LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 30 novembre 2016 Personne en charge du dossier: Roland Gaasch it 247 - 82953 SCL : L 5267 — 1763 / ya V/réf. 51.863 Doc. parl. 7049 Objet : Projet de loi portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Monsieur le Président, Comme suite à ma lettre du ler septembre 2016, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre des salariés sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F-D. Roosevelt L-245o Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.gouvernement.lu vvvvvvluxembourg.lu CHAMBRE DES SALAR1ES LUXEMBOURG 16 novembre 2016 AVIS 11/58/2016 relatif au projet de loi portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard des données à caractère personnel 18 rue Auguste Lumee L-1950 Luxembourg Ei.P 1263 L-1012 Luxembourg
- +352 27 494 200 F. +352 27 494 250 cslecs1.1u wv+.w.cst.lu 2/6 Par lettre pn date du 23 août 2016, Monsieur Xavier BETTEL, rninistra d'État et Premier ministre, a saisi pour avis notre Charnbre au sujet du projet de loi sous.rubrique. • •
- Le projet de Idi. a pdur objet de modifier la lol modifiée du 2 août72092 relative à la protection des, personnes à régard du traitement des donnees à caractère personnel (loi de2002 ci-après). Selon ces auteurs, il s'inscrit cJurre patt dans la volonté de šimplification administrative lancée ceš dernières années et d'autre part il annonce la mise en ceuVre des nouvelles règles etiropéenries. « - Les propositicins s!artidulent autour de-la simplification substantielle des.tbrmalités obligatoires qui se traduit par un, allégeinent dù régime d'autorisation préalable. Cette approche a pour but d'atténuer reffet cfengàrgement qui résulte •du nombre éleVé de dossiers à traiter par la Commission nationalepour la protection des données. Dès Ibrs celle-ci devrait pouvoir mieux se concentrer Sur son rele de sensibilisation et élaborer des lignes diréctrices telles que prévu par le règlernent•européen. , Lesmodifications sont proposées dans un buide faciiiteria transition du régime actuel vers• le régime du règlement européen relatif à la protecticin des données dont Ifapplication est préVue pour mai
- .Comme le Luxembourg dispose actuellement de règles prévoyant •des autorisations préalables qui n'éxistent danS aucun autre Etat membre et que léréglement tend à une meilleure harrnonisation des différents régimes applicables dans l'Union européenne, ce projet'permet de réduire ies différences en supprimant certaines des autonsatièns préalables. »
- En avril 2016, de nouvelles dispositions epropéennes ont até adoptees dans cette. matière un règlernent général surle traiternent des données personnelles dans •rUnion européenne (UE) èt une directive sur les données traitées par les autorités policières et judiciaires forinent ensernble le paquet sur la protection des données. Lé règlement r'net à jour et •modemise les principes inscnts dans la diredtive 95/46/CE Sur la protection des'clonnées afin de garantir ledroit à la viè priVée. II se concentresur les éléments suivantš; renforcer les droits individuels et le marché intérieur de l'UE, garantir úne miseen ceuvre plus stricte des règles; faciliter les transferts internationaux de donnaes à caractère personnel et rnettre en plàce-des norrnes internationales.de protection des données. II sera, applicable à partir du 25 mai
- La modification majeure proposée par ce projèt de loi réside dans la suppression du système de contrôle de rautonsation préalable de la Commission nationale pour la protection des données (CNPD) envers' dertains.traitements. II devrait être remplace panun systême de contrôle a posteriori qui ne faIt cependantpas l'objet du présent projet. • 4:!La CSL šouhaite d'embiée dénoncer la suppression de l'autorisatign préalable de la CNPD pour certains traitéments (voir infra). Elle s'oppose plus particulièrement, et de manière formelle, . à cette exemption en faveur des traitements à deé fins de surveillance•sur Ie lieu de travail. Cette sUppression prôposée par le présent projet de loi soulève deux questions : Comrhent la protection des personnes concernées sera-t-elle assurée de manière équivalente entre un système d'autorisation systématique préalable