Projet de loi concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Madame la Présidente du Conseil d'État Luxembourg Luxembourg, le 18 avril 2019 Personne en charge du dossier: Roland Gaasch g 247 - 82953 SCL : L 5563 - 507 / nb V/réf. 53.126 Doc. parl. 7373 Objet : Projet de loi concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données et portant : 1. exécution, en matière de surveillance du secteur financier et des assurances, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données); 2. 3. modification de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. Madame la Présidente, Comme suite à ma lettre du 23 octobre 2018, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de loi sous rubrique. Veuillez agréer, Madame la Présidente, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352)46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernementiu www.luxembourgiu Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données et portant : 1. mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 2. modification de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et 3. modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances Délibération n° 38/2019 du 5 avril 2019 Conformément à l'article 57, paragraphe 1 er, lettre (

1. c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Faisant suite à la demande lui adressée par Monsieur le Ministre des Finances en date du 18 octobre 2018, la Commission nationale entend présenter ci-après ses réflexions et commentaires relatifs au projet de loi n°7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données et portant : 1. mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 2. modification de la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; et 3. modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances (ci-après « le projet de loi »). Selon l'exposé des motifs, ce projet de loi entend modifier la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier (ci-après « la loi modifiée du 23 décembre 1998 » ) et la loi modifiée du 7 décembre 2015 sur le secteur des assurances (ci-après « la loi modifiée du 7 décembre 2015 ») afin de permettre à la Commission de surveillance du secteur financier (ci-après « la CSSF ») et au Commissariat aux Assurances (ci-après « le CAA ») de se prévaloir de certaines des limitations énoncées à l'article 23, paragraphe 2 du RGPD dans l'accomplissement de leurs missions. Le RGPD, qui est d'application directe dans tous les Etats membres de l'Union européenne depuis le 25 mai 2018, entend protéger les libertés et droits fondamentaux des personnes Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données 1/12 physiques, et en particulier leur droit à la protection des données à caractère personnel (article 1er, paragraphe 2). Il vise à harmoniser les règles européennes existantes afin « d'assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel dans l'ensemble de l'Union »1 et à moderniser la directive 1995/46/CE (transposée en droit luxembourgeois par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel) dans une société de plus en plus digitale en redonnant aux citoyens le contrôle des données qui les concernent, que celles-ci soient collectées et utilisées par les acteurs économiques privés ou par les acteurs du service pub1ic2. Le RGPD confère en particulier dans son chapitre Ill (articles 12 à 23) différents droits aux personnes concernées, leur permettant de contrôler l'usage des données à caractère personnel les concernant. Son article 23 prévoit cependant que le droit d'un Etat membre peut, par la voie de mesures législatives, limiter la portée de ces droits, lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs prévus limitativement à l'article 23, paragraphe 1', à condition que cette mesure législative prévoit des dispositions spécifiques relatives au moins aux éléments visés à l'article 23, paragraphe 2. Par ailleurs, les limitations doivent respecter les exigences énoncées par la Charte des droits fondamentaux de l'Union européenne (ci-après « la Charte ») et par la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales (ci-après « la Convention »). La Commission nationale a déjà eu l'occasion de se prononcer sur les clauses d'ouverture de l'article 23 du RGPD dans le cadre de son avis du 29 mars 2018 relatif au projet de loi n° 7250 portant exécution, en matière fiscale, des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE et portant modification de dispositions diverses (délibération n° 219/2018), dans lequel elle a fourni des précisions quant aux modalités de mise en oeuvre des clauses d'ouverture et des garanties, qui doivent être intégrées dans la mesure législative pour assurer le respect du RGPD. Ayant déjà été consultée par le ministère des Finances au stade d'avant-projet de loi en question, la Commission nationale se limite à formuler les observations suivantes. I. Considérations générales Les auteurs du projet de loi ont souhaité prévoir dans un article de chacune des lois modifiées, à savoir le nouvel article 16-3 de la loi modifiée du 23 décembre 1998 et le nouvel article 133 de la loi modifiée du 7 décembre 2015, les cas de figure (listés sous les lettres (
