Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7738 modifiant : 1° la loi mod

(3)de la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 en précisant que la transmission par les professionnels de santé au directeur de la santé de certaines données à caractère personnel des personnes dont le résultat d'un test diagnostique de l'infection au virus SARS-CoV-2 a été négatif a pour but non seulement de CNP6- Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7738 modifiant : 1° la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 ; 2° la loi du 19 décembre 2020 ayant pour objet la mise en place d'une contribution temporaire de l'Etat aux coûts non couverts de certaines entreprises ; 3° la loi modifiée du 4 juillet 2008 sur la jeunesse. 1/6 suivre l'évolution de la propagation du virus, mais aussi d'acquérir les connaissances fondamentales relatives à cette évolution. Par ailleurs, selon l'article 5 paragraphe

(3)point 2 nouveau de la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19, les laboratoires d'analyses médicales sont obligés de transmettre au directeur de la santé les nom, prénoms, sexe, numéro d'identification ou date de naissance, la commune de résidence ou l'adresse des personnes qui se sont soumises à un test sérologique, ainsi que le résultat de ce test. Ces données sont anonymisées par le directeur de la santé ou son délégué à l'issue d'une durée de deux ans. D'après l'exposé des motifs, comme « le taux d'anticorps contre le SARS-CoV-2 décroit avec le temps, cette signature immunitaire de l'infection n'a de valeur que pendant une durée limitée. Pour cette raison, la durée de conservation la plus appropriée s'avère être de deux ans. » A ce titre, la Commission nationale renvoie au point 2.3 du présent avis, et ce sous réserve de considérations futures de sa part. 2. Ad article 10 du projet de loi n°7738 : la collecte des données à caractère personnel dans le cadre du programme de vaccination 2.1. Remarques préliminaires En ce qui concerne la base légale sur laquelle repose a priori le traitement opéré par directeur de la santé en vue de suivre l'évolution de la propagation du virus SARS-CoV-2, plus précisément l'intérêt public en vertu de l'article 6 paragraphe

(1)lettre

1. e)tout comme l'article 9 paragraphe 2) lettre
2. i)du RGPD, la CNPD tient à renvoyer à ses commentaires y relatifs dans son avis initial relatif au projet de loi n° 7606 portant introduction d'une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVIU-19).1 Néanmoins, elle tient à préciser que l'article 6 paragraphe

(3)du RGPD prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. [...] ». Le considérant 41 du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. 1 Délibération n° 13/2020 du 8 juin

1. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7738 modifiant : 1° la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 ; 2° la loi du 19 décembre 2020 ayant pour objet la mise en place d'une contribution temporaire de l'Etat aux coûts non couverts de certaines entreprises ; 3° la loi modifiée du 4 juillet 2008 sur la jeunesse. 2/6 Ainsi, s'il ne faut pas qu'un texte normatif national ou supranational prescrive spécifiquement un traitement de données, « la finalité du traitement doit cependant être précise, dans la mesure où le texte amenant l'administration à traiter des données doit permettre aux administrés d'en déduire la nature des données et les fins pour lesquelles celles-ci sont utilisées »
2. 2.
3. Quant à la finalité poursuivie par la collecte des données dans le cadre du programme de vaccination L'article 10 paragraphe

(1)nouveau de la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 prévoit que le système d'information mis en place par le directeur de la santé en vue de suivre l'évolution de la propagation du virus SARS-CoV-2 poursuit dorénavant une finalité supplémentaire : « suivre et évaluer de manière continue l'efficacité et la sécurité des vaccins contre la Covid-19. » En vertu de l'article 10 point 2° du projet de loi n°7738, le nouveau point 3 de l'article 10 paragraphe

(2)de la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 prévoit ainsi que le système d'information mis en place par le directeur de la santé porte, en sus des données initialement y contenues,' sur toute une série de données à caractère personnel collectées dans le cadre du programme de vaccination concernant le vaccinateur, d'une part, c'est-à-dire le médecin en charge de poser ou de confirmer l'indication de la vaccination et de prescrire le vaccin afin de mettre en place ce système de surveillance,4 ainsi que la personne à vacciner, d'autre part. Néanmoins, sur base des éléments dont elle dispose à l'heure actuelle, la Commission nationale a des difficultés à saisir la finalité précise de la collecte et de l'enregistrement au système d'information de toutes ces données à caractère personnel concernant le vaccinateur et la personne à vacciner. L'article 5 paragraphe

