LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Personne en charge du dossier: Luxembourg, le 5 décembre 2017 Jean-Luc Schleich 247 - 82954 SCL : L 5338 / R 5607 — 1560 / nb V/réf. 52.232 / 52.233 Doc. parl. 7136 Objet :
- Projet de loi relatif aux voyages à forfait et aux prestations de voyages liées et portant modification:
- du Code de la consommation;
- de la loi modifiée du 2 septembre 2011 réglementant l'accès aux professions d'artisan, de commerçant, d'industriel ainsi qu'à certaines professions libérales.
- Projet de règlement grand-ducal précisant les informations standards à communiquer par le professionnel conformément aux articles L. 225-3 et L. 225-17 paragraphe 2 du Code de la consommation. Monsieur le Président, Comme suite à ma lettre du 4 mai 2017, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de loi et le projet de règlement grandducal sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legiluxtu www.gouvernementiu www.luxembourgiu Avis de la Commission nationale pour la protection des données relatif au - Projet de loi n°7136 relatif aux voyages à forfait et aux prestations de voyage liées et portant modification 1) du Code de la Consornmation et 2) de la loi modifiée du 2 septembre 20t1 réglementant l'accès aux professions d'artisan, de commerçant, d'industriel ainsi qu'à certaines professions libérales - Projet de règlement grand-ducal précisant les informations standards à communiquer par le professionnel conformément aux articles L.225-3 et L.225-17 paragraphe 2 du Code de la consommation Délibération n° 972/2017 du 1et décembre 2017 Conformément à l'article 32 paragraphe
(3)lettre (
- e)de la loi rnoclifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur (outes les mesures réglementaires ou administratives émises sur base de la présente loi », Par courrier du 2 mai 2017, Monsieur le Ministre de l'Économie a invité la Commission nationale à se prononcer sur les deux projets de texte suivants : le projet de loi n°7136 relatif aux voyages à forfait et aux prestations de voyage liées et portant modification 1) clu Code de la Consommation et 2) de la loi modifiée du 2 septembre 2011 réglementant l'accès aux professions d'artisan, de commerçant, d'industriel ainsi qu'à certaines professions libérales (ci-après « le projet de loi »), d'une part un projet de règlement grand-ducal précisant les informations standards à communiquer par le professionnel conforrnérnent aux articles L.225-3 et L.225-17 paragraphe 2 du Code de la consommation (ci-après « le projet de règlement grand-ducal »), d'autre part. Aux termes de son exposé des motifs, le projet de loi a pour objectif principal de transposer en droit national la directive 2015/2302 relative aux voyages à forfait et aux prestations de voyage liées, modifiant le règlement (CE) No 2006/2004 et la directive 2011/83/UE du Parlement européen et du Conseil et abrogeant la directive 90/314/CEE du Conseil. La Commission nationale entend lirniter ses observations aux dispositions du projet de loi ayant une répercussion sur le respect de la vie privée et la protection des données à caractère personnel des personnes physiques,
- l)S'agissant des données à caractère personnel traitées De façon générale, la Commission nationale observe que les auteurs du projet de loi ont choisi de copier fidèlernent les articles de la directive dans le Code de la consommation luxembourgeois en suivant le principe « toute la directive et rien que la directive ». CNPD Avis de la Commission nationale pour la protection des données relatif au - projet cle loi n° 7136 relatif aux voyages à forfait et aux prestations de voyage liées - projet de règlement grand-ducal précisant les informations standards à communiquer par le professionnel 114 Conformement à rarticle 26, paragraphe 2, et à rarticle 49 du traité sur le fonctionnement de rUnion européenne, le marché intérieur doit comporter un espace sans frontières intérieures dans fequel la libre circulation des marchandises et des services ainsi que la liberté d'établissement sont assurées. A ce titre, renjeu de la directive 2015/2302 consiste à contribuer au bon fonctionnernent de ce marché intérieur à régard des consommateurs et à atteindre un niveau élevé de protection des consommateurs dans le secteur des voyages à forfaitl, Plus particulièrement, la directive renforce la protection clu voyageur en établissant de nouvelles obligations