← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'u

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant

  1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  2. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. Délibération n° 13/2020 du 8 juin 2020 Conformément à l'article 57, paragraphe ler, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». En date du 4 juin 2020, Madame la Ministre de la Santé a saisi la Commission nationale à se prononcer sur le projet n°7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  3. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  4. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments (ci-après le « projet de loi »). Dans ledit courrier Madame la Ministre a précisé que le projet en cause devra entrer en vigueur au plus tard le 24 juin 2020, date de la levée de l'état de crise, et que partant, elle nous prie de lui faire parvenir notre avis endéans les plus brefs délais. La CNPD tient à souligner que son avis a ainsi été élaboré et adopté uniquement sur base des informations dont elle dispose et sous réserve d'éventuelles considérations futures non connues à ce jour. Le présent projet de loi a pour objet de créer un cadre légal se rapportant à des mesures prises à l'égard des personnes physiques pour continuer la lutte contre le Covid-19 en limitant la propagation du SARS-CoV-2 sur le territoire du Grand-Duché de Luxembourg moyennant un catalogue limité de mesures bien circonscrites. Il ressort de l'exposé des motifs qu'à côté des mesures centrées sur les personnes physiques, le projet de loi s'articule autour des trois axes suivants — la limitation de la liberté de rassemblement ; - l'application de mesures de protection ainsi que l'identification, le suivi et la mise à l'écart rapide des personnes infectées et susceptibles d'être infectées ; - l'instauration de « certaines garanties autour du traitement des données nécessaires au suivi des personnes et à la lutte contre la pandémie. » CNPE1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  5. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  6. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 1/10 La Commission nationale tient à souligner à titre préliminaire que la protection des données personnelles n'est pas à considérer comme obstacle à la mise en place d'un traitement de données à caractère personnel dans le cadre de la lutte contre l'épidémie Covid-19, tant que les principes fondamentaux prévus par le RGPD sont respectés. Elle entend ainsi limiter ses observations aux dispositions du projet de loi ayant une répercussion sur le respect de la vie privée et la protection des données à caractère personnel, et plus précisément à son article
  7. Ad article 9 du projet de loi n°7606 L'article 9 du projet de loi n°7606 vise la création d'un système d'information par la Direction de la santé, afin de surveiller l'évolution de la situation liée au Covid-19 et de formuler des recommandations dans l'intérêt de la santé publique à l'attention du Gouvernement (ci-après : le « système d'information »). Le commentaire de l'article précise qu'à cette fin, un système de monitoring avec différents indicateurs et types de données est mis en place, incluant tant des données à caractère personnel que des données à caractère non personnel qui doivent obligatoirement être transmises à l'autorité de santé publique. En vertu du paragraphe

(2)de l'article 9 du projet de loi, différentes données à caractère personnel concernant les personnes infectées ou présumées infectées au Covid-19 sont à transmettre à la Direction de la Santé par les établissements hospitaliers, les structures d'hébergement et les réseaux de soins en vue de détecter, évaluer, surveiller et combattre le Covid-19. Ces données sont énumérées aux articles 3 et 4 de la loi du 1 er août 2018 sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique. Étant donné que le projet de loi ne définit pas d'autres catégories de données individuelles à fournir que celles énumérées aux articles 3 et 4 susmentionnées, la Commission nationale estime que le présent article est à lire restrictivement et que nonobstant le fait que l'énumération des données à collecter comprend la précision « au moins », elle ne doit pas être élargie en l'espèce, sinon il faudrait le préciser. La Commission nationale comprend donc qu'il s'agit plus spécifiquement du nom, prénom, adresse, date de naissance, diagnostic médical, date des iers symptômes et date du diagnostic médical, date de prélèvement et origine du prélèvement, pays où la maladie a été contractée et la source d'infection si connue. Il est donc indéniable que des catégories particulières de données à caractère personnel, dites données « sensibles », seront traitées à travers ce système d'information. Ces données, incluant les données concernant la santé, sont spécifiquement réglementées par l'article 9 du RGPD. Par principe, il est interdit de traiter des données sensibles, sauf si une des dix conditions prévues au paragraphe
