Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abor

(45)du RGPD précise qu’il devrait « […] appartenir au droit de l’Union ou au droit d’un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l’objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d’autres mesures visant à garantir un traitement licite et loyal. […] ». Le considérant

(41)du RGPD énonce encore que « [l]orsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que L’article 3, paragraphe 3, du RGPD dispose que « [l]e fondement du traitement visé au paragraphe 1, points

1. c)et e), est défini par:
2. a)le droit de l’Union ;ou
3. b)le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l'Union ou le droit des États membres répond à un objectif d'intérêt public et est proportionné à l'objectif légitime poursuivi. 1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 2/25 l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme ». Bien que le projet de loi fournisse une base légale pour les traitements effectués par le biais du RENLA en spécifiant un certain nombre d’éléments, tels que l’identité des responsables du traitement, certains points ne sont pas suffisamment précisés dans le texte du projet de loi, comme par exemple les personnes concernées dont les données sont traitées ou encore les durées de conservation. La CNPD reviendra ultérieurement sur ce point, qui est d’ailleurs également valable pour les traitements de données personnelles effectués dans le cadre des demandes d’agrément en tant que bailleur social. II. Sur le contrôle d’honorabilité effectué dans le cadre des demandes d’agrément Selon l’article 30 du projet de loi, le bailleur social est l’organisme qui assure la gestion locative des logements destinés à la location abordable. Compte tenu de l’importance du rôle du bailleur social, il doit disposer d’un agrément de la part du ministre ayant le Logement dans ses attributions (ci-après le « ministre »). Dans le cadre des demandes d’agrément qui lui sont adressées, le ministre est amené à collecter et à traiter des données à caractère personnel. En effet, l’article 36, paragraphe 2, du projet de loi énumère les données à caractère personnel que la demande d’agrément doit mentionner 2. Le paragraphe 3 précise par ailleurs que la demande est accompagnée de tous renseignements et documents destinés à établir que les conditions requises à l’article 34, notamment celle relatives à la qualification professionnelle, sont remplies. Alors même que l’honorabilité professionnelle ne figure pas parmi les conditions d’agrément de l’article 34 du projet de loi, il ressort de l’article 35 qu’un contrôle d’honorabilité est effectué 3 : « L’honorabilité professionnelle s’apprécie sur base des antécédents judiciaires des responsables, des informations obtenues auprès du Ministère Public de tous les éléments fournis par l’instruction administrative pour autant qu’ils concernent des faits ne remontant pas à plus de 2 Article 36, paragraphe 2, du projet de loi: « Si le demandeur est une personne morale de droit privé, la demande mentionne son nom, l'adresse et sa forme juridique ainsi que les noms, prénoms, professions et adresses de ses gérants, administrateurs ou autres personnes dirigeantes ou responsables en charge des missions énumérées à l’article 30. Si le demandeur est une personne morale de droit public, la demande mentionne son nom et adresse ainsi que les noms, prénoms, adresses et titres des responsables en charge des tâches missions [sic] énumérées à l’article 30. » 3 Sur la notion « d’honorabilité », il est renvoyé aux observations formulées par la CNPD à ce sujet dans son avis relatif au projet de loi n°7691 (Délibération n°3/AV3/2021 du 10 février 2021 ; Doc. parl. 7691/03, point I.1, page 3). Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 3/25 dix ans et de tous les éléments susceptibles d’établir une bonne réputation des responsables et qu’ils présentent toutes les garanties d’une activité irréprochable. » Cet article prévoit par ailleurs la production d’un extrait du bulletin n°3 du casier judiciaire. S’il y a lieu de féliciter les auteurs du projet pour avoir instauré une base légale prévoyant le principe d’une enquête d’honorabilité, conformément à l’article 6, paragraphe 3, du RGPD, ces dispositions ne sont toutefois pas suffisamment précises. Ainsi, il ne ressort pas clairement du texte qui procédera au contrôle d’honorabilité, ni quelle(
4. s)personne(
5. s)ferai(en)t l’objet du contrôle d’honorabilité. En effet, l’article 35, alinéa 1er, du projet de loi évoque les antécédents judiciaires des « responsables » tandis qu’il résulte des alinéas suivants du projet de loi que les « responsables » et « membres du personnel du service » doivent produire un extrait du casier judiciaire. De plus, il y a lieu de s’interroger sur ce que recouvre la notion « d’antécédents judiciaires ». La CNPD comprend que le ministre ne se baserait pas uniquement sur les inscriptions au casier judicaire mais qu’il pourrait également obtenir des « informations » auprès du Ministère public. Cependant, ces « informations » ne sont pas détaillées par le projet de loi ni dans le commentaire des articles. S’agit-il d’informations contenues dans les rapports de police ou procès-verbaux ? S’agit-il d’informations relatives à des faits faisant l’objet d’enquêtes ou d’instructions en cours ? A quels types d’infractions pénales les informations se rapporteraient-elles ? Une attention particulière devrait être portée au fait qu’il s’agit de données collectées initialement par le Ministère public à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales qui sont soumises, à ce titre, à la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. Ces données seraient traitées, dans le cadre du présent projet de loi, à des fins administratives pour des finalités ultérieures différentes et donc soumises au RGPD. La CNPD renvoie à ses observations formulées dans son avis relatif au projet de loi n°7691 ayant pour objet de préciser les différentes procédures de contrôle d’honorabilité actuellement prévues dans plusieurs textes de loi relevant de la compétence du ministre de la Justice 4. En outre, l’appréciation de l’honorabilité professionnelle ne semble pas être limitée à des antécédents judiciaires alors que celle-ci se baserait également sur « tous les éléments fournis par l’instruction administrative pour autant qu’ils concernent des faits ne remontant pas à plus de dix ans et de tous les éléments susceptibles d’établir une bonne réputation des responsables et qu’ils présentent toutes les garanties d’une activité irréprochable ». Or, il y a lieu de s’interroger sur les catégories de données à caractère personnel qui seraient collectées dans le cadre de l’instruction administrative ou lors de l’appréciation de « la bonne 4 Délibération n°3/AV3/2021 du 10 février 2021 ; Doc. parl. 7691/03, point III. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 4/25 réputation des responsables » ou des « garanties d’une activité irréprochable » desdits responsables, en l’absence de précisions à ce sujet dans le projet de loi. Au vu de ce qui précède, la CNPD estime que le projet de loi ne répond pas aux exigences de prévisibilité et de précision auxquelles doit répondre tout texte légal qui prévoit une ingérence dans le droit au respect de la vie privée ou qui limite l’exercice du droit à la protection des données personnelles 5. Enfin, il y a lieu de regretter qu’il n’est pas non plus précisé quels critères ou quel degré de gravité des antécédents seraient pris en compte par le ministre afin d’apprécier l’honorabilité professionnelle. Par exemple, se pose notamment la question si toute inscription au casier judiciaire entraîne automatiquement une appréciation négative en matière d’ honorabilité professionnelle ou si, par contre, les inscriptions doivent atteindre un certain niveau de gravité. Or, en l’absence de telles précisions et étant donné qu’il ne ressort pas clairement du texte du projet de loi quelles données à caractère personnel seraient collectées dans le cadre du contrôle d’honorabilité, la Commission nationale se trouve dans l’impossibilité d’apprécier si ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, cela conformément au principe de minimisation des données prévu à l’article 5, paragraphe 1er, lettre c), du RGPD. En ce qui concerne la production d’un extrait du casier judiciaire, il résulte de l’article 35 du projet de loi que les personnes concernées doivent fournir un extrait du casier judiciaire du pays dont elles ont la nationalité. Il y a lieu de se demander s’il ne serait pas plus pertinent de s’inspirer du système prévu en matière d’autorisation d’établissement qui met l’accent sur le pays de résidence. Ainsi, l’article 2, paragraphe 4, alinéa 1er, du règlement grand-ducal du 1er décembre 2011 déterminant les modalités de l'instruction administrative prévue à l'article 28 de la loi du 2 septembre 2011 réglementant l'accès aux professions d'artisan, de commerçant, d'industriel ainsi qu'à certaines professions libérales dispose que « [l]orsqu'ils n'ont pas résidé au Grand-Duché de Luxembourg de manière continue depuis au moins 10 années, le dirigeant visé à l'article 4 de la loi ainsi que les personnes visées à l'article 6

