Projet de loi sur la nationalité luxembourgeoise et portant abrogation de : 1. la loi du 23 octobre 2008 sur la nationalité luxembourgeoise ; 2. la lo

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après : « la CNPD ») a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Faisant suite à la demande lui adressée par Monsieur le Ministre de la Justice en date du 22 mars 2016, la CNPD entend présenter ci-après ses réflexions et commentaires au sujet du projet de loi n°6977 sur la nationalité luxembourgeoise et portant abrogation de la loi du 23 octobre 2008 sur la nationalité luxembourgeoise et de la loi du 7 juin 1989 relative à la transposition des noms et prénoms des personnes qui acquièrent ou recouvrent la nationalité I uxem bourgeoise. La CNPD limite ses observations aux questions traitant des aspects portant sur la protection des données, soulevées plus particulièrement dans le chapitre 12, aux articles 96 à 106 du projet de loi sous examen. Remarque préliminaire De manière générale, la Commission nationale salue que la plupart des principes essentiels issus de la loi modifiée du 2 août 2002 aient été intégrés dans les articles sous rubrique. Certains articles suscitent cependant quelques remarques, développées ci-après. Afin de s'aligner sur la terminologie utilisée dans la loi modifiée du 2 août 2002, la CNPD suggère de remplacer dans tous les articles concernés (ainsi que dans le titre du chapitre) les termes « banque de données » par « fichier » ou « traitements de données ». Article 96 La CNPD s'interroge sur la portée exacte de la finalité visée à l'article 96 point 3° du projet de loi, à savoir « la préservation de l'historique des données à des fins administratives ». Si l'intention était de conserver des données dans le cadre des finalités évoquées aux paragraphes

(1)et

(2)du même article, il conviendrait de supprimer ces termes et de prévoir tout simplement une durée de conservation pour ces donnéesi . En effet, la conservation des données ne peut pas être considérée comme une finalité en soi. ' Voir les commentaires développés sous l'article 97 ci-après. CNP6 Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n°6977 sur la nationalité luxembourgeoise 1/4 Si, au contraire, une finalité spécifique est visée, la Commission nationale estime nécessaire de préciser plus en détail cette disposition, de manière à clarifier queHes sont exactement les « fins administratives » visées par les auteurs du projet de loi. En effet, conformément à l'article 4, paragraphe

(1), lettre (a) de la loi modifiée du 2 août 2002, les données traitées par un responsable du traitement doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités ». Pour autant qu'il ne s'agisse pas de données anonymes2 (telles que visées par la deuxième hypothèse du point 3 de l'article 96), le libellé de l'article 96 point 3° doit être considéré comme étant trop vague. Article 97 Les données figurant dans le fichier relatif à la nationalité luxembourgeoise telles qu'énumérées à l'article 97, apparaissent nécessaires et non excessives. Le catalogue des données est clairement circonscrit. Pour ce qui est du « numéro d'identification » visé à l'article 97 paragraphe

(1)numéros 2, 11, 12 et 13, la Commission nationale suggère de préciser qu'il s'agit du numéro d'identification des personnes physiques, tel què défini par l'article ler de la loi du 19 juin 2013 relative à l'identification des personnes physiques. L'article 4 paragraphe

(1)lettre (d) de la loi modifiée du 2 août 2002 impose au responsable de traitement de vei I ler à ce que les données qu'il traite ne soient pas conservées pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées. Or, le projet de loi sous avis ne contient aucune disposition relative à la durée de conservation des données. La CNPD estime donc nécessaire de préciser le texte du projet de loi en ce sens. Article 98 Alors qu'il ressort implicitement du texte du projet de loi, ainsi que du commentaire relatif à l'article 98, que le Ministre de la Justice est à considérer comme responsable du traitement, la CNPD propose de le préciser dans le corps du texte et suggère le libellé suivant : « Le ministre3 a la qualité de responsable du traitement au sens de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. désigne les agents qui sont en charge, sous son autorité, des opérations relatives à la gestion et à la tenue du fichier relatif à la nationalité luxembourgeoise.» Article 99 Dans le cadre des mesures de sécurité et de confidentialité visées à l'article 99 point 4°, la CNPD estime nécessaire de prévoir un système de traçage des accès aux données, ce qui constitue une garantie en matière de protection des données à caractère personnel des personnes concernées dans le cadre des articles 22 et 23 de la loi du 2 août

1. Ainsi, il La loi modifiée du 2 août 2002 n'a pas vocation à s'appliquer aux données anonymes. Le projet de loi définit la notion de « ministre » dans son article
2. [ CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n°6977 sur la nationalité luxembourgeoise 2/4 conviendrait de rajouter une disposition, à l'instar d'autres lois ou règlements grand-ducaux, qui pourrait avoir la teneur suivante : « Le système informatique par lequel l'accès au fichier est opéré doit être aménagé de sorte que l'accès aux fichiers soit sécurisé moyennant une authentification forte, que les informations relatives à la personne ayant procédé à la consultation, les informations consultées, la date, l'heure et la référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif précis de la consultation puissent être retracés. Les données de journalisation doivent être conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. ». Article 102 Cet article est inspiré des dispositions de l'article 38 de la loi du 19 juin 2013 relative à l'identification des personnes physiques
3. II est vrai qu'un nombre important d'administrations ou services relevant de l'Etat ou des communes ont accès au registre national des personnes physiques. Or, en l'espèce, pour ce qui est du fichier relatif à la nationalité luxembourgeoise, la CNPD est à se demander quelles administrations ou services relevant de l'Etat ou des communes autres que ceux énumérés aux points 10 et 2° de l'article 102 pourraient accéder à ce fichier et pour quelles finalités ? Si aucune autre entité n'a accès audit fichier, quelle serait la raison d'être de cette disposition ? Article 103 L'article 103 du projet de loi semble contenir une erreur matérielle. En effet, la référence à l'article 101