(2)de l'article 9 du RGPD est remplie. Sous réserve des commentaires qui suivent et face à la déclaration du 30 janvier 2020 de l'Organisation mondiale de la santé (OMS) que l'apparition du coronavirus SARS-CoV-2 (Covid-19) constitue une « urgence sanitaire mondiale », ainsi qu'à la déclaration subséquente de l'état de crise sur base de l'article 32 paragraphe 4 de la Constitution luxembourgeoise par règlement grandducal du 18 mars 20201, la CNPD considère que l'exception prévue à l'article 9 paragraphe 2) lettre i) du RGPD est applicable en l'espèce. Ladite disposition prévoit plus précisément que le traitement de données sensibles peut être effectué lorsqu'il est « nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de 1 II s'agit du règlement grand-ducal du 18 mars 2020 portant introduction d'une série de mesures dans le cadre de la lutte contre le Covid-
  1. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  2. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  3. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 2110 qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l'Union ou du droit de l'État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel. » Le considérant
(46)du RGPD précise dans ce contexte que certains types de traitements peuvent être justifiés à la fois par des motifs importants d'intérêt public et par les intérêts vitaux de la personne concernée, par exemple lorsque le traitement est nécessaire pour suivre des épidémies et leur propagation. En sus de l'article 9 du RGPD, le traitement de données à caractère personnel envisagé par la Direction de la santé doit se baser sur un des critères de licéité prévus à l'article 6 du RGPD. Sur base des mêmes considérations, la CNPD estime que ledit traitement est à considérer comme étant « nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement » (article 6 paragraphe
(1)lettre e) du RGPD). Le considérant
(54)du RGPD énonce dans ce contexte que le « traitement des catégories particulières de données à caractère personnel peut être nécessaire pour des motifs d'intérêt public dans les domaines de la santé publique, sans le consentement de la personne concernée. » La base légale de l'intérêt public sur laquelle repose donc le traitement en question2 rend applicable l'ensemble des droits prévus par le RGPD au bénéfice des personnes concernées, à l'exclusion du droit à la portabilité. Le projet de loi n°7606 prévoit néanmoins en son article 9 paragraphe
(4)que les personnes infectées ou présumées infectées ne peuvent pas s'opposer au traitement de leurs données dans le système d'information visé audit article. Par cette exclusion du droit d'opposition, il apparaît que les auteurs du projet de loi font usage de la faculté offerte par l'article 23 paragraphe
(1)lettre e) du RGPD de limiter les droits des personnes pour garantir, notamment, des objectifs importants de santé publique. Sans préjudice de ses remarques sous le point
  1. concernant la durée de conservation des données, la CNPD peut a priori comprendre que cette limitation du droit d'opposition des personnes infectées, ainsi que des personnes présumées infectées et dont le test s'avère positif, est obligatoire afin de pouvoir suivre l'évolution de ce virus encore très peu connu par le monde scientifique, surtout qu'à « ce stade il est prématuré d'affirmer avec certitude que la présence d'anticorps équivaut à une immunité contre l'infection, voire de se prononcer sur la durée éventuelle de cette protection. Donc, à l'heure actuelle, un résultat positif d'un test sérologique ne garantit pas une immunité. » 3 Néanmoins, la CNPD ne disposant pas des compétences scientifiques et épidémiologiques nécessaires, elle n'est pas en mesure d'évaluer, sans explications supplémentaires et plus précises de la part des auteurs du projet de loi, si la restriction absolue du droit d'opposition des personnes présumées infectées, mais dont le test s'avère négatif, est vraiment nécessaire dans le cadre de la lutte contre le Covid-
