← Luxembourg

Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données

Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatif au projet de de loi loi n° n° 8079 ayant pour objet l’organisation l'organisation de renseignement supérieur supérieur et et portant modification: 1° 1° du du Code Code du l’enseignement travail ; 2° de la la loi modifiée du 28 28 octobre octobre 2016 2016 relative relative à à la travail reconnaissance reconnaissance des qualifications qualifications professionnelles professionnelles ; 3° 3° de de la la loi modifiée juin 2018 modifiée du du 27 27 juin 2018 ayant pour objet l’organisation l'organisation de de l’Université l'Université du juillet 2020 du Luxembourg Luxembourg ; 4° 4° de de la la loi loi du du 31 31 juillet 2020 portant portant organisation organisation d’études spécialisées en médecine à l’Université du Luxembourg d'études spécialisées en médecine à l'Université du Luxembourg Délibération juin 2023. Délibérationn°48/AV27/2023 n°48/AV27/2023du du 16 16juin 1. Conformément 1. Conformément àà l’article l'article 57.1.C) 57. 1.

  1. e)du du règlement règlement (UE) (UE) 2016/679 du du Parlement européen et du du Conseil Conseil du du 27 27 avril avril 2016 2016 relatif relatif àà la la protection protection des des personnes personnes physiques physiques àà l'égard l'égard du du traitement traitement des des données données àà caractère caractère personnel personnel et et àà la la libre libre circulation circulation de de ces ces données, données, et et abrogeant abrogeant la la directive 95/46/CE (règlement général général sur sur la la protection protection des des données) (ci-après le le « RGPD RGPD »), »), er auquel auquel se se réfère réfère l’article l'article 77 de de la la loi loi du du 11er août août 2018 2018 portant portant organisation organisation de de la la Commission nationale nationale pour pour la la protection protection des des données donnéeset et du du régime régimegénéral généralsur sur la la protection protection des des données, données, la Commission Commission nationale nationale pour pour la la protection protection des des données données(ci-après (ci-aprèsla la « Commission Commission nationale nationale» ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, la CNPD ») conseille, conformément au droit de l'État membre, le national, le gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes organismes au au sujet sujet des des mesures mesures législatives législatives et administratives relatives àà la protection des droits et libertés des personnes physiques àà l'égard la des droits et libertés des l'égard traitement ». ». du traitement L’article L'article 36.4 36. 4 du du RGPD RGPD dispose que que « [l]es [l]es États Ëtatsmembres consultent l'autorité l'autorité de de contrôle contrôle dans dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement parlement national, national, ou ou d'une d'une mesure mesure réglementaire réglementaire fondée fondée sur sur une une telle telle mesure mesure législative, législative, qui qui se rapporte au traitement. » se rapporte au » 2. Par 2. Par courrier courrier en en date date du du 33 octobre octobre 2022, 2022, Monsieur Monsieur le le Ministre Ministre de de l’Enseignement l'Enseignement supérieur supérieur et de la Recherche a invité la Commission nationale à se prononcer sur le projet de loi et de la Recherche a invité la Commission nationale à se prononcer sur le projet de loi n° n° 8079 8079 ayant u Code ayant pour pour objet objet l’organisation l'organisation de de l’enseignement renseignement supérieur supérieur et et portant portant modification : 1° 1° ddu Code du du travail ; 2° 2° de de la la loi loi modifiée modifiée du du 28 28 octobre octobre 2016 2016 relative relative àà la la reconnaissance reconnaissance des des qualifications qualifications professionnelles ; 3° juin 2018 3° de de la la loi loi modifiée modifiée du du 27 27 juin 2018 ayant ayant pour pour objet objet l’organisation l'organisation de de CNPD .-OMMIS* ON wom.i un MS 3ON»«$ Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatif au au projet projet de de loi loi n° n° 8079 8079 ayant ayant pour pour objet objet l’organisation l'organisation de de l’enseignement renseignement supérieur supérieur et et portant portant modification modification : 1° 1" du du Code Codedu du travail travail ; 2° 2° de de la la loi loi modifiée modifiéedu du 28 28 octobre octobre 2016 2016 relative relative àà la la reconnaissance reconnaissance des juin 2018 des qualifications qualifications professionnelles professionnelles ;; 3° 3° de de la la loi loi modifiée modifiée du du 27 27 juin 2018 ayant ayant pour pour objet objet l’organisation l'organisation de juillet 2020 de l’Université l'Université du du Luxembourg Luxembourg ;; 4° 4° de de la la loi loi du du 31 31 juillet 2020 portant portant organisation organisation d’études d'études spécialisées spécialisées en en médecine médecineàà l’Université l'Universitédu du Luxembourg Luxembourg 1/14 1/14 l'Université du du Luxembourg Luxembourg ;; 4° de la la loi loi du du 31 31 juillet 2020 portant portant organisation organisation d’études d'études l’Université 4° de juillet 2020 spécialisées en en médecine médecine àà l’Université l'Université du du Luxembourg Luxembourg (ci-après (ci-après le le « projet projet de de loi loi »). »). spécialisées er mars 2023, une série d'amendements gouvernementaux ont été apportés 3. En date du du 11er 3. E n date mars 2023, une série d’amendements gouvernementaux ont été apportés audit projet projet de de loi loi afin afin de de tenir tenir compte compte d’observations d'observations formulées formulées par par les les différentes différentes Chambres Chambres audit professionnelles ainsi ainsi que que des des modifications modifications prévues au au niveau niveau la la commission commission professionnelles des aménagements aménagements raisonnables raisonnables de de l’enseignement renseignement secondaire secondaire par par le le projet projet de de loi loi n° n° 8169 816911 (ci(cides après les les «« amendements amendements gouvernementaux gouvernementaux »). »). Une Une deuxième deuxième série série d’amendements d'amendements ont ont été été après adoptés lele 19 19 mai mai 2023 2023 par par la la Commission Commission parlementaire parlementaire compétente compétente pour pour répondre répondre aux aux adoptés observations que que lele Conseil Conseil d’État d'État aa formulées formulées dans dans son son avis avis du du 16 16 mai mai 2023 2023 (ci-après (ci-après les les observations « amendements amendements parlementaires parlementaires »). 4. Selon l’exposé l'exposé des des motifs, motifs, le le projet projet de de loi loi sous sous examen examen aa pour pour objet objet principal principal de de procéder procéder 4. Selon à une une révision révision du du cadre cadre général général de de l’enseignement renseignement supérieur supérieur luxembourgeois, luxembourgeois, ainsi ainsi que que des des à dispositions relatives relatives àà deux deux de de ses ses composantes, composantes, en en l’occurrence l'occurrence aux aux programmes programmes d’études d'études dispositions menant au au brevet brevet de de technicien technicien supérieur supérieur (ci-après (ci-après le le «« BTS BTS ») ») et et aux aux programmes programmes d’études d'études menant accréditésofferts offerts par par des des établissements établissements d’enseignement d'enseignement supérieur supérieur spécialisés. accrédités 5. Le présent présent avis avis limitera limitera ses ses observations observations aux aux questions relatives au au respect de de la la vie vie 5. Le privée et et àà la la protection protection des des données données àà caractère caractère personnel personnel soulevées soulevées par par le le projet projet de de loi loi tel tel privée qu'amendé, et plus particulièrement par le chapitre IV relatif aux aménagements raisonnables qu’amendé, et particulièrement par le chapitre IV relatif aux aménagements raisonnables ainsi que que par par lele chapitre chapitre VIII relatif aux auxfinalités finalitéset et principes principes de de mise mise en en œuvre ouvre du du traitement traitement de de ainsi VIII relatif données àà caractère personnel. personnel. La La Commission Commission nationale nationale se se basera sur sur le le texte coordonné coordonné du du projet de de loi loi tel qu'annexé aux aux amendements amendements parlementaires. parlementaires. projet tel qu’annexé l. I. Sur les les traitements traitements de de données données àà caractère caractère personnel personnel effectués effectués dans dans le le cadre cadre Sur des aménagements raisonnables raisonnables des 6. Les articles articles 15 15 àà 18 18 du du projet projet de de loi loi ont ont pour pour objet objet de de définir définiret et de de préciser préciser les les modalités modalités 6. Les d'aménagements raisonnables raisonnables dans dans lele cadre cadre des des programmes programmes d’études d'études menant menant au au BTS. BTS. Tel Tel d’aménagements 1Projet Projet de deloi loi portant portant :: 11 °° modification modification
  2. a)
  3. a)de dela laloi loi modifiée modifiéedu du 25 25juin 2004 portant portant organisation organisation des des lycées lycées ;;
  4. b)
  5. b)de dela la loi loi juin 2004 modifiéedu du 13 13juillet 2006portant portant organisation organisation du du centre centre de depsychosocial psychosocial et et d’accompagnement d'accompagnement scolaires; scolaires;
  6. c)
  7. e)de dela la loi loi modifiée juillet 2006 modifiée du du 66 février février 2009 2009 portant portant organisation organisation de de l’enseignement renseignement fondamental fondamental ;;
  8. d)
