← Luxembourg

Projet de loi portant organisation de la Commission nationale pour la protection des données et mise en ceuvre du règlement (UE) 2016/679 du Parlement

sf. LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Personne en charge du dossier: Jean-Luc Schleich It 247 - 82954 Luxembourg, le 6 juin 2018 SCL : L 5384 — 1045 / nb V/réf. 52.422 Doc. parl. 7184 Objet : Projet de loi portant organisation de la Commission nationale pour la protection des données et mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État. Monsieur le Président, À la demande du Ministre des Communications et des Médias, j'ai l'honneur de vous faire parvenir en annexe, le deuxième avis complémentaire de la Chambre de commerce portant sur les amendements gouvernementaux du 14 mai 2018 ainsi que les avis de la Cour supérieure de Justice, du Tribunal d'Arrondissement de et à Luxembourg et des Parquets de Luxembourg et de Diekirch portant sur les amendements gouvernementaux du 8 mars 2018 relatifs au projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement Jean-Luc Schleich Inspecteur 43, boulevard F.-D. Roosevelt Tél. (+352) 247-82952 scl@scl.etat.lu www.gouvernement.lu L-245o Luxembourg Fax (+352)46 74 58 www.legilux.lu www.luxembourg.lu MINISTERE D'ÉTAT Sarvice des Mitidias el dos Communications ' Entrée le. Luxembourg, le 28 mai

  1. 3 0 MAI 2018 CHAMBRE DE COMM ERCE No: e- • LUXEMBOURG 1 /- Monsieur Xavier Bettel Ministre d'Etat Ministre des Communications et des Médias 5, rue Large L-1917 Luxembourg N.Réf. SBE/DJI Objet : Amendements gouvernementaux au projet cie loi n°7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. (492lterSBE) Monsieur le Premier Ministre, Répondant à votre saisine, j'ai l'honneur de vous faire parvenir, sous ce pli, le deuxième avis complémentaire de la Chambre de Commerce sur les amendements gouvernementaux au projet de loi mentionné sous rubrique. Veuillez agréer, Monsieur le Prernier Ministre, l'expression de ma haute considération. Michel Wurth Président G IJURIDIOUDA.Is'201814921IerSBE_IetIres_COMMUNICATIONS ET MEDIAS docs Adresse postale: Bureaux: Chambre de Commerce L-2981 Luxembourg 7, rue Alcide de Gasperi Luxembourg Tél.: (+352) 42 39 39-1 Fax: (+352) 43 83 26 Mail: chamcom@cc.lu Web: www.cciu (E DE COMMERCE LUXEMBOURG Luxembourg, le 28 mai 2018 Objet : Amendements gouvernementaux au projet de loi n°7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. (4921terSBE) Saisine : Ministre des Cornmunications et des Médias (25 mai 2018) DEUXIEME AVIS COMPLEMENTAIRE DE LA CHAMBRE DE COMMERCE La Chambre de Commerce, qui a déjà eu l'occasion de commenter le projet de loi n° 7184 ainsi que les premiers amendements gouvernementaux du 8 mars 20181 (au nombre de 35), est saisie pour avis d'une nouvelle série d'amendements gouvernementaux déposés le 15 mai 2018 à la Chambre des Députés, qui visent spécifiquement les traitements de données personnelles dans le cadre de la surveillance des salariés sur le lieu de travail. Le premier de ces deux amendements gouvernementaux du 15 mai 2018 tend à amender l'article 71 du projet de loi n°7184, modifiant le libellé de l'article L. 261-1 du Code du travail, qui avait été introduit par l'un des amendements gouvernementaux du 8 mars 2018 (spécialement l'amendement 28). La Chambre de Commerce observe par ailleurs que, le 17 mai 2018, la commission de l'Enseignement supérieur, de la Recherche, des Médias, des Communications et de l'Espace de la Chambre des Députés a adopté une série d'amendements parlementaires. Si aucun de ces amendements parlementaires ne porte sur l'article 71 du projet de loi n°7184 (respectivement sur larticle L. 261-1 du Code du travail), la Chambre de Commerce observe néanmoins que dans le texte coordonné du projet de loi joint auxdits amendements parlementaires, figure le libellé de l'article 71 tel qu'il avait été proposé par les premiers amendements gouvernementaux du 8 mars 2018 (spécialement par l'amendement 28). 1 Cf l'avis initial de la Chambre de Commerce du 5 févner 2018 sur le projet de loi n° 7184 et l'avis complémentaire du 30 mars 2018 sur les amendements gouvernementaux du 8 mars 2018 dans lesquels la Chambre de Commerce avancent un certain nombre d'arguments juridiques pour demander l'abrogation les articles L. 261-1 et L. 261-2 du Code du travail concernant le traitement des données à caractère personnel à des fins de surveillance des salariés sur le lieu de travail. G LiuRIDIDUEVms\201Ett4921terSBE_Ameridernents au Pl_créatIon CNPD et RGPD docx CHAMBREDE COMMERCE LuxEmBouRG -2- La Chambre de Commerce regrette d'emblée qu'au Luxembourg, la question du nouveau régime qui sera applicable, suite à l'entrée en vigueur du RGPD, aux traitements de données personnelles dans le cadre de la surveillance des salariés sur le lieu de travail, ne soit toujours pas tranchée et déplore l'insécurité juridique qui en découle pour les nombreuses entreprises concernées par de tels traitements. A