Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-
- Délibération n° 53/AV31/2021 du 8 décembre 2021 Conformément à l'article 57, paragraphe l e', lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du l e' août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courriel en date du 4 décembre 2021, Madame la Ministre de la Santé a invité la Commission nationale à se prononcer sur le projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-191 (ci-après le « projet de loi n° 7924»). D'après l'exposé des motifs, en raison de la situation épidémiologique très préoccupante et de l'évolution du contexte sanitaire sur plusieurs fronts, le projet de loi n° 7924 « se propose d'apporter des modifications substantielles à la version actuelle de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 qui vient, en principe, à échéance le 18 décembre
- Pour des raisons de santé et de sécurité des citoyens, il est d'ailleurs proposé de ne pas attendre cette échéance pour mettre en place les nouvelles mesures. » 1 Intitulé entier : « Projet de loi n° 7924 portant modification: 1° de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 ; 2° de la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments ; 3° de la loi modifiée du 6 janvier 1995 relative à la distribution en gros des médicaments ; 4° de la loi modifiée du 24 juin 2020 portant introduction de mesures temporaires relatives à la loi communale modifiée du 13 décembre 1988 et à la loi modifiée du 27 mars 2018 portant organisation de la sécurité civile dans le cadre de la lutte contre le Covid-19 ; 5° de la loi modifiée du 24 juin 2020 portant introduction d'une mesure temporaire relative à l'application de l'article 12 de la loi modifiée du 19 juillet 2004 concernant l'aménagement communal et le développement urbain dans le cadre de la lutte contre le Covid-19 ; 6° de la loi modifiée du 24 juin 2020 concernant la célébration du mariage dans un édifice communal autre que la maison communale dans le cadre de la lutte contre la pandémie Covid-19 ; 7 ° de la loi du 24 juillet 2020 portant dérogation temporaire aux articles L. 524-1, L. 524-2, L. 524-5, L. 541-1 et L. 541-2 du Code du travail ; 8° de la loi modifiée du 20 juin 2020 portant 1°dérogation temporaire à certaines dispositions en matière de droit du travail en relation avec l'état de crise lié au Covid-19 ; 2°modification du Code du travail ; 9° de la loi modifiée du 19 décembre 2020 portant dérogation temporaire à l'article L. 121-6 du Code du travail ; 10° de la loi modifiée du 19 décembre 2020 ayant pour objet la mise en place d'une contribution temporaire de l'Etat aux coûts non couverts de certaines entreprises ; 11° de loi modifiée du 19 décembre 2020 ayant pour objet la mise en place d'une nouvelle aide de relance ; 12° de la loi modifiée du 22 janvier 2021 portant : 1° modification des articles L. 234-51, L. 234-52 et L. 234-53 du Code du travail ; 2° dérogation temporaire aux dispositions des articles L. 234-5, L. 234-52 et L. 234-53 du Code du travail . » CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-
- 1/7 La CNPD constate dans ce contexte que les articles 5 et 10 de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 (ci-après : « loi modifiée du 17 juillet 2020 ») concernant notamment le traçage des contacts et le traitement de données à caractère personnel par la Direction de la santé à travers la mise en place d'un système d'information, n'ont pas subis de modifications. Néanmoins, elle souhaite s'exprimer sur deux nouveautés intégrées dans le projet de loi sous avis impliquant des questions relatives à la protection des données, et plus spécifiquement sur l'obligation pour les exploitants d'établissements ou les organisateurs de rassemblements, de manifestations ou d'évènements (ci-après : « les exploitants et organisateurs ») sous régime Covid check de demander une pièce d'identité à la personne qui leur présente un certificat de vaccination ou de rétablissement, d'une part (1.), ainsi que sur la possibilité de tenir une liste des personnes vaccinées dans le cadre du Covid check par lesdits exploitants ou organisateurs, d'autre part (2.).
