Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant 1° la loi modif

(1), lettre (c) du reglement n° 2016/679 du 27 avril 2016 relatif a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel et a la libre circulation de ces donnees, et abrogeant la directive 95/46/CE (reglement general sur la protection des donnees) (ci-apres le« RGPD »), auquel se refere !'article 7 de la loi du 1er ao0t 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees, la Commission nationale pour la protection des donnees (ci-apres designee la « Commission nationale » ou la « CNPD ») « conseille, conformement au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives a la protection des droits et libertes des personnes physiques a l'egard du traitement ». Par courrier en date du 25 octobre 2021, Monsieur le Ministre de l'Energie et de l'Amenagement du territoire Claude Turmes a invite la Commission nationale a se prononcer sur le projet de loi modifiant 1° la loi modifiee du 1er ao0t 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er ao0t 2007 relative a !'organisation du marche du gaz naturel (ci-apres le « projet de loi »). Selan l'expose des motifs le projet de loi a pour objet la transposition de la directive (UE) 2019/944 du Parlement europeen et du Conseil du 5 juin 2019 concernant des regles communes pour le marche interieur de l'electricite et modifiant la directive 2012/27/UE (ci-apres la «directive»), cette directive abroge la directive 2009/72/CE qui avait « constitue Jusque-la le cadre europeen du Marche interieur de l'electricite ». II ressort de l'expose des motifs que la directive « presente /es reg/es applicables a la generation, a la transmission, a la distribution, a l'approvisionnement et au stockage de l'electricite. Elle aborde egalement /es aspects lies a la protection du consommateur, afin de creer au sein de /'Union europeenne des marches de l'electricite integres, concurrentiels, axes sur /es consommateurs, soup/es, equitables et transparents ». Par ailleurs, ii convient de relever que certaines dispositions du projet de loi traitent des aspects lies au respect de la vie privee et a la protection des donnees a caractere personnel. II s'agit des dispositions relatives a la plateforme informatique nationale de donnees energetiques (I) , celles Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aoQt 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 1/23 relatives a l'enregistrement des conversations telephoniques (II) et celles relatives au comptage intelligent (Ill) . I. Sur la mise en ceuvre d'une plateforme informatique nationale de donnees energetiques Force est de constater que le principe de la mise en place d'une plateforme informatique nationale de donnees energetiques est deja prevu par !'article 27, paragraphe

(15)de la loi modifies du 1 er ao0t 2007 relative a !'organisation du marche de l'electricite 1 . Selan l'expose des motifs, le projet de loi sous avis « prevoit une adaptation des dispositions existantes pour la mise en ceuvre d'une plateforme informatique nationale de donnees energetiques. Ainsi ii prevoit qu'elle devra etre mise en reuvre par le gestionnaire de reseau de transport a cause de son role central et sa neutralite sur le marche luxembourgeois. II precise /es finalites de la plateforme, /es modalites d'application, /es donnees a saisir, la protection des donnees ainsi que !es reg/es d'acces a la plateforme et prevoit entre autres que la communication de marche est geree par cette plateforme ». Or, ii ya lieu de s'interroger sur les motivations qui justifieraient qu'une entreprise privee gererait une telle plateforme dans l'interet public, plutot que le ministre ayant l'energie dans ses attributions ou encore l'lnstitut Luxembourgeois de Regulation (ci-apres « l'ILR ») ? En effet, confier la gestion d'une plateforme nationale dans l'interet public et le traitement de donnees y relatif par une loi a une entreprise privee constituerait un precedent. Ne serait-il pas, par exemple, preferable compte tenu des missions de l'ILR, telles que visees a !'article 54, paragraphe

(2)de la loi modifiee du 1er ao0t 2007 relative a !'organisation du marche de l'electricite, tel que modifie par le projet de loi, qu'en tant que regulateur dans le secteur de l'electricite2 , l'ILR gere la plateforme envisagee par le projet de loi? L'article 21 du projet de loi entend introduire un nouvel article 27ter qui precise la base legale pour la mise en ceuvre de ladite plateforme et dispose que celle-ci « est deployee par le gestionnaire de reseau de transport qui en assure egalement, dans !es limites prevues a l'alinea 2 du present paragraphe, le role de responsable de traitement vise par /'article 4, point 7, du [RGPDJ ». La Commission nationale comprend que cette plateforme aura egalement pour objet la centralisation de !'ensemble des donnees collectees par les acteurs du marche de l'electricite et 1 Cette disposition a ete introduite par la loi du 3 fevrier 2021 modifiant la loi modifiee du 1er aout 2007 relative marche de l'electricite pour laquelle l'avis de la CNPD ne semble pas avoir ete demandee. 2 Article 1er,

(42)de la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite. a !'organisation du Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aoQt 2007 relative a !'organisation du marche de l'electricite; 2° la loi modifiee du 1er aoQt 2007 relative a !'organisation du marche du gaz naturel 2/23 assurera la conseNation desdites donnees « a des fins archivistiques, a des fins de recherche scientifique ou historique ou a des fins statistiques » 3 . Le commentaire des articles precise, en effet, a ce sujet que cette plateforme qui « sert de repertoire central de reference pour /es donnees energetiques » permettra un « archivage centralise des donnees energetiques, evitant ainsi une multiplication de donnees chez differents acteurs et servira de base pour des donnees a mettre a disposition a des fins de recherche et au grand public (open data) ». Si !'introduction de telles dispositions est necessaire au regard des dispositions de !'article 6, paragraphe

(3), du RGPD, ii ya lieu de constater que lesdites dispositions ne sont pas redigees avec suffisamment de precisions. La CNPD y reviendra plus particulierement dans ses developpements ci-apres. A. Sur le principe de liceite des traitements vises a !'article 27ter II y a lieu de feliciter les auteurs du projet de loi sur le fait que, d'un point de vue de la securite juridique, le projet de loi instaure une base legale quanta la mise en reuvre d'une telle plateforme informatique nationale de donnees conformement a !'article 6, paragraphe

(3), du RGPD. En effet, lorsque le traitement de donnees a caractere personnel est « necessaire au respect d'une obligation legate a laquelle le responsab/e du traitement est soumis » 4 ou « est necessaire a !'execution d'une mission d'interet public » 5 alors le fondement d'un tel traitement est notamment defini par« le droit de l'Etat membre auquel le responsab/e du traitement est soumis » conformement a !'article 6, paragraphe

(3), du RGPD. L'article 6, paragraphe

(3), du RGPD dispose que « [l]e fondement du traitement vise au paragraphe 1, points c) et e), est defini par : a. le droit de !'Union; ou b. le droit de l'Etat membre auque/ le responsable du traitement est soumis. Les finalites du traitement sont definies dans cette base juridique ou, en ce qui concerne le traitement vise au paragraphe 1, point e), sont necessaires a /'execution d'une mission d'interet public ou relevant de l'exercice de /'autorite publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions specifiques pour adapter /'application des reg/es du present reglement, entre autres: /es conditions generates regissant la liceite du traitement par le responsable du traitement; /es types de donnees qui font /'objet du traitement; /es 3 Article 27ter, paragraphe

(2), lettre a) du projet de loi. Article 6 , paragraphe

(1), lettre c) du RGPD 5 Article 6 , paragraphe

(1), lettre e) du RGPD 4 Avis de la Commission nationale pour la protection des donnees a relatif au projet de lei n°7876 modifiant n°1 la lei modifiee du 1er aout 2007 relative !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz nature! 3/23 personnes concernees; Jes entites auxquelles Jes donnees a caractere personnel peuvent etre communiquees et Jes finalites pour lesquelles el/es peuvent l'etre; la limitation des finalites; Jes durees de conservation; et Jes operations et procedures de traitement, y compris Jes mesures visant a garantir un traitement licite et loyal, tel/es que eel/es prevues dans d'autres situations particulieres de traitement comme le prevoit le chapitre IX. » Cet article prevoit une contrainte particuliere liee a la liceite d'un traitement de donnees necessaire au respect d'une obligation legale ou a !'execution d'une mission d'interet public ou relevant de l'exercice de l'autorite publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalites des traitements de donnees doivent specifiquement etre definis soit par le droit de l'Union europeenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considerant

