← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs. Délibération n°52/AV30/2021 du 29 novembre 2021. Conformément à l'article 57, paragraphe ler, lettre

  1. c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». N'ayant pas été directement saisie par Madame la Ministre de la Justice, ni au stade de l'avantprojet, ni au stade du projet de loi, la Commission nationale souhaite néanmoins se prononcer quant au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs (ci-après le « projet de loi »), tel qu'amendé en date du 4 mai 2021, et quant aux interactions de ce dernier avec le cadre légal relatif à la protection des données à caractère personnel. Le présent avis suit le texte coordonné tel qu'amendé'. L'autosaisine de la Commission nationale intervient dans le cadre des nombreux traitements de données à caractère personnel, entre autres de données de santé, réalisés aux fins de l'exercice de l'accès à la connaissance de ses origines et affectant les aspects les plus intimes de la vie privée des personnes concernées. Bien que la Commission nationale ne souhaite nullement remettre en cause la légitimité des nouvelles mesures introduites par le projet de loi, elle souligne cependant que des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être mises en oeuvre. La Commission nationale soulève dès lors la nécessité de prévoir des mesures juridiques, organisationnelles et techniques afin d'assurer un haut niveau de protection des données à caractère personnel. l. Observations transversales A. Remarques liminaires A titre liminaire, il y a lieu de soulever une question quant au champ d'application du projet de loi sous avis. En effet, les titres du second chapitre, et en particulier celui de la première section ' Document parlementaire N°7674/02 CNPli Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 1122 de ce chapitre, incitent à penser que seuls les enfants nés sous secret qui seront par la suite adoptés auraient le droit à connaître leurs origines, tandis que des enfants nés sous secret, et qui ne feront pas l'objet d'une adoption, ne disposeraient pas de ce droit. Cette interprétation est confortée par l'intitulé du projet de loi ainsi que par l'article 4. paragraphe 3, qui dispose que « Ne traitement de ces données est nécessaire aux fins de la mise en œuvre de la recherche de l'accès d'un enfant à ses origines dans le cadre de l'adoption ou d'une procréation médicalement assistée avec tiers donneurs ». Or, la CNPD ne perçoit pas la raison de cette différence de traitement, d'autant plus qu'il est impossible de savoir au moment de l'accouchement si l'enfant fera l'objet d'une adoption. Une telle distinction aurait pour conséquence que les enfants nés sous secret et qui ne sont pas adoptés par la suite n'ont pas le droit de se voir communiquer les informations qui ont été collectées à leur propos en application du projet de loi. De plus, le projet de loi n°6568A portant réforme de la filiation tel qu'amendé ne prévoit pas une telle différence de traitement dans la mesure où le nouvel article 312bis du Code civil dispose que « ['l'enfant a le droit d'avoir, dans la mesure du possible, accès à ses origines. ». Le commentaire des articles précise que Nes dispositions de cet article sont applicables qu'il s'agisse d'accès aux données relatives aux origines d'une personne en cas d'accouchement sous X, d'adoption plénière, de procréation médicalement assistée ou de gestation pour autrui ». Une attention particulière devra partant être accordée à l'articulation du projet de loi sous avis avec le projet de loi n°6568A. Encore à titre liminaire, il convient de clarifier que le droit d'accès aux origines d'un enfant, ne doit pas être confondu avec le droit d'accès de la personne concernée à des données personnelles le concernant tel que prévu à l'article 15 du RGPD. A ce titre, il y a lieu de rappeler que le droit d'accès au sens de l'article 15 du RGPD confère aux personnes concernées le droit de s'adresser directement au responsable du traitement afin de demander confirmation que des données à caractère personnel le concernant sont ou ne sont pas traitées. Ce même droit confère à la personne concernée d'obtenir une copie des données à caractère personnel faisant l'objet d'un traitement, pour autant que cette copie ne porte pas atteinte aux droits et libertés d'autrui (limitation prévue à l'article 15, paragraphe 4 du RGPD). A titre d'exemple, un enfant concerné pourrait exercer son droit d'accès sur base de l'article 15 du RGPD auprès de l'hôpital dans lequel il est né. L'hôpital en question est dès lors tenu, en prenant en compte les éventuelles limitations prévues à l'article 15 du RGPD, à communiquer à l'enfant l'intégralité des données le concernant. Or, cet exercice du droit d'accès sur base de l'article 15 du RGPD ne doit pas être confondu avec l'exercice du droit d'accès à ses origines qu'entend mettre en place le présent projet de loi en ce que ce dernier droit d'accès s'adresse à un autre responsable du traitement (le ministre en l'occurrence) et ne pourra guère être limité tel que le droit d'accès prévu par le RGPD (pas de copie si la demande porte atteinte aux droits et libertés d'autrui - article 15, paragraphe 4 du RGPD). Par ailleurs, l'article ier du projet de loi prévoit que « l'accès à ses origines ne fait naître ni droit ni obligation au profit ou à la charge de qui que ce soit ». Cette disposition est particulièrement ambiguë, étant donné que l'objectif du projet de loi est précisément d'instaurer le droit à l'accès à ses origines. Il crée également des obligations, telles que par exemple à l'article 20 qui prévoit, dans le cadre de la procréation médicalement assistée avec tiers donneurs (ci-après « /a PMA »), l'obligation pour les auteurs du projet parental de procéder à la déclaration spontanée de certaines informations au ministre ayant dans ses attributions le projet de loi (ciaprès le « ministre »). La Commission nationale estime, au regard du commentaire des CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 2/22 articles, qu'il était dans l'intention des auteurs du projet de loi de ne pas créer cies obligations et droits en matière de filiation. Elle se rallie dès lors à la suggestion émise par le Conseil d'Etat dans son avis du 16 juillet 20212 de supprimer cet article. B. Quant à l'article 6, paragraphe 3, du RGPD Selon l'article 6, paragraphe ler du RGPD, un traitement n'est licite que si au moins une des conditions y énumérées est remplie. La Commission nationale comprend que le projet de loi sous avis entend créer une condition de licéité au sens de l'article 6, paragraphe 1er lettre
  2. c)du RGPD, à savoir que le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis. Or, l'article 6, paragraphe 3 du RGPD dispose que « jlje fondement du traitement visé au paragraphe I, points
  3. c)et e), est défini par: I. le droit de l'Union,. ou 2. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe I, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l'Union ou le droit des États membres répond à un objectif d'intérêt public et est proportionné à l'objectif légitime poursuivi. » Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « H appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère 2 Avis n°60.376 du 16 juillet 2021 du Conseil d'Etat sur le projet de loi portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assisté avec tiers donneurs, p.4. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 3/22 personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal [...] ». Le considérant
(41)du RGPD énonce encore que « Norsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme ». Bien que le projet de loi fournisse une base légale pour les traitements en cause en spécifiant un certain nombre d'éléments, tels que les finalités des traitements ou encore la durée de conservation des données, certains points ne sont pas suffisamment précisés dans le projet de loi. La CNPD reviendra ultérieurement sur ce point mais tient d'ores et déjà à soulever la mention, dans la fiche financière du projet sous avis, de la création d'un « outil informatique pour la sauvegarde des données à caractères confidentielles hautement sensibles ». En effet, ni le projet de loi lui-même, ni l'exposé des motifs ne font référence à cet outil informatique. Il y a, dès lors, lieu de s'interroger sur son utilisation dans le cadre de l'exercice de l'accès aux origines, en particulier en ce qui concerne un éventuel traitement des données à caractère personnel effectué à l'aide de cet outil. Quelles données sont appelées à figurer dans cet outil ? Comment cet outil est-il alimenté ? Dans le cadre de l'accouchement sous secret notamment, est-ce que cela signifie qu'une personne habilitée ouvre les plis reçus pour insérer ensuite les informations dans l'outil informatique ? Quel est ensuite le sort du support physique ? Est-ce que des sous-traitants agissent dans l'exploitation et la gestion de cet outil ? Il conviendrait de répondre à ces différentes questions dans le texte du projet de loi. Des mesures de sécurité techniques et organisationnelles appropriées et adaptées aux risques, compte tenu de la sensibilité des données, devront en tout état de cause être mises en place par le ou les responsables de traitement conformément à l'article 32 du RGPD. En outre, en cas de recours à des sous-traitants, les obligations qui incombent tant au responsable du traitement qu'aux sous-traitants en application des articles 28 et 29 du RGPD auront vocation à s'appliquer.
