Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 jui

(1), lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 27 janvier 2021, Monsieur le Ministre de la Mobilité et des Travaux publics a invité la Commission nationale à se prononcer sur le projet de loi modifiant la loi du 5 juillet 2016 portant organisation des services de taxis (ci-après le « projet de loi »). Selon l'exposé des motifs, le projet de loi a pour objectif de remédier à certaines défaillances dans le secteur des taxis ainsi que d'inclure les voitures de location avec chauffeur (ci-après « VLC ») dans la législation. Le présent avis limitera ses observations aux questions traitant des aspects portant sur la protection des données, soulevées plus particulièrement par les articles 11 et 18 du projet de loi sous avis. 1. Sur la condition d'honorabilité En vertu de l'article 7, paragraphe

(2), lettre c) de la loi modifiée du 5 juillet 2016 portant organisation des services de taxis, tel que modifié par le projet de loi, tout conducteur de taxi ou de VLC qui souhaite obtenir une carte de conducteur doit satisfaire aux exigences d'honorabilité spécifiées à l'article 8 de ladite loi. L'article 11 du projet de loi a pour objet de modifier l'article 8, paragraphes

(1)et

(2)de la loi du 5 juillet 2016 portant organisation des services de taxis. Il ressort du commentaire de l'article 11 [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 1113 que les auteurs du projet de loi introduisent notamment « une disposition permettant d'apprécier les antécédents d'une personne encourus pendant les 5 dernières années précédent une demande ». A. Sur l'appréciation de l'honorabilité Il ressort du paragraphe

(1)de l'article 8, tel que modifié par l'article 11 du projet de loi, que l'honorabilité s'apprécie « sur base des antécédents judiciaires qui résultent » du casier judiciaire du conducteur de taxi ou de VLC. Le paragraphe

(2)de l'article 8 précité, tel que modifié par l'article 11 du projet de loi, énumère quelles seraient les infractions à prendre compte aux fins d'apprécier l'honorabilité d'un conducteur de taxi ou de VLC

1. S'il y a lieu de relever que la loi précitée ne définit pas la notion d' « honorabilité »2, des précisions quant à l'appréciation de cette notion sont apportées par les travaux parlementaires relatifs à l'article 8 de la loi modifiée du 5 juillet 2016 précitée3, ainsi que par un arrêt de la Cour administrative du Grand-Duché de Luxembourg du 8 novembre
2. Il ressort des travaux parlementaires que l'appréciation de l'honorabilité du conducteur de taxi se base sur le « casier judiciaire N°2 afin de permettre de garantir un standard élevé de sécurité pour les clients »5 et que les « exigences en matière d'honorabilité ont pour intention de tenir compte, lors de la vérification des critères d'attribution, des condamnations éventuelles en relation avec l'activité du conducteur de taxi »
3. Il est encore précisé que « [c]ette vérification approfondie est nécessaire en vue de garantir un certain niveau des prestations et d'assurer le sérieux du conducteur qui est responsable du bon transport de ses passagers. De plus, il est ainsi tenu compte du fait que les services de taxi ont un impact considérable sur l'image générale du GrandDuché auprès des visiteurs étrangers »7 . ' Le paragraphe

(2)de l'article 8 de la loi modifiée du 5 juillet 2016 portant organisation des services de taxis, tel que modifié par l'article 11 du projet de loi, dispose que « Nes exigences en matière d'honorabilité sont satisfaites, en particulier si le conducteur de taxi ou de VLC n'a pas fait l'objet, endéans les cinq ans qui précèdent la demande, d'une condamnation pénale coulée en force de chose jugée prononçant une peine d'emprisonnement d'au moins six mois pour vol, escroquerie, abus de confiance, atteinte volontaire à l'intégrité de la personne, agression sexuelle ou infraction é la législation sur les stupéfiants. ». Quant à l'absence de définition de la notion « d'honorabilité » en droit luxembourgeois, il est renvoyé aux délibérations n°17/2020 du 17 juillet 2020 (points 1.2 et 1.3.) et n°3/AV3/2021 du 10 février 2021 (point 1). 3 Document parlementaire n°6588, commentaire des articles, p.16, ad article

