Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant
- création de l'Autorité nationale de sécurité et
- modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal Délibération n°25/2020 du 18 novembre 2020 Conformément à l'article 46, paragraphe ler, lettre (c) de la directive (UE) n° 2016/680 du 27 avril 2016 relative à la protection des personnes physique à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée « la Directive »), à laquelle se réfère l'article 8 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ci-après désignée « loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données »), la Commission nationale pour la protection des données (ciaprès désignée « la Commission nationale » ou « la CNPD »), «conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ». Le présent avis a pour objet les amendements au projet de loi n° 6961 portant
- création de l'Autorité nationale de sécurité et
- modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal, amendements que la Commission des Institutions et de la Révision constitutionnelle (ci-après « la Commission ») a adoptés dans sa réunion du 12 juin
- En date du 16 juillet 2018, la CNPD avait rendu un premier avis au sujet du projet de loi n°
- En date du 17 décembre 2019, elle a rendu un avis complémentaire. 2 En date du 13 juillet 2016, la CNPD avait avisé un projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par l'Autorité nationale de Sécurité, règlement à prendre en exécution de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité.3 En 2013 déjà, la CNPD avait par ailleurs rendu un avis relatif à un avant-projet de règlement grand-ducal pris en exécution de l'article 23 de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité.4 1 Délibération n° 444/2018 du 16 juillet 2018 https://cnpd.public.1u/fr/decisions-avis/20171/444-p16961-ANS.html 2 Délibération n° 60/2019 du 17 décembre 2019 https://cnpd.public.1u/fr/decisions-avis/2019/60-autorite-nationale-securite.html 3 Délibération n° 639/2016 du 13 juillet 2016 https://cnpd.public.1u/fr/decisions-avis/2016/SRE.html 4 Délibération n° 274/2013 du 28 juin 2013 https://cnpd.publiclu/fr/decisions-avis/2013/sre.html [ Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant
- création de l'Autorité nationale de sécurité et
- modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 1/4 Article 28 paragraphe
(6)projeté de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité (amendement 9) L'article 28 paragraphe
(6)projeté prévoit ce qui suit : «
(6)Le système informatique par lequel tout accès est opéré est aménagé de sorte que : 1° les membres de l'ANS ne puissent consulter les fichiers auxquels ils ont accès qu'en indiquant leur identifiant numérique personnel, et 2° les informations relatives aux membres de l'ANS ayant procédé à la consultation, ainsi que les informations consultées, la date et l'heure de la consultation sont enregistrées et conseivées pendant un délai de cinq ans, afin que le motif de la consultation puisse être retracé. Les données à caractère personnel consultées doivent avoir un lien direct avec les faits ayant motivé la consultation. » La CNPD estime positif le fait que les fichiers de journalisation seront désormais réglés en détail par le texte dans sa version amendée. Elle suggère encore de prévoir que le motif de la consultation doit être introduit dans le système au moment de la consultation et conservé pendant cinq ans également. En effet, les informations relatives aux agents ayant procédé à la consultation, les informations consultées, la date et l'heure de la consultation ne permettent pas forcément de retracer le motif jusqu'à cinq ans après la consultation. Article 29 bis projeté de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité (amendement 10) L'article 29 bis projeté prévoit ce qui suit : « Art 29bis. — Sécurité des traitements
(1)Toute personne qui agit sous l'autorité du responsable du traitement et qui accède à des données ne peut les traiter que sur instruction du responsable du traitement, sauf en vertu d'obligations légales.
(2)Le responsable du traitement doit mettre en œuvre toutes les mesures techniques et l'organisation appropriées pour assurer la protection des données quYI traite contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite.
(3)En fonction du risque d'atteinte à la vie privée, ainsi que de l'état de l'art et des coûts liés à leur mise en œuvre, les mesures visées au paragraphe
(2)doivent : (
- a)empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement de données (contrôle à l'entrée des installations) ; [ CNPI7 Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant 1. création de l'Autorité nationale de sécurité et 2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 2/4 (
- b)empêcher que des supports de données puissent être lus, copiés, modifiés ou déplacés par une personne non autorisée (contrôle des supports) ; (
- c)empêcher l'introduction non autorisée de toute donnée dans le système d'information, ainsi que toute prise de connaissance, toute modification ou tout effacement non autorisés de données enregistrées (contrôle de la mémoire) ; (
- d)empêcher que des systèmes de traitements de données puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données (contrôle de l'utilisation) ; (
- e)garantir que, pour l'utilisation d'un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu'aux données relevant de leur compétence (contrôle de l'accès) ; (
- t)garantir que puisse être vérifié et constaté l'identité des tiers auxquels des données peuvent être transmises par des installations de transmission (contrôle de la transmission) ; (
- g)garantir que puisse être vérifié et constaté a posteriori l'identité des personnes ayant eu accès au système d'information et quelles données ont été introduites dans le système, à quel moment et par quelle personne (contrôle de l'introduction) ; (
- h)empêcher que, lors de la communication de données et du transport de supports de données, les données puissent être lues, copiées, modifiées ou effacées de façon non autorisée (contrôle du transport) ; (
- i)sauvegarder les données par la constitution de copies de sécurité (contrôle de la disponibilité).
(4)Quiconque effectue un traitement en violation des règles relatives à la confidentialité ou à la sécurité visées aux paragraphes
(1),
(2)et
(3)est puni d'un emprisonnement de huit jours à six mois et d'une amende de 251 à 125.000 euros ou d'une de ces peines seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions des paragraphes
(1),
(2)et
(3)sous peine d'astreinte dont le maximum est fixé par ladite juridiction. » La Commission nationale note que le texte reprend les termes des articles 22 et 23 de la loi abrogée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel et complètera les dispositions actuelles des articles 22, 24 et 28 de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. En revanche, ne sont pas fixés par les textes mentionnés ci-dessus les délais de conservation exacts des fichiers de journalisation y prévus. La CNPD suggère de préciser dans le projet de loi un délai de conservation de 5 ans pour ce qui est des fichiers de journalisation relatifs aux consultations des données dans les systèmes de traitement de données de l'ANS. Il convient de relever que la prescription des délits, (et notamment des infractions pénales prévues par la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, par l'article 29 bis paragraphe
(4)projeté de la loi modifiée du 15 juin 2004 relative CNPL1 Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant
- création de l'Autorité nationale de sécurité et
- modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 3/4 à la classification des pièces et aux habilitations de sécurité ou par les articles 458 ainsi que 509-1 et suivants du Code pénal,) est de 5 ans. Ainsi décidé à Belvaux en date du 18 novembre
- La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2020.11.18 10:31:01 +0100' Tine A. Larsen Présidente CHRISTOPHE Digitally signed by CHRISTOPHE NICOLAS Thierry Thierry Lallemang RUSCHNIANN NICOLAS Date: 2020.11.19 Lallemang 15:59:48 +0100' BUSCHMANN Date: 2020.11.19 Marc Ernest D,i',9,'?E're'r,eed„bY rm, Jean-Pierre D :. 7; 2oCl
- 111
- 109 Lemmer i5a o+ Christophe Buschmann Commissaire Marc Lemmer Commissaire Digitally signed by 15:29:05 +01'00' Thierry Lallemang Commissaire Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant
- création de l'Autorité nationale de sécurité et
- modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 4/4