(2)de la loi fournissent un extrait du casier judiciaire ou un certificat de bonne vie et mœurs émis par le ou les Etats où il a résidé les 10 années précédant la date de sa demande. Si l'Etat de résidence ne délivre pas d'extrait de casier judiciaire ou de certificat de bonne vie et mœurs, une pièce pouvant être considérée équivalente ou un affidavit remplacent ce document. » 5 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre

1. V. également Délibération n°3/AV3/2021 du 10 février 2021 ; Doc. parl. 7691/03, point II. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
2. 5/25 III. Sur le secret professionnel Selon l’article 39 du projet de loi, « [l]es responsables du bailleur social ainsi que leur personnel sont liés par le secret professionnel pour tout renseignement dont ils ont eu connaissance dans le cadre de leurs missions ». Le commentaire des articles précise que « [l]e secret professionnel est particulièrement important dans le domaine d’activités du bailleur social. Il traite notamment des données à caractère personnel des locataires. Même si cette disposition peut être perçue comme superfétatoire dans le cadre de cette loi, les auteurs ont choisi de l’insérer pour souligner l’importance du secret professionnel dans le chef du bailleur social. En cas de violation, le droit pénal trouve application. » Malgré ces explications, il pourrait être indiqué de faire expressément référence à l’article 458 du Code pénal en ce qui concerne les sanctions encourues en cas de non-respect du secret professionnel. Les auteurs du projet de loi pourraient notamment s’inspirer de l’article 42 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données en vertu duquel « […] toutes les personnes exerçant ou ayant exercé une activité pour la CNPD sont tenues au secret professionnel et passibles des peines prévues à l’article 458 du Code pénal en cas de violation de ce secret. […] ». IV. Sur le registre national des logements abordables (RENLA) Parmi les mesures phares que le projet de loi entend introduire pour mettre en œuvre la politique du logement abordable figure la création du registre national des logements abordables
3. Il y a lieu de saluer le fait que les auteurs du projet de loi aient prévu des dispositions spécifiques relatives à la protection des données personnelles. Néanmoins, un certain nombre de points nécessitent des clarifications.
4. Sur les finalités La notion de « finalité », c’est-à-dire l’objectif poursuivi par le traitement, occupe une place primordiale au sein du RGPD. Aux termes de l’article 5, paragraphe 1er, lettre b), du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. De plus, d’autres principes prévus par le RGPD, tels que les principes de minimisation des données 7 ou de limitation de conservation8, s’apprécient au regard des finalités pour lesquelles les données sont traitées. Par conséquent, il est important que les finalités du RENLA soient clairement définies dans le projet de loi. 6 Chapitre 6 du projet de loi 7 Article 5, paragraphe 1er, lettre c), du RGPD 8 Article 5, paragraphe 1er, lettre e), du RGPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
5. 6/25 Il ressort de l’article 1er, point 4°, du projet de loi que ce registre vise à assurer « l’attribution harmonisée et équitable des logements destinés à la location abordable », cela notamment via la procédure d’attribution détaillée à l’article 60 du projet de loi. Il est regrettable que cette finalité ne soit pas reprise expressément à l’article 76, paragraphe 3, avant-dernier alinéa, du projet de loi qui traite plus particulièrement des finalités du RENLA. Selon cette disposition, « [l]es données à caractère personnel sont traitées et contrôlées aux fins d’instruction, de gestion et de suivi administratif des dossiers des demandeurs-locataires, des candidats-locataires et des locataires, selon les modalités de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ». La CNPD s’interroge sur l’utilité de cette référence à la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. De manière générale, l’article 76, paragraphe 3, avant-dernier alinéa, du projet de loi reste assez vague quant aux finalités poursuivies par le RENLA. Le commentaire des articles fournit beaucoup plus de précisions qui devraient être reprises dans le texte du projet de loi 9: « Le Registre national des logements abordables (RENLA) est une plateforme informatique mise à disposition par le ministère du Logement et qui a pour missions : a. Au niveau de la gestion des demandes de logement : a. la collecte et l’instruction des dossiers des demandeurs-locataires ; b. la détermination de l’éligibilité d’une demande ; c. le classement des candidatures selon les critères de priorité, objectifs et mesurables ; b. Au niveau de la gestion des logements abordables : a. la collecte des données relatives aux logements abordables pour lesquels les éventuels déficits d’exploitation sont pris en charge sur base d’une convention avec le bailleur social; c. Au niveau du suivi des locataires : a. la mise à disposition d’une plateforme de calcul du loyer pour les bailleurs sociaux à travers laquelle les bailleurs sociaux vont gérer les adaptations de loyer en fonction de l’évolution de la situation des communautés domestiques locataires. »
6. Sur les personnes et les logements susceptibles de figurer dans le RENLA Au vu des finalités du RENLA telles que décrites dans le projet de loi, il paraît que seuls les logements destinés à la location abordable sont concernés, à l’exclusion des logements destinés 9 Doc. parl. 7373/00, p. 71 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
7. 7/25 à la vente abordable ou à la vente à coût modéré. Il serait toutefois utile de préciser si le RENLA ne vise que les logements destinés à la location abordable au sens de l’article 11 du projet de loi ou si, par contre, sont également concernés les logements destinés à la location abordable aux demandeurs de protection internationale, aux réfugiés et personnes pouvant bénéficier de la protection subsidiaire, et aux étudiants au sens de l’article 12 ainsi que les logements destinés à la gestion locative sociale au sens de l’article 50 du projet de loi. Or, l’article 76, paragraphe 1er, du projet de loi définit le RENLA comme un « registre national pouvant répertorier les logements abordables, les acquéreurs et les occupants de ces logements, les demandeurs-locataires, les candidats locataires, les locataires et les membres de leur communauté domestique, ainsi que des bailleurs sociaux […] ». Le commentaire des articles précise à cet égard que « [l]e registre sert à la gestion à la fois

(1)des logements abordables, donc d’un volet « pierre »,

(2)des acquéreurs et occupants, des demandeurs-locataires, des candidats-locataires, des locataires et des membres de leur communauté domestique, donc d’un volet « humain » ou « client non professionnel », et