et un .contrôle a posteriorl ? II est certes difficile de se positionner sans connaître les modàlités de ce contrôle a poSteriori, mais la procédure d'autorisation exige un examen du dqssier par l'autorité compétente,•qui doit donc prendre tonnaissance de tous lès éléments sollicités, alors que la procédure de notification non. Pourquoi supprimer d'ores et déjà fautorisation sans mettre en ceuvre les rnesures de remplacement du système supprimé, ce d'autant plus que le règlement européen ne sera pas applicable avant mai 2018 ? II eüt été préférable d'aftendre.avant de supprimer l'autorisation. préalable de lCNPD pour ces traltements. 3/6 A la lecture de l'exposé des motifS et des• commentaires des atticies, 11 apparaît que cette suppeession Vise.à allèger le travail de la CNPD quant aux demandes d'aUtOrisäticen et 'aînsi lui perrnettre de se concentrer sur son rOle.de sensMlisation et:élaborer deS 11gnes dlrectrices tel • que 'prévu par 1e règlement européen. 11 y a •néanmpins lieu de.dénoncer le vide jOridique créé. par lé présent projet de de loi au mépris des personnes concernées par les traitements visés, dont font partie en preinière ligne lessalariés. Suppression de l'autorisation préalable de la CNPD pour certains traitements
- Le projet de loi propose d'exempter d,e l'autorisation préalable ies traitements suivants les traitements à des fins de surveillance dès lors.que les données résultant,de la surveillance font l'objet d'un enregistrement ét les traitements.à des firis dé surveillance sur le lieu de traVaitr, l'interconnexion de données qui n'est. pas expressément prévue par un texte legal ou réglernentaire; traiternent concernant le crédit et la solvabilité des personnes concernées lorsque ce traitement est effectué par des personnes aUtres que des professionnels du secteUr financiet ou des compagnies d'assurarice concemant leurs clients. Une fois Ce projet de loi entré én vigueur, ces traitéments ne devront plus faire l'objet que d'une simple 'notification préalable à la CNPD. Suite à cette proposition, resteront soumis à autorišation préalable de la CNPD uniquernent les traitements suivants fes. traitements dé données génétiques; les traitements de données à des fins historiquès, statiStiques oi. scientifiqUes; les traitementS comportant des don nées biométriques nétessaires au contrôle de l'identité des personnes; l'utilisation de données à des fins autres que célles pour lesquellés elles ont ëté collectées. Un tel traitement ne peut etre efféçtué que moyennant consentement préalable de la personne concernée pu s'il est nécessaire à la sauvegarde de l'intére vital de, là personne concernée.
- Pour rappel, le traitement à des fins •de surveillance sur le lieu de travail ne peut étre mis en, ceuvre par un employeur, que dans les conditions visées à larticle L. 261-1 du.Code du Travail, à savOir 1,• pourlesbesoins de,sécurité et de santë des salariés, ou 2, pour les besoins dê protection des biens de l'entreprise, ou 3: pour le contrôle du processus de production portant uniquement s'ur les machings, ou
- pour le contrôle tempOraire de production ou des prestations du salarié, lorsqu'une telle mesure est le seul moyen pour déterMiner le salaire exact; ou
- dans le cadre d'une organisation de travail selon l'horaire mobile conformérnent au présent code: Dans les cas visés aux:points 1, 4 et 5, le comité mixte d'entreprise1, le .caS échéant institué, a un pouVoir.de décision. Sans préjùdice du droit à l'information'de ia personne toncernée, sont informés préalablement par l'employeur la 'personne concernée,. ainsi qué pour les personnes tombant sous l'empire de la législation sur. le contrat de droit privé lè comité mixte ou, à défaut, la délégation du personnel ou, à défaut encOre, l'Inspection du travail ët des mines pour les personnes .tombant Sous l'eMpire d'un • régirne Statutaire: les organismes de représentation du pérsonnel tels que prévus par le5 lois et règlerrients afférehts. - ' Dans ies entreprises d'au moins 150 salaris. La- délégation du personnel à partir des,prochaines:éjections sociales. 416 Tous ces traitèments à des fins de surveillance sur le lieu de travail sont soumis à l'aptorisation prèalable de la CNPD.
