Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grandducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. Délibération n° 1/2021 du 20/01/2021 Conformément à l'article 57, paragraphe l er, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le « règlement général sur la protection des données » ou le « RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 13 juillet 2020, Monsieur le Ministre des Communications et des Médias a invité la Commission nationale à se prononcer sur projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public (ci-après le « projet de loi »). Par courrier en date du 15 juillet 2020, Monsieur le Ministre des Communications et des Médias a invité la Commission nationale à se prononcer sur le projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques (ci-après le « projet de règlement grand-ducal »). Le projet de loi a pour objet de transposer en droit national la directive (UE) 2019/1024 du Parlement européen et du Conseil du 20 juin 2019 concernant les données ouvertes et la réutilisation des informations du secteur public (refonte) (ci-après la « directive ») ainsi que d'abroger et remplacer la loi modifiée du 4 décembre 2007 sur la réutilisation des informations du secteur public. Le projet de règlement grand-ducal a pour objet d'exécuter les dispositions de l'article 7, paragraphe 3, du projet de loi. Il détermine les critères objectifs, transparents et vérifiables pour calculer le montant total des redevances applicables par les organismes du secteur public tenus, en vertu du projet de loi, de générer des recettes destinées à couvrir une part CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 1/8 substantielle des coûts liés à l'accomplissement de leurs missions de service public ainsi que les entreprises publiques, telles que définies à l'article 2, point 3, du projet de loi. La CNPD entend limiter ses observations au regard des situations où des documents ou informations publiques mis à disposition à des fins de réutilisation qui comporteraient des données à caractère personnel au sens de l'article 4, paragraphe 1, du RGPD. La Commission nationale note avec intérêt l'extension du champ d'application à l'égard des « données ouvertes et de réutilisation des informations du secteur public » par l'article 1er, paragraphe
(1), du projet de loi. La CNPD rappelle à cet égard le considérant 154 du RGPD qui énonce que I'« accès du public aux documents officiels peut être considéré comme étant dans l'intérêt public ». La Commission nationale ne peut que souscrire aux objectifs poursuivis par cette initiative législative qui concourt à rendre plus effectif le droit pour les citoyens de s'informer des affaires publiques. Dans le même temps, elle se soucie de parvenir à la définition d'un cadre juridique où la réutilisation des données publiques et la protection de la vie privée et des données à caractère personnel trouvent un équilibre. Il lui importe que la protection des données contribue à construire un cadre juridique solide et exigeant pour une meilleure transparence de l'action publique. Il ressort du considérant 23 de la directive que celle-ci « fait obligation aux États membres de rendre tous les documents existants réutilisables, à moins que des règles nationales relatives à l'accès aux documents ne limitent ou n'excluent cet accès ou sous réserve des autres exceptions prévues par la présente directive » et qu'elle « s'appuie sur les règles d'accès en vigueur dans les États membres et ne modifie pas les règles nationales en matière d'accès aux documents. ». Le considérant 52 de la directive précise que celle-ci « n'affecte pas la protection des personnes physiques à l'égard du traitement des données à caractère personnel garanti par le droit de l'Union et le droit des États membres, en particulier le [RGPD] mais aussi et y compris de toute disposition de droit national complémentaire. ». Il convient dès lors de trouver un juste équilibre entre le droit fondamental de l'accès à l'information' et le droit fondamental à la protection des données à caractère personnel, dans la limite des règles applicables en matière de droit d'accès prévu par la législation nationale. Cet équilibre doit être recherché quand un document contenant des données à caractère personnel est susceptible d'être communiqué. Ce droit fondamental découle notamment du droit à la liberté d'expression, du droit à une bonne administration et du droit d'accès aux documents. CNIPCq , Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des inforrnations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 2/8 Les réales d'accès aux documents contenant des données à caractère personnel À titre liminaire, il convient de préciser que, comme le relèvent les auteurs dans l'exposé des motifs accompagnant le projet de loi, un « document qui n'est pas accessible, ne peut pas être mis à disposition du public par le biais de l'Open data ». L'article 1er, paragraphe
