LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 26 février 2019 Personne en charge du dossier: Jean-Luc Schleich le 247 - 82954 SCL : L 5540 —232 / sp V/réf. 53.027 Doc. parl. 7348 Objet : Projet de loi relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence et modifiant : 1. la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et 2. la loi modifiée du 7 décembre 2015 sur le secteur des assurances. Monsieur le Président, À la demande du Ministre des Finances, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence et modifiant : 1. la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et 2. la loi modifiée du 7 décembre 2015 sur le secteur des assurances Délibération n° 10/2019 du 1 février 2019 Conformément à l'article 57, paragraphe 1er, lettre (
- c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Faisant suite à la demande lui adressée par Monsieur le Ministre des Finances en date du 3 août 2018, la Commission nationale entend présenter ci-après ses réflexions et commentaires au sujet du projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence et modifiant : 1. la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et 2. la loi modifiée du 7 décembre 2015 sur le secteur des assurances (ci-après « le projet de loi »). Selon l'exposé des motifs, le projet de loi vise à instaurer en droit luxembourgeois un cadre légal régissant les comptes et coffres-forts inactifs et les contrats d'assurance tombés en déshérence. Il instaure l'obligation pour les établissements de crédit, tel que défini à l'article 1er, point 8. du projet de loi, et les entreprises d'assurance de maintenir un contact régulier avec leurs clients et de les contacter et, si nécessaire, d'entreprendre des recherches complémentaires en cas d'absence de manifestation de la part des clients. Pour le cas où l'inactivité du client se poursuit jusqu'au délai fixé dans le projet de loi, les établissements et entreprises d'assurance devraient consigner les avoirs des clients auprès de la Caisse de consignation. Le projet de loi encadre encore les missions des acteurs chargés de veiller à l'application du projet de loi, à savoir la Commission de surveillance du secteur financier (« la CSSF »), le Commissariat aux assurances (« le CAA »), l'Administration des contributions directes (« l'ACD ») et la Caisse de consignation. La Commission nationale entend limiter ses observations aux questions soulevées par les dispositions du projet de loi sous examen traitant des aspects liés au respect de la vie privée et à la protection des données à caractère personnel. l. Les traitements de données à caractère personnel effectués par les établissements et les entreprises d'assurances CNP1 CC+0.,15: pen,rr, s Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 1/9 a. Les données à caractère personnel traitées par les établissements et les entreprises d'assurances i. Au cours de relation contractuelle Au cours de la relation contractuelle, les établissements et les entreprises d'assurance doivent tenir à jour les données qu'ils détiennent sur leurs clients (articles 4 et 19 du projet de loi). A cette fin, les établissements et les entreprises d'assurance doivent, dans les délais fixés par le projet de loi, contacter les personnes concernées (p.ex. le titulaire du compte ou l'ayant droit pour les établissements, l'assuré pour les entreprises d'assurance) « par tout moyen », en ayant recours « aux données à leur disposition » (voir, entre autres, article 5, paragraphe 1er, alinéa 2 et article 20, paragraphe ler, alinéa 2 du projet de loi). Selon le commentaire des articles, sont visées « toutes [les] données dont l'établissement dispose, telle que les adresses privées ou professionnelles, les numéros de téléphones ou de fax, privés ou professionnels, les adresses email dont l'établissement dispose ou encore la transmission de messages par web-banking »'. A défaut de manifestation des personnes concernées, les établissements (pour les comptes inactifs) et les entreprises d'assurance doivent procéder à des recherches complémentaires afin de rétablir le contact avec les personnes concernées2. La CNPD salue la précision dans le commentaire des articles selon laquelle : « les données obtenues suite aux recherches complémentaires ne peuvent être utilisées que pour les besoins de la présente loi »3. La CNPD tient à souligner qu'en vertu du principe de minimisation des données, seules les informations issues des recherches complémentaires qui ont permis de rétablir le lien avec le client ou les données actualisées que les personnes ont fourni devraient être conservées par les entreprises, à l'exclusion de toutes autres données non-pertinentes ou dont l'exactitude n'a pas pu être vérifiée. Dans la mesure où le contact n'a pas pu être rétabli, les preuves démontrant l'accomplissement des recherches complémentaires doivent être conservées pendant le délai