- Quant à l'obligation de présenter une pièce d'identité dans le cadre du régime Covid check Le nouveau point 27, alinéas 2 et 3 de l'article ler de la loi modifiée du 17 juillet 2020 entend modifier la définition du « régime Covid check » en prévoyant, entre autres, que « l'exploitant de l'établissement ou l'organisateur du rassemblement, de la manifestation ou de l'évènement sous régime Covid check est tenu de demander une pièce d'identité à la personne qui lui présente un certificat de vaccination ou de rétablissement afin de s'assurer que l'identité mentionnée sur le certificat présenté et celle figurant sur la pièce d'identité sont identiques. » La CNPD comprend du libellé de l'article cité que les exploitants et organisateurs n'ont pas seulement la faculté, mais par contre une obligation de demander systématiquement une pièce d'identité à la personne qui lui présente un certificat de vaccination ou de rétablissement afin d'éviter tout risque d'abus. Les auteurs du projet de loi n° 7924 utilisent le terme « pièce d'identité », mais ne le définissent pas, de sorte qu'il faut partir du principe que les personnes concernées ne doivent pas forcément montrer leur carte d'identité, mais que tout autre document d'identité est susceptible de servir comme pièce d'identité, à savoir passeport, permis de conduire ou autres. Or, sans définir le terme pièce d'identité, il n'est pas aisé d'apprécier l'étendue dudit terme et posera des problèmes en pratique pour ceux qui sont obligés de mettre en œuvre cette disposition légale. Par ailleurs, il y a lieu de rappeler que le RGPD n'a vocation à s'appliquer que lorsqu'un traitement de données à caractère personnel2 est effectué. Le simple fait que les exploitants et organisateurs visionnent les données à caractère personnel figurant sur une pièce d'identité ne constitue pas un traitement de données au sens du RGPD. ll en irait autrement si les exploitants et organisateurs étaient amenés à créer un fichier reprenant l'ensemble des données figurant sur les pièces d'identité des personnes contrôlées ou contenant des copies des pièces d'identité. En effet, en l'état actuel du droit, et sauf si un texte légal en prévoit expressément la possibilité, il s'agirait alors d'un traitement de données disproportionné, qui 2 Voir la définition du traitement de données prévu à l'article 4.2 du RGPD, ainsi que son champ d'application matériel prévu à l'article 2.1 du RGPD. CNPD1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-
- 2/7 ne respecterait pas le principe de minimisation des données, dans la mesure où des moyens moins attentatoires à la vie privée des personnes concernées pourraient être mis en œuvre afin d'atteindre la finalité prévue, c'est-à-dire s'assurer par un contrôle visuel de ladite pièce que l'identité mentionnée sur le certificat présenté corresponde bien à celle figurant sur la pièce d'identité.
- Quant à la possibilité de tenir une liste des personnes vaccinées Le nouveau point 27, alinéa 4 de l'article ler de la loi modifiée du 17 juillet 2020 prévoit par ailleurs que pour « faciliter les vérifications effectuées dans le cadre du Covid check, tout exploitant ou organisateur peut tenir une liste des personnes vaccinées lorsque celles-ci accèdent régulièrement à un établissement donné ou participent régulièrement à des activités ou évènements soumis au régime Covid check. » Il y est précisé aussi que l'inscription sur cette liste doit être volontaire, qu'elle ne peut contenir que le nom des personnes vaccinées qui peuvent demander à voir retirer leur nom de ladite liste à tout moment sans aucune explication ou justification et que ladite liste doit être détruite au plus tard à l'expiration de la durée de la présente loi. Avant d'analyser l'article précité, la CNPD tient à formuler trois remarques : - - - Étant donné que le terme « liste » n'est pas prévu dans le RGPD, la Commission nationale suppose que les auteurs du projet de loi n° 7924 visent la tenue d'un fichier défini à l'article
- point 6) du RGPD, que ce soit sous forme papier ou informatisée, comme « tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique. » La CNPD propose ainsi auxdits auteurs d'adapter la terminologie en ce sens. La CNPD constate qu'en l'état actuel, le projet de loi n° 7924 sous avis ne permet qu'aux exploitants et organisateurs de tenir un fichier (« liste ») des personnes vaccinées et, a contrario, ne prévoit pas cette possibilité pour l'employeur qui a décidé de placer son entreprise ou administration sous le régime Covid check conformément à l'article 3septies de la loi modifiée du 17 juillet
- Or, en considérant que la disposition légale prévoyant qu'à partir du 15 janvier 2022, le régime 3G sera obligatoire sur le lieu de travail est en cours de finalisation et que le législateur vise à prévoir que l'employeur pourra établir et tenir une liste reprenant, sur une base volontaire, le nom des personnes vaccinées et rétablies,3 la CNPD analysera déjà ce volet dans le présent avis. Le projet de loi prévoit actuellement que les exploitants et organisateurs peuvent seulement tenir un fichier (« liste ») des personnes vaccinées. Or, la CNPD se demande dans ce contexte pourquoi les auteurs du projet de loi n° 7924 n'ont pas envisagé d'y faire figurer aussi les personnes rétablies. 3 Voir sur le site de la Chambre des députes, article "PREMIER ÉCHANGE SUR LA LOI COVID" du 6 décembre 2021: https://chd.lu/wps/portal/public/Accueil/Actualite/ALaUne/?current=true&urile=wcm%3Apath%3Aactualite.public.c hd.lu/ST-www.chd.lu/sa-actualites/11cbf556-a029-48ae-a2ed-9e892699c
- CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-
- 3/7 2.