- Notons à la lumière des travaux parlementaires ayant donné naissance à la Ipi de 2002 que l'exigence d'autorisation préalable traduisait justement la volonté expresse du législateur luxembourgeoie de protéger les personnes physiques de certains traitements « susceptibles de présenter des risques• particuliers au regard des droits et libertés, deš personnes concernées... ». Parmi Ceux-ci figureht notamment les traitements en matière de survelllance sur le lieu de travail étant donné que ceux-ci présentent un risque particulier au regard de la vie privée dep satariés sur leurlieu de travail
- Ainei par exemple un employeur voulant mettre en place un dispositif de vidéosurveillance doitil à ce jour obtenir l'aval dé la CNPD. Cè qui .implique que la- CNPD vérifie si les finalités du traitement de cionnées par caméra vidéo répondent à une ou pliisieurs des conditions de légitimité admlees (sécurité et eanté des sàlariés, protection des biens de l'entreprise, contrôle du processus de production portant uniquement sur les machines). Ensuite elle analyse au cae par cas3 en détail la nécessité et la proportionnalité pour chaque « zone » surveillée. La jurieprudence a clairement établi que la CNPD dispose d'un pouvoir d'appréCiation in concreto danš l'analyse quelle doit effectuer pour autorieer des traitements dé données. Cette analyse suppose notamrnent un examen de moyens alternatifs permettant au responsable du .traitement de réalisertes mêmes finalités,.mais en utilisantdes moyens moins attentatoires à la vie priVée des personnes,conCernées. Dans certaines zonee.où l'inetallation d'une caméra peut étre légitime auSens:de la loi, lesdroits des personnes concernéee peuvent primer sur là nécessité de mettre en oeuvré une vidéosurveillance. Par exemple, rinstallation d'une caméra de surveillance dans un bureau où travaille eripermanence un salarié dolt être considérée commeclieproportionnée ou excessive, les droits et libertés fondamentaux des salariés prévalant sur les intéréts poursuivis par l'employetir. De même, l'installation de caméras vidéo dans la, cuisine dun restaurant sera considérée comrrie dieprõpOrtionnée etlou excessive, coneidérant que tous. les salarlés erriployéš à la Cuisine se trouveront quaeimenten permanerice sous ces camérae; . C'est pourquoi la CNPD exclut certaines zonee etiou assortit ses autorisations•de conditions et exigences interciiction d'une surveillance perinanente•et continue, sailf exceptions rares ; interdiction d'enregistrer le son aesocié aux images ,; • interdiction cie surveiller les prestations et les comportements des salariés ; • interdiction de filmersles endroits,réservés aux salariés pour un, usage privé ; champ de vision limité des caméras filmant les accès intérieurs, extérieurs ou les alentours eun bâtiment ou d'un site ; durée de conservation dep images limitée ; etc. En supprimant l'exigence d'une autorisation, toute cette appréciation concrète des traitements de vidéosurv9illance sur lè lieu de travail ne se fera plus avant leur mise en ceuvre, ce au détrimént des salàriés. A défaut de les avoir intégrées dans la loi, ces reetrictions ne seront donc plus applicables et les employeurs auront l'impression d'en être libérés. La 'protection des salariés sera par conséquent gravement amoindrie. Le Code du travail prévoit certes des sanctione pénales contre le responsable d'un traitement illégal et pentlet merne que la juridiction saisie prononce la cessation du traitément sous peine d'astreinte, mais encore faudrait-il qu'elles soient effectivement prononcées. Quel salarié osera ciénoncer son ernployeur qui méconnait ces règles au risque de perdre son emploi ? 2 3 bocuments patlementaires n°4735/13, page
- Source : Dialogue thématique, La surveillance sur le lieu de travail, CSL et CNPID, septembre 2014 5/6 7131s. Concernant plus particulièrement la durée dè conservation des données, la loi ne prescrit pas elle-même une durée maximale de.conservation. En effet selon l'article 4 de la loi moclifiée de 2002, le responsable du traitement došt s'assurer que tes données qu'il traite sont conservées sous une forme 'permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à.la réalisation.des finalités pour lesquelles elles sont collectees et traitées. Le stockage ou l'enregistrernent des données doit donc être limité dans le temps. La finalité du traitement de dpnnées sert comme vecteur pour déterminer la période de conservation appropriéei Jusqu'à présent, c'estla CNPD qui fixe cette durée au cas par cas dans son autorisation. En supprimant cette autorisation, aucune limite de durée ne sera plus imposée aux emPloyeurs.
- Les auteurs du projet de loi ,se ,prévalent de l'introductién dé nouvelles regles au niveau européen pour justifier la suppression du régime d'autorisation préalable par la CNPD. 11 conviènt donc de s'interroger sur l'incidence sur lé deoit nationat luxernbourgeois de ces nouvelles règles européennes. La loi de 2002 allait au-delà d'une simple transposition dè la directive antérieure en adoptant un champ d'applicatin plus large et en réglementant certaines hypothèses non prévues par ladite directive. 11 en est, ainsi du traitement à des fins de surveillance et plus précisément celui à des fins de surveillance sur le lieu de travail. La loi luxembourgeoise était donc plus protectrice que la directive 95I46/CE. L'article 88 du nouveau règlement' habilite les Etats membres à adopter, par voie législative ou de conventions collectives, des règles specifiques pour le traitement des• données à caractère personnel dans le secteurde l'emploi. Ce qui signifie que cè règlement ne va pas à l'encontre des dispositions naiionales actuell,es applicables en matière de protection deš données et n'oblige donc pas le gouvernement à les modifièr. La CSL demànde dès lors lé Maintien des dispositions actuelles, à savoir l'obligation d'autorisation préalable pour tous les traitements â des fins de surveillance sur le lieu de travail.