  9. d)de de la la loi loi du du 20 20 juillet 2018 portant portant modifiée juillet 2018 créationde deCentres Centresde decompétences compétencesen enpsycho-pédagogie psycho-pédagogiespécialisée spécialiséeen enfaveur del’inclusion l'inclusionscolaire scolaire;; 2° 2°abrogation abrogation création faveur de dela laloi loimodifiée modifiéedu du15 15juillet 2011 visantl’accès l'accèsaux auxqualifications qualificationsscolaires scolaireset etprofessionnelles professionnellesdes desélèves élèvesàà besoins besoins de juillet 201 1 visant éducatifs particuliers particuliers éducatifs 1 CNPD COMMISION HATOHAIF Wli’.'l O* DfSSC*» HS Avis de de la la Commission nationale nationale pour pour la la protection des des données données relatifau auprojet projetde deloi loin° n° 8079 8079ayant ayantpour pourobjet objetl’organisation l'organisationde del’enseignement renseignementsupérieur supérieuret etportant portant relatif modification : 1° 1° du du Code Code du du travail ; 2° de de la la loi loi modifiée modifiée du du 28 28 octobre 2016 2016 relative relative àà la la reconnaissance reconnaissance modification desqualifications qualificationsprofessionnelles professionnelles;; 3° 3° de dela laloi loi modifiée modifiéedu du27 27juin 2018ayant ayantpour pourobjet objetl’organisation l'organisation des juin 2018 del’Université l'U'niversitédu duLuxembourg Luxembourg;; 4° dela laloi loidu du31 31 juillet 2020portant portantorganisation organisationd’études d'étudesspécialisées spécialisées de 4° de juillet 2020 en médecine médecineà à l’Université l'Universitédu du Luxembourg Luxembourg en 2/14 qu’exposé qu'exposé sous sous le le point point 3 du du présent présent avis, des des amendements amendements gouvernementaux gouvernementaux ont ont été étéapportés apportés au projet de loi initial afin de tenir compte des modifications prévues par le projet de loi n° au projet de loi initial afin de tenir compte des modifications prévues par le projet de loi n° 8169. 8169. 7. À cet tient à 7. A cet égard, égard, la la Commission Commission nationale nationale tient à soulever soulever des des incohérences incohérences entre entre le le texte coordonné du du projet de de loi loi sous avis avis et et le le texte texte des des amendements amendements gouvernementaux gouvernementaux proprement proprement dits. Plus particulièrement, il résulte de l’amendement 7 concernant l’article 16.1 que Plus particulièrement, il résulte de l'amendement concernant l'article 16. 1 que le le dossier dossier relatif relatif aux aux aménagements aménagements raisonnables raisonnables comprend, comprend, entre entre autres, autres, «« les tes rapports rapports d’expertise d'expertise renseignant renseignant sur sur les les besoins besoins de de l’étudiant l'étudiant » tandis tandis que que le le texte texte coordonné coordonné reprend reprend la la formulation formulation du du projet projet de de loi loi initial, initial, àà savoir savoir « les tes rapports rapports d’expertise d'expertise renseignant renseignant sur sur les les facultés facultés et et sur sur la la déficience ou l’incapacité ». Il y a lieu de clarifier quel libellé les auteurs souhaitent voir adopté, déficience ou l'incapacité ». Il y a lieu de clarifier quel libellé les auteurs souhaitent voir adopté, et et ce ce d’autant d'autant plus plus qu’il qu'il s’agit s'agit de de données données concernant concernant la la santé santé qui, qui, aux aux termes termes du du RGPD, RGPD, 2 bénéficient d'une accrue2. En du de minimisation bénéficient d’une protection accrue . E n application minimisation des données données application du principe principe de consacré à l’article 5.1.
  10. c)du RGPD et sous réserve des développements sous le point consacré à l'article 5. 1.
  11. e)du RGPD et sous réserve des sous le point 14 14 du présent présent avis, avis, la la CNPD CNPD considère considère qu’il qu'il est est préférable préférable de de retenir retenir la la formulation formulation «« les /es rapports rapports d’expertise d'expertiserenseignant renseignantsur sur les les besoins besoinsde de l’étudiant l'étudiant». A. traitement de données sensibles A. Sur Sur le le traitement sensibles 8. Selon 8. Selon le le commentaire relatif relatif àà l’amendement l'amendement gouvernemental 6 concernant concernant l’article l'article 15, 15, les les dispositions dispositions ayant ayant trait trait aux aux aménagements aménagements raisonnables raisonnables concernent concernent les les étudiants étudiants présentant présentant une une incapacité incapacité ou ou déficience déficience entravant une une progression normale dans dans les les études. études. Les aménagements raisonnables, comme comme par parexemple exemple une une présentation présentation adaptée adaptée des des questionnaires questionnaires pour les étudiants atteints d’une déficience visuelle, visent à pallier ces entraves et pour les étudiants atteints d'une déficience visuelle, visent à pallier ces et à faciliter faciliter la participation participation des des étudiants étudiantsaux aux épreuves épreuvesd’évaluation. d'évaluation. 9. L’article 9. L'article 99 du du RGPD RGPD confère confère une une protection protection renforcée renforcée aux aux catégories catégories particulières particulières de de données données dites dites « données données sensibles sensibles », », dont dont notamment notamment les les données données concernant concernant la la santé. santé. Le Le traitement de telles données est en principe interdit, sauf dans les hypothèses énumérées traitement de telles données est en principe interdit, sauf dans les hypothèses énumérées àà l’article justice de l'article 9.2 9. 2 du duRGPD. RGPD. La LaCour Courde dejustice del’Union l'Union européenne européenne aa adopté adoptéune uneinterprétation interprétation large large de la notion de « catégories particulières de données à caractère personnel » en jugeant que de la notion de « catégories particulières de données à caractère personnel » en jugeant que le le traitement traitement de de données données personnelles personnelles susceptibles susceptibles de de dévoiler, dévoiler, de de manière manière indirecte, indirecte, des informations informations sensibles sensibles concernant concernant une une personne personne physique physique est est soumis soumis au au régime régime de de protection protection 3 renforcé renforcé prévu prévu par par l’article l'article 99 du du RGPD RGPD3.. Selon Selon la la compréhension de de la la CNPD, CNPD, les les informations informations 2 2 Cf. Cf. point point 9 du du présent présentavis. 3 er août 184/20, EU:C:2022:601 , points 3 CJUE, CJUE,arrêt arrêtdu du11er août2022, 2022,Vyriausioji Vyriausiojitarnybinés tarnybinêsetikos etikoskomisija, komisija,CC-184/20, EU:C:2022:601, points120 120et ets. s. CNPD CNPD .•OMMISS'ON 0K9CM-EES Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif relatifau auprojet projet de deloi loi n° n"8079 8079ayant ayantpour pourobjet objetl’organisation l'organisationde del'enseignement renseignementsupérieur supérieuret etportant portant modification modification : 1° 1° du du Code Code du du travail ; 2° de de la la loi loi modifiée modifiée du du 28 28 octobre octobre 2016 2016 relative à la la reconnaissance des juin 2018 desqualifications qualificationsprofessionnelles professionnelles;; 3° 3° de dela laloi loimodifiée modifiéedu du27 27juin 2018ayant ayantpour pourobjet objetl’organisation l'organisation de juillet 2020 de l’Université l'Universitédu du Luxembourg Luxembourg;; 4° 4°de dela laloi loidu du31 31 juillet 2020portant portantorganisation organisationd’études d'étudesspécialisées spécialisées en en médecine médecine àà l’Université l'Université du du Luxembourg Luxembourg 3/14 traitéesdans dansle le cadre cadredes desaménagements aménagementsraisonnables raisonnablespermettent permettentde dedonner donnerdes desindications indicationssur sur traitées l'état de de santé santédes des étudiants étudiantsconcernés concernésde de sorte sorte que que l’article l'article 99 du du RGPD RGPDs’applique. s'applique. l’état 10. En l'occurrence, le le traitement traitement de de données données sensibles sensibles est est susceptible susceptible d’être d'être fondé fondé sur sur 10. E n l’occurrence, l'article 9.2.
  12. g)9. 2.
  13. g)du du RGPD. RGPD. En En vertu vertu de de cette cette disposition, disposition, lele traitement traitement de de données données sensibles sensibles est est l’article possible si si le le traitement traitement est est nécessaire nécessaire pour pour des des motifs motifs d’intérêt d'intérêt public public important, important, sur sur la la base base du du possible droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence l'essence du du droit droit àà la la protection protection des des données données et et prévoir prévoir des des mesures mesures appropriées appropriées et et respecter spécifiques pour pour la la sauvegarde des des droits fondamentaux fondamentaux et et des des intérêts intérêts de de la la personne personne spécifiques concernée. Dans Dans ce ce contexte, contexte, la la CNPD CNPD se se demande demande si si le le chapitre chapitre VIII intitulé «« Finalités Finalités et et concernée. VIII intitulé principes de de mise mise en en œuvre ouvre du du traitement traitement de de données données àà caractère caractère personnel personnel », », et et plus plus principes particulièrement l’article l'article 32, 32, s’applique s'applique aux auxtraitements traitements de de données données effectués effectués dans dans lele cadre cadre des des particulièrement aménagements raisonnables. raisonnables. EEn effet, les les mesures mesures yy mentionnées, mentionnées, telles telles que que lele système système de de aménagements n effet, journalisation prévue par par lele point point 2°, 2°, pourraient pourraient le le cas cas échéant échéant être être considérées considérées comme comme des des journalisation prévue mesures appropriées appropriées et et spécifiques spécifiques pour pour la la sauvegarde sauvegarde des des droits droits fondamentaux fondamentaux et et des des intérêts intérêts mesures de la la personne personne concernée concernée qui qui doivent doivent être être prévues prévues par par lele droit droit dde l'Union ou ou lele droit droit national national en en de e l’Union vertu de l’article l'article 9. 2.
