← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7462 portant modification de l

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7462 portant modification de la loi modifiée du 5 juin 2009 relative à la qualification initiale et à la formation continue des conducteurs de certains véhicules routiers affectés aux transports de marchandises ou de voyageurs et modifiant la loi modifiée du 27 juillet 1993 ayant pour objet

  1. le développement et la diversification économiques et
  2. l'amélioration de la structure générale et de l'équilibre régional de l'économie Délibération n° 52/2019 du 15/11/2019 Conformément à l'article 57, paragraphe 1er, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à régard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 20 juin 2019, Monsieur le Ministre de la Mobilité et des Travaux publics a invité la Commission nationale à se prononcer sur le projet n°7462 portant modification de la loi modifiée du 5 juin 2009 relative à la qualification initiale et à la formation continue des conducteurs de certains véhicules routiers affectés aux transports de marchandises ou de voyageurs et modifiant la loi modifiée du 27 juillet 1993 ayant pour objet
  3. le développement et la diversification économiques et
  4. l'amélioration de la structure générale et de l'équilibre régional de l'économie (ci-après le « projet de loi »). Le présent projet de loi a pour objet de transposer en droit national la directive (UE) 2018/645 du Parlement européen et du Conseil du 18 avril 2018 modifiant la directive 2003/59/CE relative à la qualification initiale et à la formation continue des conducteurs de certains véhicules routiers affectés aux transports de marchandises ou de voyageurs ainsi que la directive 2006/126/CE relative au permis de conduire (ci-après la « directive »). Cette transposition en droit national intervient en modifiant la loi modifiée du 5 juin 2009 relative à la qualification initiale et à la formation continue des conducteurs de certains véhicules routiers affectés aux transports de marchandises ou de voyageurs et modifiant la loi modifiée du 27 juillet 1993 ayant pour objet
  5. le développement et la diversification économiques et
  6. l'amélioration de la structure générale et de l'équilibre régional de l'économie (ci-après la « loi modifiée du 5 juin 2009 »), ainsi que par une modification du règlement grand-ducal du 2 octobre 2009 relatif aux matières enseignées dans 1 le cadre de la qualification initiale et de la formation continue des conducteurs de certains véhicules routiers affectés aux transports de marchandises ou de voyageurs ainsi qu'aux critères d'agrément pour dispenser cet enseignement. L'une des nouveautés de la directive est la mise en place entre les Etats-membres d'un réseau électronique dont le but est de permettre l'échange, entre les Etats-membres, d'informations sur les certificats de formation délivrés ou retirés aux conducteurs de certains véhicules routiers. Ce réseau est visé à l'article 6 de la directive qui introduit un nouvel article 10 bis intitulé « Réseau d'exécution » dans la directive 2003/59/CE relative à la qualification initiale et à la formation continue des conducteurs de certains véhicules routiers affectés aux transports de marchandises ou de voyageurs (ci-après la « directive 2003/59/CE). Le considérant 10 de la directive précise à ce titre que « Les États membres, en coopération avec la Commission, devraient échanger par voie électronique des informations relatives aux certificats d'aptitude professionnelle (CAP). Ils devraient développer la plateforme électronique nécessaire, en tenant compte pour ce faire d'une analyse coûts-avantages réalisée par la Commission, en envisageant notamment la possibilité d'étendre le réseau des permis de conduire de l'Union européenne mis en place au titre de la directive 2006/126/CE. Cela permettra entre autres aux États membres d'accéder facilement aux informations relatives aux formations accomplies, qui ne figurent pas sur le permis de conduire du conducteur. »1 . De manière générale, le présent avis ne portera pas sur le cadre légal de la directive, qui a été décidé par le législateur européen lui-même, mais se limitera à des observations concernant des dispositions où les auteurs du projet de loi ont usé de leur marge de manœuvre laissée aux Etatsmembres lors de la transposition en droit national d'une directive européenne. En effet, une telle directive n'instaure qu'une obligation de résultat, tout en laissant les Etats-membres de l'Union européenne libres quant aux formes et moyens à prendre pour y parvenir
