Projet de loi n° 8082 sur l'impôtfoncier, l'impôtà la mobilisation de terrains et l'impôt sur la non-occupation de logements. CNPD Avis de la Commissi

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements Délibération n°36/AV22/2023 du 19 mai 2023 Conformément à l'article 57. 1.

1. e)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement». L'article 36.4 du RGPDdispose que « [l]es Étatsmembres consultent l'autoritéde contrôle dans /e cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » 2. Par courrier en date du 21 octobre 2022, Monsieur le Ministre du Logement a invité la Commission nationale à se prononcer sur le projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements (ci-après le « projet de loi »). 3. Il ressort de l'exposé des motifs que la création d'un registre national des bâtiments et des logements (ci-après le « registre national ») a étéenvisagée dans un premier temps dans le cadre de l introduction d'un impôtspécifique visant les logements non-occupés1. Ainsi, la perception de l'impôtsur la non-occupation de logements nécessite la créationd'un registre national qui attribue un numéro d'identification national, invariable, unique et propre à chaque bâtiment et à chaque logement (ci-après l' « identificateur »). Les auteurs du projet de loi expliquent par la suite que la création d'un registre national « constitue une plus-value effective dans de nombreux domaines que ce soit à des fins statistiques, de recherche, de planification ou fiscales. Le registre servira Projet de loi n° 8082 sur l'impôtfoncier, l'impôtà la mobilisation de terrains et l'impôt sur la non-occupation de logements. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 8086 relative aux registres national et communauxdes bâtimentset des logements. 1/16 a/ns/ à accomplir et à faciliter un grand nombre de tâches légales et administratives tant au niveau communal que national. Il aura encore une grande utilité au-delà de la seule identification des logements inoccupés. » 4. La Commission nationale comprend qu'il sera possible de relier les données relatives aux bâtiments et aux logements contenues dans les registres national et communaux à une personne physique identifiée ou identifiable, notamment par le biais de l'identificateur qui sera inscrit dans le registre national des personnes physiques (ci-après le « RNPP »)2. Les informations figurant dans les registres national et communaux sont dès lors à considérer comme des données à caractère personnel3 dont le traitement est soumis au RGPD. Le présent avis limitera ses observations aux aspects du projet de loi ayant trait à la protection des données à caractère personnel. l. 5. Remarques liminaires Il ressort de l'exposé des motifs qu'il existe, à l'heure actuelle déjà, une multiplicité de registres détenus par des organismes publics qui renseignent des informations en relation avec les bâtiments et les logements4. Les auteurs du projet de loi expliquent que «ces registres ne disposent pas d'un numéro d'identification national unique par bâtiment et par logement permettant une identification précise de ces unités de logements et, le cas échéant, une interconnexion entre ces différents registres. L'objectif principal du registre est dès lors d'attribuer un numéro d'identification à chaque bâtimentet à chaque unité de logement séparéeà l'intéheur d'un bâtiment ». 6. Mêmesi les auteurs évoquentla possibilitéde procéderà une interconnexionde fichiersen ayant recours à l'identificateur nouvellement créé, la loi en projet ne contient pas de dispositions légales en ce sens. Le texte sous avis prévoit uniquement, en son article 20, la modification de la loi modifiéedu 19 juin 2013 relative à l'identification des personnes physiques afin de faire figurer l'identificateur parmi les données contenues dans le RNPP. C'est le projet de loi n° 8082 sur l'impôtfoncier, l'impôtà la mobilisationde terrains et l'impôtsur la non-occupationde logements qui prévoitl'interconnexion notammentdu registre national avecle RNPPdansle butdeconstater l'étatde non-occupationd'un logementen vue de son imposition. La CNPDdéploreà ce sujet de ne pas avoir été saisie pour avis lors du dépôt du projet de loi n° 8082. Elle envisage d'émettre un avis de sa propre initiative dans lequel elle examinera plus en détail les implications d'une telle interconnexion en matière de protection des données. Elle donne néanmoins d'ores et déjà à 2 Article 20 du projet de loi. 3 Au sens de l'article 4. 1 )du RGPD 4 Lenombredeos registresa vocationà augmenterencoreavec la créationprévuedu registrenationaldes logements abordables (projet de loi n° 7937), du registre des logements non-occupés (projet de loi n" 8082) ainsi que des registres national et communauxfaisant l'objet du projet de loi sous avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n" 8086 relative aux registres national et communaux des bâtiments et des logements. considérerque la mise en relation, voire l'interconnexion, de différentsfichiers est susceptible de fournir une vue très détaillée sur les aspects relevant de la vie privée des individus. 