  2. Par l'article 6 paragraphe
(1)lettre
  1. e)tout comme l'article 9 paragraphe 2) lettre
  2. i)du RGPD. Communiqué de presse du 22 mai 2020 du Ministère de la Santé et du Ministère de l'Enseignement supérieur et de la recherche : « COVID-19 - Une stratégie de test ambitieuse et au service de la santé publique », disponible sous : https://qouvernementlu/dam-assets/documents/actualites/2020/05-mai/Communique-de-presse-depistage2252020-.pdf. 2 3 [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant 1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 3/10 Par ailleurs, en vertu du paragraphe
(2)de l'article 23 du RGPD, chaque mesure législative qui vise à limiter les droits des personnes concernées doit obligatoirement contenir un certain nombre de dispositions spécifiques y énumérées. Afin d'évaluer si le texte du projet de loi n°7606 respecte les dispositions du RGPD et répond plus particulièrement aux exigences de l'article 9 paragraphe
(2)lettre i) du RGPD et dudit article 23 paragraphe
(2)du RGPD, la CNPD analysera successivement les finalités du traitement et les catégories de données à caractère personnel (1.), la durée de conservation des données (2.), les garanties destinées à prévenir les abus ou l'accès ou le transfert illicites (3.), ainsi que le droit des personnes d'être informées (4.). 1. Quant aux finalités du traitement et aux catégories de données à caractère personnel L'article 9 paragraphe
(1)du projet de loi n°7606 énumère quatre différentes finalités poursuivies par la mise en place du système d'information dont la Direction de la santé est à considérer comme responsable du traitement conformément au sens de l'article 4 point 7) du RGPD. En vertu de l'article 5 paragraphe
(1)lettre b) du RGPD, les finalités d'un traitement de données doivent être déterminées, explicites et légitimes. La CNPD considère que les finalités, telles que décrites actuellement à l'article 9 du projet de loi n°7606, peuvent paraître assez larges, ce qu'elle peut a priori comprendre vu que les conséquences et le développement futur du Covid-19 n'ont pas encore pu être analysés en détail par la Direction de la santé. Néanmoins, au vu de l'ampleur du traitement et de la sensibilité des données qui y seront traitées, la Commission nationale rappelle que ces finalités doivent s'entendre strictement et que tout usage des données qui ne s'inscrirait pas dans celles-ci ne respecterait pas le principe de la limitation des finalités inscrit dans le RGPD. En ce qui concerne les catégories de données à caractère personnel, la CNPD s'interroge sur les catégories de personnes concernées dont les données sont traitées. La stratégie de test liée au Covid-19 présentée par Madame la Ministre de la Santé le 22 mai 2020 comporte trois différentes manières dont les tests de diagnostic PCR5 sont utilisés au Luxembourg : de manière réactive en présence de symptômes, de manière active au profit de certaines catégories de personnes particulièrement à risque, ainsi que de manière préventive par échantillons représentatifs (« cluster prevalence studies ») pour accompagner le déconfinement. Selon la compréhension de la CNPD de la configuration du système d'information, ce dernier contiendra les données relatives à deux différentes catégories de personnes concernées : Les personnes infectées, donc celles qui ont été testées positives au virus SARSCoV-2, soit suite à un test prescrit par un médecin en présence de symptômes, soit suite à un test ayant eu lieu de manière active au profit de certaines catégories de personnes particulièrement à risque ou de manière préventive pour accompagner le 4 Communiqué de presse du 22 mai 2020 du Ministère de la Santé et du Ministère de l'Enseignement supérieur et de la recherche : « COVID-19 - Une stratégie de test ambitieuse et au service de la santé publique », disponible sous : httris://qouvernement.lu/dam-assets/documents/actualites/2020/05-mai/Communique-de-presse-depistaqe2252020-.pdf. 5 Test de diagnostic (qRT-PCR) (real-time polymerase chain reaction) utilisé au Luxembourg et reposant sur un prélèvement par écouvillon réalisé au niveau nasal (naso-pharyngé) ou par la bouche (oro-pharyngé), à la recherche du matériel génétique du virus à partir du prélèvement. [ CNPC7 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant 1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 4/10 déconfinement (les « cluster prevalence studies », le projet d'étude CON-VINCE et le « large scale testing »). La CNPD comprend qu'en combinant les dispositions de loi du 1 er août 2018 sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique, ainsi que l'article 9 paragraphe