  7. Le présent avis se limitera donc à commenter les nouvelles dispositions introduites par la directive concernant la mise en place d'un réseau électronique entre les Etats-membres, tel que décrit ciavant. Ces dispositions sont transposées en droit national à l'article 4 du projet de loi qui insère un nouvel article 6 bis intitulé « Banque de données électronique et échanges de données » dans la loi modifiée du 5 juin
  8. ILe « réseau des permis de conduire de l'Union européenne mis en place au titre de la directive 2006/126/CE » précité découle de l'article 15 de la directive 20081126/0E et est actuellement en place au sein de l'Union européenne. Ce réseau s'intitule le système « RESeau PERmis de conduire ». Ce système fonctionne d'ailleurs en concurrence avec un autre système appelé le système European Car and Driving Licence Information System. Ces deux systèmes permettent notamment l'échange de données relatifs aux permis de conduire dans les pays de l'Union européenne. 2 L'article 288 du traité sur le fonctionnement de l'Union européenne dispose que la « La directive lie tout État membre destinataire quant au résultat à atteindre, tout en laissant aux instances nationales la compétence quant à la forrne et aux moyens. » 2
  9. Sur la banque de données électronique visée par le nouvel article 6 bis de la loi modifiée du 5 juin 2009 i. Remaroues préliminaires Tout d'abord, il y a lieu de relever qu'il ressort des commentaires des auteurs du projet de loi relatifs au nouvel article 6 bis introduit par la loi sous avis que « les données relatives aux permis de conduire au Luxembourg se trouvent dans une banque de données dont le propriétafre est le ministère ayant les Transports dans ses attributions (...) », les auteurs précisent encore que « les informations relatives à la formation professionnelle (catégorie, durée de validité) se trouvent actuellement déjà dans cette banque de données nationale ». En vertu de ce qui précède, la Commission nationale se demande alors si la banque de données électronique, prévue au nouvel article 6 bis introduit par la loi sous avis, est intégrée dans le fichier préexistant relatif aux permis de conduire, c'est-à-dire la « base de données nationale », ou s'il s'agit de créer un fichier distinct de la « base de données nationale » préexistante précitée ? De plus, la CNPD s'interroge encore sur l'articulation en pratique entre les différents traitements de données mis en œuvre à travers cette « base de données nationale » etl ou la « banque de données électronique » visée par le projet de loi sous avls? En tout état de cause, la Commission nationale se félicite que, du point de vue de la sécurité juridique, soit prévu, au paragraphe

(1)du nouvel article 6 bis introduit par la loi sous avis, le principe de la création d'une « banque de données électronique reprenant les informations relatives aux certificats de formations délivrés ou retirés Mt/us à l'article 3 [de la loi modifiée du 5 juin 2009] ». D'après le paragraphe
(3)dudit article, le ministre ayant dans ses compétences la loi sous avis (ci-après le « ministre ») en est le responsable du traitement et le Centre des technologies de l'information de l'Etat (ci-après le « CTIE »), la Société Nationale de Circulation Automobile (ci-après la « SNCA ») et les organismes de formation prévus à l'article 6 de la loi modifiée du 5 juin 2009 (qui peuvent être des organismes privés ou publics) ont la qualité de sous-traitant. De plus, le paragraphe
(2)dudit article énumère les finalités des traitements mis en œuvre dans le cadre de la loi sous avis et le paragraphe
(4)du nouvel article 6 bis précise encore les données transmises par les organismes de formation au ministre. La CNPD salue que le principe de la création d'une telle banque de données ou d'un tel traitement de données ainsi que les précisions précitées soient prévues par le projet de loi. Ces dispositions légales établissent ainsi, conformément à l'article 6, paragraphe
(3)du RGPD, les spécifications de ce nouveau traitement dont sera investi le ministre. En effet, il convient de rappeler que la tenue d'un fichier de données à caractère personnel collectées et traitées par une autorité administrative doit reposer sur une base légale conformément à l'article précité, lu ensemble avec son paragraphe
(1)lettres
  1. c)et e)3, qui dispose que : « Le fondement du traitement visé au paragraphe 1, points
  2. c)et e), est défini par : Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions .suivantes est remplie : (...)
