Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics, ainsi qu'au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. Délibération n°26/AV10/2022 du 1er juillet 2022 Conformément à l'article 57, paragraphe Ier, lettre (
- c)du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du Ier août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 6 mai 2022, Monsieur le Ministre de la Mobilité et des Travaux publics a invité la Commission nationale à se prononcer sur le projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles Ier et 12 de la loi modifiée du 5 février 2021 sur les transports publics (ci-après le « projet de loi »), ainsi que sur le projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques (ci-après le « projet de règlement grand-ducal »). Selon l'exposé des motifs, le programme gouvernemental 2018-2023 comprenait déjà une réforme des services de transports spécifiques et en date du 23 octobre 2019, le Gouvernement en Conseil a pris la décision de redéfinir l'accès au service, de mettre en place un système de planification centralisée et optimisée, de créer une commission d'évaluation nationale qui prendra les décisions relatives à l'accès au service, et d'accorder au bénéficiaire la gratuité du transport. D'après les auteurs du projet de loi, cette « réforme s'inscrit parfaitement dans les objectifs du programme gouvernemental qui poursuit une politique de cohésion sociale et promeut une « société inclusive et accueillante soutenant l'équité, la liberté individuelle et le respect mutuel » ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 1/10 Dès lors, l'objet du projet de loi consiste précisément « en l'introduction d'un cadre législatif dédié aux services de transports spécifiques organisés par le ministre ayant les Transports dans ses attributions. » La Commission nationale félicite dès le départ les auteurs d'avoir intégré dans le projet de loi un chapitre 5 dédié spécifiquement aux traitements de données à caractère personnel, d'autant plus qu'il s'agit de traitements portant sur des catégories particulières de données à caractère personnel encadrés par l'article 9 du RGPD, dites « données sensibles », et plus précisément des données de santé concernant les bénéficiaires d'un des services de transports spécifiques comme définis à l'article ler point 1° du projet de loi. Elle limitera dès lors, sauf pour deux remarques préliminaires, ses observations audit chapitre 5, c'est-à-dire aux articles 17 à 20 du projet de loi sous examen et elle terminera par quelques commentaires sur le projet de règlement grand-ducal. l. Remarques préliminaires Tout d'abord, la CNPD constate que l'article 5 du projet de loi prévoit qu'au cas où la cellule d'évaluation décide que la vérification des conditions d'éligibilité au service de transports spécifiques à la demande nécessite un examen médical effectué par un médecin-membre de ladite cellule, il revient au ministre ayant les Transports dans ses attributions (ci-après : « le ministre ») d'adresser au requérant une convocation pour un tel examen. Par contre, si dans le cadre d'un réexamen de la décision relative au refus d'accès au service de transports spécifiques, la commission de réexamen décide que la vérification des conditions d'éligibilité audit service nécessite un examen médical effectué par un médecin-membre de ladite commission, il revient non pas au ministre, mais au président de la commission de réexamen d'adresser au requérant une convocation pour un tel examen conformément à l'article 16.2 du projet de loi. Afin de respecter dès lors le parallélisme des formes et en considérant que l'article 20 point 4 du projet de loi prévoit expressément que le ministre n'a pas le droit d'accéder aux résultats des examens médicaux, ordonnés le cas échéant comme susmentionné par la cellule d'évaluation ou la commission de réexamen, la CNPD recommande aux auteurs du projet de loi de prévoir que le président de la cellule d'évaluation doit adresser au requérant la convocation à l'examen médical à effectuer par un médecin-membre de ladite cellule. Ensuite, sur base de l'exposé des motifs et du commentaire de l'article 10 du projet de loi, la CNPD comprend qu'à l'heure actuelle les transports dits CAPABS (Transports Complémentaires d'Accessibilité pour Personnes À Besoins