Projet de loi concernant la collecte et la saisie des dossiers d'aides relatives au logement. 2. Projet de règlement grand-ducal fixant les mesures d'

(3)lettre (

1. e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 » ou « la loi »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier en date du 27 octobre 2016, Monsieur le Ministre du Logement a invité la Commission nationale à se prononcer sur plusieurs projets de lois et de règlements grandducaux afférents au paquet législatif « Klimabank an nohalteg Wunnen ». La CNPD a été saisie plus précisément des projets de textes suivants : le projet de loi n° 7054 concernant la collecte et la saisie des dossiers d'aides relatives au logement et le projet de règlement grand-ducal y afférent ; le projet de loi n° 7055 relatif à un régime d'aides à des prêts climatiques et le projet de règlement grand-ducal y afférent ; le projet de loi portant introduction d'une certification de la durabilité des logements et • modifiant la loi modifiée du 25 février 1979 concernant l'aide au logement, ainsi que le projet de règlement grand-ducal y afférent. Le paquet législatif « Klimabank an nohalteg Wunnen », dont l'entrée en vigueur est prévue pour le 1'' janvier 2017, comprend également les projets de loi et de règlement grand-ducal relatif à un régime d'aides pour la promotion de la durabilité, de l'utilisation rationnelle de l'énergie et des énergies renouvelables dans le domaine du logement (PRIMe House). La Commission nationale tient à souligner qu'à la demande du ministère du Logement, elle a pu faire part d'un certain nombre d'observations préliminaires durant la phase de réflexion préalable à la rédaction du projet de loi n° 7054 susmentionné. De manière générale, la Commission nationale salue la démarche des auteurs dudit projet de loi qui ont pris en compte et intégré en amont, durant la phase d'élaboration du projet de loi n° 7054, la plupart des recommandations de la CNPD. Elle regrette toutefois que la saisine officielle concernant le paquet « Klimabank an nohalteg Wunnen » soit intervenue tardivement' et n'ai pas permis que le Conseil d'Etat dispose en temps utile de l'avis de la CNPD, ce que relève d'ailleurs le Conseil d'Etat dans son avis du 15 novembre 20162. La CNPD entend donc limiter ses observations aux dispositions dudit projet de loi appelant des remarques complémentaires à ce stade. Elle estime par ailleurs que les autres projets de textes La CNPD a reçu la demande d'avis officielle concemant le paquet « Klimabank an nohalteg Wunnen » le 27 octobre 2016, alors que le Conseil d'Etat en a été saisie le 29 juillet 2016. 2 cf Conseil d'Etat, Avis n° 51.779 du 15 novembre 2016 relatif au projet de loi concemant la collecte et la saisie des dossiers d'aides relatives au logement. Avis de la Commission nationale pour la protection des données relatif aux projets de loi n° 7054 et 7055 (Paquet législatif « Klimabank an nohalteg Wunnen ») 1/5 soumis à son examen n'appellent pas d'observations particulières au regard de la loi modifiée du 2 août 2002. La CNPD observe que le projet de loi n° 7054 vise à encadrer le traitement de données à caractère personnel par les ministères du Logement et de l'Environnement dans le cadre d'un « guichet unique des aides relatives au logernent » (ci-après « le Guichet Unique »), dont la finalité est de faci liter et de simpl ifier les démarches des administrés, notamment au stade de l'introduction de leur(
2. s)demande(
3. s)et du suivi administratif de leur(
4. s)dossier(
5. s)de demande d'aides au logement. L'exposé des motifs du projet de loi précise ainsi qu'«il suffira à l'administré de s'adresser à un seul bureau pour l'ensemble des aides relatives au logernent, à savoir les aides socioéconomiques relevant de la compétence du ministre ayant le Logement dans ses attributions, couramment dénommées « aides individuelles au logement, et les aides énergétiques et écologiques relevant de la compétence du ministre ayant l'Environnement dans ses attributions, couramment dénommées « PRIMe House » ». La Commission nationale observe avec satisfaction que le système envisagé par les responsables de traitements pour la collecte et la saisie communes des demandes d'aides relatives au logement répond aux conditions de I icéité et de légitimité de l'article 4 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Elle note par ailleurs avec satisfaction que le projet de loi précise tant les finalités du traitement (article ler du projet de loi n° 7054), que les catégories de données à caractère personnel traitées (article 2 du projet de loi n° 7054), les destinataires habilités à recevoir communication des données et les fichiers externes auxquels les responsables de traitements auront accès pour les besoins de leurs missions respectives (article 4 du projet de loi n° 7054), les modalités d'accès et de journalisation des accès aux données (article 5 du projet de loi n° 7054). Tout en indiquant les catégories de données traitées (à savoir les données relatives à l'identification, les données socio-économiques et les données relatives au logement pour lequel une aide est demandée), l'article 2 paragraphe

