Avis complémentaire de la Commission nationale pour la protection des données relative aux amendements gouvernementaux a

(1)de l'article 7 du projet de loi concernant l'accès du fonctionnaire sanctionnateur au registre national des personnes physiques, la CNPD tient à réitérer ses considérations formulées dans son avis du 7 décembre 2018, selon lesquelles « le fonctionnaire sanctionnateur devrait avoir accès uniquement aux données ' Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7126 relative aux sanctions administratives communales modifiant 1) le Code pénal, 2) le Code de procédure pénale, et 3) la loi communale modifiée du 13 décembre 1988, délibération du n° 490/2018 du 7 décembre 2018. CNP1 Avis complémentaire de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux au projet de loi n°7126 relatif aux sanctions administratives communales et à l'élargissement des compétences des agents municipaux 1/4 pertinentes dans le cadre de l'exercice de ses compétences, c'est-à-dire aux données mentionnées dans le fichier des sanctions administratives communales, et non pas aux autres données comprises dans le registre national des personnes physiques (comme, par exemple, les données concernant la famille de la personne concernée) ». 11) Ad Amendement 14 L'amendement 14 a pour objet de supprimer les dispositions du Chapitre 7 du projet de loi relatif aux registres des sanctions administratives communales, qui prévoyaient la création de trois fichiers. En effet, les articles 18 et 19 du Chapitre 7 précité prévoyaient respectivement que le fonctionnaire sanctionnateur tient un « fichier des infractions dont les constats lui sont transmis » et que les communes et la Police grand-ducale tiennent un « fichier des sanctions administratives ». La suppression des articles précités, par les auteurs du projet de loi, fait suite aux observations formulées par le Conseil d'Etat dans son avis du 28 novembre 2017 ainsi que dans son avis complémentaire du 23 octobre 2018, selon lesquelles il considère que « la matière est réglée à suffisance par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE »2 et qu'il convient d'omettre les articles 18 et 19 précités. Or, la CNPD avait, au contraire, dans son avis du 7 décembre 2018, salué que le projet de loi entendait prévoir le principe de la création de tels registres, conformément à l'article 6, paragraphe

(3), du RGPD. A cet égard, il convient de rappeler que la tenue d'un fichier de données à caractère personnel collectées et traitées par une autorité administrative doit reposer sur une base légale conformément à l'article 6, paragraphe

(3), du RGPD

1. 2 Voir « examen des articles », Article 18, page 13 du document parlementaire n°7126/04, et « examen des amendements », Amendements 21 et 22, page 9 du document parlementaire n°7126/
2. L'article 6 paragraphe

(3)dispose que : « Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par : a. le droit de l'Union; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux au projet de loi n°7126 relatif aux sanctions administratives communales et à l'élargissement des compétences des agents municipaux 2/4 Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». Le considérant 41 du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme

1. En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Dès lors, pour que la licéité du traitement dans le secteur public soit assurée, il faut disposer d'un texte normatif national ou supranational qui peut amener une administration ou un service à devoir traiter des données pour remplir ses missions
2. S'il ne faut pas qu'un texte prescrive spécifiquement un traitement de données, « la finalité du traitement doit cependant être précise, dans la mesure où le texte amenant l'administration à traiter des données doit permettre aux opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. ». ° En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°
3. Voir entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 décembre 2015, CourEDH, Vavhška et autres c. République tchèque (requêtes n47621/13 et 5 autres), § 276 à 293, 8 avril
4. 5 M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°619 CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux au projet de loi n°7126 relatif aux sanctions administratives communales et à l'élargissement des compétences des agents municipaux 3/4 administrés d'en déduire la nature des données et les fins pour lesquelles celles-ci sont utilisées »
5. Ainsi et malgré la suppression des dispositions précitées, la Commission nationale comprend que de tels registres auraient tout de même vocation à être tenus par le fonctionnaire sanctionnateur, les communes et la Police grand-ducale, en tant que responsables du traitement desdits registres. Dans un souci de sécurité juridique, la CNPD regrette donc que le texte sous avis ne conserve pas de telles dispositions et estime nécessaire que les dispositions des articles 18 et 19 du projet de loi soient conservées, alors qu'elles prévoient la création de tels fichiers. Celles-ci devront, en outre, contenir les éléments cités ci-avant. Pour le surplus, la CNPD réitèrent ses observations formulées sous le point II de son avis du 7 décembre
6. Ainsi décidé à Belvaux en date du 9 juillet
7. La Commission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang Commissaire Christo Buschmann Commissaire Marc Lemmer Commissaire 6 M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°619 CNPE Avis complémentaire de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux au projet de loi n°7126 relatif aux sanctions administratives communales et à l'élargissement des compétences des agents municipaux 414