Spécifiques), c'est-à-dire à destination des structures CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 2/10 énumérées à l'article 10.1 du projet de loi (ci-après : « les structures »), sont régis par des contrats d'exploitation dont l'échéance a été reportée à la mi-2022. L'article 11 du projet de loi prévoit que lesdites structures signent une convention avec l'État représenté par le ministre et qui détermine « / ° la forme et les délais de la demande de transport ; 2° les modalités d'organisation et d'exécution de ce service de transport spécifique régulier spécialisé à destination des structures ; 3° les modalités de coopération entre les parties contractantes ; 4° l'échange de données nécessaires à la demande de transport des bénéficiaires et à assurer leur sécurité pendant le transport. » Ainsi, contrairement aux services de transports spécifiques réguliers spécialisés prévus aux articles 9, 12 et 13 du projet de loi et pour lesquels il est prévu que la forme, le contenu de la demande et les conditions de fonctionnement sont arrêtés par règlement grand-ducal,1 le cadre du service de transport vers les structures sera réglementé par une convention. Les auteurs du projet de loi précisent dans ce contexte que la « forme de la demande de transport effectuée par les structures pour les requérants, les modalités d'organisation et d'exécution des transports faisant partie du présent chapitre sont à établir plutôt entre l'État et les structures desservies ; ainsi, et à l'instar des organismes bénéficiant d'une participation financière de l'État, il est proposé d'établir une convention-type et de conclure une telle convention avec chaque structure desservie, aussi pour permettre de respecter le règlement général sur la protection des données dans le cadre de l'échange de données. » 2 Néanmoins, sans préjudice de la possibilité de conclure avec chaque structure une convention spécifique, la CNPD recommande de prévoir les quatre points susmentionnés et listés actuellement dans le projet de loi à l'article 11 dans le corps du projet de règlement grand-ducal. D'autant plus, comme dans ce cas spécifique la demande de transport n'est pas effectuée par le requérant, mais par les structures elles-mêmes comme prévu par l'article 10.3 du projet de loi, des précisions dans le projet de règlement grand-ducal sur l'échange de données à caractère personnel entre les structures et le ministre s'imposent. Cet encadrement réglementaire serait un garant du principe de sécurité juridique au profit des personnes concernées, c'est-à-dire les personnes handicapées à mobilité réduite qui se rendent à une des structures comme déterminé à l'article 10 du projet de loi. 'Comme prévu par les articles 9, alinéa 3, 12, alinéa 2 et 13, alinéa 3 du projet de loi. 2 Voir corrimentaire de l'article 11 du projet de loi. CNPD! Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles 1 er et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 3/10 II. Quant au chapitre 5 du projet de loi — Traitements de données à caractère personnel D'après les auteurs du projet de loi, il est « indispensable de traiter les données concernant la santé dans le cadre de la demande d'accès aux transports spécifiques, en particulier pour vérifier les critères d'éligibilité aux services. »3 La CNPD ne peut que se rallier au commentaire de l'article 20 du projet de loi en considérant que dans ce cas, la « demande du consentement explicite en application de l'article 9, paragraphe 2 du règlement général sur la protection des données ne constitue guère une solution appropriée, alors que le consentement doit être donné librement et qu'il doit être spécifique, informé, non ambigu, clairet sans déséquilibre de pouvoirs. S'il ne donne pas son consentement, le requérant ne peut pas avoir accès au service de transport. Le consentement ne peut donc pas être considéré comme une base fiable et solide pour le traitement des données concernant la santé. » Par ailleurs, les auteurs du projet de loi précisent que pour lever l'insécurité juridique à propos du traitement des données de santé, il est nécessaire d'introduire une disposition légale au niveau national sur la base de l'article 9.2 lettre
