← Luxembourg

Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 10 avril 2018 Personne en charge du dossier: Jean-Luc Schleich 247 - 82954 SCL : L 5384 - 660 / nb V/réf. 52.422 Doc. parl. 7184 Objet : Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Monsieur le Président, Comme suite à ma lettre du 8 mars 2018, j'ai l'honneur de vous faire parvenir en annexe l'avis complémentaire de la Chambre du commerce portant sur les amendements gouvernementaux relatifs au projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt Tél. (+352) 247-82952 scl@scl.etat.lu www.gouvernement.lu L-2450 Luxembourg Fax (+352) 46 74 58 www.legilux.lu www.luxem bou rg.lu I C Luxembourg, le 30 mars

  1. CHAMBRE DE COMMERCE LUXEMBOURG Monsieur Xavier Bettel Ministre d'Etat Ministre des Communications et des Médias 5, rue Large L-1917 Luxembourg FAINISTÉRE D'ÉTAT Senice dei leedies des Cannuicellons Entrée te. 3 AVR, 2018 No: 37otiPe - SÇÇ N.Réf. SBE/DJI Objet : Amendements gouvernementaux au projet de loi n°7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. (4921bisS8E) Monsieur le Premier Ministre, Répondant à votre saisine, j'ai l'honneur de vous faire parvenir, sous ce pli, Favis complémentaire de ia Chambre de Commerce sur ies amendements gouvernementaux au projet de loi mentionné sous rubrique. Veuillez agréer, Monsieur le Prernier Ministre, l'expression de ma haute considération, Michei Wurth Président GLIURIDIOUEtAv+5•2CIFM49215nSBE2etires_COMMUNICATIONS ET MEDIAS docx Adresse postale. Bure Chambre de Commerce L-2981 Luxembourg 7, rue Alcide de Gasperi Luxembourg Tél.. (+352) 42 39 39-1 Fax. +352) 43 83 26 Mail: :hamcom@cc.iu Web: www.cc lu CHAMBRE Of COMMERCE LUXEMBOURG Luxembourg, le 30 mars 2018 Objet : Amendements gouvernementaux au projet de loi n°7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personneI et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. (4921bisSBE) Saisine Ministre des Communications et des Médias (8 mars 2018) AVIS COMPLEMENTAIRE DE LA CHAMBRE DE COMMERCE La Chambre de Commerce, qui a déjà eu l'occasion de commenter le projet de loi n° 7184 dans son avis du 5 février 2018 (ci-après. l'« Avis lnitial souhaite forrnuler de nouvelles observations suite au projet d'amendements gouvemementaux sous avis. déposés le 8 mars
  2. Toutefois, compte tenu de l'imminence de l'adoption du texte de loi et de son importance pour les entreprises, la Chambre de Commerce a concentré spécifiquement ses commentaires sur l'amendement gouvernemental 28 qui introduit, à la fin du projet de loi n° 7184, sous le chapitre « Dispositions modificatives » un nouvel article 71 visant à modifier le libellé de tactuel article L.261-1 du Code du travail concernant le traîtement des données à caractère personnel à des fins de surveillance des salariés sur le lieu de travail. Sous couvert de vouloir « renforcer le dialogue social dans le cadre de fintroduction ou lapplication d'installations techniques ayant pour objet de contrôler le cornportement et les performances des salanés sur leur lieu de travail et de mieux protéger les salariés contre d'éventuels abu.s »'. l'amendement 28 modifie le libellé de l'actuel article L. 261-1 du Code du travail afin de prévoir que dans le cas où l'employeur entend mettre en ceuvre un traîtement de données à caractère personnel soumis à codécision, les panies impliquées auront la possibilité de soumettre, en cas de désaccord. une demande d'avis préalable relatif à la conformité de ce projet à la Commission nationale pour la protection des données (ci-après. la « CNPD Les auteurs ajoutent par ailleurs, dans le commentaire relatif à l'amendement
  3. que « [S]i à la fin de la procédure, le cas écheant aprés avoir sournis le litide à l'Office national de conciliation. aucun accord n'est trouvé, le projet de traitement à des fins de survefflance ne pourra être mis en ceuvre, » Enfin, l'amendement modifie encore Ie libellé de l'actuel article L. 261-1 du Code du travail en précisant qu'en cas de demande d'avis préalable relatif à la conformité à la CNPD. ' Cf commentaire de I amendement 28 G UUROQUE1AviA20,814Y211),sSBE_Afrenderge-!s e.) P: ,creabor CNPO el RGPD decv C CHAMBREDE COMMERCE LUXEMBOURG -2- celle-ci devra se prononcer dans le mois de la saisine et que cette demande aura un effet suspensif. Alors que dans son Avis lnitial, la Chambre de Commerce avait demandé l'abrogation pure et simple des articles L. 261-1 et L. 261-2 du Code du travail, elle entend prendre position dans le présent avis complémentaire sur le maintien et la modification l'article L. 261-1 du Code du travail, respectivement sur le maintien corrélatif de l'article L. 261-2 du Code du travail qui fixe les sanctions applicables en cas de non-respect de l'article L. 261-