précontractuelles d'information pour les professionnels (organisateurs ou détaillants)2. Parmi ces obligations, 11 y a lieu de citer robligation pour les professionnels cle comrnuniquer au voyageur des informations liées au voyage par rintermédiaire d'un formulaire standard dont le contenu est défini par le règlernent grand-ducal sous-examen3. Afin que le voyageur puisse être en mesure de choisir en connaissance de cause parmi les différentes modalités de voyage proposées, la directive et le projet de loi obligent les professionnels à mentionner d'une manière claire, compréhensible et apparente si ce qu'ils proposent est considéré cornme un forfait ou comme une prestation de voyage liée. Dans ce contexte, les données des organisateurs (nom, adresse, coordonnées téléphoniques ou électroniques) ainsi que celles des entités chargées de la protection contre l'insolvabilité (garants financlers) dolvent être mises à disposition des voyageurs. L'organisateur doit également fournir les données relatives au garant financier au lVlinistère de rEconomie. Ainsi, la CNPD observe que les nouvelles obligations créées par la directive 2015/2302 pourraient conduire à des traitements et à des transmissions de données à caractère personnel concernant les catégories de personnes susmentionnées dès lors qu'il s'agit de personnes physiques identifiées ou identifiables, étant entendu que les données relatives aux personnes morales ne sont pas protégées par la loi modifiée du 2 août 2002. En ce qui concerne la transmission des données d'un professionnel à un autre dans le cadre des prestations de voyage liées4, le texte du projet de loi fait référence, comme la directive, au « nom du voyageur », à ses « modalités de paiement » et à son « adresse électronique ». L.a Commission nationale n'a pas d'observations à formuler s'agissant de ces traitements. Sous réserve qu'il s'agisse cle données à caractère personnel concernant des personnes physiques, la collecte etiou la transmission aux voyageurs etiou aux professionnels de ces données sont nécessaires et proportionnées par rapport aux finalités déterminées par la directive 2015/2302. I La directive 2015/2302 introduit une nouvelle cléfinition du consomrnateur « voyageur », élargit les cléfinitions du « voyage à forfait » (voyages réservés en ligne comprenant diverses parties telles que le transport de personnes, rhébergernent en hôtel ou encore une location de voiture) et du « contrat de voyage à forfait » et introduit la notion de « prestation de voyage Iiée » (qui concerne la combinaison de plusieurs services de voyages vendus séparément). 2 Aux termes du projet de loi, rorganisateur est celui qui produit le voyage (tour opérateur) et le détaillant est le professionnel qui vend ledit voyage (l'agence de voyage par exemple). 3 Le projet de règlement grand-ducal sous examen reprend les formulaires d'information figurant en annexe de la directive 2015/2302. 4 V. p.ex. Art. L.225-2, paragraphe
(2), lettre (b), (v) du projet de loi Avis de la Commission nationale pour la protection des données relatif au - projet de loi n° 7136 relatif aux voyages à forfait et aux prestations de voyage liées projet de règlement grand-ducal précisant les informations standards à communiquer par le professionnel 214 Ceci étant, la Commission nationale recommande aux auteurs du projet de loi d'inclure à la fin du texte une disposition spécifique qui oblige tant les professionnels concernés que les services compétents du Ministère de l'Econornie (en tant que « point de contact » à respecter les principes5 qui découlent de la loi modifiée du 2 août 2002 et, à partir du 25 mai 2018, du règlement (UE) 2016/6796. A noter que la directive 2015/2302, dans son considérant
(49), précise que ladite directive ne doit pas porter atteinte aux règles sur la protection des données à caractère personnel énoncées dans la directive 95/46/CE précitée. Par ailleurs, la Commission nationale tient à souligner qu'en cas de collecte et de traitement de données sensibles (par exemple des données de santé lorsqu'un organisateur sera amené à traiter les données de voyageurs à mobilité réduite ou nécessitant une assistance médicale spécifique, tel qu'il est prévu par larticle L.225-11 paragraphe
(8)projeté du Code cie la consommation), 11 est essentiel que les responsables du traitement visés par le projet de loi se conforment aux dispositions de l'article 6 de la loi modifiée du 2 août 2002 et, à partir du 25 mai 2018, aux dispositions de l'article 9 du règlement (UE) 2016/