(2)du projet de loi n°7606, les médecins, les médecins-dentistes, les responsables de laboratoires d'analyses médicales, les établissements hospitaliers, les structures d'hébergement et les réseaux de soins sont obligés de transmettre les données relatives aux personnes infectées ou présumées infectées au Covid-19 à la Direction de la Santé. Néanmoins, pour des raisons de clarté, elle propose d'énumérer de manière exhaustive les différentes sources de données dans le corps du texte de l'article 9 paragraphe
(2)du projet de loi n°
  1. Les personnes présumées infectées, c'est-à-dire celles visées par une des situations prévues à l'article 2 point 46 du projet de loi n°
  2. Dans ce contexte, la CNPD se pose une question concernant le système du « contact tracing » qui, à l'heure actuelle, est effectué de manière manuelle au Luxembourg. Il ressort des explications contenues sur le site du gouvernement luxembourgeois dédié au Corona virus' que l'objectif poursuivi par ledit système de traçage est de s'assurer que les personnes qui ont eu des contacts à haut risque avec une personne dont l'infection est confirmée, donc les personnes présumées infectées, se mettent en auto-quarantaine afin de tenter de rompre la chaine de transmission du virus. La Commission nationale se demande néanmoins quelle est la source des données à caractère personnel des personnes présumées infectées et comment celles-ci auront connaissance de leur obligation de se mettre en quarantaine. Est-ce que la personne infectée communique les données d'identification (nom, prénom, n° de téléphone, etc.) des personnes présumées infectées à la Direction de la santé qui les insérera dans le système d'information et les contactera par la suite ? Ou est-ce que, par contre, la personne infectée contactera directement les personnes présumées infectées, ces dernières étant dans ce cas obligées de se manifester de leur propre gré auprès de la Direction de la santé qui insérera qu'à ce moment-là leurs données dans le système d'information afin de pouvoir les suivre? Dans le cas de figure où la source est la personne infectée qui transmet les données à la Direction de la santé, la CNPD constate que cette source n'est pas énumérée au paragraphe
(2)de l'article 9 du projet de loi. Le cas échéant, il y aurait lieu de rajouter au texte la personne infectée comme source, tout comme il faudrait rajouter, le cas échéant, le numéro de téléphone à la liste des données qui peuvent être traitées, dans la mesure où cette donnée est la plus efficace et la plus rapide pour contacter les personnes. La CNPD part de l'hypothèse que les données de tous les individus dont le test a été négatif, hormis la catégorie des personnes présumées infectées, ne sont pas transmises à la Direction de la Santé par les établissements hospitaliers, les structures d'hébergement et les réseaux de soins et ne devraient, a fortiori, pas se retrouver dans le système d'information. Au cas où le système d'information contiendra néanmoins lesdites données, la Commission nationale se demande quelle serait la finalité poursuivie par ce traitement. A priori, elle est d'avis qu'aucune des finalités mentionnées à l'article 9 paragraphe
(1)du projet de loi n°7606 ne permet 6 Visant les différentes situations quand une personne devient une « personne présumée infectée ». 7 https://coronavirus.qouvernement.lu/fr/citovens.html. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  2. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 5/10 l'enregistrement et la conservation dans le système d'information des données d'individus dont le test a été négatif (hormis de nouveau la catégorie des personnes présumées infectées). Si la finalité poursuivie est la réalisation d'études scientifiques, statistiques et/ou d'appui à la politique, et dans la mesure où il ne serait pas possible de réaliser ces traitements à partir de données anonymisées, la CNPD estime que dans ces hypothèses précises une collecte de données pseudonymisées devrait s'avérer suffisante. Sous ces conditions, la CNPD estime que la liste des catégories de données à caractère personnel énumérées ci-dessus8 n'est pas excessive au regard des finalités du traitement et respecte le principe de minimisation des données qui doit conduire à ne collecter que les données strictement nécessaires (article 5 paragraphe