  4. Considérations générales L'actuel article L. 261-6 du Code du travail prévoit que « [L]e traitement des données à caractère personnel à des fins de surveillance sur le lieu de travail peut étre mis en ceuvre par l'employeur s'il en est le responsable conformément à f article 14 de la loi (modifiéel du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel » c'est-à-dire en vertu d'une autorisation préalable de la CNPD. A cet égard, il est utile de rappeler que la CNPD a accepté de mettre en place sous le régime de la loi modifiée du 2 aoüt 2002 (ci-après, la « Loi de 2002 ») un système d'autorisation simplifiée en matière de surveillance pour les horaires mobiles et le contrôle des accès. Etant donné que le règlement génêral sur la protection des données (ci-après, le « RGPD ») traduit le passage d'une « conformité formelle » (organisée autour de procédures de notification et d'autorisation préalable) à une « obligation de documenter la conformité de tous les traitements » conduisant à une responsabilité accrue des responsables de traitement (principe cr« accountability »), la Chambre de Commerce a considéré qu'en dépit de l'abrogation de la Loi de 2002 à laquelle rarticle L. 261-6 du Code du travail renvoie, le maintien de cet article dans le Code du travail était de nature à créer une insécurité juridique. C'est pourquoi, dans son Avis lnitial. la Chambre de Commerce a demandé que rarticle L. 261-1 du Code du travail soit formellement abrogé, de même que l'article L. 261-2 du Code du travail. Force est de constater cependant qu'au lieu de supprimer l'actuel article L.261-1 du Code du travail (et corrélativement l'article L. 261-2) les auteurs de l'amendement 28 en modifient le libellé en prétendant lever l'option offerte par l'article 88 du RGPD2 qui prévoit en son paragraphe

(1)que « ILles États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui conceme le traitement des données à caractère personnel des employés dans le cadre des relations de travail (...) 3 », ce qui, aux yeux de la Chambre de Commerce 2 L'article 88 du RGPD est intitule « Traitement de données dans le cadre des relations de travail », 3 L'article 88 du RGPD continue comme suit : « (..) aux fins notamment du recrutement, de rexécution du contrat de travail, y compris te respect des obligations fixées par la lot ou par des conventions collectives, de fa gestion, de la planification et de lOrganisation du travail, de légalité el de Ia diversité sur le lieu de travad de la santé et de la sécurité au travad de la protection des blens appartenant à lamployeur ou au dient, aux fins de taxercice et de la jouissance des droits et des avantages liés à lemplos, individuellement ou collectivement ainsi guaux fins de la résiliation de la relation de travait
(2)Ces règles comprennent des mesures appropriées et sdecifigues pour protéger la dignité hurnaine les intéréts légitimes et les droits fondamentaux des personnes concernées, en accordant une attention particutière à la transparence du traitement au transfert de données à caractère personnel au sein d'un groupe d'entreprises, ou WRID4CIUEIA,s‘201b%4921b4SIIE_Amendernents au R._creaton CNPD et RGPD oocx lIAM1311Ein COMMERCE CU LXEMBOURG -3- est totalement contraire à l'esprit et à la lettre du RGPD, tel que celui-ci est explicité et commenté par les travaux du groupe de travail « article 29 » - qui regroupe les autorités nationales de contrôle des 28 Etats membres et la Commission européenne - (ci-après le « 029 »). I. Quant au maintien et à la modification de l'article L. 261-1 du Code du travail A. Critigues générales : les nouvelles obligations issues du RGPD