LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 27 novembre 2016 Personne en charge du dossier: Roland Gaasch 247 - 82953 SCL : L 5257 — 1540 / sp V/réf. 51.822 Doc. parl. 7064 Objet : Projet de loi portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves. Monsieur le Président, Comme suite à ma lettre du 12 août 2016, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement ,-------- John Dann Directeur 43, boulevard F.-D. Roosevelt L-245o Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernementiu www.luxembourg.lu LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président de la Chambre des Députés Luxembourg Luxembourg, le 26 novembre 2016 Personne en charge du dossier: Roland Gaasch U. 247 - 82953 SCL : L 5257 — 1540 / sp Doc. parl. 7064 Objet : Projet de loi portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves. Monsieur le Président, À la demande du Ministre de l'Éducation nationale, de l'Enfance et de la Jeunesse, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, bou leva rd F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (-I-352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7064 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves Délibération n° 829/2016 du 14 octobre 2016 Conformément à l'article 32 paragraphe
(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi du 2 août 2002 »), la Commission nationale pour la protection des données a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier du 10 août 2016, le Ministère de l'Education nationale, de l'Enfance et de la Jeunesse a invité la Commission nationale à aviser le projet de loi n°7064 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves. La Commission nationale limite ses observations aux questions traitant des aspects portant sur la protection des données, soulevées plus particulièrement par les articles 8 et 16 du projet de loi sous objet. Ces articles ont notamment pour objet de permettre l'accès au Ministre ayant l'Enfance et la Jeunesse dans ses attributions à certaines données rendues nécessaires à l'administration des aides accordées par l'Etat suite à l'introduction de l'éducation plurilingue dans les structures d'accueil agréées. Ad article 8 La Commission nationale souhaite tout d'abord se référer à son avis 338/2014 du 21 juillet 2014 relatif au projet de loi n° 6410 portant modification de la loi du 4 juillet 2008 sur la jeunesse (document parlementaire n° 6410/12). Alors que certaines de ses recommandations ont été intégrées dans la loi du 24 avril 2016, et par conséquent dans l'actuel article 29 de la loi modifiée du 4 juillet 2008 (appelé à être de nouveau modifié par l'article 8 du projet de loi sous examen), d'autres sont restées sans suite. La CNPD se permet de rappeler certains commentaires déjà évoqués dans cet avis, qui demeurent pertinents au regard de la version coordonnée de l'article 29 de la loi. Ainsi, il serait utile d'expliquer la nécessité pour le ministère de connaître la présence réelle de l'enfant bénéficiaire dans la structure (paragraphe
(2)lettre (e)), ainsi que la nécessité d'une publication des données visées au paragraphe
(2)lettres (
- h)à (
- j)(anciennement lettres (
- f)à (h)) sur un portail édité par le Ministre. Par ailleurs, la Commission nationale ne comprend pas la raison d'être de la transmission des données dans le cadre du paragraphe
(5), alinéa 3 (ancien paragraphe
(4)alinéa 3) sans en préciser la finalité, alors que de manière générale, les données ne peuvent pas être communiquées à des tiers ou accédées par des tiers. Enfin, la durée de CNPD 1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7064 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves 1/4 conservation des données indiquée dans le paragraphe
(6)(ancien paragraphe
(5)) demeure relativement longue par rapport aux finalités des traitements des données concernées. En ce qui concerne l'ajout des lettres (f) et (g) dans le paragraphe
(2), la Commission nationale comprend, au regard du commentaire des articles, que ces données apparaissent nécessaires aux fins d'assurer la gestion, le suivi administratif, le contrôle et l'étude voire l'évaluation des aides liées au programme d'éducation plurilingue. Dans ce cadre, la proposition d'ajout à deux reprises des termes « et du programme d'éducation plurilingue » au paragraphe
(1)paraît également appropriée. A la lecture du dernier alinéa du paragraphe
(2), la CNPD ne comprend pas si les données visées aux lettres (
- a)à (
- j)sont collectées auprès des personnes concernées (ou de leurs représentants légaux), et que parmi celles-ci, celles indiquées aux lettres (
- f)et (
- g)peuvent être communiquées par la suite aux autorités communales? Ou si seules les données relevant des lettres (a), (b), (c), (d), (e), (h), (
- i)et (
- j)sont collectées auprès des personnes concernées (ou de leurs représentants légaux), tandis que les données visées aux lettres (
- f)et (
- g)proviennent des fichiers des différentes autorités communales ? En tout état de cause, le terme « échange » devrait être précisé : s'agit-il d'une communication des données, d'un accès sur demande, d'une interconnexion, etc. ? Le paragraphe
(3)s'inscrit, selon le commentaire des articles, dans le cadre de mesures de simplification administrative. Sans remettre en cause le bien fondé de telles mesures, la Commission nationale se doit de mettre en balance cet objectif avec le droit pour les personnes concernées à la protection de leur vie privée. Ce dernier élément constitue un droit fondamental consacré notamment par l'article 11
(3)de la Constitution, par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne ainsi que par l'article 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales. II s'agit donc de vérifier si cette balance des intérêts penche en faveur du droit fondamental au respect de la vie privée, qui protège l'intérêt des citoyens, ou en faveur de l'intérêt légitime de l'administration à la simplification de ses procédures, en tenant compte du critère de proportionnalité et de nécessité. En l'espèce, les auteurs du projet de loi ont souhaité maintenir la faculté pour les personnes concernées de délivrer elles-mêmes un certificat de paiement des allocations familiales auprès de l'agent communal chargé de l'instruction de la demande d'adhésion au chèque-service accueil. L'accès par l'agent communal aux données est en effet uniquement permis sur base du consentement spécifique de la personne concernée (paragraphe