(45)du RGPD precise qu'il devrait « (. ..) appartenir au droit de /'Union ou au droit d'un Etat membre de determiner la finalite du traitement. Par ailleurs, ce droit pourrait preciser Jes conditions genera/es du present reglement regissant la liceite du traitement des donnees caractere personnel, etablir Jes specifications visant determiner le responsable du traitement, le type de donnees a caractere personnel faisant /'objet du traitement, Jes personnes concernees, Jes entites auxquelles Jes donnees a caractere personnel peuvent etre communiquees, Jes limitations de la finalite, la duree de conservation et d'autres mesures visant a garantir un traitement licite et loyal(. ..) ». a a Le considerant

(41)du RGPD enonce encore que « [l]orsque le present reglement fait reference a une base Juridique ou a une mesure legislative, cela ne signifie pas necessairement que /'adoption d'un acte /egislatif par un parlement est exigee, sans prejudice des obligations prevues en vertu de /'ordre constitutionnel de l'Etat membre concerne. Gependant, cette base juridique ou cette mesure legislative devrait etre claire et precise et son application devrait etre previsible pour Jes justiciab/es, conformement a la jurisprudence de la Gour de justice de /'Union europeenne et de la Gour europeenne des droits de l'homme. ». En vertu des dispositions precitees, ces bases legales devraient etablir des dispositions specifiques visant a determiner, entre autres, les types de donnees traitees, les personnes concernees, les entites auxquelles les donnees peuvent etre communiquees et pour quelles finalites , les durees de conservation des donnees ou encore les operations et procedures de traitement. Or, force est de constater que certaines de ces elements ne figurent pas ou ne sont pas detailles avec suffisamment de precision par !'article 27ter. La CNPD y reviendra dans ses developpements ci-apres. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aoOt 2007 relative !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aoOt 2007 relative !'organisation du marche du gaz naturel a a 4/23 En outre, la Commission nationale se doit de souligner !'importance fondamentale du principe de liceite d'un traitement de donnees a caractere personnel qui doit etre lu a la lumiere de !'article 8 paragraphe

(2)de la Convention europeenne des droits de l'homme concernant le droit au respect de la vie privee, ainsi que de !'article 52 paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union europeenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Gour europeenne des droits de !'Homme, retiennent que toute limitation a l'exercice du droit a la protection des donnees a caractere personnel, tel que le traitement de donnees n'est admissible que si cette ingerence ou limitation peut etre justifiee a condition qu'elle : soit prevue par une loi accessible aux personnes concernees et previsible quanta ses repercussions, c'est-a-dire formulee avec une precision suffisante ; respecte le contenu essentiel du droit a la protection des donnees ; soit necessaire dans une societe democratique, sous reserve du principe de proportionnalite ; reponde effectivement a des objectifs d'interet general ou au besoin de protection des droits et libertes d'autrui. Dans la mesure ou certaines dispositions legales du projet de loi ne respectent pas les exigences de clarte, de precision et de previsibilite auxquelles un texte legal doit repondre, conformement a la jurisprudence de la Cour de justice de !'Union europeenne et de la Cour europeenne des droits de l'homme 6 , la Commission nationale s'attardera plus particulierement sur la premiere condition precitee. Ainsi, selon la jurisprudence de la Cour europeenne des droits de l'Homme, la legislation interne doit etre « accessible aux personnes concernees et previsible quanta ses repercussions » 7 . Une regle est previsible « si elle est formulee avec une precision suffisante pour permettre a toute personne - beneficiant eventuellement d'une assistance appropriee - d'adapter son comportement » 8 ainsi que « [l]e degre de precision requis de la "loi" a cet egard dependra du sujet en question » 9 . Cet encadrement legal serait par ailleurs un garant du principe de securite juridique au profit des personnes concernees. La securite juridique constitue un principe general du droit de !'Union europeenne, exigeant notamment qu'une reglementation entrainant des consequences defavorables a l'egard de particuliers soit claire et precise et son application previsible pour les a caractere personnel dans le secteur public », Normes et legistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; Vair entre autres CourEDH , Zakharov e. Russie [GCL n°47413/06), § 228-229 , 4 decembre 2015 , CourEDH, Vavricka et autres c. Republique !cheque (requetes n°47621/13 et 5 autres) , § 276 293, 8 avril

1. 7 CouEDH, Amann c. Suisse [GCJ, n° 27798195, 16 fevrier 2000, para. 50 ; V. egalement CouEDH, Kopp c. Suisse, n ° 23224194, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 fevrier 2009, para.
2. 8 CouEDH, Amann c. Suisse [GCJ, n° 27798195, 16 fevrier 2000, para . 56 ; V. egalement CouEDH, Malone c. Royaume-Uni, n ° 8691179, 26 avril 1985, para. 66 ; CouEDH, Silver et autres c. Royaume-Uni, n ° 5947172, 6205173, 7052175, 7061175, 7107175, 7113175, 25 mars 1983, para.
3. 9 CouEDH, The Sunday Times c. Royaume-Uni, n° 6538174, 26 avril 1979, para. 49 ; V. egalement CouEHD, Silver et autres c. Royaume-Uni, n ° 5947172, 6205173, 7052175, 7061175, 7107175, 7113175, 25 mars 1983, para.
4. 6 Ence sens, voir M. Besch, « Traitement de donnees a Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative !'organisation du marche du gaz nature! a a 5/23 justiciables. La reglementation doit permettre aux interesses de conna1tre avec exactitude l'etendue des obligations qu'elle leur impose, doit leur permettre de connaitre sans ambiguHe leurs droits et leurs obligations ainsi que leur permettre de prendre leurs dispositions en consequence 1° . C'est la raison pour laquelle, la Cour europeenne des droits de l'homme au sein de sa jurisprudence affirme que « le droit interne doit offrir une certaine protection contre des atteintes arbitraires de la puissance publique aux droits garantis par /'article 8 paragraphe 1 » 11 . Par consequent, la legislation interne « doit definir l'etendue et /es modalites d'exercice du pouvoir avec une nettete suffisante - compte tenu du but legitime poursuivi - pour fournir a l'individu une protection adequate contre /'arbitraire » 12 . La Cour de justice de l'Union europeenne estime qu'en cas de limitation de la protection des donnees a caractere personnel ou du droit au respect de la vie privee, un texte legal « doit prevoir des reg/es claires et precises regissant la portee et /'application de la mesure en cause et imposant un minimum d'exigences de sorte que /es personnes dont /es donnees ant ete conservees disposent de garanties suffisantes permettant de protegerefficacement /eurs donnees a caractere personnel contre /es risques d'abus ainsi que contre tout acces et toute utilisation illicites de ces donnees » 13 . En l'espece, les dispositions legales qui entendent prevoir des traitements de donnees a caractere personnel via la plateforme electronique ne sont pas redigees avec suffisamment de precisions, de sorte qu'il est difficile de comprendre quels seraient les traitements envisages et effectues par quelles entites et pour quelles finalites. Or, de telles precisions s'averent necessaires afin d'analyser si les principes vises a !'article 5, paragraphe

(1), du RGPD seraient respectes et plus particulierement les principes de limitation des finalites et de minimisation des donnees. En outre, la Commission nationale est d'autant plus preoccupee par !'absence de telles precisions alors qu'elle s'interroge sur ce qu'adviendrait les donnees issues des compteurs intelligents et conservees par le gestionnaire du reseau de transport dans le« repertoire central de reference». II y a lieu de rappeler que le Controleur europeen de la protection des donnees (ci-apres le « CEPD ») dans son avis sur la recommandation de la Commission europeenne relative a la preparation de !'introduction des systemes intelligents de mesure a considere que « sans /'adoption de mesures adequates garantissant que seu/s /es tiers autorises peuvent acceder aux donnees et /es traiter pour des finalites clairement specifiees et dans le respect de la legislation applicable en matiere de protection des donnees, le deploiement des systemes intelligents de 10 V. p.ex. Gour EDH, Aurubis Balgaria du 31 mars 2011, C-546/09, points 42-43; Arret, Alfamicro c. Commission du 14 novembre 2017, T-831114, points 155-157 11 Gour EDH, Amann c. Suisse [GCJ, n°27798/95 para