(3)des bailleurs sociaux, donc d’un volet « client professionnel ». ». Cette disposition laisse donc penser que figurent dans le RENLA tous les logements abordables au sens de l’article 3, point 7°, du projet de loi, à savoir tout logement destiné:  à la vente abordable au sens de l’article 4 ;  à la vente à coût modéré au sens de l’article 5 ;  à la location abordable au sens de l’article 11 ;  à la location abordable aux demandeurs de protection internationale, aux réfugiés et personnes pouvant bénéficier de la protection subsidiaire, et aux étudiants au sens de l’article 12 ;  à la gestion locative sociale au sens de l’article 50. Par ailleurs, l’article 76, paragraphe 2, du projet de loi énumère les logements qui sont inscrits dans le registre national des logements abordables. Selon le commentaire des articles, « [l]e grand principe est que tous les logements ayant bénéficié d’une participation financière au sens de la présente loi sont inscrits au registre ». Il semble dès lors qu’il y ait une certaine incohérence entre les différentes dispositions du projet de loi, incohérence qui est amplifiée par les explications fournies par le commentaire des articles. Le projet de loi devrait indiquer de manière exhaustive et univoque les finalités poursuivies par le RENLA. En vertu du principe de minimisation, seules les personnes dont le traitement des données à caractère personnel est nécessaire au regard des finalités du RENLA peuvent voir leurs données collectées et traitées. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 8/25 3. Sur les catégories de données à caractère personnel L’article 77 du projet de loi énumère les catégories de données traitées des demandeurslocataires, des candidats-locataires, des locataires et des membres de leur communauté domestique, à savoir les données relatives à : 1° leur identification ; 2° la nationalité 10 ; 3° une éventuelle mesure de curatelle, tutelle ou autre protection des majeurs ; 4° leur situation socio-économique ; 5° leur lieu de travail et leur employeur ; 6° leur logement actuel ; 7° au logement abordable attribué. Il y a lieu de noter que cet article ne détermine pas les catégories de données qui seraient traitées pour les acquéreurs et les occupants des logements abordables, tels que visés à l’article 76, paragraphe 1er, du projet de loi. Or, si les données de ces personnes devaient être traitées par le biais du RENLA, le projet de loi devrait indiquer les finalités du traitement ainsi que les catégories de données traitées. Selon le commentaire des articles, les données énumérées à l’article 77 du projet de loi seraient nécessaires à l’évaluation des conditions d’éligibilité et d’attribution d’un logement abordable, ainsi qu’au calcul du loyer de ces logements. En ce qui concerne les données relatives au logement actuel, il est précisé que ces données comprendraient notamment les données relatives au contrat de bail (résiliation, déguerpissement, etc.) et la salubrité (sur la base d’un certificat de l’administration compétente). Il est louable que les auteurs du projet de loi ont énuméré les catégories de données traitées au sein du RENLA. Il y a toutefois lieu de noter que les articles 57 et 58 du projet de loi mentionnent de manière plus détaillée les critères socio-économiques ainsi que les critères relatifs au logement vacant selon lesquels les logements sont attribués via le registre 11. Il serait préférable que l’article 77 énumère les catégories de données traitées avec au moins le même degré de précision. Par ailleurs, l’énumération figurant à l’article 77 du projet de loi semble incomplète. Il ressort par exemple de l’article 57, paragraphe 1er, point 6°, du projet de loi que des données relatives à un éventuel handicap seraient traitées dans le cadre du RENLA sans que cette catégorie de données 10 Le projet de loi précise que les données relatives à la nationalité peuvent être traitées à des fins statistiques seulement. 11 Cf. Point V du présent avis Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 9/25 soit mentionnée à l’article 77 du projet de loi. Il s’y ajoute que les données relatives à un handicap sont à qualifier de catégories particulières de données dites « données sensibles » au sens de l’article 9 du RGPD dans la mesure où elles concernent la santé d’une personne physique. Les traitements de telles données requièrent une protection spécifique et sont soumis à des exigences plus strictes. Dans le même ordre d’idées, il est regrettable que l’article 77 du projet de loi ne mentionne pas les données auxquelles le ministre pourra accéder en vertu de l’article 78 du projet de loi. D’après la compréhension de la CNPD, ces données sont également susceptibles de figurer dans le RENLA. 4. Sur le(

1. s)responsable(
2. s)du traitement La notion de responsable du traitement joue un rôle important dans l’application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer leurs droits12. L’article 76, paragraphe 3, du projet de loi précise que le ministre et le bailleur social sont les responsables conjoints du traitement des données à caractère personnel dans le cadre du registre. L’article 26 du RGPD prévoit des règles spécifiques pour les responsables conjoints du traitement,. Ainsi, ils doivent définir de manière transparente leurs obligations respectives aux fins d’assurer le respect des obligations que leur impose le RGPD par voie d’accord entre eux, sauf si, et dans la mesure où, leurs obligations respectives sont définies par le droit de l'Union ou par le droit de l'État membre auquel les responsables du traitement sont soumis. La détermination de leurs responsabilités respectives doit notamment porter sur l’exercice des droits des personnes concernées et l’obligation d’information13. Il est encore à noter que la notion de responsable (conjoint) du traitement est une notion fonctionnelle en ce qu’elle vise à répartir les responsabilités en fonction des rôles réels joués par les parties. Ainsi, elle repose sur une analyse factuelle plutôt que formelle 14. Au vu de la multitude de traitements effectués par le biais du RENLA, se pose par ailleurs la question s’il n’y a pas lieu de différencier selon les différents traitements. Il est concevable que le ministre et le bailleur social soient responsables conjoints pour un traitement déterminé alors que seul le ministre soit responsable du traitement pour un autre traitement. En l’espèce, il est difficile d’apprécier si la 12 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-andprocessor-gdpr_fr 13 Ibid, p.4 14 Ibid., p.3 et 12 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 10/25 qualification retenue par le projet de loi correspond à la réalité dans la mesure où le projet de loi reste vague sur de nombreux points. A titre d’exemple, le projet de loi ne précise pas clairement si c’est le ministre ou le bailleur social qui évaluera les critères d’éligibilité par le biais du RENLA. L’article 76, paragraphe 3, du projet de loi dispose encore que le ministre peut déléguer, sous sa responsabilité, tout ou partie des obligations qui lui incombent en vertu de la présente loi à un agent de son ministère en fonction des attributions de cet agent. La même faculté est prévue pour le bailleur social. La CNPD s’interroge sur le sens à donner à cette disposition. En matière de protection des données, c’est généralement l’organisation en tant que telle, et non une personne au sein de celle-ci, qui agit en tant que responsable du traitement au sens du RGPD. En désignant le ministre comme responsable (conjoint) du traitement, la CNPD comprend que les auteurs du projet de loi ne visent pas le ministre personnellement mais l’autorité administrative que le ministre représente. Même si, dans les faits, une personne physique particulière est désignée pour veiller au respect des règles en matière de protection des données, cette personne ne sera pas le responsable du traitement mais agira pour le compte de l’organisation 15. Il en résulte que cette disposition peut être omise d’un point de vue protection des données. 5. Sur la durée de conservation Selon l’article 5, paragraphe 1er, lettre e), du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou anonymisées. Alors que l’article 76, paragraphe 2, du projet de loi détermine la durée pendant laquelle les logements sont inscrits dans le RENLA, il y a lieu de regretter qu’aucune disposition similaire n’existe concernant les données à caractère personnel. En l’absence de précisions à ce sujet dans le projet de loi et dans le commentaire des articles, la Commission nationale n’est pas en mesure d’apprécier si, en l’occurrence, le principe de limitation de conservation serait respecté. Même si la durée de conservation ne doit pas forcément être définie dans le projet de loi, celui-ci devrait a minima préciser les critères qui seraient pris en compte afin de déterminer quelle est la durée de conservation proportionnée pour les données à caractère personnel qui serait collectées par le ministre. 15 Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : https://edpb.europa.eu/ourwork-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_fr, p. 11 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 11/25 6. Sur l’accès par le ministre aux données détenues par d’autres autorités L’article 78 du projet de loi prévoit l’accès par le ministre aux fichiers de plusieurs administrations. Le commentaire des articles précise que cet accès est conçu dans l’intérêt de la simplification administrative et dans le respect de la protection des données. L’article 78, paragraphe 1er, est rédigé de la manière suivante : «