  1. Quant aux rôles des différents intervenants Bien qu'il y ait lieu de féliciter les auteurs du projet de loi d'avoir pris le soin de déterminer le ministre comme responsable du traitement3, des imprécisions quant aux rôles des différents intervenants subsistent. En effet, il ressort du commentaire des articles que les établissements hospitaliers jouent un rôle important lors des accouchements sous secret dans la mesure où ils constituent le plus souvent « le premier et le seul contact des futures mères en cause »
  2. 3 Article 4, paragraphe 1 du projet de loi 4 Voir commentaire de rarticle 5 du projet de loi [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 4/22 Ainsi, l'article 5 du projet de loi dispose que l'établissement hospitalier doit informer le ministre de l'accouchement sous secret et fournir aux parents de naissance un certain nombre d'informations. Les mêmes obligations incombent à tout autre professionnel encadrant la naissance qui a lieu dans un autre endroit qu'un établissement hospitalier. En vertu de l'article 6 du projet de loi, il appartient à l'établissement hospitalier ou à tout autre professionnel ayant encadré la naissance de collecter un certain nombre d'informations concernant les parents de naissance et de les transmettre au ministre. Dans le cadre des articles 16 et 17 qui traitent des « autres adoptions nationales » ainsi que des « adoptions internationales », d'autres acteurs sont appelés à fournir des informations à savoir les « autorités judicaires », « l'autorité centrale pour l'adoption au sens de la Convention de La Haye du 29 mai 1993 sur la protection des enfants et la coopération en matière d'adoption internationale, les organismes autorisés et habilités pour l'adoption conformément à la loi du 31 janvier 1998 portant agrément des services d'adoption et définition des obligations leur incombant » et « tout autre organisme ou autorité nationale intervenus dans le cadre de l'adoption ». Les articles 19 et 20 du chapitre 3 (l'accès à la connaissance de ses origines dans le cadre d'une procréation médicalement assistée avec tiers donneur) du projet de loi introduisent encore d'autres acteurs susceptibles à fournir des données à caractère personnel, à savoir les « auteurs du projet parental », les « centres de fécondation » ainsi que « tout médecin chargé de mettre en œuvre la procréation médicalement assistée ». Si l'article 4, paragraphe ler du projet de loi détermine expressément le ministre comme responsable de traitement, il n'existe pas une telle clarté pour les autres acteurs. En effet les autres acteurs énoncés par le projet de loi, tel que par exemple l'établissement hospitalier ou tout autre professionnel ayant encadré la naissance dans le cadre de l'accouchement sous secret, voire pour la PMA les auteurs du projet parental ou les centres de fécondation, ou pour les autres adoption nationales et internationales les autorités judiciaires ou l'autorité centrale pour l'adoption, occupent un rôle primordial dans la collecte des données personnelles et leur transmission subséquente au responsable du traitement. Or, il est important de déterminer dans le projet de loi le rôle des différents intervenants alors que les notions de « responsable du traitement », « responsable conjoint du traitement » et « sous-traitant » sont essentielles pour l'application du RGPD dans la mesure où elles déterminent qui est responsable du respect des règles relatives à la protection des données et comment les personnes concernées peuvent exercer leurs droits. Le projet de loi devrait dès lors indiquer clairement si tous ces intervenants sont à considérer comme responsables du traitement à part entier, responsables conjoints du traitement ou comme sous-traitants. Par ailleurs, comme d'après la rédaction actuelle du texte le ministre est à considérer comme seul responsable du traitement, la Commission nationale se demande si ce constat implique qu'il y a création d'un fichier centralisé de données à considérer comme hautement sensibles. En effet, l'obligation qui incombe aux différents acteurs de fournir des informations au responsable du traitement implique que ceux-ci occupent une fonction de source d'information du ministre qui, pour sa part, conserve et gère les informations. CNP61 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 5/22 Dans ce contexte, il convient d'attirer l'attention des auteurs du projet de loi sur les lignes directrices élaborées par le Comité Européen de la Protection des Données qui sert de guidance aux acteurs dans la détermination de leurs rôles respectifs pour les traitements de données personnelles
  3. Ill. Quant aux finalités En vertu du principe de limitation des finalités prévu à l'article 5, paragraphe ler, lettre b), du RGPD, les données à caractère personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes ». Les objectifs poursuivis doivent être choisis et connus avant le début du traitement, De plus, ils doivent être définis de manière précise et se référer à un ou plusieurs buts précis (finalités déterminées et explicites). S'il y a lieu de féliciter les auteurs du projet de loi pour avoir précisé les finalités des traitements qui seraient mis en œuvre par le ministre à l'article 4, paragraphe 3, du projet de loi, les dispositions sont toutefois rédigées de manière trop vague en ce qu'elles se limitent à prévoir que « Ne traitement de ces données est nécessaire aux fins de /a mise en œuvre de la recherche de l'accès d'un enfant à ses origines dans le cadre de t'adoption ou d'une procréation médicalement assistée avec tiers donneurs ». En effet, à la lecture du projet de loi, il y a lieu de constater que la recherche de l'accès d'un enfant à ses origines s'articule principalement autour de quatre objectifs : la constitution de dossiers par le ministre sur base d'informations reçues en vertu des articles 6, 10(3°), 10(4°), 10(5°), 20, 27 ou recherchées en vertu des articles 16, 17 et 25 paragraphe 3 ; la gestion par le ministre des demandes d'accès reçues par les enfants en vertu des articles 11 et 22 du projet de loi ; - la gestion par le ministre des demandes du ou des parents de naissance s'enquérant de la recherche éventuelles par l'enfant en vertu de l'article 10 (6') du projet de loi ; - la communication aux enfants de leurs dossiers et/ou des informations collectées. Ainsi, les dispositions de l'article 4, paragraphe 3 du projet de loi sont trop générales en ce qu'elles ne permettent pas de couvrir la pluralité des finalités des traitements qui seraient mis en œuvre par le ministre dans le cadre du projet de loi. Par exemple, et tel que relevé par le Conseil d'Etat, dans son avis du 16 juillet 2021, quant à aux dispositions de l'article 25, paragraphe
(3), du projet de loi qui prévoient que le ministre peut consulter les archives de la juridiction ayant prononcé l'adoption ou si nécessaire consulter les dossiers de protections internationales s'il y a un indice que l'un ou les deux parents de naissance étaient bénéficiaires d'une telle protection, qu'une telle consultation « réside dans la recherche d'indices sur l'identité des parents de naissance. Le Conseil d'Etat considère que, dans une optique de protection des données, il s'agit d'une finalité qui doit être mentionnée dans /e texte »6 . Guidelines 07/2020 on the concepts of controller and processor in the GDPR (uniquement disponible en anglais) 6 Voir observations formulées par le Conseil d'Etat au sujet de l'article 25 du projet de loi dans son avis n°60.376 du 16 juillet 2021 du Conseil d'Etat sur le projet de loi portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assisté avec tiers donneurs. p