(2)du projet de loi n° 7054 renvoie à un règlement grand-ducal le soin de déterminer plus précisément lesdites données. La CNPD s'interroge sur le caractère opportun de cette précision par voie de règlement grand-ducal, alors que les détails suffisants pourraient être apportés directement à l'article 2 du projet de loi sous examen. Elle reconnaît toutefois que la possibilité de procéder par voie de règlement grandducal faciliterait d'éventuelles initiatives de faire évoluer la I iste des données traitées à moyen terme. S'agissant de la collecte et de la saisie des données par le ministère du Logement pour le compte du ministère de l'Environnement, la CNPD ne saurait partager l'avis du Conseil d'Etat selon lequel « n'est pas nécessaire de régler dans la loi en projet quel ministre effectue la collecte et la saisie des demandes d'aides dans le contexte du guichet unique »

1. En effet, en application de l'article 2 (n) de la loi modifiée du 2 août 2002, « lorsque les finalités et les moyens du traitement sont déterminés par ou en vertu des dispositions légales, le responsable du traitement est déterminé par ou en vertu des critères spécifiques conformément aux dispositions légales ». Les dispositions de l'article 3 précité conservent en réalité tout leur Conseil d'Etat, Avis n° 51.779 du 15 novembre 2016 précité, spéc. p.
2. CNPF ••++. Avis de la Commission nationale pour la protection cles données relatif aux projets de loi n° 7054 et 7055 (Paquet législatif « Klimabank an nohalteg Wunnen ») 2/5 intérêt dans le projet de loi sous examen, en ce qu'elles clarifient la répartition des rôles de responsable du traitement et de sous-traitant entre les deux ministères en cause. De plus, la Commission nationale rappelle qu'en application de l'article 22 paragraphe

(3)de la loi modifiée du 2 août 2002, un tel traitement doit être régi par un contrat ou un acte juridique consigné par écrit et qui prévoit notamment que les agents du ministère du Logement agissent sur la seule instruction du ministère de l'Environnement et que les obligations de sécurité résultant de l'article 22 précité incombent au ministère du Logement. Elle recommande en outre qu'une formation soit dispensée auprès des agents du ministère du Logement affectés au Guichet Unique, afin de les sensibiliser aux principes de protection des données à caractère personnel. Le Conseil d'Etat précise dans son avis relatif au projet de loi n° 7054 qu'au regard de la loi modifiée du 2 août 2002 et en présence d'un consentement des personnes concernées, l n'est plus nécessaire de régler spécifiquement dans la loi l'accès des ministres aux différents fichiers dont la consultation est nécessaire à l'instruction des demandes d'aides au logement4 . La Commission nationale ne peut pas non plus partager cette analyse, qui par ailleurs, aux yeux de la CNPD, n'est pas en concordance avec la position prise dans d'autres avis antérieurs par le Conseil d'Etat sur la même problématique. Elle se félicite, au contraire, de ce que la liste des fichiers auxquels les responsables de traitement auront accès pour l'exercice de leurs missions a été précisée à l'article 4 du projet de loi, ainsi que les finalités pour lesquelles ces fichiers seront consultés. En l'absence de consentement de la personne concernée à ce que les ministres compétents vérifient directement dans les fichiers détenus par d'autres administrations les informations nécessaires à l'instruction des demandes d'aides au logement, les personnes concernées disposent en principe d'une alternative consistant à fournir elles-mêmes des pièces justificatives comportant des informations issues desdits fichiers et documentant leur situation administrative. II en résulte une nécessité d'encadrer, au-delà de l'hypothèse d'un consentement préalable des personnes concernées, les cas où les ministres concernés seraient rendus destinataires de données issues de bases de données administratives gérées par d'autres administrations. La CNPD estime essentiel que l'encadrement normatif sur ce point figure dans la loi. La CNPD estime qu'un tel encadrement législatif irait par ailleurs dans le sens d'autres initiatives législatives récentes5 à propos desquelles elle s'est prononcée et serait davantage compatible avec la position adoptée par le Conseil d'Etat dans un avis récent relatif à l'aide financière de l'Etat6 aux termes duquel les principes suivants ont été rappelés : « (...) l'accès à des fichiers externes et la communication de données informatiques à des tiers constituent une ingérence dans la vie privée et partant, en vertu de l'article 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle. Dans ce cas, l'essentiel du cadrage normatif doit figurer dans la loi. La loi doit indiquer les bases de données auxquelles une autorité publique peut avoir accès ou dont une autorité publique peut se faire communiquer des données, tout comme les finalités de cet accès ou de cette communication. (...) » Conseil d'Etat, Avis n° 51.779 du 15 novembre 2016 précité, spéc. p. 3. A titre d'illustration, voir la loi du 9 décembre 2015 portant introduction d'une subvention de loyer. Conseil d'Etat, Avis n° 6975/5 du 7 juin 2016 relatif au projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures. Avis de la Commission nationale pour la protection des données relatif aux projets de loi n° 7054 et 7055 (Paquet législatif « Klimabank an nohalteg Wunnen ») 315 Par ailleurs, la CNPD estime que le règlement grand-ducal du 7 juin 1979 déterminant les actes, documents et fichiers autorisés à utiliser le numéro d'identité des personnes physiques et morales, pris en exécution de l'article 5 de la loi modifiée du 30 mars 1979 organisant l'identification numérique des personnes physiques et morales est devenu caduc pour ce qui est des personnes physiques, par suite de l'entrée en vigueur de la loi du 19 juin 2013 relative à l'identification des personnes physiques, au registre national des personnes physiques, à la carte d'identité et aux registres communaux des personnes physiques'. Dès lors, l'accès des ministres au répertoire général devrait s'effectuer conformément à la procédure prévue par l'article 11 de la loi du 19 juin 2013 précitée. La CNPD tient à souligner que cette observation n'appelle pas à son sens de modification du projet de loi n° 7054 sous examen. S'agissant des droits des personnes, la CNPD rappelle qu'en application de l'article 26 de la loi modifiée du 2 août 2002, l'existence des droits d'accès et de rectification doit être clairement indiquée aux personnes concernées. Elle considère que l'exercice effectif de ces droits devrait être facilité en pratique par l'existence du Guichet Unique auprès duquel les personnes concernées pourront facilement s'adresser. L'article 5 paragraphe