- Quant à la base légale Il convient encore de préciser que la collecte d'information relatives au statut vaccinal d'une personne concernée (c'est-à-dire l'information selon laquelle la personne est ou non vaccinée) constitue un traitement de catégories particulières de données à caractère personnel, dites « données sensibles », notamment de données de santé, qui est interdit en vertu du paragraphe
(1)de l'article 9 du RGPD, sauf si une des conditions visées au paragraphe
(2)dudit article est remplie. En plus du respect de l'article précité, le traitement de données sensibles doit se baser sur un des critères de licéité prévus à l'article 6 du RGPD. La CNPD comprend du libellé du nouveau point 27 de l'article ler de la loi modifiée du 17 juillet 2020 que les « personnes vaccinées lorsque celles-ci accèdent régulièrement à un établissement donné ou participent régulièrement à des activités ou évènements soumis au régime Covid check » peuvent consentir expressément à figurer sur une liste des personnes vaccinées, c'est-à-dire que la condition prévue à l'article 9.2.
- a)du RGPD s'appliquerait dans ce cas et que ce traitement se baserait en sus sur l'article 6.1.
- a)du RGPD. Elle recommande ainsi aux auteurs du projet de loi n° 7924 de se référer à ces dispositions du RGPD dans le corps du texte du projet de loi. La CNPD tient à rappeler que dans cette hypothèse, il est important que ce consentement soit « libre, spécifique, éclairée et univoque » (article 4 point 11 du RGPD) et que les conditions applicables au consentement prévues à l'article 7 du RGPD soient respectées. Par ailleurs, comme il ressort des travaux de la Commission de la Santé de la Chambre des Députés que l'employeur pourra « établir et tenir une liste reprenant, sur une base volontaire, le nom des personnes vaccinées et rétablies »4, la CNPD tient à attirer l'attention des auteurs du projet de loi sous examen sur le fait que le consentement n'est en principe pas une base de licéité adéquate pour des traitements mis en œuvre par un employeur concernant ses employés étant donné la relation de dépendance qui, sauf cas exceptionnels, entache le caractère libre dudit consentement. Il revient à l'employeur de démontrer que le traitement est valable dans ce cas exceptionnel, notamment en prouvant que les personnes disposent d'une véritable liberté de choix, c'est-à-dire qu'elles ont la possibilité de refuser sans subir de préjudice (considérant 42 du RGPD). En pratique, l'employeur devra donc toujours permettre aux employés qui ne souhaitent pas utiliser cette possibilité de figurer dans un fichier (« liste »), de présenter leur certificat à chaque fois qu'ils rentrent dans des zones placées sous régime Covid check, sans qu'ils ne subissent aucune conséquence négative de ce choix. 2.2. Quant à la finalité poursuivie L'article 5.1.