1. 12 !bidem. V. egalement Gour EDH, Malone c. Royaume-Uni, serie A n°82, du 2 aoot 1984, pp. 31-32, para .66 ; Gour EDH, Fernandez Martinez c. Espagne CE:ECHR:2014.0612JUD005603007, 12 juin 2014 para. 117 ; Gour EDH, Liberty et autres c. Royaume-Uni, no 58243/00, du 1er juillet 2008, para. 62 et 63; Gour EDH, Rotaru c. Roumanie, App. N° 28341/95, 4 mai 2000, para. 57 a 59 et Gour EDH, Set Marper c. Royaume-Uni, Requetes n° 30562104 et 30566/04, du 4 decembre 2008 para .
2. , Dimitrov-Kazakov c. Bulgarie n°11379/03, du 10 fevrier 2011 . 13 Arret du 8 avril 2014 , Digital Rights Ireland e.a. C-293/12 et C-594/12 , EU :C :2014 :238 , point
3. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative !'organisation du marche du gaz nature! a 6/23 mesure pourrait donner lieu au suivi de la vie quotidienne des personnes dans leur propre logement et a /'etablissement d'un profit detaille de taus /es individus sur la base de leurs activites domestiques. Compte tenu de la quantite meme d'informations amassees par ces compteurs intelligents, de la disponibilite omnipresente de donnees d'autres sources et des avancees de la technologie d'exploration de donnees, le potentiel d'une exploration etendue des donnees est considerable. Des comportements de consommation peuvent etre observes dans chaque menage, mais aussi dans plusieurs menages; rassembles, agreges et tries par region, selon la demographie, etc. II est done possible d'etablir des profits et de /es appliquer ensuite a des menages ou a des membres de ces menages » 14 . Le CEPD a egalement souligne que les comportements de consommation qui pourraient etre tires des donnees issues des compteurs intelligent pourraient, en outre, « s'averer tres utiles pour analyser notre consommation d'energie des fins de conservation de l'energie. En revanche, /es tendances et /es profits peuvent etre utilises beaucoup d'autres fins, et notamment - c'est peutetre le point le plus important - pour des finalites commerciales et publicitaires » 15 et en a conclu qu'« [e]u egard aux risques pour la protection des donnees, la garantie d'un niveau eleve de protection des donnees a caractere personnel est /'une des conditions prealables principales au deploiement des systemes intelligents de mesure » 16 . a a Or, en l'etat actuel de la formulation du projet de loi , ii est difficile de comprendre, le cas echeant, si les donnees issues de compteurs intelligents seraient traitees pour des finalites ulterieures differentes de celles pour lesquelles elles ont ete collectees initialement. En outre , les dispositions du projet de loi ne permettent manifestement pas d'analyser si de tels traitements engendreraient des risques et derives pour les personnes concernees, et notamment si de telles donnees seraient le cas echeant utilisees pour des finalites commerciales et publicitaires. A la lumiere des developpements ci-avant, ii est, des lors, indispensable que les dispositions de !'article 27ter soient redigees avec suffisamment de precisions afin de permettre de repondre aux interrogations soulevees precedemment. B. Sur les acteurs de la plateforme En vertu des dispositions de !'article 27ter, paragraphe

(1), du projet de loi, le gestionnaire de reseau de transport aurait le« role de responsable du traitement » au sens de !'article 4, point 7, du RGPD . Lesdites dispositions precisent encore que « [l]e gestionnaire de reseau de transport n'est responsable que des traitements des donnees sur la p/ateforme. Lorsqu'une entreprise 14 Point 18 15 Point 19 16 Point 22 Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 7/23 d'electricite ou de gaz nature/ execute un traitement en utilisant la plateforme, elle est responsable de la veracite et de /'exactitude des donnees. Neanmoins, le gestionnaire de reseau de transport doit prevoir une procedure qui permet de verifier la veracite et /'exactitude des donnees sur la plateforme, d'effacer ou de rectifier /es donnees inexactes sans tarder suite a une demande de rectification et de notifier toute rectification conformement a /'article 19 du reglement UE 2016/679 precite du 27 avril 2016 aux destinataires des donnees rectifies». Selan le commentaire des articles le paragraphe

(1)de !'article 27terdu projet de loi « charge le gestionnaire de reseau de transport de la mission de la mise en place d'une telle p/ateforme, et precise que ce dernier est responsable des traitements des donnees sur la plateforme. II est done responsable de /'implementation et du bon fonctionnement de la plateforme. Par contre, /es entreprises d'electricite et de gaz nature/, en tant qu'utilisateurs de la plateforme, tiennent la responsabilite pour la veracite et !'exactitude des donnees qu'ils introduisent ou modifient sur la plateforme. Ceci s'explique par le fait que certains traitements de donnees sur la p/ateforme se jouent entre acteurs du marche sans que le gestionnaire de reseau de transport y soit directement implique ». Or, tant les dispositions legales prevues par le projet de loi que les explications fournies par les auteurs du projet de loi ne permettent pas de determiner clairement les roles respectifs du gestionnaire de reseau de transport et des entreprises d'electricite ou de gaz d'un point de vue de la protection des donnees. II convient encore de rendre attentifs les auteurs du projet de loi sur le fait qu'« [i]I peut y avoir des responsables conjoints du traitement lorsque plus d'un acteur intervient dans le traitement. Le RGPD introduit des reg/es specifiques pour /es responsables conjoints du traitement et etablit un cadre qui regit leur relation. Le critere essentiel pour qu'il y ait responsabilite conjointe du traitement est la participation conjointe de deux entites ou plus dans la determination des finalites et des moyens d'une operation de traitement. Une participation conjointe peut prendre la forme d'une decision commune prise par deux entites ou plus ou decouler de decisions convergentes adoptees par deux entites ou plus, lorsque /es decisions se completent et sont necessaires a la realisation du traitement de telle sorte qu'el/es ant un effet concret sur la determination des finalites et des moyens du traitement » 17 . En outre, « {/]a responsabilite conjointe du traitement exige egalement que deux entites ou plus aient exerce une influence sur /es moyens du traitement. Ce/a ne signifie pas que, pour qu'il existe une responsabilite conjointe du traitement, chaque entite concernee doive dans taus /es cas determinertous !es moyens du traitement. En effet, comme /'a precise la CJUE, differentes entites peuvent intervenir a des etapes differentes du traitement et a des degres divers. Par consequent, 17 Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD , adoptees le 7 juillet 2021 par le Comite Europeen de la Protection des Donnees, page 3 Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 8/23 differents responsables conjoints du traitement peuvent definir /es moyens de ce/ui-ci dans une mesure variable, en fonction de ce/ui qui est effectivement en mesure de le faire » 18 . II convient encore de relever que le sous-traitant est« /a personne physique ou morale, /'autorite publique, le service ou un autre organisme qui traite des donnees a caractere personnel pour le compte du responsable du traitement. II existe deux conditions de base pour etre considere comme un sous-traitant: ii doit s'agir d'une entite distincte du responsable du traitement et ii doit traiter /es donnees a caractere personnel pour le compte du responsable du traitement » 19 . Dans la mesure ou les dispositions sous avis entendent viser une pluralite de traitements pour des finalites differentes et qui, d'apres la comprehension de la CNPD , seraient effectues par differents acteurs, le role de !'ensemble des utilisateurs de cette plateforme devrait etre determine a la lumiere des developpements ci-avant. En effet, ii ya lieu de s'interroger sur le role du gestionnaire de reseau de transport si celui-ci ne se charge que de la mise a disposition de la plateforme. De plus, quel serait son role si celui-ci est amene a tenir le « repertoire central de reference » et conserve les donnees recueillies par les acteurs du marche ? Qu'en serait-il encore du role des entreprises d'electricite et de gaz si « certains traitements de donnees sur plateforme se jouent entre acteurs du marche sans que le gestionnaire de reseau de transport y soit directement implique » ? En outre, la determination du responsable du traitement est primordiale alors que c'est sur ce dernier que pese le respect de !'ensemble des principes enonces a !'article 5 du RGPD. L'article 24 du RGPD dispose encore a ce sujet que « le responsab/e du traitement met en reuvre des mesures techniques et organisationnelles appropriees pour s'assurer et etre en mesure de demontrer que le traitement est effectue conformement au present reglement ». Or, en l'espece et compte tenu de la formulation actuelle du projet de loi, ii est impossible de savoir sur quel acteur peserait de telles obligations ni si celles-ci seraient respectees. Enfin , les dispositions sous avis ne devraient pas decharger le ou les responsables du traitement des obligations qui leur incombent en vertu du RGPD. Ainsi, si le gestionnaire de reseau de transport devait etre le responsable du traitement alors les dispositions de !'article 27ter, paragraphe