(3)point 3 du projet de loi n° 7054 prévoit une journalisation des accès, ce qui constitue une garantie appropriée contre les risques d'abus. A cet égard, la CNPD recommande que la durée de conservation des données de journalisation des accès aux données, précisée à l'article 5 paragraphe

(3)point 3 du projet de loi n° 7054, soit portée à cinq ans à partir de leur enregistrement (délai de prescription des délits sanctionnés par la loi modifiée du 2 août 2002), délai après lequel elles devraient être effacées, à moins qu'elles ne fassent pas l'objet d'une procédure de contrôle. Par souci de clarté et tenant compte de l'observation qui précède, la CNPD suggère de simplifier la rédaction du paragraphe

(3)de l'article 5 précité du projet de loi n° 7054 comme suit : « Le système informatique par lequel l'accès au fichier est opéré doit être aménagé de sorte que l'accès aux fichiers soit sécurisé moyennant une authentification forte, que les informations relatives à la personne ayant procédé à la consultation, les informations consultées, la date, l'heure et la référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif précis de la consultation puissent être retracés. Les données de journalisation dolvent être conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle, » Le paragraphe

(4)de l'article 5 précité du projet de loi renvoie à un règlement grand-ducal I e soin de déterminer les modalités de l'accès et les personnes auxquelles l'accès aux fichiers est réservé. La Commission nationale observe que l'article 2 clu projet de règlement grand-ducal fixant les mesures d'exécution de la loi concernant la collecte et la saisie des dossiers d'aides relatives au logement apporte peu de précisions à cet égard, cet article se cantonnant à prévoir une gestion stricte des habilitations d'accès aux données. En effet, l'article 2 précité du projet de règlement grand-ducal dispose simplement que seuls les agents des ministères responsables du traitement ou de l'administration placée sous leur autorité, nommément désignés par eux et en fonction de leurs attributions, pourront accéder aux données collectées par le Guichet 7 L'article 45 de la loi du l9juin 2013 relative à Pidentification des personnes physiques, au registre national des personnes physiques, à la carte d'identite et aux registres communaux des personnes physiques dispose en effet que : « La loi modifiée du 30 mars 1979 organisant l'identification numérique des personnes physiques et morales ne s'applique plus aux personnes pkvsiques. » Avis de la Commission nationale pour la protection des données relatif aux projets de loi n° 7054 et 7055 (Paquet législatif « Klimabank an nohalteg Wunnen ») Unique. La CNPD se demande si cette disposition ne pourrait pas plus simplement être intégrée au premier paragraphe de l'article 5 du projet de loi n° 7054. En dernier lieu, la Commission nationale recommande que des mesures de sécurité à l'état de l'art soient mises en ceuvre, afin de garantir la confidentialité des données traitées par l'intermédiaire du Guichet Unique. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 25 novembre 2016. La Commission nationale pour la protection des données, t) Tine A. Larsen Présidente CNPD Thierry Lallemang Membre effectif François Thill Membre suppléant Avis de la Commission nationale pour la protection des données relatif aux projets de loi n° 7054 et 7055 (Paquet législatif « Klimabank an nohalteg Wunnen ») 5/5