prévu par le projet de loi (article 6, paragraphe 2, alinéa 3 er article 22, paragraphe 2, alinéa 3 du projet de loi). Ces preuves doivent être limitées à ce qui est strictement nécessaires pour démontrer le respect des dispositions du présent projet de loi. 11. Lors de la consignation L'article 29, paragraphe 2 de la loi en projet dispose que les informations et documents visés à l'annexe 3 sont conservés pendant toute la durée de la consignation et pendant cinq ans suivant la date à laquelle la consignation a pris fin, « afin de permettre à la Caisse de consignation d'examiner les demandes d'information au titre de l'article 32, d'examiner les demandes de restitution et de procéder aux restitutions au titre de l'article 33 ». Les établissements et les entreprises d'assurance doivent en plus conserver les pièces justificatives issues des recherches complémentaires pour justifier aux personnes concernées et aux organismes public de l'accomplissement de leurs obligations légales'. L'annexe 3 du projet de loi énonce à cet égard les informations que les établissements et les entreprises d'assurance doivent conserver pendant la durée de la consignation. Sont ainsi visées « les informations et la documentation pertinentes pour l'identification, ... y compris les informations et la documentation requises conformément à la loi modifiée du 12 novembre 2004 [relative à la lutte contre le blanchiment et contre le financement du terrorisme] ». Les Projet de loi n° 7348, doc. parl. 7348/00, Commentaire des articles, p. 45 pour les établissements et p. 55-56 pour les entreprises d'assurance. 2 Projet de loi n° 7348, doc. parl. 7348/00, Commentaire des articles, p. 47. 3 Projet de loi n° 7348, doc. parl. 7348/00, Commentaire des articles, p. 48 et 57. 4 Projet de loi n° 7348, doc. parl. 7348/00, Commentaire des articles, p. 48 et 57. [ CNP15Y/Olf,r. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 2/9 informations requises conformément à la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme (ci-après « la loi modifiée du 12 novembre 2004 ») incluent « une copie ou les références des documents, des données et informations qui sont nécessaires pour se conformer aux obligations de vigilance à l'égard de la clientèle »5 , ainsi que « les pièces justificatives et enregistrements de transactions qui sont nécessaires pour identifier ou reconstituer des transactions »6. Le commentaire des articles ne précise pas pourquoi ces données seraient nécessaires. La conservation de toutes les données collectées sur base de la loi modifiée du 12 novembre 2004 risquerait de ne pas être proportionnelle par rapport à l'objectif du projet de loi, puisque les établissements et les entreprises d'assurance seraient obligées de conserver l'entièreté des dossiers de leurs clients établis sur base de la loi modifiée du 12 novembre 2004. Dans la mesure où les données collectées conformément à la loi modifiée du 12 novembre 2004 ne doivent être conservées au-delà de dix ans maximum après la fin de la relation contractuelle', le projet de loi dans sa rédaction actuelle pourrait avoir comme conséquence de prolonger la durée de conservation desdites données pour une durée disproportionnée eu égard à la finalité initiale de la collecte. Etant donné que le but de la conservation des données est « de permettre à la Caisse de consignation d'examiner les demandes d'information au titre de l'article 32, d'examiner les demandes de restitution et de procéder aux restitutions au titre de l'article 33 », la CNPD estime nécessaire de limiter les données conservées aux seules données d'identification. b. La durée de conservation Quant à la durée maximale de conservation de données, la CNPD note que les points de départs précis pour les délais de prescription varient en fonction des avoirs et des biens en question. Ainsi, si la demande de consignation est acceptée, le délai de prescription trentenaire pour les avoirs provenant des comptes bancaires et des coffres-forts inactifs, ainsi que des contrats d'assurance en déshérence commence à courir à partir du point de départ de l'inactivité (article 37, paragraphe 1er, point 1er du projet de loi). Les données relatives à ces consignations devront être conservées pendant la durée de la consignation et 5 ans après la fin de la consignation, à savoir pendant une durée maximale de 35 ans à partir du point de départ de l'inactivité (article 29, paragraphe 2 du projet de loi). Pour les biens dont l'établissement reste dépositaire, à savoir « les biens non visés aux paragraphes 2 à 7 [de l'article 15 du projet de loi], qui sont conservés dans une enveloppe scellée », ne seront consignés auprès de la Caisse de consignation qu'après 50 ans à partir du point de départ de l'inactivité (article 15, paragraphe 8 du projet de loi). Le délai de prescription est de cinq ans après la délivrance du récépissé de consignation par la caisse de consignation (article 37, paragraphe 1er, point 2. du projet de loi). Les données relatives à ces biens devront ainsi être conservées pendant une durée maximale de 10 ans après la délivrance du récépissé de consignation. La CNPD s'interroge sur la durée de conservation des données, si la demande est refusée (soit implicitement, soit expressément). Qu'en-est-il de la conservation en cas de refus de la demande (de manière implicite et expresse) : est-ce que les responsables du traitement doivent garder les avoirs et les données y afférentes ad vitam aeternam ? La CNPD estime nécessaire de préciser davantage le projet de loi à cet égard. 