Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7897 portant modification: 1° de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 ; 2° de la loi modifiée du 8 mars 2018 relative aux établissements hospitaliers et à la planification hospitalière ; 3° de la loi modifiée du 22 janvier 2021 portant : 1° modification des articles L. 23451, L. 234-52 et L. 234-53 du Code du travail ; 2° dérogation temporaire aux dispositions des articles L. 234-51, L. 234-52 et L. 234-53 du Code du travail. Délibération n° 34/AV28/2021 du 12 octobre 2021 Conformément à l'article 57, paragraphe ler, lettre (c) du règlement (UE) n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement el d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courriel en date du 8 octobre 2021, Madame la Ministre de la Santé a invité la Commission nationale à se prononcer sur le projet de loi n° 7897 portant modification: 1° de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 ; 2° de la loi modifiée du 8 mars 2018 relative aux établissements hospitaliers et à la planification hospitalière ; 3° de la loi modifiée du 22 janvier 2021 portant : 1° modification des articles L. 234-51, L. 234-52 et L. 234-53 du Code du travail ; 2° dérogation temporaire aux dispositions des articles L. 23451, L. 234-52 et L. 234-53 du Code du travail (ci-après le « projet de loi n° 7897»). D'après l'exposé des motifs, le projet de loi n° 7897 « se propose d'apporter quelques adaptations ponctuelles à la version actuelle de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 qui vient à échéance le 18 octobre 2021. » La CNPD constate dans ce contexte que le nouveau paragraphe
(2)de l'article 2 du projet de loi n° 7897 prévoit que dorénavant à l'intérieur des établissements de restauration et de débit de boissons, les clients et l'ensemble du personnel de l'établissement concerné sont obligatoirement soumis au régime Covid check,' tandis que l'article 3septies dudit projet accorde la faculté à tout chef d'entreprise ou chef d'administration de placer l'ensemble ou une partie seulement de son entreprise ou de son administration sous le régime Covid check afin de protéger la sécurité et la santé des travailleurs concernés. Les clients, voire les employés concernés en cas de choix du régime Covid check par l'employeur, sont donc obligés de présenter un certificat de vaccination, de rétablissement ou de test Covid-19 indiquant un résultat négatif tel que visé aux articles 3bis, 3ter ou 3quater du projet de loi n°
- Néanmoins, il ne ressort pas clairement dudit projet de loi, ni du commentaire des articles, si des traitements de données à caractère personnel seraient effectués par l'employeur ou l'exploitant des établissements de restauration et de débit de boissons, suite à la présentation par un client ou un employé d'un tel certificat. 1 Voir la nouvelle définition du « régime Covid check » prévue à l'article le', point 27 du projet de loi n°
- CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7897 portant modification: 1° de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 1/4 L'employeur ou l'exploitant collectera-t-il ou enregistrera-t-il les données figurant sur lesdits tests ou lesdits certificats suite à leur présentation ? En effet, un employeur, comment pourra ou devra-t-il gérer le régime Covid Check au quotidien en pratique d'un point de vue protection des données à caractère personnel ? Soumettra-t-il tous les salariés quotidiennement à un contrôle Covid Check ou pour des raisons pratiques tiendra-t-il un fichier avec les données des salariés qui sont vaccinés ou rétablis. Le projet de loi ne donne pas de réponse à ces questions et manque de précision à ce sujet. 11 y a lieu de rappeler par ailleurs que le RGPD n'aura vocation à s'appliquer que lorsqu'un traitement de données à caractère personnel sera effectué2, par exemple si le fait qu'un employé ou client a présenté un résultat de test antigénique rapide certifié, un certificat de vaccination ou un certificat de test de dépistage sérologique est amené à être consigné dans un fichier par l'employeur ou l'exploitant. En outre, dans l'hypothèse où des traitements de données seraient effectués dans le cadre du projet de loi n° 7897, ceux-ci doivent reposer sur une des bases de licéité énumérée à l'article 6 du RGPD ainsi que respecter l'une des conditions visées à l'article 9, paragraphe
(2), du RGPD dans la mesure où des données relatives à la santé des personnes concernées seraient susceptibles d'être traitées. A ce titre, il y a lieu de rappeler que le traitement de données à caractère personnel collectées et traitées en vertu d'une obligation légale doit reposer sur une base légale conformément à l'article 6, paragraphe
(3), du RGPD, lu ensemble avec son paragraphe
(1), lettres c). Conformément à l'article 6, paragraphe
(3), du RGPD cette obligation légale devrait définir les finalités du traitement et contenir « des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquée et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX ». Le considérant 41 du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme
- Or, force est de constater que si des traitements de données devaient être effectués sur base du projet de loi n° 7897, ceux-ci ne pourraient valablement reposer sur une telle base de licéité alors que le dispositif sous avis ne respecte pas les exigences juridiques exposées ci-avant. En considération des observations qui précèdent, la Commission nationale considère que dans l'hypothèse où des traitements de données seraient effectués par les organismes concernés, le texte sous avis ne respecte pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la jurisprudence de la Voir la définition d'un traitement de données à caractère personnel prévue à l'article 4.2 du RGPd. En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public ». Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°
- Voir entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 décembre 2015, CourEDH, Vavffeka et autres c. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril
- 2 3 CNPDj Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7897 portant modification: 1° de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-
- 2/4 Cour de justice de rUnion européenne et de la Cour européenne des droits de l'homme, et ne peut, dès lors, se prononcer plus en détail sur les éventuels aspects qui seraient liés à la protection des données personnelles. En ce qui concerne plus spécifiquement le régime du Covid check, la CNPD comprend qu'après avoir scanné le code QR du certificat CovidCheck, le résultat s'affiche instantanément : récran est vert si le certificat est valide et rouge dans le cas contraire. Toutefois, il s'avère que d'autres informations complémentaires s'affichent également sur l'écran lors du contrôle. Par exemple, dans le cas d'une personne vaccinée, il s'agit des informations suivantes : les nom et prénoms de la personne concernée, sa date de naissance, la référence à la maladie ou le virus Covid-19, la dénomination du vaccin, le titulaire de l'autorisation de mise sur le marché ou le fabricant du vaccin, la date de la vaccination, l'Etat dans lequel le vaccin a été administré, l'émetteur du certificat et son identifiant. Conformément à l'article 5, paragraphe 1, lettre c) du RGPD, les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». En outre, tout traitement de données à caractère personnel doit être nécessaire et proportionné à la finalité poursuivie par ledit traitement. Bien que la CNPD comprend que l'application CovidCheck.lu a pour objectif de simplifier les vérifications des certificats, la CNPD s'interroge sur la nécessité de rendre visible l'ensemble des informations susmentionnées, systématiquement lors de chaque contrôle. En effet, il semble que le même objectif pourrait être atteint en affichant simplement l'état du certificat CovidCheck (valide — vert ; invalide — rouge). Par ailleurs, un employeur ou un restaurateur peut-il valider un certificat en lisant les informations qui accompagnent le code QR, si par exemple l'application est indisponible, s'il n' y a pas de réception réseau ou si l'appareil pour le scan ne fonctionne plus ? Les conditions générales d'utilisation de l'application CovidCheck disponibles sur le site https://covid19.public.lu/covidcheck précisent en outre que les plateformes Apple App Store et Google Play Store sont susceptibles de traiter les données à caractère personnel communiquées directement ou indirectement par l'utilisateur dans le cadre du téléchargement de l'application. Il y a ainsi lieu de souligner qu'au regard du fait que l'application CovidCheck contient des données concernant !a santé, il est important d'être particulièrement vigilant utiliser des mesures techniques et organisationnelles adéquates conformément aux articles 25 paragraphe
(2)et 32 paragraphe
(1)du RGPD afin que celles-ci ne puissent pas être accessibles aux personnes non autorisées. Finalement, bien que ces problématiques ne relèvent pas du domaine de la protection des données, la CNPD s'était déjà interrogée en termes de droit du travail dans ses avis du 28 mai 20215 et du 8 juin 20215 sur les conséquences d'un refus par un employé de se soumettre à l'obligation de présenter un des certificats mentionnés aux articles 3bis, 3ter ou 3quater du projet de loi n°
- La même question se pose également pour les salariés qui ne sont ni vaccinés, ni rétablis. Devront-ils tous les deux jours présenter un test Covid-19 certifié indiquant un résultat négatif pour pouvoir travailler ? ° En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n`619, Voir entre autres CourEDH, Zakharov e. Russie [GCL n"47e113/06], § 228-229, 4 décembre 2015, CourEDH, Vavfiška et autres c République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril
- 5 Délibération n° 20/AV16/2021 du 28/05/2021 : https://cnoci.public.leddecisions-avis/20201/20-AV16-PL7808depistage-covid19.html . 6 Délibération n°24/AV19/2021 du 8 juin 2021 : https://cnpd.publiciu/content/dam/cnpd/fr/decisions-avis/2021/24AV19-2021-du-8-iuin-2021-PL-7836-Covid.pdf CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi re 7897 portant modification: 1° de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-
- 3/4 Ainsi décidé à Belvaux en date du 12 octobre
- La Commission nationale pour la protection des données Ci OP Tine A. Larsen Présidente [ CNPE Thierry Lallemang Commissaire A ain Herrmann Commissaire Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7897 portant modification: 1° de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 414