Commission consultative des Droits de l'Homme du Grand-Duché de Luxembourg Avis sur le projet de loi n°7645 modifiant la loi du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et modifiant : 1° la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2° la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments Avis 8/2020 Conformément à l'article 2
(2)de la loi du 21 novembre 2008 portant création d'une Commission consultative des Droits de l'Homme (CCDH), le 30 juillet 2020, la CCDH a été saisie du projet de loi n°
- Ce dernier vise à apporter deux modifications à la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19, qui avait prolongé certaines mesures en place depuis la fin de l'état de crise. En premier lieu, le projet de loi vise à permettre le renforcement de la réserve sanitaire par le recrutement de tous les professionnels œuvrant dans le domaine de la santé ayant le savoir-faire requis, sans devoir se limiter, comme jusqu'à présent, aux médecins et autres professionnels exerçant une profession de santé au sens de la loi modifiée du 26 mars 1992 sur l'exercice et la revalorisation de certaines professions de santé. La CCDH se permet ici de faire un renvoi vers son avis du 9 juin 2020 dans lequel elle avait salué la décision de restreindre le cercle de personnes pouvant accéder aux données personnelles de personnes infectées ou à haut risque d'être infectées.1 En deuxième lieu, le projet de loi vise à permettre la poursuite, au-delà du 24 septembre 2020, du traitement des données à caractère personnel contenues dans le système d'information. Le présent avis se limitera à l'analyse de cette deuxième modification proposée par les auteurs du projet de loi. Actuellement, l'article 10, paragraphe 5, de la loi modifiée du 17 juillet 2020 prévoit une anonymisation des données à caractère personnel traitées à l'issue d'une durée de trois mois à compter de l'état de crise. Étant donné que l'état de crise avait été prorogé jusqu'au 24 juin 20202, les données précitées devraient par conséquent être anonymisées à partir du 24 septembre
- Or, comme la loi modifiée du 17 juillet 2020 restera applicable jusqu'au 30 septembre 2020 inclus, ceci signifierait que les données à caractère personnel devraient être anonymisées avant la fin d'applicabilité de la loi qui lui sert de base légale. Par ailleurs, tel que relevé par la Commission nationale pour la protection des données (CNPD) dans 3 « plus aucune donnée à caractère personnel ne pourrait être son avis du 16 juin 2020, traitée par la direction de la santé à partir du 24 septembre 2020 ». Afin d'éviter l'absence de base légale pour ladite période, le projet de loi sous avis vise à modifier l'article 10 actuel en prévoyant une anonymisation « au plus tard à l'issue d'une durée de trois mois après que la loi aura cessé de produire ses effets ». Selon les auteurs du projet de loi, il s'agirait d'« assurer une durée de conservation des données collectées dans le système d'information pendant le temps nécessaire à la gestion de la pandémie et à son évaluation (...) ».4 Étant donné que les mesures de lutte contre la pandémie Covid-19, y inclus la collecte des données à caractère personnel, seront continuées bien CCDH, avis 05/2020 sur le projet de loi n°7606, 9 juin 2020, disponible sur www.ccdh.public.lu. Loi du 24 mars 2020 portant prorogation de l'état de crise déclaré par le règlement grand-ducal du 18 mars 2020 portant introduction d'une série de mesures dans le cadre de la lutte contre le Covid-19, Mémorial A n°178, 24 mars
- 3 CNPD, Délibération n°13/2020 du 8 juin 2020, disponible sur www.cnpd.public.lu. 4 Projet de loi n°7645, Commentaire des articles, p.