(1)En signant la déclaration spéciale contenue sur le formulaire d’inscription, le demandeurlocataire et toute personne majeure et capable de sa communauté domestique donnent leur consentement explicite à ce que le ministre a accès, pour chaque membre de la communauté domestique, aux renseignements des fichiers et bases de données d’autres autorités de l’État, et à ce qu’il obtient la transmission des informations et données nécessaires au traitement de la demande de location d’un logement abordable et au réexamen de cette demande. Dans ce cas, le ministre peut, afin de contrôler si les conditions d’attribution d’un logement abordable sont remplies et afin de vérifier l’exactitude et l’authenticité des données et des pièces fournies par les demandeurs-locataires, les candidats-locataires et les locataires, demander, pour chaque membre de leur communauté domestique: 1° à l’Administration des contributions directes la transmission des données suivantes pour une année fiscale donnée :

1. a)le nom, le prénom, le numéro d'identification national et l’adresse ;
2. b)l’indication si la personne concernée est propriétaire ou usufruitier d’un ou de plusieurs logements selon les informations enregistrées par le service des évaluations immobilières de l’Administration des contributions directes ;
3. c)les montants des revenus nets par catégorie de revenus énumérées à l’article 10 de la loi modifiée du 4 décembre 1967 concernant l’impôt sur le revenu, les revenus exonérés incorporés par catégorie de revenus dans une base imposable fictive selon l’article 134 de la loi modifiée du 4 décembre 1967 concernant l’impôt sur le revenu ; 2° à l’Administration du cadastre et de la topographie la transmission des données suivantes :
4. a)l’indication si la personne concernée est propriétaire ou usufruitier d’un ou de plusieurs logements, y compris sa provenance ;
5. b)le titre de propriété du logement ;
6. c)les données techniques du logement ; 3° à l’Administration de l’enregistrement, des domaines et de la TVA la transmission des données suivantes :
7. a)l’indication si la personne concernée est propriétaire ou usufruitier d’un ou de plusieurs logements ;
8. b)le titre de propriété du logement ;
9. c)les données techniques du logement ; 4° au Centre commun de la sécurité sociale sur la base de l’article 413 du Code de la sécurité sociale la transmission des données suivantes : Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 12/25
10. a)le nom, le prénom, le numéro d’identification national et l’adresse ;
11. b)la date et la durée de l’affiliation ;
12. c)la durée de travail hebdomadaire ;
13. d)le nom, le prénoms [sic]et les coordonnées de l’employeur ;
14. e)les affiliations auprès d’employeurs antérieurs ; 5° au Fonds national de solidarité la transmission des données suivantes :
15. a)le nom, le prénom, le numéro d’identification national et l’adresse ;
16. b)les bénéficiaires du revenu d’inclusion sociale, et leur montant ;
17. c)les bénéficiaires du revenu pour personnes gravement handicapées, et leur montant ;
18. d)les bénéficiaires de la majoration du revenu d’inclusion sociale, et leur montant ;
19. e)les bénéficiaires de la majoration du revenu pour personnes gravement handicapées, et leur montant ;
20. f)les bénéficiaires d’une avance de pension alimentaire, et leur montant ;
21. g)les bénéficiaires du forfait d’éducation, et leur montant ; 6° à la Caisse pour l’avenir des enfants la transmission des données suivantes: l’indication si la personne concernée est attributaire d’une allocation familiale au bénéfice d’un ou de plusieurs enfants vivant dans la communauté domestique du demandeur ou bénéficiaire de l’aide, et leur montant ; 7° à l’Agence pour le développement de l’emploi la transmission des données suivantes : les bénéficiaires des indemnités de chômage et leur montant ; 8° au ministre ayant l’Immigration dans ses attributions la transmission des données suivantes : l’indication si la personne concernée est demandeur d’un regroupement familial sur base de l’article 69, paragraphe 3 de loi modifiée du 29 août 2008 portant sur la libre circulation des personnes et l’immigration. » A. Sur la terminologie employée Il y a lieu de noter que les termes utilisés à l’article 78 du projet de loi ne sont pas constants de sorte qu’il existe des incertitudes quant aux modalités pratiques de l’accès du ministre aux données détenues par d’autres autorités. L’intitulé de l’article 78, à savoir « Communication de renseignements d’autres autorités », laisse entendre que le ministre n’a pas un accès aux fichiers d’autres autorités mais qu’il se voit transmettre des données. L’utilisation récurrente du terme « transmission » semble aller dans le même sens. Or, cet article dispose à un autre endroit que « le ministre a accès […] aux renseignements des fichiers et bases de données d’autres autorités de l’État ». L’article 79 parle également de l’ « accès » du ministre à des renseignements. Par ailleurs, le projet de loi parle de « renseignements des fichiers et base de données » ou encore d’ « informations et données » Pour une plus grande sécurité juridique, il serait souhaitable d’utiliser une terminologie cohérente à travers tout le projet de loi et de clarifier si le ministre dispose d’un accès direct aux données Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.0. 13/25 détenues par d’autres autorités ou s’il peut uniquement demander ponctuellement la transmission de certaines données relatives aux personnes concernées, c’est-à-dire, d’après la compréhension de la CNPD, les demandeurs-locataires, les candidats-locataires, les locataires et les membres de leur communauté domestique. Pour la suite du présent avis, il est supposé qu’il s’agit d’un accès direct. B. Sur la base de licéité L’article 78, paragraphe 1er, du projet de loi dispose que « [e]n signant la déclaration spéciale contenue sur le formulaire d’inscription, le demandeur-locataire et toute personne majeure et capable de sa communauté domestique donnent leur consentement explicite à ce que le ministre a accès, pour chaque membre de la communauté domestique, aux renseignements des fichiers et bases de données d’autres autorités de l’État, et à ce qu’il obtient la transmission des informations et données nécessaires au traitement de la demande de location d’un logement abordable et au réexamen de cette demande. » Selon le commentaire des articles, l’accès par le ministre aux fichiers de certaines administrations « ne peut être exercé que si les toutes les personnes majeures de la communauté domestique du demandeur-locataire y ont expressément donné leur consentement. » Le consentement constitue l’une des six bases juridiques, telles qu’énumérées à l’article 6 du RGPD, permettant de traiter des données à caractère personnel. L’article 4, point 11, du RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ». Il ressort du considérant

(43)du RGPD qu’il n’est pas probable que des autorités publiques puissent se fonder sur le consentement pour le traitement de données à caractère personnel, dès lors que dans l’hypothèse où le responsable du traitement est une autorité publique, il existe souvent un déséquilibre manifeste des rapports de force entre le responsable du traitement et la personne concernée de sorte que le consentement n’est pas libre. Le RGPD n’exclut pas entièrement le recours au consentement en tant que base juridique du traitement de données par des autorités publiques mais il existe souvent d’autres bases juridiques plus adaptées aux activités des autorités publiques 16.. 16 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 du Comité européen de la protection des données, points 16 et s., disponibles sous : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation2016679_fr Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.