(1), du projet de loi ne devraient pas exclure sa responsabilite quanta la « la veracite et /'exactitude des donnees » qui seraient utilisees via la plateforme. 18 Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD , adoptees le 7 juillet 2021 par le Comite Europeen de la Protection des Donnees, §63, page 24 . 19 Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD , adoptees le 7 juillet 2021 par le Comite Europeen de la Protection des Donnees, page 4 . Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aoOt 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aoOt 2007 relative !'organisation du marche du gaz naturel a 9/23 En tout etat de cause, pour une meilleure comprehension du texte sous avis et afin de respecter le principe de previsibilite auquel doit repondre tout texte legal ou reglementaire 20 , la CNPD estime indispensable de clarifier a la lumiere des developpements precedents le role des differents acteurs dans le contexte de !'article 27ter du projet de loi. La Commission nationale se permet, par ailleurs, de reiterer ses observations formulees sous le point I du present avis en ce qu'elle s'interroge sur l'entite qui devrait etre chargee de la gestion d'une telle plateforme. C. Sur les « objectifs » poursuivis par la plateforme II y a lieu de relever que le paragraphe

(2)de !'article 27ter enumere les « objectifs » de la plateforme qui sont les suivants : « servir comme repertoire central de reference » 21 : ii est precise dans le commentaire des articles que ce repertoire central de reference« assurera un acces efficace, convivial et securise pour Jes entreprises d'electricite et de gaz nature/ » 22 ; assurer« /a conservation des donnees a des fins archivistiques , a des fins de recherche scientifique ou historique ou a des fins statistiques » 23 ; assurer « une gestion centralisee de la communication de marche » 24 {la communication de marche est definie comme etant « un echange, par le biais d'une communication electronique et standardisee, entre Jes gestionnaires de reseau 25 et Jes acteurs du marche, de toutes Jes donnees et informations visees a /'article 27ter, paragraphe

(3), alinea 1er, point c) » ; assurer une « execution efficace des contrats ainsi que des obligations /ega/es et de permettre aux intervenants de faire face a /'evolution du marche en termes de flexibilite » 26 ; « permettre /'elaboration et la mise a disposition de statistiques et de donnees anonymisees a des fins de surveillance, de transparence et de recherche »27 . Bien qu'il y ait lieu de saluer l'effort d'enumeration des objectifs poursuivis, force est de constater que certaines desdites dispositions ne respectent pas les exigences de clarte, de precision et de 20 a Ence sens, V. M. Besch , « Traitement de donnees caractere personnel dans le secteur public », Normes et legistique en droit public luxembourgeois, Luxembourg , Promoculture Larcier, 2019, p.469 , n°619 ; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06), § 228-229 , 4 decembre 2015 . 21 Article 27ter, paragraphe

(2), lettre a) du projet de loi . 22 Voir AD Article 21 , commentaire des articles. 23 Article 27ter, paragraphe

(2), lettre a) du projet de loi. 24 Article 27ter, paragraphe

(2), lettre b), i) du projet de loi. 25 Article 1, paragraphe

(25)de la loi du 1•' ao0t 2007 relative !'organisation du marche de l'electricite, texte coordonne , qui dispose qu'un gestionnaire de reseau est « indifferemment un gestionnaire de reseau de transport ou un gestionnaire de reseau de distribution ou un gestionnaire d'un reseau industriel ou un gestionnaire d'une ligne directe ». 26 Article 27ter, paragraphe

(2), lettre

1. b),
2. i)du projet de loi. 27 Article 27ter, paragraphe

(2), lettre c) du projet de loi. a Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 10/23 previsibilite auxquelles un texte legal doit repondre, conformement a la jurisprudence de la Gour de justice de l'Union europeenne et de la Gour europeenne des droits de l'homme28 . Cette difficulte de comprehension est d'autant plus accentuee, alors que les donnees semblent etre traitees pour une pluralite de finalites differentes. Par ailleurs, la CNPD se demande si les donnees qui seraient collectees via la plateforme le seraient pour des finalites ulterieures qui seraient differentes de celles pour lesquelles elles ont ete collectees initialement. Sur ce principe ii convient de rappeler que conformement au principe de limitation des finalites 29 , les donnees doivent etre collectees pour des finalites determinees, explicites et legitimes , et ne doivent pas, en principe, etre traitees pour des finalites « incompatibles » avec ces finalites d'origine. II ya lieu de relever que le CEPD, dans son avis sur la proposition de la Commission modifiant la directive (UE) 2015/849 et la directive 2009/101/CE intitule « Acces aux informations sur les beneficiaires effectifs et consequences sur la protection des donnees » 30 , a souligne !'importance d'un tel principe. Le CEPD estime, en effet, que la disposition du RGPD relative au principe de limitation des finalites est« parliculierement importante en ce qui conceme l'ingerence de l'ordre public dans la protection des donnees a caractere personnel, car la proportionnalite de leur traitement devra etre evaluee en fonction de l'objectif politique defini par le legislateur. A cet egard, nous considerons que des instruments legislatifs permettant le traitement multiple etlou simultane de donnees a caractere personnel par differents responsables du traitement des donnees et a des fins incompatibles, sans preciser dans quel but chaque traitement de donnees est effectue, risque de causer une tres grande confusion en ce qui conceme /'application du principe de proportionnalite. C'est pourquoi le respect du principe de limitation des finalites est essentiel, en parliculier pour /es cas dans lesquels la legislation autorise deux categories de responsables a traiter des donnees, tache qu'ils n'accomplissent pas forcement aux memes fins. Dans /es cas pour lesquels /es finalites du traitement des donnees sont definies par des termes generaux ou vagues, ou pour lesquels /es divers responsables du traitement des donnees ant une relation completement differente avec la finalite poursuivie tant sur le plan de la structure ou des ressources que de la capacite de chaque responsable a respecter /es reg/es dans cerlaines circonstances donnees, le principe de limitation des finalites est compromis formellement et de a caractere personnel dans le secteur public », Normes et legistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019 , p.469 , n°619 ; Voir entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229 , 4 decembre 2015 , CourEDH , Vavricka et autres c. Republique !cheque (requetes n°47621/13 et 5 autres), § 276 a 293, 8 avril 2021 . 29 Article 5, paragraphe

(1), lettre b) du RGPD. 30 Avis 1/2017 du CEPD. sur la propos ition de la Commission modifiant la directive {U E) 2015/849 et la directive 2009/101 /CE - acces aux informations sur les beneficiaires effectifs et consequences sur la protection des donnees 28 Ence sens, voir M. Besch,« Traitement de donnees Avis de la Commission nationale pour la protection des donnees a relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 11/23 far;on substantielle et, par consequent, le principe de proportionnalite ne sera pas non plus dOment applique » 31 . Dans la mesure ou la Commission nationale estime que de telles observations sont pertinentes compte tenu des dispositions legales sous avis, ii ya lieu de s'interroger sur le respect du principe de limitation des finalites en l'espece. En outre, ii ya lieu de rappeler que si des donnees a caractere personnel devaient etre collectees pour des finalites ulterieures differentes de celles pour lesquelles elles ont ete collectees initialement, alors les dispositions de !'article 6, paragraphe

(4), du RGPD auraient vocation a s'appliquer. Ainsi, !'article 6, paragraphe

(4), du RGPD dispose que « [l]orsque le traitement a une fin autre que celle pour laquelle /es donnees ont ete collectees n 'est pas fonde sur le consentement de la personne concernee ou sur le droit de /'Union ou le droit d'un Etat membre qui constitue une mesure necessaire et proportionnee dans une societe democratique pour garantir !es objectifs vises a /'article 23, paragraphe