1. Arrét de la Cour administrative du Grand-Duché de Luxembourg du 8 novembre 2018, numéro 41156C du rôle. 5 Document parlementaire n°6588/00, commentaire des articles, p.16, ad article
2. 6 Document parlementaire n°6588/00, commentaire des articles, p.16, ad article
3. Document parlementaire n°6588/00, commentaire des articles, p.16, ad article
4. CNN] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 2/13 En outre, la Cour administrative du Grand-Duché de Luxembourg, dans son arrêt du 8 novembre 2018 précité, a été amenée à se prononcer sur l'honorabilité d'un requérant soHicitant une carte de conducteur de taxi conformément à la loi modifiée du 5 juillet 2016 portant organisation des services de taxis
5. Dans cet arrêt, les juges ont estimé que la liste des infractions, visées au paragraphe

(2)de l'article 8 de la loi modifiée du 5 juillet 2016 précitée, n'était pas à considérer comme exhaustive et que « si la personne a fait l'objet d'une condamnation pénale, son honorabilité ne s'en trouve pas automatiquement affectée, mais il appartient au ministre, dans le cadre de l'appréciation de l'honorabilité professionnelle d'un chauffeur de taxi, d'apprécier in concreto si le comportement global de l'intéressé n'est pas tel à le priver de son honorabilité ». La Cour a encore retenu que l'appréciation de l'honorabilité ne pouvait pas porter sur des faits commis il y a plus de 5 ans. Ce principe de limitation temporelle, quant aux faits retenus afin d'apprécier l'honorabilité d'un conducteur de taxi, tel que dégagé par la jurisprudence, a été repris par les auteurs du projet de loi à l'article 1'1 du texte sous avis. Par conséquent, s'il y a lieu de féliciter les auteurs du projet de loi pour ces précisions, la CNPD regrette que le numéro de bulletin de casier judiciaire qui serait communiqué ne soit pas expressément indiqué dans ledit article alors qu'il ressort des travaux parlementaires précités et de la jurisprudence précitée que le bulletin n°2 serait communiqué. Il y a lieu de rappeler à ce sujet que dans l'ordre juridique luxembourgeois, la communication des informations relatives à des décisions de justice se fait par la délivrance d'extraits de casier judiciaire conformément à la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire. Dès lors, il conviendrait de compléter le projet de loi en ce sens. Enfin, sans préjuger de l'appréciation de l'honorabilité in concreto devant être faite par le ministre ayant dans ses compétences la loi sous avis (ci-après le « ministre »), et afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou réglementaire, la CNPD se demande s'il ne serait pas opportun, à l'instar des législations belges et françaises, de prévoir une liste exhaustive des infractions qui seraient à prendre en compte lors de l'appréciation de l'honorabilité par le ministre ? a Arrêt de la Cour administrative du Grand-Duché de Luxembourg du 8 novembre 2018, numéro 41156C du rôle. 9 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n47413/061, § 228-229, 4 décembre 2015 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 3/13 B. Sur le cadre légal national comparé à celui en Belgique et en France Il est intéressant de noter que la loi tant belge que française prévoient une condition similaire à celle requise par l'article 8 de la loi modifiée du 5 juillet 2016 portant organisation des services de taxis, tel que modifié par l'article 11 du projet de loi. En effet, en Belgique l'article 9 de l'arrêté du Gouvernement wallon portant exécution du décret du 18 octobre 2007 relatif aux services de taxis et aux services de location de voitures avec chauffeur, tel que modifié, prévoit qu'un chauffeur « satisfait aux conditions de moralité » s'il n'a pas fait l'objet d'une condamnation pénale grave coulée en force jugée pour les infractions y listées, à savoir « 10 infraction au Livre II, Titre Ill, chapitres ler à V, titre V, chapitres ler et 2, Titre VII, chapitre V, Titre VIII, chapitres ler et 2 et Titre VIII du Code pénal ; 2° infraction du troisième et du quatrième degré à la réglementation de la circulation routière ; 3° infraction