2. a)à (f)) 1 Cf. RGPD, considérant 10. 2 Pour plus d'informations à ce sujet, voir l'avis de la Commission nationale pour la protection des données du 28 décembre 2017 relatif au projet de loi portant création de la Commission nationale pour la protection des données et la mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, document parlementaire 7184/3. 3 Cf. RGPD, considérant 73. CNPD 1.nteliALF PpOIEC Cellede Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données 2/12 permettant à la CSSF et au CAA de limiter le droit à l'information des personnes concernées lorsque les données à caractère personnel sont collectées auprès de celles-ci, tel que prévu à l'article 13 du RGPD. Les nouveaux articles 16-4 à 16-7 de la première loi citée, de même que les nouveaux articles 13-4 à 13-7 de la seconde, introduisent quant à eux des limitations à d'autres droits des personnes concernées consacrés par le RGPD, à savoir le droit à l'information des personnes concernées lorsque les données à caractère personnel n'ont pas été collectées auprès de celles-ci (article 14 du RGPD), le droit d'accès (article 15 du RGPD), le droit à la limitation du traitement (article 18 du RGPD), et le droit d'opposition (article 21 du RGPD). Chacune de ces dispositions renvoie aux cas de figure décrits aux lettres (
3. a)à (
4. f)de l'article 16-3 de la première loi ou 13-3 de la seconde. Or, la CNPD constate que seul le commentaire des articles 16-3 de la loi modifiée du 23 décembre 1998 et 13-3 de la loi modifiée du 7 décembre 2015 explique de manière exhaustive la nécessité de chacun de ces cas de figure, visés aux lettres (
5. a)à (
6. f)desdits articles, dans lesquelles le droit à l'information pourrait être limité par la CSSF ou par le CAA. Les commentaires des articles 16-4 à 16-7 de la première loi citée, et des articles 13-4 à 13-7 de la seconde, se contentent quant à eux de décrire de manière générale la nécessité de limiter les autres droits du RGPD, sans pour autant fournir des explications spécifiques démontrant la nécessité des différents cas de figure dans lesquelles chacun de ces droits pourrait être limité. La CNPD regrette que la nécessité et la pertinence des différents cas de figure associés à chacun des droits des personnes concernées n'ait pas été davantage expliqué dans le commentaire des articles. Par exemple, les lettres (
7. f)des articles 16-3 de la loi modifiée du 23 décembre 1998 et 13-3 de la loi modifiée du 7 décembre 2015 prévoient que la CSSF ou le CAA pourraient limiter le droit à l'information, si le plein ou immédiat exercice des droits de la personne concernée ou des obligations de la CSSF ou du CAA « porte atteinte à des intérêts légitimes protégés de tiers ». Selon le commentaire des articles, cette exception pourrait notamment être importante dans le cadre de l'article 15 du RGPD, à savoir le droit d'accès, par exemple pour protéger les intérêt d'un tiers, qui a révélé des informations sensibles à la CSSF (tel qu'un lanceur d'alerte)4. Or, la disposition en question concerne l'article 13 et non pas l'article 15 du RGPD. Ce dernier dispose d'ores et déjà que le droit d'obtenir une copie ne doit pas porter préjudice aux droits et libertés d'autrui. Par ailleurs, pour ce qui est de la lettre (
8. b)des mêmes articles, la CNPD comprend du commentaire des articles que les auteurs du projet de loi visent principalement le droit à l'information des personnes concernées et le droit d'accès dans des cas très précis, principalement justifiés par « l'impact d'une communication de certaines informations à la personne concernée sur le bon fonctionnement des marchés ou la stabilité financière, voire la sécurité publique et l'ordre public en cas de crise importante, si une telle information est concrètement de nature à créer ce risque (par exemple un « bank run ») »5. Alors qu'elle comprend cette justification, la CNPD suggère de limiter ce cas de figure aux articles 16-3 à 16-5 de la loi modifiée du 23 décembre 1998 et 13-3 à 13-5 de la loi modifiée du 7 décembre 2015, alors qu'ils ne visent ni le droit à la limitation du traitement ni le droit d'opposition. Elle recommande par ailleurs de justifier ces cas de figure dans le corps même du texte du projet de loi, afin de circonscrire la portée de cette limitation. 4 Projet de loi n° 7373, doc. parl. 7373/00, p. 18. 'Projet de loi n° 7373, doc. pari. 7373/00, p. 17. CNPD NAVOINLE PROIECI UES VON., Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données 3/12 Enfin, la CNPD suggère de remplacer la formulation « l'intérêt privé » employée aux lettres (
9. a)et (