5 Article 3, paragraphe 6, alinéa 1", lettre a de la loi modifiée du 12 novembre 2004. 6 Article 3, paragraphe 6, alinéa ler, lettre b de la loi modifiée du 12 novembre 2004. 'Article 3, paragraphe 6 de la loi modifiée du 12 novembre 2004. 1401(C, Cel s nr,rers Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 3/9 La CNPD rappelle encore que les données devraient être effacées à la fin de la durée de conservation prescrite par la présente loi en projet, étant donné qu'elles ne doivent pas être conservées plus longtemps que la durée pendant laquelle elles sont nécessaires au regard des finalités pour lesquelles elles sont traitées (article 5, paragraphe ler, lettre (
- e)du RGPD). c. L'information annuelle et la transmission de la demande de consignation Selon l'article 27 du projet de loi, les établissements transmettent le nombre total de titulaires de comptes inactifs et coffres-forts, le nombre total desdits comptes inactifs et desdits coffresforts inactifs, ainsi que le solde global de tous les comptes inactifs à la CSSF et à l'ACD. Les entreprises d'assurance, quant à elles, sont tenues de transmettre à la CAA et à l'ACD le nombre total de contrats d'assurance en déshérence et le solde global desdits contrats en déshérence. Le commentaire des articles précise que la transmission de données à la CSSF et le CAA se ferait pour assurer le « suivi de l'évolution des comptes et coffres-forts inactifs ainsi que des contrats d'assurance en déshérence à des fins statistiques et de surveillance, notamment dans le cadre de l'analyse des risques liés au blanchiment des capitaux »8. Les transmissions à l'ACD auraient lieu dans le cadre de l'application de la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) ainsi que la loi modifiée du 24 juillet 2015 relative à FATCA pour permettre au « bureau de la retenue d'impôt sur les intérêts [de contrôler] le respect des obligations incombant aux établissements et aux entreprises d'assurance envers l'Administration des contributions directes conformément aux paragraphes l er et 2 » (article 27, paragraphe 3 du projet de loi). Le commentaire des articles explique que « dans les deux cas visés aux paragraphes l er et 2, il y aura une transmission unique d'un même jeu de données à la fois à la CSSF et à l'ACD, respectivement au CAA et à la l'ACD »9. Tel que l'article 27 du projet de loi est libellé, la CNPD comprend que les informations sont transmises à la CSSF, le CAA et l'ACD sous forme agrégée, même si la disposition ne le précise pas expressément. Si les informations agrégées ne permettent plus d'identifier une personne physique de manière directe ou indirecte, on pourrait considérer qu'il s'agisse de données anonymes de sorte que la législation sur la protection des données ne trouverait pas application. Par ailleurs, afin d'assurer la conformité du projet de loi avec l'article 5, paragraphe 1er, lettre (
- c)du RGPD, le mot « utiles » devrait être remplacé par « nécessaires » à l'article 28, paragraphe 2, alinéa ier du projet de loi. 11. Les traitements de données à caractère personnel effectués par la Caisse de consignation, la CSSF, le CAA et l'ACD a. Les rôles et responsabilités L'article 32 du projet de loi vise à encadrer le registre électronique des consignations tenu par la Caisse de consignation. Dans un souci de sécurité juridique, il importe, le cas échéant, de préciser que la Caisse de consignation est à considérer comme le responsable du traitement au sens du RGPD. b. Les données traitées par la Caisse de consignation 8 9 Projet de loi n° 7348, doc. parl. 7348/00, Commentaire des articles, page 59. Ibid. CNPD 1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 4/9 Le projet de loi n'énumère pas dans une disposition unique les données qui sont collectées par la Caisse de consignation. Il ressort du projet de loi que la Caisse de Consignation traiterait les données transmises par les établissements et les entreprises d'assurance dans le cadre de la demande de consignation (annexes 1 et 2 du projet de loi), dont notamment « /es informations relatives aux » personnes concernées par la demande, à savoir les titulaires, ayants-droit, preneurs d'assurance, assurés et/ou bénéficiaires. La Caisse de consignation