  14. g)
  15. g)du du RGPD. vertu de B. Sur Sur le le responsable responsable du du traitement B. 11. La notion notion de de responsable responsable du du traitement traitement joue un rôle rôle important important dans dans l’application l'application du du RGPD RGPD 11. La joue un dans la mesure où elle détermine qui est responsable du respect des différentes règles en matière dans la mesure où elle détermine qui est responsable du respect des différentes règles en matière de protection protection des des données données ainsi ainsi que que la la manière manière dont dont les les personnes concernées concernées peuvent peuvent exercer de 4 Il est à noter Finalités et intitulé VIII loi contient un de le chapitre droits4. leurs projet que le projet de loi contient un leurs droits . Il est à noter que VIII intitulé «« Finalités et principes de de mise mise en en œuvre ouvre du du traitement de données données àà caractère personnel personnel » qui qui précise précise principes traitement de notamment en en son son article article 28.2 28. 2 que que le le ministre ministre ayant ayant l’Enseignement l'Enseignement supérieur supérieur dans dans ses ses notamment attributions (ci-après (ci-après le le «« ministre ministre ») ») aa la la qualité qualité de de responsable responsable du du traitement. traitement. IlIl n’est n'est toutefois toutefois attributions pas clair, clair, aux aux yeux yeux de de la la CNPD, CNPD, si si les les dispositions dispositions du du chapitre chapitre VIII VIII ont ont vocation vocation àà s’appliquer s'appliquer aux aux pas de force est est de De plus, raisonnables5.5 . De des aménagements cadre des le cadre plus, force dans le effectués dans traitements aménagements raisonnables traitements effectués que le le projet de de loi loi prévoit prévoit l’intervention l'intervention de de plusieurs plusieurs acteurs, comme par par exemple la constater que personne de de référence, référence, le le directeur directeur du du lycée lycéeet et la la commission commission des des aménagements aménagements raisonnables. raisonnables. personne est dès dès lors suggéré suggéré que que les les auteurs du du projet de de loi loi clarifient clarifient le le rôle rôle des des différents différents intervenants intervenants IlIl est 44 V. ence cesens: sens:Comité Comitéeuropéen européende dela laprotection protectiondes desdonnées données(EDPB), (EDPB),Lignes Lignesdirectrices directrices07/2020 07/2020concernant concernantles les V. en notions de de responsable responsabledu du traitement traitement et et de de sous-traitant sous-traitantdans dansle le RGPD, RGPD,p. p. 3., 3., disponibles disponiblessous sous : notions https://edpb.europa.eu/our-work-tools/our-documents/quidelines/quidelines-072020-concepts-controller-andhttDS://edDb.euroDa.eu/our-work-tools/our-documents/auidelines/auidelines-072020-conceDts-controller-andprocessor-adpr fr processor-qdpr 5 5 V. V. également également le le point point 16 16 du du présent présent avis. avis. CNPD rOMMUSOH NAT ONAIF «tOU’.l'O* ors ion ses Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données Avis relatifau auprojet projetde deloi loin° n°8079 8079ayant ayantpour pourobjet objetl’organisation l'organisationde del’enseignement renseignementsupérieur supérieuret etportant portant relatif modification : 1° 1° du du Code Code du du travail ; 2° 2° de de la la loi loi modifiée modifiée du du 28 28 octobre octobre 2016 2016 relative relative àà la la reconnaissance modification desqualifications qualificationsprofessionnelles professionnelles;; 3° 3° de dela laloi loimodifiée modifiéedu du27 27Juin 2018ayant ayantpour pourobjet objetl’organisation l'organisation des juin 2018 del’Université l'U'niversitédu duLuxembourg Luxembourg;; 4° 4° de dela laloi loi du du31 31 juillet 2020portant portantorganisation organisationd’études d'étudesspécialisées spécialisées de juillet 2020 en médecine médecineà à l’Université l'Universitédu du Luxembourg en 4/14 en tant que en précisant précisant qui qui agit agit en en tant que responsable (conjoint) du du traitement, étant étant entendu entendu que que cette cette désignation devrait concorder avec les activités réellement exercées par les entités en question. désignationdevrait concorderavec les activitésréellement exercéespar les entitésen 12. Par 12. Par ailleurs, ailleurs, la la Commission Commission nationale nationale salue salue que que l’article l'article 16.1 16. 1 du du projet projet de de loi loi soumet soumet la personne personne de de référence référence àà une une obligation obligation de de confidentialité confidentialité en en disposant disposant que que la la personne personne de référence u dossier. référenceassure assure la la confidentialité confidentialitéddu dossier. IlIl est est toutefois toutefois àà regretter regretter que que les les membres membres de de la commission commissiondes desaménagements aménagementsraisonnables raisonnablesne ne semblent semblentpas pasêtre êtresoumis soumisàà la la même mêmeobligation de de confidentialité confidentialité dans dans la la mesure mesure où où l’article l'article 18.2 18. 2 du du projet projet de de loi loi dispose dispose seulement seulement que que « [l]es [l]es délibérations délibérationsde dela la commission commissiondes desaménagements aménagementsraisonnables raisonnablessont sontconfidentielles. confidentielles. [.[...] ». C. C. Sur Sur les les catégories de de données données traitées traitées 13. L’article 13. L'article 16.1 16. 1 énumère énumère les les éléments éléments compris compris dans dans le le dossier dossier relatif relatif aux aux aménagements aménagements raisonnables, à à savoir savoir :: raisonnables, 1° voire les 1 ° les lesrapports rapportsd’expertise d'expertiserenseignant renseignantsur surles lesbesoins besoinsde del’étudiant, l'étudiant,voire lesrapports rapportsd’expertise d'expertise 6 renseignant sur sur les les facultés facultés et et sur sur la la déficience déficience ou ou l’incapacité l'incapacité6 ;; 2° 2° les les rapports rapports sur sur les les contacts contacts avec avec l’étudiant l'étudiant ;; 3° 3° les les compléments aux aux diplômes, diplômes, certificats certificats et et bulletins bulletins mentionnant les les aménagements aménagements raisonnables dont dont a bénéficié bénéficiél’étudiant l'étudiant par par le le passé ; ainsi ainsique que toute toute autre autre pièce pièceou ou toute toute information information utiles utiles àà la la prise prise en en charge chargede de l’étudiant. l'étudiant. 14. E n l’absence 14. En l'absence d’explications d'explications de de la la part part des des auteurs, auteurs, cette cette disposition disposition soulève soulève les les interrogations suivantes de de la la part part de de la la CNPD CNPD : Qui Qui est est l’auteur l'auteur des des « rapports d’expertise d'expertise » et des n quoi des « rapports rapports sur surles les contacts contacts avec avec l’étudiant l'étudiant» ?? Quel Quel est est le le contenu contenu de de ces ces rapports rapports ?? EEn quoi les les documents documents énumérés énumérés sont-ils sont-ils nécessaires nécessaires pour pour la la mise mise en en place place des des aménagements raisonnables formulation « toute raisonnables? Par Parailleurs, ailleurs, la la formulation toute autre autrepièce pièceou ou toute touteinformation informationutiles utilesàà la laprise en en charge charge de de l’étudiant l'étudiant» est est peu peu précise précise et et ne ne permet permet pas pas aux aux étudiants étudiants concernés concernés de de savoir quelles données personnelles seront collectées à leur égard. Il y a lieu de rappeler l'importance quelles données personnelles seront collectées à leur égard. Il lieu de rappeler d u principe du principe de de minimisation minimisation des des données données prévu prévu àà l’article l'article 5.1. 5. 1.