1. 14/25 En l’espèce, l’article 78, paragraphe 1er, du projet de loi énumère les données que le ministre pourrait consulter dans les fichiers des administrations respectives dans l’hypothèse où les personnes concernées auraient donné leur consentement, ceci « afin de contrôler si les conditions d’attribution d’un logement abordable sont remplies et afin de vérifier l’exactitude et l’authenticité des données et des pièces fournies par les demandeurs-locataires, les candidatslocataires et les locataires ». Il en résulte que l’accès par le ministre aux données détenues par d’autres administrations poursuit deux finalités distinctes: d’une part, le contrôle des conditions d’attribution d’un logement abordable et, d’autre part, la vérification de l’exactitude et de l’authenticité des données et des pièces fournies par les personnes concernées. En ce qui concerne la première finalité, à savoir le contrôle des conditions d’attribution17 d’un logement abordable, il paraît que le consentement ne constitue pas la base de licéité appropriée. En l’espèce, les personnes concernées se trouvent souvent dans une situation financière et personnelle difficile qui amplifie le déséquilibre des rapports de force vis-à-vis du ministre. La Commission nationale estime partant que le traitement en cause devrait plutôt se baser sur l’article 6, paragraphe 1er, lettre c), du RGPD dans la mesure où il est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis. Le ministre pourrait donc, selon les conditions fixées par le projet de loi, accéder aux données strictement nécessaires au contrôle des critères d’attribution d’un logement abordable. Ainsi, les demandeurs-locataires n’auraient pas besoin de fournir eux-mêmes toutes les données requises, ce qui réduirait considérablement leur charge administrative. Quant à la seconde finalité, à savoir la vérification de l’exactitude et de l’authenticité des données et pièces fournies par les personnes concernées, la CNPD estime que le consentement n’est, en tout état de cause, pas la base de licéité appropriée. En effet, en cas de refus du consentement, quels seraient les moyens alternatifs que le ministre mettrait en œuvre ? Ce traitement trouverait sa base de licéité plutôt dans l’article 6, paragraphe 1er, lettre c), du RGPD dans la mesure où il est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis Par ailleurs, la Commission nationale donne à considérer que la vérification de l’exactitude et de l’authenticité des données serait superfétatoire si le ministre accède lui-même aux données détenues par d’autres autorités de l’État. C. Sur les catégories de données L’article 78, paragraphe 1er, du projet de loi énumère les administrations aux fichiers desquels le ministre peut accéder ainsi que, pour chaque administration, les catégories de données pouvant 17 D’après la compréhension de la CNPD, il s’agit également de vérifier les conditions d’éligibilité définies à l’article 55 du projet de loi. Il y a partant lieu de le préciser dans le texte du projet de loi. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
2. 15/25 être consultées. Tout d’abord, il y a lieu de constater que le projet de loi prévoit que le ministre peut accéder aux fichiers d’un nombre important d’autorités 18 et que les données auxquelles il peut accéder font souvent double emploi. A titre d’exemple, en ce qui concerne le nom, le prénom, le numéro d’identification national et l’adresse, le ministre peut accéder aux données de trois administrations, à savoir l’Administration des contributions directes, le Centre commun de la sécurité sociale et le Fonds national de solidarité, tout en ayant le droit de consulter ces données au registre national des personnes physiques. La Commission nationale voit d’un œil critique cette prolifération d’accès qui ne semble, à première vue, pas être justifiée. Ensuite, pour un certain nombre de données, il ne ressort ni du texte du projet de loi ni du commentaire des articles pourquoi il serait nécessaire que le ministre y accède dans le cadre du contrôle des conditions d’attribution d’un logement abordable. D’après la compréhension de la CNPD, le contrôle devrait être effectué au regard des critères d’éligibilité et d’attribution définis par les articles 55 et suivants du projet de loi. Se pose par exemple la question pourquoi il serait nécessaire d’avoir accès aux « données techniques » ou au « titre de propriété » du logement dont la personne concernée serait propriétaire ou usufruitier, étant donné que le simple fait d’être propriétaire ou usufruitier d’un logement est un critère excluant l’éligibilité. Ainsi, il devrait en principe suffire de savoir si la personne concernée est propriétaire ou usufruitier d’un logement. La Commission nationale rappelle l’importance du principe de minimisation consac ré à l’article 5, paragraphe 1er, point c), du RGPD en application duquel le ministre ne pourra accéder qu’aux données qui sont strictement nécessaires au contrôle des conditions d’éligibilité et d’attribution. D. Sur l’accès par le ministre au registre national des personnes physiques L’article 78, paragraphe 2, du projet de loi dispose que « [l]e ministre a droit à la communication de renseignements à partir du registre national au sens de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques et le répertoire général au sens de la loi modifiée du 30 mars 1979 organisant l’identification numérique des personnes physiques et morales pour vérifier pour un demandeur-locataire, un candidat-locataire et un locataire ou tout autre membre de la communauté domestique, les données à caractère personnel suivantes : 1° les nom et prénoms ; 18 À savoir 1° l’Administration des contributions directes ; 2° l’Administration du cadastre et de la topographie ; 3° l’Administration de l’enregistrement, des domaines et de la TVA ; 4° le Centre commun de la sécurité sociale ; 5° le Fonds national de solidarité ; 6° la Caisse pour l’avenir des enfants ;7° l’Agence pour le développement de l’emploi ; 8° le ministre ayant l’Immigration dans ses attributions. De plus, le ministre a droit à la communication de renseignements à partir du registre national des personnes physiques. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