titre principal, la Chambre de Commerce réitère le souhait exprimé dans son avis initial du 5 février 2018 (concernant le projet de loi n°7184) de voir abroger purement et simplement l'actuel article L. 261-1 du Code du travail (et corrélativement l'article L. 261-2), en précisant que l'avis complémentaire de la CNPD du 25 avril 2018 a mis en évidence la nonconformité du libellé actuel de l'article L. 261-1 du Code du travail au RGPD, d'une part, et à la jurisprudence européenne, d'autre part. Subsidiairement, si le Gouvernement (et le législateur) persistent dans leur intention de maintenir et adapter l'article L. 261-1 du Code du travail, en se fondant sur l'article 88 du RGPD2 qui permet aux Etats membres d'introduire des dispositions spécifiques en matière de traitement de données dans le cadre des relations de travail, la Chambre de Commerce estime nécessaire, compte tenu de la succession de deux projets d'amendements gouvernementaux (du 8 mars et du 15 mai 2018) portant sur l'article L. 261-1 du Code du travail, de prendre position comme suit : 1) Concernant le libellé de l'article L. 261-1 du Code du travail proposé par le biais de l'amendement 28 du 8 mars 20183, la Chambre de Commerce renvoie tout d'abord à son avis complémentaire du 30 mars 2018 dans lequel elle a soulevé des arguments juridiques de nature à démontrer que ce projet de libellé n'est conforme ni à l'esprit, ni à la lettre du RGPD. Elle donne encore à considérer que les mêmes conclusions ont été tirées par le Conseil de l'ordre des avocats du barreau de Luxembourg, dans son avis du 30 mars 2018, et par la CNPD, dans son avis complémentaire précité du 25 avril
  2. Les deux institutions ont formulé un certain nombre de critiques juridiques en s'appuyant sur la nouvelle philosophie du RGPD (fin des contrôles ex-ante et responsabilisation des entreprises) et les nouvelles obligations mises à la charge des entreprises (obligations de documenter leur conformité, nouveaux pouvoirs de contrôle et de sanctions cie la CNPD notamment) pour considérer que le RGPD offrait toutes les garanties adéquates en matière de traitement de données sur le lieu de travail. Par ailleurs, elles ont toutes les deux mis en exergue le risque que soit réintroduit le système d'autorisation préalable à travers la procédure d'avis préalable, tant la frontière entre les deux procédures est ténue. La CNPD a même conclu que la procédure d'avis préalable de la CNPD risquait de se trouver en conflit avec les articles 35 et 36 du RGPD (respectivement relatifs à l'analyse d'impact et à l'obligation de consulter préalablement de la CNPD en cas d'analyse d'impact révélant un risque élevé pour les personnes). L'article 88 du RGPD est intitulé « Traitement de données dans le cadre des relations de travail ». Pour rappel, parmi les amendements gouvernementaux du 8 mars 2018, l'amendement 28 du 8 mars 2018 insère un nouvel article 71, dans le projet de loi n°7184, ayant pour objet de modifier le libellé actuel de l'article L. 261-1 du Code du travail. 2 3 GUURIDIQUE \Aws12018149211erSBE_Amendernents au PL_créatIon CNPD et RGPD docx (REDE COMMERCE LUXEMBOURG -3- II est ressort clairement que l'article 88 du RGPD qui autorise des mesures spécifiques dans le cadre des relations de travail ne permet pas d'adapter l'article L. 261-1 du Code du travail en contradiction aux principes essentiels du RGPD. En conclusion. la Chambre de Commerce réitère son opposition au projet de libellé de l'article L. 261-1 du Code du travail tel qu'il ressort de l'amendement 28 du 8 mars 2018 ainsi que son souhait de le voir abroger purement et simplement (ilen va corrélativement de même pour l'article L. 261-2). 2) Concernant le libellé de l'article L. 261-1 du Code du travail proposé par le biais de l'amendement gouvernemental 1 du 15 mai 2018 sous avis, la Chambre de Commerce relève qu'il s'agit d'une réécriture de la version du 8 mars 2018 et, de manière générale et qu'il a été tenu compte d'un certain nombre des critiques rédhibitoires formulées tant par la Chambre de Commerce, dans son premier avis complémentaire du 30 mars 2018, que la CNPD, dans son avis complémentaire du 25 avril
  3. La Chambre de Commerce regrette néanmoins que la possibilité pour la délégation du personnel (respectivement les salariés) de demander un avis préalable à la CNPD soit maintenue considérant que, par principe, toute surveillance qui respecte les principes du RGPD doit être possible sans qu'aucun avis préalable de la CNPD n'ait à être demandé, d'autant plus que l'amendement 1 du 15 mai 2018 exige de tout employeur qui mettrait en ceuvre une surveillance sur le lieu de travail de s'engager formellement à ne pas utiliser les données collectées pour une finalité autre que celle initialement prévue. Si la possibilité de demander un avis préalable à la CNPD devait néanmoins être maintenue, la Chambre de Commerce insiste à tout le moins pour que cette demande d'avis ne soit pas