- g)du RGPD, car ils considèrent que l' « organisation des transports spécifiques participent à une mission d'intérêt public puisqu'ils permettent de favoriser l'inclusion des personnes handicapées dans la société et remédier à la non accessibilité totale du réseau de transport public. » La Commission nationale tient à souligner que cette base légale du droit luxembourgeois doit, en application précisément de l'article 9.2 lettre
- g)du RGPD, être proportionnée à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. Elle constate que de telles mesures sont énumérées à l'article 20 du projet de loi et elle en félicite les auteurs. Par contre, le fait que la liste des mesures à mettre en place est précédée par les mots « telles que » pourrait être interprété comme signifiant que cette liste a un caractère exemplaire et que le ministre peut simplement choisir sans justification quelles mesures il veut mettre en place. Or, une telle interprétation irait à l'encontre du but poursuivi par cette liste, consistant à énumérer des garanties additionnelles à prévoir par le ministre en sus des garanties juridiques et mesures techniques ou organisationnelles habituellement nécessaires conformément à l'état de l'art, comme exigées par l'article 9.2 lettre
- g)du RGPD. La CNPD constate par ailleurs que le libellé de l'article 20 du projet de loi sous examen s'inspire de l'article 65 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données et concernant le traitement de catégories particulières de données à caractère personnel mis en œuvre à des fins de recherche scientifique ou historique. Or, contrairement à l'article 20 du projet de loi, ledit article 65 prévoit que le responsable du traitement doit documenter et justifier pour chaque projet de 3 Voir commentaire de l'article 20 du projet de loi. CNPDH.,' Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 4/10 recherche l'exclusion, le cas échant, d'une des mesures y énumères. Sous réserve de ses commentaires sous « 1. Sur la relation entre le ministre et l'Administration des transports publics », la CNPD recommande dès lors aux auteurs du projet de loi de prévoir dans le corps du texte que cette liste des mesures a un caractère obligatoire et que le ministre en sa fonction de responsable du « traitement de données à caractère personnel strictement nécessaires à l'organisation des services de transports spécifiques »4 peut uniquement y déroger s'il peut l'argumenter et le documenter. Finalement, la Commission nationale remarque que l'article 20 point 4° du projet de loi impose une interdiction au ministre d'accéder aux certificats médicaux complémentaires et aux résultats des examens médicaux demandés par la cellule d'évaluation ou la commission de réexamen.5 Par contre, même si l'article 3 du projet de loi précise que le certificat médical qui doit accompagner la demande d'accès au transport spécifique à la demande est à adresser au médecin-membre de la cellule d'évaluation sous plis fermé, la CNPD recommande d'ajouter au point 4° susmentionné une interdiction pour le ministre d'accéder auxdits certificats médicaux. 1. Sur la relation entre le ministre et l'Administration des transports publics D'après l'article 17 du projet de loi sous examen, le ministre a la qualité de responsable du traitement de données à caractère personnel nécessaire à l'organisation des services de transports spécifiques. Par contre, l'article 21 du projet de loi prévoit que le « ministre donne responsabilité à l'Administration des transports publics, dans le cadre de ses missions définies à l'article 6 de la loi modifiée du 5 février 2021 sur les transports publics, d'exécuter tout ou partie des obligations qui lui incombent en vertu de la présente loi. » L'article 5 de la loi modifiée du 5 février 2021 sur les transports publics prévoit en effet la création de l'Administration des transports publics (ci-après : « ATP ») sous l'autorité du ministre, tandis que l'article 6 de ladite loi énumère ses différentes missions. La CNPD constate dans ce contexte que le commentaire de l'article 21 du projet de loi précise que l'ATP peut se voir confier « la gestion des traitements de données à caractère personnel pour les finalités prévues à l'article 17 » dans le cadre de sa mission de gestion organisationnelle, administrative, technique, financière et comptable ainsi que du contrôle des services de transports publics spécifiques.6 L'exposé des motifs mentionne à cet égard que l'ATP « tient évidemment un registre des ayants-droit des transports spécifiques, et doit s'assurer régulièrement de sa mise à jour. Ce traitement de données est indispensable pour l'organisation et la bonne exécution du transport. » 4 Comme prévu par l'article 17 du projet de loi sous examen. 