  1. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n'7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 6/22 En outre, l'article 10 du projet de loi, points 9' et 100 , dispose que le ministre a pour mission de « gérer et traiter les informations recueillies » et « de revoir et de gérer les demandes d'accès à la connaissance de ses origines des personnes visées à l'article 11 ». De plus, en vertu de l'article 21 point 3° du projet de loi, le ministre a encore pour mission « de recevoir, de gérer et de traiter les informations visées à l'article 20 ». Or, en l'absence d'explications dans le commentaire des articles, il y a lieu de s'interroger sur les traitements de données personnelles qui seraient mis en oeuvre dans le cadre de cette mission. La Commission nationale se demande s'il ne serait pas opportun de clarifier les différents traitements de données qui seraient mis en œuvre par le ministre dans le cadre de ses missions, aussi dans un optique d'améliorer la sécurité juridique. Cela permettrait en effet d'améliorer la compréhension générale du projet de loi et de garantir la sécurité juridique. Il résulte de ce qui précède qu'il ressort que la finalité décrite à l'article 4, paragraphe 3, du projet de loi paraît trop vague par rapport à l'exigence du RGPD de prévoir des finalités déterminées et explicites, surtout dans un domaine aussi sensible qu'est censé réglementer le projet de loi sous avis. A toutes fins utiles, il ressort du commentaire des articles que l'article 4, paragraphe 5 du projet de loi vise à préciser les différentes obligations incombant au ministre en tant que responsable du traitement. Or, il convient de constater que l'énumération y faite se borne à recopier certains principes énumérés à l'article 5 du RGPD. Dans son avis du 1 6 juillet 2021, le Conseil d'Etat relève, en effet, que « file paragraphe 5 ne fait que rappeler les principes énoncés à l'article 5 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) Dès lors que ce règlement européen est d'application directe, la disposition sous revue est à supprimer. »7 La Commission nationale se rallie à l'observation du Conseil d'Etat. IV. Quant aux catégories de données à caractère personnel Il convient de relever que l'article 4 du projet de loi qui « constitue la base légale pour la gérance, la collecte et le traitement de données en cause »8 ne précise pas les catégories de données qui seraient collectées par le ministre « aux fins de la mise en œuvre de la recherche 'Avis n°60.376 du 16 juillet 2021 du Conseil d'Etat sur le projet de loi portant organisatiori de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assisté avec tiers donneurs, p.
  2. 8 Voir commentaire des articles, article 4, page
  3. CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n07674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 7/22 de l'accès d'un enfant à ses origines dans le cadre de l'adoption ou d'une procréation médicalement assistée avec tiers donneurs »
  4. En outre, et comme relevé par le Conseil d'Etat, le paragraphe
(4)de l'article 410 précité est superfétatoire « [à] défaut d'énumérer les données traitées ou de renvoyer à la disposition précise qui énumère les données ». En effet, il y a lieu de relever que les catégories de données qui seraient traitées à de telles fins résultent des dispositions des articles 6, 10, 11, 16, 17, 20, 22, 25, 26 et 27 du projet de loi. Les articles 6, 10 et 11 font partie du Chapitre 2 « L'accès à la connaissance de ses origines dans le cadre d'une adoption », section 1ère « L'adoption nationale », sous-section 1ère « L'accouchement sous secret », l'article 16 de la sous-section « Les autres adoptions nationales » et l'article 17 de la section 2 « L'adoption internationale » dudit chapitre. Les articles 20 et 22 appartiennent au Chapitre 3 « L'accès à la connaissance de ses origines dans le cadre d'une procréation médicalement assistée avec tiers donneur » et les articles 25 à 27 font partie du Chapitre 5 « Dispositions transitoires et sur l'entrée en vigueur ». 11 serait en effet préférable, tel que suggéré par le Conseil d'Etat, de regrouper dans un seul article et d'énumérer en fonction des cas de figure (accouchement sous X, adoption nationale, adoption internationale, PMA), les catégories de données qui seraient traitées. Alternativement, il pourrait être envisagé de faire figurer une liste au début de chaque chapitre les catégories de données qui seraient traitées dans la mise en œuvre de ce chapitre. A. Quant à l'article 9 du RGPD Tout d'abord, il convient de relever que dans la mesure où une partie des données traitées par le responsable du traitement sont susceptibles d'être relatives à la santé des parents de naissance, pour les accouchements sous secret et les adoptions nationales et internationales, ou des tiers donneurs, pour les procréations médicalement assistées, celles-ci sont à qualifier de catégories particulières de données, dites « données sensibles », au sens de l'article 9 du RGPD. Or, de tels traitements requièrent une protection spécifique" et sont soumis à des exigences plus strictes. Le traitement de « données sensibles » est, en effet, interdit sauf si l'une des conditions visées au paragraphe 2 de l'article 9 du RGPD est remplie. Ainsi, lors de la mise en œuvre des traitements de données dites sensibles, le responsable du traitement devra particulièrement veiller au respect des dispositions de l'article 9, paragraphe
(2)du RGPD. 'Article 4, paragraphe
(3)du projet de loi. '° L'article 4, paragraphe
(4)du projet de loi dispose que « jdjans ce contexte sont traitées des données à caractère personnel qui sont visées par le présent projet de loi ». " Voir les affaires rendues par la CJUE du 8 avril 1992, C-62/90, point 23 et du 5 octobre 1994, C-404/
  1. point 17 CNPL7 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 8/22 B. Quant aux données à caractère personnel visées par les dispositions du chapitre 2 du projet de loi
  2. Ad article 6 du projet de loi L'article 6 du projet de loi traite des différentes informations que l'établissement hospitalier ou tout autre professionnel ayant encadré la naissance sont amenés à collecter et à transmettre au ministre. i. L'insécurité iuridique liée à l'imprécision des termes employés Les termes employés à l'article 6 sont vagues de sorte qu'il est difficile de savoir quelles informations seraient susceptibles d'être collectées et transmises au ministre et, le cas échéant, à l'enfant. En effet, il ressort dudit article que les parents de naissance sont invités à laisser des « informations médicales sur peur] santé, et celle de l'autre parent de naissance, des informations sur les origines de l'enfant, les circonstances de l'enfant de la naissance ainsi que tout autre information qu'[ils] souhaite[nt] mettre à disposition de fleur] enfant »
  3. Les auteurs du projet de loi dans le commentaire des articles précisent à ce sujet que les parents de naissance sont invités à laisser « toute sorte d'informations » et que les informations précitées constituent des « informations non-identifiantes »