- 1 2 1 au-delà du 30 septembre 2020, il semble évident que la législation réglementant ces mesures sera prolongée tant que le gouvernement l'estime nécessaire.5 Pendant tout ce temps, les autorités pourront traiter les données personnelles de personnes infectées ou à haut risque d'être infectées, y inclus celles enregistrées au début de l'état de crise. Ces données peuvent être conservées même si entretemps il est établi que les personnes, d'une part, ne sont plus testées positives au COVID ou, d'autre part, n'ont jamais été infectées.6 Si la CCDH admet que la collecte et la conservation de ces données peut s'avérer importante dans une logique de politique sanitaire et dans un contexte évolutif de connaissances sur l'épidémie, elle estime néanmoins que cet objectif ne peut à lui seul servir pour déterminer leur durée de conservation. La CCDH ne nie pas que dans des situations spécifiques et bien délimitées, un délai de conservation extensif, tel que prévu dans le projet de loi sous avis, pourrait être justifié. Elle regrette pourtant que les auteurs du projet de loi n'aient pas fournis des explications permettant à la CCDH d'établir la nécessité et la proportionnalité d'un tel régime. La CCDH est d'avis qu'aucune des finalités avancées par le gouvernement pour procéder au traitement des données personnelles (voir l'article 10 de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19) ne permet de justifier la conservation sous forme non-anonyme des données personnelles pour une durée qui reste actuellement indéterminée, d'autant plus que le paragraphe 6 de l'article 10 de la loi modifiée du 17 juillet 2020 prévoit que les données pseudonymisées peuvent être utilisées à des fins statistiques et de recherche scientifique ou historique. Dans ce contexte, la CCDH tient à rappeler que dès le début, une des propositions aussi bien de la CNPD7 que du Conseil d'État5, avait été celle de prévoir la date de la collecte des données comme point de départ pour fixer la durée après laquelle les données devraient être anonymisées. La CCDH estime que, dans un but de proportionnalité et de nécessité, une telle approche, plus stricte, serait à privilégier. En effet, aux yeux de la CCDH, prévoir l'anonymisation seulement trois mois après la cessation des effets de la loi précitée va au-delà de ce qui est nécessaire et est dès lors contraire au droit à la protection des données personnelles. Par ailleurs, la CCDH aimerait encore rappeler qu'il ne faut pas non plus attendre systématiquement l'écoulement de la période des trois mois pour procéder à l'anonymisation des données : Dès lors qu'elles ne sont plus nécessaires, les données doivent être anonymisées, ou pour le moins, pseudonymisées. 5 Voir les discussions entre la Ministre Paulette Lenert et les députés membres de la Commission de la Santé en date du 11 août 2020, disponible sur www.chdiu. Voir aussi les délibérations du Conseil de gouvernement du 28 août 2020 : « II est également prévu de prolonger la durée d'application de la loi modifiée du 17 juillet 2020 précitée jusqu'au 31 décembre 2020 inclus ». 6 Voir commentaire des articles de la loi du 24 juin 2020, « [p]our les personnes en isolement qui ont un résultat négatif après un premier test positif et pour les personnes en quarantaine qui ont un résultat négatif lors du test effectué à partir du cinquième jour, la durée des trois mois telle que prévue à l'article 8 nouveau (article 9 ancien), paragraphe 5, est applicable. », Projet de loi n°7606, Rapport de /a Commission de la santé et des sports, 20.06.2020 commentaire des articles, p.
- 7 CNPD, Délibération n° 13/2020 du 8 juin 2020, doc. parl. 7606/
- 8 Avis du Conseil d'Etat sur le projet de loi 7606, doc. parl. 7606/11, 16 juin
- 2 La CCDH s'interroge encore sur la durée de conservation limitée des données de journalisation prévue au paragraphe 5 de l'article 10 de la loi modifiée du 17 juillet
- La CCDH recommande de fixer cette durée à au moins cinq ans, pour la faire correspondre à la durée de prescription des délits en la matière.19 Pour le surplus, la CCDH se permet de faire un renvoi vers les différentes critiques et recommandations qu'elle avait déjà exprimées dans ses deux avis précédents.11 Étant donné que de nombreuses dispositions restent incompatibles avec les droits humains, la CCDH tient à rappeler avec véhémence que ses recommandations restent toujours de vigueur ; elle invite les auteurs du projet de loi à en tenir compte lors de futures modifications de loi en vigueur ou de l'élaboration d'un nouveau texte. Adopté par vote électronique le 28 août
- 9 Article 10 §5 de la loi modifiée du 17 juillet 2020 : « (...) Les données de journalisation qui comprennent les traces et logs fonctionnels permettant la traçabilité des accès et actions au sein du système d'information suivent le même cycle de vie que les données auxquelles elles se rapportent. Les accès et actions réalisés sont datés et comportent l'identification de la personne qui a consulté les données ainsi que le contexte de son intervention. » 10 Voir notamment l'avis de la CNPD sur le projet de loi n°6961 sur l'Autorité nationale de sécurité, Délibération n°60/2019 du 17 décembre 2019, p.
- Voir aussi l'article 509-1 du Code pénal. 11 Voir Avis 05/2020 du 9 juin 2020, Avis 06/2020 du 13 juillet 2020, Avis 07/2020 du 22 juillet 2020, disponibles sur www.ccdh.public.lu 3