Projet de loi portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à cara

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Faisant suite à la demande lui adressée par le Ministre des Communications et des Médias en date du 18 août 2016, la Commission nationale entend présenter ci-après ses réflexions et commentaires au sujet de ce projet de loi de modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ci-après « le projet de loi »). Selon l'exposé des motifs, ce projet de loi a deux objectifs principaux : « la simplification substantielle des formalités obligatoires qui se traduit par un allègement du régime d'autorisation préalable sans pour autant diminuer la protection des citoyens » ainsi que « la transition du régime actuel vers le régime du règlement européen relatif à la protection des données ». En effet, le régime actuel est amené à être remplacé par le règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « le règlement général sur la protection des données »). Ce règlement abroge la directive 95/46/CE transposée en droit national par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel et sera applicable à partir du 25 mai 2018. Dès son début, la Commission nationale a régulièrement constaté que les responsables de fichiers et de traitements de données sont plus attentifs à l'accomplissement des formalités préalables qu'au respect des principes édictés par la loi. Comme évoqué dans ses rapports annuels d'activité, la Commission nationale a toujours ceuvré pour un allègement des formalités administratives pour privilégier les contrôles et mieux préserver la protection des personnes concernées. Cette volonté a été mainte fois réitérée y compris lors de la dernière simplification substantielle de la loi modifiée du 2 août 2002 opérée en 20071. Comme déjà indiqué dans son avis relatif à cette loi modificative du 27 juillet 2007, elle a expliqué que "l'important est que cela rentre dans les mentalités, pas seulement sur les formulaires"2. Elle avait clairement I Loi du 27 juillet 2007 portant modification - de la loi du 2 août 2002 relative à la protection des personnes à régard du traitement des données à caractère personnel; - des articles 4 paragraphe

(3)lettre d); 5 paragraphe (I) lettre a); 9 paragraphe

(1)lettre a) et 12 de la loi du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques et - de rarticle 23 paragraphe

(2)points I. et 2. de la loi du 8 juin 2004 sur la liberté d'expression dans les médias. 2 Page 2 de ravis de la Commission Nationale pour la Protection des Données du 5 décembre 2005 pour le projet de loi portant modification - de Ià loi du 2 août002 relative à la protection des personnes à régard du traitement des données à caractère personnel; des articles 4 paragraphe

(3)lettre d); 5 paragraphe

(1)lettre a); 9 paragraphe

(1)lettre a) et 12 de la loi du 30 mai 2005 concernant la [ CNPF Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7049 portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. 1/3 indiqué Ie caractère très restrictif de la loi luxembourgeoise par rapport à ses voisins européens. II ressortait d'un tableau comparatif inclus dans ce même avis que l'obligation d'autoriser ces traitements était rarement requise dans le reste de l'Europe. Pour ce qui est du Luxembourg, il est difficile de constater une plus-value tangible en matière de protection des droits par rapport à d'autres pays dans lesquelles le même régime d'autorisation préalable n'existe pas. Pour garantir une application effective de la loi et assurer une bonne protection des droits des personnes concernées, il est essentiel que la Commission nationale puisse effectuer régulièrement des contrôles de conformité. Or, actuellement, son activité est principalement accaparée par le traitement des demandes d'autorisations dans le domaine de la surveillance qui représente annuellement entre 85% et 90% des demandes d'autorisation traitées. Avec la simplification proposée par ce projet de loi, la procédure d'autorisation préalable plus lourde sera remplacée par la procédure de notification prévue à l'article 12 de la loi et la Commission nationale pourra plus facilement effectuer des visites de contrôle qui sont plus efficaces et peuvent être mieux ciblées que les autorisations pour s'assurer du respect de la loi par les responsables de traitement de données. La Commission nationale demeure soucieuse de fournir de l'aide et de l'assistance aux responsables de traitement pour les aider à se conformer avec les dispositions légales applicables en publiant notamment sur son site internet des lignes directrices sur ce sujet. Ainsi, en collaboration avec la Chambre des salariés, la Commission nationale a publié en 2014 une brochure très détaillée dédiée à la question de la surveillance. Dès lors, la Commission nationale ne peut qu'accueillir très favorablement les simplifications des démarches administratives proposées dans ce projet de loi en particulier en ce qui concerne le régime de formalités applicables aux traitements mis en ceuvre à des fins de surveillance. Cette simplification contribue aussi à uniformiser le régime en vigueur au Luxembourg par rapport à ses voisins européens. C'est une étape importante avant l'application du nouveau règlement européen dans ce domaine qui sera applicable dans toute l'Union Européenne. Le nouveau règlement général sur la protection des données privilégie le contrôle a posteriori au lieu du contrôle a priori. De plus, les responsables de traitement se devront de tenir un registre de leurs traitements de données3. La Commission nationale est d'avis que la suppression du régime de la demande d'autorisation et le maintien de celui de la notification pour les traitements de données concernés par cette simplification sont de nature à préparer les responsables de traitement à assumer ces nouvelles responsabilités. Pour la Commission nationale, cela impliquera un renforcement de son activité de guidance et de contrôle. Et pour les responsables de traitement de données, cela nécessitera une prise de conscience de leur responsabilité par rapport au traitement de données qu'ils effectuent. protection de la vie privée dans le secteur des communications électroniques et - de l'article 23 paragraphe

(2)points I. et

1. de la loi du 8 juin 2004 sur la liberté dexpression dans les médias. 3 Article 30 du règlement européen 2016/679 du 27 avril 2016 relati f à la protection des personnes physiques à I 'égard du traitement des données à caractère personnel et à la libre circulation de ces données [ CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7049 portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. 2/3 Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 14 octobre
2. La Commission nationale pour la protection des données Tine A. Larsen Présidente — [ CNPD Thierry Lallemang Membre effectif François Thill Membre suppléant Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7049 portant modification de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. 3/3