suspensive, considérant qu'un tel effet suspensif fait planer un soupçon de non-conformité du traitement alors que celle-ci ne peut être décidée que par la CNPD (et non par la loi). En effet, si l'amendement gouvernemental 1 du 15 mai 2018 sous avis limitait à un mois l'effet suspensif de la demande, iI n'en resterait pas moins que l'employeur ne serait pas « autorisé » à effectuer le traitement envisagé pendant ce délai, au regard du droit du travail. A cet égard, la Chambre de Commerce tient à souligner que le report de la mise en oeuvre d'un traitement (même d'un mois) n'est pas admissible dans la mesure oùil mettrait les entreprises ayant l'obligation légale d'effectuer un tel traitement en vertu d'une autre législation (tel que l'enregistrement des communications téléphoniques et électroniques imposé par MIFID II) face à un dilemme inextricable. En effet, quoi qu'elle fasse, l'entreprise contreviendrait à la loi : a) si elle se plie à l'article L.261-1 du Code du travail (qui, selon l'amendement 1 du 15 mai 2018, prévoit l'interdiction de procéder au traitement endéans le délai d'un mois en raison de l'effet suspensif de la demande d'avis préalable), l'entreprise contreviendra à la loi qui impose la mise en place de ce traitement sans délai, G uuRlaouEhAv,s\20181A921terSBE_Amen4ements au Pl_créaten CNPD et RGPD 0003 CHAMBRE DE COMMERCE LUXEMBOURG -4- b) à l'inverse, si elle respecte les exigences légales spécifiques qui imposent la mise en place de ce traitement sans délai, l'entreprise contreviendra au droit du travail qui prévoit que la demande d'avis de la CNPD a un effet suspensif. Dans tous les cas, l'entreprise s'exposera soit à des sanctions pénales, soit à des amendes administratives importantes. La Chambre de Commerce est également d'avis que le même risque de contradiction existera avec l'article L. 211-29 du Code du travail qui impose à tout employeur de tenir un registre spécial ou un fichier de manière à renseigner depuis une loi du 14 mars 2017,le début, la fin et la durée du travail journalier de ses salariés
  4. Aux yeux de la Chambre de Commerce. la marge de manceuvre laissée aux Etats membres par l'article 88 du RGPD de pouvoir adopter des dispositions spécifiques en matière de traitement de données sur le lieu de travail, ne peut en toute hypothèse pas aboutir à ce que l'entreprise soit empêchée - méme temporairement - de remplir ses obligations légales ou soit contrainte de se mettre « hors la loi ». F nalement, en dépit de son opposition de principe à maintenir et adapter l'article L. 2611 du Code du travail et dans le seul but de permettre de régler la situation inextricable décrite ci-avant, la Chambre de Commerce insiste à tout le moins pour que, sous l'amendement 1 du 15 mai 2018, le paragraphe

(4)soit complété comme suit « Cette demande a un effet suspensif pendant ce délai, sauf lorsque le traitement répond à une obliqation légale ou réqlementaire. » Cette proposition de reformulation s'inscrit dans la même logique que le nouveau libellé du paragraphe
(3), issu de l'amendement gouvernemental 1 sous avis, qui prévoit que les dispositions prévues respectivement aux articles L. 211-8, L.414-9 et L. 423-1 (imposant la codécision) s'appliquent, sauf lorsque le traitement répond à une obliqation léqale ou réqlementaire, cette dérogation étant justifiée par le fait que le traitement imposé par la loi ne peut risquer de faire l'objet d'une opposition en codécision et de se trouver bloquer (cf. commentaire de l'amendement 1 sous avis). Après consultation de ses ressortissants, la Chambre de Commerce ne peut approuver les amendements gouvernementaux sous avis en l'état et demande, à titre principal, l'abrogation pure et simple des articles L. 261-1 et L. 261-2 du Code du travail. A défaut d'abroger lesdits articles L. 261-1 et L. 261-2 du Code du travail, la Chambre de Commerce demande la modification de l'amendement gouvernemental 1 du 15 mai 2018 conformément à sa remarque. SBE/DJI Depuis une loi du 14 mars 2017, l'article L. 211-29 du Code du travail est libellé comme suit « L'employeur est tenu d'inscrire sur un registre spécial ou sur un fichier le début, la fin et la durée du travail journalier ainsi que toutes les prolongations de la durée normale du travail, les heures prestées les dimanches, les jours fériés légaux ou la nuit ainsi que les rétributions payées de l'un ou de lautre de ces chefs. Ce registre ou fichier est à présenter à toute demande de la part des agents de l'Inspection du travail et des mines.» G UURIDIQUE;AvIs \201814921tersBE_Amendernents au PL_creation CNPD el RGPD docx 1 . Projet d'amendements gouvernementaux au projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. AVIS de la Cour Supérieure de Justice En date du 5 mars 2018, Monsieur le Ministre des Communications et des Médias a sollicité de la Cour Supérieure de Justice (la Cour) un avis sur les amendements gouvernementaux au projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données, portant