(1)32 , le responsable du traitement, afin de determiner si le traitement une autre fin est compatible avec la finalite pour laquelle /es donnees caractere personnel ont ete initialement collectees, tient compte, entre autres :

1. a)de /'existence eventuelle d'un lien entre /es finalites pour lesquelles !es donnees a caractere personnel ant ete collectees et /es finalites du traitement ulterieur envisage ;
2. b)du contexte dans lequel !es donnees a caractere personnel ont ete collectees, en particulier en ce qui concerne la relation entre /es personnes concernees et le responsable du traitement ;
3. c)de la nature des donnees a caractere personnel, en particulier si le traitement porte sur des categories particulieres de donnees a caractere personnel, en vertu de /'article 9, ou si des a a 31 Avis 1/2017 du CEPD, sur la proposition de la Commission modifiant la directive (UE) 2015/849 et la directive 2009/101/CE-acces aux informations sur les beneficiaires effectifs et consequences sur la protection des donnees. 32 L'article 23 , paragraphe

(1), du RGPD dispose que « [l]e droit de /'Union ou le droit de /'!=tat membre auquel le responsab/e du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures legislatives, limiter la portee des obligations et des droits prevus aux articles 12 a 22 et a /'article 34, ainsi qu'a /'article 5 dans la mesure ou Jes dispositions du droit en question correspondent aux droits et obligations prevus aux articles 12 a 22, /orsqu'une te//e limitation respecte /'essence des libertes et droits fondamentaux et qu'elle constitue une mesure necessaire et proportionnee dans une societe democratique pour garantir :

1. a)la securite nationale ;
2. b)la defense nationa/e;
3. c)la securite publique ;
4. d)la prevention et la detection d'infractions penales, ainsi que Jes enquetes et Jes poursuites en la matiere ou !'execution de sanctions penales, y compris la protection contre Jes menaces pour la securite publique et la prevention de tel/es menaces ;
5. e)d'autres objectifs importants d'interet public general de !'Union ou d'un !=tat membre, notamment un interet economique ou financier important de /'Union ou d'un !=tat membre, y compris dans Jes domaines monetaire, budgetaire et fiscal, de la sante publique et de la securite sociale ;
6. f)la protection de l'independance de la justice et des procedures judiciaires ;
7. g)la prevention et la detection de manquements a la deontologie des professions reglementees, ainsi que Jes enquetes et Jes poursuites en la matiere ;
8. h)une mission de contr6/e, d'inspection ou de reglementation /iee, meme occasionnellement, a /'exercice de l'autorite publique, dans Jes cas vises aux points
9. a)a
10. e)et
11. g);
12. i)la protection de la personne concemee ou des droits et libertes d'autrui ;
13. j)/'execution des demandes de droit civil ». Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1 er aout 2007 relative !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative !'organisation du marche du gaz nature! a a 12/23 donnees a caractere personnel relatives a des condamnations penales et a des infractions sont traitees, en vertu de /'article 1O ;
14. d)des consequences possibles du traitement ulterieur envisage pour /es personnes concernees ;
15. e)de /'existence de garanties appropriees, qui peuvent comprendre le chiffrement ou la pseudonymisation ». Des lors, dans l'hypothese ou des donnees seraient collectees pour des finalites ulterieures differentes de celles pour lesquelles elles ont ete collectees initialement, les dispositions precitees auront vocation a s'appliquer. Enfin, ii convient encore d'attirer plus particulierement !'attention des auteurs du projet de loi sur le respect du principe de limitation des finalites par le gestionnaire de reseau de transport si celuici est amene a tenir un repertoire central de reference. En effet, si celui-ci est une entreprise privee investie d'une mission d'interet public, ii est important de veiller a ce que les donnees figurant dans ce repertoire central et qui seraient collectees initialement pour des finalites necessaires a !'execution d'une mission d'interet public, ne soient pas reutilisees ulterieurement par le gestionnaire de reseau a des fins commerciales. Sur l'opportunite de designer une entreprise privee gestionnaire d'une telle plateforme, ii est renvoye aux observations formulees au point I du present avis. D. Surles categories des donnees a caractere personnel« stockees sur la plateforme » L'article 27ter paragraphe

(3)dispose que : « La plateforme comprend /es donnees suivantes : a) /es noms, adresses, donnees de contact et l'identifiant unique prevu au paragraphe

(6)des utilisateurs du reseau et des preneurs de raccordement vises par la presente Joi ainsi que par /'article 1er, paragraphes

(41), respectivement (33bis), de la Joi modifiee du 1er ao0t 2007 relative a /'organisation du marche du gaz nature/, et, dans la mesure ou /es personnes enumerees ciavant sont des personnes morales, /es noms, adresses et donnees de contact de la personne de contact designee par eux ;

1. b)!es donnees collectees a /'occasion du comptage vise a !'article 29 de la presente Joi ainsi qu'a /'article 35 de la Joi modifiee du 1er ao0t 2007 relative a /'organisation du marche du gaz nature/;
2. c)/es donnees et informations necessaires au ban fonctionnement des marches de l'e/ectricite et du gaz nature/ ainsi que des reseaux interconnectes tel/es que definies par voie de reglement par le regulateur apres une procedure de consultation organisee conformement a /'article 59; la Commission nationale pour la protection des donnees etant demandee en son avis;
3. d)/es donnees visees a !'article 17, paragraphe

(1);

1. e)toutes autres donnees necessaires au bon fonctionnement des marches de l'electricite et du gaz nature/ qui ne sont pas des donnees a caractere personnel». S'il convient de saluer !'enumeration des categories de donnees qui seraient collectees, ii ya lieu de relever, compte tenu de la pluralite des traitements envisages, qu'il aurait ete preferable, pour Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 13/23 une meilleure comprehension des dispositions, que le texte sous avis precise les finalites pour lesquelles chacune de ces categories de donnees seraient collectees . Par ailleurs, ii y a lieu de regretter que les categories de donnees visees par la lettre
2. c)des dispositions precitees ne soient pas precisees. S'il est indique qu'un projet de reglement grandducal preciserait de telles donnees et informations, ii convient de regretter qu' un tel projet de reglement grand-ducal n'a pas ete transmis en meme temps que le projet de loi. Quant aux dispositions qui disposent que « la Commission nationale pour la protection des donnees etant demandee en son avis », ii ya lieu de preciser que ses missions sont fixees par la loi du 1er aoat 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees. Ainsi, celle-ci « conseille la Chambre des deputes, le Gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives a la protection des droits et libertes des personnes physiques a l'egard du traitement des donnees personnel/es » 33 . Des lors, si les dispositions sous avis prevoient que la Commission nationale soit demandee en son avis au sens des dispositions de !'article 8, point 4° de la loi du 1er aoat 2018 precitee, la CNPD estime que de telles dispositions sont superfetatoires. Neanmoins, si le texte sous avis entend prevoir une consultation specifique de la CNPD et, non visee par la loi du 1er aoat 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees, ii ya lieu de rappeler que depuis l'entree en application du RGPD, la CNPD n'a pas pour mission de valider a priori des traitements de categories de donnees (principe de responsabilisation). E. Sur les traitements a des fins archivistiques, de recherche scientifique ou historique ou a des fins statistiques et la mise a disposition des donnees au grand public II ressort du commentaire des articles que le repertoire central « permettra aussi un archivage centralise des donnees energetiques, evitant ainsi une multiplication de donnees chez differents acteurs et servira de base pour des donnees a mettre a disposition a des fins de recherche et au grand public (open data) » et qu'encore la « plateforme permettra la mise a disposition de statistiques et de donnees servant a la surveillance du secteur, !'assurance d'une transparence suffisante et a des fins de recherche ». En ce qui concerne les traitements a des fins de recherche scientifique, historique ou a des fins statistiques, ii ya lieu de rappeler que !'article 89, paragraphe