7. Ainsi, le projet de loi sous avis ne semble fournir qu'un aperçu partiel de l'utilisation qui est envisagée d'être faite de l'identificateur. Il se pose notamment la question de savoir s'il est prévu de l'intégrer, par des projets de loi successifs, dans d'autres fichiers en vue de leur interconnexion. Pourque la Commission nationale puisse évaluerpleinement les implications que la création de l'identificateur est susceptible d'avoir en matière de protection des données, il aurait été utile que le projet de loi sous avis énumère clairement et précisément tous les fichiers qui seront concernés dans un avenir prévisible par cette mise en relation, voire interconnexion, ainsi que les finalités poursuivies. 8. En ce qui concerne les registres national et communaux créés par le projet de loi sous avis, la Commission nationale estime que le texte manque de précision quant à des élémentsessentiels, comme par exemple les données ayant vocation à figurer dans les registres, les finalités poursuivies ou encore les éventuels destinataires, et se contente à de nombreuses reprises de renvoyer à des règlements grand-ducaux dont les projets ne lui ont pas étésoumis. Il se pose dès lors la question de la conformité de la loi en projet avec les dispositions (supra)nationales consacrant le droit au respect de la vie privée et à la protection des données personnelles. 9. L'article 8 de la Convention européenne des droits à l'homme garantit le droit au respect de la vie privéeet familiale. Parailleurs, les articles 7 et 8 de la Charte des droits fondamentauxde l'Union européenne (ci-après la « Charte ») accordent à toute personne le droit au respect de sa vie privée et familiale ainsi que le droit à la protection des données personnelles la concernant. Ces droitsfondamentaux nesont pasdes prérogatives absolues puisque la possibilitéd'une ingérence ou d'une limitation est prévue tant par l'article 8. 2 de la Convention européenne des droits de l'homme que par l'article 52. 1 de la Charte. Cette ingérence ou limitation peut être justifiée à condition qu'elle5 : . . soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions,c'est-à-direformuléeavec une précisionsuffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; . . respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. 5 Pour une analyse plus détailléede ces onditions, voir délibérationn°2/2021 du 4 février2021 de la Commission nationalepour la protectiondes données,doc. pari. n° 7425/09, point 1. 1.b). CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements. 3/16 10. En outre, l'article 6.3 du RGPD prévoit une contrainte particulière liée à la licéitéd'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Il résulte de cette disposition que : « Le fondement du traitement visé au paragraphe 1, points
2. e)et e), est défini par:
3. a)le droit de l'Union; ou
4. b)le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessairesà l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des régtes du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; tes personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières detraitement comme le prévoit lechapitre IX. Ledroit del'Union ou le droit des États membres répondà un objectifd'intérêtpublic et est proportionnéà l'objectiflégitimepoursuivi. » Le considérant41 du RGPD énonceque cette mesure législativedevraitêtre claire et préciseet son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour dejustice de t'Union européenne et de la Cour européenne des droits de l'homme6. De plus, le considérant 45 du RGPD précise qu'il devrait « [... ] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la duréede conservation et d'autres mesures visant à garantir un traitement licite et loyal. [.. J ». 6 V. en ce sens M. Besch, Normes et légistiqueen droit public luxembourgeois, Promoculture Larcier, 2019, n°619. V. entre autres CourEDH, arrêt du 4 déombre 2015, Zakharov v. Russie, §§ 228 à 229 ; CourEDH, arrêt du 24 avril 2018, Benedik v. Slovenia, §§ 122 à 125 ; CJUE, arrêtdu 22 juin 2021, Latvijas Republikas Saeima(Points de pénalité), C-439/19, EU:C:2021:504, point 105 et jurisprudence citée. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements. 4/16 11. Dans son arrêt du 22 novembre 2022, la Cour de justice de l'Union européenne a rappelé les principes susmentionnés en jugeant que « la mise à disposition de données à caractère personnel à des tiers constitue une ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, quelle que soit l'utilisation ultérieure des informations communiquées. Àcet égard, il importe peu que les informations relatives à la vie privéeconcernées présentent ou non un caractère sensible ou que les intéressésaient ou non subi d'éventuels inconvénients en raison de cette ingérence »7. Elle a également souligné l'importance du caractère nécessaire et proportionnéed'une ingérencedans les droits garantis aux articles 7 et 8 de la Charte8. 