(1)lettre c) du RGPD). Par ailleurs, ladite liste de données à transférer (en plus du numéro de téléphone, le cas échéant) par les établissements hospitaliers, les structures d'hébergement et les réseaux de soins (en plus de la personne infectée comme source, le cas échéant) à la Direction de la Santé doit être considérée comme exhaustive et ne pourra pas excéder les catégories de données y mentionnées. 2. Quant à la durée de conservation L'article 5 paragraphe
(1)lettre (e) du RGPD prévoit que les données à caractère personnel doivent être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Il ressort par ailleurs du considérant
(45)du RGPD que lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement, il devrait appartenir au droit de l'Union ou au droit d'un Etat membre d'établir, entre autres, la durée de conservation des données. De plus, comme déjà susmentionné, l'article 5 paragraphe
(1)lettre (b) du RGPD prévoit que les données à caractère personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ». Ainsi, la durée de conservation doit être déterminée en fonction de l'objectif ayant conduit à la collecte des données en cause. Une fois cet objectif atteint, ces données devraient être supprimées ou anonymisées (afin notamment de produire des statistiques). L'article 9 paragraphe
(5)du projet de loi n°7606 dispose que les données à caractère personnel des personnes infectées ou présumées infectées seront conservées dans le système d'information sous une forme permettant l'identification des personnes pendant « la durée nécessaire pour prévenir et combattre le Covid-19 et les données sont anonymisées au plus tard six mois après que la loi cesse de produire ses effets. » A priori, la loi en projet sous examen entrera en vigueur le lendemain de sa publication au Journal officiel du Grand-Duché de Luxembourg pour une durée d'un mois (article 13 du projet de loi n°7606). Les auteurs du projet de loi expliquent dans l'exposé des motifs que la particularité du projet de loi repose sur son applicabilité dans le temps et qu'elle produira des effets a priori uniquement du 25 juin 2020, fin de l'état de crise, au 25 juillet
  1. 8 Nom, prénom, adresse, date de naissance, diagnostic médical, date des lers symptômes et date du diagnostic médical, date de prélèvement et origine du prélèvement, pays où la maladie a été contractée et la source d'infection si connue. CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  2. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  3. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 6/1 0 Dans le commentaire de l'article 13 du projet de loi il est précisé que « la situation sanitaire en relation avec la propagation du Covid-19 est en constante évolution ce qui explique la durée d'application limitée de la présente loi. » La Commission nationale comprend dès lors que l'état de la crise sanitaire sera réévalué avant le 24 juillet 2020 et en fonction des résultats, elle suppose que la Chambre des députés pourra, le cas échéant, décider de prolonger l'applicabilité de la loi en cause. Il ressort de ce qui précède qu'il y a un double délai de conservation des données : le premier délai étant celui de la fin d'applicabilité de la loi (a priori le 24 juillet 2020 mais en fonction des circonstances, ce délai pourrait être étendu comme susmentionné) et le deuxième délai se situe six mois après la fin du premier délai. Le commentaire de l'article 9 du projet de loi n°7606 précise dans ce contexte qu'« eu égard aux finalités du système d'information, la durée de conservation des données nominatives contenues dans le système est limitée à la durée de la gestion de la pandémie, augmentée d'une durée de six mois pour traiter d'éventuelles demandes de traitement de données provenant d'autorités de santé étrangères ou européennes ainsi que pour traiter d'éventuelles demandes liées à la recherche scientifique, historique ou à des fins statistiques. » La Commission nationale tient à souligner tout d'abord qu'elle ne dispose pas de l'expertise scientifique et épidémiologique nécessaire, afin d'évaluer si la conservation même des données dans le système d'information des personnes présumées infectées, mais dont le test s'avère négatif, est vraiment nécessaire dans le cadre de la lutte contre le Covid-