(1), du RGPD dispose que « [l]e traitement a des fins archivistiques dans l'interet public, a des fins de recherche scientifique ou historique, ou des fins statistiques est soumis, conformement au present reglement, des a a 33 Article 8, point 4° de la loi du 1er aoOt 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees Avis de la Commission nationale pour la protection des donnees a relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 14/23 garanties appropriees pour /es droits et libertes de la personne concernee. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particu/ier pour assurer le respect du principe de minimisation des donnees. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure ou ces finalites peuvent etre atteintes de cette maniere. Chaque fois que ces finalites peuvent etre atteintes par un traitement u/terieur ne permettant pas ou plus /'identification des personnes concernees, ii convient de proceder de cette maniere. ». En outre, !'article 65 de la loi du 1er aoQt 2018 portant organisation de la Commission nationale pour la protection des donnees dispose que « Jc]ompte tenu de la nature, de la portee, du contexte et des finalites du traitement ainsi que des risques, dont le degre de probabilite et de gravite varie, pour /es droits et libertes des personnes physiques, le responsable d'un traitement mis en ceuvre a des fins de recherche scientifique ou historique, ou a des fins statistiques, doit mettre en ceuvre /es mesures appropriees additionnelles suivantes : 1° la designation d'un delegue a la protection des donnees ; 2° la realisation d'une analyse de /'impact des operations de traitement envisagees sur la protection des donnees a caractere personnel ; 3° l'anonymisation, la pseudonymisation au sens de /'article 4, paragraphe 5, du reglement (UE) 2016/679 ou d'autres mesures de separation fonctionnelle garantissant que /es donnees collectees a des fins de recherche scientifique ou historique, ou a des fins statistiques, ne puissent etre utilisees pour prendre des decisions ou des actions a /'egard des personnes concernees ; 4° le recours a un tiers de confiance fonctionnellement independant du responsab/e du traitement pour l'anonymisation ou la pseudonymisation des donnees ; 5° le chiffrement des donnees a caractere personnel en transit et au repos, ainsi qu'une gestion des cles conformes a l'etat de /'art; 6° /'utilisation de technologies renforc;ant la protection de la vie privee des personnes concernees ; 7° la mise en place de restrictions de l'acces aux donnees a caractere personnel au sein du responsable du traitement ; 8° des fichiers de journalisation qui permettent d'etablir le motif, la date et l'heure de la consultation et /'identification de la personne qui a collecte, modifie ou supprime /es donn ees a caractere personnel ; 9° la sensibilisation du personnel participant au traitement des donnees a caractere personnel et au secret professionnel ; 10° /'evaluation reguliere de l'efficacite des mesures techniques et organisationnelles mises en place a travers un audit independant ; 11° l'etablissement au prealable d'un plan de gestion des donnees ; 12° !'adoption de codes de conduite sectoriels tels que prevus a /'article 40 du reglement (UE) 20161679 approuves par la Commission europeenne en vertu de /'article 40, paragraphe 9, du reglement (UE) 2016/679. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative !'organisation du marche du gaz naturel a 15/23 a Le responsable de traitement doit documenter et justifier pour chaque projet des fins de recherche scientifique ou historique ou des fins statistiques /'exclusion, le cas echeant, d'une ou plusieurs des mesures enumerees cet article. » a a Des lors, la CNPD estime indispensable que le responsable du traitement veille au respect des dispositions precitees et s'assure notamment de la mise en oouvre de garanties appropriees additionnelles visees a !'article 65 de la loi du 1er aout 2018 portant organisation de la Commission nationale pour la protection des donnees. De plus, ii ressort encore du commentaire des articles que « [c]e repertoire permettra aussi un archivage centralise des donnees energetiques, evitant ainsi une multiplication de donnees chez differents acteurs et servira de base pour des donnees mettre disposition des fins de recherche et au grand public (open data) ». a a a En !'absence de plus de precisions ace sujet et dans la mesure ou le projet de loi n'est pas redige avec suffisamment de precision, la CNPD ne peut apprecier les problematiques d'un point de vue de la protection des donnees qui seraient, le cas echeant, soulevees. II y a encore lieu d'attirer !'attention des auteurs du projet de loi sur le fait que les dispositions legales de la loi du 25 juillet 2015 relative a l'archivage electronique ou celles de la loi modifiee du 17 aout 2018 relative a l'archivage seraient, le cas echeant, susceptibles de s'appliquer. Enfin, les auteurs du projet de loi devraient veiller sur ce point a la bonne articulation avec les dispositions de la loi du 29 novembre 2021 sur les donnees ouvertes et la reutilisation des informations du secteur public, si celle-ci a vocation s'appliquer. De plus, bien qu'un reglement grand-ducal soit vise au paragraphe

(8)de !'article 27ter et a pour objet de definir « /a cadence de publication et l'etendue minima/es» des donnees sur les secteurs de l'electricite et du gaz nature! selon les principes des donnees publiques ouvertes, ii y a lieu de regretter qu'un tel projet de reglement grand-ducal n'ait pas ete transmis en meme temps que le projet de loi. a F. Surles mesures de securite a a Conformement !'article 5 paragraphe

(1), lettre f), du RGPD les donnees caractere personnel doivent etre « traitees de far;on garantir une securite appropriee des donnees caractere personnel, y compris la protection contre le traitement non autorise ou illicite et contre la perte, la destruction ou /es degats d'origine accidentelle, /'aide de mesures techniques ou organisationnelles appropriees (integrite et confidentialite) ». a a a L'article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant mettent en reuvre /es mesures techniques et organisationnelles appropriees afin de garantir un niveau de securite adapte au risque ». Pareilles mesures doivent etre mises en oouvre afin d'eviter Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative !'organisation du marche du gaz nature! a 16/23 notamment des acces non-autorises aux donnees, des fuites de donnees ou des modifications non desirees. II ya lieu de rappeler qu'il est vivement recommande de definir une politique de gestion des acces, afin de pouvoir identifier des le debut la personne ou le service, au sein de chaque entite concernee, et a quelles donnees precises cette personne ou ce service aurait acces. En outre, ii est necessaire de prevoir un systeme de journalisation des acces. Sur ce point, la CNPD recommande que les donnees de journalisation soient conservees pendant un delai de cinq ans partir de leur enregistrement, delai apres lequel elles sont effacees, sauf lorsqu'elles font l'objet d'une procedure de controle. a La CNPD souligne aussi !'importance d'effectuer proactivement des controles en interne. A cet effet, ii convient conformement !'article 32 , paragraphe

(1), lettre

1. d)du RGPD de mettre en reuvre une procedure « visant tester, analyser et evaluer regulierement l'efficacite des mesures techniques et organisationnelles pour assurer la securite du traitement ». a a a a Ainsi, dans le cadre de la mise en reuvre d'echanges de donnees via la plateforme visee par le projet de loi, de telles mesures de securite devraient etre mises en reuvre par le ou les differents responsable(
2. s)du traitement afin d'assurer la confidentialite et la securite des donnees. La mise en reuvre de ces mesures devraient tenir compte des specificites de chacun des acces envisages par le projet de loi. En effet, ii y a lieu de relever que differents acces via cette plateforme seraient envisages : Un acces par les entreprises d'electricite et de gaz naturel, tel que vise au paragraphe

(5)de !'article 27ter; Un acces « individuel et securise » la plateforme pour les personnes visees au paragraphe

(3), alinea 1er, point a) de !'article 27ter, tel que vise au paragraphe

(6)de !'article 27ter ; Un acces « via une interface standardisee des extraits et informations au ministre, au regulateur, au Commissaire du Gouvernement a /'Energie ou a /'lnstitut national de la statistique et des etudes economiques qui en font la demande aux fins de /'execution de /eurs missions respectives », tel que vise au paragraphe

(7)de !'article 27ter. a a Par ailleurs, dans le cadre des differents acces envisages par le projet de loi, le principe de minimisation devrait etre respecte, de sorte que seules les donnees adequates, pertinentes et limitees a ce qui est necessaire au regard des finalites pour lesquelles elles seraient traitees soient communiquees. Enfin, ii convient de relever qu'un reglement grand-ducal vise au paragraphe