12. En droit interne, l'article 11. 3 de la Constitution dispose que « [l ]'Étatgarantit la protection de la vie privée, sauf les exceptions fixées par la loi ». Le Conseil d'Étatrappelle régulièrement que l accèsà des fichiers et ta communication de données à des tiers constituent une ingérencedans la vie privée et partant, en vertu de l'article 11.3 de la Constitution, une matière réservéeà la loi formelle9. Il en résulteque l'essentiel du cadrage normatifdoitfigurerdans la loi et que la loi doit indiquer en particulier les bases de données auxquelles une autorité publique peut avoir accès ou dont une autorité publique peut se faire communiquer des données, tout comme les finalités de cet accès ou de cette communication. En prévision de rentrée en vigueur de la révision constitutionnelle le 1erjuillet 2023, il est intéressant de noter que l'article 31 de la Constitution révisée dispose que « [tjoute personne a droit à l'autodétermination informationnelle et à la protection des données à caractère personnel la concernant. Ces données ne peuvent être traitées qu'à des fins et dans les conditions déterminées par la loi. » Aux termes de l'article 45.2 de la Constitution révisée, « [d]ans les matières réservées à la loi par la Constitution, le Grand- Duc ne peut prendre des règlements et arrêtés qu'en vertu d'une disposition légale particulière qui fixe l'objectif des mesures d'exécution et le cas échéant les conditions auxquelles elles sont soumises ». La Cour constitutionnelle a par ailleurs eu l'occasion de préciser que « [s]i, dans une matière rése/vée à /a /o/', l'encadrement législatif d'une attribution du pouvoir réglementaire au Grand-Duc peut, au-delà de la stricte disposition prévoyant la délégation de pouvoir, se dégager de /'ensemble des règles législatives pertinentes, il n'en reste pas moins que la fixation des objectifs des mesures d'exécution doit être clairement énoncée, de même que les conditions auxquelles e/tes sont, le cas échéant, soumises. L'orientation et l'encadrement du pouvoir exécutif doivent, en tout état de cause, être consistants, précis et lisibles, l'essentiel des dispositions afférentes étant appelé à figurer dans la loi »10. 7CJUE,arrêtdu22 novembre2022,WMet SovimSAcontreLuxembourgBusinessRegisters,affairesjointesC- 37/20 et C-601/20, point 39 et jurisprudence y citée. 8 Ibid., points 63 à 65 etjurisprudence citée. 9 ^notammentavis60.250du22 mars2022,doc.pari. n° 7578/01,p. 5 ; avis53.322du 12juillet2019,doc. pari. n° 7425/04, p. 9 ; avis 51.586 du 7 juin 2016, doc. pari. n° 6975/05, p. 4. 10V. arrêtn°166/21 de la Couronstitutionnelledu4 juin 2021. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 8086 relative aux registres nationalet communauxdes bâtiments et des logements. 5/16 II. Chapitre 1er - Généralités 13. L'article 1er énonce l'objectif du projet de loi, à savoir «/a m/'se en place d'un système d'information de référencedédiéaux bâtiments et aux logements à des fins : 1 "statistiques; 2° afe recherche scientifique; 3° de planification ; 4° administratives ; 5° d'accomplissement d'autres tâches prévues par la loi. » En ce qui concerne les points 1° et 2°, il est à noterque l'article 89 du RGPDainsi que les articles 63 à 65 de la toi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données s'appliquent aux traitements de données personnelles à des fins de recherche scientifique ou historique ou à des fins statistiques11. Les points 3° à 5°, quantà eux, sont rédigésde manièretrèsvague, en termes de finalités, et ne permettent pas de savoir quelle utilisation concrète sera faite des données contenues dans les registres national et communaux. 14. Selon l'article 2 du projet de loi, l'objectif énoncéà l'article 1er est poursuivi par rétablissement des registre national et communauxainsi que par la créationde services informatiques pources registres. III. Chapitre 2 - Registre national 15. D'après le commentaire des articles, « [c]haque commune tient un registre communal de tous les bâtiments et des logements sis sur son territoire. Les données des registres communaux sont centraliséesdans le registre national ». Lechapitre2 du projet de loi a trait au registre national et contient notamment des dispositions relatives aux finalités et aux données ayant vocation à figurer dans le registre national. 1. Article 4 16. La notion de « finalité », c'est-à-dire l'objectif poursuivi par le traitement, occupe une place primordiale au sein du RGPD. Aux termes de l'article 5. 1.