  3. c)te traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du 3 L'article 6, paragraphe
(1), lettres
  1. c)et
  2. e)dispose que : « 3 a. le droit de l'Union; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être cornmuniquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. » Il résulte de ce qui précède que cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant
(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Ainsi, au vu des développements qui précèdent, et bien que le principe d'un nouveau traitement de données via la création de la « banque de données électronique », tel que visé au paragraphe
(1)du nouvel article 6 bis de la loi modifiée du 5 juin 2009, soit prévu, la Commission nationale traitement est soumis; (..) e) le traitement est nécessaire à rexécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; (...) » 4 relève toutefois que certains éléments spécifiques relatifs au traitement de données ne sont pas (ou pas suffisamment) précisés dans la loi sous avis. ii. Sur le rôle des différents acteurs Comme indiqué précédemment, la Commission nationale se félicite de ce que le paragraphe
(3)du nouvel article 6 bis de la loi modifiée du 5 juin 2009, introduit par la loi sous avis, précise le rôle des différents acteurs dans le cadre des traitements de données à caractère personnel visés par l'article précité. La CNPD salue que les auteurs du projet de loi aient précisé que le ministre a la qualité de responsable du traitement conformément aux dispositions de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Néanmoins, la notion de responsable du traitement n'est pas définie dans la loi précitée mais est définie à l'article 4, point 7) du RGPD 4. Dans ce contexte, la Commission nationale estime plus judicieux de se référer directement aux dispositions légales du RGPD. Par ailleurs, concernant le CTIE, la SNCA et les organismes de formation agréés visés à l'article 6 de la loi modifiée du 5 juin 2009, la Commission nationale comprend qu'ils agissent en tant que sous-traitant du ministre au sens du RGPD. Dans un souci de clarté, le renvoi à la définition de « sous-traitant », visée à l'article 4, point 8) du RGPD5 pourrait être mentionnée à la fin du deuxième alinéa du paragraphe
(3)du nouvel article 6 bis. Concemant le rôle du sous-traitant, il y a lieu de rappeler que conformément à l'article 28 du RGPD, celui-ci « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement ». En outre, il conviendrait de préciser si la SNCA, dans le cadre de la loi sous avis, agit en tant que sous-traitant du ministre dans le cadre de ses missions légales telles que prévues à l'alinéa er du paragraphe
(4)de l'article 2 de la loi du '14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques (telle qu'elle a été modifiée), qui dispose que : « Le ministre peut confier à la Société Nationale de Circulation Automobile, en abrégé SNCA, des tâches administratives relevant de la gestion des permis de conduire ». iii. Sur les finalités du traitement de données à caractère personnel La Commission nationale se félicite du fait que les finalités spécifiques du traitement soient déterminées et listées au paragraphe
(2)du nouvel article 6 bis de la loi modifiée du 5 juin 2009. 4 L'article 4, point 7) du RGPD définit le responsable du traitement comme : « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, d4termine les finalités et les moyens du traitement; lorsque les finelités et /es moyens de ce traitement sont déterminés par le droit de l'Union ou le droft d'un État membre, le responsable du traitement peut. être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus per le droit de l'Union ou par le droit d'un État membre » 5 L'article 4, point 8 du RGPD définit le sous-traitant comme : « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement » 5 Tout d'abord, il convient de relever que seules les dispositions légales visées aux points 1), 3) et 4) du paragraphe
(2)de l'article précité ont pour objet de transposer le nouvel article 10 bis de la directive 2003/59/CE, introduit par la directive. En ce qui concerne la finalité visée au point 3) du paragraphe
(2)dudit artic1e6, la Commission nationale se demande si le terme « interconnexion » ne pourrait pas être remplacé par le terme « échange », dans la mesure où le nouvel article 10 bis de la directive 2003/59/CE, introduit par la directive, n'emploie pas ce terme et mentionne la notion d' « échange ». En effet, en matière de protection des données le concept d' « interconnexion »7 signifie que les traitements des données sont reliés et peuvent être gérés par les responsables des différents traitements concernés. Dans la mesure où les auteurs de la loi sous avis semblent vouloir viser un système de transmission de données par voie électronique et non une réelle interconnexion, il conviendrait dès lors, afin d'éviter toute confusion, d'en adapter la terminologie comme suggéré ci-avant. Concernant la finalité visée au point 4) du paragraphe