(3)du projet de loi indique que la « loi s'appuie sur les règles d'accès en vigueur et ne les affecte en rien ». Suivant le commentaire des articles, « si pour des motifs de protection des données les règles d'accès excluent l'accès aux documents, ces documents ne relèvent pas du champ d'application du présent projet de loi ». D'après les auteurs du projet de loi, les règles d'accès générales découlent de la loi modifiée du 14 septembre 2018 relative à une administration transparente et ouverte et sont complétées par des règles d'accès sectorielles ou spécifiques, découlant notamment de la loi modifiée du 25 novembre 2005 concernant l'accès du public à l'information en matière d'environnement ; de la loi modifiée du 31 juillet 2005 portant approbation de la Convention sur l'accès à l'information, la participation du public au processus décisionnel et l'accès à la justice en matière d'environnement, faite à Aarhus (Danemark), le 25 juin 1998 ; du règlement grand-ducal du 8 juin 1979 relatif à la procédure à suivre par les administrations relevant de l'Etat et des communes. L'article 1er, paragraphe
(1), du projet de loi vise les « documents existants détenus par des organismes du secteur public » ainsi qu'une liste d'« entreprises publiques » et des « données de la recherche », sous réserve des exceptions et conditions définies aux paragraphes
(2)à
(7). Or, la loi précitée du 14 septembre 2018 vise, en son article ler, paragraphe 1, l'accès aux « documents détenus par les administrations et seivices de l'État, les communes, les syndicats de communes, les établissements publics placés sous la tutelle de l'État ou sous la surveillance des communes ainsi que les personnes morales fournissant des services publics ». La CNPD se demande si les champs d'application respectifs du projet de loi et de la loi du 14 septembre 2018 couvrent les mêmes entités. Par conséquent, la CNPD s'interroge quant à l'existence de règles d'accès applicables aux documents détenus par des entreprises publiques qui ne sont pas relatifs à l'exercice d'une activité administrative. En l'absence de telles règles d'accès, la diffusion de documents contenant des données à caractère personnel devrait en principe être exclue, à moins que le responsable de traitement ne puisse démontrer qu'une telle opération de traitement de données, c'est-à-dire la transmission des données à caractère personnel à un tiers, puisse être justifiée à l'égard des dispositions pertinentes en matière de protection des données. 11 pourrait par exemple être envisageable de récolter le consentement des personnes concernées. Toutefois, la CNPD rappelle le considérant '154 du RGPD qui prévoit que « gies données à caractère personnel figurant dans des documents détenus par une autorité publique ou un organisme public devraient pouvoir être rendues publiques par ladite autorité ou ledit CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 3/8 organisme si cette communication est prévue par le droit de l'Union ou le droit de l'État membre dont relève l'autorité publique ou l'organisme public. ». Ainsi, en principe, la communication de tels documents devrait être prévue par une disposition légale. La Commission nationale comprend que l'article 1er, paragraphe
(2), point 8° du projet de loi reflète fidèlement l'article premier, paragraphe
(2), lettre h) de la directive. Ladite disposition de la directive reprend les termes du considérant 154, in fine, du RGPD. La CNPD conçoit également que la marge de manœuvre du législateur est limitée en matière de transposition fidèle d'une directive européenne. Néanmoins, les directives européennes visent l'harmonisation des règles nationales sans pour autant exiger une uniformité de celles-ci et permettent ainsi au législateur d'adapter les normes de transpositions aux spécificités nationales. La CNPD attire l'attention sur la portée de ladite disposition du projet de loi, qui prévoit que la « loi ne s'applique pas aux documents dont l'accès est exclu ou limité en application de règles d'accès pour des motifs de protection des données à caractère personnel, et aux parties de documents accessibles en vertu desdites règles qui contiennent des données à caractère personnel dont la réutilisation a été définie par la loi comme étant incompatible avec la législation concernant la protection des personnes physiques à l'égard du traitement des données à caractère personnel ou comme portant atteinte à la protection de la vie privée et de l'intégrité de la personne concernée ». Il n'est pas à exclure que des règles d'accès sectorielles, telles que celles identifiées plus haut, puissent prévoir l'accès à des documents contenant des données à caractère personnel, alors que les règles d'accès générales découlant de la loi précitée du 14 septembre 2018 limitent la communication des documents contenant des données à caractère personnel. De plus, en l'absence d'une disposition légale spécifique au sens de l'article 1er paragraphe
