Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relatif au projet de règlement grandducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. Délibération n° 55/AV33/2021 du 10 décembre 2021 Conformément à l'article 57, paragraphe 1er, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courriers en date du 24 mars 2021, Monsieur le Ministre de la Mobilité et des Travaux publics a invité la Commission nationale à se prononcer sur le projet n°7805 portant création d'une carte de stationnement pour personnes handicapées (ci-après le « projet de loi ») ainsi que sur le projet de règlement grand-ducal 10 fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grand-ducal modifié du 26 août 1993 relatif aux avertissernents taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points (ci-après le « projet de règlement grand-ducal »). CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 10 fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 1/13 Il ressort de l'exposé des motifs qu' « [a]ctuellement, les carte de stationnement pour personnes handicapées sont réglementées par les dispositions du règlement grand-ducal du 31 janvier 2003 concernant la création et l'utilisation d'une carte de stationnement pour personnes handicapées » et qu'en 2019 « il était prévu de remplacer ledit règlement grand-ducal de 2003 par un nouveau règlement grand-ducal afin de moderniser le texte et de notamment introduire un nouveau modèle de la carte de stationnement plus difficile à falsifier ». Toutefois, « dans son avis du 22 octobre 2019 le Conseil d'Etat a soulevé que depuis la révision constitutionnelle intervenue en 2007Ies principes relatifs à l'intégration sociale des citoyens atteint d'un handicap sont une matière réservée à la loi et que dès lors le pouvoir réglementaire ne dispose pas du pouvoir spontané de réglementer cette matière ». Les auteurs du projet de loi précisent que « le présent projet de loi et son règlement d'exécution sont mis à profit pour remplacer le règlement grand-ducal modifié du 31 janvier 2003 ». Dès lors, le projet de loi « a pour objet de porter création d'une carte de stationnement pour personnes handicapées et de fixer les modalités en vue de l'obtention et de l'utilisation de cette carte » et le projet de règlement grand-ducal entend notamment fixer « le modèle et le contenu de la carte de stationnement pour personnes handicapées et du certificat médical en vue de l'obtention de cette carte ». Le présent avis limitera ses observations aux questions ayant trait à la protection des données à caractère personnel, soulevées par les articles 2 et 7 du projet de loi et les articles 1 et 2 du projet de règlement grand-ducal. l. Sur la banque de données visée à l'article 7 du projet de loi L'article 7, alinéa 1 du projet de loi dispose que « Nes informations relatives aux cartes de stationnement délivrées prévues aux articles ler et 6, les renseignements contenus sur ces cartes ainsi que les informations concernant les procédures administratives concernant ces cartes sont reprises dans une banque de données nationale relative aux cartes de stationnement pour personnes handicapées ». D'après les alinéas 4 et 5 dudit article, le ministre ayant les Transports dans ses attributions (ciaprès le « ministre ») en est le responsable du traitement, au sens de l'article 4, point 7) du RGPD, et le Centre des technologies de l'information de l'Etat (ci-après le « CTIE ») a la qualité de soustraitant au sens de l'article 4, point 8) du RGPD. [ CNP11 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 2/13 En ce qui concerne la terminologie retenue par les auteurs du projet de loi, c'est-à-dire les termes « banque de données », la CNPD considère qu'il serait plus approprié de l'aligner à la terminologie retenue par le RGPD qui utilise les termes de « fichier » ou encore de « traitement » de données. 1. Remarques préliminaires Tout d'abord, la Commission nationale se félicite que, du point de vue de la sécurité juridique, soit prévu, à l'alinéa 1, de l'article 7 du projet de loi, le principe de la création d'une « banque de données nationale relative aux cartes de stationnement pour personnes handicapées », conformément à l'article 6, paragraphe
(3)du RGPD1. Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant
(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». L'article 6, paragraphe
(3), du RGPD dispose que « Le fondement du traitemen( visé au paragraphe 1, points
- c)et e), est défini par : a. le droit de l'Union ; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la ficelle du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent ê(re communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal. telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. ». (...)
- e)le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; ( ...) ». [ CNP6- Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 3/13 Le considérant
(41)du RGPD énonce encore que « cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne (ciaprès dénommée « Cour de justice ») et de la Cour européenne des droits de l'homme. ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Ainsi, bien qu'il y ait lieu de féliciter les auteurs du projet de loi d'avoir précisé les catégories de données qui seraient traitées, ainsi que les finalités pour lesquelles celles-ci seraient traitées, ou encore la durée de conservation des données traitées, certains éléments ne sont pas (ou pas suffisamment) précisés dans le projet de loi. La CNPD y reviendra plus en détails dans les développements ci-après.