apportent déià des garanties efficaces Avant de commenter plus spécifiquement les différents alinéas du nouveau libellé proposé pour l'article L. 261-1 du Code du travail (spécialement le paragraphe 1, alinéas 2 et 3 et le paragraphe 3), la Chambre de Commerce juge utile de rappeler que le RGPD, qui entrera en vigueur le 25 mai 2018, soumet les employeure à des obligations lourdes dans le cadre de tout traitement de données à caractère personnel, y compris en matière de surveillance des travailleurs. En effet, outre l'obligation de garantir une protection des données « dès la conception » et « par défaut » et de minimiser la collecte des données (prévue par l'article 25 du RGPD), deux obligations spécifiques méritent d'être particulièrement soulignées 1) Obligation de mener une analyse d'impact L'article 35 du RGPD oblige le responsable de traitement (ici l'employeur) à mener, avant la mise en ceuvre du traitement, une analyse d'impact relative à la protection des données (en particulier lors de l'utilisation de nouvelles technologies et compte tenu de la nature, de la portée, du contexte et des finalités du traitement) à chaque fois qu'un type de traitement est susceotible d'engendrer un risque élevé pour les droits et libertés des salariés (article 35, paragraphe 1 du RGPD). Si une certaine marge d'appréciation existe quant à la question de savoir si une analyse irnpact doit être menée, il est important de préciser que celle-ci est obligatoirement requise en particulier en cas de surveillance systématique à grande échelle d'une zone accessible au public (paragraphe
(3), c) cle l'article 35 du RGPD) ; par ailleurs, le RGPD donne compétence à la CNPD pour établir et publier une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise de sorte que la CNPD pourrait éclairer la règlementation en prévoyant explicitement l'obligation de mener une analyse d'impact relative à la protection des données pour tel ou tel traitement de données à caractère personnel en matière de surveillance sur le lieu de travail (paragraphe
(4)de l'article 35 du RGPD) ; d'un groupe dentreprises engagées dans une activité économique conjointe et aux systèmes de contrôle sur /e lieu de travail.
(3)Chaque État membre notitie à la Commtssion les dispositions légales guI adopte en vertu du paragraphe 1 au plus tard le 25 mal 2018 et, sans tarder, toute modification ultérieure les concemant » ° Cf avis 2/2017 du 8 juin 2017 du G29 sur le traitement des données au travail UURD,011Ev‘s st2C>16 \4921t>s$BE_Arnendemerls et_uêaton CNPD et RGPO docx E ot COMMERCE Lux EmsouR G (AMBR -4- en outre, le responsable du traitement (ici l'employeur) doit demander l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu5 (paragraphe
(9)de l'article 35 du RGPD). Selon le G29, le responsable du traitement doit également justifier son choix de ne pas . avoir demandé l'avis et est obligé de documenter les raisons de sa décision de persévérer ou non, si la décision finale du responsable du traitement diffère de l'avis des personnes concernées5. quant au fond. l'analyse d'impact constitue une étude approfondie puisqu'elle doit contenir au moins une description systématique des opérations de traitement envisagées et des (
  1. i)finalités du traitement, y compris, l'intérêt légitime poursuivi par le responsable du traitement; (
  2. ii)une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités; (iii) une évaluation des risques pour les, droits et libertés des personnes concernées: et (
  3. iv)les mesures envisagées pour faire face aux risques, y compris les garanties. mesures et rnécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du RGPD. 2) Obligation de consulter Ia CNPD L'article 36 du RGPD oblige par ailleurs le responsable de traitement (ici l'employeur) à consulter la CNPD lorsque l'analyse d'impact (visée au point précédent) indique que te traitement présenterait un risque élevé pour les droits et libertés des salariès si le responsable du traitement ne prenait pas de mesures pour atténuer le risque. Cette consultation doit également se faire avant la mise en ceuvre du traitement. Lorsque le responsable du traitement consultera la CNPD, il devra lui communiquer: le cas échéant, les responsabilités respectives du responsable du traitement, (
