Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7787 relatif à la mise en ouvre du règlement (UE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque Délibérationn°31/AV18/2023du 7 avril 2023 Conformément à l'article
- e) du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des donnéesà caractère personnel et à la libre circulation de ces données,et abrogeant la directive 95/46/CE(règlementgénéralsur la protection des données)(ci-aprèsle « RGPD »), auquel se réfèrel'article 7 de la loi du 1eraoût 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égarddu traitement ». L'article 36.4 du RGPDdispose que « [l]es Étatsmembres consultent l'autoritéde contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » Le 14 mai 2021, la CNPD a avisé le projet de loi n°7787 relatif à la mise en ouvre du règlement (DE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoirde diligenceà l'égardde la chaîne d'approvisionnementpour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque (ci-après le « projet de loi »)
- En date du 7 octobre 2022, la Commission nationale a rendu son avis complémentaire sur les amendements gouvernementaux au projet de loi, déposésen date du 15juillet
- 1 Délibérationn°19/AV15/2021 du 14 mai 2021, document parlementaire 7787/
- 2 Délibérationn°44/AV22/2022du 7 octobre2022, document parlementaire 7787/
- CNPD Deuxièmeavis complémentaire de la Commission nationale pour la protection des données relatifau projet de n°7787 relatifà la mise en ouvre du règlement(UE) 2017/821 du Parlement européenet du Conseil du 17 mai 2017 fixant des obligations liées au devoirde diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque 1/3 Le 3 février2023, le Gouvernement a adoptéune nouvelle séried'amendementsrelatifs au projet de loi (ci-après les « amendements »). Par courriel en date du 2 mars 2023, Monsieur le Ministre des Affaires étrangères et européennes a invité la Commission nationale à se prononcer sur ces nouveaux amendements gouvernementaux. Il ressort de l'exposé des motifs que ces amendements entendent essentiellement répondre aux critiques et remarques formulées par le Conseil d'Etat dans son avis du 25 octobre
- La Commission nationale entend limiter son avis au seul amendement ayant un impact potentiel en matière de protection des données à caractère personnel, à savoir l'amendement n°4, plus particulièrementen ce qu'il entend supprimer le paragraphe5 du nouvel article 3 (ancien article 4) relatifà la duréede conservationdes donnéesissues des inspectionssur place. Il ressort du commentaire des amendements que cette suppression entend répondre à l'avis précité du Conseil d'Etat, dans lequel celui-ci a indiqué qu'« [e]n ce qui concerne le paragraphe 5, le Conseil d'Êtatrappelle, dansce contexte, que les donnéescollectéesne peuvent, en vertu du principe de limitation de la conservation consacré à l'article 5, lettre e), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, être conservées au-delà d'une durée qui excède celle nécessaire au regarddesfinalitéspourlesquelles elles sonttraitées. Dansl'attente d'explicationsde la partdes auteurs quant à la nécessité de prévoir un délai de cinq ans, le Conseil d'Étatdoit réserver sa position quant à la dispense du second vote constitutionnel. » Dans son avis complémentaire du 14 mars 2023, le Conseil d'Etat a levé sa réserve de dispense du second vote constitutionnel, suite à la suppression de ce paragraphe par les auteurs des amendements
- Or, si la CNPD partage l'avis du Conseil d'Etat quant à la nécessité de justifier la durée de conservation des données issues des inspections sur place (dans la mesure où il s'agirait de donnéesà caractère personnel), elle regrette que les auteurs du projet de loi aient purement et simplement supprimé ce paragraphe. En effet, l'indication d'une durée de conservation, ou du moins des critères qui seraient pris en compte afin de déterminer quelle est la durée de conservation des données, constitue une 3 Document parlementaire 7787/
- 4 Document parlementaire 7787/
- CNPD Deuxièmeavis complémentaire de la Commission nationale pour la protection des données relatif au projet de n"7787 relatif à la mise en ouvre du règlement (DE) 2017/821 du Parlement européen et du Conseil du 17 mai 2017 fixant des obligations liées au devoir de diligence à l'égard de la chaîne d'approvisionnement pour les importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque 2/3 garantieau sens de l'article
- 35ainsique du considérant41 du RGPD,qui prévoitque lorsqu'un traitement a pour fondement une mesure législative, celle-ci devrait être claire et précise et son application devrait être prévisible pour les justiciables. De plus, la suppression de ce paragraphe crée une certaine incohérence avec le nouvel article 7 (ancien article 9) du projet de loi sous examen, qui prévoit lui toujours une durée d'archivage de cinq ans de tous les documents liés aux mesures correctives. Il est à noter que dans son avis complémentaire, la CNPD avait déjà relevé une différence de formulation entre la durée d'archivage de ces documents et la durée de conservation (et non l'archivage) des documents nécessaires aux inspections sur place. La Commission nationale entend rappeler qu'en tout état de cause, selon l'article
- 1 . e du RGPD, les données à caractère personnel ne devront pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Audelà, les donnéesdoivent être supprimées ou anonymisées. Pourle surplus, la CNPD renvoie à ses remarques et considérationsexpriméesdans son avis du 14 mai 2021 (auquel les premiers amendements gouvernementaux ont permis de répondre en grande partie) ainsi que dans son avis complémentaire du 7 octobre
- Ainsi adopté à Belvaux en date du 7 avril
- La Commission nationale pour la protection des données L (^ ^%W Tine A. Larsen Présidente f7^lThierry Lallemang Commissaire Marc Lemmer Commissaire Alain Herrmann Commissaire 5 « (... ) Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe l, point e), sont nécessaires à /'exécution d'une mission d'intérêtpublic ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéitédu traitement par le responsable du traitement; les types de données quifontl'objetdu traitement; /es personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation: et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l'Union ou le droit des Étatsmembres répond à un objectif d'intérêtpublic et est proportionné à l'objectif légitime poursuivi ». CNPDl Deuxièmeavis complémentaire de la Commission nationale pour la protection des données relatif au projet de n°7787 relatif à la mise en ouvre du règlement(UE) 2017/821 du Parlement européenet du Conseil du 17 mai 2017 fixant des obligations liées au devoirde diligence à l'égard de la chaîne d'approvisionnement pour tes importateurs de l'Union qui importent de l'étain, du tantale et du tungstène, leurs minerais et de l'or provenant de zones de conflit ou à haut risque 3/3