Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7634 modifiant la loi du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant: 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. Délibération n° 18/2020 du 21 juillet 2020 Conformément à l'article 57, paragraphe le', lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du le' août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». En date du 20 juillet 2020, Madame la Ministre de la Santé a saisi la Commission nationale à se prononcer sur le projet de loi n° 7634 modifiant la loi du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant : 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments (ci-après le « projet de loi »). Après analyse du projet de loi, la CNPD constate que les dispositions concernant la protection des droits et libertés des personnes physiques à l'égard du traitement de données à caractère personnel, et plus précisément les articles 5 et 10 dudit projet, n'ont pas changé par rapport aux dispositions correspondantes de la loi actuellement en vigueur du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19. Néanmoins, la CNPD tient à formuler une remarque concernant le point de départ de la durée de conservation des données à caractère personnel figurant dans le système d'information mis en place par le directeur de la santé afin de suivre l'évolution de la propagation du virus SARS-CoV-2. Initialement, le projet de loi n°7606 devenu la loi du 24 juin 2020 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre la pandémie Covid-19 prévoyait en son article 9 paragraphe
(5)que les données précitées « sont anonymisées au plus tard six mois après que la loi cesse de produire ses effets. » Dans son avis n°13/2020 du 8 juin 2020 relatif audit projet de loi n°7606, la CNPD s'était demandée quelles étaient les raisons sanitaires et/ou scientifiques qui ont amené les auteurs du projet de loi à y insérer une durée de conservation spécifique de 6 mois après que la future CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7634 modifiant la loi du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant : 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 1 /3 loi cessera de produire ses effets et elle avait constaté que les législateurs des pays voisins du Luxembourg avaient opté dans ce contexte pour des durées de conservation beaucoup plus courtes. Suite aux amendements adoptés par la Commission de la Santé et des Sports en date du 11 juin 2020, il a été tenu compte de l'avis de la CNPD et la durée de conservation a été réduite de 6 à 3 mois. Ainsi, l'article 9 paragraphe
(5)du projet de loi n°7606 avait la teneur suivante : « Sans préjudice des dispositions du paragraphe 6 du présent article, leur conservation sous une forme permettant l'identification des personnes est limitée à la durée nécessaire pour prévenir et combattre le Covid-19 et les données sont anonymisées au plus tard trois mois après que la loi cesse de produire ses effets. » Suite à l'avis complémentaire de la CNPD du 16 juin 2020,1 des amendements supplémentaires avaient été adoptés par la Commission de la Santé et des Sports. Sur proposition de l'avis du Conseil d'Etat du 16 juin 2020, la disposition en question a été modifiée en ce sens que l'article 8 nouveau (article 9 ancien) paragraphe
(5)du projet de loi n°7606 prenait la teneur suivante « les données à caractère personnel traitées sont anonymisées à l'issue d'une durée de trois mois à compter de la fin de l'état de crise tel que déclaré par le règlement grand-ducal modifié du 18 mars 2020 portant introduction d'une série de mesures dans le cadre de la lutte contre le Covid-19 et prorogé par la loi du 24 mars 2020 portant prorogation de l'état de crise déclaré par le règlement grand-ducal du 18 mars 2020 portant introduction d'une série de mesures dans le cadre de la lutte contre le Covid19. » A l'instar de la loi abrogée du 24 juin 2020 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre la pandémie Covid-19 et de la loi actuellement en vigueur du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19, le projet de loi sous avis prévoit en son article 10 paragraphe
(5)que « les données à caractère personnel traitées sont anonymisées à l'issue d'une durée de trois mois à compter de la fin de l'état de crise tel que déclaré par le règlement grand-ducal modifié du 18 mars 2020 portant introduction d'une série de mesures dans le cadre de la lutte contre le Covid-19 et prorogé par la loi du 24 mars 2020 portant prorogation de l'état de crise déclaré par le règlement grand-ducal du 18 mars 2020 portant introduction d'une série de mesures dans le cadre de la lutte contre le Covid-
- » La CNPD doit avouer que dans son avis n°16/2020 du 8 juillet 2020 concernant le projet de loi n°7622 devenu la loi précitée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19, il lui est échappé de soulever ce point. Or, comme la loi du 24 mars 2020 a prorogé l'état de crise déclaré par le règlement grand-ducal du 18 mars 2020 portant introduction d'une série de mesures dans le cadre de la lutte contre le Covid-19 jusqu'au 24 juin 2020, omettre de modifier ce point aurait comme conséquence que les données à caractère personnel précitées devront être anonymisées pour le 24 septembre 2020, c'est-à-dire trois mois à compter de la fin de l'état de crise. Ceci signifierait que comme l'article 18 du projet de loi sous examen prévoit que la future loi reste applicable jusqu'au 30 septembre 2020 inclus, les données à caractère personnel devraient être anonymisées avant la fin d'applicabilité de la loi. Par ailleurs, plus aucune donnée à caractère personnel ne pourrait être traitée par la direction de la santé à partir du 24 septembre
- 'Délibération n°14/2020 du 16 juin
- CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7634 modifiant la loi du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant : 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 2/3 La CNPD suppose que cette situation n'ait pas été souhaitée par les auteurs du projet de loi. Ainsi, elle suggère de prévoir comme point de départ, pour ce qui est de la durée après laquelle les données devront être anonymisées, la date de collecte des données ou à tout le moins le jour où la future loi cessera de produire ses effets. Ainsi décidé à Esch-sur-Alzette en date du 21 juillet
- La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date:2020.07.21 16:21:31 +0200' Tine A. Larsen Présidente CNPII signed by CHRISTOPHE Digitally Digitally sigried by CHRISTOPHE NICOLAS Thierry BUSCHMANN Thierry Lallemang NICOLAS Duatie1::25092+00.027,0.201 2020.07.21 Lallemang Date: BUSCHMANN 16:26:05 +02'00' Thierry Lallemang Commissaire Christophe Buschmann Commissaire Digitally signed Marc by Marc Ernest Ernest Jean-Pierre Jean-Pierre Lemme' Date: 2020.07.21 Lemmer 17:01:05 +0200' Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7634 modifiant la loi du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant : 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 3/3