  4. i)des responsables conjoints et des sous- traitants participant au traitement, en particulier pour le traiternent au sein d'un groupe d'entreprises; (
  5. ii)les finalités et les moyens du traitement envisagé; les mesures et les garanties prévues afin de protéger les droits et libertés des (iii) personnes concernées en vertu du présent règlement; le cas échéant, les coordonnées du délégué à la protection des données; (
  6. iv)l'analyse d'impact relative à la protection des données; et (
  7. v)toute autre information demandée par la CNPD. (
  8. vi)Si la CNPD est d'avis que le responsable du traitement n'a pas suffisamment identifié ou atténué le risque elle fournira par écrit un avis au responsable du traitement (et, le cas échéant, au sous-traitant) et pourra faire usage des pouvoirs d'enquête et d'adoption cle 5 Ces avis peuvent étre recueillis par divers moyens, seton e contexte, notamment par un questionnaire soumis aux représentants du personnel ou blen selon une étude générique en lien avec tes finalités et les moyens de l'opération de traitement. Cf, les lignes directrices concemant l'analyse d'impact relative à la protection des données (AIPD) et la maniere de déterminer si le traitement est « susceptible d engendrer un nsque élevé » aux fins du reglement (UE) 2016/679 , ..;• ,..JuRr.IC.PEVw,sl2OlEm821asSEsE_Amereements Pi..creauor CKPC) et ROPO exxx l e i g i g s m e CHAMBRE--DE COMMERCE LUXEM8OURG -5 mesures correctrices (avertissement, interdiction temporaire ou définitive de procéder à un traitement „. ) que lui confère l'article 58 du RGPD. Compte tenu de ce nouveau cadre légal contraignant pour tout responsable de traitement, la Chambre de Commerce est d'avis que les deux obligations du RGPD détaillées ci-avant (mener une analyse d'impact et, en cas de risque élevé avéré, consulter la CNPD) constituent des garde-fous efficaces à la fois de par leur nature et de par le fait qu'elles doivent intervenir préalablement à la mise en ceuvre du traitement. Elles constituent en effet des modalités de contrôle ex-ante, d'une certaine complexité, c'est d'ailleurs la raison pour laquelle la CNPD, lorsqu'elle est consultée, dispose de 8 semaines pour se prononcer et que ce délai peut être prorogé de 6 semaines. Etant donné que le responsable de traitement est tenu de réaliser, à chaque fois qu'il entend effectuer un traitement de données à caractère personnel, y compris en matière de surveillance sur le lieu de travail, une balance des intérêts en cause, la Chambre de Commerce est d'avis que les obligations pesant sur lui sont suffisamment contraignantes pour permettre d'éviter les éventuels abus contre lesquels l'amendement 28 entend lutter. Et ce, d'autant plus. que le RGPD responsabilise pleinement les responsables de traitement en ayant mis en place de sanctions financières extrêmement dissuasives en cas de non-respect de ses régles respectivement en cas d'incapacité à pouvoir documenter que les traitements sont effectués conformément au RGPD. Alors que les auteurs de l'amendement 28 entendent accorder plus de pouvoir aux représentants du personnel par le biais de l'article L. 261-1 du Code du travail, la Chambre de Commerce tient encore à souligner que, méme dans les hypothèses où la mise en place d'un traitement de données à caractère personnel est soumise à codécision, le risque encouru en cas de non-respect du RGPD (ici, en cas de violation des droits et libertés des salariés) sera, en dernier lieu, toujours et uniquement assumé par le responsable de traitement (ici, l'employeur). Dans ce contexte et pour toutes les raisons développées ci-avant. la Chambre de Commerce juge le maintien et la modification de l'article L. 261-1 du Code du travail superfétatoire B. Critiques spécifiques : le nouvel article L. 261-1 du Code du travail est contraire au RGPD Aux yeux de la Chambre de Commerce, le nouveau libellé proposé pour l'article L. 2611 du Code du travail (spécialement les alinéas 2 et 3 du paragraphe 1 et le paragraphe 3) n'est conforme ni à l'esprit ni à la lettre du RGPD pour les raisons développées ci-après : 1) Commentaires relatifs au oaragraphe 1 du nouvel anicle L. 26 1- 1 du Code du travail Le paragraphe 1 est libellé comme suit «