(1)lettre (b) du RGPD exige en effet que les données à caractère personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ». L'exposé des motifs est assez vague à cet égard en précisant uniquement qu'il convient « d'assurer un suivi spécifique de la qualité et des effets des différents vaccins notamment afin de renforcer la confiance de la population envers la vaccination » et que ce « suivi inclut également les activités usuelles de mesure de la couverture vaccinale, de mesure de l'efficacité des vaccins et de pharmacovigilance. [...] En effet, il s'avère nécessaire de vérifier l'utilité réelle de la vaccination en vue d'en identifier les bénéfices. Enfin, ce suivi permettre d'ajuster la stratégie vaccinale et le plan de déploiement. » 2 M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°619 3 11 s'agit des données collectées en vertu de l'article 5 de la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 et des données collectées en vertu des articles 3 à 5 de la loi du ler août 2018 sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique. 4 Comme précisé dans le commentaire de l'article 10 du projet de loi sous avis. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7738 modifiant : 1° la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 ; 2° la loi du 19 décembre 2020 ayant pour objet la mise en place d'une contribution temporaire de l'Etat aux coûts non couverts de certaines entreprises ; 3° la loi modifiée du 4 juillet 2008 sur la jeunesse. 3/6 Considérant les déclarations du gouvernement que la vaccination contre le coronavirus ne sera pas obligatoire, la CNPD se demande ainsi en quoi consiste exactement la finalité poursuivie par le traitement des données à caractère personnel du vaccinateur et de la personne à vacciner. La finalité telle qu'indiquée, s'inscrit-elle ou est-elle limitée dans un contexte de pharmacovigilance5 ou d'exigences de loi du 4 juillet 2000 relative à la responsabilité de l'Etat en matière de vaccinations consacrant la responsabilité de l'Etat dans certains cas de séquelles dues à une vaccination légale réglementaire ou recommandée par l'Etat ? Vu l'urgence et le manque de précision dans le commentaire des articles, la CNPD n'a pas été en mesure de rechercher et d'analyser les textes légaux en la matière. Elle s'interroge dès lors également si des données similaires sont collectées et enregistrées dans des fichiers étatiques dans le cadre de vaccinations contre d'autres maladies ou pathologies, notamment celles énumérées au règlement grand-ducal modifié du 18 octobre 2001 déterminant la liste des vaccinations recommandées. Enfin, la Commission nationale se demande dans ce contexte si les auteurs du projet de loi ne font pas, par ailleurs, implicitement référence à un traitement ultérieur des données collectées dans un but de recherche scientifique ? Afin de répondre aux exigences de prévision et de prévisibilité auxquelles doit répondre un texte légal, par référence à la jurisprudence européenne, et dans un souci de transparence et de sécurité juridique, la CNPD recommande aux auteurs du projet de loi de préciser dans le corps du texte de manière plus détaillée quelles sont les finalités explicites et déterminées réellement poursuivies par la collecte de ce nombre élevé de données à caractère personnel concernant le vaccinateur et la personne à vacciner. 2.3. Concernant la durée de conservation des données collectées dans le cadre du programme de vaccination L'article 5 paragraphe

(1)lettre (e) du RGPD prévoit que les données à caractère personnel doivent être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Il ressort par ailleurs du considérant

(45)du RGPD que lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement, il devrait appartenir au droit de l'Union ou au droit d'un Etat membre d'établir, entre autres, la durée de conservation des données. Ainsi, la durée de conservation doit être déterminée en fonction de l'objectif ayant conduit à la collecte des données en cause. Une fois cet objectif atteint, ces données devraient être supprimées ou anonymisées (afin notamment de produire des statistiques). 5 Comme prévu par l'article 4 paragraphe

