Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Délibération n°16/AV12/2021 du 28 avril 2021 Conformément à l'article 46, paragraphe 1er, lettre (c) de la directive (UE) n° 2016/680 du 27 avril 2016 relative à la protection des personnes physique à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée « la directive »), à laquelle se réfère l'article 8 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ci-après la « loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données »), la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD »), « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ». Le 28 février 2020, la CNPD a avisé le projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale (ci-après le « projet de loi »)
- En date du 17 avril 2020, la Commission nationale a rendu son avis complémentaire sur l'amendement gouvernemental au projet de 1012, approuvé par le Conseil de gouvernement dans sa séance du 20 mars
- En date du 3 mars 2021, la Commission nationale a rendu son deuxième avis complémentaire suite aux amendement relatifs au projet de 1oi3, adoptés par la Commission de la Sécurité intérieure et de la Défense adoptés le 19 novembre
- Le 29 mars 2021, la Commission de la Sécurité intérieure et de la Défense a adopté une série d'amendements relative au projet de loi (ci-après les « amendements »). ' Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, délibération n°04/2020 du 28 février
- 2 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, délibération n°10/2020 du 17 avril
- 3 Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi N°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, délibération n°8/AV7/2021 du 3 mars
- Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale 1/5 Dans la mesure où les amendements concernent des dispositions qui ont été commentées par la CNPD dans ses avis précités des 28 février, 17 avril 2020 et 3 mars 2021 celle-ci s'autosaisit pour les aviser. - Ad Amendement 1 L'Amendement 1 a pour objet de modifier le paragraphe
(3)de l'article 43b1s nouveau de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Il y a lieu de regretter que les remarques de la CNPD n'aient pas été prises en considération par les auteurs du projet de loi en ce qui concerne ses observations soulevées dans son avis du 3 mars 2021, à savoir que « le projet de loi sous examen prévoit actuellement que seul le directeur général de la Police grand-ducale peut prendre l'initiative, avec l'autorisation du ministre, pour étendre le système de vidéosurveillance VISUPOL à d'autres territoires communaux que celui de la Ville de Luxembourg. Dans l'hypothèse où ledit système serait étendu à d'autres territoires communaux, ne faudrait-il pas prévoir un système qui ne reposerait pas que sur la seule initiative du directeur général de la Police grand-ducale ? La Commission nationale réitère de telles considérations. - Ad Amendement 3 Cet amendement a pour objet de modifier le paragraphe
(11)de l'article 43bis nouveau de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Cet amendement introduit de nouvelles dispositions qui fixent la durée de conservation des images issues du système de vidéosurveillance et traitées à des fins d'« analyse du déroulement de l'intervention et de la formation interne » à une période « maximale de dix ans ». Cet amendement a encore pour objet d'introduire un deuxième alinéa au paragraphe
(11)de l'article précité. Les dispositions ajoutées disposent que « les images utilisées pour l'analyse du déroulement de l'intervention et la formation interne permettent d'identifier directement une personne concernée, des techniques de masquage irréversibles doivent être utilisées à des fins d'anonymisation ». Ces nouvelles dispositions soulèvent les observations suivantes de la CNPD. - Sur la notion de données à caractère personnel En ce qui concerne les dispositions relatives aux techniques de masquage irréversibles, les auteurs du projet de loi précisent, à ce sujet, que « dans le contexte spécifique de séquences d'images, 11 convient d'entendre par « directement identifiable » toute personne qui peut être identifiée directement et sans équivoque par référence à un ou plusieurs éléments spécifiques 4 Délibération n°8/AV7/2021 du 3 mars 2021, point 2 « Sur l'avis du Syndicat des villes et communes luxembourgeoises », page 5. [ CNPD -rn- Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale 215 propres à son identité physique, alors que les autres identifiants prévus par la définition de « données à caractère personnel » dans la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale ne s'appliquent pas aux images ». Or, il convient de rappeler que l'article 2, paragraphe
(1), point 10 , de la loi du ier août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, définit la notion de « données à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »); est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale » (souligné dans le texte par la CNPD). Dans le contexte de la vidéosurveillance, il y a lieu de relever qu'un tel système est susceptible d'entraîner la collecte d'informations picturales de personnes entrant dans l'espace surveillé qui sont identifiables sur la base de leur apparence ou d'autres éléments spécifiques5. De telles informations sont à qualifier de données à caractère personnel car elles permettent d'identifier directement ou indirectement des personnes entrant dans l'espace surveillé. Dès lors, une image issue d'un système de vidéosurveillance qui contiendrait des éléments permettant d'identifier directement ou indirectement une personne physique est à considérer comme une donnée à caractère personnel. Le fait que les personnes concernées puissent être identifiées directement ou indirectement n'a pas d'incidence quant au fait que les informations qui permettent de les identifier soient à qualifier de données à caractère personnel. De même que les éléments indiqués dans la définition visée audit article 2, paragraphe
(1), point 10 , et énumérés après « notamment » le sont à titre d'exemples non-exhaustifs, l'adverbe « notamment » étant, ici, de nature indicative. Sur base de leurs commentaires, les auteurs du projet de loi semblent donc procéder à une interprétation erronée de la notion de données à caractère personnel. Le texte sous avis devrait alors être modifié, de sorte à refléter la définition telle que prévue à l'article 2, paragraphe
(1), point 1°, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Voir lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispositifs vidéo, adoptée le 29 janvier 2020 par le Comité Européen de la Protection des Données, point 2.