(1)Le traitement des données à caractère personnel à des fins de suiveillance sur le lieu de travail peut étre mis en œuvre. confonnément au règlement (UE) 2016/679 par l'employeur s'il en est le responsable. G-UURIDIOUSIAM512D/8'4921bisSBE_Amendementsa PL_creater: CNPD et ROPO doce CHAMBRE DE COMMERCE LUXEMBOURG ( -6- Lorsque le traitement des données à caractère personnel est mis en ceuvre : 1.pour les besoins de sécurité et de santé des salariés, ou
  1. pour le contrôle temporaire7 de production ou des prestations du salané, lorsqu'une telle mesure est le seul moyen pour déterminer le salaire exact, ou
  2. dans le cadre d'une organisation de travail selon l'horaire mobile conformément au présent code, les dispositions prévues aux artides L.211-8 respectivement L.414-9 respectivement L.423-1 sàppliquent. En cas de désaccord, la partie la plus diligente peut soumettre une demande d'avis préalable relative à la conformité du pnojet de traitement à des fins de surveillance à la Commission nationale pour la protection des données, qui doit se prononcer dans le mois de la saisine. Le consentement de la personne concemée ne rend pas légitime le traitement mis en ceuvre par l'employeur. » En premier lieu, la Chambre de Commerce s'oppose fermement à la possibilité de saisir la CNPD d'une « demande davis préalable relatif à la conformité » au motif que cette étape ou procédure fait « double emploi » avec les obligations de mener une analyse d'impact et, en cas de risque élevé avéré, de consulter la CNPD, selon les articles 35 et 36 du RGPD et de ce fait ne semble pas constituer une « mesure appropnée et spécifique » au sens de l'article 88 du RGPD. En second lieu, la Chambre de Commerce s'oppose à la mise en place de toute procédure donnant à la délégation du personnel (respectivement au comité mixte) - qui dispose déjà d'un pouvoir de codécision en vertu des articles L.211-
  3. L. 414-9 et L.423-1 du Code du travail le pouvoir d'une part de saisir la CNPD et d'autre part, comme l'indique le commentaire de l'amendement 28, de porter le litige devant l'Office national de conciliation (ci-après, l'ONC »), au motif qu'il y a entre autres un risque de voir cohabiter deux jurisprudences parallèles (de la CNPD et de l'ONC) en matière de protection des données alors que la CNPD, en tant autorité nationale de contrôle, est la seule habilitée à surveiller l'application du RGPD au Luxembourg. Jl s'ensuit que l'amendement n'est pas conforme à l'article 51 du RGPD selon lequel « Chaque État membre prévoit qu'une ou plusieurs autorités publiques indépendantes sont chargées de surveiller l'application du présent reqlernent, afin de protéger les libertés et droits fondamentaux des personnes physiques à l'égard du traitement (...). » Subsidiairement, si « un avis préalable de conformité » devait être demandé à la CNPD, il ne pourrait s'agir que d'un avis conforme qui s'imposerait à la délégation du personnel, puisque que la CNPD est l'autorité nationale de contrôle, seule habilitée à surveiller l'application du RGPO au Luxembourg. l ne peut en aucun cas s'agir d'un simple avis de la CNPD à l'issue duquel la délégation du personnel aurait le dernier mot pour des questions relatives à la protection des données à caractère personnel. 7 L'artide L. 414-9 du Code du travall ne contient pas le mot « temporaire » qui a été ajouté â rarticle avisé (mauvaise coordination des textes). L'employeur doit pouvoir mettre en place une surveillance permanente dans le respect des principes du RGPD. G ‘JURIDIQUE‘Avis \2018)49210,sseE_Alnenaements au PLcréat,ç, CNPO et RGPD dOC>. CHAMBREDE COMMERCE LUXEMBOURG -7- Plus subsidiairement, la Chambre de Commerce donne finalement à considérer que, sur un plan strictement pratique, l'introduction de cette nouvelle procédure engendrerait nécessairement une surcharge excessive de travail pour la CNPD, laquelle serait tenue de répondre dans des délais très serrés, à de multiples demandes d'avis pour des éventuelles atteintes aux droits à la protection des données des salariés, même pour des hypothèses où les risques pour les droits des salariés seraient relativement limités. 1n fine, le nouveau dispositif ainsi mis en place s'avèrerait plus contraignant pour la CNPD que l'actuel régime en matière d'autorisation aux fins de surveillance des salariés. 2) Commentaires retatifs au oaraqraptie 3 du nouvel article L. 261-1 du Code du travail Le paragraphe 3 est libellé comme suit : «