pour excès de vitesse ; 4° conduite en état d'intoxication alcoolique, d'imprégnation alcoolique, d'ivresse ou sous l'effet d'autres substances qui influencent la capacité de conduite dans le cadre de son activité professionnelle ». En France, l'article R.3120-8 du Code des transports français prévoit que « [n]ul ne peut exercer la profession de conducteur de véhicule de transport public particulier si figure au bulletin n° 2 de son casier judiciaire, ou à son équivalent pour les non-nationaux, l'une des condamnations suivantes 1° Une condamnation définitive pour un délit sanctionné en vertu du code de la route par une réduction de la moitié du nombre maximal de points du permis de conduire ; 2° Une condamnation définitive pour conduite d'un véhicule sans être titulaire du permis de conduire correspondant à la catégorie du véhicule utilisé ou pour conduite malgré l'annulation du permis de conduire ou malgré l'interdiction d'obtenir la délivrance du permis, ou encore pour refus de restituer son permis de conduire après l'invalidation ou l'annulation de celui-ci ; 3° Une condamnation définitive prononcée par une juridiction, française ou étrangère, à une peine criminelle ou à une peine correctionnelle d'au moins six mois d'emprisonnement pour vol, escroquerie, abus de confiance, atteinte volontaire à l'intégrité de la personne, agression sexuelle, trafic d'armes, extorsion de fonds ou infraction à la législation sur les stupéfiants. » Contrairement au cadre légal national actuel, les lois belge et française énumèrent limitativement les faits sur lesquels portera l'appréciation de la « moralité » ou de « l'honorabilité professionnelle »1° d'un conducteur. Dès lors, afin de répondre aux exigences de précision et de prévisibilité auxquelles doit répondre un texte légal", la CNPD se demande si les auteurs du projet de loi ne devraient pas s'inspirer des dispositions légales belges et françaises précitées ? Article R.3120-6, point 3° du Code des transports français " En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n'619; V. entre autres CourEDH. Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre 2015 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n'7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 4113 2, Sur la banque de données dédiée à la gestion journalière des licences d'exploitation de taxis et de VLC ainsi qu'à celles des cartes de conducteurs Il y a lieu de relever que le principe de la création d'une banque de données à caractère personnel tenue par le ministre et dédiée à la gestion journalière des licences d'exploitation de taxi a été introduit par l'article 18 de la loi modifiée du 5 juillet 2016 portant organisation des services de taxis. L'article 23 du projet de loi entend cependant procéder à une refonte complète de ces dispositions. La Commission nationale regrette que les raisons ayant poussé les auteurs du projet de loi à procéder à une telle refonte ne soient pas exposées dans le commentaire des articles, alors que les nouvelles dispositions manquent de clarté et de précisions, contrairement à celles qui figuraient initialement à l'article 18 précité. A. Remarques préliminaires Il convient de rappeler que la tenue d'un fichier de données à caractère personnel collectées et traitées par une autorité administrative doit reposer sur une base légale conformément à l'article 6 paragraphe

(3)du RGPD. Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la ficelle du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis 5/13 finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Ainsi, bien que les dispositions de l'article 18 précité prévoyaient d'ores et déjà la tenue d'un fichier par le ministre, celles-ci devraient, à la suite de leur refonte par l'article 23 du projet de loi, être complétées alors qu'elles sont formulées de manière trop vague ou imprécise. Dans les développements ci-après, la Commission nationale reviendra sur les dispositions devant être complétées ou sur les éléments devant être précisées. B. Sur le rôle des différents acteurs La Commission nationale se félicite que le paragraphe