peut encore demander « toutes les informations et pièces supplémentaires utiles » (article 28, paragraphe 2 du projet de loi) qu'elle juge nécessaires pour traiter la demande. Le commentaire des articles souligne à cet égard que la documentation conservée par les établissements et les entreprises d'assurance conformément à l'article 29 du projet de loi ne serait pas conservée par la Caisse de consignation'. La CNPD s'interroge ainsi sur le sort des informations et pièces supplémentaires transmises par les établissements et les entreprises d'assurance suite à une demande de la Caisse de consignation. S'agit-il de la documentation qui doit être conservée par les établissements et les entreprises d'assurance ? Est-ce que ces informations et pièces supplémentaires seront conservées en double ou est-ce qu'elles seront effacées par la Caisse de consignation suite à l'acceptation de la demande ? La Caisse de consignation traiterait encore les informations fournies par les demandeurs dans le cadre de leur demande d'information et/ou de restitution. Elle peut à cet égard également demander « toute information et pièce justificative supplémentaire » des demandeurs et « les informations et documents visés à l'annexe 3 qui sont utiles en vue de l'examen des demandes de restitution et des démarches de restitution » (article 33, paragraphe ler, alinéas 2 et 4 du projet de loi). Les établissements et les entreprises d'assurance devraient transmettre « l'ensemble de la documentation conservée conformément à l'article 29, paragraphe 2, qui est en relation avec la demande de restitution examinée » (article 33, paragraphe 1er, alinéa 5 du projet de loi). Il importe de modifier ces dispositions afin de limiter les données qui pourront être traitées par la Caisse de consignation. Par ailleurs, dans un souci de clarté, la CNPD s'interroge s'il ne serait pas utile de prévoir de manière plus précise dans le corps du texte de l'article 32 le contenu du registre tenu par la Caisse de consignation. c. La durée de conservation La CNPD relève que le projet de loi n'énonce pas explicitement la durée de conservation des données à caractère personnel traitées par la Caisse de consignation, la CSSF, le CAA et l'ACD dans le cadre de leurs missions respectives au titre du présent projet de loi. Quant à la Caisse de consignation, la CNPD suppose que les données seraient effacées cinq ans après la fin de la consignation. Il ressort de l'article 5, paragraphe 1er, lettre (
- e)du RGPD que les données ne doivent pas être conservées au-delà de la durée nécessaire au regard des finalités pour lesquelles elles sont traitées. Par ailleurs, la protection des données à caractère personnel constitue une matière réservée à la loi en ce qu'elle touche à la protection de la vie privée des citoyens (article 11, Projet de loi n° 7348, doc. parl. 7348/00, Commentaire des articles, page 61. CNPD r.r.1.0TA Pe011CI, rrtecwsta Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 5/9 paragraphe 3 de la Constitution). Les éléments essentiels'', les objectifs et les principes12, dont notamment la durée de conservation13, doivent dès lors figurer dans la loi. Au vu de ce qui précède et dans un souci de sécurité juridique, la CNPD estime nécessaire de préciser les durées de conservation des données traitées par la Caisse de consignation, la CSSF, le CAA et l'ACD. d. Les transferts de données à caractère personnel i. La coopération entre la CSSF, le CAA et la Caisse de consignation L'article 38 du projet de loi habilite la CSSF, le CAA et la Caisse de consignation à coopérer et à échanger des informations et documents « aux fins de l'accomplissement de leurs missions respectives au titre de la présente loi ». Pour le cas où la coopération entre lesdits organismes comprenait des données à caractère personnel, la CNPD s'interroge sur la forme ou l'étendue de cette coopération. En effet, toute base juridique servant de fondement à un traitement de données à caractère personnel visé à l'article 6, paragraphe 1er, lettres (
- c)(le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis) ou (
- e)(le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement) du RGPD, doit être accompagnée de garanties appropriées en matière de protection des données. En particulier, suivant le paragraphe 3 de ce même article : « (...) les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement (...) ». Ces finalités doivent être déterminées, explicites et légitimes' et les données ne doivent pas être traitées ultérieurement d'une manière incompatible avec ces finalités (principe de limitation des finalités). L'article 6, paragraphe 3 du RGPD prévoit encore que « (...) cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX [du RGPD] (...) ». " Arrêt de la Cour constitutionnelle - Arrêts n° 00132 et 00133 du 2 mars 2018. 