3. 16/25 2° la nationalité ; 3° le numéro d’identification national ; 4° le sexe ; 5° les date et lieu de naissance ; 6° la date de décès ; 7° l’état civil ; 8° le domicile et la résidence habituelle, mentionnant la localité, la rue et le numéro d’immeuble, le cas échéant, le numéro d’ordre établi en exécution de la loi modifiée du 19 mars 1988 sur la publicité foncière en matière de copropriété ou toute précision supplémentaire quant à l’immeuble dans lequel se situe le logement, ainsi que le historique concernant la durée de résidence ou les changements de résidence afin de contrôler le respect des conditions relatives à l’habitation principale et permanente ou à l’occupation du logement par le locataire. » Quant au renvoi au répertoire général au sens de la loi modifiée du 30 mars 1979 organisant l’identification numérique des personnes physiques et morales, il y a lieu de noter qu’en vertu de l’article 45 de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques, la loi modifiée du 30 mars 1979 organisant l’identification numérique des personnes physiques et morales ne s’applique plus aux personnes physiques. En ce qui concerne le registre national des personnes physiques, tel que prévu par la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques, les modalités d’accès et de transmission sont définies par la loi susmentionnée du 19 juin 2013 ainsi que par le r èglement grand-ducal du 28 novembre 2013 fixant les modalités d’application de la loi du 19 juin 2013 relative à l’identification des personnes physiques. Alors même que le terme « communication » est utilisé 19, il est supposé que le ministre disposera d’un accès à ce registre, tel que prévu par les textes susmentionnés. E. Sur les modalités pratiques de l’accès par le ministre aux données détenues par d’autres administrations L’article 79, paragraphe 1er, du projet de loi précise que l’accès « prend la forme d’un échange de données sur requête déclenchée par le système informatique sur initiative d’un gestionnaire du dossier ». A cet égard, il y a lieu de noter que le terme « échange » suppose une réciprocité. Or, l’accès du ministre aux données par d’autres autorités est en principe unilatéral dans la mesure où les autres autorités n’ont pas accès aux données figurant dans le RENLA. Il est partant préférable d’adapter la terminologie employée en utilisant le terme « communication ». L’article 79, paragraphe 2, du projet de loi dispose que « […] [l]’accès des agents d’un bailleur social est limité aux données des demandeurs-locataires, des candidats-locataires et des locataires répondant aux besoins spécifiques couverts par son domaine d’intervention et 19 Cf. Point IV .
4. A. du présent avis Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
5. 17/25 pertinentes pour l’attribution de logements aux personnes parmi lesquelles le choix se fait. Le bailleur social a accès aux données des logements qu’il gère et aux données de ses locataires dans le cadre de l’exercice de son activité de bailleur social ». Selon le commentaire des articles, « [c]eci implique que le bailleur social a non seulement accès aux données des demandeurslocataires, des candidats-locataires et des locataires qui l’ont choisi comme bailleur, mais également à ceux des autres bailleurs sociaux, pour pouvoir travailler utilement ». Le commentaire des articles ne fournit pas davantage d’explications sur les raisons pour lesquelles les bailleurs sociaux auraient besoin d’accéder aux données de l’ensemble des demandeurs-locataires, candidats-locataires et locataires. Se pose par ailleurs la question quelle serait l’utilité pour les demandeurs-locataires de choisir le bailleur social en charge de son dossier20 si, en fin de compte, tous les bailleurs sociaux ont accès à leurs données. Le fait que les bailleurs sociaux puissent accéder aux données des personnes concernées dont ils ne sont pas en charge du dossier est susceptible d’être contraire au principe de minimisation consacré à l’article 5, paragraphe 1er, lettre c), du RGPD. D’après les termes de l’article 79, paragraphe 3, du projet de loi, « [s]eules peuvent être consultées les données à caractère personnel ayant un lien direct avec le motif de consultation », ce qui est conforme au principe de minimisation susmentionné. Il est toutefois suggéré d’utiliser la même terminologie que celle employée à l’article 79, paragraphe 5, du projet de loi, à savoir que toute consultation ne peut avoir lieu que pour un motif précis. Selon l’article 79, paragraphe 4, du projet de loi, « [l]es demandeurs-locataires, les candidatslocataires et les locataires ont accès aux données qui les concernent. » La Commission nationale comprend qu’il s’agit du droit d’accès tel que prévu à l’article 15 du RGPD. L’article 79, paragraphe 4, du projet de loi dispose que « [e]n se portant demandeur-locataire ou candidat-locataires, de même que par le fait qu’ils signent un bail pour un logement abordable, les demandeurs-locataires, les candidats-locataires et les locataires marquent leur accord à ce que leurs données soient traitées conformément à ce qui précède, ce dont ils sont informés au moment de leur demande et de la signature d’un bail. L’opposition de leur part à ce que les données les concernant soient collectées ou traitées emporte de plein droit retrait de leur demande ou résiliation du bail, si cette opposition est maintenue après une information spéciale des conséquences d’un maintien de leur opposition. » Il est évident que la collecte et le traitement d’un certain nombre de données à caractère personnel sont indispensables dans le cadre du projet de loi sous avis et que l’opposition des personnes concernées est susceptible de rendre impossible le traitement de leur demande ou encore le maintien du bail. Il est toutefois regrettable que cette disposition, en se référant à l’accord donné par les personnes concernées, crée une certaine confusion quant à la base de licéité sur laquelle sont basés les traitements de données effectués. La CNPD estime que ces traitements devraient être basés sur l’article 6, paragraphe 1er, lettre c), du RGPD dans la mesure où les traitements sont nécessaires au respect d’une 20 Article 55, paragraphe 4, du projet de loi Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
6. 18/25 obligation légale à laquelle le responsable du traitement est soumis. Tel qu’expliqué sous le point IV.6.B. du présent avis, le consentement ne constitue une base juridique appropriée que si le consentement est réellement libre, ce qui ne semble pas être le cas en l’espèce. L’article 79, paragraphe 4, du projet de loi peut partant être omis. L’article 79, paragraphe 5, du projet de loi fournit des précisions quant au fonctionnement du système informatique en disposant ce qui suit : « Le système informatique par lequel l’accès ou le traitement des données à caractère personnel sont opérés est aménagé de la manière suivante : 1° l’accès aux renseignements est sécurisé moyennant une authentification forte ; 2° tout traitement des données reprises dans les banques et fichiers de données à caractère personnel gérés par le ministre ou des renseignements auxquels le ministre a accès, ainsi que toute consultation de ces données, ne peut avoir lieu que pour un motif précis ; la date et l’heure de tout traitement ou consultation, le lien par rapport à un dossier en cours ainsi que l’identité de la personne qui y a procédé peuvent être retracées dans le système informatique mis en place ; les données de journalisation sont conservées pendant un délai de 3 ans à partir de leur enregistrement, délai après lequel elles sont effacées. » La Commission nationale se félicite que le projet de loi prévoit le principe du contrôle de l'accès aux données par le biais de la journalisation. Elle suggère néanmoins de porter la durée de conservation des données de journalisation à cinq ans, ce qui correspond par ailleurs au délai de prescription des délits tels que la violation du secret professionnel prévu à l’article 458 du Code pénal. V. Sur l’attribution des logements abordables via le RENLA Aux termes de l’article 1, point 1°, du projet de loi, le RENLA a pour objectif d’assurer « l’attribution harmonisée et équitable des logements destinés à la location abordable ». L’article 31 du projet de loi, intitulé « Attribution des logements », dispose ce qui suit : «