(4)de l'article 18 de la loi modifiée du 5 juillet 2016 portant organisation des services de taxis, tel que modifié par l'article 23 du projet de loi, précise le rôle des différents acteurs dans le cadre des traitements de données à caractère personnel visés par l'article précité. La CNPD salue que les auteurs du projet de loi aient précisé que : le ministre a la qualité de responsable du traitement au sens de l'article 4. point 7) du RGPD ; et que le CTIE et la Société Nationale de Circulation Automobile (ci-après la « SNCA ») agissent en tant que sous-traitant du ministre au sens de l'article 4, point 8) du RGPD. Concernant le rôle du sous-traitant, il y a lieu de rappeler que conformément à l'article 28 du RGPD, celui-ci « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement ». C. Sur les finalités du traitement de données à caractère personnel Comme relevé précédemment, l'article 23 procède à une refonte de l'article 18 de la loi modifiée du 5 juillet 2016 portant organisation des services de taxis. Il résulte de cette refonte que les finalités énumérées au paragraphe

(1)de l'article 18 précité sont supprimées par l'article 23 du projet de loi. Les finalités du traitement sont désormais énumérées au paragraphe

(2)de l'article 18, tel que modifié par l'article 23 du projet de loi. Si ledit article reprend sensiblement les finalités qui étaient listées à l'article 18, paragraphe

(1), il y a lieu de relever que la finalité relative à « la mise en œuvre d'analyses et de recherches à des fins de planification et d'évaluation de la qualité des services de taxi après dépersonnalisation des données afférentes » a été supprimée. L'article 23 du projet de loi introduit également une Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 6/13 nouvelle finalité à savoir « le contrôle du respect des dispositions de la présente loi et de ses règlements d'exécution ». La Commission nationale se félicite que les finalités soient déterminées et listées au paragraphe

(2)de l'article 18, tel que modifié par l'article 23 du projet de loi. Néanmoins, pour plus de clarté il aurait été préférable que les auteurs du projet de loi précisent quelles données sont collectées et pour quelles finalités. En l'absence de telles précisions, il est difficile pour la CNPD d'apprécier si le principe de minimisation serait respecté. Il est rappelé qu'en vertu de ce principe, seules les données à caractère personnel qui sont nécessaires à la réalisation des finalités peuvent être traitées. D. Sur l'origine des données à caractère personnel et les catégories de données à caractère personnel La Commission nationale se félicite que les catégories de données à caractère personnel collectées par le ministre soient énumérées au paragraphe

(3)de l'article 18, tel que modifié par l'article 23 du projet de loi. Cependant, il y a lieu de relever que la formulation initiale de l'article 18 était plus précise tant en ce qui concerne les catégories de données à caractère personnel collectées par le ministre que leurs origines. Or, de telles dispositions ont été supprimées et n'ont pas été reprises par l'article 23 du projet de loi Sur l'origine des données Il convient de noter que l'article 18, dans sa version initiale, opérait une distinction entre les catégories de données qui étaient collectées directement auprès des personnes concernées de celles qui étaient collectées indirectement et qui provenaient de fichiers étatiques. La formulation actuelle n'opère plus une telle distinction. Toutefois, il ressort du commentaire des articles que « N'accès à la majorité des données personnelles se fait moyennant l'accès à d'autres bases de données existantes telles que le RNPP ou la base de données sur les véhicules » et que « les encodages de nouvelles données personnelles sont très limités au sein de la base de données ». En outre, le paragraphe

(5)de l'article 18, tel que modifié par l'article 23 du projet de loi, prévoit également une collecte indirecte de données par le ministre via la SNCA. Dès lors, la CNPD s'interroge sur le bienfondé de la suppression des dispositions de l'article 18, dans sa version initiale, qui spécifiait l'origine des données collectées et traitées par le ministre. CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 7/13 Si un accès à des fichiers étatiques devaient être un moyen de collecter les données à caractère personnel alors cela devrait figurer expressément dans le projet de loi. La Commission nationale y reviendra infra au point E. Enfin, il y a lieu de noter qu'en vertu du paragraphe