  4. Les auteurs du projet de loi ne fournissent dès lors pas d'explications sur ce qu'il faut entendre par « informations non-identifiantes ». Il convient toutefois de souligner que le RGPD aura vocation à s'appliquer à toute information se rapportant à une personne physique identifiée ou identifiable". Le considérant 26 du RGPD précise que « [p]our déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement (...] ». Ainsi, la CNPD donne à considérer que le cumul d'informations, même qualifiées de « nonidentifiantes », comporte le risque d'une (ré)identification de la personne physique en question, ayant pour conséquence l'application des règles relatives à la protection des données. L'article 6, paragraphe 3, du projet de loi prévoit encore l'obligation pour l'établissement hospitalier ainsi que tout autre professionnel ayant encadré la naissance de collecter des '2 Article 6, paragraphe 1, point 2° et paragraphe 2, point 1° du projet de loi Commentaire des articles, article 6 page 17 '4 Article 4, point 1) du RGPD 13 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 9/22 « informations non-identifiantes ». Les auteurs du projet de loi n'apportent là encore dans leur commentaire des articles aucune précision quant aux informations qui seraient collectées. Par ailleurs, il y a lieu de relever que l'article 12 du projet de loi utilise par la suite les termes « renseignements ne portant pas atteinte à l'identité d'un ou des parents de naissance ». La CNPD suppose qu'il s'agit des « informations non-identifiantes » visées à l'article
  5. Afin d'éviter toute confusion, il est suggéré d'utiliser la même terminologie à travers l'intégralité du projet de loi. Enfin, il y a encore lieu de constater que faculté est laissée aux parents de naissance de faire une déclaration de son identite, auquel cas ces informations sont à considérer comme des données à caractère personnel. La CNPD suppose que les auteurs du projet de loi sous avis se sont inspirés de la loi française du 2 août 2021 relative à la bioéthique qui prévoit que dans le cadre d'une PMA les tiers donneurs doivent fournir non seulement leur identité, mais également des données « non identifiantes ». En effet, l'article 5 de ladite loi française insère un chapitre dans le code de la santé publique sur l' « Accès aux données non identifiantes et à l'identité du tiers donneurs ». Dans ce chapitre figure notamment l'article L. 2143-
  6. qui comporte une liste de données non identifiantes des tiers donneurs, à savoir : leur âge, leur état général tel qu'ils le décrivent au moment du don, leur caractéristique physiques, leur situation familiale et professionnelle, leur pays de naissance ainsi que les motivations de leur don, rédigées par leurs soins. Par conséquent, au regard de l'imprécision des termes utilisés par les auteurs du projet de loi et du flou juridique y résultant, il convient de constater que le projet de loi sous avis ne respecte pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. Afin de parer à cette insécurité juridique quant aux catégories de données qui seraient traitées et d'assurer la conformité du cadre légal luxembourgeois au RGPD et à la jurisprudence européenne, la CNPD suggère aux auteurs du projet de loi de préciser, à l'instar de la loi française relative à la bioéthique du 2 août 2021, quelles catégories de données seraient susceptibles d'être traitées par le ministre. En tout état de cause, l'imprécision des termes employés complique, voire rend impossible, la tâche de la Commission nationale d'apprécier si le projet de loi respecte le principe de minimisation des données consacré à l'article 5, paragraphe 1er, lettre c) du RGPD selon lequel Article
  7. paragraphe
(1), points 2' et 3°, et paragraphe
(2), points 2' et 3° du projet de loi En ce sens, voir M. Besch. « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619 Voir entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 décembre 2015, CourEDH, Vavritka et autres c. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293. 8 avril 2021 CNPID Avis de la Commission nationale pour la protection des données relatif au projet de loi n'7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 10/22 les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Le caractère nécessaire s'apprécie par rapport à la finalité du traitement telle que définie par les auteurs du projet de loi, à savoir « la mise en oeuvre de la recherche de l'accès d'un enfant à ses origines (...] »17. Or, tel que mentionné au point II.B. les imprécisions quant aux finalités recherchées, ne permettent pas de déterminer dans quelle mesure le traitement de ces données est nécessaire pour exercer le droit de connaître ses origines. 11. Le traitement des données concernant la santé L'article 6, paragraphes '1 er et 2 du projet de loi prévoit la possibilité pour le parent qui a accouché l'enfant de laisser des « informations médicales sur sa santé et celle de l'autre parent de naissance » ou respectivement pour l'autre parent de naissance de laisser des « informations médicales sur sa santé et celle du parent qui a accouché l'enfant ». De plus, l'article 6, paragraphe 3, du projet de loi crée l'obligation pour l'établissement hospitalier ainsi que pour tout autre professionnel ayant encadré la naissance de « recueillir dans la mesure du possible (...] des données médicales d'un ou des deux parents de naissance lors de la naissance et de les transmettre au ministre ». Ces informations relatives à la santé des parents de naissance, et si celles-ci constituent des données à caractère personnel, constituent des données dites sensibles. Le traitement de telles données doit dès lors reposer sur une des conditions visées à l'article 9, paragraphe 2 du RGPD. Sur ce point, il est renvoyé au point A du point IV du présent avis. Par ailleurs, il y a lieu de regretter que ni l'exposé des motifs ni le commentaire des articles ne fournissent des explications quant aux modalités des traitements de « données médicales ». Dans ce contexte, la Commission nationale se rallie aux préoccupations soulevées par le Conseil d'Etat quant à l'article 6 du projet de loi et notamment en ce qu'il considère que « les parents ne sont pas invités à révéler l'identité de l'autre parent, ils peuvent néanmoins laisser des informations médicales sur l'autre parent. Or, il revient à chaque parent de décider s'il veut communiquer les informations médicales sur sa santé. Comment articuler le choix laissé au parent de ne pas communiquer ses données médicales avec la possibilité pour l'autre parent de les fournir à son insu ? Si le législateur permet à chacun des parents de ne pas communiquer les informations sur sa santé ou sur son identité, il est difficile de voir comment articuler le respect de ces secrets respectifs » 18. Dans ce contexte, la Commission nationale se pose la question de savoir comment le responsable du traitement entend respecter le principe d'exactitude, prévu à l'article 5, " Article 4, paragraphe 3, du projet de loi 2 Avis n'60.376 du 16 juillet 2021 du Conseil d'Etat sur le projet de loi portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assisté avec tiers donneurs, p.6 à 8 CNPCI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses ohgines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 11/22 paragraphe 1er, lettre