- La CNPD souligne également, qu'en cas de transfert de données à caractère personnel vers des pays tiers, il importe que les responsables du traiternent visés par le projet de loi se conforment aux dispositions des articles 18 et 19 de la loi rnodifiée du 2 août 2002 et, à partir du 25 mai 2018, aux dispositions des articles 44 à 49 du règlement (UE) 2016/
- 11) S'agissant des données échangées dans le cadre de la coopération La Commission nationale note que le voyageur bénéficiera d'une garantie étendue contre l'insolvabilité de professionnels du voyage y compris si ceux-ci ne sont pas établis dans un Etat membre de l'Union européenne. Dans ce contexte, la directive prévoit un système de reconnaissance rnutuelle des garanties financières et de coopération entre les Etats membres. Les États membres sont ainsi tenus de désigner des points de contact pour faciliter la coopération administrative et la surveillance des organisateurs qui y exercent leur activité. Ces points de contact mettent à la disposition les uns aux autres toutes les informations nécessaires sur les exigences contre l'insolvabilité au niveau national et sur l'identité de l'entité ou des entités chargées des organisateurs établis sur leur territoire. En outre, ces points de contact s'accordent mutuellement l'accès à tout registre disponible des organisateurs qui se conforment à leurs obligations de protection contre l'insolvabilité. Dans le cadre de cette coopération, les seules données qui seront susceptibles d'être traitées seront l'identité des personnes physiques (et morales) établies au Luxembourg offrant des voyages à forfait et des prestations de voyage liées et qui ont contracté une garantie financière ainsi que les coordonnées (numéro de téléphone, adresse, adresse électronique, etc.) des entités chargées de la protection contre l'insolvabilité (garants financiers). La CNPD observe que cette coopération entre autorités compétentes, qui tend à garantir le respect des lois protégeant les intérêts des consommateurs, est expressérnent prévue par le 5 Principes relatifs à la legitimation des traitements de données et à la qualité des données, aux droits des personnes concernées, à la confidentialité et la securité des traltements, aux transferts de données à caractère personnel vers des pays tiers, etc. e Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation cíe ces données, et abrogeant la directive 95/46/CE (reglement général sur la protection des données). , CNPDI Avis de la Commission nationale pour la protection des données relatif au - projet de loi n 7136 relatif aux voyages à forfait et aux prestations de voyage liées - projet de règlement grand-ducal précisant les informations standards à communiquer par le professionnel 314 règlement européen (CE) n° 2006/2004 relatif à ia coopération en matière de protection des consommateurs. Elle rappelle que les échanges d'informations intervenant dans le cadre de cette coopération doivent respecter les garanties7 de securité et de confidentialite qui s'imposent à tout traitement de données à caractère personnel, comme le souligne d'ailleurs le considérant
(9)du règlement n° 200/
- Pour ie surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 1er décembre
- La Commission nationale pour la protection des données K •, Tine A. Larsen Présidente Thierry Lailemang Membre effectif Clestophe Buschmann Membre effectif Notamment ies articles 23 et 23 de la loi rnodifiée du 2 août 2002 et, à partir du 25 mai
- l'article 32 du règlement 2016/679 8 cf. Considerant
(9)du reglement (CE) 2006/2004 selon Iequel : « Pour faire en sorte que les enquêtes ne soient pas compromises ou que Ia réputation des vendeurs ou des fournisseurs ne soit pas injustement entachée, les informations échangées entre les autorités compétentes devraient benéficier des garanties de confidentialité et de secret profe.ssionnel les plus rigoureuses. La directive 95/46/CE (...) et le règlement (CE) no 45/2001 devraient s'appliquer dans le contexte du présent règlement ». 7 CNPD Avis de la Commission nationale pour la protection des données relatif au - projet de loi n° 7136 relatif aux voyages à forfait et aux prestations de voyage liées - projet de règlement grand-ducal précisant les informations standards à communiquer par le professionnel 4/4