  16. c)
  17. e)du du RGPD RGPD en en vertu vertu duquel duquel ne ne doivent être traitées que les données qui sont adéquates, pertinentes et limitées à ce qui est doivent être traitées que les données qui sont adéquates, pertinentes et limitées à ce qui est nécessaire nécessaire (et (et non non seulement seulement utile) utile) au au regard des des finalités finalités pour pour lesquelles lesquelles elles sont sont traitées. Le Le respect du principe de minimisation est d’autant plus important qu’il s’agit d e données sensibles respect du principe de minimisation est d'autant plus important qu'il s'agitde donnéessensibles fournissant Ainsi, les fournissant des des indications indications sur sur l’état l'état de de santé santé des des étudiants. étudiants. Ainsi, les rapports d’expertise d'expertise mentionnés mentionnésàà l’article l'article 16.1 16. 1 ne ne devraient devraientpas pas contenir contenirdes des informations informations relatives relatives àà la la déficience déficienceou ou 6 6 Cf. point point 77 du du présent présent avis. avis. CNPD COMMISION rtrvii’.i oh CtS >OM EE$ Avis de de la la Commission nationale nationale pour pour la la protection des des données données relatif relatif au au projet projet de de loi loi n° n° 8079 8079 ayant ayant pour pour objet objet l’organisation l'organisation de de l’enseignement renseignement supérieur supérieur et et portant modification modification : 1° 1" du Code du travail ; 2° de la la loi loi modifiée modifiée du 28 28 octobre 2016 relative à la la reconnaissance des juin 2018 des qualifications qualificationsprofessionnelles professionnelles ;; 3° 3° de de la la loi loi modifiée modifiéedu du 27 27juin 2018ayant ayantpour pour objet objetl’organisation l'organisation de juillet 2020 de l’Université l'Universitédu du Luxembourg Luxembourg; 4° 4° de de la la loi loi du du 31 31 juillet 2020portant portantorganisation organisationd’études d'étudesspécialisées spécialisées en en médecine médecine à l’Université l'Université du du Luxembourg 5/14 5/14 l'incapacité dont dont est est atteinte atteinte l’étudiant l'étudiant qui qui ne ne sont sont pas pas strictement strictement nécessaires nécessaires au au traitement traitement de de l’incapacité la demande demande d’aménagements d'aménagementsraisonnables. raisonnables. la l'accès de l’étudiant l'étudiant au dossier dossier B. Sur l’accès 15. résulte de de l’article l'article 16.1, 16. 1, avant-dernier avant-dernier alinéa, alinéa, du du projet projet de de loi loi que que «« S’étudiant RJ'étudiant aa accès accès 15. IlIl résulte au dossier et aux informations contenues dans celui-ci. » Selon la compréhension de la CNPD, au dossier et aux informations contenues dans celui-ci. » Selon la compréhension de la CNPD, ilil s'agit d’un d'un droit droit distinct distinct du du droit droit d’accès d'accèsprévu prévu par par l’article l'article 15 15 du du RGPD RGPD qui qui confère confère àà la la personne personne s’agit concernée le le droit droit d’accéder d'accéder aux aux données données àà caractère caractère personnel personnel qui qui ont ont été été collectées collectées àà son sujet. Ainsi, Ainsi, les lesdispositions dispositionsdu du projet projet de deloi loi sont sontsans sanspréjudice préjudicedu du droit droitd’accès d'accèstel tel que que prévu prévupar sujet. l'article15duRGPD. l’article 15 du RGPD. II. II. Surle le chapitre chapitreVIII intitulé « Finalités Finalitéset et principes principes de de mise mise en en œuvre ouvre du Sur VIII intitulé de données données àà caractère personnel personnel »» traitement de 16. le commentaire des des articles, articles, les les dispositions du du chapitre VIII fixe[nt] le le cadre cadre de de 16. Selon le VIII « fixe[nt] la mise ouvre des traitements des données à caractère personnel des étudiants inscrits dans la mise œuvre des traitements des données à caractère personnel des étudiants inscrits dans un programme d’études d'étudesmenant menant au au [BTS] [BTS] ». ». La LaCNPD CNPD se se demande demande si si ces ces dispositions dispositions sont sont censées programme s'appliquer également également aux aux traitements de données données effectués effectués dans dans le le cadre cadre des des aménagements aménagements s’appliquer traitements de notamment en en les dispositions en question, lieu d’adapter Dans l’affirmative, a lieu raisonnables7. 7 . Dans question, notamment l'affirmative, ilil y a dispositions en d'adapter les raisonnables prévoyant cette cette finalité finalité àà l’article l'article 29 29 et et en en mentionnant mentionnant àà l’article l'article 30 30 les les données donnéescollectées collectées àà cette cette prévoyant fin. A. Sur Sur le le rôle rôle du du responsable responsable du du traitement A. 17. La Commission nationale félicite félicite les les auteurs auteurs du du projet projet de de loi loi d’avoir d'avoir pris pris le le soin soin de de préciser préciser 17. La l'article 28.2 28. 2 du du projet projet de de loi loi que que le le ministre ministre a la la qualité qualité de de responsable du du traitement. traitement. Toutefois, Toutefois, à l’article est important de de noter noter que que la la notion notion de de responsable responsable du du traitement traitement est est un un concept concept fonctionnel fonctionnel en ilil est Cela implique réels des des parties des rôles rôles réels fonction des en fonction les responsabilités implique vise à à répartir parties8.8 . Cela responsabilités en répartir les ce qu’il qu'il vise que la la désignation désignation en en tant que « responsable du du traitement traitement » par parle le projet projet de de loi loi devrait devrait concorder concorder que tant que avec les les activités activitésréellement réellementeffectuées effectuéespar par l’entité l'entitéen en question. question. E En ce qui qui concerne concerne les les finalités finalités avec n ce visées aux aux points points 1° 1° àà 3° 3° de de l’article l'article 29, 29, les les auteurs auteurs du du projet projet de de loi loi expliquent expliquent dans dans le visées 7 7 Cf. point point 111 du présent présent avis. avis. 1 du 8 8 Comité Comité européen européen de de la la protection protection des des données données (EDPB), (EDPB), Lignes Lignes directrices directrices 07/2020 07/2020 concernant concernant les les notions notions de responsabledu du traitement traitement et et de de sous-traitant sous-traitantdans dans le le RGPD, RGPD,point point12, 12, disponibles disponiblessous sous : https://edpb.europa.eu/ourhttDS://edpb.euroDa_ey/oyi: responsable work-tools/our-documents/quidelines/quidelines-072020-concepts-controller-and-processor-qdpr fr work-tools/our-documents/auidelines/auidelines-072020-conceDts-controller-and-Drocessor-adDr CNPD rOMMB’ON NAT QNAIF «OUFO» ms sot ses Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatif au au projet projet de de loi loi n° n° 8079 8079 ayant ayant pour pour objet objet l’organisation l'organisation de de l’enseignement renseignement supérieur supérieur et et portant modification : 1° 1° du Code Code du travail ; 2° 2° de de la la loi loi modifiée modifiée du du 28 28 octobre octobre 2016 2016 relative relative à à la la reconnaissance modification desqualifications qualificationsprofessionnelles professionnelles ; 3° 3° de de la la loi loi modifiée modifiéedu du 27 27 juin 2018ayant ayantpour pourobjet objet l’organisation l'organisation des juin 2018 de l’Université l'Université du du Luxembourg Luxembourg ; 4° 4° de de la la loi loi du du 31 31 juillet 2020 portant portant organisation organisation d’études d'études spécialisées spécialisées de juillet 2020 en en médecine médecineàà l’Université l'Universitédu du Luxembourg 6/14 6/14 commentaire des des articles que que ces ces finalités finalités « sont sont de de nature nature plutôt plutôt administrative, en en ce ce qu’elles qu'elles visent la gestion journalière des programmes d’études menant au BTS par les lycées, ainsi visent la gestion journalière des programmes d'études menant au BTS par les ainsi que la jury d’examen la validation validation des des notes notes par par le le jury d'examen » et et que que l’article l'article 30.1 30. 1 « détermine détermine les les données données pouvant journalière des pouvant être être traitées traitées pour pour la la gestion administrative journalière des programmes BTS BTS par par les 9 lycées . La lycées »»9. La Commission Commission nationale nationale s’interroge s'interroge dès dèslors lors si si la la qualification qualification du du ministre ministre en en tant tant que que responsable du du traitement correspond correspond aux aux activités activités réellement réellement exercées exercées par par ce ce dernier. dernier. 18. E n ce 18. En ce qui qui concerne concerne la la finalité finalité visée visée au au point point 5° 5° de de l’article l'article 29, 29, àà savoir savoir la la recherche recherche scientifique ou historique, la Commission nationale s’interroge si ce serait le ministre qui scientifique ou la s'interroge si ce serait le ministre qui mènerait mènerait la la recherche recherche en en question. question. L’objectif L'objectif du du projet de de loi loi semblerait semblerait plutôt plutôt être être de de permettre au au ministre ministre de de mettre des des données données personnelles àà la la disposition de de chercheurs qui qui en en auraient auraient besoin besoin dans le cadre cadre d’un d'un éventuel éventuel projet de recherche recherche1 100.. Dans ce ministre ne ce cas cas de figure, le ministre ne serait pas à le projet de considérer comme le responsable du traitement effectué à des fins de recherche. considérercomme le responsable du traitement effectué à des fins de recherche. 19. 