  1. d)du RGPD. La Commission nationale renvoie à cet égard à ses développements sur le respect du principe d'exactitude au point VIII du présent avis. Il convient également de soulever que l'imprécision des termes « dans la mesure du possible » repris à l'article 6, paragraphe 3, du projet de loi résulte en un flou juridique, de manière à constater que le projet de loi sous avis ne respecte pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme19. En outre, il convient encore de s'interroger sur l'articulation entre l'obligation pour l'établissement hospitalier, ainsi que pour tout autre professionnel ayant encadré la naissance, prévue par l'article 6, paragraphe 3, du projet de loi, et le secret médical auquel sont soumis ces personnes. 2. Ad article 10 du projet de loi L'article 10, point 5°, du projet de loi prévoit que le ministre est amené à recevoir « files déclarations d'identité formulées par les ascendants, descendants et collatéraux des parents de naissance » Toutefois, le projet de loi ne fournit pas d'autres précisions ou explications quant aux catégories de données à caractère personnel qui figureraient sur lesdites « déclarations d'identité ». En outre, il y a lieu de s'interroger sur la manière dont ces données seraient collectées appartient-il aux ascendants, descendants et collatéraux de s'adresser directement au ministre ? Comment le ministre assurera-t-il que les déclarations d'identité sont attribuées à l'enfant concerné, étant donné que seuls les prénoms et le sexe de l'enfant ainsi que la date et le lieu de naissance (et non pas l'identité des parents de naissance) sont mentionnés à l'extérieur des plis visés à l'article 6 du projet de loi ? Le ministre vérifiera-t-il s'il existe effectivement un lien de parenté entre ces personnes et les parents de naissance ? En vertu des articles 13 et 14 du projet de loi, le ministre communique, ensemble avec l'identité du parent qui a accouché l'enfant ou de l'autre parent de naissance, les informations visées au point 5 de l'article 10. Est-ce que cela veut dire que les déclarations d'identité des ascendants, descendants et collatéraux du parent qui a accouché l'enfant sont communiquées à l'enfant, même si seul l'autre parent de naissance a accordé la levée du secret de son identité, et vice versa ? Une telle façon de procéder contrecarrerait pourtant leur volonté de rester anonyme et porterait atteinte à l'intimité de leur vie privée. La Commission nationale En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619. Voir entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 décembre 2015, CourEDH, Vavtiška et autres c. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril 2021. [ CNPE Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses odgines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 12/22 estime que les auteurs du projet de loi devraient préciser les modalités pratiques applicables aux déclarations d'identité formulées par les ascendants, descendants et collatéraux des parents de naissance. 3. Ad article 16 du projet de loi Pour les demandes d'accès aux origines formulées par des enfants ayant fait l'objet d'une adoption nationale mais ne tombant pas sous le régime de l'accouchement sous secret, il résulte de l'article 16 du projet de loi que le ministre « recueille les informations relatives à l'identité du parent qui a accouché l'enfant et de l'autre parent de naissance auprès des autorités judiciaires ». Or, ni le commentaire des articles, ni l'exposé des motifs ne précisent ce qu'il faut entendre par « informations relatives à l'identité ». S'agit-il seulement du nom et prénom ou cette notion vise-t-elle également d'autres données, comme par exemple l'adresse ? De plus, le projet de loi ne précise pas les modalités selon lesquelles le ministre obtiendrait de telles « informations ». Des précisions devraient être apportées à ce sujet à l'article 16 du projet de loi afin de clarifier quelles données seraient collectées et de quelle manière le ministre les collecterait. 4. Ad article 17 du projet de loi L'article 17 du projet de loi entend régler la gestion des demandes d'accès aux origines formulées par des enfants ayant fait l'objet d'une adoption internationale. En vertu des dispositions de l'article précité, le ministre peut obtenir « sur demande » de la part des organismes visés audit article « toutes les informations relatives aux origines de l'adopté ». Or, cette formulation est particulièrement vague et nécessite des clarifications. En effet, il y a lieu de se demander ce que les auteurs du projet de loi ont voulu entendre par « les informations relatives aux origines de l'adopté ». Quelles informations seraient visées concrètement ? Le ministre peut encore obtenir « auprès des autorités du pays d'origine de l'enfant toutes les informations qu'il peut obtenir sur les origines de l'enfant ». Cette formulation est également particulièrement vague. Quelles informations le ministre pourrait-il recueillir auprès des autorités étrangères ? CNPD1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 13/22 A ce titre, il convient de relever que la Convention de la Haye du 29 mai 1993 sur la protection des enfants et la coopération en matière d'adoption internationale dispose d'ores et déjà dans son article 16, paragraphe 1er, lettre
  2. a)que : « Si l'Autorité centrale de l'Etat d'origine considère que l'enfant est adaptable,
  3. a)elle établit un rapport contenant des renseignements sur l'identité de l'enfant, son adaptabilité, son milieu social, son évolution personnelle et familiale, son passé médical et celui de sa famille, ainsi que sur ses besoins particuliers ; (...) ». En outre, la Convention de la Haye du 29 mai 1993 sur la protection des enfants et la coopération en matière d'adoption internationale prévoit encore explicitement à l'article 16, paragraphe 2 que l'Autorité centrale de l'Etat d'origine « transmet à l'Autorité centrale de l'Etat d'accueil son rapport sur l'enfant, la preuve des consentements requis et les motifs de son constat sur le placement, en veillant à ne pas révéler l'identité de la mère et du père, si, dans l'Etat d'origine, cette identité ne peut pas être divulguée ». Dès lors, la Commission nationale se demande quelles informations supplémentaires pourraient, le cas échéant, être recueillies alors que les dispositions précitées prévoient qu'un rapport sur l'enfant sera transmis à l'Autorité centrale de l'Etat d'accueil. C. Quant aux données à caractère personnel visées par le chapitre 3 du projet de loi L'article 20 consacre l'obligation des auteurs du projet parental à fournir au responsable du traitement, c'est-à-dire au ministre, les informations énumérées aux points 1° à 4° dudit article. S'il y a lieu de saluer l'inclusion d'une liste déterminée d'informations à fournir au ministre, il convient de s'interroger sur les informations qui seraient visées au dernier alinéa du paragraphe 1' de l'article 20 qui dispose que « toute autre information disponible sur le ou les tiers donneurs peut également être communiquée ». En effet, la notion de « toute information » est très vague et le commentaire des articles n'apporte pas de précision à cet égard. Or, il y a lieu de rappeler qu'en vertu du principe de minimisation des données, consacré à l'article 5, paragraphe 1, lettre