(5)de l'article 18, tel que modifié par l'article 23 du projet de loi, le ministre obtiendrait via la SNCA « le numéro d'identification national du candidat ». Or, il convient de rappeler que l'accès au RNPP par une administration devrait s'effectuer conformément à la procédure prévue par l'article 10 de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques ainsi que les articles 5 à 7 du règlement grandducal du 28 novembre 2013 fixant les modalités d'application de la loi précitée. Il serait, dès lors, préférable de prévoir que le ministre ait accès au RNPP conformément aux dispositions précitées plutôt que de prévoir la transmission du numéro d'identification national par la SNCA au ministre. Sur les catégories de données à caractère personnel Il y a lieu de constater que le ministre se voit communiquer des données à caractère personnel ainsi que des données concernant des personnes morales. A ce titre, il convient de relever que le considérant 14 du RGPD dispose que le RGPD « (...) ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier des entreprises dotées de la personnalité juridique, y compris le nom, la forme juridique et les coordonnées de la personne morale ».Toutefois, des informations ayant trait à des personnes morales peuvent, le cas échéant, concerner des personnes physiques (par exemple : si elles incluent le nom du gérant de la société) et doivent dès lors être considérées comme des données à caractère personnel. Le RGPD ne s'appliquera donc qu'aux données à caractère personnel qui seraient communiquées au ministre. Il convient de relever que la version initiale de l'article 18 était rédigé avec plus de précision et de clarté en ce qui concerne les catégories de données collectées par le ministre. En effet, le paragraphe

(3)de l'article 18 énumérait les catégories de données collectées indirectement via des fichiers étatiques et le paragraphe

(5)énumérait quant à lui les catégories de données qui étaient collectées directement auprès des conducteurs, exploitants de taxis ou intéressés « figurant sur la liste d'attente ». Or, la formulation actuelle de l'article 18, tel que modifié par l'article 23 du projet de loi, propose une énumération succincte et imprécise, qui ne reprend pas certaines des catégories de données qui étaient pourtant visées par les dispositions supprimées. De plus, les dispositions sous avis ne mentionnent pas à quelle personne concernée se rapportent les données à caractère personnel qui seraient collectées. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 8/13 A titre d'illustration, il convient de relever que le paragraphe

(3)de l'article 18, tel que modifié par l'article 23 du projet de loi, prévoit que « les noms et prénoms » seraient collectées. S'agit-il des noms et prénoms des conducteurs, exploitants de taxi ou de VLC ? Ainsi, afin de répondre aux exigences de précision et de prévisibilité auxquelles doit répondre un texte légal12, la Commission nationale suggère que les auteurs du projet reprennent la formulation initiale de l'article 18, paragraphes

(3)et

(5), sinon de préciser dans le texte sous avis à quelle personne concernée se rapportent les catégories de données à caractère personnel et compléter l'énumération des catégories de données à caractère personnel, qui n'apparaît pas à ce stade complète. Il conviendrait, par exemple, de préciser que la photo du conducteur serait collectée ainsi que l'extrait de casier judiciaire d'un conducteur de taxi ou de VLC serait collecté. Enfin, une erreur matérielle semble s'être glissée au paragraphe

(3)de l'article 18, tel que modifié par l'article 23, en ce qu'il dispose « pour les fichiers énumérés aux paragraphes ler et 2 » alors qu'il ressort desdits paragraphes que le ministre tient une seule banque de données. De plus, au même paragraphe, il semble également que les auteurs du projet de loi aient omis le terme « collectées » juste après « les données à caractère personnel ». E. Sur l'accès au RNPP et à la base de données sur les véhicules Il convient de relever que les dispositions initiales de l'article 18, paragraphe