(1)Le bailleur social attribue les logements abordables vacants de son parc de logements aux candidats-locataires éligibles et classés en rang utile au sens de l’article 58 conformément aux critères d’attribution visés à l’article 59 sur base de l’enquête sociale, sauf si en vertu d’obligations légales, le bailleur social doit appliquer d’autres critères de priorité.

(2)Le bailleur social nomme une commission consultative qui lui donne un avis avant l’attribution d’un logement ou un relogement. La composition et le fonctionnement de la commission sont déterminés par règlement grandducal.

(3)Le Fonds du Logement peut faire des enquêtes sociales pour le compte d’un autre bailleur social. » L’article 60 du projet de loi détaille la procédure d’attribution des logements via le registre : Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.

1. 19/25 « Le bailleur social souhaitant attribuer un logement abordable effectue une requête au registre moyennant l’outil informatique mis à disposition par l’État. Le registre génère une liste réduite de candidats-locataires remplissant les conditions d’attribution prévus aux articles 57 et 58 dans un ordre de priorité établi sur base des informations fournis au registre. Le bailleur social propose le logement vacant à un des candidats-locataires de la liste réduite sur base d’une évaluation par enquête sociale des critères fixés à l’article
2. […] » Par la suite, l’article 60 énumère les cas de figure dans lesquels le bailleur social n’est pas obligé de choisir parmi les candidats-locataires issus de la liste réduite, cela afin de garantir une certaine mixité sociale de locataires. Dans l’exposé des motifs, les auteurs du projet de loi expliquent que « […] afin de ne pas alourdir inutilement la charge administrative des bailleurs sociaux, des critères facilement mesurables sont appliqués dans un premier temps, pour tout candidat-locataire. Ces critères sont liés par exemple au logement actuel de la communauté domestique, au titre de l’occupation de celui-ci et à la situation socio-économique. Afin de tenir compte d’une correspondance entre la composition du ménage du candidat-locataire et du logement potentiellement vacant et des préférences géographiques, voire du cadre de vie actuel du candidat-locataire, ce premier set de critères est complété par une évaluation supplémentaire automatisée du candidat par rapport à un logement donné, en fonction de sa typologie et de sa situation géographique. Sur base d’une « short-list » des candidats-locataires, le bailleur social pourra choisir ensuite le locataire dont la priorité aura été confirmée lors d’une enquête sociale et qu’il juge être le mieux adapté au logement effectivement vacant. C’est lors de cette troisième phase, qui se concentre sur les membres de la communauté domestique que l’évaluation du facteur humain est la plus prononcée. Par conséquent, elle implique nécessairement une enquête sociale. ».
3. Sur le profilage et la prise de décision automatisée Selon la compréhension de la Commission nationale, la procédure d’attribution des logements abordables via le RENLA comporte un profilage des personnes concernées et, au moins dans un premier temps, une prise de décision automatisée. S’il est vrai que le profilage et la prise de décision automatisée peuvent offrir des avantages, tels qu’une efficacité accrue et des économies de ressources, ils peuvent également poser des risques importants pour les droits et libertés des personnes qui nécessitent des garanties appropriées. En effet, le profilage peut perpétuer les Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
4. 20/25 stéréotypes existants et la ségrégation sociale ou encore conduire à un déni de services et de biens ainsi qu’à une discrimination injustifiée
5. L’article 4, point 4, du RGPD définit le profilage comme « toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ». Ainsi, le profilage est composé de trois éléments, à savoir :  il doit s’agir d’une forme de traitement automatisé;  il doit être effectué sur des données à caractère personnel; et  l’objectif du profilage doit être d’évaluer les aspects personnels d’une personne physique
6. Selon l’exposé des motifs, lu en combinaison avec le commentaire des articles, les critères facilement mesurables énumérés à l’article 57 du projet sont évalués, dans un premier temps, pour tout candidat-locataire par l’outil informatique du registre. Dans un deuxième temps, « ce premier set de critères est complété par une évaluation supplémentaire automatisée du candidat par rapport à un logement donné, en fonction de sa typologie et de sa situation géographique », c’est-à-dire par rapport aux critères d’attribution énumérés à l’article 58 du projet de loi. Dans une troisième phase, le bailleur social pourra choisir, sur base d’une liste réduite des candidatslocataires générée par le RENLA, le locataire dont la priorité aura été confirmée lors d’une enquête sociale prévue à l’article 59 du projet de loi. Il en résulte que les candidats-locataires qui ne sont pas inclus dans la liste réduite et qui, de ce fait, ne se verront pas attribués un logement abordable font l’objet d’une décision individuelle fondée exclusivement sur un traitement automatisé. En effet, ce n’est que lors de l’enquête sociale que l’intervention d’un être humain est prévue. Or, l’article 22, paragraphe 1er, du RGPD dispose que « [l]a personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. » L’article 22, paragraphe 2, du RGPD énumère les exceptions dans lesquelles l’interdiction de prendre des décisions fondées exclusivement sur un traitement automatisé ne s’applique pas. En vertu de 21 Groupe de travail « Article 29 » sur la protection des données, Lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679 (WP251rev.01), p.6, approuvées par le Comité européen de la protection des données (CEPD) le 25 mai 2018, disponibles sous : https://ec.europa.eu/newsroom/article29/items/612053/en 22 Ibid., p.7 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
7. 21/25 l’article 22, paragraphe 2, lettre b), du RGPD, l’interdiction ne s’applique pas « lorsque la décision est autorisée par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ». Ainsi, la législation d’un Etat membre peut autoriser la prise de décision automatisée, à condition qu’elle prévoie également des mesures appropriées pour sauvegarder les droits et libertés et les intérêts légitimes de la personne concernée. Selon le considérant

(71)du RGPD, « [e]n tout état de cause, un traitement de ce type devrait être assorti de garanties appropriées, qui devraient comprendre une information spécifique de la personne concernée ainsi que le droit d'obtenir une intervention humaine, d'exprimer son point de vue, d'obtenir une explication quant à la décision prise à l'issue de ce type d'évaluation et de contester la décision. » En ce qui concerne les candidats-locataires figurant sur la liste réduite, ceux-ci ne font pas l’objet d’une décision individuelle fondée exclusivement sur un traitement automatisé, mais il n’en demeure pas moins qu’il s’agit d’une prise de décision fondée sur le profilage. Le principe de transparence qui sous-tend le RGPD implique que les responsables du traitement doivent veiller à expliquer clairement et simplement aux personnes concernées la manière dont fonctionnent le profilage et le processus décisionnel. Par ailleurs, la Commission nationale préconise que les modalités d’évaluation et de pondération des critères d’attribution ainsi que les modalités de la procédure d’attribution soient précisées par un règlement grand-ducal, cette faculté étant prévue par le projet de loi. Il est à cet égard regrettable que les projets de règlements grand-ducaux n’ont pas été communiqués en même temps que le projet de loi. Enfin, il y a lieu d’attirer l’attention des auteurs du projet de loi sur l’article 35, paragraphe 3, lettre a), du RGPD selon lequel une analyse d’impact relatif à la protection des données est notamment requise lorsqu’il s’agit d’une « évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire »

1. 23 Pour plus de précisions : Groupe de travail « Article 29 » sur la protection des données, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679 (WP 248 rév. 01), approuvées par le Comité européen de la protection des données (CEPD) le 25 mai 2018, disponibles sous : https://ec.europa.eu/newsroom/article29/items/611236/en Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
2. 22/25
3. Sur l’enquête sociale Aux termes de l’article 59 du projet de loi, « [d]ans le cadre d’une analyse globale et sur base d’une enquête sociale, sont évalués dans le chef du candidat-locataire et des membres de sa communauté domestique des critères d’attribution regroupés dans les catégories suivantes : 1° la situation socio-familiale ; 2° la situation socio-économique ; 3° la situation financière ; 4° l’état du logement actuel et la situation de précarité relative au logement ; 5° le cas échéant, les besoins spécifiques visés par l’objet social du bailleur social ; 6° le cas échéant, d’une situation d’urgence particulière. Un règlement grand-ducal peut préciser les modalités d’évaluation et de pondération des catégories de critères énumérées à l’alinéa 1er. » Il résulte du commentaire des articles que « [l]es agents compétents du bailleur social, ou le cas échéant un prestataire externe, procèdent à une analyse globale de la situation des candidatslocataires, à la suite d’une anamnèse circonstanciée, d’une visite à domicile, ainsi que, le cas échéant, de l’avis d’autres professionnels. Ils basent leur analyse sur des critères regroupés dans quatre catégories principales, à savoir