(5)de la loi modifiée du 21 novembre 1980 portant organisation de la Direction de la santé et la loi modifiée du 16 août 1968 portant création d'un Centre de logopédie et de services audiométrique et orthophonique. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7738 modifiant : 1° la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 ; 2° la loi du 19 décembre 2020 ayant pour objet la mise en place d'une contribution temporaire de l'Etat aux coûts non couverts de certaines entreprises ; 3° la loi modifiée du 4 juillet 2008 sur la jeunesse. 4/6 Le point 4° de l'article 10 du projet de loi n°7738 prévoit dans ce contexte que les données à caractère personnel des vaccinateurs sont anonymisées au plus tard à l'issue d'une durée de deux ans après leur collecte, tandis que les données à caractère personnel des personnes à vacciner sont anonymisées au plus tard à l'issue d'une durée de vingt ans après leur collecte. L'exposé des motifs précise dans ce contexte que « les données des personnes vaccinées seront conservées pendant vingt ans à compter de la date de collecte, période minimale permettant d'assurer le suivi optimal de la vaccination, dans une optique de protection des personnes vaccinées sur le long terme. En effet, il ne faut pas oublier que nous sommes en présence d'un vaccin nouveau qui est déployé et dont les effets se manifesteront en temps réels. Il est dès lors dans l'intérêt même de la personne vaccinée que les données la concernant soient conservées le plus longtemps possible afin de vérifier si un effet apparaissant au bout de plusieurs années peut, le cas échéant, être mis en relation avec le vaccin ou non. En revanche, s'agissant des données des vaccinateurs, celles-ci seront conservées pendant deux ans. Ceci s'explique par leur nécessité en vue d'assurer le suivi des effets indésirables sur les courts et moyens termes uniquement. Cette collecte ayant un autre objectif, le principe de proportionnalité commande des délais de conservation plus courts. » Au regard du RGPD, il est nécessaire et primordial de définir une durée de conservation des données au sein du système d'information de la direction de la santé qui soit proportionnée au regard de la finalité poursuivie. Partant, il est nécessaire de définir des critères objectifs permettant de justifier une durée de conservation adéquate. Néanmoins, la Commission nationale ne dispose pas de l'expertise scientifique et épidémiologique nécessaire, afin d'évaluer si la conservation des données des personnes vaccinées pendant vingt ans à compter de la date de collecte est vraiment nécessaire et proportionné, au regard de la finalité vague et imprécise telle qu'indiquée dans le texte du projet de loi. La CNPD saisie l'occasion pour souligner l'importance fondamentale du droit à l'information des personnes concernées. En vertu des articles 13 et 14 du RGPD, le responsable du traitement est en effet obligé de fournir aux personnes concernées certaines informations lorsque des données à caractère personnel sont collectées directement auprès d'elles ou indirectement à travers un tiers. Une information précise et adaptée devra donc être apportée aux personnes concernées dans un contexte sanitaire particulier, tant aux vaccinateurs et surtout aux personnes à vacciner, en particulier de toute utilisation ultérieure de leurs données, ayant à l'esprit que le délai de conservation des données prévu est de vingt ans. Finalement, faute de précision dans le texte du projet de loi n°7738, la CNPD se demande quelle est l'origine des données à caractère personnel des vaccinateurs et des personnes vaccinées, c'est-à-dire qui est obligé de collecter, ainsi que de transmettre et d'enregistrer les données en cause dans le système d'information de la direction de la santé. S'agit-il des vaccinateurs-mêmes qui sont en charge du programme de vaccination dans les centres de vaccinations ?6 Ou est-ce qu'à court et moyen terme il est aussi prévu que les médecins référents peuvent directement vacciner leurs patients et dans ce cas, ils seraient obligés de transmettre les données en cause à la direction de la santé ? En outre, il y a lieu de s'interroger qu'est-ce qu'il advient des données ainsi collectées par les vaccinateurs et transmises ensuite à la direction de la santé. Est-ce que les données collectées par les vaccinateurs sont-elles 6 A voir dans ce contexte la stratégie de vaccination contre la COVID-19 du Luxembourg : https://sante.public.lerlactualites/2020/12/comrnunique-strateqie-vaccination/index.html. CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7738 modifiant : 1° la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 ; 2° la loi du 19 décembre 2020 ayant pour objet la mise en place d'une contribution temporaire de l'Etat aux coûts non couverts de certaines entreprises ; 3° la loi modifiée du 4 juillet 2008 sur la jeunesse. 5/6 immédiatement détruites dès la transmission ou restent-elles enregistrées dans des fichiers des vaccinateurs pendant un certain délai ? Ces points mériteraient d'être clarifiés et précisés dans le texte du projet de loi. Ainsi décidé à Belvaux en date du 22 décembre 2020. La Commission nationale pour la protection des données Digitally signed by Tine Tine Annemarie Annemarie Larsen Date: 2020.12.22 Larsen 18:36:45 +0100' Tine A. Larsen Présidente CNPD Thierry Lallemang Digitally signed by Thierry Lallemang Date: 2020.12.22 18:27:59 +0100' Thierry Lallemang Commissaire CHRISTOPHE NICOLAS BUSCHMANN Digitally signed by CHRISTOPHE NICOLAS BUSCHMANN Date: 2020.12.22 18:33:45 +01'00' Christophe Buschmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7738 modifiant : 1° la loi modifiée du 17 juillet 2020 portant introduction d'une série de mesures de lutte contre la pandémie Covid-19 ; 2° la loi du 19 décembre 2020 ayant pour objet la mise en place d'une contribution temporaire de l'Etat aux coûts non couverts de certaines entreprises ; 3° la loi modifiée du 4 juillet 2008 sur la jeunesse. 6/6