(14), de !'article 27ter, entendrait « preciser !es fonctionnalites, !es specifications techniques et organisationnelles, Avis de la Commission nationale pour la protection des donnees a relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz nature! 17/23 /es modalites relatives a l'accessibilite aux donnees ». Cependant, ii y a lieu de regretter qu'un tel projet de reglement grand-ducal n'ait pas transmis en meme temps que le projet de loi. ete G. Sur la conservation des donnees Selan !'article 5, paragraphe

(1), lettre e), du RGPD, les donnees a caractere personnel ne doivent pas etre conservees plus longtemps que necessaire pour la realisation des finalites pour lesquelles elles sont collectees et traitees. Le projet de loi ne donne pas de precisions quant a la duree de conservation des categories de donnees collectees a travers !'utilisation de la plateforme visee a !'article 27ter. En !'absence de telles precisions, la Commission nationale n'est pas en mesure d'apprecier si, en !'occurrence, le principe de duree de conservation limitee des donnees serait respecte concernant la collecte de ces donnees. En outre, dans la mesure ou les donnees collectees, dans le cadre de la mise en c:euvre de la plateforme, le sont pour des finalites differentes, ii conviendrait de preciser une duree de conservation adequate pour chacune des categories de donnees a caractere personnel. Par ailleurs, les donnees collectees devront etre supprimees ou anonymisees des que leur conservation n'est plus necessaire pour la realisation des finalites pour lesquelles elles sont collectees et traitees. Des lors, meme si les durees de conservation ne sont pas definies dans le projet de loi, celui-ci devrait a minima preciser les criteres qui seraient pris en compte afin de determiner quelle est la duree de conservation proportionnee pour chaque categorie de donnees a caractere personnel qui serait collectee dans le cadre du projet de loi. II. Sur l'enregistrement de conversations telephoniques par les gestionnaires de reseau d' electricite II ya lieu de relever que les dispositions de !'article 27, paragraphe

(6), de la loi modifiee du 1er ao0t 2007 relative a !'organisation du marche de l'electricite, ant introduites par le projet de loi n°7266 modifiant la loi modifiee du 1er ao0t 2007 relative a !'organisation du marche de l'electricite. ete ete Dans la mesure ou la Commission nationale n'a pas saisie afin d'aviser ce projet de loi, elle se permet toutefois de commenter de telles dispositions, dans le cadre de sa saisine du projet de loi sous avis. L'article 27, paragraphe

(6), dispose que « [s]ans prejudice de la mise en reuvre de tout autre traitement legalement admis, le gestionnaire d'un reseau d'electricite, detenteur d'une concession Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz nature! 18/23 au sens de /'article 24 de la presente Joi peut, dans le cadre de /'execution de sa mission de service public, de /'execution d'obligations de service public et des relations de travail, plus particulierement mettre en reuvre un traitement au sens du [RGPDJ, sous la forme d'un enregistrement des conversations telephoniques, meme sans le consentement des personnes concernees. Get enregistrement doit concerner Jes conversations telephoniques visant a assurer Jes flux d'energie electrique sur Jes reseaux, ou a signaler au gestionnaire de reseau une panne, un dysfonctionnement ou toute autre anomalie generalement que/conque affectant Jes reseaux, ou visant toutes manreuvres et operations techniques relatives aux reseaux. Les personnes concernees par ce traitement sont Jes representants et interlocuteurs des autres gestionnaires de reseau et des fournisseurs, Jes personnes signalant une panne, un dysfonctionnement ou toute autre anomalie affectant Jes reseaux et Jes personnes et salaries impliquees dans Jes manreuvres et operations techniques relatives aux reseaux. La finalite de ce traitement consiste a assurer la continuite du service public, /'execution des obligations de service public, la securite des usagers et du public, la prevention des accidents, la securite et la sante des travailleurs et la protection des biens du gestionnaire de reseau. La duree de conservation des donnees est limitee a un mois, sauf en cas de procedure Judiciaire. Dans ce cas, Jes donnees peuvent etre conservees jusqu' a la cloture definitive de la procedure ». II ressort du commentaire des articles du projet de loi n°7266 que « le gestionnaire de reseau, disposant d'une concession, peut mettre en reuvre un traitement sous la forme d'enregistrement des conversations telephoniques necessaire a /'execution d'une mission de service public ou a /'execution d'obligations de service public. Le [RGPDJ admet expressement en son article 6 que Jes Etats membres peuvent prendre des dispositions specifiques en matiere de traitement necessaire a /'execution d'une mission d'interet public. Par ailleurs, selon /'article 88 de ce meme reglement, Jes Etats membres peuvent prevoir des reg/es plus specifiques en matiere de traitement de donnees dans le cadre des relations de travail». S'il est vrai que !'article 6, paragraphe

(1), lettres

1. c)et
2. e)prevoit que la liceite du traitement peut reposer sur « une obligation legale a laquelle est soumise le responsable du traitement » ou est « necessaire a /'execution d'une mission d'interet public ou relevant de l'exercice de l'autorite publique dont est investi le responsable du traitement », encore faut-il que ces bases de liceite remplissent les conditions visees au paragraphe

(3)de !'article 6 du RGPD. Ces bases de liceite definies par le droit des Etats membres doivent notamment repondre a « un objectif d'interet public et [etre] proportionne a /'objectif legitime poursuivi ». La CNPD se demande ainsi si les dispositions legales prevues a !'article 27, paragraphe

(6)de la loi modifiee du 1er ao0t 2007 relative a !'organisation du marche de l'electricite precitee, repondent a un objectif d'interet public et sont proportionnees a l'objectif legitime poursuivi. Avis de la Commission nationale pour la protection des donnees relatif au projet de Joi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite; 2° la Joi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz nature! 19/23 En ce qui concerne !'article 88 du RGPD, ii y a lieu de relever que les dispositions legales actuelles, prevoyant des regles plus specifiques en matiere de traitement de donnees dans le cadre des relations de travail, sont actuellement visees !'article L.261-1 du Code du travail. Des lors, ii ya lieu de s'interroger sur !'articulation des dispositions prevues !'article 27, paragraphe

(6)de la loi modifiee du 1er aoat 2007 relative !'organisation du marche de l'electricite avec celle de !'article L.261-1 du Code du travail. a a a En outre, dans quelle mesure les dispositions de !'article 27, paragraphe

(6), de la loi modifiee du 1er aoat 2007 relative !'organisation du marche de l'electricite, s'articulent avec les dispositions de la loi modifiee du 30 mai 2005 concernant la protection de la vie privee dans le secteur des communications electroniques ? a En effet, ii y a lieu de relever que les enregistrements de conversations telephoniques tombent dans le champ d'application de la loi modifiee du 30 mai 2005 concernant la protection de la vie privee dans le secteur des communications electroniques. L'article 4, paragraphe

(2), de la loi precitee dispose qu'« [i]I est interdit a toute autre personne que l'utilisateur concerne d'ecouter, d'intercepter, de stocker /es communications et !es donnees relatives au trafic y afferentes, ou de /es soumettre a tout autre moyen d'interception ou de surveillance sans le consentement de l'utilisateur concerne ». Le paragraphe

(3), lettre d) de la meme loi precise que le paragraphe

(2)precite « n'affecte pas l'enregistrement de communications et des donnees relatives au trafic y afferentes, lorsqu'il est effectue dans le cadre des usages professionnels licites, afin de fournir la preuve d'une transaction commerciale ou de toute autre communication commerciale. Les parties aux transactions ou a toutes autres communications commerciales sont informees au prealable de ce que des enregistrements sont susceptibles d'etre effectues, de la ou des raisons pour lesquelles /es communications sont enregistrees et de la duree de conservation maximale des enregistrements. Les communications enregistrees sont a effacer des que la finalite est atteinte, et en tout etat de cause, tors de !'expiration du delai legal de recours contre la transaction ». a S'il pourrait etre concevable que certains des enregistrements vises !'article 27 paragraphe

(16)soient possibles, sous reserve de concerner !'exception visee au paragraphe

(3), lettre d), de !'article 4 de la loi modifiee du 30 mai 2005 concernant la protection de la vie privee dans le secteur des communications electroniques, ii convient de s'interroger sur !'articulation des dispositions de !'article 27, paragraphe

(16), de la loi modifiee du 1er aoat 2007 relative !'organisation du marche de l'electricite, avec celles de !'article 4, paragraphe