- Sur le traitement de catégories particulières de données En vertu de l'article 7 du projet de loi, le ministre collectera « la décision du médecin-membre de la commission médicale ». La Commission nationale comprend de l'avis du Conseil d'Etat2 que la « commission médicale » visée par le projet de loi est celle prévue à l'article 90 de l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. Il ressort encore de l'article 2 du projet de règlement grand-ducal que le ministre collectera également le certificat médical, tel que visé à l'annexe 2 du projet de règlement grandd uca I. Dans la mesure où les données contenues dans ces documents sont susceptibles d'être relatives à la santé du demandeur d'une carte de stationnement pour personnes handicapées, celles-ci sont à qualifier de catégories particulières de données, dites « données sensibles » au sens de l'article 9 du RGPD. Avis n°60593 du 16 juillet 2021 du Conseil d'Etat sur le projet de loi portant création d'une carte de stationnement pour personnes handicapées, document parlementaire n°7805/
- CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 4/13 Or, de tels traitements requièrent une protection spécifique3 et sont soumis à des exigences plus strictes. Le traitement de « données sensibles » est, en effet, interdit sauf si l'une des conditions visées au paragraphe
(2)de l'article 9 du RGPD est remplie. Dans le cas présent, la Commission nationale estime que les traitements de données visés aux articles 2 et 7 du projet de loi, pourraient reposer sur l'article 9, paragraphe
(2), lettre g), du RGPD qui dispose que « le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée » ou sur l'article 9, paragraphe
(2), lettre h), du RGPD qui dispose que « le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3 ». Ainsi, les auteurs du projet de loi devraient particulièrement être attentifs aux « mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée » qui devraient être mises en œuvre par le responsable du traitement dans le cadre des traitements de « données sensibles », tels que visés à l'article 7 du projet de loi et à l'article 2 du projet de règlement grand-ducal.
- Sur les catégories de données à caractère personnel S'il y a lieu de féliciter les auteurs du projet de loi d'avoir énuméré à l'article 7, alinéa 3 du projet de loi, les catégories de données qui seraient collectées par le ministre, le texte sous avis omet de préciser certaines catégories de données ou demeure imprécis en ce qui concerne l'énumération de certaines catégories de données. Par ailleurs, il est suggéré de supprimer la formulation suivante « toutes les données nécessaires pour les finalités suivantes » employée à l'alinéa 2, de l'article 7, du projet de loi, alors que les dispositions de l'alinéa 3 du même article, énumère limitativement les catégories de données qui seraient collectées. 3 Voir les affaires rendues par la CJUE du 8 avril 1992, C-62/90, point 23 et du 5 octobre 1994, C-404/92, point
- [CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 5/13 En tout état de cause, une telle formulation est trop vague et ne serait pas susceptible de respecter le principe de minimisation des données en vertu duquel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. La CNPD propose ainsi de reformuler l'alinéa 2, de l'article 7 du projet de loi, de la manière suivante : « Les catégories de données à caractère personnel, visées à l'alinéa 3, sont collectées et traitées pour les finalités suivantes : (...) ». A. Sur les données relatives aux établissements auxquels la carte de stationnement est délivrée L'article 7, alinéa 3 du projet de loi dispose que « Mans cette banque de données figurent les données suivantes : (...) le nom, le matricule, le numéro d'identification du véhicule et l'adresse de contact de l'établissement auquel la carte de stationnement est délivrée ». Il ressort desdites dispositions que des données concernant des personnes morales seraient susceptibles d'être collectées par le ministre. A ce titre, il convient de relever que le considérant 14 du RGPD dispose que le RGPD « (...) ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier des entreprises dotées de la personnalité juridique, y compris le nom, la forme juridique et les coordonnées de la personne morale ». Toutefois, des informations ayant trait à des personnes morales peuvent, le cas échéant, concerner des personnes physiques (par exemple : si elles incluent le nom du gérant de la société) et doivent dès lors être considérées comme des données à caractère personnel. Ainsi, le RGPD ne s'appliquera qu'aux données à caractère personnel qui seraient communiquées à ce titre au ministre. Par ailleurs, il y a lieu de s'interroger sur ce que recouvre le terme « matricule » visé par les dispositions précitées. S'agit-il du numéro d'enregistrement de l'établissement au Registre de Commerce et des Sociétés ? Pour plus de clarté et une meilleure compréhension, les auteurs du projet de loi devraient veiller à utiliser la terminologie appropriée. CNPIl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 6/13 B. Sur les catégories de données collectées à travers les formulaires visés à l'annexe 2 du projet de règlement grand-ducal Il y a lieu de relever que l'article 7, alinéa 3, point 1 ° du projet de loi ne reflète pas entièrement les catégories de données qui seraient collectées par le ministre à travers le formulaire de « [*mande pour l'obtention d'une carte de stationnement pour personnes handicapées à mobilité réduite »4, et le formulaire « certificat médical »
