← Luxembourg

Projet de loi portant organisation de la Commission nationale pour la protection des données et mise en ceuvre du règlement (UE) 2016/679 du Parlement

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Personne en charge du dossier: Luxembourg, le 29 mai 2018 Jean-Luc Schleich 247 - 82954 SCL : L 5384 — 986 / nb V/réf. 52.422 Doc. parl. 7184 Objet : Projet de loi portant organisation de la Commission nationale pour la protection des données et mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État. Monsieur le Président, À la demande du Premier ministre, ministre d'État, j'ai l'honneur de vous faire parvenir en annexe, l'avis complémentaire de la Commission consultative des Droits de l'Homme portant sur les amendements gouvernementaux du 14 mai 2018 et sur l'amendement parlementaire du 6 mars 2018 relatifs au projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le P rlement Jean-Lu Schleich lnspecteur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu Commission consultative des Droits de l'Homme du Grand-Duché de Luxembourg Avis complémentaire sur le projet de loi 7184 portant création de la Commission nationale pour la protection des données et la mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel Avis 7/2018 Conformément à l'article 2

(1)de la loi du 21 novembre 2008 portant création d'une Commission consultative des Droits de l'Homme au Grand-Duché de Luxembourg (CCDH), celle-ci a été saisie par le service des médias et des communications du ministère d'Etat pour donner son avis sur les amendements gouvernementaux1 au projet de loi 7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (...). Pour rappel, la CCDH avait rendu un premier avis sur le projet de loi sous examen et sur le projet de loi 7168 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (...) en date du 13 décembre
  1. La CCDH prend note de l'amendement parlementaire adopté par la Commission de l'enseignement supérieur, de la recherche, des médias, des communications et de l'espace3 ainsi que de la prise de position du gouvernement contenant un amendement du nouvel article 68 du projet de loi
  2. Le présent avis traite des amendements gouvernementaux et de l'amendement parlementaire. Pour les autres développements, la CCDH renvoie aux recommandations présentées dans son premier avis, qui gardent leur entière validité. La CCDH prend acte des avis et avis complémentaires du Conseil d'Etat5, de la Chambre de Commerce6, de la Chambre des Fonctionnaires et Employés publice, de l'lnstitut des Réviseurs d'Entreprises8, du Conseil de l'Ordre des Avocats du Barreau de Luxembourg9 et de la Chambre des salariés1° publiés depuis son avis initial. Amendements gouvernementaux, Doc Parl 7184/
  3. CCDH, avis 4/
  4. Doc Parl 7184/06 et Doc. Parl. 7168/
  5. 3 Amendement adopté par ta Commission de l'enseignement supérieur, de la recherche, des médias, des communications et de l'espace le 6 mars 2018, Doc. Parl. 7184/
  6. 4 Prise de position du gouvernement, Doc. Parl 7184/
  7. Cet amendement vise l'article 68 (numérotation initiale article 59) relatif au régime particulier de traitement de données à caractère personnel par les services de sante. La prise de position contient deux options pour la formulation de cet article, mais ne prend pas en compte l'avis du Conseil d'Etat. Avis du Conseil d'Etat, Doc. Parl. 7184/
  8. Avis de la Chambre de Commerce. Doc. Parl. 7184/
  9. Avis complémentaire de ia Chambre de Commerce, Doc. Parl. 7184/
  10. 7 Avis de la Chambre des Fonctionnaires et Employés publics, Doc. Parl. 7184/
  11. 8 Avis cornplémentaire de l'Institut des Réviseurs d'Entreprises, Doc. Parl. 7184/11 9 Avis du Conseit de l'Ordre des Avocats du Barreau de Luxembourg, Doc. Parl. 7184/
  12. t° Avis complétrientaire de la Chambre des salariés, Doc. Parl. 7184/
  13. 2 1
  14. L'extension du champ d'application La CCDH salue l'extension du champ d'application de la future loi par l'amendement gouvernemental
  15. En vertu du nouvel article 1er, « tout traitement de données à caractère personnel par les organismes du secteur public qui n'est pas couvert par le règlement (UE) 2016/679 ni par la loi du jj/mm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale (Projet de loi n° 7168), est couvert par les dispositions du règlement (UE) 2016/679 et de la présente loi, à l'exception des textes légaux existants qui prévoient d'autres dispositions spécifiques en matière de protection des données à caractère personnel ». Ainsi, les dispositions du règlement 2016/679 s'appliquent aussi dans les cas qui ne tombent pas formellement sous le champ d'application du règlement 2016/679 ou d'une autre législation plus spécifique, telle que la future loi de transposition de la directive 2016/680 (projet de loi 7168). Par conséquent, le projet de loi couvre l'ensemble des activités des organismes du secteur public et permet d'avoir un régime de protection des données à caractère personnel homogène. 11 est encore à noter que le règlement 2016/679 couvre les traitements effectués par des personnes physiques ou morales de droit privé. La CCDH ne partage donc pas l'analyse du Conseil d'Etat suivant lequel un « élément d'extranéité » soit nécessaire pour permettre l'application du Règlement à ces traitements". Le nouvel article 2 semble introduire des restrictions sur le champ d'application territorial de la loi, en énonçant que « la présente loi s'applique aux responsables de traitements et aux sous-traitants établis sur le territoire ». Outre la question de la compatibilité avec le droit européen, la question des traitements de données de résidents luxembourgeois par une entité qui n'est pas « établie » sur le territoire se pose. La CCDH rejoint dans l'ensemble les critiques exprimées par le Conseil d'Etat relatives à cet article et elle ne peut pas soutenir la formulation actuelle de cette disposition
