← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité de

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées Délibération n°19/2020 du 22/07/2020 Conformément à l'article 57, paragraphe ler, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 6 février 2020, Madame le Ministre de la Famille et de l'Intégration a invité la Commission nationale à se prononcer sur le projet de loi n°7524 portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique (ci-après le « projet de loi ») ainsi que sur le projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées (« projet de règlement grand-ducal »). Selon l'exposé des motifs, le présent projet de loi a pour objet de procéder à une refonte du volet concernant les personnes âgées de la loi du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique (ci-après la « loi ASFT »). Les auteurs du projet de loi précisent encore que le projet de loi a pour objet de « créer un cadre légal nouveau destiné aux organismes gestionnaires de services et structures pour Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1' la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 1/13 personnes âgées qui viendra compléter les dispositions relatives à la loi ASFT ». Le texte sous avis organise ainsi rection des organismes gestionnaires intervenant dans les domaines du vieillissement actif, du maintien à domicile et du long séjour en structures d'hébergement pour personnes âgées. L'objectif poursuivi par le projet de loi est de préciser la terminologie et de compléter les concepts utilisés par rapport à la réglementation actuelle. La Commission nationale entend limiter ses observations aux questions soulevées par les dispositions du projet de loi sous examen qui traitent des aspects liés au respect de la vie privée et à la protection des données à caractère personnel. Le présent avis ne traitera pas du projet de règlement grand-ducal car celui-ci ne soulève aucune observation d'un point de vue de la protection des données à caractère personnel et du respect de la vie privée. J. Sur les traitements de données à caractère personnel effectués par le ministre

  1. Sur la création d'un nouveau registre public Selon l'exposé des motifs, le projet de loi prévoit la création d'un « registre des structures et services pour personnes âgées qui rendra publique toutes les informations jugées pertinentes à l'attention du grand public, en particulier le projet d'établissement et le contrat type conclu avec les usagers ». Ce nouveau registre public est créé sous l'autorité du Ministre ayant dans ses compétences la loi sous avis (ci-après le « ministre ») et contient 7 rubriques intitulées : « structures d'hébergement pour personnes âgées »1 , « services d'aides et de soins à domicile »2, « centres de jour pour personnes âgées »3, « clubs Aktiv Plus »4 , « services repas sur roues »5 , « services activités seniors »6 et « services téléalarme »7 . Le projet de loi énumère pour chacune des rubriques précitées l'ensemble des informations y contenues. 1Article 8 du projet de loi. 2 Article 22 du projet de loi 3 Article 36 du projet de loi. 4 Article 49 du projet de loi. 5 Article 58 du projet de loi. 6 Article 68 du projet de loi. 7 Article 77 du projet de loi. CNPD Avis de la Comrnission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 2113 Il y a lieu de constater que ledit registre rendra publique des informations qui ne constituent pas, pour l'essentiel, des données à caractère personnel. Seules les informations relatives au nom du chargé de direction et de ses délégués, le cas échéant, constituent des données à caractère personnel. La publication de telles données à caractère personnel ne soulève pas de difficulté d'un point de vue de l'application du RGPD alors que cette publication serait effectuée en vertu d'une obligation légale, que constituent les articles 8, 22, 36, 49, 58, 68 et 77 du projet de loi.