- « Données à caractère personnel », page
- CNPDi Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale 3/5 - Sur les notions de pseudonymisation et d'anonymisation Les auteurs du projet de loi entendent prévoir que des techniques de masquage irréversibles seront utilisées à des fins d'anonymisation. Cependant, d'après le commentaire des auteurs du projet de loi, la Commission nationale comprend que ces techniques ne permettraient pas une anonymisation des données à caractère personnel car lesdites techniques ne viseraient que l'« anonymisation » des informations qui permettraient d'identifier directement une personne concemée. Or, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que l'anonymisation ne doit pas être confondue avec la pseudonymisation. En ce qui concerne l'anonymisation, bien que cette notion ne soit pas définie par la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, il y a lieu de relever que le considérant 21 de la directive (UE) 2016/680 du parlement européen et du conseil, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, énonce qu'« [i71 n'y a (...) pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. ». L'anonymisation est donc un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible. En ce qui concerne la pseudonymisation, l'article 2, paragraphe
(2), point 5°, de la loi du 1 er août 2018 précitée dispose qu'elle consiste en un « traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ». La pseudonymisation permet ainsi de traiter les données d'individus sans pouvoir identifier ceux-ci de façon directe. Les données concernées conservent donc un caractère personnel. Dès lors, si l'intention était d'anonymiser les données à caractère personnel issues d'un système de vidéosurveillance, alors les techniques de masquage irréversibles devront s'appliquer à toutes les informations qui permettent d'identifier directement ou indirectement une personne concernée. A contrario, si seules les informations permettant d'identifier directement une personne concernée sont soumises auxdites techniques, alors ce procédé sera à qualifier de CNPEI Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale 4/5 pseudonymisation. En effet, dans un tel cas, il sera encore possible d'identifier indirectement les personnes concernées. En outre, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que si les données devaient être anonymisées alors les règles de la protection des données n'auront pas vocation à s'appliquer. Cela signifie que le principe de limitation de la conservation ne devra pas être respecté et qu'une durée de conservation ne devra donc pas figurer dans le projet de loi sous avis. La CNPD estime, dès lors, nécessaire que les auteurs du projet de loi clarifient ces dispositions et utilisent les notions appropriées d'un point de vue de la protection des données. A ce titre, la Commission nationale suggère aux auteurs du projet de loi de s'inspirer des dispositions belges, en ce qu'elles prévoient qu'après anonymisation, « les informations et données à caractère personnel collectées au moyen de caméras »6 « peuvent être utilisées à des fins didactiques et pédagogiques dans le cadre de la formation des membres des services de police »7 . Ainsi décidé à Belvaux en date du 28 avril 2021. La Commission nationale pour la protection des données Digitally signed by CHRISTOPHE CHRISTOPHE Tine Digitally signed by Tine Digitally signed by NICOLAS rsen Thierry Thierry Lallemang NICOLAS BUSCHMANN Annemarie ADnantee720a2i1e0t-4a Date: 2021.04.28 11:22:35 +0200' Lallemang 11:57:46 +0200' BUSCHMANN Date: 2021.04.28 Larsen 11:26:13 +0200' Tine A. Larsen Présidente Thierry Lallemang Commissaire Christophe Buschmann Commissaire Digitally signed Marc Ernest by Marc Ernest Jean-Pierre Jean-Pierre Lemrner Date: 2021.04.28 Lemmer 11:29:26 +02'00' Marc Lemmer Commissaire Article 25/6 de la loi modifiée sur la fonction de police du 5 août 1992 ' Article 25/7, paragraphe
(2), de la loi modifiée sur la fonction de police du 5 août 1992 Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale 5/5