Projet de loi relatif au Revenu d'inclusion sociale et portant modification 1. du Code de la Sécurité sociale ; 2. du Code du travail ; 3. de la loi m

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après : « la CNPD ») a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi». Par courrier du 25 octobre 2017, Madame la Ministre de la Famille et de l'Intégration a fait parvenir à la CNPD une série d'amendements gouvernementaux au projet de loi n°7113 relatif au Revenu d'inclusion sociale (ci-après « les amendements »). Pour rappel, la CNPD a rendu, le 22 décembre 2016, un premier avis relatif à l'avant-projet de loi relatif au Revenu d'inclusion socialel dans lequel elle a formulé différentes observations concernant notamment le concept du responsable du traitement, les rôles des différents intervenants dans le processus d'octroi et de gestion du Revenu d'inclusion sociale (ci-après : « le Revis »), les finalités du traitement et les catégories de données traitées, les accès à d'autres fichiers étatiques, ainsi que le transfert de données à l'Inspection générale de la sécurité sociale dans le cadre de sa mission de recueillir des données statistiques. Les auteurs indiquent dans les remarques préliminaires que les amendements apportent, entre autres, une clarification des dispositions relatives à la protection des données à caractère personnel et de leur échange entre les acteurs concernés. Le commentaire de l'article 25 du projet de loi précise que l'amendement en cause tient compte des remarques formulées dans l'avis de la CNPD du 22 décembre 2016. En effet, la plupart des recommandations émises par la CNPD dans son premier avis concernant ledit article ont été prises en compte par les auteurs des amendements. Les catégories de données des fichiers auxquels le ministre peut accéder sur base de l'article 25, paragraphe

(2)du projet de loi, ainsi que les catégories de données contenues dans le fichier du Revis en vertu du paragraphe

(1), alinéa 2 dudit article, sont prévues à l'article 9 du projet de règlement grandducal, dont les amendements gouvernementaux ont été transmis ensemble avec le projet de loi sous avis. Par contre, la CNPD émet une réserve concernant la durée de conservation des données contenues dans le fichier du Revis. L'article 25, paragraphe

(8)du projet de loi prévoit dans ce contexte que les données sont conservées aussi longtemps que la personne est bénéficiaire du Revis et qu'après, les données seront archivées à des fins statistiques conformément à l'article 12 du projet de loi. 1 Délibération n° 1029/2016 du 22 décembre 2016 de la Commission nationale pour la protection des données. CNPD Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n°7113 relatif au revenu d'inclusion sociale 1/4 Or, ressort du commentaire des articles que les données seront archivées non pas à des fins statistiques, mais « afin d'éviter de devoir établir un nouveau rapport social à chaque réouverture de dossier au lieu d'une actualisation, l'archivage, contrairement à la suppression des données, permet la reprise des données à la réactivation du dossier. » Est-ce que la finalité poursuivie par l'archivage est donc l'établissement de statistiques ou plutôt la possibilité d'une réouverture plus facile d'un dossier d'un ancien demandeur ou bénéficiaire du Revis ? La CNPD peut comprendre l'utilité pratique d'un archivage temporaire des données permettant de réactiver un dossier d'un ancien demandeur ou bénéficiaire du Revis, par rapport à leur suppression immédiate après la clôture d'un dossier. Néanmoins, selon l'article 4, paragraphe

(1), lettre d) de la loi modifiée du 2 août 2002, les données ne doivent pas être conservées pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées. Ce principe est incompatible avec une durée de conservation indéterminée des données. En effet, la CNPD est d'avis que la réalisation des finalités prévues à l'article 25, paragraphe

(1), alinéa 3 du projet de loi sous examen ne justifie pas un archivage des données personnelles à durée indéterminée. II est important dans ce contexte de prendre en compte, à l'instar de la position de la Commission Nationale de l'Informatique et des Libertés (CNIL) française, la différence entre les archives intermédiaires, une étape intermédiaire avant la suppression des données, et les archives définitives qui rassemblent les données présentant un intérêt historique, scientifique ou statistique justifiant qu'elles ne fassent l'objet d'aucune destruction2. Est-ce que l'archivage prévu par les auteurs des amendements constitue un archivage intermédiaire, permettant pendant une durée déterminée la réouverture d'un dossier d'un ancien demandeur ou bénéficiaire du Revis, ou plutôt un archivage définitif ? Dans le cas d'un archivage définitif, la CNPD estime qu'uniquement des données anonymisées peuvent être archivées de manière définitive à des fins statistiques. En sus, lors d'un archivage intermédiaire des données, il est important que seulement les personnes ayant un intérêt à les connaitre en raison de leurs fonctions en ont accès. Dans ce dernier cas, la question se pose si les données seront conservées sous forme pseudonymisée ou de manière nominative permettant directement d'identifier les personnes concernées ? Ainsi, la CNPD suggère aux auteurs des amendements d'énoncer dans le corps du texte du projet de loi d'un côté pour quelle durée précise les données des demandeurs ou bénéficiaires du Revis seront conservées dans la base de données active et opérationnelle du fichier du Revis, et d'autre côté pendant combien de temps elles seront conservées dans les archives intermédiaires et si une anonymisation complète des données à des fins d'archivage définitif sera prévue après un certain délai. Notons encore que la durée de conservation des données à titre d'archivage intermédiaire devra être limitée à une ou deux années, alors qu'une durée plus longue ne serait pas compatible avec le principe que les données doivent être exactes et à jour. Par ailleurs, la CNPD regrette que les observations formulées à l'occasion de son premier avis concernant les articles 26 et 49 (l'actuel article 51) n'ont pas été intégrées dans le projet de loi. A ce titre, elle avait formulé dans son avis du 22 décembre 2016 les commentaires suivants: 2 Voir sur le site internet de la CNIL « Limiter la conservation des données », disponible sous : https://www.cnil.fr/fr/limiter-la-conservation-des-donnees. CNPD 1 Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n°7113 relatif au revenu d'inclusion sociale 2/4 « Selon l'article 26, l'Office communique sur autorisation du Ministre de la Famille et de l'Intégration des données pseudonymisées à l'Inspection générale de la sécurité sociale qui peut en disposer dans le cadre de sa mission de recueillir des données statistiques nécessaires sur le plan national et international « suivant un plan statistique et comptable uniforme pour toutes les institutions sociales » (article 423, point