  2. Sur le traitement de données à caractère personnel effectué par le ministre dans le cadre des demandes d'agrément qui lui sont adressées La Commission nationale comprend à la lecture du projet de loi que le ministre est amené à collecter et à traiter des données à caractère personnel dans le cadre des demandes d'agrément qui lui sont adressées. En effet, le projet de loi précise que la demande d'agrément, nécessaire à l'exercice de chacun des services visés par le projet de loi, est adressée par les organismes gestionnaires au ministre, et est accompagnée d'un dossier d'agrément qui comprend un certain nombre de documents et de renseignements
  3. Ces documents et renseignements contiennent des données à caractère personnel. La Commission nationale se demande, dès lors, si le ministre n'est pas amené à tenir un fichier centralisant l'ensemble des données collectées et traitées dans le cadre des demandes d'agrément qui lui sont adressées. Si tel devait être le cas, il convient de rappeler que la tenue d'un fichier de données à caractère personnel collectées et traitées par une autorité administrative doit reposer sur une base légale conformément à l'article 6, paragraphe

(3)du RGPD8. s Cf. article 15 pour les « Services et structures d'hébergement pour personnes âgées » (chapitre 1) ; article 29 pour les « Services d'aides et de soins à domicile » (chapitre 2) ; article 43 pour les « Centres de jour pour personnes âgées » (chapitre 3) ; article 53 pour les « Clubs Aktiv Plus » (chapitre 4) ; article 62 pour les « Services repas sur roues » (chapitre 5) ; article 72 pour les « Services activités seniors » (chapitre 6) ; et article 84 pour les « Services téléalarme » (chapitre 7). 9 L article 6 paragraphe
(3), lu ensemble avec son paragraphe
(1)lettres
  1. c)et e)9, dispose que : « Le fondement du traitement visé au paragraphe 1, points
  2. c)et e), est défini par a. le drolt de l'Union; ou b. le droit de rÉtat membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font robjet du traitement; les Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 3/13 Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant
(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de détemiiner la finalité du traitement, Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. La Commission nationale estime donc indispensable, dans l'hypothèse où le ministre tient un fichier, que celui-ci soit prévu par le présent projet de loi. Les dispositions légales portant création d'un tel registre devront contenir les éléments cités au paragraphe ci-dessus. Par ailleurs, la CNPD entend d'ores et déjà formuler dans les développements ci-après des observations quant au traitement de données à caractère personnel effectué par le ministre dans le cadre des demandes d'agrément qui lui sont adressées. personnes concemées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement cornme le prévoit le chapitre IX. ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 4/13 a. Sur les finalités du traitement Conformément au principe de la limitation des finalités, les données personnelles doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. Bien que le projet de loi et le commentaire des articles ne précisent pas expressément les finalités poursuivies par le ministre, la CNPD comprend que les données à caractère personnel collectées et traitées par le ministre le sont aux fins d'octroi et de gestion des agréments. Conformément au principe de la limitation des finalités, lesdites données ne pourraient pas être utilisées par le ministre pour d'autres finalités que celles précitées. b. Sur les catégories de données à caractère personnel et les personnes concernées Les organismes gestionnaires, tel que définis aux chapitres 1 à 7 du présent projet de loi, doivent joindre à leur demande d'agrément les documents et renseignements listés par le projet de 1oi10. La CNPD se félicite d'une telle énumération qui précise, pour chaque document ou renseignement visé par le projet de loi, les personnes concemées ainsi que les catégories de données s'y rapportant. Néanmoins, il ressort des dispositions du projet de loi que le ministre « peut demander tout autre document ou renseignement indispensable à l'établissement du dossier de la demande d'agrément »11. Les auteurs du projet de loi précisent à ce sujet dans les commentaires des articles que « Le ministre se réserve le droit de demander tout autre document pour vérifier le bon fonctionnement et la non mise en danger des résidents »12 sans toutefois préciser de quels types de documents il pourrait s'agir et les personnes concernées par ces mesures supplémentaires. Si ce « document ou renseignement indispensable » contient des données à caractère personnel alors la CNPD estime nécessaire que des précisions à ce sujet soient apportées dans le projet de loi. 1° Cf. article 15 pour les « Services et structures d'hébergement pour personnes âgées » (chapitre 1) ; article 29 pour les « Services d'aides et de soins à domicile » (chapitre 2) ; article 43 pour les « Centres de jour pour personnes âgées » (chapitre 3) ; article 53 pour les « Clubs Aktiv Plus » (chapitre 4) ; article 62 pour les « Services repas sur roues » (chapitre 5) ; article 72 pour les « Services activités seniors » (chapitre 6) ; et article 84 pour les « Services téléalarme » (chapitre 7). 11 Paragraphe
(3)des articles 15, 29, 43, 53, 62, 72 et 84 du projet de loi. 12 Les commentaires des articles 29, 43, 53, 62, 72 et 84 renvoient au commentaire de l'article 15 G0 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 5113 En outre, si le ministre devait dans cette hypothèse collecter indirectement des données relatives aux organismes gestionnaires, chargés de direction ou personnel encadrant à partir d'autres fichiers étatiques, alors une telle cornmunication de données entre ministères ou administrations devrait être précisée dans le texte du projet de loi. c. Sur l'accès aux données Conformément à l'article 5 paragraphe
(1), lettre f) du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». De plus, l'article 32 du RGPD dispose que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données ou des fuites de données. Parmi ces mesures de sécurité, la Commission nationale estime important que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires. La CNPD recommande dès lors que soit prévu au sein du ministère ayant le projet de loi sous avis dans ses compétences que l'accès à de telles données soit limité aux seuls agents ayant besoin d'en connaître dans le cadre de leur fonction. Il conviendrait également de prévoir les modalités de cet accès et de mettre en place une procédure comportant des garanties appropriées visant à exclure toute utilisation allant audelà des finalités pour lesquelles ces données sont initialement traitées et notamment, prévoir un système de journalisation (c'est-à-dire un enregistrement dans des « fichiers journaux » ou «Iogs») des activités des utilisateurs, des anomalies et des événements liés à la sécurité. d. Sur la durée de conservation des données Selon rarticle 5 paragraphe
(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 6/13 La Commission nationale regrette que les auteurs du projet de loi n'aient pas indiqué les durées de conservation des données traitées pour les finalités d'octroi et de gestion des agréments, de sorte qu'elle n'est pas en mesure d'apprécier si en l'occurrence, le principe de durée de conservation limitée des données est respecté concernant la collecte de ces données.
