LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 29 novembre 2017 Personne en charge du dossier: Roland Gaasch 'W 247 - 82953 SCL : L 5249 - 1513 / nb V/réf. 51.787 Doc. parl. 7061 Objet : Projet de loi modifiant certaines dispositions du Code de la sécurité sociale. Monsieur le Président, À la demande du Ministre de la Sécurité sociale, j'ai l'honneur de vous faire parvenir en annexe l'avis complémentaire de la Commission nationale pour la protection des données portant sur les amendements parlementaires du 20 juin 2017 relatifs au projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement oland Gaasch lnspecteur 8 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352)46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu fréitn
- CNIFID 111000 •0100G
- .1.10101101, .10100011001.1000 1.1011000101110101 D1101000111001101 1011000/010101101 11011101011011010( 01011011000111010: .10100011601100103( .101 0101010 0111 ?,1 ; COMMISSION Ministère de la Sécurité sociale À l'attention de Monsieur Romain Schneider Ministre 26, Rue Ste Zithe L-2763 Luxembourg NATIONALE POUR LA PROTECTION DES DONNÉES Esch-sur-Alzette, le 17 novembre 2017 Concerne : Délibération n°930/2017 du 17 novembre 2017 portant avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale Monsieur le Ministre, Suite à votre estimée du 31 juillet 2017, veuillez trouver ci-joint la délibération n° 930/2017 du 17 novembre 2017 portant avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale En vous souhaitant bonne réception de la présente, je vous prie d'agréer, Monsieur le Ministre, l'expression de ma haute considération. pour la Commission nationale pour la protection des données, Tine A. Larsen Présidente Ministère de la Sécurité saciale Cabinet du Ministre Entrée le Référence no ••••••••••.....eeme Responsable MSS mmemberoomell omee.•••••••• Transmis à _________— examen/avis info Pour: autre luxembourg, le [ 1, avenue du Rock'n'Roll Tél.. (+352) 26 10 60 -1 L-4361 Esch-sur-Alzette www.cnpd.lu Fax: IBAN: LU31 1111 2052 2570 0000 E-mail: info@cnpd.lu Code BIC: CCPLLULL (+352) 26 10 60 -29 Etablissement public créé par la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale Délibération n° 930/2017 du 17 novembre 2017 Conformément à l'article 32 paragraphe
(3)lettre (
- e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 » ou « la loi »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier du 31 juillet 2017, Monsieur le Ministre de la Sécurité Sociale a fait parvenir à la Commission nationale une série d'amendements parlementaires au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale (ci-après « les amendements » ou « les amendements parlementaires »). Pour rappel, la CNPD a rendu, le 2 décembre 20161, un premier avis relatif au projet de loi n° 7061 (ci-après « le projet de loi ») dans lequel elle a formulé des observations concernant les adaptations apportées par le projet de loi à l'article 60ter du Code de la sécurité sociale concernant les missions et les moyens de l'Agence nationale des informations partagées dans le domaine de la santé (ci-après désignée « l'Agence eSanté »). Le Conseil d'Etat s'est quant à lui prononcé sur le projet de loi dans un avis rendu le 28 mars 20172. Les auteurs des amendements parlementaires ont indiqué avoir pris en considération les observations formulées par le Conseil d'Etat dans son avis initial. La CNPD regrette que les amendements parlementaires du 20 juin 2017 ne lui aient été communiqués que le 31 juillet 2017, soit plus d'un mois après leur adoption par la Commission du Travail, de l'Emploi et de la Sécurité sociale de la Chambre des députés. Elle espère toutefois que son avis complémentaire parviendra en temps utile aux auteurs du projet de loi. La Commission nationale entend limiter ses observations à l'amendement parlementaire n°1, qui modifie l'article 60ter précité du Code de la sécurité sociale. Cet amendement prévoit de définir avec davantage de précisions les informations contenues dans les fichiers du Centre commun de la sécurité sociale (CCSS) et de la Caisse nationale de santé (CNS) auxquelles l'Agence eSanté sera habilitée à accéder, ainsi que la finalité de cet accès. Dans son avis initial, la CNPD s'était souciée du manque de précisions de la rédaction initiale du projet de loi s'agissant des finalités poursuivies par cet accès octroyé à l'Agence eSanté. Elle avait par ailleurs souligné le risque que le projet de loi soit considéré comme incompatible avec les principes dégagés par la Cour constitutionnelle et la position constante du Conseil d'Etat sur le cadrage normatif devant résulter de la loi. 1 Délibération n° 1005/2016 du 2 décembre 2016 portant avis de la CNPD relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale. 2 Conseil d'Etat, Avis du 28 mars 2017 relatif au projet de loi modifiant certaines dispositions du Code de la sécurité sociale, doc. parl. 7061/05, n ° CE : 51.787. CNP1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale 1/3 Par son avis du 28 mars 2017, le Conseil d'Etat s'était formellement opposé à la reformulation vague et permissive de l'article 60ter précité par les auteurs du projet de loi. Le Conseil d'Etat considère en effet dans son avis que la rédaction retenue par les auteurs du projet de loi permettrait à l'Agence eSanté