- b)du RGPD exige que les données à caractère personnel soient collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement d'une manière incompatible avec ces finalités. 4 Voir sur le site de la Chambre des députes, article "PREMIER ÉCHANGE SUR LA LOI COVID" du 6 décembre 2021 https://chdiu/wps/portal/public/Accueil/Actualite/ALaUne/?current=true&urile=wcm%3Apath%3Aactualite.public.c hd.lu/ST-www.chd.lu/sa-actualites/11cbf556-a029-48ae-a2ed-9e892699c377 [ CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 4/7 De la lecture de l'alinéa 4 du nouveau point 27 de la loi modifiée du 17 juillet 2020, la CNPD conclut que la finalité prévue par les auteurs du projet de loi sous avis par la tenue d'un fichier (« liste ») des personnes vaccinées par les exploitants et organisateurs est de « faciliter les vérifications effectuées dans le cadre du Covid check. » Il ressort par ailleurs des premiers échanges de la Commission de la Santé de la Chambre des Députés sur le projet de loi n° 7924 que le fichier (« liste ») tenu par l'employeur reprenant, sur une base volontaire, le nom des personnes vaccinées et rétablies permettra à ces derniers « de ne pas devoir, à chaque fois qu'ils accèdent au lieu de travail, se soumettre aux vérifications exhaustives imposées généralement dans le cadre du Covid-Check. »5 Néanmoins, la CNPD a des doutes sur l'efficacité de la tenue d'un tel fichier (« liste »), que ce soit sur le lieu du travail ou lors d'activités de loisirs (secteur de l'Horeca, activités sportives, activités culturelles, etc) par rapport au but réellement poursuivi. Elle a du mal à s'imaginer que les personnes qui figurent sur un tel fichier (« liste ») ne soient plus contrôlées lorsqu'elles entrent dans le périmètre d'un Covid check seulement parce qu'elles figurent sur un fichier (« liste »). En effet, la personne responsable de scanner les codes QR dans le cadre du régime 2G ou 3G devrait tout au moins vérifier que la personne qui se présente à l'entrée figure bien dans le fichier (« liste »). La CNPD se demande dans ce contexte si en pratique il est vraiment plus rapide de devoir rechercher les noms des personnes dans un fichier (« liste »), que de scanner rapidement le code QR moyennant l'application CovidCheck.lu et de vérifier que le quadrant devient vert. Surtout dans des grandes entreprises, administrations ou lors d'évènements d'une certaine envergure, les personnes responsables des vérifications nécessaires dans le cadre du Covid check ne connaissent pas forcément toutes les personnes qui se présentent à l'entrée d'une zone Covid check. Elle se demande même si les exploitants et organisateurs seraient alors obligés de demander une pièce d'identité à la personne concernée afin de s'assurer qu'elle figure bien dans le fichier (« liste ») des personnes vaccinées ou, le cas échéant rétablies ? Par ailleurs, elle estime que pour faciliter le besoin d'entrées / sorties fréquentes au cours d'un laps de temps court (par exemple une journée) d'une zone Covid check, comme par exemple lors d'activités sportives ou culturelles qui sont ponctuelles, il existe des moyens moins intrusifs, sans collecte de données à caractère personnel, pour répondre à un besoin de facilitation des entrées / sorties d'une zone Covid check, comme par exemple l'usage de bracelets de couleur ou d'autres moyens de ce genre. En ce qui concerne le système du Covid check sur le lieu du travail, la CNPD estime que pour les employés qui ont donné leur consentement explicite à figurer dans le fichier (« liste ») des personnes vaccinées et rétablies, certains employeurs pourraient envisager d'intégrer la durée de validité du certificat dans le badge d'accès des employés concernés, qui serait valable pendant cette durée ou jusqu'à la fin de la durée d'application des dispositions relatives au Covid check dans la loi modifiée du 17 juillet 2020. Si ce moyen faciliterait les vérifications 5 Voir sur le site de la Chambre des députes, article "PREMIER ÉCHANGE SUR LA LOI COVID" du 6 décembre 2021 https://chdiu/wps/portal/public/Accueil/Actualite/ALaUne/?current=true&urile=wcm%3Apath%3Aactualite.public.c hd.lu/ST-www.chd.lu/sa-actualites/11cbf556-a029-48ae-a2ed-9e892699c377. CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 5/7 effectuées dans le cadre du Covid check, l'accès serait facilité aux employés en cause sans nécessité de contrôle supplémentaire.6 Or, le fait d'intégrer cette information dans le badge d'accès des employés suppose toutefois un traitement de données supplémentaire, qui devrait respecter l'ensemble des principes et obligations du RGPD. A titre d'exemple, comme ce traitement a comme condition de licéité le consentement exprès des personnes concernées (article 9.2.