  4. En l'absence d'explications plus précises par les auteurs du projet de loi, elle ne peut pas apprécier si d'éventuels argumentations d'experts scientifiques et épidémiologiques permettent de justifier pourquoi ces données devraient être conservées pendant un certain laps de temps. Au regard du RGPD, il est nécessaire et primordial de définir une durée de conservation des données au sein du système d'information de la Direction de la santé qui soit proportionnée au regard de la finalité poursuivie. Partant, il est nécessaire de définir des critères objectifs permettant de justifier une durée de conservation adéquate. Au risque de se répéter, la CNPD n'étant pas experte en matière de santé et de gestion d'épidémies, il est difficile pour elle d'évaluer s'il est proportionné, afin de combattre l'expansion du Covid-19, que les données à caractère personnel des personnes infectées et présumées infectées seront conservées dans le système d'information pendant un nombre déterminé de mois. Elle se demande néanmoins quelles sont les raisons sanitaires et/ou scientifiques qui ont amené les auteurs du projet de loi à insérer dans l'article 9 paragraphe
(5)du RGPD une durée de conservation spécifique de 6 mois après que la future loi cessera de produire ses effets. A titre de comparaison, la loi française n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions contient une disposition a priori similaire au texte proposé par le législateur luxembourgeois. En effet, l'article 11 dispose « qu'aux seules fins de lutter contre la propagation de l'épidémie de covid-19 et pour la durée strictement nécessaire à cet objectif ou, au plus, pour une durée de six mois à compter de la fin de l'état d'urgence sanitaire déclaré par l'article 4 de la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19, des données à caractère personnel concernant la santé relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles peuvent être traitées et partagées, le cas échéant sans le consentement des CNPD1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  2. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 7/1 0 personnes intéressées, dans le cadre d'un système d'information créé par décret en Conseil d'Etat et mis en œuvre par le ministre chargé de la santé. » Or, l'alinéa 2 de l'article 11 précité contient une précision importante, dans la mesure où « les données à caractère personnel collectées par ces systèmes d'information à ces fins ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte ». Ainsi, même si le système français en lui-même pourra fonctionner jusqu'au plus tard six mois après la fin de l'état d'urgence sanitaire, les données à caractère personnel devraient régulièrement être supprimées, voir anonymisées, trois mois après qu'elles ont été collectées. En Belgique, l'arrêté royal n°25 du 28 mai 2020 modifiant l'arrêté royal n°18 du 4 mai 2020 portant création d'une banque de données auprès de Sciensano dans le cadre de la lutte contre la propagation du coronavirus COVID-19, est entré en vigueur le 5 juin
  3. Comme l'arrêté royal n°18 du 4 mai 2020 cessait déjà ses effets le 4 juin 2020, il a été décidé de le proroger jusqu'au 30 juin
  4. Dans le rapport au roi, la Ministre des Affaires sociales et de la Santé publique belge a précisé que « le délai pour l'effacement des données à caractère personnel serait ajusté en conséquence (le 5 juillet 2020 au lieu du 9 juin 2020) », soit une durée de conservation des données de cinq jours après la fin de validité de l'arrêté en cause. Pour conclure, la CNPD ne peut que constater que les législateurs des pays voisins du Luxembourg ont opté dans ce contexte pour des durées de conservation beaucoup plus courtes. Or, comme susmentionné, la Commission nationale n'a pas les éléments et explications nécessaires à sa disposition pour se prononcer sur la proportionnalité d'un délai de conservation des données des personnes infectées et présumées infectées de six mois après que la loi cessera de produire ses effets. Afin de garantir que les données ne soient pas conservées plus longtemps que nécessaire, des délais devraient être fixés soit pour leur effacement, soit pour un examen périodique. Ainsi, une alternative serait de prévoir qu'en fonction de l'évolution du Covid-19, la pertinence d'une durée de conservation a priori plus brève que six mois, fasse l'objet d'une évaluation régulière, surtout qu'à l'heure actuelle, il n'est pas possible de prédire combien de fois et pendant quel laps de temps l'applicabilité de la loi en projet sera prolongée.