  4. c)du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. En l'absence de telles précisions, la CNPD n'est pas en mesure d'apprécier si un tel principe serait respecté et estime partant nécessaire que le projet de loi détermine précisément quelles données à caractère personnel seraient susceptibles d'être déclarées au ministre. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n'7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 14/22 Dans l'état actuel du projet de loi, les auteurs du projet parental pourraient estimer opportun de transmettre au ministre des données dites sensibles, tel que par exemple des données concernant la santé du ou des tiers donneurs, qui sont pourtant soumises à un régime plus strict. La Commission nationale renvoie à cet égard à ses développements au point IV.A. du présent avis. Par ailleurs, il convient de noter que l'obligation de fournir ces informations incombe, conformément à l'article 20, paragraphe 1er du projet de loi sous avis, aux parents du projet parental. La CNPD note que l'article 19 du projet de loi prévoit encore que « le centre de fécondation, tout médecin chargé de mettre en œuvre la procréation médicalement assistée ainsi que les auteurs du projet parental ont l'obligation de vérifier si les informations énumérées à l'article 20, point 4 se trouvent dans le dossier avant l'insémination des gamètes ou de ('implantation des embryons surnuméraires ». Elle note encore que parmi les informations à fournir figurent aux point 4° du 1er paragraphe de l'article 20 « l'identité du ou des tiers donneurs y compris nom, prénom, date et lieu de naissance, nationalité(s), adresse actuelle, état civil ainsi que le numéro de matricule s'il existe ». Or, la Commission nationale s'interroge sur la source initiale de ces informations. Est-ce qu'il appartient au centre de fécondation, au médecin chargé de mettre en œuvre la procréation médicalement assistée, aux auteurs du projet parental ou à un autre intervenant encore d'inscrire cette information dans le dossier visé à l'article 19 ? La question se pose notamment dans le contexte de l'obligation du responsable du traitement d'informer la personne concernée. En effet, la Commission nationale comprend que dans le cadre d'une PMA, la collecte des données à caractère personnel du tiers donneur par les acteurs impliqués, à savoir le responsable du traitement, les auteurs du projet parental, le centre de fécondation ou encore tout médecin chargé de mettre en œuvre la procréation médicalement assistée, est opérée de manière indirecte, donc les informations ne sont pas collectées directement auprès de la personne concernée. Or, l'article 14 du RGPD oblige le responsable du traitement à fournir certaines informations à la personne concernée lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée. L'article 14, paragraphe 2, lettre f), du RGPD exige notamment que le responsable du traitement informe sur « la source d'où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu'elles sont issues ou non de sources accessibles au public ». La Commission nationale se demande à qui incomberait cette obligation, voire toute autre obligation découlant du RGPD, si, tel que mentionné au point II du présent avis, les rôles (responsable du traitement, responsable du traitement conjoint ou sous-traitant) des différents intervenants n'est pas clair. En l'absence de précisions, la CNPD se voit dans l'impossibilité de vérifier si les exigences du RGPD envers la personne concernée seraient respectées par le projet de loi sous avis. CNN] Avis de la Commission nationale pour la protection des données relatif au projet de loi re7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 15/22 D. Quant aux données à caractère personnel visées par les dispositions du chapitre 5 du projet de loi 1. Ad article 25 du projet de loi Il ressort du commentaire des articles que l'article 25 du projet de loi vise les enfants nés avant l'entrée en vigueur de la future loi dans le cadre d'un accouchement sous secret. Le paragraphe 2, alinéa ler, de l'article 25 dispose que « [ljes établissements hospitaliers, les autres professionnels ayant encadré la naissance de l'enfant [...], ainsi que les organismes autorisés et habilités pour l'adoption conformément à la loi du 31 janvier 1998 portant agrément des services d'adoption et définition des obligations leur incombant ainsi que tout autre organisme ou autorité nationale intervenus dans le cadre de l'adoption ont l'obligation de communiquer des éléments relatifs à l'identité des parents de naissance ou toute autre information, dossier et objet matériel laissé par le ou les parents de naissance au ministre dans les cas visés au paragraphe précédent dans un pli fermé ». Selon le commentaire des articles, cette disposition constitue la base légale pour ces différents intervenants de « transférer tous les dossiers qu'ils détiennent au Ministre » sans toutefois préciser quelles seraient les données à caractère personnel qui seraient collectées à cette occasion. S'il y a lieu de saluer les auteurs du projet de loi de créer une base légale permettant aux intervenants précités de communiquer au ministre les informations qu'ils ont pu recueillir avant l'entrée en vigueur de la loi, en rabsence de précisions quant aux catégories de données à caractère personnel qui seraient communiquées dans ce contexte, la Commission nationale n'est pas en mesure d'apprécier si le principe de minimisation des données serait en l'espèce respecté. Il convient de rappeler qu'en vertu du principe de minimisation, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Conformément à ce principe, les différents intervenants précités devraient dès lors s'assurer à ne transmettre au ministre que les données à caractère personnel adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Enfin, dans la mesure où les termes suivants « ont l'obligation de communiquer des éléments relatifs à l'identité des parents de naissance ou toute autre information, dossier et objet matériel laissé par le ou les parents de naissance au ministre » sont formulés de manière vague, et que le commentaire des articles n'apporte pas de précision à cet égard, la Commission nationale estime partant nécessaire que le projet de loi détermine précisément CNP6 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 16/22 quelles données à caractère personnel seraient susceptibles d'être communiquées au ministre. 2. Ad article 26 du proiet de loi En vertu de l'article 26 du projet de loi, visant les autres adoptions nationales ainsi que les adoptions internationales, les organismes y mentionnés ont l'obligation de communiquer « des éléments relatifs à l'identité des parents de naissance ou toute autre information, dossier et objet matériel laissé par le ou les parents de naissance au ministre [...] dans un pli fermé » et que « les prénoms donnés à l'enfant et, le cas échéant, mention du fait qu'ils l'ont été par la mère de naissance ou l'autre parent de naissance au ministre compétent ainsi que le sexe de l'enfant et la date, le lieu et l'heure de sa naissance sont mentionnés à l'extérieur de ces plis ». S'il y a lieu de féliciter les auteurs du projet de loi pour avoir précisé les données qui seraient communiquées au ministre, il y a lieu de regretter que les termes « toute autre information, dossier » sont trop vagues de sorte que la CNPD n'est pas en mesure d'apprécier si le principe de minimisation serait respecté. Les auteurs du projet de loi devraient apporter des précisions à cet égard. Par ailleurs, il y a lieu de relever qu'une telle obligation n'existe pas sous les articles 16 et 17 du projet de loi, dès lors ne serait-il pas opportun d'aligner cette disposition transitoire sur ce qui est prévu dans ces articles ? V. Sur l'accès au RNPP et aux registres de l'état civil En vertu de l'article 5, paragraphe 1er, lettre
