Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant i

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COV1D-19) et modifiant

1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2.1a loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. Délibération n°14/2020 du 16 juin 2020 Conformément à l'article 57, paragraphe Ier, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du Ier août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Suite aux amendements adoptés par la Commission de la Santé et des Sports en date du 11 juin 2020 concernant le projet n°7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
2. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
3. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments (ci-après le « projet de loi »), la CNPD entend encore formuler, en sus de son avis initial n°13/2020 du 8 juin 2020, les observations qui suivent. Par l'amendement 3 du projet de loi n°7606, les auteurs ont notamment inséré un paragraphe 2 nouveau à l'article 5 dudit projet et qui concerne les activités de transport de personnes par moyen collectif dans le cadre d'un voyage organisé. Ainsi, afin de suivre l'évolution de la propagation du Covid-19 dans le cadre d'un voyage organisé, l'exploitant d'un moyen collectif de transport de perso nnes « est tenu de transmettre dans la mesure du possible, sur demande, au médecin de la Direction de la santé ou aux professionnels de la santé habilités dans le cadre de la présente loi par le directeur de la santé les nom, prénom, numéro de téléphone et adresse électronique des personnes qui ont subi une exposition à haut risque en raison d'une des situations visées à l'article 2, point 4°. » Le commentaire de l'amendement ajoute que les données relatives aux passagers à haut risque d'être infectés et qui sont adressées à la Direction de la santé sur demande précisent en outre « le moyen, la date et l'heure du transport et, le cas échéant, la voiture et le siège occupés par le cas index. » Il en découle, comme le précisent d'ailleurs les auteurs de l'amendement, que l'exploitant d'un tel moyen de transport dispose déjà à la base des données d'identification des voyageurs ayant utilisé le moyen de transport concerné et dans lequel une ou plusieurs personnes CNPD] Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant
4. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ;
5. la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 1/3 infectées ont pu être localisées. Or, tandis que la finalité initiale de cette collecte de données à caractère personnel des passagers est plutôt l'organisation d'un voyage, la CNPD comprend que les auteurs de l'amendement visent une autre finalité par cette obligation de transférer sur demande les données des passagers par l'exploitant d'un moyen collectif de transport de personnes à la Direction de la santé : mettre en place un système de traçage pour identifier le plus tôt possible toute personne à risque ou à haut risque d'être infectée afin de mettre en œuvre les précautions nécessaires (comme une mise en quarantaine) et de prévenir ainsi la dissémi natio n de l'infection par ces personnes à leur tour contagieuses. La CNPD ne remet pas en cause le principe que ce traitement soit nécessaire afin de poursuivre la finalité précitée et afin de fournir à la Direction de la santé les moyens pour contacter le plus rapidement possible les passagers potentiellement exposés. Néanmoins, elle tient à formuler deux remarques dans ce contexte : Le commentaire de l'article précise que les termes « exploitant d'un moyen collectif de transport de personnes » concernent les « transports terrestres (bus à longues distances, en particulier à l'occasion des congés d'été, trains à longue distance), aériens et fluviaux ». Or, la CNPD se demande plus particulièrement ce qu'il faut entendre par « voyage organisé ». Est-ce que les voyages individuels et « non organisés » (comme par exemple un simple vol aller-retour de l'aéroport de Luxembourg ou un voyage en train par le TGV depuis la Gare de Luxembourg-ville) ne sont pas visés par la disposition en cause et que donc, même si on est en présence d'un exploitant d'un moyen collectif de transport de personnes, cette obligation de transmettre sur demande des données des passagers à la Direction de la santé ne s'appliquerait pas dans cette hypothèse ? Comme susmentionné, afin de pouvoir procéder au transfert du nom, prénom, numéro de téléphone et adresse électronique des personnes qui ont subi une exposition à haut risque à la Direction de la santé, les exploitants d'un moyen collectif de transport de personnes doivent au préalable déjà être en possession desdites données. Le commentaire de l'amendement en cause précise à cet égard que « le passager visé par cette mesure doit donner son consentement au préalable. » Néanmoins, la CNPD est d'avis qu'il ressort implicitement de l'utilisation des mots « est tenu de transmettre » dans le corps du texte de l'article 5 paragraphe