5 Comme prévu par l'article 4.5, points 10 et 2° et par l'article 16.1 points 10 et 2° du projet de loi. 6 Comme prévu par I'article 6, point 8 de la loi modifiée du 5 février 2021 sur les transports publics. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles 1 er et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques 5/10 Or, même si l'ATP est soumise à l'autorité du ministre, la CNPD se demande si, comme l'ATP a sa propre direction et son personnel,' il s'agit d'un seul responsable du traitement ou de deux responsables du traitement distincts. Ainsi, faute de précision dans le texte du projet de loi, il n'est pas évident d'identifier le rôle exact de l'ATP dans le cadre de la gestion des données à caractère personnel en cause. La question de la définition du responsable du traitement est néanmoins essentielle pour les personnes concernées, car c'est auprès dudit responsable qu'elles doivent exercer leurs différents droits prévus aux articles 15 à 22 du RGPD. Trois différentes hypothèses apparaissent envisageables : On pourrait considérer que l'ATP agit en tant que sous-traitant8 du ministre. Dans ce cas, il est important que le traitement de données à caractère personnel effectué par l'ATP pour le compte du ministre soit régi par un contrat ou un autre acte juridique conformément à l'article 28 du RGPD. Par contre, si le ministre considère que l'ATP fait partie intégrante de son ministère et qu'en confiant la gestion des traitements de données à caractère personnel à l'ATP il ne fait qu'utiliser en tant que responsable du traitement de ses propres ressources au sein de son organisation, dans ce cas, il n'y a pas de sous-traitant. Le comité européen de la protection des données (ci-après : « CEPD ») précise dans ce contexte dans ses lignes directrices concernant les notions de responsable du traitement et de sous-traitant que les « employés et les autres personnes qui agissent sous l'autorité directe du responsable du traitement, tels que le personnel intérimaire, ne sont pas considérés comme des soustraitants puisqu'ils traitent des données à caractère personnel dans le cadre de l'entité du responsable du traitement. Conformément à l'article 29, ils sont également tenus de suivre les instructions du responsable du traitement. »9 La notion de « responsabilité conjointe » introduite par l'article 26 du RGPD, pourrait aussi être prise en compte dans ce contexte. La Commission nationale est d'avis qu'il pourrait, le cas échéant, ressortir de l'économie générale du projet de loi sous avis, ainsi que de la loi modifiée du 5 février 2021 sur les transports publics que le ministre, d'un côté, et l'ATP, de l'autre côté, participent conjointement à la réalisation des finalités et des moyens du traitement de données à caractère personnel opéré dans le cadre de l'organisation des services de transports spécifiques. Voir articles 7 à 9 de la loi modifiée du 5 février 2021 sur les transports publics. .8 Voir la définition du sous-traitant à l'article I. Point 8 du RGPD: « sous-traitant » : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. » g Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, Version 2.0, Adoptées le 7 juillet 2021, point 78. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 6/10 Comme la qualité de responsable du traitement ou de sous-traitant doit être appréciée au regard de chaque ensemble de données ou d'opérations de traitement, il est aussi envisageable que le ministre et l'ATP sont des responsables du traitement indépendants en fonction du traitement de données à caractère personnel en cause. Le CEPD précise à cet égard qu'il « peut également arriver que divers acteurs traitent successivement les mêmes données à caractère personnel dans une chaîne d'opérations de traitement, chacun de ces acteurs ayant une finalité et des moyens indépendants dans leur partie de la chaîne. En l'absence d'une participation conjointe à la détermination des finalités et des moyens de la même