  5. c)du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. L'article 4, paragraphe 6 du projet de loi prévoit la possibilité pour le ministre de consulter le registre national des personnes physiques (ci-après le « RNPP ») ainsi que les registres de l'état civil. La disposition se limite à indiquer que le responsable du traitement dispose de cet accès « dans le cadre de la finalité déterminée au paragraphe 3 ». Ni le commentaire des articles, ni l'exposé des motifs n'apportent de précisions quant aux raisons qui justifieraient un tel accès. Or, il y a lieu de s'interroger sur l'articulation de ces dispositions avec celles relatives à l'article 9 du projet de loi qui prévoient qu'aucune enquête ne serait effectuée concernant les informations fournies par le parent qui a accouché l'enfant ou l'autre parent de naissance. Ainsi, il y a lieu de se demander si la consultation du RNPP et des registres d'état civil permettrait au responsable du traitement de vérifier la réalité du lien de parenté entre ces [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 17122 personnes et les parents de naissance ? Dans un souci de sécurité juridique, des précisions devraient être apportées au projet de loi à ce sujet. La CNPD n'est dès lors pas en mesure d'apprécier si la consultation du RNPP et des registres de l'état civil respecte le principe de minimisation des données prévu à l'article 5, paragraphe er , lettre
  6. c)du RGPD. VI. Sur l'accès aux archives de la juridiction tel que visé à l'article 25 du projet de loi L'article 25, paragraphe 3 du projet de loi prévoit que le ministre « peut consulter les archives de la juridiction ayant prononcé l'adoption ainsi que les dossiers de protection internationale auprès du Ministre ayant la protection internationale dans son ressort ». La Commission nationale se demande ce que le verbe « consulter » veut dire. S'agit-il d'une demande d'accès que le ministre introduit auprès du ministre ayant la protection internationale dans son ressort ? Ou s'agit-il d'un accès direct ? La Commission nationale se demande encore si les données issues de cette consultation seront intégrées dans le fichier centralisé géré par le ministre. Par ailleurs, il convient de se rallier aux observations du Conseil d'Etat quant à la finalité d'une telle consultation qui devrait être ajoutée aux finalités mentionnées à l'article 4, paragraphe 3, du projet de loi sous avis20. VII. Sur la sécurité du traitement Il convient encore de rappeler que les règles applicables en matière de protection des données s'appliquent indépendamment des techniques utilisées, c'est-à-dire tant aux données appelées à être contenues dans un fichier papier qu'un fichier informatique. Ce rappel paraît nécessaire vu que, pour les adoptions suite à des accouchements sous secret par exemple, les informations fournies, dont des données à caractère personnel, semblent être rédigées sur papier dans un pli fermé. Les plis sont ensuite transmis au ministre. En ce qui concerne la sécurité du traitement, le point 4 du paragraphe 5 de l'article 4 du projet de loi indique que le responsable du traitement doit mettre en place des mesures techniques et organisationnelles afin d'assurer la sécurité et la confidentialité des données à caractère personnel, sans toutefois donner de précision quelconque. Or, cette obligation générale de sécurité relève tant de l'article 5, paragraphe l , lettre
  7. f)du RGPD qui consacre le principe d'intégrité et confidentialité que de l'article 32 du RGPD qui 20 Avis n°60.376 du 16 juillet 2021 du Conseil d'Etat sur le projet de loi portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assisté avec tiers donneurs. p 5 CNPd Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 18/22 précise davantage la notion de sécurité des données dans le cadre de la protection des données à caractère personnel. En l'espèce, l'obligation du responsable de traitement de garantir un niveau de sécurité adapté aux risques pour les droits et libertés des personnes physiques concernées par les traitements de données personnelles envisagés, mérite une attention particulière dans la mesure où des accès non-autorisés aux données, des fuites de données ou encore des modifications nondésirées sont susceptibles de causer un préjudice grave aux personnes concernées. Ainsi, eu égard à la nature des données traitées en cause, il est essentiel que de telles mesures de sécurité soient mises en œuvre par le responsable du traitement afin d'assurer la confidentialité et la sécurité des données. Parmi ces mesures de sécurité, la Commission nationale estime important que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires. Dans l'hypothèse où un outil informatique serait utilisé pour traiter les données en cause, ce qui semble être le cas au vu de la fiche financière du projet de loi, il serait nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. La CNPD souligne aussi l'importance d'effectuer pro-activement des contrôles en interne. A cet effet, il convient conformément à l'article 32, paragraphe 1, lettre
  8. d)du RGPD de mettre en œuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du (raitement ». En outre, la Commission nationale estime essentiel, au regard de la sensibilité de certaines données traitées, de prévoir les modalités de mise en œuvre de ce principe d'intégrité et de confidentialité dans un texte d'ordre législatif ou du moins d'ordre réglementaire. v111. Les droits des personnes concernées Comme les parents de naissance sont susceptibles d'être qualifiés de personnes concernées au sens du RGPD pour les traitements de données qui résultent du projet de loi, il convient de rappeler que l'article 5, paragraphe ler, lettre
  9. a)ainsi que les articles 12, 13 et 14 du RGPD exigent du responsable du traitement d'agir en toute transparence à l'égard des personnes concernées en leur fournissant notamment certaines informations sur les traitements de données à caractère personnel envisagés. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 19/22 Dans l'hypothèse où le ministre collecterait indirectement des données à caractère personnel, tel que cela semble résulter notamment de l'article 5, 16 ou encore 17 du projet de loi, le ministre devra respecter les dispositions de l'article 14 du RGPD. Dans ce contexte, il convient d'attirer l'attention des auteurs du projet de loi sur l'article 14, paragraphe 4, du RGPD en vertu duquel « Norsqu'll a l'intention d'effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinen(e visée au paragraphe 2 ». Le paragraphe 5 de cet article énumère les hypothèses dans lesquelles les paragraphes 1 à 4 ne s'appliquent pas. Si les auteurs du projet de loi entendent invoquer l'article 14, paragraphe 5, lettre