5. b)du RGPD, les donnéesà caractère personne! doiventêtrecollectéespourdesfinalitésdéterminées,expliciteset légitimes,et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. De plus, d'autres principes prévus par le RGPD, tels que les principes de minimisation des données12 ou de 11 Pour une analyse plus approfondie, il est renvoyé à la délibération n "17/AV10/2023 du 3 mars 2023 de la Commission nationale pour la protection des données, doc. pari. n° 7996/07. 12 Article 5. 1.
6. e)du RGPD. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 8086relative aux registres nationalet communauxdes bâtimentset des logements. limitation de conservation13 s'apprécient au regard des finalités pour lesquelles les données sont traitées. Par conséquent, il est important que les finalités du registre national soient clairement définies dans le projet de loi. 17. Aux termes de l'article 4 de la loi en projet, tes finalités du registre national sont les suivantes : « 1° l'identification unique alphanumérique des bâtiments et des logements, ainsi que l'enregistrementet la tenue à jour des donnéesy relatives ; 2° la mise à disposition de données relatives aux bâtiments et aux logements; 3° la préservation de l'historique de ces donnéesconformémentà /'article 1er; 4° la centralisation au niveau national des registres communaux des bâtiments et des logements. » C'est plus particulièrement le point 2° qui soulève des interrogations de la part de la CNPD. Même si le projet de loi parle de « données relatives aux bâtiments et aux logements », il y a lieu de rappeler qu'il s'agit de données à caractère personnel dans la mesure où elles peuvent être reliées à une personne physique identifiée ou identifiable1 4. Ainsi, il est à regretter que le texte du projet de loi reste muet tant sur les destinataires de la mise à disposition que sur les critères encadrant la mise à disposition. Ce n'est que dans le commentaire des articles que les auteurs du projet de loi fournissent quelques explications en indiquant que les données figurant dans le registre national « sont mises à dispositions des administrations dans la mesure où elles contribuent à l'exécution de l'accomplissement de leurs missions légales, notamment en application des principes de la directive (UE) 2019/1024 du Parlement européen et du Conseil du 20 juin 2019 concernant les données ouvertes et la réutilisation des informations du secteur public. » 18. Tel qu'expliqué aux points 11 et 12 du présent avis, l'accès à des fichiers et la communication de données personnelles à des tiers constituent une ingérence dans la vie privée. Il s'agit partant, en vertu de l'article 11. 3 de la Constitution, d'une matière réservée à la loi de sorte que le texte même de la loi en projet devrait définir, du moins quant aux éléments essentiels, les organismes susceptibles de recevoir communication des données personnelles figurant dans le registre national ainsi que les finalités pour lesquelles les données peuvent être communiquées. 19. Par ailleurs, la Commission nationale a du mal à saisir la raison pour laquelle il est fait référence, dans le commentaire des articles, à la directive (UE) 2019/1024 qui a été transposée en droit national par loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. Ladite directive met l'accent sur les aspects économiques de la réutilisation des données détenues par le secteur public en ce qu'elle vise à stimuler l'innovation dans les produits et les services. A toutes fins utiles, il est renvoyé, pour un examen plus approfondi de la 13Article 5. 1.
7. e)du RGPD. 14 Cf. point 4 du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements. 7/16 loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public, aux avis que la CNPD a émis dans le cadre du processus législatif15. 2. Articles 20. L'article 5 du projet de loi est censé énumérer et délimiter les catégories de données qui figureront dans le registre national. Pourtant, cette disposition se contente essentiellement de renvoyer aux « informations de référence» mentionnées à l'article 14 du projet de loi qui, quant à lui, renvoie à un règlement grand-ducal qui « précise le détail relatif aux informations de référence [.. J ». Non seulement cette façon de procéder risque d'être contraire à l'article 32. 3, lu ensemble avec l'article 11. 3 de la Constitution16, il est encore à regretter que le projet dudit règlement grandducal n'ait pas été transmis à la CNPD. Il est dès lors difficile de savoir quelles données sont concrètement visées par les termes « statut » et « caractéristiques techniques » mentionnés à l'article 14 du projet de loi et, par conséquent, d'apprécier si le principe de minimisation consacré à l'article 5. 1.