modification de la loi du 25 mars 2015 fixant le régime et les conditions et modalités d'avancement des fonctionnaires de l'État et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (le règlement (UE) 2016/679). Le premier amendement concerne l'ajout dans l'intitulé de la loi d'une référence au Code du travail « portant modification du Code du travail », aux fins de prendre en compte les modifications apportées à l'article L.261-1 du Code du travail, ajout qui est pertinent au regard de la modification apportée par l'article 71 du projet de loi n°7184 au Code du travail. Par les deuxième et troisième amendements, les auteurs des amendements entendent insérer un nouveau titre ler, intitulé « Dispositions générales » et un nouveau chapitre premier pour déterminer expressément le champ d'application de la loi « ratione materie » et « ratione personae » par l'insertion d'un nouvel article 1er et par la transformation de l'article 55 du projet de loi (Les dispositions du présent chapitre s'appliquent aux responsables du traitement et aux sous-traitants établis sur le territoire luxembourgeois) en article 2 sous le titre I chapitre
  1. Le quatrième amendement proposé concerne le contenu du nouvel article 1er du projet de loi relatif au champ d'application « ratione materie » pour tout traitement de données à caractère personnel par les organismes du secteur public. II étend le 1 champ d'application du règlement (UE) 2016/679 et de la nouvelle loi à tous les traitements qui ne sont pas couverts par ledit règlement et la loi relative à la protection des personnes physiques à l'égard des traitements des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Selon les auteurs de l'amendement, il y aurait lieu de remédier à une situation de vide juridique et d'éviter de créer un troisième régime de protection des données à caractère personnel qui ne prêterait qu'à confusion tant pour les personnes concernées que pour les responsables de traitement et sous-traitants, eu égard au fait que l'article 2, paragraphe 2, lettre a, du règlement (UE) 2016/679 exclut du champ d'application dudit règlement les activités qui ne relèvent pas du champ d'application du droit de l'Union et eu égard au fait que le champ d'application de la nouvelle loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale serait également limité. Conformément aux traités de l'Union européenne, le règlement (UE) 2016/679 exclut de son champ d'application des questions de protection des libertés et droits fondamentaux ou de libre flux des données à caractère personnel concernant des activités, telles que les activités relatives à la sécurité nationale. De même, le règlement exclut de son champ d'application le traitement des données à caractère personnel par les États membres dans le contexte de leurs activités ayant trait à la politique étrangère et de sécurité commune de l'Union (point 16 des considérants du règlement (UE) 2016/679). Or, abstraction faite de ce qu'il paraît étonnant d'étendre, par une loi nationale, le champ d'application d'une disposition européenne, il faut observer qu'à l'instar des traitements visés par la directive 2016/680 et le projet de loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, les activités relevant de la sécurité nationale et de la sécurité commune de l'Union ou de la politique étrangère nécessitent des règles respectant la nature spécifique de ces activités d'autorité publique et de prérogatives de puissance publique. Dans ce domaine, les règles régissant la protection des données personnelles doivent allier les droits des personnes quant à leurs données personnelles aux impératifs de protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Eu égard au caractère spécifique de la sécurité nationale et européenne ou de la politique étrangère, ni le règlement (UE) 2016/679 ni la loi portant création de la Commission nationale pour la protection des données ne semblent partant pouvoir constituer des dispositions adéquates pour régler les questions de protection des données à caractère personnel dans ce domaine spécifique. La Cour relève encore que les auteurs de l'amendement ne donnent aucun exemple d'activités pour lesquelles il existerait un vide juridique. Le septième amendement inclut des précisions quant à la comptabilité à tenir par la Commission Nationale pour la Protection des données (CNPD) et n'appelle pas d'observation de la part de la Cour. 2 Le neuvième amendement concerne les astreintes que la CNPD peut infliger au responsable du traitement ou au sous-traitant en fixant un maximum de 5% du chiffre d'affaires journalier moyen réalisé au cours de l'exercice social précédent, sur base notamment des renseignements fournis par l'administration de l'Enregistrement et des Domaines, et les douzième et treizième amendements prévoient la prescription de l'astreinte par trois ans en déterminant également un point de départ spécifique en rapport