(2), point 8° du projet de loi applicable aux données à caractère personnel contenues dans le document rendu accessible en vertu des règles d'accès, ce document peut relever du champ d'application du projet de loi. Dès lors, lorsque la législation sectorielle applicable au document reste muette, c'est-à-dire qu'elle n'exclut pas explicitement la réutilisation des données à caractère personnel, la CNPD s'inquiète du risque de divulgation de données à caractère personnel ou de l'atteinte à la vie privée des personnes physiques. La CNPD rappelle le considérant 154 du RGPD précité que « [c]es dispositions légales devraient concilier l'accès du public aux documents officiels et la réutilisation des informations du secteur public, d'une part, et le droit à la protection des données à caractère personnel, d'autre part, et peuvent dès lors prévoir la conciliation nécessaire avec le droit à la protection des données à caractère personnel en vertu du [RGPD] ». Il revient ainsi au législateur de soupeser l'intérêt public lié à l'accès et la réutilisation des données en relation avec les intérêts des personnes physiques. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 4/8 D'une part, la Commission nationale recommande dès lors au législateur de revoir les règles d'accès, en particulier les règles d'accès sectorielles, afin de s'assurer que celles-ci excluent, lorsque cela est pertinent, l'accès aux documents contenant des données à caractère personnel ou que celles-ci prévoient a minima l'anonymisation des données à caractère personnel. D'autre part, la CNPD estime nécessaire d'analyser les traitements de données à caractère personnel susceptibles d'être visées par des règles d'accès et invite le législateur, le cas échéant, de modifier les législations sectorielles y afférentes, notamment dans le secteur de l'environnement et des données issues du monde agricole afin d'y insérer, si nécessaire, une limitation quant à l'accès aux ou la publication de données à caractère personnel. Finalement, lorsque des données à caractère personnel sont néanmoins susceptibles d'être rendues publiques sur la base des règles d'accès et en l'absence de dispositions législatives empêchant leur réutilisation, il pourrait s'avérer nécessaire pour un responsable de traitement, c'est-à-dire de l'organisme mettant à disposition le document, de faire une analyse d'impact relative à la protection des données au sens de l'article 35 du RGPD avant de mettre un document à disposition dans laquelle la mise en balance de l'intérêt public et des intérêts des personnes concernées est opérée. Ainsi, lorsque l'évaluation des risques pour les droits et libertés des personnes concernées révèle que la communication du document représente un risque élevé, l'organisme devrait s'abstenir à mettre à disposition le document, à moins que des mesures pour atténuer le risque, notamment par l'anonymisation du document publié, puissent être pris. Les règles applicables à la divulgation et à la réutilisation de données à caractère personnel Puisque le présent projet de loi n'affecte en rien les règles d'accès en vigueur, la CNPD rappelle qu'il est tout à fait envisageable qu'un document soit accessible en vertu de ces règles d'accès mais qu'il ne soit pas pour autant réutilisable au sens du texte sous considération, eu égard notamment aux règles de la protection des données à caractère personnel. En effet, l'article ler, paragraphe
(4), point 100 du projet de loi prévoit que la « présente loi est sans préjudice des dispositions de droit sur la protection des données à caractère personnel ». ll ressort de cette disposition que, lorsque la réutilisation d'un document contenant des données à caractère personnel est possible, les responsables de traitement — c'est-à-dire l'entité mettant le document à disposition et l'entité souhaitant réutiliser ledit document — continuent d'être liés par les dispositions applicables en matière de protection des données, en premier lieu par les dispositions découlant du RGPD et de la loi du 1" août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Dans l'exposé des motifs accompagnant le projet de loi, les auteurs font état d'une future stratégie nationale pour la promotion de l'Open data au Luxembourg qui sera définie autour, CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 5/8 entre autres éléments, du concept de l'« ouverture dès la conception et par défaut ». Cela signifie que les détenteurs de données publiques devraient concevoir lesdites données dans l'optique de rendre celles-ci réutilisables. La présence de données à caractère personnel dans un jeu de données peut entraver sa publication par l'organisme et sa réutilisation par un tiers. En matière de protection des données, en vertu de l'article 25 du RGPD, les responsables de traitement doivent appliquer la protection des données dès la conception et protection des données par défaut, notamment à travers du respect du principe de minimisation des données, c'est-à-dire que les « données à caractère personnel doivent être [...] adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » tel que prévu à l'article 5, paragraphe
(1), lettre c), du RGPD. Par conséquent, l'organisme ou l'entreprise publique devraient préparer les documents dès leur création avec un minimum de données à caractère personnel, en perspective d'une part du respect des principes de la protection des données et d'autre part de l'objectif de la réutilisation des informations. Ainsi, un plus grand nombre de documents pourraient potentiellement se retrouver dans le champ d'application du présent projet de loi. À cet égard, malgré le fait que l'anonymisation de données à caractère personnel soit définie à l'article 2, point 7° du projet de loi et que les coûts d'une éventuelle anonymisation peuvent entrer en ligne de compte pour la tarification conformément à l'article 7 du projet de loi et du projet de règlement grand-ducal, la Commission nationale regrette que le projet de loi ne prévoie pas que ce procédé soit appliqué de