8. e)du RGPD est respecté. 21. De plus, la Commission nationale se demande pourquoi le point 3° de l'article 5 renvoie aux « données des registres communaux des bâtiments et des logements au sens de l'article 12 ». Leditarticle 12 mentionne l'identificateurainsi que les informationsde référence.Or, ces données sont déjàvisées par les points 1 ° et 2° de l'article 5. 3. Articles 6 et 7 22. Aux termes de l'article 6 du projet de loi, lu ensemble avec l'article 3. 6°, l'Administration du cadastre et de la topographie (ci-après l' « ACT ») est « chargé[e] de toutes les opérations relatives à la gestion et à la tenue du registre national ». Cette disposition peut être interprétée en ce sens que l'ACT est à considérer comme responsable du traitement au sens de l'article 4.7 du RGPD. Or, d'après la compréhension de la CNPD, l'article 7 entend faire peser une certaine responsabilité sur les communes, ce qui pourrait donner à croire que l'ACT et les communes sont à considérercomme des responsables conjoints des traitements effectués par le biais du registre national, auquel cas l'article 26 du RGPD trouvera application. 23. A cet égard, il est à regretter que l'article 7 est intitulé « Responsabilité des données » alors que ce concept est étranger au RGPD qui ne connaît que la notion de responsable du traitement. Il y a lieu de rappeler que la notion de responsable du traitement joue un rôle important dans l'application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées 15 Délibération n° 1/2021 du 20 janvier 2021 de la Commission nationale pour la protection des données, doc. pari. n° 7643/2 ; Délibérationn° 28/AV23/2021 du 6 août2021 de la Commission nationale pour la protection des données, doc. pari. n" 7643/8. 16Voir tes développements sous le point 12 du présentavis. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n" 8086 relative aux registres national et communaux des bâtiments et des logements. 8/16 peuvent exercer leurs droits17. La Commission nationale estime nécessaire que les auteurs clarifient les rôles des différents intervenants, tout en veillant à utiliser les notions et concepts existant en droit de la protection des données. 4. Article 8 24. Selon l'article 8 du projet de loi, « [u]n règlement grand-ducal précise les modalités d'application de la présente loi en ce qui concerne : 1° la structure des identificateurs ; 2° l'agencement du registre national ; 3° /es informations de référence et les variables y relatives pouvant être répertoriées ; 4 les modalités de transmission des données des registres communaux vers le registre national; 5° tes modalités de validation, d'accès, de transmission, de tenue à jour et de publication des données du registre national. » 25. À l'instar de la Chambre de commerce1 8, la CNPD regrette que le projet de règlement grand- ducal ne lui ait pas étésoumis ensemble avec le projet de loi alors qu'il est susceptible de contenir des renseignements importants concernant le contenu et le fonctionnement des registres. Par ailleurs, elle sedemande si le faitde déléguerau pouvoir exécutifle soin de déterminer des points pouvant le cas échéantêtre considérés comme essentiels ne serait pas contraire à l'article 32. 3, considéré ensemble IV. avec t'article 11. 3 de la Constitution1 9. Chapitre 3 - Registre communal 26. Le chapitre 3 est relatif au registre communal dans lequel figureront les données relatives aux bâtiments et logements sis sur le territoire de la commune et qui alimente le fichier national. 1. Article 9 27. Selon l'article 9, dernier alinéa du projet de loi, « [d]ans les limites du territoire de la commune, tes finalités sont les mêmes que celles prévues à l'article 4, points 1er à 3 ». La Commission nationale réitère partant ses observations faites sous les points 16 à 19 du présent avis. 17 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 oncernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : httDS://edDb.euroDa.eu/our-work-tools/our-documents/auidelines/auidelines-072020-onceDts-ontroller-andprocessor-adpr fr 18Doc. pari. n° 8086/04, p. 4. 19 Cf. point 12 du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements. 9/16 2. Article 10 28. D'après la compréhension de la CNPD, l'article 10 est le pendant, au niveau communal, de l'article 6 du projet de loi. Il se pose dès lors la question de savoir pourquoi les articles 6 et 10 n'utilisent pas une formulation identique. En effet, l'article 6 dispose que l'ACT est chargée« de toutes tes opérations relatives à la gestion et à la tenue du registre national » tandis qu'il résulte de l'article 10 que le bourgmestre est chargé« de la tenue du registre communal ». Est-ce qu'il en résulte des différences quant aux missions de ces organismes ? 