- a)RGPD), l'employeur devrait toujours permettre aux employés qui ne souhaitent pas utiliser cette possibilité de présenter leur certificat à chaque fois qu'ils rentrent dans des locaux placés sous régime CovidCheck, sans qu'ils ne subissent aucune conséquence négative de ce choix. 2.3 Quant aux données à caractère personnel collectées Le nouveau point 27, alinéa 4 de l'article ler de la loi modifiée du 17 juillet 2020 prévoit qu'actuellement le fichier (« liste ») des exploitants ou organisateurs ne peut contenir que « /e nom des personnes vaccinées ». Sans préjudice de ses commentaires sous le point « 2.2. Quant à la finalité poursuivie », la CNPD estime qu'au moins le nom et le prénom de la personne vaccinée ou rétablie devraient figurer dans ledit fichier (« liste ») afin d'éviter le risque lié aux homonymes. Par ailleurs, la CNPD note que la durée de validité du certificat de vaccination, voire du certificat de rétablissement ne figure pas parmi les données à intégrer dans les fichiers (« listes ») en cause. Or, la CNPD se demande comment les finalités pour des raisons sanitaires pourraient être atteintes, si le certificat de vaccination ou de rétablissement d'une personne perdjt sa validité entre la date d'entrée en vigueur et la date d'expiration de la loi du 17 juillet 2020 telle que modifiée par le présent projet de loi, c'est-à-dire le 28 février 2022. Dès lors, si la personne qui s'occupe des vérifications liées au régime Covid check ne dispose pas de cette information et ne peut donc pas contrôler si la personne qui se trouve dans le fichier (« liste ») dispose encore d'un certificat valide, le but même du Covid check, c'est-àdire de garantir la sécurité et la santé des personnes concernées sans devoir se soumettre aux restrictions et mesures sanitaires strictes, telles que le port du masque ou la distanciation physique, ne serait pas atteint. 2.4. Quant à d'autres obligations prévues par le RGPD Finalement, l'employeur, l'exploitant ou l'organisateur qui tient un fichier (« liste ») des personnes vaccinées ou rétablies est à considérer comme responsable du traitement au sens de l'article 4. point 7) du RGPD et de ce fait, tous les principes et obligations prévus par le RGPD sont à respecter, comme par exemple : — Seul un nombre limité de personnes, dûment autorisées, pourra accéder audit fichier (« liste »). Voir aussi les « FAQ SUR LA PROTECTION DES DONNÉES ET LE COVIDCHECK » disponible sur le site internet de la CNPD : https://cnoctpublic.luffr/dossiers-thematioues/covid-19/covid-check.html. 6 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 617 - - La sécurité et la confidentialité du fichier (« liste ») doit être garantie. Il importe que dans des lieux accessibles au public, ledit fichier (« liste ») ne puisse pas être visualisé par d'autres visiteurs ou clients. Les droits des personnes concernées, c'est-à-dire en l'espèce les personnes vaccinées et rétablies qui figurent dans un tel fichier (« liste »), prévus aux articles 12 à 23 du RGPD sont à respecter par le responsable du traitement. Ainsi décidé à Belvaux en date du 8 décembre 2021. La Commission nationale pour la protection des données Digitally signed by Tine Tine Annemarie Annemarie Larsen Date: 2021.12.08 Larsen 12:13:49 +0100' Tine A. Larsen Présidente [ CNPD Digitally signed by Digitally signed by Marc Thierry Thierry Lallemang ALAIN ALAIN HERRMANN Ernest Date:2021.12.08 Date: 2021.12.08 Jean-Pierre'eor '''''" Lallemang 12:11:05 +0100 HERRMANN 12:22:07 +0100' Lemmer Thierry Lallemang Commissaire Alain Herrmann Commissaire Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7924 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 717