Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7645 modifiant la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant: 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. Délibération n° 22/2020 du 10 septembre 2020 Conformément à l'article 57, paragraphe Ier, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». En date du 3 septembre 2020, Madame la Ministre de la Santé a saisi la Commission nationale à se prononcer sur une série d'amendements gouvernementaux relative au projet de loi n° 7645 modifiant la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant : 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments (ci-après le « projet de loi »). Lesdits arnendements ont été approuvés par le Conseil de gouvernement dans sa séance du 28 août 2020 et par vidéoconférence en date du 2 septembre
- Dans un courrier du 5 août 2020 à l'attention de Madame la Ministre de la Santé,' la CNPD avait fait suite à la demande d'avis initial concernant précisément le projet de loi n°
- Dans ledit courrier, la CNPD avait constaté que les auteurs dudit projet de loi avaient suivi son argumentation2 en ce qui concerne le point de départ de la durée après laquelle les données à caractère personnel figurant dans le système d'information mis en place par le directeur de la santé afin de suivre l'évolution de la propagation du virus SARS-CoV-2 devraient être Ledit courrier a été publié sur le site internet de la Chambre des députés, disponible sous le lien suivant : https://chd.lu/wpsiPA RoleDesAffaires/FT SByteServingServletImpl?path=87A9599EDE62F169AA77DC4B5C45 083FF023D14E8B8E9616EA6C696E2FE1ACB1E9929DE543686AC5030E1A17713559968$6872A85BA47B8A C5380CCB9F515EA5DO. 2 Comme précisé dans l'avis n°18/2020 cie la CNPD du 21 juillet 2020 relatif au projet de loi n°7634 devenu la loi abrogée du 24 juin 2020 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre la pandémie Covid-
- CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7645 modifiant la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant: 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 1/4 anonymisées. En effet, l'article 10 paragraphe
(5)de la version initiale du projet de loi prévoyait que les données à caractère personnel traitées sont anonymisées au plus tard à l'issue d'une durée de trois mois après que la loi aura cessé de produire ses effets. Pour cette raison, la CNPD n'avait pas estimé nécessaire d'aviser à ce moment-là le projet de loi sous objet. Par l'amendement gouvernemental n°6, Madame la Ministre de la Santé propose d'amender le libellé du nouvel article 6 (ancien article 2) du projet de loi n°7645 en ce sens que l'article 10 paragraphe
(5)de la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 prévoit dorénavant que les données à caractère personnel en cause ne sont plus anonymisées, mais pseudonymisées, et ceci dans un délai de trois mois après leur collecte. En ce qui concerne tout d'abord la fixation du point de départ de la durée après laquelle les données à caractère personnel devront être pseudonymisées, la CNPD ne peut, dans un but de proportionnalité et de nécessité, que soutenir le choix de prendre la date de collecte des données et non plus le jour où la future loi cessera de produire ses effets, surtout si on prend en compte la volonté du gouvernement de prolonger l'applicabilité de la loi précitée du 17 juillet 2020 au 31 décembre 2020 inc1us3. Or, la Commission nationale ne peut pas approuver la décision d'insérer dans le projet de loi sous examen uniquement une obligation pour la direction de la santé de pseudonymiser et non pas d'anonymiser, voire de supprimer les données collectées après un certain délai. Le commentaire de l'amendement n°6 ne précise d'ailleurs pas pourquoi le terme « anonymisées » a été remplacé par le terme « pseudonymisées ». La Commission nationale tient à préciser dans ce contexte qu'elle salue la mise en place d'une procédure de pseudonymisation des données traitées par la direction de la santé, une telle procédure étant à considérer comme une des mesures techniques et organisationnelles que le responsable du traitement peut être amenée à mettre en place, afin d'atténuer les risques pour les personnes concernées.' Or, il est essentiel de savoir que les données à caractère personnel qui ont fait l'objet d'une pseudonymisation peuvent par définition toujours être attribuées à une personne physique déterminée par le recours à des informations supplémentaires.5 Ainsi, la CNPD ne peut pas être d'accord avec l'affirmation des auteurs des amendements dans le commentaire de l'amendement n°6 du projet de loi qu'il « convient encore de retenir le procédé de la pseudonymisation qui empêche que les données à caractère personnel soient reliées à ('identité originale d'une personne physique ». Par conséquent, comme les données pseudonymisées sont toujours à considérer comme des informations concernant une personne physique indirectement identifiable, le RGPD s'applique intégralement à leur traitement. Ce n'est que si les données à caractère personnel 3 Comme prévu par l'amendement n°7 du projet de loi. 4 Comme prévu par l'article 32 paragraphe