10. b)des mêmes articles par la formulation « les intérêts ou les droits et les libertés de celleci » et de rajouter « public » entre « l'intérêt » et « poursuivi par la CSSF », afin d'aligner la terminologie de projet de loi sur la terminologie employée par le RGPD. Il. Les données traitées par la CSSF (article 16-1 de la loi modifiée du 23 décembre 1998, tel qu'inséré par le projet de loi) et par le CAA (article 13-1 de la loi modifiée du 7 décembre 2015, tel qu'inséré par le projet de loi) Selon le commentaire des articles, les données qui sont traitées sont « essentiellement les indications visées sur les papiers d'identités de la personne concemée, les données normalement inscrites sur un curriculum vitae, certaines indications sur le patrimoine (numéros de compte, solde du compte, etc.) ainsi que les données sur les antécédents personnels et professionnels de la personne concernée (...) ». Ni les articles du projet de loi, ni le commentaire des articles ne font mention des catégories particulières de données à caractère personnel. Conformément à l'article 9 du RGPD, le traitement portant sur des catégories particulières de données à caractère personnel est interdit, sauf si l'une des conditions indiquées au paragraphe 2 dudit article est remplie, par exemple si le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée (article 9, paragraphe 2, lettre (
11. g)du RGPD). La CNPD rappelle encore que le traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions doit être autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Elle ignore cependant si des dispositions législatives européennes ou nationales permettent à la CSSF ou au CAA de traiter des catégories particulières de données au sens de l'article 9 du RGPD, et si des garanties appropriées sont prévues dans ces dispositions législatives conformément aux exigences du paragraphe 2 lettre (
12. g)de cet article. Par exemple, pour ce qui est du casier judiciaire, le règlement grand-ducal modifié du 23 juillet 2016 fixant la liste des administrations et personnes morales de droit public pouvant demander un bulletin n° 2 ou n° 3 du casier judiciaire avec l'accord écrit ou électronique de la personne concernée autorise la CSSF à recevoir sur demande et avec l'accord exprès de façon écrite ou électronique de la personne concernée un casier judiciaire « pour apprécier le respect de la condition de l'honorabilité professionnelle, conformément aux lois spéciales qui attribuent cette compétence à la Commission de Surveillance du Secteur financier ou à la Banque centrale européenne » (article ler, point 5). Le CAA, quant à lui, peut le recevoir « pour l'instruction de toute demande d'agrément adressée à un setvice de sa compétence » (article ler, point 6). III. [ Le traitement à une fin autre que celle pour laquelle les données ont été collectées par la CSSF (article 16-2 de la loi modifiée du 23 décembre 1998, tel qu'inséré par le projet de loi) et par le CAA (article 13-2 de la loi modifiée du 7 décembre 2015, tel qu'inséré par le projet de loi) COMP462-] Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données 4/12 Le nouvel article 16-2 de la loi modifiée du 23 décembre 1998 et le nouvel article 13-2 de la loi modifiée du 7 décembre 2015, tels qu'insérés par le projet de loi, visent à permettre à la CSSF et le CAA de traiter des données à caractère personnel à des fins autres que celles pour lesquelles les données ont été collectées dans des cas spécifiques. Conformément à l'article 5, paragraphe ler, lettre (
13. b)du RGPD, les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités (principe de limitation des finalités). Selon son article 6, paragraphe 4, les données à caractère personnel peuvent néanmoins être traitées pour une finalité autre (même incompatible) que celle pour laquelle elles ont été collectées initialement, sur base du consentement de la personne concernée ou sur base du droit de l'Union ou de l'Etat membre, qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l'article 23, paragraphe 1 du RGPD La CNPD regrette ainsi que les auteurs du projet de loi n'aient pas expliqué de manière plus précise et concrète la nécessité des dispositions relatives au traitement ultérieur, qui permettent à la CSSF et au CAA de traiter les données pour une finalité autre que celle pour laquelle les données ont été collectées initalement. En effet, comme l'a précisé l'autorité de supervision irlandaise (Data Protection Commission), dans sa guidance relative à l'article 23 du RGPD, « [a] proposed measure should be supported by evidence describing the problem to be addressed by the measure, how it will be addressed by the measure, and why existing or less intrusive measures cannot sufficiently address it »6. Toute exception doit être nécessaire et proportionnelle eu égard aux missions de la CSSF ou du CAA. Ainsi, en l'absence d'une délimitation plus précise des catégories de données qui pourraient faire l'objet d'un traitement ultérieur, et d'explications plus précises quant à la nécessité et la proportionnalité de ce traitement dans le commentaire des articles, la CNPD n'est pas en mesure d'apprécier la conformité de la mise en œuvre pratique de ces dispositions au RGPD, alors que la disposition sous examen est trop générale et vague. Indépendamment