- Or, l'alinéa 1 , de l'article 7 du projet de loi précise que les « informations concernant les procédures administratives concernant ces cartes sont reprises dans une banque de donnée nationale ». Ainsi, cela signifie-t-il que le numéro d'identification national qui figure sur le formulaire « gemande pour l'obtention d'une carte de stationnement pour personnes handicapées à mobilité réduite » et les données contenues dans le « certificat médical » ne seraient pas amenés à figurer dans le fichier ? Il en va de même pour la photocopie du permis de conduire, cette pièce est à joindre par le requérant, si ce dernier en possède un, au formulaire « certificat médical » mais l'article 7, alinéa 3 du projet de loi ne fait référence qu'au numéro du permis de conduire. Si de telles données sont effectivement amenées à figurer dans le fichier précité, le texte sous avis devrait expressément le refléter. En outre, la CNPD se demande si les données relatives à la « signalétique » du titulaire de la carte, visées à l'article 7, alinéa 3, point 1 ° du projet de loi, englobent les nom, prénom, numéro de téléphone et e-mail de la personne requérante, que cette dernière doit communiquer au ministre lorsqu'elle lui soumet une demande de carte de stationnement ? Si tel ne devait pas être le cas, la Commission nationale se demande quelles données seraient visées par la « signalétique » du titulaire de la carte, visées à l'article 7, alinéa 3, point 1° du projet de loi. Dans tous les cas, et pour une meilleure compréhension du texte sous avis, il est proposé de remplacer le terme « signalétique » par une liste exacte des données que le responsable du traitement est amené à traiter. Voir annexe 2 du projet de règlement grand-ducal Voir annexe 2 du projet de règlement grand-ducal [ CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 7/13 Par ailleurs, il y a lieu de constater que les données relatives à la date et lieu de naissance ne figurent pas comme catégories de données qui seraient amenées à figurer dans le fichier. Or, celles-ci sont collectées lors de la demande de la carte de stationnement soumise au ministre. Si de telles données devaient figurer dans ledit fichier alors cela devrait être reflété dans le dispositif sous avis. Enfin, en l'absence de précisions dans le commentaire des articles sur les raisons qui justifieraient la collecte du numéro d'identification national (« matricule ») et de la photocopie du permis de conduire, la CNPD n'est pas en mesure d'apprécier si le principe de minimisation des données, en vertu duquel seules les données nécessaires à la réalisation des finalités doivent être traitées, serait respecté. Il en va de même pour la photo du demandeur de la carte. Bien que l'article 7, alinéa 3, point 2° du projet de loi sous avis ainsi que le formulaire de « [*mande pour l'obtention d'une carte de stationnement pour personnes handicapées à mobilité réduite »6 prévoit cette collecte, il y a lieu de constater que la nécessité des traitements de cette donnée à caractère personnel n'est pas justifiée par les auteurs du projet de loi. Le spécimen de la carte de stationnement pour personnes physiques annexé au projet de règlement grand-ducal contient un emplacement pour apposer la photo fournie et les auteurs précisent qu'ils ont recouru au spécimen mis à disposition par l'Union européenne. Si dès lors, la fourniture de la photo se fonde sur une contrainte découlant du droit de l'Union européenne, les auteurs du projet de loi devraient le préciser. En outre, il y a lieu de rappeler que l'utilisation du numéro d'identification national est, en principe, encadré par la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques. C. Sur la collecte de la « décision du médecin-membre de la commission médicale » Selon le point 5°, de l'alinéa 3, de l'article 7 du projet de loi, le fichier contiendra également la « décision du médecin-membre de la commission médicale ». En l'absence de précisions dans le commentaire des articles, la Commission nationale se demande quelles seraient les données qui seraient effectivement contenues dans cette décision. S'agit-il de la copie de l'intégralité de l'avis prévu à l'article 2, alinéa 1er du projet de loi, ou de la copie du résultat de l'examen médical, auquel doit éventuellement se soumettre le demandeur en vertu de l'article 2, alinéa 3 du projet sous avis, voire des deux ? e Voir annexe 2 du projet de règlement grand-ducal CNPI:1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 8/13 Conformément au principe de minimisation des données prévu à l'article 5, paragraphe 1 er, lettre c), du RGPD, la CNPD estime, en tout état de cause, que seul un avis « négatif » ou « positif » de la part du médecin-membre de la commission médicale, en ce qui concerne la délivrance de la carte de stationnement, devrait être communiqué au ministre. Dès lors, cet avis ne devrait pas contenir des données de santé du demandeur de la carte de stationnement.