(1)lettre a) du RGPD, à voir aussi l'article 25
(1)du RGPD qui dispose que: « [...] le responsable du traitement met en œuvre, tant au moment de la détennination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les pnncipes relatifs à la protection des données » 5 L'article 4 point
(5)du RGPD définit la pseudonymisation comme « traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable. » eveK. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7645 modifiant la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant: 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 214 sont rendues totalement anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable, par quelque moyen que ce soit, que le RGPD ne s'applique plus.6 Or, comme ceci n'est pas le cas en l'état actuel du texte du projet de loi, il se pose un certain nombre de questions relatives au traitement des données pseudonymisées, comme par exemple : qui gère la pseudonymisation ? A-t-on recours à un sous-traitant ? Comment la pseudonymisation est-elle effectuée d'un point de vue technique ? Qui peut faire une réidentification et qui contrôle, le cas échéant, la légitimité de ces ré-identifications ? Si les données sont pseudonymisées pour faire un suivi sur du long terme, quelles sont les finalités poursuivies ? Est-ce que les données sont pseudonymisées à des fins de recherches scientifiques ou statistiques ou la pseudonymisation des données constitue-t-elle une mesure de sécurité technique et organisationnelle ou poursuit-on ces deux finalités ? Les données pseudonymisées sont-elles mises à la disposition de tiers à des fins de recherches scientifiques ? Par ailleurs, comme le RGPD s'applique intégralement aux données pseudonymisées, les auteurs du projet de loi n°7645 doivent impérativement prendre en compte l'article 5 paragraphe
(1)lettre (e) du RGPD prévoyant que les données à caractère personnel peuvent uniquement être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Il ressort par ailleurs du considérant
(45)du RGPD que lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement, il devrait appartenir au droit de l'Union ou au droit d'un Etat membre d'établir, entre autres, la durée de conservation des données. De plus, l'article 5 paragraphe
(1)lettre (b) du RGPD prévoit que les données à caractère personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ». Ainsi, comme déjà mentionné dans son avis 13/2020 du 8 juin 2020 relatif au projet de loi n° 7606, la CNPD rappelle que « la durée de conservation doit être déterminée en fonction de l'objectif ayant conduit à la collecte des données en cause. Une fois cet objectif atteint, ces données devraient être supprimées ou anonymisées (afin notamment de produire des statistiques). » Par ailleurs, comme susmentionné et en tenant compte du fait que la législation réglementant les mesures de lutte contre la pandémie Covid-19 sera, le cas échéant, prolongée tant que le législateur l'estime nécessaire, la Commission nationale favorise dorénavant comme point de départ de la durée après laquelle les données à caractère personnel devront être pseudonymisées la date de collecte des données et non pas le jour où la future loi cessera de produire ses effets. Elle s'aligne dans ce contexte à l'avis de la Commission consultative des Droits de l'Homme du 28 août 2020 concernant le projet de loi sous examen qui estime de même que « dans un but de proportionnalité et de nécessité, une telle approche, plus stricte, serait à privilégier. » Pour conclure, au regard du RGPD il est ainsi nécessaire et primordial de définir dans le corps du texte du projet de loi une durée de conservation des données à caractère personnel conservées sous forme pseudonymisée au sein du système d'information de la direction de la santé qui soit proportionnée au regard de la finalité poursuivie, c'est-à-dire que le projet de loi 6 Voir le considérant
(26)du RGPD. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7645 modifiant la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant: 1' la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 3/4 devrait préciser un délai au bout duquel les données pseudonymisées ou non devraient être supprimées définitivement ou totalement anonymisées au sens du RGPD, En l'absence d'une telle disposition, il y a lieu de conclure que les données pseudonymisées peuvent être conservées sans limitation dans le temps, ce qui serait incompatible avec les règles du RGPD. Ainsi décidé à Belvaux en séance plénière et adopté à distance à l'unanimité des quatre Commissaires en date du 10 septembre 2020. Pour la Commission nationale pour la protection des données Tine A. Larsen Présidente [ CNPD •••.10., web Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7645 modifiant la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant: 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments. 4/4