(3), alinéa 2). Dans ce cadre, la Commission nationale estime que les droits fondamentaux de la personne concernée ne prévalent pas sur l'intérêt de l'administration à la simplification administrative, qui s'opère dans l'intérêt du citoyen et avec son accord préalable. Cependant, il ne ressort pas du paragraphe
(3)de quelles administrations ou institutions de sécurité sociale l'agent communal pourra recevoir communication des données, ni à quelles catégories exactes de données il peut avoir accès. La Commission nationale souhaite attirer l'attention des auteurs du projet de loi sur l'arrêt de la Cour constitutionnelle du 29 novembre 2013, selon lequel « l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc»1. La CNPD se réfère également à un Cour constitutionnelle, arrêt 108/13 du 29 novembre 2013 (Mém. A n° 217 du 13 décembre 2013, p. 3886). CNPD [ Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7064 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves 2/4 récent avis du Conseil d'Etat selon lequel « pour autant qu'il s'agisse de renvoyer à un règlement grand-ducal le soin de spécifier les conditions légales, la loi doit fixer, en application des dispositions de l'article 32
(3)de la Constitution, la finalité, les conditions et les modalités du règlement grand-ducal en question »
- Dans ce cadre, il est indispensable de prévoir dans le texte de loi de quelles administrations ou institutions de sécurité sociale l'agent communal pourra recevoir communication des données. En ce qui concerne les catégories de données visées, il pourrait être fait référence à l'article 2 du futur règlement grand-ducal précisant les données accessibles et les données communiquées en exécution des articles 4 et 6 de la loi du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves. Enfin, c'est à bon escient que les auteurs du projet de loi ont prévu à l'alinéa 4 des mesures de sécurisation de l'accès aux données, ainsi qu'une procédure de traçage des accès, ce qui permet d'éviter tout risque d'abus ou de détournement de finalité. Ces mesures participent au souci de confidentialité et répondent à l'obligation pour le responsable du traitement de garantir la sécurité des données au sens des articles 21 à 23 de la loi du 2 août
- Ad article 16 L'article 16 a pour objet de compléter l'article 6 de la loi du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves. La Commission nationale a déjà eu l'occasion d'émettre ses commentaires relatifs ou liés à cette loi (cf. avis 238/2010 du 26 juillet 2010, 126/2011 du 15 avril 2011 et 156/2012 du 15 juin 2012, et plus récemment son avis 613/2016 du 6 juillet 2016). L'article 6 de la loi du 18 mars 2013 indique les autorités ou entités auxquelles le Ministre ayant l'éducation nationale dans ses attributions est autorisé à communiquer des données à caractère personnel relative aux élèves. L'article 16 du projet de loi sous examen y ajoute un point
- Le commentaire des articles révèle que cet ajout apparaît nécessaire pour faire fonctionner le système d'aides mise en place par la loi modifiée du 4 juillet 2008 sur la jeunesse, et est à lire avec l'article 8 du projet de loi sous examen. Dans ce cadre, la Commission nationale peut admettre qu'une telle communication de données à caractère personnel puisse s'avérer nécessaire au regard de l'article 29 paragraphe
(2)lettres (
- f)et (
- g)de la loi modifiée du 4 juillet 2008, telle que modifiée par le présent projet de loi. Par ailleurs, comme elle l'avait déjà évoqué dans son avis 238/2010 du 26 juillet 2010, la Commission nationale estime nécessaire que les catégories de données qui feront l'objet d'une communication (dans ce cas au Ministre ayant l'enfance et la jeunesse dans ses attributions) soient énumérées au sein d'un règlement grand-ducal, en vue de pouvoir apprécier la compatibilité des finalités de la base de données relative aux élèves avec celles du traitement opéré par le Ministre. En l'espèce, la CNPD comprend que les catégories de données concernées sont celles visées aux lettres (
- f)et (
- g)de la loi modifiée du 4 juillet 2008 sur la jeunesse (telle que modifiée par le projet de loi sous examen). Dans ce contexte, il est utile de relever que l'avant-projet de règlement grand-ducal précisant les données accessibles et les données communiquées en exécution des articles 4 et 6 de la 2 Avis du Conseil d'Etat du 15 juillet 2016, document parlementaire 6708/05. CNPDI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7064 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves 3/4 loi du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves, entend déjà préciser les catégories de données visées aux points
(1)à
(13)de l'article 6 de la loi du 18 mars 2013. La Commission nationale a émis dans son avis 613/2016 du 6 juillet 2016 ses remarques à ce sujet.11serait utile d'intégrer à l'occasion de l'adoption de cet avant-projet de règlement grand-ducal les catégories de données visées aux lettres (f) et (g) du futur article 29 paragraphe
(2)de la loi modifiée du 4 juillet 2008, au regard du point
(14)de l'article 6 de la loi du 18 mars
- Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 14 octobre
- La Commission nationale pour la protection des données ike 143 Tine A. Larsen Présidente CNPD Thierry Lallemang Membre effectif François Thill Membre suppléant Avis de la Commission nationale pour la protection des données relatif au projet de loi n7064 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse et portant modification de la loi du 18 mars 2013 relative aux traitements des données à caractère personnel concernant les élèves 4/4