(3)Dans tous les cas de traitement de données à caractère personnet visés au présent article la délégation du personnel, ou à défaut les salariés concernés, peuvent soumettre une demande davis préalable relative à la conformité du projet de traitement à des fos de surveillance à la Commission nationale pour la protection des données, qui doit se prononcer dans le mois de la saisine. Cette demande a un effet suspensif » La procédure proposée sous le paragraphe 3 est a fortiori, encore moins acceptable que celle prévue au paragraphe 1 compte tenu de son chanw d'application et de ses modalités excessivement larges. II y a donc lieu de renouveler mutatis mutandis les critiques formulées à l'encontre du paragraphe En tout état de cause, si la procédure est semblable à celle ciéjà prévue sous le paragraphe 1, son champ d'application est étendu à tous les traitements en matière de surveillance des salariés sur le lieu de travail qui seraient concernés, de sorte qu'll y a une contradiction entre les deux paragraphes rendant le texte de facto inapplicable. Par ailleurs, ii ne semble pas réaliste d'imposer à la CNPD de se prononcer dans le mois de la saisine alors que, dans le cadre d'une analyse d'impact. la CNPD dispose de 8 semaines pour rendre son avis, et que ce délai peut être prorogé de 6 semaines compte tenu de la complexité de certains traitements. Enfin, prévoir que la demande d'avis préalable relative à la conformité aurait un effet suspensif n'est pas conforme aux principes du RGPD. En effet, cela revient à empêcher la mise en ceuvre de tout traitement non expressément interdit par le RGPD. L'employeur se verrait donc privé dans cet intervalle de temps du droit de traiter des données qui seraient définitivement perdues alors quil n'est pas établi qu'il n'avait pas le droit de faire ce traitement. Or, par principe, l'employeur a la possibilité d'effectuer tout traitement de données à caractère personnel, y compris en matière de surveillance sur le lieu cle travail, dans la mesure où ce traitement est mis en ceuvre conformément au RGPD. Autrement dit, l'employeur doit avoir la possibilité d'effectuer tout traitement de données à caractère personnel, y cornpris en matière de surveillance sur le lieu de travail, du moment qu'il est licite, la base de légitimité devant être principalement « l'intérêt légitime de l'employeur »8 et, accessoirement « le consentement du salarié » (lors du recrutement par e L'employeur pourrait mèrne irwoquer l'article L. 211-29 du Code du travail qui prévoit que « Lemployeur est tenu d'inscrire sur un registre spécial ou sur un fichier le début la fin et la durée du travail journalier ainsi que toutes les prolongations de la durée normale du travail. les heures prestées les dimanches les jours fénés légaux ou la nuit GutipocuE.Avitt2018,4521b:sSEIE_Amenciernentsa L.creat,Dr, CNPD et RGPD dar, CHAMBRE DE COMMERCE LUXEMBOURG -8- exemple)9 conformément à l'article 6 du RGPD. Selon l'avis du G29, l'employeur peut invoquer son intérêt légitime comme fondement juridique, sous condition que le traitement des données est strictement légitime et nécessaire, et qu'il respecte les principes de proportionnalité et de subsidiarité. Ainsi, l'ernployeur est non seulement tenu de décrire les mesures utilisées, mais aussi de motiver pourquoi 1 opte pour ce traitement de données à caractère personnel afin de garantir dès le début la transparence du traitement envisagé'9, le tout évidemment en considération des droits et libertés des salariés. L'ensemble des raisons développées amène la Chambre de Commerce à penser que l'amendement 28 conduit subrepticement à remettre en place une procédure d'autorisation préalable (allant d'ailleurs encore plus loin que celle actuellement applicable), ce qui lui paraît totalement contraire à l'esprit et à la lettre du RGPD.