- Sur l'accès aux données à caractère personnel Conformément à l'article 5 paragraphe
(1), lettre f) du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». En outre, l'article 32 du RGPD dispose que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données ou des fuites de données. Parmi ces mesures de sécurité, la Commission nationale estime important que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires. Dans ce contexte, il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début les personnes ou le service compétent qui auraient accès aux données ou à l'interface informatique mise à disposition par le CTIE, et à quelles données précises ces personnes ou ce service aurait accès. Ce d'autant plus dans la mesure où des « données sensibles » sont amenées à être traitées. Le ministre devra ainsi mettre en place de telles mesures afin d'assurer la confidentialité et la sécurité de telles données, dont notamment un système de journalisation (c'est-à-dire un enregistrement dans des « fichiers journaux » ou « logs ») des activités des utilisateurs, des anomalies et des événements liés à la sécurité. En effet, la divulgation de données sensibles pourrait causer un préjudice grave aux usagers. Sur ce dernier point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 9/13 La Commission nationale souligne aussi l'importance d'effectuer pro activement des contrôles en interne. A cet effet, il convient conformément à l'article 32, paragraphe
(1), lettre d) du RGPD de mettre en oeuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Ainsi, s'il y a lieu de féliciter les auteurs du projet de loi d'avoir prévu à l'article 7, alinéa 6 du projet de loi que « N'accès aux données et la possibilité de les traiter sont gérés par un système de gestion des identités et des droits d'accès », il est important que le responsable du traitement veille à ce que ce système de gestion des identités et des droits d'accès respectent les considérations formulées ci-avant, en l'absence de plus de précisions quant aux modalités de ce système. 5. Sur la durée de conservation des données à caractère personnel En vertu de l'article 5, paragraphe
(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées (principe de la limitation de la conservation). S'il y a lieu de féliciter les auteurs du projet de loi d'avoir prévu des durées de conservations pour les données traitées dans le cadre du projet de loi et du projet de règlement grand-ducal, des précisions mériteraient néanmoins d'être apportées. Ainsi, l'article 7, alinéa 7 du texte sous avis tel qu'amendé par les amendements parlementaires du 26 octobre 2021 entend prévoir une durée de conservation de trois mois, à partir de l'émission de la carte de stationnement, pour la photographie et la signature du titulaire et une durée de dix ans pour les « autres données ». L'article 7, alinéa 8 du projet de loi tel qu'amendé par les amendements parlementaires du 26 octobre 2021 prévoit encore une dérogation au délai de conservation de 10 ans pour les données des titulaires de cartes de stationnement permanentes pour lesquelles les données « peuvent être conservées au-delà d'une durée de dix ans ». En ce qui concerne la dérogation prévue à l'alinéa 8 précité, les auteurs du projet de loi précisent qu'« [a]fin d'éviter aux personnes avec des handicaps permanents de devoir joindre un certificat récent attestant le handicap lors du renouvellement de leur carte, il y a lieu de conserver ces informations. A titre d'exemple, une personne ayant perdu une jambe devrait au cas contraire [ CNPEI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 10113 joindre un certificat médical attestant la perte de la jambe tous les 10 ans ». Dans la mesure où seules les données contenues dans le certificat médical semblent être visées, le texte sous avis devrait expressément le refléter. En ce qui concerne les autres durées de conservation et bien que celles-ci soient fixées par lesdites dispositions, les auteurs du projet de loi dans leur commentaire des articles n'expliquent pas les critères retenus qui justifieraient de telles durées. Ces derniers se limitent, en effet, à indiquer que la durée de 3 mois a été fixée « en analogie à d'autres banques de données » et que la durée de conservation de 10 ans « correspond à la durée de validité de deux cartes de stationnement ». Or, ces explications ne suffisent pas à justifier pourquoi la conservation desdites données pour de telles durées serait nécessaire et justifiée. Ainsi, la Commission nationale se demande pourquoi les auteurs du projet de loi entendent fixer une durée de conservation de 10 ans qui correspond à « la durée de validité de deux cartes de stationnement », alors qu'une carte de stationnement est valide pendant 5 ans et qu'a l'issue de ces 5 années, celle-ci doit être renouvelée ? Il y a encore lieu de s'interroger sur l'articulation des dispositions du