← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers Délibération n°12/AV6/2023 du 8 février

  2. Conformément à l'article 57 .1 .c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale» ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 36.4 du RGPD dispose que « {/)es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. »
  3. Par courriers en date des 20 et 21 septembre 2022, Monsieur le Ministre de le Mobilité et des Travaux publics a invité la Commission nationale à se prononcer sur le projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques (ci-après le « projet de loi ») et sur le projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers (ci-après le« projet de règlement grand-ducal »).
  4. Selon l'exposé des motifs, le projet de loi « a pour objet d'apporter des détails en relation avec l'utilisation obligatoire, à partir du 20 mai 2023, d'un dispositif d'accès et de lecture des données techniques du véhicule comme exposé dans la directive 2014/45/UE du Parlement européen et du Conseil du 3 avril 2014 relative au contrôle technique périodique des véhicules à moteur et de leurs remorques, et abrogeant la directive 2009/40/CE ». Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers 1/7 L'exposé des motifs ajoute encore que le projet de loi entend introduire« certaines dispositions en relation avec le règlement d'exécution (UE) 2021/392 de la Commission du 4 mars 2021 concernant la surveillance et la communication des données relatives aux émissions de CO 2 des voitures particulières et des véhicules utilitaires légers conformément au règlement (UE) 2019/631 du Parlement européen et du Conseil, et abrogeant les règlements d'exécution (UE) n°1014/2021, (UE) n°293/2012, (UE) 2017/1152 et (UE) 2017/1153 de la Commission, qui oblige les États membres à collecter, enregistrer et transmettre à la Commission [européenne] les données relatives aux émissions de CO2 et à la consommation de carburant ou d'énergie du véhicule dans les conditions d'utilisation réelles». En particulier, toujours selon l'exposé des motifs du projet de loi, l'objectif est« d'obliger les organismes de contrôle technique à extraire les données précitées à partir du 20 mai 2023 pour chaque véhicule des catégories M1 et N1 contrôlé, immatriculé pour la première fois au sein de l'Union européenne à partir du 1er janvier 2021 et équipé d'un dispositif permettant l'enregistrement de ces données».
  5. Selon l'exposé des motifs du règlement grand-ducal, et dans le contexte de l'utilisation obligatoire d'un dispositif d'accès et de lecture des données techniques du véhicule lors d'un contrôle technique, ce dernier vise à «détailler[...] les conditions minimales à respecter par Je prestataire de service» responsable de collecter l'ensemble des données fournies par les constructeurs de véhicules et de mettre ces données à disposition des organismes de contrôle technique, conformément au projet de loi. L'exposé des motifs ajoute encore que, dans le contexte de la collecte, de l'enregistrement et de la transmission à la Commission européenne des données relatives aux émissions de CO 2 et à la consommation de carburant ou d'énergie du véhicule dans les conditions d'utilisation réelles, le projet de règlement grand-ducal introduit l'obligation pour les organismes de contrôle technique « d'utiliser de façon obligatoire le système O8D afin de collecter les données relatives à la consommation d'énergie».
  6. Le projet de loi et le projet de règlement grand-ducal poursuivent dès lors un double objectif, le premier étant de transposer en droit national la directive 2014/45/UE du Parlement européen et du Conseil du 3 avril 2014 relative au contrôle technique périodique des véhicules à moteur et de leurs remorques, et abrogeant la directive 2009/40/CE (ci-après la « directive 2014/45/UE ») visant à introduire au Luxembourg l'utilisation obligatoire d'un dispositif permettant de se connecter à l'interface électronique du véhicule, dénommé « système OBD » (on-board diagnostics), afin d'optimiser le contrôle technique. D'après l'exposé des motifs du projet de loi, ce système OBD devrait entre autres permettre « la vérification du système de freinage ABS, ESP, le réglage des phares, la performance du moteur, les airbags ou le système électronique de stabilité, lors de la présentation d'un véhicule à un contrôle technique ». Toujours selon l'exposé des motifs du projet de loi, ce dernier vise« [à] introduire des mesures en relation avec l'utilisation de l'interface OBD lors du contrôle technique au Luxembourg et de définir les Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers 2/7 conditions d'équipement et d'utilisation de ce système à respecter par les organismes de contrôle technique ».