  1. Quant au maintien corrélatif de l'article L. 261-2 du Code du travail Nonobstant les vives critiques formulées à l'encontre de larticle L. 261-1 du Code du travail qui appellent l'abrogation de cet article, la Chambre de Commerce tient à mettre en garde les auteurs de l'amendement 28 sur les conséquences qu'auraient le maintien corrélatif de l'article L. 261-2 du Code du travail qui prévoit que « Quiconque effectue un traitement en vioiation de l'articie L.261-1 est puni d'une peine d'emprisonnement de huît jours à un an et d'une amende de 251 à 125.000 euros ou d'une de ces peines seutement La juridiction sarsie peut prononcer ia cessation du traitement contraire à l'article L.261-1 sous peine d'astreinte dont le maximum est fIxé par ladite jundiction La Chambre de Commerce relève en effet que cette disposition ne peut étre maintenue sous peine de contrevenir gravement à un principe général du droit (« Non bis in idem ») ainsi qu'au RGPD. Dans son Avis lnitíal, la Chambre de Commerce s'est félicitée qu'aucune des sanctions pénales actuellement prévues par la Loi de 2002 n'étaient reprises dans le projet de loi n 07184" en soulignant qu'elles étaient par contre remplacées par des sanctions financières très lourdes (amendes administratives), qui pourront être infligées par la CNPD. A cet égard, et même si le RGPD laisse aux Etats membres la possibilité de mettre en place d'autres sanctions, la Chambre de Commerce est d'avis que maintenir l'article L. 261-2 du Code du travail est de nature à contrevenir ainsi que ies retnbutions payées de l'un ou de lautre de ces chefs. Ce registre ou fichier est à présenter à toute demande de la part des agents de l'Inspection du travail et des mines Dans ie cadre cfun horaire mobile, l serait bien en droit de se baser sur l'article L. 211-8 du Code du travail qui a la teneur suivante . Lentrephse doit mettre en place un système assurant un décompte exact des heures de travail prestées. ». 9 Cf. avis 2/2017 du 8 juin 2017 du G29 sur le traitement des données au travail 10 Cf. avls 2/2017 du 8 juin 2017 du G29 sur le trartement des données au travail 11 Tandis qu'aujourd'hui, dix-nuit infractions pénales sont sanctionnées par une peine d'emprisonnement de huft jours à un an et/ou amende de 251 à 125.000 euros, fe projet foi n7184 se limite à conserver fe det d'entrave â l'accomplissement des missions de ia CNPD sous rarticle 53 du projet de loi n'
  2. .3',.URIDIOUFlAv,swa,94211>is,SSE_Amentlements auL çreo,, CNPO et RGPID Cacx CHAMBRE DE COMMERCE tUXEM8OURG -9- au principe « non bis in idem », qui se traduit littéralernent par « pas deux fois les mêmes choses » et signifie en clair qu'une même personne ne peut être poursuivie et punie deux fois pour les mêmes faits à l'article 84, paragraphe 1 du RGPD qui autorise les Etats à déterrniner d'autres sanctions que les amendes adrninistratives pour autant qu'elles sanctionnent des violations différentes. Aux yeux de la Chambre de Commerce, iJ s'ensuit qu'un responsable de traitement ne peut pas d'une part être puni pénalement en vertu de l'article L 261-2 du Code du travail (peine demprisonnement de huit jours à un an etiou amende de 251 à 125.000 euros) et d'autre part être puni financièrement en vertu du RGPD par des amendes administratives dont le montant pourra aller jusqu'à 20 millions d'euros ou, dans le cas d'une entreprise, jusqu'à 4% du chiffre d'affaires annuel mondial total de l'exercice précédent (le montant le plus élevé étant retenu) La Charnbre de Commerce conclut de tous ses développements que l'amendement 28 ne sievrait pas modifier l'article L. 261-1 du Code du travail mais plutat abrager les arficles L. 261-1 et L. 261-2 du Code du travail du fait de leur non-conformité avec d'autres dispositions du RGPD, qui en tant que texte européen prime sur le droit national. En tout état de cause, il est rappelé qu'en cas d'adoption d'un amendement en la matière, il est rappelé que le Luxembourg devra notifier à la Commission les dispositions légales adoptées en vertu de l'article 88 du RGPD au plus tard le 25 mai 2018 et s'expose donc, même le cas échéant à une procédure en manquement, en cas de non-conformité avec le RGPD. Après consultation de ses ressortissants, la Chambre de Commerce demande que l'amendement 28 abroge les articles L. 261-1 et L 261-2 du Code du travail. SBE/DJI G ,, ,uPinotlEIAvIs1.201114921b,sSBE_AmendementsP _créaton CNPD et RCSPO aocx

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.