19. Au regard regard de de l’importance l'importance de de la la notion de de responsable du du traitement dans dans l’application l'application du 11 RGPD , le RGPD11, le législateur législateurdevrait devraitveiller veilleràà la la qualification qualificationcorrecte correcte du du responsable responsabledu du traitement, traitement, tout tout en en gardant gardant àà l’esprit l'esprit la la possibilité possibilité d’une d'une éventuelle éventuelle responsabilité conjointe en en application de l'article 26 26 ddu l’article u RGPD. B. B. Sur Sur les finalités finalités du du traitement de de données données àà caractère caractère personnel, et et plus plus particulièrement les finalités finalités de de recherche scientifique ou ou historique et et les les finalités statistiques finalités 20. La 20. La Commission nationale note note favorablement que que l’article l'article 29 29 énonce énonce les les finalités finalités des des traitements des données à caractère personnel concernant les étudiants inscrits dans traitements des données à caractère personnel concernant les étudiants inscrits dans un programme d’études d'études menant au au BTS. BTS. 21 Outre 21.. Outre les les finalités finalités liées liées àà la la gestion administrative journalière des des programmes BTS BTS visées aux aux points points 1° 1° àà 3°, le le projet projet de de loi loi sous sous examen prévoit prévoit la la mise mise en en œuvre ouvre par par le le ministre de fins de traitements de de données données relatives aux aux étudiants étudiants àà des des fins fins statistiques ou ou àà des des fins de recherche recherche scientifique n effet, finalités desdits scientifique ou ou historique. historique. E En effet, les les points points 4° 4° et et 5° 5° disposent disposent que que les les finalités sont : traitements sont 9 9 Soulignements Soulignements ajoutés ajoutés par par la la CNPD. 10 V. notamment l’article 10V. l'article 31, 31, point point 3°, 3°, du du projet projet de de loi loi. 11 11 Cf. point point 11 11 du du présent présent avis. avis. CNPD ■ _ l “'"ZJ Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif relatif au au projet projet de de loi loi n° n° 8079 8079 ayant ayant pour pour objet objet l’organisation l'organisation de de l’enseignement renseignement supérieur supérieur et et portant modification modification : 1° 1° du Code du travail ;; 2° de la la loi loi modifiée modifiée du 28 octobre 2016 2016 relative à à la reconnaissance des juin 2018 des qualifications qualifications professionnelles professionnelles ; 3° 3° de de la la loi loi modifiée modifiée du du 27 27 juin 2018 ayant ayant pour pour objet objet l’organisation l'organisation de juillet 2020 de l’Université l'Université du du Luxembourg ; 4° de de la la loi loi du du 31 Juillet 2020 portant organisation organisation d’études d'études spécialisées en en médecine médecine àà l’Université l'Université du du Luxembourg Luxembourg 7/14 4° la la mise mise en en œuvre ouvre d’analyses d'analyses statistiques statistiques àà des des fins fins de de pilotage pilotage et et d’évaluation d'évaluation des des « 4° politiques publiques, ainsi ainsi que que de de planification, planification, d’évaluation d'évaluation des des programmes programmes d’études d'études et politiques de suivi suivi du du parcours parcours académique académique et et professionnel professionnel de de l’étudiant, l'étudiant, ou ou àà des des fins fins statistiques statistiques de publiques ou ou historiques historiques ;; publiques 5° la la recherche recherche scientifique scientifique ou ou historique dans dans les les conditions prévues prévues par par le le règlement règlement 5° (UE) 2016/679 2016/679 du du Parlement européen européen et et du du Conseil Conseil du du 27 27 avril avril 2016 2016relatif relatifàà la la protection protection (UE) cfes personnes physiques àà l’égard l'égard du du traitement traitement des des données données àà caractère caractère personnel personnel et et à des la libre libre circulation circulation de de ces ces données donnéeset et par par la la loi loi du du 1er 1eraoût août2018 2018portant portant organisation organisationde de la la Commission nationale nationale pour pour la la protection protection des des données données et et du du régime régime général général sur sur la Commission protection des des données, données, sous sous réserve réserve que que les les données donnéessoient soient pseudonymisées pseudonymiséesau au sens sens protection de l’article l'article 4, 4, paragraphe paragraphe5, 5, du du règlement règlement(UE) (UE) 2016/679 2016/679précité. précité. » de 22. L'article 89.1 89. 1 du du RGPD RGPD exige exige que que le le traitement de données données personnelles personnelles àà des des fins fins de 22. L’article traitement de recherche scientifique scientifique ou ou àà des des fins fins historiques historiques ou ou àà des des fins fins statistiques statistiques est est soumis soumis àà des des recherche garanties appropriées appropriées pour pour les les droits droits et et libertés libertés de de la la personne personne concernée. concernée. E En de cette cette garanties n vertu de disposition, disposition, « [c]es [c]es mesures peuvent peuvent comprendre la la pseudonymisation, pseudonymisation, dans dans la la mesure où où ces ces finalités peuvent peuvent être être atteintes atteintes de de cette cette manière. manière. Chaque Chaque fois fois que que ces ces finalités finalités peuvent peuvent être être finalités atteintes par par un un traitement traitement ultérieur ultérieur ne ne permettant permettant pas pas ou ou plus plus l'identification l'identification des des personnes personnes atteintes er concernées, ilil convient convient de de procéder procéder de de cette cette manière manière». ». L’article L'article 65 65 de de la la loi loi du du 11er août 2018 concernées, août portant portant organisation de de la la Commission nationale pour pour la la protection protection des des données données et et du du régime er généralsur sur la la protection protection des des données données(ci-après (ci-aprèsla la « loi loi du du 11er août2018 2018») ») précise préciseles les mesures général août appropriées appropriéesadditionnelles additionnellesqui qui doivent doivent être êtremises misesen en œuvre ouvre par parle le responsable responsabled’un d'un traitement traitement à des fins fins de de recherche recherche scientifique scientifiqueou ou historique historique ou ou àà des des fins fins statistiques statistiques : des Compte tenu tenu de de la la nature, nature, de de la la portée, portée, du du contexte contexte et et des des finalités finalitésdu du traitement traitement ainsi « Compte que des des risques, dont dont le le degré degré de de probabilité probabilité et et de de gravité gravité varie, varie, pour pour les les droits droits et et libertés libertés que des personnes personnes physiques, le le responsable d’un d'un traitement traitement mis mis en en œuvre ouvre àà des des fins fins de de des recherche scientifique scientifique ou ou historique, historique, ou ou àà des des fins fins statistiques, statistiques, doit doit mettre mettre en en œuvre ouvre les les recherche appropriées additionnelles additionnelles suivantes suivantes :: mesures appropriées la désignation désignationd’un d'un délégué déléguéàà la la protection protection des des données données ; 11°° la 2° la réalisation réalisation d’une d'une analyse analyse de de l’impact l'impact des des opérations opérationsde de traitement traitement envisagées envisagées 2° la sur sur la la protection protection des des données donnéesàà caractère caractèrepersonnel personnel ; 3° l’anonymisation, 3° l'anonymisation, la la pseudonymisation pseudonymisation au au sens sens de de l’article l'article 4, 4, paragraphe paragraphe 5, 5, du règlement règlement (UE) (UE) 2016/679 2016/679 ou ou d’autres d'autres mesures mesures de de séparation séparation fonctionnelle fonctionnelle garantissant garantissant que les tes données donnéescollectées collectées àà des des fins fins de de recherche recherche scientifique scientifique ou ou historique, historique, ou ou àà des des que CNPD .-ommis'on NAT ONAlf •Nfori-.l ON ots 3OM SIS Avis de la la Commission Commission nationale nationale pour pour la la protection protection des des données Avis de relatif relatif au au projet projet de de loi loi n° n" 8079 8079 ayant ayant pour pour objet objet l’organisation l'organisation de de l’enseignement renseignement supérieur supérieur et et portant modification : 1° 1° du Code Code du travail ; 2° 2° de la la loi loi modifiée modifiée du 28 octobre octobre 2016 2016 relative relative à à la la reconnaissance modification des juin 2018 des qualifications qualifications professionnelles professionnelles ; 3° de de la la loi loi modifiée modifiée du du 27 27 Juin 2018 ayant ayant pour pour objet objet l'organisation l'organisation de l’Université l'Universitédu du Luxembourg Luxembourg; 4° 4° de de la la loi loi du du 31 31 juillet 2020portant portantorganisation organisationd'études d'étudesspécialisées spécialisées de juillet 2020 en en médecine médecineà à l’Université l'Universitédu du Luxembourg 8/14 fins fins statistiques, statistiques, ne ne puissent puissent être être utilisées utiliséespour pour prendre prendre des des décisions décisionsou ou des des actions actions àà l’égard l'égarddes des personnes personnesconcernées concernées ;; 4° le 4° le recours recours àà un un tiers tiers de de confiance confiance fonctionnellement indépendant indépendant du du responsable responsable du traitement pour l’anonymisation ou la pseudonymisation des données ; du traitement pourl'anonymisationou la pseudonymisation des données ; 5° le 5° le chiffrement chiffrement des des données données àà caractère caractère personnel personnel en en transit transit et et au au repos, repos, ainsi ainsi qu’une gestion des clés conformes à l’état de l’art ; qu'une gestion des clés conformes à l'état de l'art 6° l’utilisation vie privée 6° l'utilisation de de technologies technologies renforçant renforçant la la protection protection de de la la vie privéedes des personnes personnes concernées ; concernées 7° la 7° la mise mise en en place place de de restrictions restrictionsde de l’accès /'accèsaux auxdonnées donnéesàà caractère caractèrepersonnel personnel au sein se/'n du du responsable responsable du du traitement traitement ; 8° des fichiers de journalisation qui 8° des fichiers dejournalisation quipermettent permettent d’établir d'établirle le motif, motif, la la date dateet et l’heure l'heurede de la la consultation consultation et et l’identification l'identification de de la la personne personne qui qui a collecté, collecté, modifié modifiéou ou supprimé supprimé les les données donnéesàà caractère caractèrepersonnel personnel ; 9° la 9° la sensibilisation du du personnel participant participant au au traitement traitement des des données données àà caractère caractère personnel personnel et et au au secret secret professionnel professionnel ; 10° 10° l’évaluation l'évaluation régulière régulière de de l’efficacité l'efficacité des des mesures mesures techniques techniques et et organisationnelles organisationnelles mises en place à travers un audit indépendant ; m/'ses en place à travers un audit indépendant ; 111 1 °° l’établissement rétablissementau au préalable préalabled’un d'un plan plande de gestion gestiondes desdonnées données ;; 12° l’adoption de codes de conduite sectoriels tels que 12° l'adoption de codes de conduite sectoriels tels que prévus prévus àà l’article l'article 40 40 du règlement règlement(UE) (UE) 2016/679 2016/679approuvés approuvésparla parla Commission Commissioneuropéenne européenneen en vertu vertu de de l’article l'article 40, paragraphe 9, du règlement (UE) 2016/679. 40, paragraphe 9, du règlement (UE) Le justifier pour Leresponsable de de traitement traitement doit doit documenter documenter et etjustifier pour chaque chaque projet projet àà des des fins fins de recherche recherchescientifique scientifiqueou ou historique historiqueou ou àà des desfins finsstatistiques statistiquesl’exclusion, l'exclusion, le le cas caséchéant, d’une d'une ou ou plusieurs plusieurs des des mesures mesures énumérées énuméréesàà cet cet article article ». 