12 Avis n° 52976 du Conseil d'Etat du 24 juillet 2018 relatif au Projet de règlement grand-ducal 1. modifiant le règlement grand-ducal modifié du 10 août 2005 relatif au fonctionnement du lycée-pilote, et 2. abrogeant le règlement grand-ducal du 27 août 2012 portant sur les classes de la division supérieure de l'enseignement secondaire dans le cycle de formation du lycée Ermesinde. 13 Avis n° 51640 du Conseil d'Etat du 11 octobre 2016 relatif au projet de loi n° 6989 portant 1. modification du Code du travail ; 2. modification de l'article 3 de la loi du 17 juin 1994 fixant les mesures en vue d'assurer le maintien de l'emploi, la stabilité des prix et la compétitivité des entreprises. 14 RGPD, article 5, paragraphe 1 er, lettre (b). :, [,. CNPEI [Ou., OF, Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 6/9 Le considérant 45 du RGPD précise par ailleurs aussi que « (...) ce droit [national] pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. » Il convient en outre de rappeler l'obligation d'information préalable prescrite aux articles 13 (collecte directe) et 14 (collecte indirecte) du RGPD. Ainsi, les responsables du traitement sont obligées de fournir certaines informations aux personnes concernées, dont notamment les catégories de données à caractère personnel concernées. L'obligation d'information préalable ne s'applique pas en cas de collecte indirecte dans des cas précis, par exemple, lorsque « l'obtention ou la communication des informations sont expressément prévues par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée »15 . Dans l'arrêt « Smaranda Bara » du 1er octobre 2015, la Cour de Justice de l'Union européenne a retenu que les articles de la directive 95/46/CE16 relatives à l'obligation d'information préalable « doivent être interprétés en ce sens qu'ils s'opposent à des mesures nationales ... qui permettent à une administration publique d'un État membre de transmettre des données personnelles à une autre administration publique et leur traitement subséquent, sans que les personnes concernées n'aient été informées de cette transmission ou de ce traitement »17. La Cour a notamment considéré qu'un protocole d'échange d'information, qui n'a pas fait l'objet d'une publication officielle, ne pourrait pas être considéré comme constituant une dérogation à l'obligation d'information préalable. En tenant compte de ce qui précède et s'agissant d'une matière réservée à la loi, la CNPD estime nécessaire d'encadrer la coopération des organismes publics dans le projet de loi, en indiquant les données susceptibles d'être échangées. La CSSF et le CAA doivent encore informer la Caisse de consignation de toutes les sanctions administratives imposées, les recours et les résultats des recours (article 44, paragraphe 2, alinéa 2). Eu égard au libellé très vague de cette disposition et dans un souci de sécurité juridique et afin de respecter le principe de minimisation des données, le projet de loi devrait préciser quelles informations seraient, le cas échéant, transmises par la CSSF et le CAA à la Caisse de consignation. Accès au registre par l'Administration des contributions directes Il ressort de l'article 38 de la loi en projet, que l'ACD peut accéder aux informations et documents conservés par la Caisse de consignation « sous garantie d'un accès sécurisé, limité et contrôlé », afin d'accomplir ses missions prévues dans la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) et de la loi modifiée du 24 juillet 2015 relative à FATCA. Il n'est pas précisé s'il s'agit d'un accès direct ou un accès sur demande. Comme l'a soulevé le Conseil d'Etat dans son avis du 12 novembre 2017 relatif au projet de loi n° 7182 « étant donné que la communication de données informatiques à des tiers peut RGPD, article 14, paragraphe 5. Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. 17 Arrêt du 1" octobre 2015, Smaranda Bara, C-201/14, point 47. 15 16 [ CNP1 CO1.0.4 PECI,fe, C3L.C.0,115 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 7/9 constituer une ingérence dans la vie privée et, partant, en vertu de l'article 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle, il faut que le cadre légal contienne encore des dispositions pour garantir la sécurité de la transmission des données. »18 . A l'instar dudit avis du Conseil d'Etat, la CNPD estime nécessaire d'insérer dans le libellé de l'article sous avis des dispositions analogues à celles contenues à l'article 138 de la loi modifiée du 29 août 2008 sur la libre circulation des personnes et l'immigration. Le libellé sous avis devra dès lors se lire comme suit : « L'administration des contributions directes a droit, sur sa demande, aux données nécessaires pour la gestion des dossiers ouverts sur base de la loi du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) et de la loi modifiée du 24 juillet 2015 relative à FATCA. Le système informatique par lequel sont transmises les données visées doit être aménagé de sorte que