(2)de la loi modifiee du 30 mai 2005 precitee, qui pose le principe de !'interdiction des enregistrements telephoniques sans le consentement de l'utilisateur concerne ? a Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz naturel 20/23 Entin, ii y a lieu de relever qu'une societe active dans le domaine de la gestion des reseaux de gaz et d'electricite avait fait un recours contre une decision de la CNPD qui avait refuse les traitements de donnees envisages par !'article du projet de loi precite. a A l'issue d'un recours forme par ladite societe l'encontre de la decision, la position de la Commission nationale avait d'ailleurs ete confirmee par jugement du 19 mai 2016 rendu par le Tribunal administratif de Luxembourg 34 . Les juges avait ainsi considere que la mise en place, par une entreprise de reseau de transport et de distribution de gaz et d'electricite, « d'un systeme d'ecoutes telephoniques et d'enregistrement des appels effectues au Centre de Dispatching partir duquel /'ensemble des reseaux nationaux d'electricite et de gaz seraient geres en pratique, ce qui engendrerait la necessite d'effectuer certaines coupures /ors d'interventions realiser sur le terrain, tel/es que la maintenance du reseau, la reparation de pieces defectueuses sur un pylone e!ectrique ou encore une conduite de gaz )), viole les dispositions speciales de !'article 4 de la loi du 30 mai 2005 des lors que les enregistrements ne sont pas effectues dans le cadre des usages professionnels licites afin de fournir la preuve d'une transaction commerciale ou de toute autre communication commerciale. a a Par consequent, ii est pour le mains etonnant de constater que les dispositions de !'article 27, paragraphe

(16), de la loi modifiee du 1er aout 2007 relative !'organisation du marche de l'electricite derogent aux dispositions de la loi modifiee du 30 mai 2005 precitee en prevoyant que l'enregistrement des conversations telephoniques vise par lesdites dispositions serait perm is afin d' « assurer la continuite du service public, /'execution des obligations de service public, la securite des usagers et du public, la prevention des accidents, la securite et la sante des travailleurs et la protection des biens du gestionnaire de reseau ». a 3. Sur le systeme de comptage intelligent Le projet de loi introduit de nouvelles dispositions au paragraphe

(7)de !'article 29 de la loi modifiee du 1er aout 2007 relative !'organisation du marche de l'electricite. a Ces dispositions ont pour objet de transposer !'article 20, point a), de la directive « en tenant compte de la definition du « temps quasi reel )) prevue a /'article 2, point 26, de la Directive. L'acces ces donnees en temps quasi reel est effectue via une interface qui se trouve sur le compteur intelligent de l'utilisateur du reseau ». a Ainsi, et tel que cela est prevu par le projet de loi, les clients finals peuvent avoir acces « aux donnees non validees relatives sa consommation en temps quasi reel, c'est-a-dire une courte periode ne depassant habituel!ement pas quelques secondes ou atteignant au plus la periode de a 34 Tribunal administratif du Grand-Duche de Luxembourg en date du 19 mai 2016 , 2;•me chambre, numero 35399 du role Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aout 2007 relative a !'organisation du marche de l'electricite; 2° la loi modifiee du 1er aout 2007 relative a !'organisation du marche du gaz nature! 21/23 reglement des desequilibres sur le marche de l'electricite. L'acces aces donnees est effectue de maniere securisee, sans frais supplementaires, via une interface normalisee sur le compteur, afin de favoriser /es programmes automatises d'amelioration de l'efficacite energetique, la participation active de la demande et d'autres services». II est encore precise que « /es gestionnaires de reseau peuvent offrir, le cas echeant contre remuneration, un dispositif aux utilisateurs du reseau qui permet un acces a distance aces donnees ». Ence qui concerne l'acces a distance, la CNPD se demande s'il s'agit d'une transposition correcte de la directive alors que !'article 20 , point a), dispose que « [/Jes clients finals doivent egalement pouvoir acceder facilement aux donnees non validees relatives a la consommation en temps quasi reel et de maniere securisee, sans frais supplementaires, via une interface normalisee ou via un acces a distance». Enfin, la Commission nationale comprend que l'acces aces donnees, qui seraient chiffrees , ne serait possible qu'au moyen d'une cle electronique qui serait fournie sur demande par le gestionnaire de reseau. II y a lieu de saluer la mise en place d'un tel systeme. Par ailleurs, en ce qui concerne le systeme de comptage intelligent, la Commission nationale reitere ses preoccupations formulees dans son avis relatif au projet de reglement grand-ducal relatif aux modalites de comptage de l'energie electrique et du gaz nature! en ce qui concerne la conservation des donnees issues des compteurs intelligents en ce qu'elle avait estime qu'« une conservation des donnees au« quart-horaire >> pour l'electricite et« horaire >> pour le gaz nature/ pour une periode de quinze ans permet d'obtenir un profi/age extremement detaille des habitudes des individus, de sorte que /es interets et /es droits et libertes de la personne concernee prevalent sur /es interets des gestionnaires de reseaux et des fournisseurs. De plus, comme la Commission nationale /'a deja exprime dans le present avis, /es risques de derives lies a /'utilisation des donnees ainsi collectees sont attentatoires a la vie privee des individus, de sorte qu'il y a lieu de reduire le plus possible la duree de conservation des donnees » 35 . Par ailleurs, ii ya egalement lieu de souligner que le CEPD dans son avis sur la recommandation de la Commission relative a la preparation de !'introduction des systemes intelligents de mesure, avait souligne que la base juridique pour le deploiement des systemes intelligents de mesure « n'est pas en tant que telle suffisamment specifique pour etre consideree comme une « obligation legate >> au sens de /'article 7, point c), de la directive 95146/CE. Pour garantir la securite juridique, le CEPD recommande des /ors d'operer une distinction c/aire entre /es finalites i) pour lesquelles /es donnees sur la consommation d'energie peuvent etre traitees pour des raisons d'interet public (article 7, point e)) ou pour d'autres interets legitimes (article 7, point -f)) sans le consentement du client, d'une part, et ii) /es finalites pour lesquelles le consentement du client est requis, d'autre part » 36 . 35 Deliberation n' 566/2013 du 13 decembre 2013 . 36 Point 45 de l'avis du Controleur europeen de la protection des donnees sur la recommandation de la Commission relative a la preparation de !'introduction des systemes intelligents de mesure du 8 juin 2012 . Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7876 modifiant n°1 la loi modifiee du 1er aoOt 2007 relative a !'organisation du marche de l'electricite ; 2° la loi modifiee du 1er aoOt 2007 relative a !'organisation du marche du gaz naturel 22/23 II avait encore recommande que « le modeJe ou la legislation applicable specifient clairement que i) le suivi de la consommation energetique (pour d 'autres finalites que Jes objectifs elementaires decrits au paragraphe precedent), ii) le suivi des individus (sauf pour la detection des cas de fraudes consistant en la consommation non payee de l'energie fournie} , iii) la publicite ciblee, iv) Jes services a valeur ajoutee et v) le transfert uJterieur des donnees pour de tel/es finalites requierent un consentement specifique et distinct »37 . a Or, dans la mesure ou les donnees issues de compteurs intelligents seraient amenees etre traitees pour d'autres finalites, tel que cela semble envisage via !'utilisation de ladite plateforme, la CNPD ne peut que partager de telles observations et s'interroge sur les garanties qui seraient mis en reuvre afin de limiter les risques et derives lies !'utilisation des donnees collectees. a Ainsi decide a Belvaux en date du 1er juillet 2022. La Commission nationale pour la protection des donnees Tine A. Larsen Presidente Thierry Lallemang Commissaire Commissaire Commissaire 37 Point 46 de l'avis du Contr61eur europeen de la protection des donnees sur la recommandation de la Commission relative a la preparation de !'introduction des systemes intelligents de mesure du 8 juin 2012. Avis de la Commission nationale pour la protection des donnees a relatif au projet de loi n°7876 modifiant n°1 la loi mod ifiee du 1er ao0t 2007 relative !'organisation du marche de l'electricite; 2° la loi modifiee du 1er ao0t 2007 relative a !'organisation du marche du gaz nature! 23/23