(3), encadraient l'accès à d'autres fichiers étatiques par le ministre. En effet, cet article précisait pour chacun des fichiers auxquels le ministre pouvait accéder quelles étaient les données qu'il pouvait collecter pour les finalités y énumérées. Or, ces dispositions ont été supprimées par l'article 23 du projet de loi bien que les auteurs du projet de loi précisent dans le commentaire des articles que « eaccès à la majorité des données personnelles se fait moyennant l'accès à d'autres bases de données existantes telles que le RNPP ou la base de données sur les véhicules ». Si l'accès à d'autres bases de données étatiques semble être toujours la volonté des auteurs du projet de loi, cela n'est désormais plus reflété dans la formulation actuelle de l'article 18, tel que modifié par l'article 23 du projet de loi. L'article 18 paragraphe

(5), tel que modifié par l'article 23 du projet de loi, ne prévoyant en outre qu'une communication de données de la SNCA vers le ministre. 12 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n47413/06], § 228-229, 4 décembre 2015 [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 9/13 Dès lors, afin de répondre aux exigences de précision et de prévisibilité auxquelles doit répondre un texte 1éga113, la Commission nationale estime que de tels accès devraient être prévus et encadrés par le projet de loi. Sur ce point, il est suggéré aux auteurs du projet de loi de reprendre les dispositions de l'article 18, paragraphe

(3). Enfin, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que ces accès ne doivent pas permettre au ministre d'obtenir de manière indirecte des données à caractère personnel issues de fichiers d'autorités étatiques pour lesquels il n'aurait pas accès en vertu du projet de loi sous avis. F. Sur la communication des données à caractère personnel à la SNCA 11 y a lieu de relever que dans sa version initiale l'article 18, paragraphe

(10)disposait que « file ministre est autorisé à communiquer, par des procédés informatisés, ou non, des données à caractère personnel relatives aux exploitants ou conducteurs, à la SNCA, aux fins de permettre la vérification d'une licence d'exploitation en cours de traitement et aux fins de délivrance et d'apposition du tableau taxi, de la plaque zone taxi et du panneau lumineux. Les données qui peuvent être communiquées à la SNCA sont déterminées par règlement grand-ducal, » L'article 14, paragraphe

(2), du règlement grand-ducal du 23 juillet 2016 fixant notamment les modalités d'application de la législation portant organisation des services de taxis, énumère les données qui peuvent être communiquées par le ministre à la SNCA. Dans la mesure où les dispositions du paragraphe

(10)de l'article 18 sont supprimées par l'article 23 du projet de loi, et que les auteurs du projet de loi n'indiquent pas les raisons d'une telle suppression, la Commission nationale se demande si une telle communication reste prévue ? Dans l'affirmative, de telles précisions devraient être apportées par les auteurs du projet de loi. G. Sur l'accès aux données à caractère personnel 11 convient de relever que les dispositions énoncées au paragraphe

(7)de l'article 18, tel que modifié par l'article 23 du projet de loi, prévoient un accès « aux données contenues dans la banque de données » pour les membres de la Police grand-ducale et les agents de l'administration des douanes et accises dans le cadre de la finalité visée par le paragraphe

(2), point 1) de l'article précité. . 3 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie (GCL n"47413/06], § 228-229, 4 décembre 2015 CNPI5- Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 1 0/1 3 Or, dans la mesure où une loi doit être suffisamment claire et précise afin de permettre aux personnes concernées de connaître l'étendue des limitations, ainsi que les conséquences éventuelles pour e11es14, il conviendrait de préciser le cadre légal des contrôles pouvant être effectués par les membres de la Police grand-ducale et les agents de l'administration des douanes et accises. La Commission nationale recommande, dès lors, d'insérer à la fin du paragraphe

(7)de l'article 18, tel que modifié par l'article 23 du projet de loi, la formulation suivante : « conformément à leurs pouvoirs de contrôle tels que visés à l'article 22 de la présente loi »15 . Enfin, la CNPD se demande encore si l'accès à un tel fichier par la Police grand-ducale ne devrait pas être prévu dans le corps de l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grandducale, qui précise notamment les fichiers auxquels les forces de l'ordre peuvent avoir accès, ainsi que les conditions dans lesquelles de tels accès peuvent être opérés Ce d'autant plus alors que le projet de loi n°7741 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE et 3° du Code pénal, entend modifier ledit article. En effet, il ressort de l'exposé des motifs du projet de loi N°7741 précité, que la modification envisagée de l'article 43 précité « a pour but d'adapter la liste des fichiers déjà accessibles à la Police et de mieux encadrer leur accès par la Police ». H. Sur la tracabilité des accès Il y a lieu de relever que le paragraphe