opération de traitement ou d'un ensemble d'opérations, il y a lieu d'exclure une responsabilité conjointe du traitement et les différents acteurs doivent être considérés comme des responsables du traitement indépendants et successifs. » 1° L'identification du responsable du traitement est aussi importante afin de savoir qui doit fournir les informations prévues aux articles 13 et 14 du RGPD à la personne concernée. Le commentaire de l'article 18 du projet de loi mentionne à cet égard que les « données personnelles sont collectées soit directement auprès du requérant par le biais d'un formulaire, soit auprès des structures concernées par un échange de données tel que prévu à 11. » La Commission nationale tient dès lors à souligner que dans le premier cas il s'agit d'une collecte directe de données à caractère personnel et le ministre (sous réserve des commentaires plus haut sur la fonction de l'ATP) doit fournir aux personnes qui font une demande pour bénéficier d'un service de transports spécifiques, au moment où les données en question sont obtenues, toutes les informations listées à l'article 13 du RGPD. Par contre, dans le deuxième cas, c'est-àdire l'obtention par le ministre à travers les structures de données à caractère personnel des personnes qui ont accès à un des services précités, on est en présence d'une collecte indirecte de données à caractère personnel et le ministre doit fournir aux personnes concernées les informations prévues à l'article 14 du RGPD dans les délais prévus à l'article 14.3 du RGPD. En ce qui concerne finalement la fonction des structures. la CNPD constate qu'elles adressent des demandes de transport au ministre au nom et pour les comptes des personnes qui se rendent dans une telle structure conformément à l'article 10.3 du projet de loi, et qu'elles transmettent dès lors forcément au ministre des données à caractère personnel concernant lesdites personnes. Dans ce cas, et sauf explications supplémentaires de la part des auteurs du projet de loi, la CNPD estime que les structures sont à considérer comme responsables du traitement indépendants du ministre. Le CEPD mentionne précisément dans ce contexte que « l'échange des mêmes données ou ensembles de données entre deux entités sans qu'elle déterminent conjointement 10 Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, Version 2.0, Adoptées le 7 juillet 2021, point 72. CNIDED Avis de la Commission nationale pour la protection des données relatif au projet de loi n 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 7/10 les finalités ou les moyens du traitement devrait être considéré comme une communication de données entre responsables de traitement distincts. » " 2. Sur la qualité de sous-traitant des prestataires des services L'article 18 du projet de loi prévoit que dans « la mesure où cela est requis pour assurer la gestion, l'organisation et la sécurité des services de transports spécifiques, les données à caractère personnel en question sont transmises aux prestataires des services en question qui les traitent en qualité de sous-traitants. » Le commentaire de l'article 18 ne contient aucune explication à cet égard. La CNPD se demande dans ce contexte qui est concrètement visé par ces (< prestataires des services ». S'agit-il des fournisseurs mettant en place la solution logicielle derrière le registre des ayants-droit des transports spécifiques12 ou plutôt des sociétés de transports qui s'occupent d'amener les bénéficiaires des différents services de A à B ? Dans ce dernier cas, l'exposé des motifs précise que « le conducteur auquel un trajet est assigné soit au courant d'un certain nombre d'informations sur son passager, non seulement sur l'aide technique utilisée par le passager, mais encore sur une cécité ou malvoyance, ou encore d'une attention particulière qu'il faut le cas échéant assurer envers le passager et qui est liée à son handicap ; l'information est davantage plus importante en cas d'incident ou d'accident de la route. » Comme il s'agit de transports spécifiques, la Commission nationale peut comprendre que, comme susmentionné, le conducteur a besoin de connaître certaines informations sur ses passagers. Néanmoins, elle tient à souligner dans ce contexte l'importance du principe de minimisation des données consacré par l'article 5.1.