(2)du nouvel article 6 bis, la Commission nationale se demande, au vu des développements qui précèdent, si cette finalité ne pourrait pas être regroupée avec la finalité visée au point 3) du paragraphe
(2)du nouvel article 6 bis dans un seul point, alors que ces deux paragraphes semblent avoir la même finalité, à savoir l'échange d'informations relatives aux formations. En effet, la finalité visée au point 4) du paragraphe
(2)du nouvel article 6 bis est l' « échange d'informations relatif aux certificats de formation prévus à l'article 3 » et la finalité visée au point 3) du même article se réfère à la finalité mentionnée dans le nouvel article 10 bis de la directive 2003/59/CE, introduit par la directive, qui vise l'échange d'informations « sur les CAP délivrés ou retirés » iv. Sur les catégories de données à caractère personnel et les personnes concernées La Commission nationale se félicite de ce que les catégories de données à caractère personnel collectées et transmises par les organismes de formation agréés au ministre soient spécifiées et énumérées avec autant de précision au nouvel article 6 bis paragraphe
(4)de la loi modifiée du 5 juin 2009, introduit par la loi sous avis. Toutefois, la CNPD se demande quelles sont les catégories de données visées par le terme « informations nécessaires au financement de la formation », employé à la lettre c), paragraphe
(4)de l'article précité, alors qu'aucune précision supplémentaire concemant ce type de données n'est apportée dans les commentaires des auteurs du projet de loi concernant ces dispositions. 6 La finalité mentionnée au point 3), paragraphe
(2)du nouvel article 6 bis de la loi modifiée du 5 juin 2009 vise « l'interconnexion avec les réseaux électroniques nafionaux des autres Etats membres de l'Union européenne telle que prévue à l'article 10 bis de la directive 2003/59/CE ». 7 La version initiale de la loi du 2 acnit 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, désormais abrogée, définissait à l'article 2, lettre (j) l'interconnexion comme : « toute forme de traitement qui consiste en la corrélation de données traitées pour une finalité avec des données traitées pour des finalités identiques ou Mes par un ou d'autres responsables du traitement » 6 De plus, la Cornmission nationale s'interroge également sur la collecte ou non de certaines catégories de données qui sont visées par les auteurs du projet de la loi sous avis, dans leurs commentaires relatifs au nouvel article 6 bis, sans toutefois être reprises dans le texte dudit article. ll convient, en effet, de constater que les « informations relatives à la formation professionnelle (catégorie, durée de validité) » et les « informations sur des procédures administratives relatives aux certificats », bien que mentionnées dans les commentaires du projet de loi, n'apparaissent pas dans le texte du nouvel article 6 bis. v. Sur l'accès aux données à caractère personnel Il convient de relever que les dispositions énoncées au paragraphe
(6)du nouvel article 6 bis de la loi modifiée du 5 juin 2009, introduit par la loi sous avis, prévoient un accès « aux données contenues dans la banque de données » pour les membres de la Police grand-ducale et les agents de l'administration des douanes et accises dans le cadre de la finalité visée par le paragraphe
(2), point 1) de l'article précité. La Commission nationale comprend que ces nouvelles dispositions légales visent à mettre en œuvre les dispositions du paragraphe
(3)du nouvel article 10 bis de la directive 2003/59/CE, introduit par la directive, qui dispose que : « Les Etats membres veillent à ce que les données à caractère personnel soient traitées aux seuls fins de contrôler le respect de la présente directive, et en particulier des exigences de formation établies dans la présente directive, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil ». Or, dans la mesure où une loi doit être suffisamment claire et précise afin de permettre aux personnes concernées de connaître l'étendue des limitations, ainsi que les conséquences éventuelles pour e11es8, il conviendrait de préciser le cadre légal des contrôles pouvant être effectués par les membres de la Police grand-ducale et les agents de l'administration des douanes et accises. La Commission nationale recommande, dès lors, d'insérer à la fin du paragraphe
(6)du nouvel article 6 bis, la formulation suivante : « conformément à leurs pouvoirs de contrôle tels que visés au paragraphe
(3)de l'article 7 de la présente loi »
  1. Par ailleurs, l'accès prévu aux membres de la Police grand-ducale au titre de la loi sous avis ne serait-il pas déjà prévu par les points 7) et 8) de l'article 43 de la loi du 18 juillet 2018 sur la Police grand-ducale qui prévoit que : « Dans l'exercice de leurs missions de police judiciaire et de police administrative, les membres de la Police ayant la qualité d'officier de police judiciaire ou d'officier de police administrative ont accès direct, par un système information, aux traitements de données à caractère personnel suivant : [...] 7° le fichier des titulaires et demandeurs de permis de conduire exploité pour le compte du ministre ayant le Transport dans ses attributions ; 8° le fichier E Voir entre autres CourEDH, Zakharov c. Russie [GC], n°47413108, § 228-229, 4 décembre