avec l'action de la CNPD, les auteurs des amendements relevant que la référence aux articles 2059 à 2066 du Code civil ne suffit pas. Les précisions apportées par les amendements répondent à une exigence de sécurité juridique et n'appellent pas d'autres observations de la part de la Cour. Le dixième amendement ajoute une sanction consistant dans la possibilité de la condamnation à publier les décisions de la CNPD dans les journaux nationaux, sanction qui était déjà prévue dans la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel et qui, d'après les auteurs de la loi, s'est avérée utile et persuasive. L'article 84 du règlement (UE) 2016/679, disposant que les États membres peuvent déterminer le régime des autres sanctions applicables en cas de violations du règlement, la Cour ne voit pas d'objection à cet amendement. Le quatorzième amendement propose un nouveau chapitre 3 portant instauration d'un Commissariat du Gouvernement à la protection des banques de données de l'Etat, placé sous l'autorité du ministère d'Etat, et les amendements 15 à 27 déterminent les missions, le fonctionnement et le personnel dudit Commissariat. Les amendements en question visent à créer, au niveau du ministère d'Etat, une structure spécialisée centrale ayant vocation à mettre à disposition de tous les départements de l'Etat une expertise juridique et pratique solide dans cette matière sensible et complexe au vu des progrès rapides des technologies numériques et électroniques, de l'ampleur des données personnelles à gérer et d'une plus grande prise de conscience du citoyen en matière de protection des données personnelles. La création du Commissariat vise également à éviter de devoir recruter, pour répondre à l'obligation de désigner un délégué à la protection des données, un spécialiste en matière de protection des données à caractère personnel dans chaque autorité ou organisme public ou, à tout le moins, dans la plupart des autorités ou organismes publics. Selon les auteurs des amendements, la création d'un Commissariat du Gouvernement à la protection des banques de données de l'Etat répond au souci d'assurer une démarche homogène et effective dans la gestion de la conformité des départements ministériels et administrations publiques avec le nouveau régime de la protection des données à caractère personnel et ses exigences de mise en oeuvre proactive, le Commissariat étant appelé à jouer le rôle de délégué à la protection des données par défaut, ainsi qu'un rôle d'appui et de coordination à travers toute l'administration 3 étatique, en étroite liaison avec les interlocuteurs internes au sein des départements ministériels et administrations publiques et leurs dirigeants qui maîtrisent les besoins et choix de fonctionnement et la configuration des applications-métier. Si la création d'un Commissariat du Gouvernement à la protection des banques de données de l'Etat peut être bénéfique pour une harmonisation et une application uniforme des règles en matière de protection des données à caractère personnel dans le secteur public, il faudra veiller à ne pas instaurer une structure trop lourde et éloignée des responsables des traitements et des personnes concernées. Le 28e amendement concerne la modification de l'article 261-1 du Code du travail afin de le rendre conforme au règlement (UE) 2016/679 et de renforcer les droits des salariés en matière de mise en oeuvre des traitements de données à caractère personnel à des fins de surveillance des salariés sur le lieu de travail. La modification de l'article 261-1 du Code du travail vise ainsi surtout à renforcer le dialogue social dans le cadre de l'introduction ou de l'application d'installations techniques ayant pour objet de contrôler le comportement et les performances des salariés sur leur lieu de travail et de mieux protéger les salariés contre d'éventuels abus. Pour le cas où un employeur entend mettre en oeuvre un traitement des données à caractère personnel soumis à codécision, l'amendement prévoit la possibilité, pour les parties impliquées, de soumettre, en cas de désaccord, une demande d'avis préalable relative à la conformité de ce projet à la Commission nationale pour la protection des données. Si, à la fin de la procédure, le cas échéant, après avoir soumis le litige à l'Office national de conciliation, aucun accord n'est trouvé, le projet de traitement à des fins de surveillance ne pourra pas être mis en oeuvre. A côté du droit individuel à l'information dont dispose de toute façon chaque salarié en vertu des articles 13 et 14 du règlement (UE) 2016/679, l'actuel paragraphe 2 prévoit en plus un droit collectif à l'information des salariés. Cette information a comme corollaire le droit accordé à la délégation du personnel ou aux salariés, dans les entreprises qui ne sont pas assujetties à l'obligation d'installer une délégation, de demander un avis de conformité préalable à la CNPD. Le fait de demander un avis préalable tient en suspens toute exécution de la mesure envisagée. Si la modification de l'article 261-1 du Code du travail ne suscite pas d'observations de la part de la Cour en ce qu'elle renforce les droits des salariés en la matière, elle ne répond pas à la question de la valeur de la preuve dans le cadre des litiges entre employeurs et salariés obtenue au moyen des instruments de surveillance mis en place. Tous les amendements non spécifiquement commentés dans le présent avis concernent des agencements ou des précisions d'ordre rédactionnel ou numérique, qui tiennent notamment compte des propositions d'amendements et sont pertinents à cet égard. 