23. Dans 23. Dansce ce contexte, contexte, la laCommission Commission nationale nationale regrette regrette que que les les auteurs auteurs du duprojet projet de deloi loi n’aient n'aient pas fait référence à cet article, mais ont choisi de ne reprendre que quelques-unes des mesures pas fait référenceà cet article, mais ont choisi de ne reprendre que quelques-unes des 12 comme par y énumérées, comme ou encore réalisation d’une d'une analyse encore la réalisation y exemple la pseudonymisation par exemple pseudonymisation1 2 ou analyse 13 relative à à la protection des données données1 3.. Ces Ces mesures d'impact relative mesures constituent certes certes des d’impact des garanties en en matière matièrede de protection protection des des données, données,mais mais qui qui ne ne sauraient sauraientêtre êtreconsidérées considéréesàà elles elles seules seules comme er suffisantes suffisantes au au regard regard des des principes principes généraux générauxdu du RGPD RGPD ainsi ainsi que que de de l’article l'article 65 65 de de la la loi loi du du 11er août 2018. 2018. août 12 12Articles Articles 29, 29, point point 5°, 5°, et et 31 31,, point point 3°, 3°, du du projet projet de de loi 13Article Article 31 31,, point point3°, 3°, du du projet projet de de loi. 13 CNPD CNPD roMMrtt oh NAPOHAIF PttOliVT'OH wswMts Avis de de la la Commission nationale pour pour la la protection des des données données relatif relatif au au projet projet de de loi loi n° n° 8079 8079 ayant ayant pour pour objet objet l’organisation l'organisation de de l’enseignement renseignement supérieur supérieur et et portant portant modification modification : 1° 1° du du Code Codedu du travail travail ; 2° 2° de de la la loi loi modifiée modifiéedu du 28 28 octobre octobre 2016 2016 relative relative àà la la reconnaissance reconnaissance des juin 2018 des qualifications qualifications professionnelles professionnelles ;; 3° 3° de de la la loi loi modifiée modifiée du du 27 27 juin 2018 ayant ayant pour pour objet objet l’organisation l'organisation de juillet 2020 de l’Université l'Université du du Luxembourg Luxembourg ;; 4° 4° de de la la loi loi du du 31 31 juillet 2020 portant portant organisation organisation d’études d'études spécialisées spécialisées en en médecine médecine àà l’Université l'Université du du Luxembourg Luxembourg 9/14 9/14 24. En outre ilil y aa lieu lieu de de rappeler rappeler que, que, conformément conformément àà l’alinéa l'alinéa 22 de de l’article l'article précité, précité, le le 24. E n outre du traitement traitement doit doit « documenter documenter et et justifier pour chaque chaque projet projet àà des des fins fins de de responsable du justifier pour recherche scientifique scientifique ou ou historique historique ou ou àà des des fins fins statistiques statistiques l’exclusion, l'exclusion, le le cas cas échéant, échéant, d’une d'une recherche ou plusieurs plusieurs des des mesures mesures énumérées énumérées àà cet cet article. article. »» Cet Cet alinéa alinéa est est en en lien lien avec avec le le principe principe de de ou responsabilisation ou d'« accountability » repris à l'article 5. 2 du RGPD en vertu duquel tout responsabilisation ou d’« accountability repris à l’article 5.2 du RGPD en vertu duquel tout responsable du du traitement traitement doit doit prendre prendre des des mesures mesures appropriées appropriéespour pour garantir, garantir, et et être êtreàà même responsable de démontrer, que le traitement des données à caractère personnel est effectué dans le respect respect de démontrer, que le traitement des données à caractère personnel est effectué dans le du RGPD RGPD et et de de la la législation législationnationale. nationale. du 25. En ce qui qui concerne concerne plus plus particulièrement particulièrement la la pseudonymisation, pseudonymisation, ilil ressort ressort notamment notamment de de 25. E n ce l'article 89.1 89. 1 du du RGPD RGPD que que l’anonymisation l'anonymisation des des données données devrait devrait être être privilégiée privilégiée àà leur leur l’article pseudonymisation. La La Commission Commission nationale nationale se se permet permet de de rappeler rappeler àà ce ce sujet sujet que que le le processus processus pseudonymisation. d'anonymisation permet permet de de rendre rendre impossible impossible toute toute (ré)identification (ré)identification d’une d'une personne. personne. IlIl s’agit s'agit d’anonymisation donc d’un d'un processus processus irréversible. irréversible. Au Au contraire, contraire, la la pseudonymisation pseudonymisation rend rend possible possible la la donc réidentificationd’une d'une personne personne déterminée, déterminée,par par le le recours recours àà des des informations informations supplémentaires. supplémentaires. réidentification Cette distinction distinction est est importante importante :: alors alors que que le le RGPD RGPD s’applique s'applique aux aux données donnéespseudonymisées, pseudonymisées, Cette les données données anonymisées anonymisées quant quant àà elles elles ne ne rentrent rentrent pas pas dans dans le le champ champ d’application d'application du les 14 « pas lieu d'appliquer Ses à cet a RGPD énonce 26 du 4. considérant Le qu'il n'y égard règlement1 . Le considérant 26 du RGPD énonce à cet règlement qu’il a « pas lieu d'appliquer les principes relatifs relatifs àà la la protection protection des des données données aux aux informations informations anonymes, àà savoir savoir les principes informationsne neconcernant concernantpas pasune unepersonne personnephysique physiqueidentifiée identifiéeou ou identifiable, identifiable,ni niaux auxdonnées données informations a caractère caractèrepersonnel personnel rendues rendues anonymes anonymes de de telle telle manière manièreque que la la personne personne concernée concernéene ne soit soit à pas ou plus plus identifiable. identifiable. Le Le présent présent règlement règlement ne ne s'applique, par par conséquent, conséquent, pas pas au au traitement traitement pas ou de telles telles informations informationsanonymes, anonymes, yy compris comprisàà des desfins finsstatistiques statistiquesou ou de derecherche. recherche. » de 26. La LaCommission Commission nationale nationale considère considèreque que l’approche rapproche retenue retenue par par les les auteurs auteurs du du projet projet de 26. er loi risque risquede dene ne pas pasrespecter respecterles les règles règlesétablies établiespar parle le RGPD RGPDet et la la loi loi du du 11eraoût août2018 2018prévoyant, loi sous certaines conditions, la possibilité d'un traitement ultérieur à des fins de recherche recherche sous certaines conditions, la possibilité d’un traitement ultérieur à des fins de 15 5. fins à des des fins statistiques ou à ou historique statistiques1 . historique ou scientifique scientifique ou 14 14A toutes toutes fins utiles, la la CNPD CNPD se se permet permet de de renvoyer renvoyer àà l’avis l'avis 05/2014 05/2014 du du groupe groupe de de travail « Article Article 29 29 » sur sur les fins utiles, techniques d’anonymisation, techniques d'anonymisation, disponible disponible sous sous : https://cnpd.public.lu/content/dam/cnpd/fr/publications/qroupehttDS://cnDd. Dublic. lu/content/dam/cnDd/fr/Dublications/arouDeart29/wp216 en. pdf art29/wp216 15Pour Pour une une analyse analyse plus plus approfondie, ilil est est renvoyé renvoyé àà la la délibération délibération n "17/AV1 "17/AV10/2023 du 3 mars mars 2023 2023 de de la 0/2023 du Commissionnationale nationalepour pour la la protection protection des des données, données,doc. doc. pari. pari. n° n° 7996/07. 7996/07. Commission 15 CNPD CNPD rouMU’ox 0U3OM ta Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatif au au projet projet de de loi loi n° n° 8079 8079 ayant ayant pour pour objet objet l’organisation l'organisation de de l'enseignement renseignement supérieur supérieur et et portant portant modification : 1° 1° du du Code Code du travail ; 2° de la la loi loi modifiée modifiée du du 28 octobre octobre 2016 relative à à la la reconnaissance modification des qualifications qualificationsprofessionnelles professionnelles ; 3° 3° de dela la loi loi modifiée modifiéedu du 27 27 juin 2018ayant ayantpour pourobjet objetl’organisation l'organisation des juin 2018 de l’Université l'Université du du Luxembourg Luxembourg ; 4° 4° de de la la loi loi du du 31 31 juillet 2020 portant portant organisation d’études d'études spécialisées spécialisées de juillet 2020 l'Université du du Luxembourg en médecine à l’Université 10/14 10/14 C. C. Sur Sur les les catégories de de données données àà caractère personnel personnel 27. La [l]es données La première phrase phrase de de l’article l'article 30.1 30. 1 du du projet de de loi loi dispose que que ««/?/es données mentionnées mentionnées àà l’article l'article 29 29 sont sont collectées collectées par par les les lycées lycées qui qui offrent offrent des des programmes programmes d’études d'études menant menant au au brevet brevet de de technicien technicien supérieur supérieur». ». Or, Or, l’article l'article 29 29 énumère énumèreles les finalités finalitésdes des traitements traitements effectués n vertu effectuéseen vertu du du projet projet de de loi loi et et ne ne mentionne mentionnepas pas les les données donnéesqui qui sont sont collectées collectéesàà ce cetitre. titre. IlIl y a partant partant lieu lieu de de revoir revoir le le libellé libellé de de cette cette phrase. L’article L'article 30.1 30. 1 énumère énumère par parla la suite suite les les données données traitées traitées pour pour les les finalités finalités visées visées aux aux points points 1° 1° àà 33 de de l’article l'article 29, àà savoir savoir la la gestion gestion administrative administrative 16 journalière des programmes programmes BTS BTS16. journalière des . 28. De 28. De prime prime abord, ilil y a lieu lieu de de constater constater que que le le projet projet de de loi loi utilise utilise àà plusieurs plusieurs endroits le terme « matricule terme matricule national national ». ». La La CNPD CNPDsuppose suppose que que les les auteurs auteurs visent visent le le numéro numérod’identification d'identification attribué conformément à la loi du 19 juin 2013 relative à l’identification des personnes attribuéconformémentà la loi du 19juin 2013 relative à l'identificationdes personnes physiques physiques de de sorte sorte qu’il qu'il serait serait préférable préférabled’employer d'employer ce ce terme. terme. Ensuite, Ensuite, la la CNPD CNPDse se permet permet de de rappeler rappeler le principe e minimisation principe dde minimisation des des données données consacré consacré àà l’article l'article 5.1 5. 1..