  16. La CCDH recommande que cette disposition soit supprimée.
  17. Les sanctions Suivant les dispositions relatives aux sanctions, la CNPD peut imposer des amendes administratives et des astreintes. L'amendement parlementaire13 concerne le nouvel article 51 du projet de loi14 portant sur les amendes administratives. II vise à restreindre le pouvoir de sanctions de la CNPD à l'égard des personnes morales de droit public quand celles-ci agissent dans le cadre de « leurs missions légales » ou agissent « dans l'intérêt général des citoyens ». 11 Doc. Par. 7184/12 p. 7 12 Doc. Parl 7184/12, pp 7-8 la Doc. Parl. 7184/9 14 Numérotation issu des amendements gouvernementaux. Article 49 du projet initial. Les auteurs de cet amendement argumentent que les « autorités publiques [...] nbnt certainement aucun intérêt, commerciat ou autre, à utiliser des données en dehors de teurs missions Par conséquent, aux yeux des auteurs, ìl n'y aurait pas lieu de prévoir la possibilité d'imposer des amendes dans l'exercice des missions légales ou des actions dans l'intérêt général des citoyens. Contrairement à l'avis des auteurs de cet amendement, il est tout à fait concevable qu'une autorité publique ne soit pas en conformité avec les dispositions du Règlement 2016/679 ou une des dispositions plus spécifiques de la législation nationale en matière cie protection des données à caractère personnel, ne serait-ce que, par exemple, par négligence ou par mégarde de certains droits individuels, notamment le droit à l'oubli et le droit d'accès. La CCDH estime que cette exception au pouvoir de sanctions de la CNPD rendrait la protection du droit fondamental à la protection des données à caractère personnel moins efficace. Elle souligne par ailleurs que le pouvoir d'imposer des amendes administratives complète les pouvoirs de l'autorité de contrôle, en particulier les pouvoirs prévus à l'article 58 § 2 du Règlernent européen. La CCDH renvoie également aux développements du Conseil d'Etat relatifs au risque de rupture de régalité cJe traitement entre des entités de droit public et de droit privé qui fournissent des services identiques. Suivant ranalyse du Conseil d'Etat, à laquelle la CCDH peut souscrire, l'amendement risque d'exposer en particulier des entités conventionnées à des sanctions alors que des entités de droit public ceuvrant dans le même secteur d'activité resteraient en dehors du régime de sanctions
  18. La CCDH s'oppose par conséquent à ce que les nouveaux pouvoirs de la CNPD soient amputés par cet amendement et s'exprime en faveur de la formulation prévue dans le projet initial. Les amendements gouvernementaux 9 et 11 à 13 introduisent un régime d'astreintes inspiré de celui dont dispose le Conseil de la concurrence. Le nouvel article 52 prévoit que la CNPD peut infliger des astreintes. Le montant de l'astreinte peut atteindre « 5 pour cents du chiffre d'affaires moyen ». La CCDH estime que ce système d'astreintes peut contribuer à refficacité du système de protection des données. Elle reconnaît l'utilité, dans ce cas, de s'inspirer d'un cadre juridique connu et cohérent. La CCDH s'interroge néanmoins sur le calcul d'une éventuelle astreinte visant une personne morale de droit public. La CCDH invite les auteurs à clarifier ce point. Les amendements 12 et 13 concernent les délais de prescription en matière d'astreintes. Ainsi, l'amendement 12 introduit, par l'entremise du nouvel article 57, le délai de prescription du pouvoir d'imposer des astreintes alors que l'amendement 13 introduit la prescription de l'exécution des astreintes à travers le nouvel article
  19. La CCDH salue les clarifications relatives aux prescriptions en matière d'astreintes. Pourtant, elle se demande, comme le Conseil d'Etat, pourquoi aucun régime de prescription n'est prévu pour les amendes adrninistratives 16 La CCDH salue encore l'introduction de l'article 56 par l'amendement 10 qui clarifie que la CNPD peut décider de publier ses décisions, dans la continuité avec la législation en vigueur. 15 16 Doc Parl. 7184/12, p. 27 Voir Doc. Parl. 7184/12 pp. 31-32 3