4 GRAND-DUCHÉ DE LUXEMBOURG TRIBUNAL D'ARRONDISSEMENT DE ET A LUXEMBOURG Cabinet du Président Cité Judiciaire L-2080 Luxembourg Luxembourg le 29 mars 2018 BRM.- Retransmis à Madame le Procureur Général d'Etat Martine SOLOVIEFF l'avis du tribunal d'arrondissement de et à Luxembourg rédigé par Monsieur le premier juge Jean-Luc PUTZ concernant le projet d'amendements gouvernementaux au projet de loi n° 71 84 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Joséane SCHROEDER Présidente du tribunal d'arrondissement de Luxembourg En mains le transmis du 8 mars 2018 par lequel le Tribunal d'arrondissement de Luxembourg est sollicité dans son avis concernant le projet d'amendements gouvernementaux au projet de loi n°
  2. II convient de préciser dans un premier temps que l'avis du Tribunal d'Arrondissement n'avait pas été sollicité concernant le projet de loi de base et que le seul avis des juridictions luxembourgeoises qui a été publié est celui de la Cour Supérieur de Justice du 20 novembre 2017 (doc. parl. 7184/02). Les amendements suivants appellent un commentaire de la part du Tribunal : Amendement 4 — Généralisation du champ d'application pour le secteur public Première observation Cet amendement a pour objectif d'assurer que les activités qui ne sont pas couvertes par la Directive (régime général) ou le Règlement (régime pénal) sont malgré tout couvertes par le Règlement. La formulation est délicate et confuse (« tout traitement non couvert par le Règlement est couvert par le Règlement »). En d'autres termes, le législateur luxembourgeois décide d'étendre le champ d'application du droit de l'Union au-delà de son champ d'application. II intègre ainsi à l'ordre juridique national une norme d'origine européenne. Si les implications constitutionnelles d'une telle démarche devront être analysées, il faut encore constater que le législateur luxembourgeois ne peut en aucun cas rendre applicables les dispositions du Règlement qui engagent les organes européens (Commission, comité européen de la protection des données, etc.) ou les autres Etats membres (p.ex. coopération avec des autorités chef de file étrangères). De même, la Cour de Justice de l'Union ne pourrait être saisie pour interpréter une disposition si dans le cas d'espèce, le Règlement ne s'applique pas directement, mais uniquement parce que le Luxembourg en a étendu le champ d'application. Seconde observation Le Règlement est en particulier inapplicable aux autorités de poursuite pénale (Art. 2
(2)pt. d). Ces autorités sont régies par la Directive 2016/680, qui est en cours de transposition. Selon l'état actuel du projet de loi n° 7168, l'article 18 précisera : « Lorsque les données à caractère personnel sont relatives à des faits qui font l'objet d'une enquête préliminaire, d'une instruction préparatoire ou qui ont été renvoyés devant une juridiction de jugement, les droits visés aux articles 13, 14 et 16 sont exercés conformément aux dispositions du Code de procédure pénale ou à d'autres dispositions légales applicables ». Or, quasiment toute l'activité pénale du Tribunal d'Arrondissement (juge d'instruction, chambre du conseil, juridictions du fond) tombent sous cette exception. Par conséquent, lors de ces procédures, les droits d'accès, d'opposition et de rectification seront exercés « conformément à d'autres dispositions légales applicables 1 Selon l'amendement commenté, il serait désormais clair que comme « autre disposition », le Règlement 2016/679 s'appliquerait. Dès lors, pour l'exercice de ces droits fondamentaux dans le cadre des phases centrales de la procédure pénale, ce sera le régime général de la protection des données (Règlement) et non le régime spécifiquement conçu pour les poursuites pénales (Directive) qui trouverait application Le Tribunal avait déjà souligné ce contresens et sa potentielle contrariété au droit européen dans son avis relatif au projet de loi (doc. parl. 7168/02). Amendements 9 et 12 — sanctions administratives Le Tribunal constate qu'en matière de protection des données, tout comme dans de nombreuses autres matières, le volet répressif n'est plus assuré par le droit pénal, mais par des mesures et sanctions de nature administrative. Si cette évolution soulève en soi de nombreuses interrogations, 1 faut cependant constater qu'en plus, pour chaque nouvelle