CNPI51 OMMISS.ON ioNALF. POUR LA PROTECIION CES DOILNÉES Ministère des Sports À l'attention de Monsieur Georges Engel Mi

(4352)26 10 60 -6099 www.capd.lu info@copd.lu IRAN:1031 1111 2052 2570 0000 Code BIC: CCPILULL Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7955 modifiant 1° la loi modifiée du 3 août 2005 concernant le sport et 2° la loi modifiée du 31 juillet 2006 portant introduction d'un Code du travail Délibération n°3/AV3/2022 du 4 mars 2022. Conformément à l'article 57, paragraphe

(1), lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la (< CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 19 janvier 2022, Monsieur le Ministre des Sports a invité la Commission nationale à se prononcer sur le projet de loi modifiant 1° la loi modifiée du 3 août 2005 concernant le sport et 2° la loi modifiée du 31 juillet 2006 portant introduction d'un Code du travail (ci-après le « projet de loi »). Selon l'exposé des motifs, le projet de loi a pour objectif de réformer les dispositions relatives au congé sportif. Le présent avis limitera ses observations aux questions traitant des aspects portant sur la protection des données, soulevées plus particulièrement par l'article ler, 4° du projet de loi. Cet article vise à introduire l'article 15-7 dans la loi modifiée du 3 août 2005 concernant le sport. Les dispositions du nouvel article 15-7 prévoient la création d'un registre électronique qui a pour « finalités la gestion et le suivi administratif des demandes de congé sportif ainsi que le remboursement des indemnités aux employeurs et l'indemnisation des personnes exerçant une activité professionnelle indépendante ». Il est encore précisé que le « ministre ayant les Sports dans ses attributions a la qualité de responsable du traitement au sens du règlement (UE) 2016/679 ». Avis de la Commission nationale pour la protection des données relatif au projet de loi n07955 modifiant 1° la loi modifiée du 3 août 2005 concernant le sport et 2° la loi modifiée du 31 juillet 2006 portant introduction d'un Code du travail 1/3 Il y a lieu de féliciter les auteurs du projet de loi d'avoir prévu le principe de la création d'un reg istre tenu par le ministre ayant les sports dans ses attributions (ci-après le « ministre »), ainsi que les finalités d'un tel registre conformément à l'article 6 paragraphe

(3)du RGPD. En effet, cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « [...) appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Ainsi, bien que les dispositions du nouvel article 15-7 précité prévoient d'ores et déjà le principe de la création d'un registre tenu par le ministre, celles-ci devraient être complétées par les éléments précités. Il convient encore de rappeler que le ministre devra respecter l'ensemble des principes énoncés à l'article 5 du RGPD. Ce dernier, conformément au principe de minimisation des données', devra notamment veiller à ne collecter que les données adéquates, pertinentes et nécessaires à la gestion, au suivi administratif des demandes de congé sportif ainsi qu'au remboursement des indemnités aux employeurs et à l'indemnisation des personnes exerçant une activité professionnelle. Art de 5, paragraphe

(1), lettre c du RGPD [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7955 modifiant 1° la loi modifiée du 3 août 2005 concernant le sport et 2° la loi modifiée du 31 juillet 2006 portant introduction d'un Code du travail 2/3 En l'absence de précisions quant aux catégories de données qui seraient collectées par le ministre, la Commission nationale n'est pas en mesure d'apprécier si le principe de minimisation des données serait respecté. En outre, la CNPD attire encore l'attention des auteurs du projet de loi sur le principe de limitation de la conservation

1. En vertu de ce principe, les données ne devront pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. En l'absence de précisions à ce sujet dans le projet de loi et dans le commentaire des articles, la Commission nationale n'est pas en mesure d'apprécier si en l'occurrence, le principe de durée de conservation limitée des données est respecté. Enfin, les dispositions du paragraphe 2 du nouvel article 15-7 de la loi modifiée du 3 août 2005 concernant le sport, qui prévoient que les traitements de données sont soumis au RGPD, sont susceptibles d'être superfétatoires alors que le RGPD est, en tant que règlement européen, obligatoire dans tous ses éléments et directement applicable au Luxembourg. Ainsi décidé à Belvaux en date du 4 mars
2. La Commission nationale pour la protection des données Thierry Lallemang Commissaire Tine A. Larsen Présidente f,y — / yee.4f-e24—> tð Alain Herrmann Commissaire Article 5, paragraphe

(1), lettre e du RGPD CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7955 modifiant 1° la loi modifiée du 3 août 2005 concernant le sport et 2° la loi modifiée du 31 juillet 2006 portant introduction d'un Code du travail 3/3