les informations relatives à la personne ayant procédé à la transmission, les informations consultées, la date, l'heure et la référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif précis de la consultation peuvent être retracés. » III. Les droits des personnes concernées Comme soulevé au point II.d. du présent avis, les articles 13 et 14 du RGPD imposent aux responsables du traitements une obligation d'information en cas de collecte directe (article 13) et collecte indirecte (article 14). Quant à la Caisse de consignation, le paragraphe 5 de l'article 14 du RGPD dispose, entre autre, que l'obligation d'information ne s'applique pas en cas de collecte indirecte, si l'obtention est prévue par le droit de l'Union ou le droit de l'État membre et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée. Afin d'assurer la protection des personnes physiques, la Commission nationale préconise que le responsable de traitement procède à une information claire et complète sur son site internet comportant les informations requises en vertu de l'article 14 du RGPD. Comme souligné par le GT29 dans ses lignes directrices sur la transparence, « [L]n lien direct vers cette déclaration ou cet avis sur la protection de la vie privée devrait être clairement visible sur chaque page de ce site internet sous un terme communément utilisé (comme « Confidentialité », « Politique de confidentialité » ou « Avis de protection de la vie privée »). »19 18 Avis n° 52417 du Conseil d'Etat du 11 21 novembre 2017 relatif au projet de loi n° 7182 portant modification 1) de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l'État ; 2) de la loi modifiée du 3 août 1998 instituant des régimes de pension spéciaux pour les fonctionnaires de l'État et des communes ainsi que pour les agents de la Société nationale des Chemins de Fer luxembourgeois ; 3) de la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État ; 4) de la loi modifiée du 12 mai 2009 portant création d'une École de la 2e Chance ; 5) de la loi modifiée du 22 mai 2009 portant création
- a)d'un Institut national des langues ;
- b)de la fonction de professeur de langue luxembourgeoise ; 6) de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État ; 7) de la loi modifiée du 25 mars 2015 instituant un régime de pension spécial transitoire pour les fonctionnaires de l'État et des communes ainsi que pour les agents de la Société nationale des Chemins de Fer luxembourgeois ; 8) de la loi modifiée du 25 mars 2015 fixant les conditions et modalités de l'accès du fonctionnaire à un groupe de traitement supérieur au sien et de l'employé de l'État à un groupe d'indemnité supérieur au sien ; 9) de la loi modifiée du 25 mars 2015 déterminant le régime et les indemnités des employés de l'État et portant abrogation de la loi modifiée du 22 juin 1963 portant fixation de la valeur numérique des traitements des fonctionnaires de l'État ainsi que des modalités de mise en vigueur de la loi du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'État. 19 Groupe de Travail « Article 29 », Lignes directrices sur la transparence au sens du règlement (UE) 2016/679, WP260 rev.01, p. 9. CNPD rrs no,,ers Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 8/9 A titre d'information, la CNPD rappelle encore que l'exercice par les personnes concernées de leurs droits, tel que le droit d'accès, est gratuit pour les personnes concernées'. Par ailleurs, conformément à l'article 12, paragraphe 3 du RGPD, le responsable du traitement doit répondre la personne concernée dans le délai d'un mois à compter de la date de réception de la demande. Ce délai peut être prolongé de deux mois dans les conditions prévues au même paragraphe. Il convient ainsi de souligner la différence entre le droit d'accès aux données à caractère personnel et la demande de restitution prévue à l'article 33 du projet de loi par laquelle « toute personne justifiant d'un droit sur des avoirs consignés » en vertu du projet de loi peut demander la restitution des avoirs. En effet, si une personne concernée exerce son droit d'accès auprès de la Caisse de consignation conformément à l'article 15 du RGPD, celle-ci doit recevoir une réponse dans le délai d'un mois, si les conditions du RGPD sont remplies. Lorsqu'une personne dépose une demande de restitution conformément à l'article 33 du projet de loi, la Caisse de consignation devrait prendre une décision dans les six mois de la réception de la demande complète. Ainsi décidé à Esch-sur-Alzette en date du 1 février 2019. La Commission nationale pour la protection des données (0 Tine A. La Présidente Thierry Lallemang Commissaire Christophe Buschmann Jos ne Pa Commissaire Membre suppléant 20 RGPD, article 12, paragraphe 5. CNPI1 COU1,5 CeJ 110,1", nrsce,ntrs Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7348 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d'assurance en déshérence 9/9