  2. 9 Article 7, paragraphe
(3)de la loi modifiée du 5 juin 2009 dispose que : « Les membres de la police grand-ducale ainsi que les agents de l'Administration des douanes et accises agissant dans le cadre des contrôles de véhicules effectués dans l'exercice des fonctions qui leur sont conférées par la législation sur les transports routiers et la circulation routière sont chargés de contrôler !exécution des dispositions de la présente loi et de ses règlements d'exécution et de dresser procès-verbal des Infractions ». 7 des véhicules routiers et de leurs propriétaires et détenteurs, exploité pour le compte du ministre ayant les Transports dans ses attributions [...) » ? vi. Sur la traçabilité des accès Conformément à l'article 5 paragraphe
(1), lettre f) du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». En outre, l'article 32 du RGPD dispose que : « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données ou des fuites de données. Parmi ces mesures de sécurité, la Commission nationale estime important que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires. Dans ce contexte, il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début la personne ou le service, au sein de chaque entité ou administration concernée, qui aurait accès aux données ou, dans le cadre des administrations, à l'interface informatique mise à disposition par le CTIE, et à quelles données précises cette personne ou ce service aurait accès. En outre, il est nécessaire de prévoir un système de journalisation des accès. Enfin, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. 2. Sur l'échange de données à caractère personnel Le paragraphe
(5)du nouvel article 6 bis de la loi modifiée du 5 juin 2009 vise à transposer le paragraphe
(1)du nouvel article 10 bis de la directive 2003/56/CE, introduit par la directive. Tout d'abord concernant l'échange de données à caractère personnel, la Commission nationale tient à rappeler que les données à caractère personnel peuvent circuler librement depuis le Grand-Duché de Luxembourg au sein de l'Espace économique européen, tant que les principes généraux du RGPD sont respectés. Par ailleurs, la Commission nationale se demande si la formulation du paragraphe
(5)du nouvel article 6 bis de la modifiée du 5 juin 2009 n'aurait pas une portée plus large que les dispositions prévues par la directive concernant les données faisant l'objet d'un tel échange. En effet, le paragraphe
(2)du nouvel article 10 bis de la directive 2003156/CE, introduit par la directive, prévoit que : « Peuvent figurer sur le réseau des renseignements contenus dans les certificats d'aptitude 8 1 professionnelle (CAP) ainsi que des informations concernant les procédures administratives relatives aux CAP », alors que le paragraphe
(5)du nouvel article 6 bis précité prévoit que « le ministre peut communiquer les données contenues dans la banque de données ». Dans un souci de transposition correcte de la directive, la CNPD se demande si une telle formulation ne va pas au-delà des dispositions légales prévues par la directive si elle porte, effectivement, sur un champ plus large de catégories de données pouvant faire l'objet d'un tel échange. Cela reviendrait, en effet, à prévoir un échange de données sur des catégories de données non prévues par la directive. En outre, une telle formulation pourrait amener, le cas échéant, à ne pas respecter le principe de la limitation des finalités, tel que mentionné ci-avant, ni le principe de minimisation des données", alors que pourraient être collectées des catégories de données qui n'ont pas été collectées pour les finalités visées au paragraphe
(2), point 3, du nouvel article 6 bis précité ou dont la collecte n'est pas nécessaire aux fins de réalisation de la finalité précitée. 3. Sur la durée de conservation des données à caractère personnel La Commission nationale regrette que la loi sous avis ne fasse pas mention de la durée de conservation des données à caractère personnel collectées pour les finalités énoncées au paragraphe
(2)de l'article 6 bis. Or, conformément à l'article 5 paragraphe
(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. En l'absence de précision sur ce point dans le projet de loi ou dans le commentaire des articles, la CNPD n'est pas en mesure d'apprécier si en l'occurrence, le principe de durée de conservation limitée des données a été respecté concernant la collecte de ces données. Ainsi décidé à Esch-sur-Alzette en date du 15 novembre 2019. La Commission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang C s ophe Buschmann Commissaire Commissaire --e/i MaréLemmer ( Commissaire to Le principe de minimisation des données signifie que le responsable du traitement doit traiter uniquement les données qui sont nécessaires (et non seulement utiles) à la réalisation des finalités. 9

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.