  20. Le Commissariat du gouvernement à la protection des banques de données Les amendements gouvernementaux 14 à 19 introduisent les articles 60 à 63 visant à créer un « Commissanat du gouvemement à la protection des banques de données de l'État ». Ce Commissariat pourra être désigné comme délégué à la protection des données pour la majorité des administrations publiques. Dans le secteur public la désignation d'un tel délégué est obligatoire afin de garantir la conformité avec le Règlement européen. La CCDH souligne l'importance des délégués à la protection des données pour une protection effective des droits des citoyens en relation avec les autorités publiques. La CCDH salue la création de cette entité qui a le potentiel d'assurer une application cohérente et effective des dispositions en matière de protection des données dans le secteur public. Elle est d'accord avec le Conseil d'Etat qui s'interroge dans son avis sur la capacité du nouveau Commissariat d'assurer ce rôle « par rapport à la multiplicité d'administrations et de ministères »
  21. Ayant à l'esprit la diversité des entités susceptibles de désigner cette administration comme délégué à la protection des données, la CCDH invite le gouvernement à mettre des moyens suffisants à disposition de cette nouvelle institution afin qu'elle puisse exercer convenablement son rôle.
  22. Le droit du travail L'amendement 28 vise à modifier l'article L-261-1 du Code du travail, qui réglemente le traitement des données à caractère personnel à des fins de surveillance sur le lieu de travail, pour l'adapter en vue de l'entrée en vigueur du Règlement européen. Dans son avis, la Chambre des salariés fait valoir que la formulation actuelle de l'article L-261-1 du Code du travail établit une liste limitative de cinq « cas d'ouverture » permettant de mettre en place des traitements de données à des fins de surveillance sur le lieu de travail. D'après la Chambre des salariés, suivant la législation en vigueur, un traitement de données ne peut se mettre en place que dans les cas prévus par la loi. Or, dans son avis, elle estime que la nouvelle formulation de l'article L-261-1 du Code du travail permet d'effectuer un traitement de données sur le lieu du travail pour autant que celui-ci respecte le régime général en matière de protection des données (art. 6 du Règlernent européen sur la licéité du traitement), qui est pourtant moins restrictif et permettra à l'employeur de se baser notamment sur l'« intérêt légitime » pour justifier la surveillance de ses employés. Par conséquent, le texte de loi proposé offre en fait moins de protection aux salariés que l'article L-261-1 du Code du travail actuel. La CCDH partage les réserves de la Chambre des salariés sur ce point et elle recommande de revenir à une liste limitative de finalités autorisées dans le cadre cie relations cle travail. Le nouvel article L-261-1 du Code du travail prévoit la possibilité de saisir la CNPD d'une « demande d'avis préalable relative à la conformité du projet de traitement à des fins de surveillance ». La CNPD doit se prononcer dans un délai d'un mois et la "Voir Doc. Pari. 7184/12 p. 32 4 demande a un effet suspensif. La CCDH salue l'introduction de cette étape procédurale, qui protège les droits des employés en cas de désaccord relatif à la mise en place du traitement.
  23. Conclusions La CCDH estime que les amendements gouvernementaux sous considération améliorent dans l'ensemble le projet de loi
  24. Pourtant, elle regrette que diverses recommandations par les instances consultatives restent en suspens. Elle espère que les travaux de la Cornmission parlementaire compétente puissent aboutir dans les meilleurs délais afin de fournir un cadre légal et institutionnel adéquat à la CNPD permettant une meilleure protection des droits fondamentaux des résidents luxembourgeois. La CCDH salue la mise en place d'un régime uniforme de protection des données à caractère personnel par l'extension de l'application des dispositions du Règlement européen.
  25. Recommandations • La CCDH recommande de ne pas restreindre le champ d'application spatial du projet de loi et par conséquent de supprimer l'article 2 du projet de loi. • La CCDH recommande de ne pas exclure les personnes morales de droit public du régime des sanctions de la CNPD et de maintenir l'article 51 du projet de loi initial, en écartant l'amendement parlementaire. • La CCDH recommande de clarifier le régime d'astreintes en relation avec les personnes morales de droit public. • La CCDH préconise d'introduire des dispositions sur les prescriptions applicables en matière d'amendes administratives. • La CCDH invite le gouvernement à mettre des moyens suffisants à disposition du Comrnissariat du gouvernement à la protection des banques de données. • La CCDH recommande d'introduire une liste limitative de finalités autorisés en matière de surveillance sur les lieux de travail. 5

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.