  1. Sur les traitements de données à caractère personnel effectués par les organismes gestionnaires
  2. Sur le traitement de données à caractère personnel relatif à la condition d'honorabilité professionnelle des chargés de direction et du personnel encadrant 11 convient de relever que les organismes gestionnaires qui sont chargés de la gestion et de l'exploitation des structures ou activités, tels que visés par le projet de loi, ne peuvent employer pour les postes de chargé de direction et de personnel encadrant que les personnes qui répondent aux conditions fixées par le projet de loi pour l'occupation de tels postes. L'une des conditions qui doit être remplie par le chargé de direction et le personnel encadrant est notamment la condition d' « honorabilité professionnelle » qui « s'apprécie sur base de ses antécédents pour autant qu'ils concement des faits ne remontant pas à plus de dix ans »13
  3. Le projet de loi précise encore en ce qui concerne cette condition que : « constitue un manquement privant le chargé de direction de l'honorabilité professionnelle, tout comportement ou agissement qui affecte si gravement son intégrité professionnelle qu'on ne peut plus tolérer, dans l'intérêt des résidents concernés, qu'il exerce ou continue à exercer la fonction autorisée ou à autoriser » 15 et que : « constitue un manquement privant l'agent de l'honorabilité professionnelle tout comportement ou agissement qui affecte si gravement son intégrité professionnelle qu'on ne peut plus tolérer, dans l'intérêt des résidents [ou usagers] concernés, qu'il exerce ou continue à exercer la fonction dont il est chargé »
  4. En l'absence de précisions dans le projet de loi et dans le commentaire des articles, la CNPD se demande quels sont les critères d'appréciation d'une telle honorabilité professionnelle. 13 La mème formulation est reprise à l'identique par les articles 4, 18, 33, 47, 57, 66 et 75 du projet de loi en ce qui concerne les chargés de direction. 14 La même formulation est reprise à l'identique par les articles 5, 19, 34, 48, et 67 du projet de loi en ce qui concerne le personnel encadrant. 15 La même formulation est reprise à l'identique par les articles 4, 18, 33, 47, 57, 66 et 75 du projet de loi. 16 La méme formulation est reprise à l'identique par les articles 5, 19, 34, 48, et 67 du projet de loi. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2' la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 7/13 Si la condition d'honorabilité professionnelle est appréciée sur base d'antécédents judiciaires, la CNPD comprend que celle-ci se fera conformément aux dispositions légales de l'article 8-5 de la loi du 23 juillet 2016 portant modification 1) de la loi du 29 mars 2013 relative à l'organisation du casier judiciaire, 2) du Code d'instruction criminelle, 3) du Code pénal. Si tel est le cas, elle suggère de préciser dans le texte du projet de loi pour plus de clarté le terme « judiciaires » juste après le terme « antécédents ». Par ailleurs, il serait important de préciser quel degré de gravité des antécédents judiciaires serait pris en compte par les organismes gestionnaires afin d'apprécier la condition d'honorabilité professionnelle du chargé de direction et du personnel encadrant. La CNPD s'interroge notamment si toute inscription au casier judiciaire entraîne automatiquement une appréciation négative en matière d'honorabilité professionnelle ou si, par contre, les inscriptions doivent avoir atteint un certain niveau de gravité. Si cette condition d'honorabilité professionnelle ne se limite pas aux seuls antécédents judiciaires, la Commission nationale recommande de préciser dans le projet de loi les éléments à prendre en compte pour apprécier l'honorabilité professionnelle. A titre d'exemple, la CNPD renvoie les auteurs du projet de loi au chapitre 3 intitulé « L'honorabilité professionnelle » de la loi modifiée du 2 septembre 2011 réglementant l'accès aux professions d'artisan, de commerçant, d'industriel ainsi qu'à certaines professions libérales et au règlement grand-ducal du 1e décembre 2011 déterminant les modalités de l'instruction administrative prévue à l'article 28 de la loi modifiée du 2 septembre