- Ce d'autant plus qu'en pratiqùe, la CNPD adapte-déjà ces exigences aux réalités du terrain. , Par exemple. õonsciente du fait quun nombre important d'ernployeurs ont mis en place uné organisation de travail selon l'horàire môbile et soucieuse de faciliter les 'formalités administratives préalables à remplir par les responsables du traitement, la CNPD a simplifiéta mise en conformité des responsables du traitement avec les disposltlons de la loi du 2 août 2002 en ce qui concerne ces systemes de survelllance, Pour ce faire, elle a adopte le 22 juin 2007 des décisions uniques pour le contrôle des horaires de travail. Trailemefil de données dans le cadre des relations dé travail «
- Lés ÊtatS membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spédifiques pour assurer la prçtection des droits ét libertèS én ce qui conceme le ,traitemerit dés donn'éeš à Caractère persOnnel des employés .dans le cadre dés relations de travail, -aux fins, notamment, 'du recrulement, de l'exécution du contrat de travail, y compris te respect des obligations'fixées par la loi ou par des-comientions collectives, de la gestion, de la planification et de Torganisation' .du travail, dé l'égalité,et de la diversité sur le 'lieu de travail, de la santè et de la sécurité au travail, de ta protection des biens appartenant à l'employeur ou au, client, aux finS de l'exercice et de 'la jouissance-des droits et des avantages liés à remploi, individuellerperit ciu collectivenient, ainsi qu'aux fins.de la résiliation dé la rela tion de travail. 4
- Ces regles comprennent deS.rnesures appropriées et spécifiques pour protéger la dignité humaine, les intéréts légitimes et les droits fondamentaux• des personnes concernées, en accordant une attention particulière à la transparence du traitement, au transfert de données à caractère personnel au sein d'un groupe d'entreprises, ou d'un groupe d'entreprises engagées dans une activité économique conjointe et aux systèmes de. 00ntrôle sur le lieude travail.
- Chaque État membre.notifie à là COrnmission les dispositions légales qu'il addipte en vertu du paragraphe 1 au ptils tard le 25 mai 2018 et,,sans. tarder, toute modifieation ulténeure les concernant. » 6/6 II suffit alors que le(s) responsable(s) des traitements afférents adressent à la CNPD un engagement formel par lequel ils déclarent que le traitement est conforme à la description figurant dans la décision unique. Les engagements formels de conformité ne donnent pas lieu au paiement d'une redevance. II en est de méme pour les systèmes automatisés de contrôle d'accès par badgeicarte ou code, permettant d'identifier l'agent détenteur. Les traitements faisant l'objet de la décision unique, mais ne correspondant pas en tous les points à la description y contenue ne peuvent pas bénéficier de l'autorisation unique, mais restent l'objet d'un dossier à introduire auprès de la Commission nationale en vue d'une décision individuelle. 1
- En conclusion, la CSL s'oppose formellement à la suppression de l'autorisation préalable par la CNPD pour tous les traitements à des fins de surveillance sur le lieu de travail et demande le maintien des dispositions actuelles. Comme annoncé dans l'exposé des motifs, cette suppression allègerait le travail de la CNPD et aurait donc pour effet d'endiguer l'engorgement qui résulte du nombre élevé de dossiers à traiter par la CNPD. Le même effet pourrait néanmoins être obtenu en donnant plus de moyens à la CNPD. Ce projet de loi répond donc plutôt a une volonté d'économie, ce au mépris de la santé et de la sécurité des salariés. Face à l'émergence des risques psychosociaux qui touche les travailleurs du Luxembourg comme ceux des autres pays de l'Union Européenne, cette procédure d'autorisation des traitements à des fins de surveillance sur le lieu de travail s'incrit comme une mesure préventive nécessaire, qu'il convient de conserver. Luxembourg, le 16 novembre 2016 Pour la Chambre des salariés, •_› Norbert TREMUTk Directeur L'avis a été adopté à l'unanimité I Jean-Claude RED/ NG Président