(1)la situation socio-familiale,

(2)l’éducation et l’occupation professionnelle,

(3)la situation financière,

(4)l’état du logement actuel et la situation de précarité relative au logement. La durée pendant laquelle un candidat-locataire attend déjà l’attribution d’un logement n’entre en ligne de compte que si, par ailleurs, il se trouve en situation ex aequo avec un autre candidat-locataire. » La CNPD se demande si le Fonds du Logement est visé par le terme « prestataire externe ». En effet, l’article 31, paragraphe 3, du projet de loi dispose : « Le Fonds du Logement peut faire des enquêtes sociales pour le compte d’un autre bailleur social ». En tout état de cause, une attention particulière devrait être portée, lors de la mise en œuvre du projet de loi, à la détermination des responsable(s) du traitement, et, le cas échéant, des sous-traitants. Le commentaire des articles poursuit : « Si le bailleur social, conformément à son objet social, offre par ailleurs des prestations ciblées à ses locataires, il évalue encore les besoins spécifiques du candidat-locataire. Les besoins spécifiques peuvent être de diverses natures et être adaptés en fonction de l’évolution de la société, de sorte qu’il est impossible de les énumérer limitativement dans la loi. Les bailleurs sociaux qui accueillent les locataires confrontés à une situation d’urgence particulière, comme par exemple une situation d’urgence provoquée par une mesure de déguerpissement, évaluent aussi ces situations. » Il est regrettable que le texte du projet de loi reste très vague quant au contenu de l’enquête sociale qui est susceptible de constituer une intrusion importante dans la vie privée

1. Ainsi, 24 Cf. Point I. du présent avis Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
2. 23/25 l’article 59 du projet utilise des termes assez généraux, tels que « situation socio-familiale » ou « situation socio-économique » sans toutefois préciser les critères d’attribution qui seraient regroupés dans ces catégories. Il résulte du commentaire des articles que l’enquête sociale ne se limiterait pas à un examen des informations fournies par le candidat-locataire ou communiquées par d’autres autorités en vertu de l’article 78 du projet loi mais que les assistants sociaux pourraient notamment procéder à une visite à domicile et demander l’avis d’autres professionnels. Le projet de loi devrait définir clairement les investigations qui pourraient être effectuées dans le cadre d’une enquête sociale. A cet égard, il y a lieu de noter que l’article 83 du projet de loi dispose expressément que des agents sous l’autorité du ministre pourraient effectuer des visites des logements. Une telle disposition n’est cependant pas prévue en matière d’enquêtes sociales. Quant à l’avis d’autres professionnels, il est renvoyé à l’article 458 du Code pénal en vertu duquel « [l]es médecins, chirurgiens, officiers de santé, pharmaciens, sages-femmes et toutes autres personnes dépositaires, par état ou par profession, des secrets qu'on leur confie, qui, hors le cas où ils sont appelés à rendre témoignage en justice et celui où la loi les oblige à faire connaître ces secrets, les auront révélés, seront punis d'un emprisonnement de huit jours à six mois et d'une amende de 500 euros à 5.000 euros ». Le projet de loi ne devrait-il pas prévoir une disposition permettant aux professionnels de déroger à ce secret ? VI. Sur les dispositions transitoires et finales L’article 93 du projet de loi a trait au régime transitoire des listes de candidats-locataires et de locataires du bailleur social en disposant que « [d]ans un délai de douze mois à partir de l’entrée en vigueur de la loi, tout promoteur social et tout bailleur social transmet au registre les listes de ses candidats-locataires et de ses locataires. Les listes comprennent toutes les données à caractère personnel énumérées par la présente loi. » Selon la compréhension de la CNPD, il s’agit des données à caractère personnel énumérées à l’article 77 du projet de loi
3. Il y aurait partant lieu de le préciser. L’article 95 du projet de loi, quant à lui, a trait au régime transitoire pour l’inscription des logements au registre. Cette disposition semble contenir une erreur matérielle dans la mesure où elle se réfère à « tous les logements visés par l’article 74, paragraphe 2 ». L’article 96 du projet de loi dispose ce qui suit : « La consultation des bases de données d’administrations, de promoteurs sociaux, de bailleurs sociaux et d’organismes exerçant la gestion locative sociale aux fins d’études ou d’enquêtes scientifiques dans le domaine du logement abordable peut être autorisée par le ministre sur demande dûment justifiée, lequel fixe les conditions et limites sous lesquelles cette consultation pourra être effectuée. » Le commentaire des articles précise à cet égard que « [p]our pouvoir définir ses priorités et ses champs d’action, la politique du logement dépend étroitement des enseignements tirés d’études 25 Cf. Point IV.3 du présent avis Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
4. 24/25 et enquêtes scientifiques. Ces études et enquêtes ne font que gagner en utilité si les chercheurs ont accès aux bases de données de tous les acteurs impliqués directement et indirectement, à savoir les diverses administrations, les promoteurs sociaux, les bailleurs sociaux et les organismes exerçant la gestion locative sociale. Il va sans dire que ces données sont traitées à des fins scientifiques et dans le respect de la réglementation relative à la protection des données. » Il est étonnant de constater que le projet de loi entend conférer au ministre le pouvoir d’autoriser à des tiers d’accéder à des bases de données détenues par d’autres organismes. Il devrait appartenir au responsable du traitement de permettre le cas échéant la consultation des bases de données qu’il détient, cela dans le respect des règles applicables en matière de protection des données. Le RGPD ainsi que la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données encadrent le traitement ultérieur de données personnelles à des fins scientifiques. Selon l’article 5, paragraphe 1er, lettre b), du RGPD, les données personnelles doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une ma nière incompatible avec ces finalités. Cette disposition précise toutefois qu’un traitement ultérieur à des fins de recherche scientifique n’est pas considéré, conformément à l’article 89, paragraphe 1 er, comme incompatible avec les finalités initiales. L’article 89, paragraphe 1er, du RGPD a trait aux garanties appropriées qu’il y a lieu de mettre en place afin de garantir les droits et libertés des personnes concernées, en particulier pour assurer le respect du principe de minimisation des données. L’article 65 de la loi précitée du 1er août 2018, qui implémente l’article 89 du RGPD, précise davantage les mesures appropriées additionnelles que le responsable du traitement doit mettre en œuvre. La Commission nationale demande partant aux auteurs du projet de loi de revoir l’article 96 du projet de loi qui risque d’être contraire au RGPD. Ainsi décidé à Belvaux en date du 21 juillet
5. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2022.07.21 11:16:34 +02'00' Tine A. Larsen Présidente Thierry Lallemang Digitally signed by Thierry Lallemang Date: 2022.07.21 14:23:52 +02'00' Thierry Lallemang Commissaire Marc Ernest Jean-Pierre Lemmer Digitally signed by Marc Ernest Jean-Pierre Lemmer Date: 2022.07.21 14:49:12 +02'00' Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7937 relative au logement abordable et modifiant 1° la loi modifiée du 25 février 1979 concernant l’aide au logement ; 2° la loi modifiée du 19 juillet 2004 concernant l’aménagement communal et le développement urbain ; 3° la loi modifiée du 25 mars 2020 concernant le Fonds spécial de soutien au développement du logement ; 4° la loi du 30 juillet 2021 relative au Pacte logement 2.
6. 25/25