Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 dé

(1), lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 21 juillet 2020, Monsieur le Ministre du Logement a invité la Commission nationale à se prononcer sur le projet de loi modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement (ci-après le « projet de loi ») et le projet de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement (ci-après le « projet de règlement grand-ducal »). A titre de remarque liminaire, il y a lieu de relever que l'article 1er, dernier alinéa, de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement (ci-après la « loi du 23 décembre 2016 ») continue à renvoyer à la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Or, cette loi a été abrogée par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Il conviendrait dès lors de supprimer ce renvoi et de se référer dorénavant à la législation actuellement en vigueur. [ CNPI:1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement et au projet de de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement 1/7 l. L'abrogation du règlement grand-ducal Les auteurs du projet de loi se proposent d'abroger le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 et d'insérer ces dispositions directement dans la loi. Ainsi, les dispositions du règlement grand-ducal précité se retrouveraient désormais aux articles 4, paragraphe

(5), et 5, paragraphe

(1), alinéa 2, de la loi du 23 décembre 2016, tel que modifié par le projet de loi. La CNPD salue une telle modification alors qu'elle l'avait suggérée dans son avis du 25 novembre 2016 relatif au projet de loi n°

1. Toutefois, vu les autres modifications que les auteurs du projet de loi entendent apporter à la loi du 23 décembre 2016, la Commission nationale se demande s'il est toujours opportun d'insérer dans la loi l'énumération des données à caractère personnel pouvant être échangées entre autorités étatiques. La CNPD y reviendra infra au point Ill. du présent avis.
2. Le changement de terminologie Les auteurs du projet de loi indiquent dans l'exposé des motifs vouloir profiter de l'occasion « pour préciser le texte à certains endroits, lequel prévoit maintenant une terminologie plus appropriée ». Des explications à cet égard ne sont toutefois pas fournies dans l'exposé des motifs ni dans le commentaire des articles. Or, la Commission nationale se demande si les termes de « données à caractère personnel » et de « fichiers », ne seraient pas plus appropriés que les termes « informations » ou « renseignements », utilisés dorénavant dans l'ensemble du projet de loi, pour des raisons de cohérence avec le RGPD qui définit ces notions dans son article 4, paragraphes

(1)et

(6). L'utilisation de notions définies par le RGPD permettrait en outre une meilleure compréhension du dispositif sous avis. En effet, à titre d'exemple, la version initiale du paragraphe

(3)de l'article 4, qui utilisait le terme « fichier », permettait une meilleure compréhension du dispositif, alors que la nouvelle terminologie employée, à savoir « accès aux fishief renseignements du ministre ayant l'Environnement dans ses attributions » et « accès aux fishier renseignements du ministre ayant le Logement dans ses attributions », est susceptible de porter à confusion. CNP6 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement et au projet de de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement 2/7 Par ailleurs, les auteurs du projet de loi précisent à l'article 4, paragraphe

(4), tel que modifié par le projet de loi, que les demandeurs et les bénéficiaires d'aides au logement doivent donner leur consentement « explicite ». La Commission nationale se demande ce que les auteurs entendent lorsqu'ils souhaitent préciser le caractère « explicite » du consentement. En tout état de cause, il y a lieu de rappeler qu'en matière de protection des données, le consentement est défini par l'article 4, paragraphe

(11), du RGPD (ce qui implique qu'il doit être « libre, spécifique, éclairé et univoque ») et que son recueil doit s'effectuer conformément aux dispositions légales de l'article 7 du RGPD. Dès lors, le consentement des demandeurs et des bénéficiaires d'aides au logement devra être donné conformément aux dispositions légales du RGPD, de sorte que le terme explicite peut être considéré comme superflu. 111. La création de nouveaux fichiers Selon le texte actuellement en vigueur, le ministre ayant le Logement dans ses attributions et le ministre ayant l'Environnement dans ses attributions ont accès à des fichiers externes pour les finalités détaillées dans le texte précité, tandis que le projet de loi sous avis prévoit à l'article 4, paragraphes