(4)du Code de la sécurité sociale). Dans ce contexte, la CNPD attire l'attention sur la différence entre données pseudonymisées et anonymisées. Selon le groupe de travail «article 29» sur la protection des données « l'anonymisation est le résultat du traitement des données personnelles afin d'empêcher, de façon irréversible, toute identification » alors que « la pseudonymisation n'est pas une méthode d'anonymisation. Elle réduit simplement la corrélation d'un ensemble de données avec Pidentité originale d'une personne concernée et constitue par conséquent une mesure de sécurité utile. »3 Contrairement aux données anonymes, les données simplement pseudonymisées tombent toujours sous le champ d'application de la loi modifiée du 2 août 2002. Dès lors, la CNPD se pose la question si l'établissement de statistiques nationales et internationales, justifie la communication des données pseudonymisées? Une communication de données anonymes ne serait-elle pas suffisante ? Ce texte n'est pas assez précis pour pouvoir déterminer quelles données devraient, le cas échéant, être communiquées, sous forme pseudonymisée, à des fins statistiques à l'IGSS. Dans sa rédaction actuelle, l'ONIS, devrait, sur demande de l'IGSS, communiquer l'intégralité de ses données (sous forme pseudonymisée) à l'IGSS. Se pose dès lors la question de la nécessité et de la proportionnalité des données communiquées. Les mêmes observations ci-dessus sont également valables pour ce qui est de l'article 49 qui introduit aussi une communication sur autorisation des données pseudonymisées contenues dans les fichiers des offices sociaux à l'IGSS. » Finalement, la CNPD constate que l'amendement 20 prévoit d'ajouter un article 17ter à la loi modifiée du 30 juillet 1960 concernant la création d'un fonds national de solidarité, permettant audit fonds d'accéder dans le cadre de l'exercice de ses missions, par voie d'interconnexions, à divers fichiers étatiques. Le parag raphe

(3)de l'article en cause ajoute que « les informations accédées, doivent être limitées aux données nécessaires à l'instruction du droit à l'une des prestations du Fonds, à son paiement, son contrôle et à la révision des conditions d'accès. » La CNPD tient à rappeler à cet égard l'exigence de la Cour constitutionnelle selon laquelle « dans les matières réservées par la Constitution à la loi, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le GrandDuc. »4 Le Conseil d'Etat rappelle lui aussi régulièrement dans ses avis que « (...) l'accès à des fichiers externes et la communication de données informatiques à des tiers constituent une ingérence dans la vie privée et partant, en vertu de l'article 11, paragraphe 3, de la Constitution, une 3 Groupe de travail «article 29» sur la protection des données, avis 05/2014 sur les Techniques d'anonymisation adopté le 10 avril 2014, p. 4 Arrêt 117 de la Cour constitutionnelle du 20 mars 2015 CNPD Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n°7113 relatif au revenu d'inclusion sociale 3/4 matière réservée à la loi formelle. Dans ce cas, l'essentiel du cadrage normatif doit figurer dans la loi. La loi doit indiquer les bases de données auxquelles une autorité publique peut avoir accès ou dont une autorité publique peut se faire communiquer des données, tout comme les finalités de cet accès ou de cette communication (...). » 5 Sur base des considérations ci-dessus, la CNPD estime que l'article 17 ter de la loi modifiée du 30 juillet 1960 concernant la création d'un fonds national de solidarité devrait énumérer pour chaque fichier étatique visé, les données à caractère personnel auxquelles le Fonds national de solidarité peut accéder. Cet accès devrait être limité aux données qui sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement (article 4, paragraphe

(1)lettre b) de la loi modifiée du 2 août 2002). La CNPD estime ainsi qu'en l'état actuel, l'article 17 ter de ladite loi modifiée du 30 juillet 1960 ne respecte pas les exigences de précision et de prévisibilité auxquelles doit répondre un texte légal et ne peut pas être considéré comme étant conforme à l'article 4 de la loi modifiée du 2 août

1. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 23 janvier
2. La Commission nationale pour la protection des données eaqie Tine A. Larsen Présidente Thierry Lallemang Membre effectif 1ristophe Buschmann Mem bre effectif 5 Voir par exemple : Conseil d'Etat, Avis n° 6975/5 du 7 juin 2016 relatif au projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures. CNP1 Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n°7113 relatif au revenu d'inclusion sociale 4/4