sanction administrative, un régime procédural propre est mis en place. S'il est certes vrai que le législateur s'est inspiré dans ce cas précis du texte applicable en matière de concurrence déloyale, ii ne s'agit pas moins de deux textes distincts, par exactement identiques, et qui pourrait évoluer différemment à l'avenir. Ce morcellement des régimes juridiques est préjudiciable à la cohérence du droit et à la sécurité juridique. Le droit pénal a pour mérite que s'il sanctionne des comportements dans les domaines les plus variés, le régime commun de la sanction (droit pénal général) et surtout celui de la procédure (code de procédure pénal) restent unifiés. II faudra songer à élaborer un régime cohérent et de préférence unique de la sanction administrative. Amendements 14 à 19 — délégués et commissaire du Gouvernement II faut saluer la décision de mettre un place un pôle de compétences au sein d'un service dédié auprès du Ministère d'Etat, pour garantir une application cohérente de la réglementation en matière de protection des données. En vertu de la séparation des pouvoirs, les juridictions n'auront cependant pas accès à ces ressources et compétences. La désignation d'un délégué à la protection des données est obligatoire pour le volet pénal. Pour les autres activités des tribunaux, tombant sous le régime du Règlement, les juridictions ne sont pas obligées de mettre en place des délégués. Le Parquet Général a toutefois pris la décision de nommer un délégué par juridiction. Si les autorités ont vu la nécessité de mettre en place au niveau des Ministères et administrations un pôle de compétence avec des ressources humaines nouvelles et spécifiquement dédiées à la protection des données, elles ne peuvent nier que les Cours et Tribunaux ont également besoin d'un renfort en capacités humaines et techniques pour assurer le respect de la nouvelle réglementation. Rappelons que les juridictions traitent des données particulièrement sensibles en grand nombre. Le Tribunal reformule dès lors sa revendication, déjà détaillée dans le doc. parl. 7168/02, que les délégués devront disposer de moyens suffisants, soit par un poste central à créer au Parquet général (équivalent du commissariat à la protection des données), soit par une libération en tout ou partie des délégués à la protection des données, soit par une compensation sous forme de prime. 2 Amendement 28 — Surveillance sur le lieu de travail Même si le Tribunal d'Arrondissement n'est pas concerné directement par le droit du travail, qui est traité en première instance au niveau des justices de paix et en appel par la Cour Supérieure de Justice, il entend néanmoins formuler des observations quant à un texte qui paraît particulièrement problématique :
  1. a)II faut constater tout d'abord que sous la nouvelle formulation, les cas d'ouverture de la surveillance ne sont plus limités à quelques cas particuliers. Ce n'est que la procédure de codécision qui doit s'appliquer dans les trois cas énumérésl.
  2. b)La notion de « surveillance » n'est plus définie suite à l'abrogation de la loi de 2002. II faudrait songer à introduire une notion clarifiant la finalité de la surveillance. Tout employeur est en effet obligé de traiter de nombreuses données, et de « surveiller » ses salariés, par exemple parce que selon la jurisprudence il est responsable pour veiller à ce que ses salariés respectent les limitations de la durée de travail et que, depuis une loi de 2017, il doit inscrire le début et la fin du travail journalier pour chaque salarié (L. 211-29).
  3. c)Le renvoi à l'article L. 211-8 (règlement d'horaire mobile) ne fait pas de sens. II n'y a pas de raison pourquoi cet article ne s'appliquerait pas.
  4. d)II y a lieu d'omettre la référence au « comité mixte » et donc également à l'article L. 423-1, sinon au moins d'inclure les mêmes dispositions transitoires et abrogatoires que celles qui sont prévues dans la loi du 23 juillet 2005 portant réforme du dialogue social. A défaut, le Code du travail manquera de cohérence.
  5. e)Le renvoi à l'article 414-9 est-il à interpréter en ce sens qu'il y a codécision dans tous les cas où uniquement si l'entreprise compte plus de 150 salariés ?
  6. f)Le texte qui prévoit qu « en cas de désaccord », il peut être recouru à une demande d'avis préalable de la CNPD semble viser le cas d'un désaccord dans le cadre de la procédure de codécision. II convient de rappeler que déjà à l'heure actuelle, les procédures de résolution d'un désaccord en matière de co-décision sont d'une complexité redoutable et se décomposent en une procédure impliquant différentes réunions (schéma en annexe 1) et une procédure de médiation (schéma en annexe 2), étant précisé qu'à ce jour, les médiateurs n'ont pas encore été nommés. Est-ce utile d'ajouter dans ce méandre procédural une autre possibilité de prendre un avis de la CNPD. A quel stade de ces procédures cet avis devrait-il intervenir ? Les délais sont-ils interrompus ?