(6)de l'article 18 prévoyait des dispositions spécifiques quant à la traçabilité des accès, qui se voient désormais être supprimées par l'article 23 du projet de loi. Si le RGPD ne prévoit pas explicitement que de telles dispositions soient reflétées dans un texte de loi, la Commission nationale tient toutefois à rappeler le principe d'intégrité et confidentialité qui doit être respecté par le responsable du traitement, en l'occurrence le ministre. Conformément à l'article 5 paragraphe

(1), lettre f) du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». En outre, l'article 32 du RGPD dispose que : « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données ou des fuites de données. Voir entre autres CourEDH, Zakharov c. Russie [GCI, n°47413/06, § 228-229, 4 décembre 2015. L'article 22 de la loi modifiée du 5 juillet 2016 portant organisation des services de taxis dispose que : « Nes infractions aux dispositions de fa présente loi et à ses règlements d'exécution sont recherchées et constatées par les membres de la Police grandducale et par les fonctionnaires de l'Administration des douanes et accises ». CNNI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 11113 Parmi ces mesures de sécurité, la Commission nationale estime important que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires. Dans ce contexte, il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début la personne ou le service, au sein de chaque entité ou administration concernée, qui aurait accès aux données ou, dans le cadre des administrations, à l'interface informatique mise à disposition par le CTIE, et à quelles données précises cette personne ou ce service aurait accès. En outre, il est nécessaire de prévoir un système de journalisation des accès (registre des logs), afin de pouvoir garantir la traçabilité des accès. Enfin, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle La CNPD souligne aussi l'importance d'effectuer pro activement des contrôles en interne. A cet effet, il convient conformément à l'article 32, paragraphe

(1), lettre d) du RGPD de mettre en oeuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». l. Sur la durée de conservation des données à caractère personnel Conformément à l'article 5 paragraphe

(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. La Commission nationale se félicite que l'article 18, paragraphe

(8), tel que modifié par l'article 23 du projet de loi dispose que « Nes données seront conservées au maximum trois ans après la déchéance de la licence d'exploitation de taxi, de la licence d'exploitation de VLC ou de la carte de conducteur. La photo d'identité est détruite après la production de la carte de conducteur ». Cependant, de telles dispositions respectent-elles le principe de limitation de la conservation en ce qui concerne l'extrait de casier judiciaire qui serait collecté en vertu de l'article 8 de la loi du 5 juillet 2016 portant organisation des services de taxis ? Enfin, il y a encore lieu de relever que le texte en projet prévoit une durée de conservation qu'en cas de déchéance d'une licence d'exploitation de taxi, de VLC ou d'une carte de conducteur. Cependant, qu'en est-il en cas de renouvellement d'une licence d'exploitation de taxi, de VLC ou d'une carte de conducteur ? Il est rappelé à ce titre que conformément au principe d'exactitude, les données personnelles doivent être exactes, et si nécessaire, tenues à jour. Ainsi, il incombe au responsable du CNPE Avis de la Commission nationale pour la protection des données relatif au projet de loi n`7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 12/13 traitement de prendre toutes les mesures raisonnables afin de garantir que les données personnelles inexactes soient rectifiées ou supprimées sans tarder. Ainsi décidé à Belvaux en date du 1er octobre 2021. La Commission nationale pour la protection des données Tine A. Larsen Présidente [ CNPD Thierry Lallemang Commissaire 'Marc Lemmer Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7762 modifiant la loi du 5 juillet 2016 portant organisation des services de taxis. 13/13