(1)et

(2), que les ministres se voient communiquer par les autorités étatiques, énumérées aux paragraphes précités, certaines données à caractère personnel, « informations nécessaires » ou « renseignements pertinents ». Faut-il comprendre que, contrairement au système actuel prévoyant une consultation de fichiers externes par le ministre ayant le Logement dans ses attributions et par le ministre ayant l'Environnement dans ses attributions, ces derniers sont désormais destinataires de données issues de tels fichiers ? Les ministres sont-ils dès lors amenés à tenir des fichiers dans lesquels figureront de telles données ? Si tel devait être le cas, la CNPD tient à réitérer ses observations formulées dans son avis du 25 novembre 2016 relatif au projet de loi n0 70541 et rappelle que la tenue d'un fichier de données à caractère personnel collectées et traitées par une autorité étatique doit reposer sur une base légale conformément à l'article 6, paragraphe

(3)du RGPD. 1 La CNPD avait notamment relever dans son avis du 25 novembre 2016 relatif au projet de loi n°7054 qu'« 1.eln l'absence de consentement de la personne concernée à ce que les ministres compétents vérifient directement dans les fichiers détenus par d'autres administrations les informations nécessaires à l'instruction des demandes d'aides au logement, les personnes concemées disposent en principe d'une altemative consistant à fournir elles-mêmes des pièces justificatives comportant des informations issues desdits fichiers et documentant leur situation administrative. Il en résulte une nécessité d'encadrer au-delà de l'hypothèse d'un consentement préalable des personnes concernées, les cas où les ministres concernés seraient rendus destinataires de données issues de bases de données administratives gérées par d'autres administrations. La CNPD estime essentiel que l'encadrement normatif sur ce point figure dans la loi » [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement et au projet de de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement 3/7 Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal [...] ». Le considérant 41 du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme'. En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Ainsi, pour que la licéité du traitement dans le secteur public soit assurée, il faut disposer d'un texte normatif national ou supranational qui peut amener une administration ou un service à devoir traiter des données pour remplir ses missions

1. S'il ne faut pas qu'un texte prescrive spécifiquement un traitement de données, « la finalité du traitement doit cependant être précise, dans la mesure où le texte amenant l'administration à traiter des données doit permettre aux administrés d'en déduire la nature des données et les fins pour lesquelles celles-ci sont utilisées »4.La Commission nationale estime donc indispensable, dans l'hypothèse où les ministres susvisés, tiennent un ou plusieurs fichiers, en tant que responsables du traitement, que 2 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°
2. 3 M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°619 4 M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°619 [ CNPDmal Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement et au projet de de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement 4/7 le présent projet de loi prévoit les dispositions légales portant création de tels fichiers. Celles-ci devront contenir les éléments cités ci-avant. Dans la mesure où les dispositions de l'article 3 alinéa 2 de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement5 semblent d'ores et déjà prévoir la tenue d'un fichier par le ministre ayant le Logement dans ses attributions, celles-ci devraient être complétées alors qu'elles sont formulées de manière trop vague. Lesdites dispositions devraient notamment préciser que le ministre précité aura la qualité de responsable du traitement et que le fichier contiendra, outre les données actuellement visées par l'article 3 de la loi précitée, les données reçues par ledit ministre par les administrations visées à l'article 4, tel que modifié, par le projet de loi. Par ailleurs, des dispositions similaires concernant la tenue d'un fichier par le ministre ayant l'Environnement dans ses attributions devraient également être insérées à l'article 3 précité alors que cela n'est pas précisé actuellement par le texte sous avis. En tout état de cause, si la volonté des auteurs du projet de loi est de prévoir une communication de données aux ministres précités par les administrations visées aux paragraphes

(1)et

(2)de l'article 4 précité, alors cela devrait clairement être reflété dans l'ensemble du projet de loi. Ainsi, il conviendrait d'adapter en conséquence la terminologie utilisée à l'article 4, paragraphe

(4), et à l'article 5, paragraphe

(1), tels que modifiés par le projet de loi, alors que ces articles continuent notamment à faire respectivement référence à l'« accès aux renseignements du registre national et du répertoire général » et aux « accès par les ministres aux renseignements à partir des fichiers énumérés à l'article 4 (...) ». L'échange de données entre le ministre ayant le Logement dans ses attributions et le ministre ayant l'Environnement dans ses attributions nt. L'article 4, paragraphe