  7. g)II faut également s'interroger dans quelle mesure il est opportun que la CNPD intervienne dans les conflits entre partenaires sociaux. La valeur juridique de son Par ailleurs, la phrase « lorsque le traitement des données à caractère personnel est mis en ceuvre pour le contrôle temporaire de production ou des prestations du salarié, lorsqu'une telle mesure est le seul moyen pour déterminer le salaire exact » ne donne plus de sens dans la version remaniée du texte. Elle signifie que si ce n'est pas le seul moyen pour déterminer le salaire exact, l'employeur peut mettre en ceuvre le traitement dans le respect du Règlement 2016/679, sans devoir obtenir l'accord de la délégation du personnel. 3 « avis de conformité » mériterait aussi d'être clarifiée. En outre, les discussions entre partenaires sociaux ne portent pas seulement sur la légalité des mesures prises, mais surtout sur leur opportunité dans le cadre des relations sociales intérieures à l'entreprise. Ce n'est pas parce que la CNPD dit que le traitement ne se heurte pas au Règlement que la délégation du personnel devrait l'accepter.
  8. h)La notion de « législation sur le contrat de droit privé » est inhabituelle et peu claire.
  9. i)La référence aux « personnes tombant sous l'empire d'un régime statutaire » est à omettre : tout d'abord, le Code du travail dans son ensemble ne vise que les personnes travaillant sous un régime contractuel. Enfin, l'article L. 261-1 ne vise que la surveillance des « salariés », ce qui exclut (outre les stagiaires, apprentis, personnes sous contrat d'insertion, etc.) toutes les personnes sous régime statutaire. L'article L. 261-1 ne leur étant pas applicable, il ne fait pas de sens d'y prévoir une consultation de leurs organes représentatifs.
  10. j)L'information de l'ITM préalable à la mise en place d'une surveillance sur le lieu de travail pose la question des compétences que cette administration aurait pour intervenir, et comment ces compétences se combinent avec celles de la CNPD.
  11. k)II serait intéressant d'analyser en détail dans quelle mesure une surveillance sur le lieu de travail peut également qualifier de « profilage » au sens du Règlement 2016/679, et de veiller à la cohérence des textes. Le « profilage » est défini notamment comme « toute forme de traitement automatisé des données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique » (Art. 4 point 4 du Règlement). 4 Annexe 1 — Procédure de co-décision Président de la détégation chef crentreprise fization des points sur Yordre du jour 50 % des délégués ajaute de points sur Vordre du iour f Réunion déliegaton chaf d'entrepr'se et asestartts accord x desaccord é maridat de negociation pour e bureau Réunion bumaw iàce + creiseife#1+ shef erentrepe iet aseistains désaocord accord information de la délégation Point edopteirejete paeOCdéciefort de. renegatiarion Décision de dernaoder renégortation ? 1 NON ut Réunion déégatom + chef trentreprise et assetants I accord désaccord ' ,mrezdemere,fferarimitemwsereeedee, „e- ,‘ accord .couuttun accord d'adopter o de eata e poirit diàaccord déseccord o pas eaccord 5 Annexe 2 — Procédure en cas de désaccord en matière de co-décision saisine de rITM « pré-médiation » par FITM maxi mois certificat de non-résolution du ritige procédure négrociée saisine du Directeur de FITM saisine de la Commission de Médiation désignation crun Médiateur Kornenium azoordo trne ausort, ina:C. 3 MOLS Procédure de Médiation (PV
  12. de)désaccord conflit éconornique litige juridique saisine des Tribunaux saisine de Office National de Coneiliation fONC) ilité de faire usage du droit de grève 6 litige tranché par jugement ou arrét Proiet d'amendements qouvernementaux au proiet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en oeuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'éqard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le réqime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l'éqard du traitement des données à caractère personnel Avis des Parquets de Luxembourg et de Diekirch (23.04.2018) Madame le Procureur Général d'Etat, Faisant suite à votre transmis du 8 mars 2018 relatif aux amendements gouvernementaux proposés dans le cadre du projet de loi sous rubrique, les Procureurs d'Etat soussignés se permettent de vous informer que, au vu des observations déjà soulevées dans l'avis du Conseil d'Etat du 30 mars 2018, ils n'ont pas d'observations particulières supplémentaires à formuler. Profond respect. yse WEIRICH Jean-Paul FRISING rocureur d'Etat à Diekirch Procureur d'Etat à Lu mbourg 1

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.