Projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de : - la loi modifié

(3)lettre (

1. e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ci-après désignée « la loi du 2 août 2002 »), la Commission nationale pour la protection des données (ciaprès : « la Commission nationale » ou « la CNPD ») a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Faisant suite à la demande lui adressée par Monsieur le Ministre des Finances en date du 12 décembre 2017, la CNPD entend présenter ci-après ses réflexions et commentaires au sujet du projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de la loi modifiée du 5 avril 1993 relative au secteur financier, et de la loi du 1 er avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg. Ce projet de loi a pour objectif de compléter le dispositif législatif en matière d'outils macroprudentiels à disposition des autorités luxembourgeoises par l'introduction de mesures macroprudentielles pouvant être utilisées spécifiquement en cas de menace pour la stabilité financière du système financier national émanant d'évolutions dans le secteur immobilier au Luxembourg. La Commission nationale limite ses observations aux questions traitant des aspects portant sur la protection des données, soulevées plus particulièrement par l'article 2 du projet de loi sous examen. Cet article introduit un droit d'accès de la Banque centrale du Luxembourg (ci-après : « la BCL ») « à des informations aqrégées disponibles auprès d'administrations étatiques, d'établissements publics autres que ceux placés sous la surveillance des communes et d'autres autorités étatiques compétentes pour autant que ces informations soient nécessaires à ses activités de recherche et d'analyses en relation avec la mission du comité du risque systémique ». Les auteurs du projet de loi sous objet justifient ce droit d'accès dans l'exposé des motifs par la nécessité pour la BCL d'effectuer des analyses et études « afin d'identifier au plus tôt les risques systémiques qui peuvent apparaître dans le système financier ». Or, « la mise en place d'un tel cadre ne va pas sans accès à un éventail de données ». La Commission nationale constate que ce droit d'accès élargi de la BCL se limite à des « informations agrégées ». Sans plus de précisions sur ce qu'il faut entendre par « informations agrégées », elle se demande si ces termes correspondent à des données anonymisées ou à des données pseudonymisées ? [ CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de la loi modifiée du 5 avril 1993 relative au secteur financier,, et de la loi du ler avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg 1/3 La distinction entre données anonymes ou anonymisées, d'une part, et données pseudonymisées, d'autre part, est importante. En effet, cette distinction détermine l'applicabilité de la loi du 2 août 2002, et, à compter du 25 mai 2018, du règlement général sur la protection des données 2016/679 (UE) (ci-après : « le RGPD »). La loi comme le RGPD s'appliquent aux traitements de données à caractère personnel, c'est-à-dire à toute information se rapportant une personne physique identifiée ou identifiable (dénommée "personne concernée") (article 2 (
2. e)de la loi et article 4

(1)du RGPD). II en ressort qu'une donnée pseudonymisée tombe sous la définition de la donnée à caractère personnel dès lors que la personne concernée peut être identifiée ou identifiable. Lorsque l'on parle de données pseudonymisées, peut en effet être possible de retrouver l'identité d'une personne. II en va ainsi, par exemple, s'il existe une liste de concordance entre les données pseudonymisées et la personne concernée. II est important de constater que, même si le responsable du traitement (dans ce cas la BCL) ne met pas effectivement en ceuvre de moyens pour identifier la personne concernée, ou ne possède pas lui-même de liste de concordance, la personne concernée est susceptible d'être réidentifiée par tous moyens, par exemple par l'analyse et le rapprochement des différentes variables utilisées et collectées dans un éventail de données. Dès lors, la loi comme le RGPD s'applique aux données pseudonymisées, puisqu'il s'agit de données à caractère personnel au sens de l'article 2 (e) de la loi et de l'article 4 point

(1)du RGPD. Le fait de pseudonymiser ou de coder les données peut toutefois constituer une garantie appropriée destinée à renforcer la confidentialité et la sécurité des traitements au sens des articles 22 et 23 de la loi ou de larticle 32' du RGPD. Une donnée anonyme ou anonymisée est au contraire exclue du champ d'application de la loi ou du RGPD. Pour être réputée anonyme ou rendue anonyme, 11 faut qu'il s'agisse d'une donnée pour laquelle 11 n'existe aucun moyen technique, soit dans le chef du responsable du traitement (c'està-dire de la BCL), soit même dans le chef d'un tiers (par exemple l'administration étatique ou l'établissement public duquel proviennent les données), permettant de rattacher cette donnée à un individu. II appartient au responsable du traitement d'apporter la preuve que les données qu'il traite sont à qualifier de données anonymes. On parle alors d'anonymisation irréversible, faite, par exemple, par des techniques de hachage. En effet, aux termes du considérant 26 du RGPD2, « lly a lieu d'appliquer les principes relatifs à la protection des données à foute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, 11 convient de prendre en considération rensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, 11 convient de prendre en considération rensemble des facteurs objectifs, tels que le coût de ridentification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de révolution de celles-ci. 11 ny a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une Voir en particulier l'article 32 paragraphe

(1)lettre (a) du RGPD. Voir également le considérant 26 de la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, qui a été transposée par la loi du 2 août 2002 en droit national. 2 CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de la loi modifiée du 5 avril 1993 relative au secteur financier, et de la loi du ler avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg 2/3 personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche ». Dès lors, la CNPD suggère de préciser, au regard des observations apportées ci-avant, si le projet de loi sous objet entend permettre à la BCL d'accéder à des données anonymisées ou pseudonymisées. S'il s'agit de données anonymisées, la Commission nationale propose de remplacer les termes « informations agrégées » par « données agrégées et anonymisées », afin d'ôter toute ambigüité possible sur la nature des données qui pourraient faire l'objet d'un droit d'accès par la BCL. Dans ce cas, la loi, ou à compter du 25 mai 2018, le RGPD, n'auraient pas vocation à s'appliquer à la collecte de telles données. Toutefois, au cas où les « informations agrégées » devraient être qualifiées de données pseudonymisées, la loi de 2002, respectivement le RGPD à partir du 25 mai 2018, s'appliquera avec toutes les conséquences qui en découlent. Si tel était le cas, la disposition sous examen serait manifestement trop vague et ne respecterait dès lors pas le principe de légalité et de prévisibilité qu'exige le droit et la jurisprudence européenne. En effet, comme l'explique le considérant 41 du RGPD, une base juridique ou une mesure législative qui sert de base à un traitement de données « devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme ». Afin de satisfaire à ces critères, les auteurs du projet de loi sous objet pourraient dans cette hypothèse se référer à d'autres projets de loi récents au sujet desquels la Commission nationale pour la protection des données a publié un avis3. Ainsi décidé à Esch-sur-Alzette en date du 29 mars 2018. La Commission nationale pour la protection des données //ki MCIJ Tine A. Larsen Présidente Thierry Lallemang Membre effectif e Buschmann embre effectif Voir par exemple l'avis de la CNPD du 7 décembre 2017 relatif au projet de loi n° 7182 portant modification de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l'Etat et de dispositions diverses (délibération 973/2017), ou encore l'avis de la CNPD du 18 janvier 2018 relatif au projet de loi n° 7128 (délibération 51/2018). Avis de la Commission nationale pour la protection des données à l'égard du projet de loi relative à des mesures macroprudentielles portant sur les crédits immobiliers résidentiels et portant modification de la loi modifiée du 5 avril 1993 relative au secteur financier, et de la loi du ler avril 2015 portant création d'un comité du risque systémique et modifiant la loi modifiée du 23 décembre 1998 relative au statut monétaire et à la Banque centrale du Luxembourg 3/3