  7. Le second objectif du projet de loi et du projet de règlement grand-ducal est d'accompagner, d'un côté, le règlement (UE) 2019/631 du Parlement européen et du Conseil, et abrogeant les règlements d'exécution (UE) n°1014/2021, (UE) n°293/2012, (UE) 2017/1152 et (UE) 2017/1153 de la Commission (ci-après le« règlement (UE) 2019/631 »), qui oblige les États membres à collecter, enregistrer et transmettre à la Commission européenne les données relatives aux émissions de CO 2 et à la consommation de carburant ou d'énergie du véhicule dans les conditions d'utilisation réelles, et ce moyennant le système O8D, et de l'autre côté, le règlement d'exécution (UE) 2021/392 de la Commission du 4 mars 2021 concernant la surveillance et la communication des données relatives aux émissions de CO2 des voitures particulières et des véhicules utilitaires légers conformément au règlement (UE) 2019/631 (ciaprès le « règlement d'exécution (UE) 2019/392 »).
  8. Dans la mesure où le projet de loi et le projet de règlement grand-ducal transposent en droit national la directive 2014/45/UE, et accompagnent le règlement (UE) 2019/631 et le règlement d'exécution (UE) 2019/392, la Commission nationale renvoie en ce qui concerne le cadre légal du règlement d'exécution aux observations formelles du 14 janvier 2021 du Contrôleur européen de la protection des données sur le contrôle et la communication des données relatives aux émissions de CO2 des voitures particulières et des véhicules utilitaires légers conformément au règlement (UE) 2019/631 du Parlement européen et du Conseil et abrogeant les règlements d'exécution (UE) n° 1014/2010, (UE) n° 293/2012, (UE) 2017/1152 et (UE) 2017/1153 1 et limitera ses observations aux dispositions légales concernant la mise en œuvre concrète de ces instruments au Luxembourg.
  9. Quant aux dispositions relatives à l'utilisation obligatoire d'un dispositif permettant de se connecter à l'interface électronique du véhicule(« système OBD »} lors d'un contrôle technique
  10. L'article unique du projet de loi prévoit entre autres que l'utilisation obligatoire d'un système OBD poursuit notamment « l'objectif de récupérer les données techniques ainsi que les informations quant à l'état fonctionnel et technique du véhicule ». Toujours d'après l'article unique, les données ainsi extraites seront ensuite interprétées à l'aide de données d' « un recueil d'informations techniques des constructeurs des véhicules, relatives aux équipements de freinage, à la direction, à la visibilité, aux réflecteurs, au matériel électrique, aux essieux, aux pneus, à la suspension, au châssis, aux accessoires du châssis, à d'autres équipements et aux 1 Disponibles sous : https://edps .europa .eu/data-protection/our-work/publications/comments/edps-formal-commentsdraft-commission-im lementin -1 en. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers 3/7 nuisances, [. ..] mis à disposition sur une base non discriminatoire aux organismes de contrôle technique par un prestataire de service». L'article unique prévoit encore que ceci devrait permettre « d'évaluer la sécurité technique ainsi que la conformité réglementaire sur le plan technique et environnemental des véhicules présentés à un contrôle technique ». Il convient de soulever que les données collectées lors du contrôle technique sont à considérer comme des données à caractère personnel au sens de l'article 4, point 1, du RGPD, étant donné qu'elles peuvent être reliées, notamment par le biais du numéro d'identification du véhicule (VIN), à une personne physique identifiée ou identifiable telle que le propriétaire ou le détenteur du véhicule 2 . Ainsi, les opérations appliquées par les organismes de contrôle techniques aux données techniques ainsi qu'aux informations quant à l'état fonctionnel et technique du véhicule constituent des traitements de données à caractère personnel au sens de l'article 4, point 2, du RGPD et sont partant soumises au RGPD.