  18. c)
  19. e)du du RGPD RGPD selon selon lequel lequel les les données données àà caractère caractère personnel personnel doivent doivent être être adéquates, adéquates, pertinentes pertinentes et et limitées limitées àà ce ce qui qui est est nécessaire nécessaireau au regard regard des desfinalités finalitéspour pourlesquelles lesquelles elles elles sont sonttraitées. traitées.Les Lesauteurs auteurs devraient devraientveiller que que l’article ['article 30.1 30. 1 n’énumère n'énumère que que les les catégories catégories de de données données qui qui sont sont nécessaires nécessaires àà la la réalisation réalisation des finalités visées aux points 1° à 3° de l’article 29. des finalitésvisées aux points 1° à 3° de l'article 29. Quant Quant àà l’article l'article 30.2, 30. 2, ilil résulte résulte du du commentaire des des articles que que cette cette disposition a pour objet fins de objet de de déterminer déterminerquelles quelles données, données,parmi parmi celles celles qui qui ont ont été étécollectées collectéesinitialement initialementàà des des fins gestion journalière des gestion administrative administrative journalière des programmes programmes BTS, BTS, peuvent peuvent être être traitées traitées ultérieurement ultérieurement àà des des fins fins statistiques ou ou des des fins fins de de recherche scientifique ou ou historique. historique. Même Même si si la la CNPD CNPD note note favorablement le le renvoi, dans dans le le commentaire des des articles, au au principe principe de de minimisation des des données données pour pour expliquer que que certaines catégories catégories de de données données sont sont exclues, elle elle réitère réitère ses préoccupations que façon de que cette cette façon de procéder procéder risque risque d’être d'être contraire aux aux règles règles établies établies par par le er RGPD et et la la loi loi du du 11er août201 201817. RGPD août 817 . 16 16En En ce ce qui qui concerne concerne la la détermination détermination du du responsable du du traitement, traitement, ilil est est renvoyé renvoyé au au point point 17 17 du du présent présent avis. avis. 17 17 Cf. points points 20 20 et et s. du du présent présent avis. avis. CNPD CNPD roMMisscN NAT ONAlf ots xm us Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif relatifau au projet projet de deloi loi n° n° 8079 8079ayant ayantpour pour objet objetl’organisation l'organisationde de l’enseignement renseignementsupérieur supérieuret et portant modification modification : 1° 1° du du Code Code du du travail travail ; 2° 2° de de la la loi loi modifiée modifiéedu du 28 28 octobre octobre 2016 2016 relative relative àà la la reconnaissance reconnaissance des juin 2018 des qualifications qualificationsprofessionnelles professionnelles ; 3° 3° de de la la loi loi modifiée modifiéedu du 27 27 Juin 2018ayant ayantpour pourobjet objet l’organisation l'organisation de juillet 2020 de l’Université l'Universitédu du Luxembourg Luxembourg; 4° 4° de de la la loi loi du du 31 31 juillet 2020portant portantorganisation organisationd’études d'étudesspécialisées spécialisées en en médecine médecine àà l’Université ['Université du du Luxembourg 11/14 11/14 D. Sur Sur l’accès l'accès aux aux données donnéesdétenues détenuespar par d’autres d'autres administrations D. 8 détenues par données118 détenues à des des données d'accéder à ministre la la possibilité accorde au 31 accorde L'article 31 au ministre 30. possibilité d’accéder 30. L’article 0 d'autresorganismes organismespublics. publics.Le Lepoint point1 ° de decet cetarticle articleénumère énumèreles lesdonnées donnéesauxquelles auxquellesle leministre ministre d’autres peut accéder pour les finalités visées aux points 1° à 4° de l'article 29, à savoir le registre peut accéder pour les finalités visées aux points 1° à 4° de l’article 29, à savoir le registre national des personnes personnesphysiques physiques(ci-après (ci-aprèsle le «« RNPP RNPP») »)ainsi ainsique que les les données donnéesdu du Centre Centrecommun commun de de la la des sécurité sociale (ci-après le « CCSS »). Il résulte de la disposition sous examen que le ministre sécurité sociale (ci-après le CCSS »). Il résulte de la disposition sous examen que le ministre peut accéder accéderau au RNPP, RNPP, et et plus plus précisément précisémentaux aux matricule matricule national, national, nom, nom, prénom prénom et et adresse peut privée du du domicile, domicile, cela cela « en en vue vue de de corriger corriger les les données données collectées collectées par par les les lycées lycées ou ou de de privée minimiser le le nombre nombre de de données données demandées demandées àà l’étudiant l'étudiant ». ». Par Par ailleurs, ailleurs, cet cet article article prévoit prévoit que que le minimiser ministre peut peut accéder accéderaux aux données données du du CCSS, CCSS, « aux aux fins fins de de permettre permettre la la prise prise en en charge charge des des ministre accidents scolaires scolaires par par l’assurance-accidents l'assurance-accidents». ». IlIl est est regrettable regrettable que que les les auteurs auteurs n’expliquent n'expliquent accidents pas davantage davantage en en quoi quoi cet cet accès accès serait serait nécessaire nécessaireet et quelles quelles données donnéesdétenues détenuespar par le le CCSS CCSS pas sont concrètement concrètement visées. Ainsi, Ainsi, la la CNPD CNPD n’est n'est pas pas en en mesure mesure de de se se prononcer si si cet cet accès accès est est sont aux principes du RGPD. RGPD. conforme aux 31. Le point point 2° 2° de de l’article l'article 31 31 précise préciseles les données donnéesauxquelles auxquelles le le ministre ministre peut peut accéder accéderpour 31. Le les finalités finalités visées aux points points 4° 4° et et 5° 5° de de l’article l'article 29, 29, àà savoir savoir les les traitements traitements àà des des fins fins de de les visées aux recherche scientifique scientifique ou ou àà des des fins fins statistiques. Ainsi, le ministre ministre peut peut accéder accéder àà des des données recherche Ainsi, le du « Service Service Aide financière», », notamment notamment au au montant montant de de l’aide l'aide financière financière obtenue obtenue et et aux du Aide financière établissements d’enseignement d'enseignement supérieur supérieur fréquentés fréquentés en en cas cas de de réorientation réorientation dans dans les les études. études. établissements Plus encore, cette disposition accorde au ministre la faculté d'accéder aux données du CCSS, Plus encore, cette disposition accorde au ministre la faculté d’accéder aux données du CCSS, àà des fins fins d’études d'étudessur sur l’intégration l'intégrationdu du marché marchédu du travail. travail. Dans Dansce ce cas, cas, le le croisement croisement se se ferait ferait sur sur des base du du matricule matricule national. national. La Commission nationale estime estime que que les les accès accès prévus prévus par par le le point point 2° 2° de de l’article l'article constituent constituent une une 32. La atteinte non-négligeable non-négligeable au au droit droit àà l’autodétermination l'autodétermination informationnelle informationnelle des des personnes personnes atteinte droit consacré consacré par par l’article l'article 31 de de la la Constitution révisée révisée qui qui entrera en en application le concernées, droit er juillet 2023. Certes, Certes, ce ce droit droit n’est n'est pas pas une une prérogative prérogativeabsolue absolueet et une une ingérence ingérenceou ou limitation 11er juillet 2023. 19 9 : condition à être qu'elle1 : peut justifiée à condition qu’elle peut être justifiée •. soit prévue prévue par par une une loi loi accessible accessible aux aux personnes personnes concernées concernées et et prévisible prévisible quant quant àà ses soit répercussions, c’est-à-dire c'est-à-dire formulée avec une une précision précision suffisante sufïïsante ; ; répercussions, formulée avec 18 18Selon Selon le le libellé libellédu du projet projet de deloi, loi, le le ministre ministrepeut peut accéder accéderaux aux« traitements traitements de de données données». ». Or, Or, ceci ceci est estde del’avis l'avis de de la CNPD pas pas le le terme CNPD terme approprié. 19 19 Pour Pour une une analyse analyse plus plus détaillée détailléede de ces ces conditions, conditions, voir délibérationn°2/2021 n°2/2021 du du 4 février 2021 de de la la Commission Commission voir délibération février 2021 nationale nationale pour pour la la protection protection des des données, données, doc. doc. pari. n° n° 7425/09, point point 1.1. 1. 1 . b). b). CNPD Avis de de la la Commission Commission nationale pour pour la la protection des des données données ivouvio relatifau au projet projet de deloi loi n° n° 8079 8079ayant ayantpour pourobjet objet l’organisation l'organisationde de l'enseignement renseignementsupérieur supérieuret et portant portant relatif modification : 1° 1° du Code du travail ; 2° 2° de la la loi loi modifiée modifiée du 28 octobre octobre 2016 relative à à la la reconnaissance modification des juin 2018 des qualifications qualificationsprofessionnelles professionnelles ; 3° 3° de dela la loi loi modifiée modifiéedu du 27 27juin 2018ayant ayantpour pourobjet objet l’organisation l'organisation de juillet 2020 de l’Université l'Universitédu du Luxembourg Luxembourg; 4° 4° de de la la loi loi du du 31 31 juillet 2020portant portantorganisation organisationd’études d'étudesspécialisées spécialisées en médecine médecineàà l’Université l'Universitédu du Luxembourg en 12/14 12/14 •. soit soit nécessaire nécessaire dans dans une une société société démocratique, démocratique, sous sous réserve réserve du du principe ddee proportionnalité ; ; proportionnalité •. •. respecte respecte le le contenu contenu essentiel essentiel du du droit droit àà la la protection protection des des données données ;; réponde réponde effectivement effectivement àà des des objectifs objectifs d’intérêt d'intérêtgénéral généralou ou au au besoin besoin de de protection protection des des droits et libertés d'autrui. droits et libertés d’autrui. 