  5. Ces dispositions légales précisent en effet les éléments sur lesquels l'honorabilité professionnelle s'apprécie. Enfin, la CNPD comprend que c'est aux organismes gestionnaires d'apprécier la condition d'honorabilité professionnelle du chargé de direction et du personnel encadrant, car ces demiers doivent produire, lors de la demande d'agrément, un certificat attestant que le chargé de direction et le personnel encadrant remplissent cette condition
  6. Toutefois, elle se demande si le ministre n'est pas également susceptible d'apprécier une telle honorabilité sur base des dispositions figurant aux paragraphes
(3)des articles 15, 29, 43, 53, 62, 72 et 84 du projet de loi". Si tel était le cas, il conviendrait de le prévoir dans le texte du projet de loi. Par ailleurs, la Commission nationale se pose la question de la continuité des dispositions de l'article 8 du règlement grand-ducal modifié du 8 décembre 1999 concernant l'agrément à accorder aux gestionnaires de services pour personnes 'âgées, qui prévoit que la condition d'honorabilité s'apprécie notamment « sur base de tous les éléments foumis par l'instruction 17 Cf articles 15, paragraphe
(2), 2° et 3°, 29, paragraphe
(2), 2° et 3°, 43, paragraphe
(2), 2° et 3°, 52, paragraphe
(2), 2° et 3°, 62 paragraphe
(2), 2°, 72, paragraphe
(2), 2° et 3°, 84 paragraphe
(2), 2° et 3° 28 Cf. nos développements sous le point l, 2, b) du présent avis CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la toi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 8/13 administrative »? En effet, la CNPD comprend que les dispositions dudit règlement grand-ducal n'auront plus vocation à s'appliquer, dans la mesure où le projet de loi vise à instituer un cadre légal nouveau et à compléter la loi ASFT. Elle se demande toutefois si cette instruction administrative sera toujours effectuée ? Dans l'affirmative, il serait opportun d'inclure également cet élément dans le projet de loi sous examen ainsi que de détailler les données auxquelles peut accéder l'autorité compétente dans le cadre de l'instruction administrative. 2. Sur la création d'un dossier individuel a. Sur le responsable du traitement La Commission nationale regrette que le projet de loi rie précise pas quelle entité aura la qualité de responsable du traitement pour les traitements de données à caractère personnel effectués dans le cadre de l'établissement du dossier individuel précité. Néanmoins, le projet de loi prévoit une obligation pour les organismes gestionnaires en charge de l'exploitation des services et structures d'hébergement pour personnes âgées, services d'aides et de soins à domicile, centres de jour pour personnes âgées, et services téléalarme, d'établir un dossier individuel pour chaque résident ou usager de tels services19.En effet, il ressort du commentaire des articles des auteurs du projet de 1oi29 que l'organisme gestionnaire doit établir pour chaque résident ou usager un dossier individuel. Le responsable du traitement au sens du RGPD semble donc être l'organisme gestionnaire. La CNPD suggère, des lors, que soit mentionné dans l'ensemble des articles relatifs au dossier individuel que l'organisme gestionnaire sera le responsable du traitement. b. Sur la base iuridique sur laguelle se fonde le traitement Il y a lieu de rappeler que tout traitement de données à caractère personnel n'est licite que si au moins une des conditions visées à l'article 6, paragraphe
(1), (ettres
  1. a)à