(1)relatif au droit de rectification semble être erronée. Ne devrait-elle pas plutôt se référer à l'article 100

(1)du projet de loi? Article 104 La CNPD fait sienne l'argumentation développée par le Conseil d'Etat dans son avis du 21 juin 2016 en ce qui concerne l'article 104 paragraphe

(2)du projet de loi. Le Conseil d'Etat a à juste titre soulevé qui‹,alors que l'article 41 de la loi précitée du 19 juin 2013 dispose que l'interdiction de communiquer des données figurant au registre national ou communal ne vise pas les autorités, administrations, services, institutions ou organismes qui sont habilités à obtenir de telles données par ou en vertu de la loi, rarticle 104, paragraphe 2, prévoit radoption de règlements grand-ducaux pour déterminer les entités qui peuvent recevoir communication de ces listes. Or, étant donné qu'il s'agit d'une ingérence dans la vie privée des personnes, elle doit, en vertu de l'article 11

(3)de la Constitution, être fixée par une loi. Une telle exception ne saurait dès lors être reléguée à un règlement grand-ducal, sauf à spécifier, en application de l'article 32

(3)de la Constitution, dans la loi les fins, les conditions et les modalités suivant lesquels de tels règlements peuvent être pris. » 5 Loi du 19 juin 2013 relative à l'identification des personnes physiques, au registre national des personnes physiques, à la carte d'identité, aux registres communaux des personnes physiques et portant modification de 1) l'article 104 du Code civil; 2) la loi modifiée du 30 mars 1979 organisant l'identification numérique des personnes physiques et morales; 3) la loi communale modifiée du 13 décembre 1988; 4) la loi électorale modifiée du 18 février 2003 et abrogeant 1) la loi modifiée du 22 décembre 1886 concernant les recensements de population à faire en exécution de la loi électorale et 2) l'arrêté grand-ducal du 30 août 1939 portant introduction de la carte d'identité obligatoire, telle que modifiée. Avis du Conseil d'Etat n° 51.599 du 21 juin 2016 ; p. 23. CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n°6977 sur la nationalité luxembourgeoise 3/4 Article 105 Cette disposition autorise le ministre à délivrer des statistiques à des tiers, à condition que les statistiques « ne permettent pas l'identification des personnes inscrites dans cette banque [de données] ». La CNPD comprend par là que seules des données anonymisées peuvent être communiquées à des tiers à des fins statistiques. A ce titre, elle s'interroge sur la pertinence des paragraphes

(2)à

(4)de l'article 105 en projet. Ne suffirait-il pas de préciser tout simplement que la délivrance des statistiques ne peut se faire que moyennant des données préalablement anonymisées, à l'instar de ce qui est prévu à l'article 96 point 3° du projet de loi sous examen ? Article 106 Selon l'article 106 du projet de loi sous avis, le ministre et les officiers de l'état civil ont le droit d'accéder aux banques de données relatives à l'autorisation de séjour et à la protection internationale. A ce titre, la Commission nationale se rallie à l'avis du Conseil d'Etat du 21 juin 2016 précité. En effet, il s'avère nécessaire d'identifier avec précision les fichiers de données à caractère personnel relatifs à l'autorisation de séjour et à la protection internationale qui sont visés par cet article. II faudrait également préciser quelles données sont strictement nécessaires pour accomplir les missions découlant des finalités précisées à l'article 96 sous analyse. Nonobstant ce qui précède, la CNPD estime nécessaire, d'un point de vue informatique, que soit prévu la mise en place d'une solution technique permettant de garantir que les agents du ministère et les officiers de l'état civil puissent seulement accéder aux données des personnes qui ont introduit une demande d'obtention de la nationalité luxembourgeoise, à l'exclusion des données relatives aux autres personnes se trouvant dans les fichiers relatifs à l'autorisation de séjour et à la protection internationale. En d'autres termes, seule l'ouverture d'un dossier administratif à l'occasion de l'introduction d'une demande d'obtention de la nationalité luxembourgeoise ouvrirait aussi le droit pour ledit ministère et les officiers de l'état civil d'accéder aux fichiers visés à l'article 106 du projet de loi et auxquels ils n'auraient pas accès en l'absence d'un dossier administratif relatif à une demande d'obtention de la nationalité uxembourgeoise. Par ailleurs, le système de traçage des accès, tel que décrit dans le cadre de l'article 99 du projet de loi, devrait également être implémenté. Ainsi décidé à Esch-sur-Alzette en date du 14 octobre 2016. La Commission nationale pour la protection des données (4,) Tine A. Larsen Présidente Thierry Lallemang Membre effectif François Thill Membre suppléant Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n°6977 sur la nationalité luxembourgeoise 4/4