  11. Dans la mesure où le traitement s'effectuera conformément à une obligation légale, il convient de rappeler la contrainte particulière de l'article 6 .3 du RGPD 3 liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'État membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « [... ] appartenir au droit de l'Union ou au droit d'un État membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la /icéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes 2 Voir en ce sens : Comité européen de la protection des données (EDPB), Lignes directrices 01/2020 sur le traitement des données à caractère personnel dans le contexte des véhicules connectés et des applications liées à la mobilité, points 29 et 62, disponibles sous : https://edpb.europa.eu/our-work-tools/ourdocuments/g uidelines/g uidelines-012020-process ing-perso na I-d ata-context en. 3 L'article 6.3, lu ensemble avec son paragraphe
(1)lettres
  1. c)et e), dispose que : « Le fondement du traitement visé au paragraphe 1, points
  2. c)et e), est défini par: a. le droit de l'Union; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, pointe), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. ». [ CNPj .. , ·:: Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers 417 concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [ ... ] ». Le considérant
(41)du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme4 . 1O. En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les entités auxquelles les données peuvent, le cas échéant, être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Il y a lieu de constater que ni le projet de loi, ni le projet de règlement grand-ducal ne prévoient de telles dispositions spécifiques quant au(
  1. x)traitement(
  2. s)de données à caractère personnel effectué(
  3. s)dans le contexte de l'obligation incombant aux organismes de contrôle technique de récupérer les données techniques ainsi que les informations quant à l'état fonctionnel et technique du véhicule afin d'effectuer le contrôle technique. Selon la compréhension de la CNPD, d'autres textes, que ce soit au niveau européen 5 ou au niveau national 6 , sont toutefois susceptibles de contenir de telles dispositions, auquel cas l'exigence découlant de l'article 6.3 du RGPD serait, le cas échéant, satisfaite. Dans cette optique, elle comprend notamment que le règlement ministériel, dont il est fait référence à l'article 1bis, paragraphe 1, tel qu'introduit par le projet de règlement grand-ducal, comportera les éléments à contrôler, et donc les catégories de données ou les données personnelles qui seront récupérées par les organismes de contrôle techniques des voitures soumises au contrôle. La CNPD regrette que le projet de règlement ministériel ne lui a pas été soumis pour avis, et se demande d'ailleurs s'il ne faudrait pas prévoir ces éléments dans un règlement grand-ducal au lieu d'un règlement ministériel. En l'état actuel, la CNPD se voit dans l'impossibilité de vérifier si les principes du RGPD seraient respectés par le projet de loi et le projet de règlement grand-ducal sous avis. 4 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public» , Normes et légistique en droit public luxembourgeois, Luxembourg , Promoculture Larcier, 2019, p.470, n°619. Voir entre autres CourEDH, Zakharov c. Russie [GCL n°47413/06], § 228-229, 4 décembre 2015 ; CourEDH, Vavi'iéka et autres c. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril 2021 . 5 Comme par exemple le règlement d'exécution (UE) 2019/621 de la Commission du 17 avril 2019 relatif aux informations techniques nécessaires au contrôle technique des points à contrôler et à la mise en œuvre des méthodes de contrôle recommandées, et portant établissement de règles détaillées concernant le format des données et les procédures d'accès aux informations techniques pertinentes 6 Comme par exemple le règlement ministériel dont il est fait référence à l'article 1bis, paragraphe 1, tel qu'introduit 1 p[ar ~~;~ de règleme:::::d~dl:c:~mmission nationale pour la protection des données J relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers 5/7 Il. Quant aux dispositions relatives à la collecte, l'enregistrement et la transmission à la Commission européenne des données relatives aux émissions de C02 et à la consommation de carburant ou d'énergie du véhicule dans les conditions d'utilisation réelles 11. Le règlement (UE) 2019/631 ainsi que le règlement d'exécution (UE) 2019/392 sont d'application directe et décrivent l'obligation incombant aux États membres de collecter les données relatives aux émissions de CO 2 et à la consommation de carburant ou d'énergie du véhicule dans les conditions d'utilisation réelles et de les transmettre annuellement à la Commission européenne contribuant ainsi à une surveillance des émissions par l'institution européenne. Les deux règlements déterminent dans ce contexte les différents intervenants avec leurs rôles respectifs, tout en laissant le choix aux États membres de désigner l'autorité compétente pour regrouper les informations collectées par les constructeurs, dans le cas de transferts directs des données au constructeur à partir des véhicules, les concessionnaires ou les réparateurs agréés ainsi que les organismes ou établissements chargés du contrôle technique 7. L'alinéa 5 de l'article unique du projet de loi désigne le ministre comme autorité compétente. 