  5. Quant aux garanties destinées à prévenir les abus ou l'accès ou le transfert illicites La Commission nationale rappelle que, quel que soit le contexte d'urgence, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être apportées. L'encadrement des accès à des données de santé est essentiel dans ce contexte au regard des exigences prévues par l'article 9 paragraphe 2 lettre i) du RGPD. En vertu de l'article 9 paragraphe
(3)du projet de loi sous revue, « seuls les médecins et professionnels de la santé, nommément désignés et habilités dans le cadre de la présente loi par le directeur de la santé ou de son délégué pour détecter, évaluer, surveiller et combattre le Covid-19 sont autorisés à accéder aux données relatives à la santé des personnes infectées ou présumées infectées. » Ledit paragraphe continue en limitant l'accès aux données relatives à la santé dans la stricte mesure où il « est nécessaire à l'exécution des missions légales ou conventionnelles qui leur sont confiées pour prévenir et combattre le Covid-
  1. » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  2. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  3. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 8/10 Etant donné le caractère sensible des données relatives à la santé, la Commission nationale ne peut qu'approuver que le cercle des personnes pouvant accéder aux données liées à la santé et le contexte dans lequel ils y accèdent est circonscrit. Il ressort de l'article 9 paragraphe
(3)du projet de loi que toutes les personnes que le directeur de la santé peut habiliter à accéder au système d'information sont soumises au secret professionnel prévu à l'article 458 du Code pénal, comme il est par ailleurs exigé par l'article 9 paragraphe 2 lettre i) précité du RGPD. L'article 9 paragraphe
(5)du projet de loi requiert en plus que les « données sont traitées dans des conditions permettant d'en garantir la sécurité, la confidentialité et l'intégrité. » Au vu de la nature et du volume des données traitées ainsi que des risques pour les personnes en cas d'atteinte à la sécurité des données, la CNPD estime incontournable que des mesures de sécurité technique et organisationnelle adéquates soient mises en place afin de garantir un niveau de sécurité à l'état de l'art du secteur de la santé. A cet égard, la CNPD tient à souligner l'importance de l'obligation de sécurité prévue à l'article 5 paragraphe
(1)lettre f) et à l'article 32 du RGPD, exigeant que des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, soient mises en place. Elle considère que la mise en œuvre du traitement de données à caractère personnel contenues dans le système d'information devra en particulier garantir le recours à une authentification forte des personnes ayant accès et ledit système devrait être doté d'un traçage (journalisation) individuel des accès pendant une durée de cinq ans à partir de l'enregistrement du log, ce qui constitue une garantie supplémentaire en matière de protection des données à caractère personnel. Il est également primordial que les données soient détruites irréversiblement après l'expiration du délai de conservation. 4. Quant aux droits des personnes concernées Le paragraphe
(4)de l'article 9 du projet de loi précise que « les droits des personnes concernées prévus par le règlement général sur la protection des données (UE) 2016/679 s'exercent auprès de la Direction de la santé ». Pour ce qui est de la limitation du droit d'opposition, la CNPD renvoie à ses observations ci-avant. En vertu des articles 13 et 14 du RGPD, le responsable du traitement est obligé de fournir aux personnes concernées certaines informations lorsque des données à caractère personnel sont collectées directement auprès d'elles ou indirectement à travers un tiers. Une information précise et adaptée devra donc être apportée aux personnes concernées dans un contexte sanitaire particulier. Ainsi, en vertu de l'article 14 du RGPD, la Direction de la santé est obligée de fournir ces informations à la personne infectée, ces données provenant a priori d'un tiers (les établissements hospitaliers, les structures d'hébergement et les réseaux de soins). En ce qui concerne les données à caractère personnel relatives aux personnes présumées infectées dans le contexte du « contact tracing », il n'est pas clair si cette collecte s'effectue de manière directe par la Direction de la santé ou de manière indirecte (par exemple via la personne infectée elle-même). Dans les deux hypothèses, le droit à l'information desdites personnes est à respecter par la Direction de la santé. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  2. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 9/ 1 0 Finalement, la CNPD tient à préciser qu'au moment où une personne effectue un test, elle devrait en principe déjà être informée du fait qu'en cas de résultat positif, ses données à caractère personnel seront transférées vers la Direction de la santé et y enregistrées dans leur système d'information. Ainsi décidé à Esch-sur-Alzette en date du 8 juin
  3. La Commission nationale pour la protection des données Digitally signed Digitally signed by Thierry by Thierry Tine Tine Annemarie Lallemang Lallern Date: Annemari Larsen 2020.06.08 Date: 2020.06.08 12:23:25 e Larsen 12:59:01 +0200' ang +0200' Tine A. Larsen Présidente [ CNPD Thierry Lallemang Commissaire CHRISTOP Digitally signed by CHRISTOPHE HE NICOLAS NICOLAS BUSCHMANN BUSCHMA 2D0a2te0:.06.08 13:01:46 +0200' NN Christophe Buschmann Commissaire Marc Ernest JeanPierre Digitally signed by Marc Ernest Jean-Pierre Lemmer Date: 2020.06.08 13:13:14 +0200' Lemmer Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
  4. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
  5. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 10/10

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.