de la compatibilité du nouveau traitement avec le traitement initial, ce nouveau traitement doit satisfaire aux exigences du RGPD. Comme le précise le considérant 50 du RGPD, « leln tout état de cause, l'application des principes énoncés dans le présent règlement et, en particulier, l'information de la personne concernée au sujet de ces autres finalités et de ses droits, y compris le droit de s'opposer au traitement, devraient être assurées». Ainsi, tout traitement de données à une fin autre que celle pour laquelle les données ont été collectées doit respecter les principes du RGPD, comme par exemple, le principe de minimisation de données et l'obligation de faire figurer le traitement dans le registre des activités de traitement de la CSSF ou du CAA. A l'instar de son homologue allemand, la CNPD suggère d'intégrer dans les dispositions sous revue une garantie supplémentaire prévoyant que le traitement ultérieur peut uniquement avoir lieu si l'intérêt public poursuivi par l'autorité, à savoir la CSSF ou le CAA, prime sur les droits et intérêts des personnes concernées'. 6 Data Protection Commission Ireland, Limiting Data Subject Rights and the Application of Article 23 of the General Data Protection Regulation, httos://www.data protection. ie/en/in d ivid ua Is/know-vo ur-rio hts/restri ction-in d ivid ua Irichts-certain-circumstances-article-23-gdpr 7 Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Positionspaper zum Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680, 3 mars 2017, p. 10-12. COMM. CO On7O1O. !OCR 0% FOOOCION CONNOS Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7373 concernant la limitation de la portée de certains droits et obligations dans le cadre du règlement général sur la protection des données 5112 Quant aux cas dans lesquels les données peuvent être traitées à des fins autres que celles pour lesquelles elles ont été collectées, la lettre (
14. b)permettrait le traitement ultérieur pour assurer l'exercice des missions de la CSSF ou du CAA ainsi que le respect des obligations qui en découlent dans le chef de la CSSF ou du CAA, « y compris en matière de coopération avec d'autres institutions, autorités, organes ou organismes nationaux, étrangers, européens ou internationaux, telle que prévue dans les lois sectorielles régissant lesdites missions ». La Commission nationale estime que l'inclusion des mots « y compris » ne permet pas de délimiter avec suffisance les situations dans lesquelles les données pourraient faire l'objet d'un traitement ultérieur. En effet, cette formulation englobe toutes les missions et obligations de la CSSF et le CAA, y compris les cas de figure énumérés dans les articles sous revue. Il convient dès lors soit d'énumérer avec plus de précisions les missions et obligations de la CSSF et du CAA dans le cadre desquelles les données pourraient être traitées à des fins ultérieures, soit de supprimer ces mots de la disposition. En ce qui concerne les lettres (
15. b)et (c), la CNPD note que les lois sectorielles spécifiques contiennent généralement des dispositions relatives à la coopération entre la CSSF ou le CAA et d'autres institutions, autorités, organes et organismes nationaux et étrangers. Ces lois et leurs mesures d'exécution devraient faire référence aux dispositions légales régissant cette coopération ainsi que la base légale du transfert. La CNPD rappelle encore que les transferts de données vers les pays tiers doivent être réalisés en conformité avec le chapitre V du RGPD. Quant à la lettre (d), le commentaire des articles ne précise pas la nécessité de traiter des données à caractère personnel pour développer, contrôler et modifier des procédures internes de fonctionnement de la CSSF et du CAA. Pour le cas où il s'agirait des procédures automatisées, telles que visées par le texte allemand duquel les auteurs du projet de loi se sont insp1ré58, la CNPD recommande de prévoir, à l'instar dudit texte allemand, que les données soient uniquement utilisées à des fins de développement, de contrôle et de modification des procédures internes et soient effacées endéans un an après la fin des mesures de développement, de contrôle ou de modification. Quant aux lettres (
16. d)et (e), la CNPD s'interroge sur le sens de la formulation « données personnelles non pseudonymisées ». En effet, il est évident que des données « non pseudonymisées » sont des données « à caractère personnel ». Pourquoi alors ne pas employer la formulation du RGPD de « données à caractère personnel » ? Par ailleurs, il convient de rappeler que les données pseudonymisées sont également des données à caractère personnel, si elles peuvent « être attribuées à une personne physique par le recours à des informations supplémentaires » (considérant 26 du RGPD). La CNPD s'interroge aussi sur la pertinence de la référence au RGPD au début des articles 16-2 de la loi modifiée du 23 décembre 1998 et 13-2 de la loi modifiée du 7 décembre 2015 (commençant tous deux par ces termes : « sans préjudice de l'article 6, paragraphe