12. Les deux règlements européens contiennent des dispositions relatives aux finalités du traitement de données à caractère personnel, à la durée de conservation, aux données et catégories de données traitées et aux rôles de responsables du traitement des différents acteurs impliqués ainsi qu' à leurs obligations respectives à l'égard des personnes concernée 8 • Etant donné que les textes européens contiennent de telles disposition, la contrainte particulière de l'article 6.3 du RGPD liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement semble satisfaite. 13. En ce qui concerne l'alinéa 5 de l'article unique, et en particulier la possibilité pour le ministre d'utiliser ou de mettre à disposition à d'autres autorités administratives nationales les données anonymisées à des fins statistiques ou de recherche , la CNPD salue l'initiative des auteurs du projet de loi de prévoir l'anonymisation des données. A cet égard, il est utile de rappeler que le RGPD ne s'applique pas aux données à caractère personnel rendues anonymes de telle manière que la personne concernée n'est pas ou plus identifiable9 • Il y a toutefois lieu de s'assurer qu'il s'agit effectivement de données anonymisées et non pas de données pseudonymisées qui pourraient être attribuées à une personne physique par le recours à des 7 Voir article 7 du règlement (UE) 2019/631 et article 11 du règlement d'exécution (UE) 2019/392. 8 Voir article 12 et considérant
(48)du règlement (UE) 2019/631, ainsi qu'articles 3 et 11 et considérants
(11)à
(14)du règlement d'exécution (UE) 2019/392 . 9 Considérant
(26)du RGPD ; Voir aussi Comité européen de la protection des données (EDPB), Lignes directrices 01/2020 sur le traitement des données à caractère personnel dans le contexte des véhicules connectés et des applications liées à la mobilité, points 79, disponibles sous : https://edpb.europa .eu/our-work-tools/ourdocuments/ uidelines/ uidelines-012020- rocessin - ersonal-data-context en. CNPO Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers 6/7 informations supplémentaires et qui, quant à elles, tombent dans le champ d'application du RGPD 10 •
  1. Il convient par ailleurs de soulever que tant l'alinéa 6 de l'article unique du projet de loi que le règlement d'exécution (UE) 2019/392 prévoient la possibilité pour les propriétaires des véhicules concernés de s'opposer à la collecte des données relatives aux émissions de CO 2 et à la consommation de carburant ou d'énergie. Comme la collecte de ces données constitue une obligation légale, la possibilité de s'opposer au traitement en s'appuyant sur l'article 21 du RGPD ne serait pas invocable. L' « opt-out » que confèrent dès lors le projet de loi et le règlement d'exécution (UE) 2019/392 11 constitue un droit supplémentaire pour les personnes concernées que la Commission nationale salue. Elle s'interroge toutefois pourquoi il est précisé dans le projet de loi que l'alinéa 6 de l'article unique s'applique « sans préjudice de l'alinéa 7 du présent paragraphe ». Cette formulation n'a-t-elle pas pour conséquence que les traitements de données y prévus seront effectués en tout état de cause, et ce malgré le « refus écrit» des personnes concernées ? Par ailleurs, la CNPD se demande comment, en pratique, ce « refus écrit » devra être exercé et si le ministre ou les organismes de contrôle technique entendent fournir aux personnes concernées des modèles de lettre afin de faciliter l'exercice de ce droit de refus. Ainsi adopté à Belvaux en date du 8 février
  2. La Commission nationale pour la protection des données (:g;~ Tine A. Larsen Présidente Thierry Lallemang Commissaire 10 A toutes fins utiles, la CNPD se permet de renvoyer à l'avis 05/2014 du groupe de travail« Article 29 » sur les techniques d'anonymisation, disponible sous : https://cnpd .public.lu/content/dam/cnpd/fr/publications/groupeart29/wp216 en.pdf 11 Voir les articles 9 et 10 du règlement d'exécution (UE) 2019/392 . Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8112 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et relatif au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 26 janvier 2016 sur le contrôle technique des véhicules routiers 717

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.