un « accès généralisé sans restriction aucune et sans indication des objectifs poursuivis » aux données contenues dans les fichiers du CCSS et de la CNS, contraire aux exigences de protection de la vie privée telles qu'elles résultent de l'article 11, paragraphe 3 de la Constitution du Grand-Duché de Luxembourg. La CNPD accueille donc favorablement l'effort des auteurs des amendements tendant à délimiter plus clairement l'accès de l'Agence eSanté aux fichiers du CCSS et de la CNS et ainsi à préciser tant les informations visées que les finalités poursuivies par un tel accès. Elle note qu'aux termes de l'amendement n° 1, afin de pouvoir mettre en ceuvre l'annuaire référentiel d'identification des patients, d'une part, et l'annuaire référentiel d'identification des prestataires de soins, d'autre part, l'Agence eSanté sera désormais habilitée à recourir aux données suivantes : - les données énumérées à l'article 5, paragraphe 2, points a), b), c), d), e), h), j), k), et
- m)de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques, à savoir, les nom et prénoms, la résidence habituelle, les date et lieu de naissance, la situation de famille, le sexe, les numéros d'identification des père et mère, les numéros d'identification des enfants, les date et lieu de décès ; - les données d'affiliation des patients fournies par le CCSS ; - les données des registres professionnels des personnes autorisées à exercer légalement une profession réglementée dans le domaine de la santé qui sont fournies par le ministre ayant la Santé dans ses attributions ; - les données relatives à l'enregistrement d'un prestataire auprès de la CNS. La Commission nationale estime ces données adéquates, pertinentes et non excessives au regard de la finalité de mise en ceuvre des annuaires d'identification des patients et des prestataires de soins, conformément à l'article 4 paragraphe
(1), lettre (a) de la loi modifiée du 2 août 2002. Elle observe que les auteurs des amendements ont pris le soin de préciser que l'accès aux données précitées devra s'effectuer dans le respect des dispositions légales en matière de protection des données et d'accès au registre national d'identification des personnes physiques. Bien que cette précision aille de soi, la CNPD l'accueille favorablement du fait du rôle pédagogique qu'elle pourra jouer à l'égard du responsable de traitement de ces annuaires et des personnes concernées. La Commission nationale accueille également favorablement la proposition des auteurs du projet de loi de renvoyer à un règlement grand-ducal spécifique (et non au règlement grandducal visé à l'article 60quater, paragraphe 6 du code de la sécurité sociale qui concerne spécifiquement le Dossier de soins partagé) le soin de préciser les modalités de gestion de l'identification et les catégories de données contenues dans les annuaires référentiels d'identification, conformément aux recommandations formulées sur ce point par la CNPD3 et par le Conseil d'Etati. En dernier lieu, la Commission nationale regrette, en dépit des recommandations qu'elle a pu formuler à ce sujet, que les auteurs des amendements n'aient pas saisi l'opportunité des modifications sous examen pour clarifier les missions de l'Agence eSanté, s'agissant de l'offre 3 4 Délibération n° 1005/2016 du 2 décembre 2016 précitée. Conseil d'Etat, Avis n ° 51.787 du 28 mars 2017 précité. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale 2/3 d'un service de pseudonymisation en qualité de tiers de confiance. A ce titre, elle avait formulé dans son avis du 2 décembre 2016 les observations suivantes : « Elle regrette toutefois que les auteurs du projet de loi n'aient pas saisi l'opportunité du projet de loi sous examen pour clarifier les missions de l'Agence eSanté, s'agissant plus particulièrement du cadre applicable à l'offre d'un seivice de pseudonymisation en qualité de tiers de confiance. La CNPD tient à souligner qu'un encadrement général de l'activité de tiers de confiance fournissant ce type de services serait préférable et permettrait d'accompagner le développement de services innovants en matière de pseudonymisation et d'anonymisation au Luxembourg. Elle considère en outre que de tels services devraient être réservés à des acteurs présentant des garanties d'indépendance, de compétence et ne se trouvant pas en situation de conflit d'intérêts au regard des données qu'lls traitent dans le cadre de leurs diverses activités. Pour autant, dans l'attente d'un encadrement général de l'activité de tiers de confiance et compte tenu des fortes attentes en la matière dans le secteur de la santé, la Commission nationale estime qu'une précision textuelle, prenant la forme d'un alinéa supplémentaire à l'article 60ter paragraphe
(1), 1) du Code de la sécurité sociale aurait permis d'apporter une meilleure sécurité juridique au service de pseudonymisation développé par lAgence eSanté, dont la mise en ceuvre à vocation à accompagner des projets nationaux importants du point de vue de la santé publique. » Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 17 novembre 2017. La Commission nationale pour la protection des données Tine A. Larsen Présidente [ CNPD Thierry Lallemang Membre effectif C stophe Buschmann Membre effectif Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale 3/3