(3), tel que modifié par le projet de loi, maintient un échange de données entre le ministre ayant le Logement dans ses attributions et le ministre ayant l'Environnement dans ses attributions par le biais d'un accès respectif à leurs fichiers. 5 L'article 3 alinéa 2 de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement dispose que : « Après la collecte et la saisie des demandes d'aides relatives au logement et des pièces y relatives, les données à caractère personnel sont transférées vers des supports de données sûrs auxquels l'agent du ministre ayant le Logement dans ses attributions ayant effectué la collecte et la saisie n'a pas accès » CNPD dm! Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement et au projet de de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement 5/7 Cependant, les catégories de données sur lesquels portent cet échange ne sont pas précisées de sorte que la Commission nationale n'est pas à même de se prononcer sur le caractère nécessaire et proportionné de l'échange de données tel que visé au paragraphe

(3)précité. ll conviendrait dès lors que le projet de loi indique a minima les catégories de données qui seraient échangées entre lesdits ministres. En outre, dans la mesure où le projet de loi prévoit une communication spécifique de données issues de fichiers administratifs pour chacun des ministres précités, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que cet échange de données ne doit pas permettre aux ministres d'obtenir de manière indirecte des données à caractère personnel issues de fichiers d'autorités étatiques pour lesquels ils n'ont pas accès en vertu du projet de loi sous avis. La communication de « renseignements » par d'autres autorités V. Suivant l'exposé des motifs, le projet de loi sous avis entend prévoir dans la loi du 23 décembre 2016 « dans quelle mesure et sous quelles conditions le ministère du Logement peut obtenir la communication de renseignements de la part de l'Administration des contributions directes respectivement de la Caisse pour l'avenir des enfants, lesquelles ne figurent pas encore parmi les autorités énumérées à l'article 4 de /a prédite loi de 2016 (...) ». Il y a lieu de constater que l'article 4, paragraphe

(1), point 1°, tel que modifié par le projet de loi, énumère les données personnelles pouvant être transmises par l'Administration des contributions directes au ministre ayant le Logement dans ses attributions. De telles précisions ne sont toutefois pas apportées pour les données qui seraient transmises au ministre ayant le Logement dans ses attributions et au ministre ayant l'Environnement dans ses attributions en vertu des paragraphes

(1), point 2° à 4° et

(2)de l'article 4, tel que modifié par le projet de loi. Cependant, l'article 4, paragraphe

(5), tel qu'issu du projet de loi, qui est la reprise de l'article 1er du règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016, énumère les catégories de données à caractère personnel pouvant être communiquées « à partir des fichiers énumérés aux paragraphes l er et 2 » aux ministres précités, sans préciser quelles autorités transmettent quelles données à quel ministre. La Commission nationale se demande, dès lors, comment s'articulent les dispositions spécifiques de l'article 4, paragraphe

(1), point 10 avec celles générales de l'article 4, paragraphe

(5). [ CNPF MU. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement et au projet de de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement 6/7 Ainsi, dans un souci de cohérence de la structure interne de l'article 4, tel que modifié par le projet de loi, il serait judicieux que les auteurs du projet de loi précisent pour chaque communication de données visée aux paragraphes

(1)et

(2)de l'article précité quelles sont les catégories qui pourraient être transmises aux ministres et de supprimer en conséquence le paragraphe

(5)de l'article 4, dont les dispositions deviendraient superfétatoires. Finalement, ne serait-il pas plus pertinent de prévoir que les données d'identification des personnes concernées qui seraient transmises aux ministres afin qu'ils en vérifient l'authenticité et l'exactitude ne soient communiquées que par l'administration qui tient le registre national au sens de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques, plutôt que de prévoir que ces données soient communiquées par l'Administration des contributions directes ? Ainsi décidé à Belvaux en date du 2 décembre

1. La Commission nationale pour la protection des données Digitally signed by Tine Tine Annemarie Annemarie Larsen Date: 2020.12.02 Larsen 09:57:11 +01'00' Tine A. Larsen Présidente CNPI1 Digitally signed by CHRISTOPHE Thierry Thierry Lallemang NICOLAS Lallemang Dvial e9: :24002+%11%00? BUSCHMANN Thierry Lallemang Commissaire Digitally signed by CHRISTOPHE NICOLAS BUSCHMANN Date: 2020.12.02 10:49:56 +01'00' Christophe Buschmann Commissaire signed by Marc Ernest Digitally Marc Ernest JeanJean-Pierre Pierre Lemmer 1D1a t5e7: 23 04
2. 12.002 Lemmer : + 10 Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7639 modifiant la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement et au projet de de règlement grand-ducal abrogeant le règlement grand-ducal du 23 décembre 2016 fixant les mesures d'exécution de la loi du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement 7/7