33. E n l’espèce, 33. En l'espèce, la la Commission nationale s’interroge s'interroge quant quant àà la la prévisibilité prévisibilité et et àà la proportionnalité proportionnalité du du dispositif dispositif prévu prévu par par le le projet projet de de loi. loi. Ainsi, le le projet projet de de loi loi ne ne précise précise pas à quelles quellesdonnées donnéesdu duCCSS CCSSle leministre ministrepeut peutaccéder accéderàà des desfins finsd’études d'étudessur surl’intégration l'intégrationdu dumarché. Or, Or, le le CCSS CCSStraite traite un un nombre nombre important important de de données donnéesdont dont certains certains sont sont àà considérer considérercomme comme des données u sens données sensibles sensibles aau sens de de l’article l'article 99 du du RGPD, RGPD, comme comme par par exemple exemple des des données données sur sur la 20 composition . La composition du du ménage, ménage, l’historique l'historique marital marital ou ou encore encore des des données données relatives relatives àà la la santé santé20. disposition dispositionsous sous examen examen risque risque d’être d'êtrecontraire contraireaux auxdispositions dispositions(supra)nationales (supra)nationalesconsacrant consacrantle droit au respect de la vie privée et à la protection des données personnelles, droit au respect de la vie privée et à la des données personnelles, 34. De 34. Demanière manièregénérale, générale,en en ce ce qui qui concerne concerne les les points points 2° 2° et et 3° 3° de de l’article l'article 31 31,, ilil est est renvoyé aux Aux yeux aux points points 20 20 et et suivants du du présent présent avis. Aux yeux de de la la CNPD, CNPD, l’approche rapproche retenue retenue par par les er auteurs du u 11er août du projet projet de de loi loi risque risque d’être d'être contraire aux aux règles règles posées posées par par le le RGPD RGPD et et la la loi loi ddu 2018. E. Sur Sur la la sécurité sécuritédes des données E. 35. L’article 35. L'article 32 32 du du RGPD RGPD prévoit prévoit que que le le responsable responsable du du traitement doit doit mettre mettre en en œuvre ouvre les mesures appropriées afin afin de de garantir garantir un un niveau de de sécurité sécurité adapté adapté au au risque. risque. 36. IlIl y a lieu 36. lieu de de féliciter féliciter les les auteurs du du projet de de loi loi d’avoir d'avoir prévu prévu àà l’article l'article 32 32 du du projet projet de de loi la la mise miseen en place placed’un d'un système systèmed’information d'informationcomprenant comprenantdes desmesures mesuresde desécurité sécuritéquant quantàà l’accès l'accès aux aux données données àà caractère caractère personnel. Par Par ailleurs, l’article l'article 33.1 33. 1 a trait trait au au stockage des des données données en disposant disposantque que « [l]e [l]e ministre ministre prend prendtoutes toutes les les mesures mesurespour pourassurer assurerla la confidentialité confidentialitéet et la la sécurité sécurité des des données. données. Les Lessupports supports informatiques ou ou autres autres contenant contenant des des données données àà caractère caractère personnel personnel sont conservés conservés dans dans un lieu sûr sûr dont dont l’accès /'accès est est sécurisé. »» sont 20 20Pour Pour un un aperçu aperçu des des données données traitées traitées par par le le CCSS, CCSS, ilil est est renvoyé renvoyé au au document document intitulé intitulé « Catégories Catégories de de données traitées traitées par par le le CCSS CCSS vis-à-vis vis-à-vis des des assurés assurés » disponible disponible sous sous : https://ccss.public.lu/fr/support/protectionhttDS://ccss. Dublic. lu/fr/suDDOrt/Drotectiondo_nnees, hlml donnees.html CNPD CNPD COMMISSION Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatifau au projet projet de de loi loi n° n° 8079 8079ayant ayantpour pourobjet objet l’organisation l'organisationde de l’enseignement renseignementsupérieur supérieuret et portant modification modification : 1° 1° du du Code Code du du travail travail ; 2° 2° de de la la loi loi modifiée modifiéedu du 28 28 octobre octobre 2016 2016 relative relative àà la la reconnaissance reonnaissance des juin 2018 desqualifications qualificationsprofessionnelles professionnelles ; 3° 3° de dela la loi loi modifiée modifiéedu du 27 27juin 2018ayant ayantpour pourobjet objetl’organisation l'organisation de juillet 2020 de l’Université l'Universitédu du Luxembourg Luxembourg; 4° 4° de de la la loi loi du du 31 31 juillet 2020portant portantorganisation organisationd’études d'étudesspécialisées spécialisées en en médecine médecine à l’Université l'Université du du Luxembourg Luxembourg 13/14 13/14 F. Sur Sur la la durée durée de de conservation conservation des des données F. 37. L'article 33.2 33. 2 du du projet projet de de loi loi prévoit prévoit que que les les données données collectées collectées en en vue vue de de la la réalisation réalisation 37. L’article des traitements traitements poursuivant poursuivant les les finalités finalitésénoncées énoncéesau au point point 1° 1° àà 3° 3° de de l’article l'article 29 29 peuvent peuvent être être des conservées « au maximum 5 ans au-delà de la dernière année d'inscription de l'étudiant ou de conservées au maximum 5 ans au-delà de la dernière année d’inscription de l’étudiant ou de î'obtention du du brevet brevet de de technicien technicien technique technique ». ». l’obtention 38. ressort du du commentaire commentaire de de l’article l'article que que ce ce délai délai «« permettra permettra de de pouvoir pouvoir émettre émettre une une 38. IlIl ressort cop/e des des relevés relevés des des notes notes ou ou des des certificats certificats d’inscription d'inscription aux aux étudiants étudiants qui qui le le souhaitent. souhaitent. Ce Ce copie terme coïncide coïncide également égalementavec avec le le terme terme quinquennal quinquennal prévu prévuàà l’article l'article 13, 13, paragraphe paragraphe2, 2, pour pourla la terme validité des modules modules passés passés avec avec succès. succès. De De cette cette validité validité découle découle la la nécessité nécessitéde de pouvoir pouvoir validité des accéder à ces données à des fins de gestion et de contrôle ». Au vu de ces explications, la durée accéder à ces données à des fins de et de contrôle ». Au de ces la durée de conservation conservation semble semble être être proportionnée. proportionnée. de 39. La Commission Commission nationale note note encore favorablement que la la disposition sous sous examen examen 39. La favorablement que une durée durée de de conservation plus plus courte courte pour pour les les données données concernant les les aménagements aménagements instaure une raisonnables, celles-ci celles-ci n’étant n'étant pas pas conservées conservées au-delà au-delà de de la la dernière dernière année année d’inscription d'inscription de raisonnables, l'étudiant. l’étudiant. 40. L'article33.3 33. 3 du du projet projet de deloi loi a trait la durée duréede deconservation conservationdes des« données donnéesconcernées concernées 40. L’article trait àà la parles traitements visés visésàà l’article l'article 29, 29, points points 4° 4° et et 5° 5° », », c’estc'est- à-dire à-diredes des données donnéestraitées traitéesàà des des par les traitements fins statistiques statistiques ou ou àà des des fins fins de de recherche recherche scientifique scientifique ou ou historique. La La CNPD CNPD comprend qu’à qu'à fins l'issue d’une d'une durée durée de de 55 ans ans après après la la collecte, collecte, ces ces données données seront seront conservées conservées sous sous forme l’issue pseudonymisée pour pour une une période période de de 15 15 ans. ans. La La Commission nationale nationale renvoie renvoie au au point point 25 25 du présent avis et réitère ses réserves quant à rapproche adoptée par les auteurs du projet de présent avis et réitère ses réserves quant à l’approche adoptée par les auteurs du projet de loi. Ainsi adopté adopté àà Belvaux Belvaux en en date date du du 16 16 juin Ainsi juin 2023. La Commission nationale pour la protection des données ^ît ^ ^£LW)^ Tine A. Larsen Larsen Tine Présidente Présidente CNPD rOMMBroo NA' ONAlt PÏOUVION MS 30M HS Thierry Thierry Lallemang Lallemang Commissaire Commissaire lare Lemmer Lemmer Marc Commissaire Commissaire Alain Herrmann Herrmann Alain Commissaire Commissaire Avis de la la Commission Commission nationale nationale pour pour la la protection protection des des données Avis de relatifau au projet projet de de loi loi n° n° 8079 8079ayant ayantpour pourobjet objetl’organisation l'organisationde del’enseignement renseignementsupérieur supérieuret et portant portant relatif modification : 1° 1° du Code Code du travail ; 2° de la la loi loi modifiée modifiée du 28 28 octobre octobre 2016 relative relative à à la la reconnaissance modification desqualifications qualificationsprofessionnelles professionnelles ; 3° 3° de de la la loi loi modifiée modifiéedu du27 27 Juin 2018ayant ayantpour pourobjet objetl’organisation l'organisation des juin 2018 de l’Université l'Université du du Luxembourg Luxembourg ; 4° 4° de de la la loi loi du du 31 31 juillet 2020 portant portant organisation organisation d’études d'études spécialisées spécialisées de juillet 2020 médecine à à l’Université l'Université du Luxembourg en médecine 14/14 14/14

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.