régime particulier instauré par la loi modifiée du 2 août 2002 pour le traitement de catégories particulières de données, en cas de demande de réutilisation d'informations publiques comportant de telles données sensibles, l'organisme du secteur public concerné devra examiner minutieusement si l'une des conditions de légitimité pour le traitement de données sensibles, prévues aux articles 6 et 7 de la loi modifiée du 2 août 2002, s'applique. F. Sur les droits des personnes La CNPD rappelle que les personnes concernées doivent être informées de la divulgation de leurs données personnelles, dans les conditions prévues par l'article 26 de la loi modifiée du 2 août

1. Dès lors, les organismes du secteur public concernés devront informer au préalable les personnes concernées de leur intention de divulgation des données au moment de la collecte initiale desdites données. La Commission nationale rappelle également que les personnes concernées disposent, en vertu de l'article 28 de la loi modifiée du 2 août 2002 d'un droit d'accès, d'un droit de rectification et d'un droit d'effacement des données les concernant, notamment en raison du caractère incomplet ou inexact des données. Les personnes disposent en outre, en application de l'article 30 de la loi modifiée du 2 août 2002 d'un droit de s'opposer au traitement de leurs données, tout particulièrement en cas de réutilisation à des fins commerciales de ces dernières. ' Pour plus de détails sur ce point, voir Avis 03/2013 du Groupe de travail « Article 29 » sur la limitation de finalité, 2 avril 2013, WP
2. 8 Avis 6/2013 précité, spéc. p.
3. [ CNPET Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 12/14 La Commission nationale est consciente des difficultés particulières de garantir l'exercice des droits des personnes dans un contexte de réutilisation de données. Elle estime toutefois que des garanties peuvent être apportées en encadrant les conditions de réutilisation des informations, comme suit. G. Sur l'encadrement de la réutilisation La CNPD estime que des mesures juridiques et techniques particulières devraient être mises en place si nécessaire, afin d'apporter des garanties appropriées pour réduire les risques en matière de protection des données. A titre d'illustration, et sans prétendre à l'exhaustivité, un certain nom bre de bonnes pratiques ont pu être identifiées s'agissant du cas de figure le plus fréquent de réutilisation d'informations du secteur public contenant des données à caractère personnel : la mise à disposition de données statistiques agrégées et anonymes, issues de données à caractère personnel (taux de criminalité, dépenses publiques, réussite scolaire des enfants dans différentes zones géographiques ou types d'établissements scolaires). Les enjeux principaux dans ce cas de figure sont de parvenir à une agrégation et une anonymisation suffisantes des données et de minimiser le risque de réidentification des personnes à partir de plusieurs jeux de données. A l'instar des recommandations du Groupe de travail « Article 29 » en la matière9, la Commission nationale souligne également que les contrats de licence, qui peuvent être mis en place en application de l'article 7 de la loi du 4 décembre 2007 (qui demeure inchangé), devraient rappeler aux réutilisateurs qu'ils sont tenus de respecter, le cas échéant, leurs obligations en matière de protection des données. En outre, de tels contrats devraient poser des conditions de nature à assurer une meilleure protection des données (interdire la réidentification des personnes en présence de données anonymisées, interdiction d'utiliser les données pour prendre des mesures ou des décisions concernant des personnes, avertir le donneur de licence en cas de réidentification avérée ou possible, définir les limites de l'utilisation des données...). En outre une « clause de protection des données » dans ces contrats de licence seraient de nature à donner force exécutoire au respect des conditions posées. Par ailleurs, la Commission nationale rappelle que des mesures techniques adéquates doivent être envisagées en fonction des risques identifiés (anonymisation des données'°, mesures visant à éviter le téléchargement massif de données). Conclusion En conclusion, la CNPD ne peut que souscrire aux principes insufflés par les deux projets de lois en vue d'une plus grande transparence de l'information publique et d'une meilleure exploitation des informations détenues par les organismes du secteur public. Elle estime toutefois que les évolutions que ces projets de textes sont censés apporter à la culture Avis 6/2013 précité, spéc. p.
4. Sur ce point, la Commission nationale renvoie aux recommandations du Groupe « Article 29 » dans son avis 05/2014 relatif aux techniques d'anonymisation, 10 avril 2014, WP 216 [ CNPd Avis cle la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 1 3/1 4 administrative et au système juridique luxembourgeois ne sont pas sans risque pour la protection de la vie privée et des données à caractère personnel. La recherche d'un standard élevé de protection des données en est par conséquent le corollaire nécessaire et indispensable.11en découlera un juste équilibre qui est de nature à conférer des bases solides aux évolutions que le législateur souhaite apporter à la culture et aux pratiques administratives actuelles. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 26 février
5. La Commission nationale pour la protection des données C _.6 J /j Tine A. Larsen Présidente [ CNPD Thierry Lallemang Membre effectif Georges Wantz Membre effectif Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6810 concernant une administration transparente et ouverte et au projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public 1 4/1 4