projet de loi qui prévoient une durée de conservation de 10 ans pour « les autres données » à l'exception de la photographie et signature du titulaire d'une carte de stationnement, avec celles de l'article 2 du projet de règlement grand-ducal qui dispose que « [l]e certificat médical a une durée de validité de trois mois à compter de la date de délivrance par le médecin-examinateur ». Est-il nécessaire et justifié de conserver pendant une durée de 10 ans, un certificat médical qui ne sera valable que pour une durée de trois mois à compter de la date de délivrance par le médecin-examinateur ? Par conséquent, en l'absence de précisions, des auteurs du projet de loi dans le commentaire des articles précités quant aux critères qui justifieraient de telles durées, la Commission nationale n'est pas en mesure d'apprécier si en l'occurrence, le principe de durée de conservation limitée des données a été respecté, et invite les auteurs du projet de loi à fournir des précisions à cet égard. En outre, il y a lieu de constater que la disposition sur les durées de conservation s'applique aux seules données contenues dans le fichier. En effet, la CNPD comprend que les demandes ainsi [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 11/13 que les certificats médicaux et le cas échéant les photocopies des permis de conduire sont reçus en version papier et ensuite transcrits dans le fichier. Ainsi, il convient de se demander quelles durées de conservation sont prévues pour les données fournies sur papier, en particulier concernant les catégories particulières de données, dites « données sensibles » au sens de l'article 9 du RGPD, le numéro d'identification national ainsi que la photo du demandeur. Enfin, il y a lieu de rappeler que le responsable du traitement doit en vertu de l'article 5, paragraphe
(1), lettre d) du RGPD s'assurer que les données qu'il traite sont exactes et tenues à jour et prendre toutes les mesures raisonnables « pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». II. Sur le QR code figurant sur la carte de stationnement pour personnes physiques Selon l'exposé des motifs du projet de loi, le nouveau modèle de carte de stationnement est « plus difficile à falsifier ». L'exposé des motifs du projet de règlement grand-ducal précise à son tour qu' « il est profité de l'occasion pour adapter les modèles des cartes de stationnement afin de les protéger contre la falsification ou la contrefaçon » et qu' « à l'aide d'un lecteur de code QR, ce code permet à un appareil électronique de renseigner sur la nature du document ». Le code QR servira donc à contrôler la véracité des cartes de stationnement. La Commission nationale regrette que les modalités d'un tel contrôle, en pratique, ne soient pas précisées par les auteurs du projet de loi et du projet de règlement grand-ducal et se demande dès lors comment un tel contrôle se déroulera en pratique. En effet, il y a lieu de se demander qui effectuera ces contrôles. Est-ce que sera le rôle des agents municipaux ou de la Police grand-ducale ? S'il n'y a aucun doute sur la compétence de la Police grand-ducale pour effectuer de tels contrôles, il en est autrement des agents municipaux. En outre, la personne qui contrôlera la nature du document à l'aide d'un appareil électronique accèdera-t-elle directement à distance au fichier prévu à l'article 7 du projet de loi ? [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 12/13 En tout état de cause, la CNPD estime que ces personnes ne devraient avoir accès qu'aux informations relatives à la validité de la carte de stationnement, c'est-à-dire si la carte est en cours de validité ou non, à l'exclusion des autres données personnelles figurant dans ledit fichier. En aucun cas, ces dernières ne devraient avoir accès à l'intégralité des données contenues dans le fichier. Ainsi décidé à Belvaux en date du 10 décembre 2021. La Commission nationale pour la protection des données Digitally signed by Tine Tine Annemarie Annemarie Larsen Date: 2021.12.13 Larsen 10:57:21 +0100' Thierry Digitally signed by Thierry Lallemang Date: 2021.12.13 Lallemang 11:37:54 +01'00' Digtlly signed Marc Ernest by Marc Ernest Jean-Pierre ;:::„-P,re Lemmer Date 2021.12.13 ALAIN HERRMANN Date: 2021.12.13 11:04:50 +01'00' 111302 +0100' Tine A. Larsen Présidente CNP1 Thierry Lallemang Commissaire Marc Lemmer Commissaire Digitally signed by ALAIN HERRMANN Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7805 portant création d'une carte de stationnement pour personnes handicapées et relative au projet de règlement grand-ducal 1° fixant le modèle et le contenu de la carte de stationnement pour personnes handicapées ainsi que la demande et du certificat médical en vue de l'obtention de cette carte ; 2° modifiant le règlement grandducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non-résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points. 13/13