  10. c)du RGPD pour justifier, le cas échéant, le fait de ne pas fournir les informations mentionnées aux paragraphes 1 à 4, il y a lieu de souligner qu'une telle dispense ne peut s'appliquer que si le droit national « prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ». En ce qui concerne les données à caractère personnel relatives au tiers donneur qui seraient collectées en application de l'article 20, paragraphe 4 du projet de loi, il convient d'attirer l'attention des auteurs du projet de loi sur le fait que ce dernier dispose d'un droit à l'information en vertu de l'article 14 du RGPD ou encore d'un droit de rectification, qui lui est conféré par l'article 16 du RGPD. Il devrait dès lors pouvoir s'adresser au responsable du traitement pour demander la rectification des données qui ne seraient éventuellement plus à jour ou inexactes. De plus, l'article 6 du projet de loi prévoit que le parent qui a accouché l'enfant peut transmettre des informations concernant l'autre parent de naissance, et vice versa. L'article 14 du RGPD aurait dès lors vocation à s'appliquer dans la mesure où cette disposition précise les informations à fournir par le responsable du traitement lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée elle-même. De manière générale, et compte tenu de l'objet du projet de loi, la Commission nationale se demande comment les droits de personnes concernées s'articuleraient avec certaines des dispositions du projet de sous avis. En effet, en plus du droit à l'information susmentionné, le RGPD confère d'autres droits aux personnes concernées que le responsable du traitement est tenu de respecter, notamment le droit d'accès et le droit de rectification prévus respectivement à l'article 15 et l'article 16 du RGPD. Dans le cadre du projet de loi sous avis, se pose en particulier la question de savoir comment le responsable du traitement entend mettre œuvre en pratique les exigences qui découlent pour lui de ces droits. Comment le responsable du traitement entend-il communiquer aux personnes concernées les informations nécessaires dans le contexte du droit à l'information, notamment s'il collecte les données à caractère personnel de façon CN Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 20/22 indirecte ? Comment les personnes concernées peuvent-elles exercer leurs droits ? Dans l'hypothèse d'un accouchement sous secret pour lequel aucune déclaration d'identité n'a été reçue, mais pour lequel les établissements hospitaliers communiquent des données « nonidentifiantes », comment le responsable du traitement entend-il donner suite à une demande de droit d'accès ? Par ailleurs, se posent également des interrogations sur le respect, par le responsable du traitement, des principes relatifs au traitement des données à caractère personnel consacrés à l'article 5 du RGPD. Ainsi, le responsable du traitement doit par exemple, s'assurer qu'il traite les données à caractère personnel de manière licite, loyale et transparente au regard de la personne concernée (principe de licéité, loyauté et transparence) et uniquement des données exactes et, si nécessaire, tenues à jour (principe d'exactitude). Ainsi, comment le responsable du traitement entend-il s'assurer qu'il ne traite pas des données à caractère personnel d'une personne concernée à l'insu de cette dernière ? Comment le responsable du traitement peutil s'assurer de l'exactitude des données, notamment si les données sont collectées de manière indirecte ? De même, comment peut-il s'assurer de l'exactitude des données d'identité fournies directement si, dans l'hypothèse d'un accouchement sous secret, aucune vérification (article 9 du projet de loi sous avis) n'est prévue ? Ainsi, si les auteurs du projet de loi entendent limiter la portée des droits des personnes concernées, voire des obligations incombant au responsable du traitement, en ayant recours à la possibilité fournie par l'article 23 du RGPD une telle limitation devrait être prévue par une mesures législative et répondre aux critères et exigences énumérés audit article. IX. Sur la durée de conservation Selon le principe de limitation de la conservation consacré à l'article 5, paragraphe 1er, lettre
  11. e)du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou définitivement anonymisées. S'il y a lieu de féliciter les auteurs du projet de loi de prévoir à l'article 4, paragraphe 2 du projet de loi un délai de conservation des données, à savoir pendant 100 ans et que les données seraient détruites après l'écoulement de cette période, la Commission nationale se trouve dans l'impossibilité d'apprécier si, en l'occurrence, le principe de la limitation de la conservation est respecté. En effet, ni le commentaire des articles, ni l'exposé des motifs ne fournissent des explications quant aux critères ayant servi à la détermination de cette période de conservation des données. Il y a lieu de constater que conformément à l'article 11, alinéa 3, point 5 du projet de loi, la demande d'accès à la connaissance des origines peut être introduite par les descendants en ligne directe majeurs de l'enfant jusqu'au 1er degré, s'il est décédé. Dès lors la durée de conservation de 100 ans viserait-elle à permettre aux descendants directs au premier degré d'exercer leur droit d'accès aux origines ? CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 21/22 Il convient encore de noter que le projet de loi ne prévoit pas la suppression des données personnelles une fois que l'enfant aurait exercé son droit d'accès aux origines. Elle suppose que les données sont conservées pour permettre, le cas échéant, aux descendants directs au premier degré d'exercer à leur tour ce droit. Or, faute d'explications quant aux critères ayant servi à la détermination de cette période de conservation des données par les auteurs du projet de loi, la CNPD ne peut pas se prononcer sur la proportionnalité du délai retenu. De telles précisions devraient dès lors être apportées par les auteurs du projet de loi. X. L'analyse d'impact relative à la protection des données L'article 35, paragraphe 10, du RGPD, lu ensemble avec l'article 36, paragraphes ier et 4, du RGPD indiquent qu'en cours d'élaboration d'une mesure législative devant être adoptée par un parlement national, les auteurs de cette mesure législative peuvent être amenés à réaliser une analyse d'impact sur la protection des données (ci-après « IÄIPD »), et que le résultat de l'AIPD pourrait conduire à une consultation préalable de l'autorité nationale compétente, en l'occurrence la CNPD. Etant donné qu'il ressort de l'article 35, paragraphe 1ef, du RGPD qu'une A1PD devrait être réalisée si le traitement envisagé est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques compte tenu de la nature, de la portée, du contexte et des finalités du traitement, la Commission nationale se demande si les traitements envisagés par le projet de loi sous avis n'auraient pas dû faire l'objet d'une AIPD par les auteurs. Le cas échéant, l'AIPD aurait indiqué que le traitement présente un risque élevé conduisant ainsi les auteurs du projet de loi, éventuellement déjà au stade de l'élaboration de l'avant-projet de loi, à consulter la CNPD. Ainsi décidé à Belvaux en date du 29 novembre 2021. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNPd Thierry Lallemang Commissaire emmer Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de lot n7674 portant organisation de l'accès à la connaissance de ses origines dans le cadre d'une adoption ou d'une procréation médicalement assistée avec tiers donneurs 22/22

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.