Projet de loi complétant le Code du travail en portant création d'une activité d'assistance à l'inclusion dans l'emploi pour les salariés handicapés e

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ci-après désignée « la loi modifiée du 2 août 2002 » ou « la loi »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier en date du 21 mars 2018, Madame la Ministre de la Famille et de l'Intégration a invité la Commission nationale à se prononcer sur le projet de loi n°7269 complétant le Code du travail en portant création d'une activité d'assistance à l'inclusion dans l'emploi pour les salariés handicapés et les salariés en reclassement externe (ci-après « le projet de loi »). D'après l'exposé des motifs, ce projet de loi vise « à faciliter l'intégration, et surtout le maintien dans l'emploi des personnes ayant le statut de salarié handicapée ou étant en reclassement externe, par la création d'une activité appelée « assistance à l'inclusion dans l'emploi » (ci-après « activité d'assistance »). » La Commission nationale entend limiter ses observations aux dispositions du projet de loi ayant une répercussion sur le respect de la vie privée et la protection des données à caractère personnel. Elle salue le degré de détail avec lequel les auteurs du projet de loi précisent dans l'article L.5534 nouveau, paragraphe

(2)du Code du travail les données à caractère personnel que le formulaire de demande d'assistance à l'inclusion dans l'emploi établi par l'Agence pour le développement de l'emploi (ci- après « l'ADEM ») doit contenir. La Commission nationale peut admettre que les catégories de données traitées sont adéquates, pertinentes et non excessives par rapport aux finalités recherchées. En effet, l'article 6, paragraphe

(3)du RGPD précise que le droit de l'Etat membre auquel le responsable du traitement est soumis peut « contenir des dispositions spécifiques pour adapter l'application des règles du règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les tvoes de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et Ies finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n°7269 complétant le Code du travail en portant création d'une activité d'assistance à l'inclusion dans l'emploi pour les salariés handicapés et les salariés en 1/3 reclassement externe telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX ». Le considérant

(41)précise dans ce contexte qu'une base juridique ou une mesure législative « devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne (ci-après dénommée « Cour de justice ») et de la Cour européenne des droits de l'homme. » Par ailleurs, la Commission nationale tient à remarquer que l'article L.553-4 nouveau, paragraphe

(2)du Code du travail prévoit des traitements portant sur des catégories particulières de données à caractère personnel (données dites « sensibles »), notamment des données concernant la santé des personnes concernées telles que le type de handicap du salarié, respectivement les incapacités du salarié en reclassement externe. Outre l'hypothèse d'un consentement explicite de la personne (article 9 paragraphe

(2)lettre a) du RGPD), plusieurs situations peuvent légitimer un traitement portant sur de telles catégories particulières de données à caractère personnel, en particulier des données de santé. C'est notamment le cas lorsque « le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un 'État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée » (article 9 paragraphe

(2)lettre g) du RGPD). Ainsi, la Commission nationale se doit de souligner l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52 paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'Homme, retiennent qu'un traitement de données effectué par une autorité publique peut constituer une ingérence dans le droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données. Cette ingérence ou limitation peut être justifiée à condition qu'elle: soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. En ce qui concerne la première condition, selon la jurisprudence de la Cour européenne des droits de l'Homme, une ingérence au droit au respect de la vie privée n'est « prévue par la loi », au sens de l'article 8 paragraphe

(2)de la Convention, que si elle repose sur un article du droit Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n°7269 complétant le Code du travail en portant création d'une activité d'assistance à l'inclusion dans l'emploi pour les salariés handicapés et les salariés en reclassement externe 2/3 national qui présente certaines caractéristiques. La loi doit être « accessible aux personnes concernées et prévisible quant à ses répercussions »1 . Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne - bénéficiant éventuellement d'une assistance appropriée - d'adapter son comportement »2. « Le degré de précision requis de la "loi" à cet égard dépendra du sujet en question. »3 Le principe de sécurité juridique, qui constitue un des principes généraux du droit de l'Union européenne, exige notamment dans ce contexte « qu'une réglementation entraînant des conséquences défavorables à l'égard de particuliers soit claire et précise et son application prévisible pour les justiciables. »4 Ainsi, en prenant en compte les principes susmentionnés de licéité et de sécurité juridique, la CNPD suggère aux auteurs du projet de loi sous avis de préciser dans le corps du texte la durée de conservation des données contenues dans le fichier d'assistance. En effet, l'article 5, paragraphe

(1), lettre (e) du RGPD impose au responsable de traitement de veiller à ce que les données qu'il traite ne soient pas conservées pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées. Ainsi décidé à Esch-sur-Alzette en date du 16 juillet

1. mmission nationale pour la protection des données bk\Q QA-114/ Tine A. Larsen Présidente Thierry Lallemang Membre effectif C istophe Buschmann Membre effectif 1 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; voir également CouEDH, Kopp c. Suisse, n° 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 février 2009, para.
2. 2 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 56 ; voir également CouEDH, Malone c. Royaume-Uni, n° 8691/79, 26 avril 1985, para. 66 ; CouEDH, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
3. 3 CouEDH, The Sunday Times c. Royaume-Uni, n° 6538/74, 26 avril 1979, para. 49 ; voir également CouEHD, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
4. 4 Tribunal de l'Union européenne, arrêt du 16 juin 2011, Heineken Nederland BV et Heineken NV c/ Commission, T240/07, ECLI:EU:T:2011:284, point
5. CNPD1 Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n°7269 complétant le Code du travail en portant création d'une activité d'assistance à l'inclusion dans l'emploi pour les salariés handicapés et les salariés en reclassement externe 3/3