manière générale aux documents entrant dans le champ d'application du projet de loi. La définition de l'anonymisation à l'article 2, point 7' du projet de loi devra être lue ensemble avec les dispositions du RGPD, et notamment avec le considérant 26 du RGPD : « Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l'évolution de celles-ci. » Le Comité Européen de la Protection des Données (EDPB) a considéré, dans ses lignes directrices 4/2019 relatives à l'article 25 du RGPD sur la protection des données dès la conception et protection des données par défaut, que l'anonymisation de données à caractère personnel est une alternative à la suppression pour autant que les éléments contextuels CNPID Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 6/8 pertinents aient été pris en compte et que la probabilité ainsi que la gravité du risque, y compris le risque de ré-identification, soient régulièrement réévaluées
- Le groupe de travail « Article 29 », dans son avis n° 5/2014 sur les techniques d'anonymisation, explique que « l'anonymisation est le résultat du traitement des données personnelles afin d'empêcher, de façon irréversible, toute identification. Ce faisant, les responsables du traitement des données doivent tenir compte de plusieurs éléments, en prenant en considération l'ensemble des moyens 'susceptibles d'être raisonnablement mis en œuvre' à des fins d'identification (soit par le œsponsable du traitemen(, soit par un tiers) »
- Ainsi, la CNPD souligne qu'il est important que le choix des techniques d'anonymisation se fasse sur la base d'une analyse au cas par cas prenant en compte le contexte des données, tout en veillant à rendre les données effectivement anonymes et ainsi échapper à l'application du RGPD. Lorsque l'anonymisation est faite dans les règles de l'art, suivant le considérant 26 du RGPD « [...] n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le [RGPD] ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche. » Par conséquent, à l'issue du processus d'anonymisation, il ne s'agit plus de donnée à caractère personnel et le RGPD ainsi que les autres règles en matière de protection des données à caractère personnel ne sont plus applicables. Lorsque les données à caractère personnel semblent néanmoins indispensables à la compréhension du document, en vertu du principe de minimisation des données, il convient de les limiter à ce qui est nécessaire. Le considérant 52 de la directive précise notamment « que la réutilisation de données à caractère personnel n'est licite que si le principe de limitation des finalités énoncé à l'article 5, paragraphe 1, point b), et à l'article 6 du [RGPID] est respecté. ». 2 EDPB, lignes directrices 4/2019 relatives à l'article 25 du RGPD sur la protection des données dès la conception et protection des données par défaut, version du 13 novembre 2019 soumise à la consultation publique, non encore adoptée définitivement. 3 Groupe de travail « Article 29 » sur la protection des données, Avis n° 05/2014 sur les techniques d'anonymisation, WP216, 0829/14/FR. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 718 En vertu de l'article 9, alinéa 1er, du projet de loi, la « réutilisation de documents peut être soumise à [des] conditions pour autant que celles-ci soient objectives, proportionnées, non discriminatoires et justifiées sur la base d'un objectif d'intérêt général ». La Commission nationale estime que le recours à des licences, dans la mesure où elles porteraient également sur les conditions de réutilisation des données à caractère personnel contenues dans un document, pourrait permettre de réduire indirectement les risques pour les personnes concernées en imposant des garanties supplémentaires à prévoir par l'entité souhaitant réutiliser le document. Toutefois, la Commission nationale appelle à la prudence quant à la mise à disposition de données à caractère personnel au vu du risque de réutilisation à des fins non compatibles par des tiers en ce que la Commission nationale note que l'entité publique n'a qu'une influence limitée sur cette réutilisation. Indépendamment de ces considérations, le responsable de traitement qui souhaiterait réutiliser les documents contenant des données à caractère personnel devrait lui aussi vérifier si le traitement de données à caractère personnel contenues dans le document peut se faire en conformité avec les obligations en matière de protection des données en vérifiant en particulier la nécessité et la proportionnalité du traitement de données envisagé en lien avec la finalité poursuivie. Le règlement grand-ducal n'appelle quant à lui pas d'observations particulières de la part de la CNPD. Ainsi décidé à Belvaux en date du 20 janvier
- La Commission nationale pour la protection des données h /vsil ede*-1 Tine A. Larsen Présidente CNPDI Thierry Lallemang Commissaire C istophe Buschmann Commissaire arc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7643 sur les données ouvertes et la réutilisation des informations du secteur public et relatif au projet de règlement grand-ducal portant fixation de critères objectifs, transparents et vérifiables pour calculer le montant total des redevances pour la fourniture et les autorisations de réutilisation des documents détenus par les organismes du secteur public et les entreprises publiques. 8/8