  2. f)est remplie. Le traitement de données à caractère personnel effectué par les organismes gestionnaires, dans le cadre de la création d'un dossier individuel, se base sur une obligation légale, introduite par le projet de loi aux articles 12, 26, 40 et 81, et ne soulève aucune observation particulière. 19 Cf article 12 pour les services et structures d'hébergement pour personnes àgées, article 26 pour les services d'aides et de soins à domicile, article 40 pour les centres de jour pour personnes âgées, article 81 pour les services téléalarme. 2° Cf commentaires des articles 12, 26, 40 et 81. CNPD' Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 9/13 Par ailleurs, il y a lieu de relever que les données collectées au titre des articles 12, paragraphe
(2), point 7°, 26, paragraphe
(2), point 6°, 40, paragraphe
(2), point 8° et 81, paragraphe
(2), point 7° sont à qualifier de données sensibles au sens de rarticle 9 du RGPD, celles-ci étant relatives à la santé des résidents et des usagers. De tels traitements requièrent une protection spécifique21 et sont soumis à des exigences plus strictes. Le traitement de données sensibles est, en effet, interdit sauf si l'une des conditions visées au paragraphe
(2)de l'article 9 du RGPD est remplie. En ce qui concerne le traitement des données sensibles visées aux articles précités du projet de loi, la CNPD estime que la condition visée à rarticle 9, paragraphe
(2), lettre h), du RGPD est remplie dans le cas présent dans la mesure où le dossier individuel est mis en place afin de notamment assurer le suivi médical et la continuité des soins du résident ou de l'usager. c. Sur les finalités du traitement de données à caractère personnel Il y a lieu de relever que les articles du projet de loi portant création d'un dossier individuel ne mentionnent pas les finalités du traitement de données à caractère personnel. Cependant, il ressort du commentaire de l'article 12 que le but du dossier individuel est de faciliter « la création et le suivi du plan de prise en charge du résident ainsi que l'accès aux données du résident et permet ainsi de retrouver, à tout moment, tous les éléments historiques concernant son parcours et ses activités. Le dossier individuel unique assure la continuité des soins en proposant un dossier commun accessible par les différents intervenants lors de la prise en charge du résident et permet la traçabilité de chaque action sur son dossier en ce qui concerne les aspects médicolégaux. ». Dès lors, en ce qui concerne l'article 12, la CNPD comprend que les finalités du traitement sont essentiellement le suivi de la prise en charge du résident. En l'absence de commentaires des auteurs du projet de loi à ce sujet pour les articles 26, 40 et 81, la CNPD se demande si les mêmes finalités sont applicables pour les dossiers individuels visés par les articles précités. La Commission nationale recommande que les finalités du traitement soient indiquées dans les articles 12, 26, 40 et 81 en tenant compte à chaque fois de la spécificité des services proposés. 21 Voir les affaires rendues par la CJUE du 8 avril 1992, C-62/90, point 23 et du 5 octobre 1994, C-404/92, point
  1. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 10/13 d. Sur les catégories de données à caractère personnel La Commission nationale salue que les catégories de données à caractère personnel collectées par les organismes gestionnaires soient énumérées avec précision dans les articles du projet de loi relatifs au dossier individuel. Toutefois, la Commission nationale part du principe que le numéro d'identification national (matricule) des résidents ou des usagers sera collecté par les organismes gestionnaires lors de l'établissement de tels dossiers individuels. Si tel est le cas, elle recommande de le préciser dans le texte des articles 12, 26, 40 et 81 du projet de loi pour éviter toutes difficultés futures dans la mesure où l'utilisation du numéro d'identification national est strictement encadrée par la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques, au registre national des personnes physiques, à la carte d'identité, aux registres communaux des personnes physiques
  2. .