- c)du RGPD, c'est-à-dire que le ministre peut uniquement leur transférer les données qui sont absolument nécessaires au regard des finalités de gestion, d'organisation et de sécurité des services de transports spécifiques. Par ailleurs, elle se réfère de nouveau aux lignes directrices susmentionnées du CEPD qui rappellent que « tous les prestataires de services qui traitent des données à caractère personnel dans le cadre de la prestation d'un service ne sont pas des « sous-traitants » au sens du RGPD. Le rôle de sous-traitant ne découle pas de la nature de l'entité qui traite les données, mais de ses activités concrètes dans un contexte précis. [...] Dans la pratique, lorsque le service fourni ne vise pas spécifiquement le traitement de données à caractère personnel ou lorsque ce traitement 11 Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, Version 2.0, Adoptées le 7 juillet 2021, point 70. 12 L'exposé des motifs mentionne ce qui suit: « La solution logicielle mise en place par l'ATP prévoit déjà le traitement et le partage d'un certain nombre de données, et il est entendu que le contrat de fourniture y relatif contient les dispositions nécessaires en matière de protection de données personnelles, en particulier la définition des obligations du fournisseur sous-traitant en la matière » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 8/10 ne constitue pas un élément essentiel du service, le prestataire de services peut être en mesure de déterminer de manière indépendante les finalités et les moyens du traitement qui est nécessaire à la prestation du service. Dans ce cas, le prestataire de services doit être considéré comme un responsable du traitement distinct et non comme un sous-traitant. Une analyse au cas par cas reste toutefois nécessaire afin de déterminer le degré d'influence effectif de chaque entité sur la détermination des finalités et des moyens du traitement. » Par contre, un « prestataire de services peut toujours agir comme sous-traitant même si le traitement de données à caractère personnel n'est pas l'objet principal ou premier du service, à condition que le client du service détermine toujours les finalités et les moyens du traitement dans la pratique. » 13 Pour conclure, faute de précisions dans le texte actuel, la CNPD recommande aux auteurs du projet de loi de préciser pour des raisons de sécurité juridique qui sont ces prestataires de services et de vérifier au cas par cas s'ils agissent vraiment en tant que sous-traitants du ministre ou si, par contre, ils sont plutôt à considérer comme responsables du traitement distincts. III. Quant au projet de règlement grand-ducal Tout d'abord, la CNPD tient à féliciter les auteurs du projet de règlement grand-ducal d'avoir explicitement mentionné sur le formulaire du certificat médical, comme prévu d'ailleurs à l'article 3 deuxième alinéa du projet de loi, que ledit certificat est « à joindre à la demande sous pli fermé et à destination du médecin-membre de la cellule d'évaluation. » Elle constate ensuite que d'après l'article 2 quatrième alinéa du projet de règlement grand-ducal les membres et le secretariat de la cellule d'évaluation « sont soumis au secret professionnel et ne peuvent divulguer à des tiers des informations qu'ils ont obtenues dans l'accomplissement de leur mission », tandis que l'article 6 dudit projet prévoit ce qui suit : « Les membres de la cellule d'évaluation, les membres de la commission de réexamen, les membres du secrétariat et les experts sont tenus à la confidentialité quant aux dossiers qui leur sont soumis. » Pour des raisons de cohérence, elle recommande aux auteurs du projet de règlement grandducal de prévoir que toutes les personnes impliquées mentionnées à l'article 6 précité sont astreintes au secret professionnel dans les conditions et sous les peines prévues à l'article 458 du Code pénal. Finalement, la CNPD a remarqué que le formulaire pour demander un service de transports spécifiques réguliers spécialisés pour les élèves, comme prévu à l'article 12 du projet de loi, fait défaut dans le projet de règlement grand-ducal. 13 Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, Version 2.0, Adoptées le 7 juillet 2021, points 82 et 83. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 9110 Ainsi décidé à Belvaux en date du 1er juillet 2022. La Commission nationale pour la protection des données Tine A. Larsen Présidente [ CNPD Thierry Lallemang Commissaire rc Lemmer Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi ri° 8005 sur les services de transports spécifiques et modifiant les articles ler et 12 de la loi modifiée du 5 février 2021 sur les transports publics et au projet de règlement grand-ducal déterminant les conditions d'exécution des dispositions de la loi du xxx sur les services de transports spécifiques. 10/10