  3. Sur l'accès aux données La Commission nationale salue que le projet de loi énumère les personnes et entités ayant accès aux données à caractère personnel contenues dans le dossier indiv1due
  4. De même qu'elle se félicite que le projet de loi prévoie que le dossier individuel est accessible aux personnes et entités visées aux paragraphes
(1)des articles 12, 26, 40 et 81 pour les informations visées aux paragraphes
(2)desdits articles qui les concernent dans l'exercice de leur mission. ilressort par ailleurs du projet de loi que le ministre n'aura pas accès à de tels dossiers. En ce qui concerne l'accès à l'Administration d'évaluation et de contrôle de l'assurance dépendance, la CNPD comprend que celle-ci a accès au dossier individuel dans le cadre de ses missions de contrôle telles que détaillées au paragraphe
(1)de l'article 384bis. Enfin, en ce qui concerne l'accès au dossier individuel aux résidents ou aux usagers et, le cas échéant, à leur représentant légal en ce qui concerne leurs données, la Commission nationale se demande si un tel accès n'est pas similaire à celui prévu par l'article 15 du RGPD, qui confère à la personne concernée le droit d'accéder aux données à caractère personnel qui ont été collectées à son sujet afin de prendre connaissance du traitement et d'en vérifier la licéité. 22 En effet, l'article 2, paragraphe
(6)dispose que « Les actes, documents et fichiers établis pour l'accomplissement d'une prestation de service dernandée par la personne dont le numéro est utilisé et pour laquelle une disposition légale ou réglementaire exige la communication du numéro d'identification doivent contenir ce numéro ». 23 cf. paragraphe 1 des articles 12, 26, 40 et 81 du projet de loi. CNPE) Avis de la Commission nationale pour la protection des données relatif au projet de loi n07524 portant sur la qualité des services pour personnes âgées et portant modification de : 10 la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 11/13 Si tel est le cas, il est suggéré que les dispositions légales prévoyant que le résident ou usager, le cas échéant, son représentant légal, puisse accéder à son dossier individuel ou uniquement aux données le concernant pour le représentant légal dans les conditions et conformément à l'article 15 du RGPD. f. Sur la durée de conservation Il y a lieu de rappeler qu'en vertu de l'article 5 paragraphe
(1)lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées pus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Le projet de loi prévoit pour chacun des dossiers individuels une durée de conservation de 10 ans à compter de la fin du contrat d'hébergement24, du contrat de prise en charge25 ou du contrat de services26. La CNPD part de l'hypothèse que pour la fixation de la durée de conservation de 10 ans, les auteurs du projet de loi aient voulu s'aligner sur la durée de conservation des dossiers médicaux des patients prévue à l'article 15
(4)de la loi du 24 juillet 2014 relative aux droits et obligations du patient. Or, en l'absence d'explications des auteurs du projet de loi dans le commentaire des articles précités quant à la nécessité de conserver les données pendant une durée de 10 ans, la CNPD n'est pas en mesure d'apprécier si cette durée est adéquate et proportionnée aux finalités poursuivies. g. Sur la sécurité du traitement Il y a lieu de rappeler qu'en vertu de l'article 32 du RGPD, le responsable du traitement doit mettre en œuvre les mesures appropriées afin de garantir un niveau de sécurité adapté au risque. Il convient plus particulièrement d'attirer l'attention des auteurs du projet de loi sur le fait que dans la mesure où des données sensibles (données de santé) sont amenés à être traitées, les organismes gestionnaires devront mettre en place des mesures de protection afin d'assurer la confidentialité et la sécurité de telles données, dont notamment un système de joumalisation (c'est-à-dire un enregistrement dans des « fichiers journaux » ou «logs») des activités des utilisateurs, des anomalies et des événements liés à la sécurité. En effet, la divulgation de données sensibles pourrait causer un préjudice grave aux usagers ou aux résidents. Dernier alinéa du paragraphe
(2)de rarticte 12. Demier alinéa du paragraphe
(2)de l'article 26 et paragraphe
(3)de l'article 40. 26 Paragraphe
(3)de l'article
  1. 24 25 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mat 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes àgées 12/13 Ainsi décidé à Esch-sur-Alzette en date du 22 juillet
  2. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2020.07.22 09:40:28 +0200' Tine A. Larsen Présidente CNPD Digitally signed by CHRISTOPHE Digital& signed by Marc Ernest trc Deallyslgnedby Ernest nr Jean-Pierre p e Lem. Date 2020.07.22 Lemmer 1649'44 +0200' Christophe Buschmann Commissaire Marc Lemmer Commissaire CHRISTOPHE NICOLAS Thierry Thierry Lallemang NICOLAS BUSCHMANN Date: 2020.07.22 BUSCHMANN Date: 2020.07.22 Lallemang 11:45:48 10:06:16 +02'00' +0200' Thierry Lallemang Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7524 portant sur la qualité des services pour personnes âgées et portant modification de : 1° la loi modifiée du 16 mai 1975 portant statut de la copropriété des immeubles bâtis ; 2° la loi modifiée du 8 septembre 1998 réglant les relations entre l'Etat et les organismes œuvrant dans les domaines social, familial et thérapeutique ainsi qu'au projet de règlement grand-ducal portant sur la qualité des services pour personnes âgées 13/13

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.