29. Il peut être déduit de l'article 10 que le bourgmestre, en tant que représentant de la commune, est à considérer comme responsable du traitement au sens de l'article 4. 7) du RGPD. Il serait toutefois préférable que le projet de loi se prononce clairement sur la question de savoir quel organisme est à considérer comme responsable du traitement20. L'article 10 du projet de loi prévoit encore la possibilité, pour le bourgmestre, de déléguer, sous sa surveillance et sa responsabilité, la tenue du registre communal à un ou plusieurs agents délégués. La CNPD s'interroge sur le sens à donner à cette disposition. En matière de protection des données, c'est généralement l'organisme en tant que tel, et non une personne au sein de celle-ci, qui agit en tant que responsable du traitement au sens du RGPD. Àsupposer que l'intention des auteurs du projet de loi soit de désigner le bourgmestre comme responsable du traitement, la CNPD comprend que cette disposition ne vise pas le bourgmestre personnellement mais l'autorité administrative qu'il représente. Même si, dans les faits, une personne physique particulière est désignéepourveillerau respectdes règlesen matièrede protection desdonnées,cette personne ne sera pas le responsable du traitement mais agira pour le compte de l'organisation21. Il en résulte que cette disposition peut être omise d'un point de vue protection des données. 3. Article 11 30. Aux termes de l'article 11 du projet de loi, « [s]ont inscrits sur le registre communal : 1 ° tes bâtiments et les logements existants; 2° tes bâtiments et les logements dont les projets sont soumis à autorisation de construire au sens de l'article 37 de la loi modifiéedu 19juillet 2004concernantl'aménagementcommunal et te développement urbain ». En ce qui concerne le point 2°, il y a lieu de s'interroger sur l'utilité d'inscrire des projets, et par conséquentd'attribuer un identificateur à des bâtiments et logements en projet, qui n'aboutiront le cas échéantpas parce qu'ils sont abandonnés pour une raison ou une autre. Par ailleurs, il 20 Cf. points 22 et 23 du présent avis. 21 Comitéeuropéende la protection des données(EDPB), Lignesdirectrices 07/2020oncernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3 et 11, disponibles sous : httDS://edDb.euroDa.eu/our-work-tools/our-documents/auidelines/fluidelines-072020-conceDts-ontroller-andprocessor-fldpr_fr. CNPDl Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 8086 relative aux registres national et communauxdes bâtimentset des logements. 10/16 existe une contradiction entre le paragraphe 2 de l'article 1 1 qui dispose que « [l'jinscription doit être effectuée dans les huit jours de l'octroi de l'autorisation de construire » et le commentaire des articles selon lequel « le point de départ de l'inschption est la demande d'autorisation formulée par l'administré». 4. Article 12 31. L article 12 énumère les données ayant vocation à figurer dans le registre communal, à savoir l'identificateur et les informations de référence. La Commission nationale renvoie à ses observations faites au point 20 du présent avis. V. Chapitre 4 - Identification des bâtiments et des logements 32. Le chapitre 4 du projet de loi contient des précisionsquant à l'identificateur, aux informations de référenceet aux sources des données. 1. Article 13 33. Aux termes de l'article 13 du projet de loi, l'identiflcateur est attribué par l'organisme en charge du registre national, à savoir l'ACT. Or, cette disposition paraît être en contradiction avec les explications fournies par les auteurs dans le commentaire des articles selon lesquelles le registre national ne fait que centraliser les données figurant dans les registres communaux et que seules les communes peuvent enregistrer des données, dont notamment l'identificateur, dans les registres communaux22. Au regard de ces incohérences éventuelles, la CNPD regrette d'autant plus que le projet du règlement grand-ducal mentionné à l'article 8 et qui est susceptible de fournir des renseignements importants quant au fonctionnement des registres national et communaux ne lui ait pas étésoumis ensemble avec le projet de loi. 2. Article 14 34. Cette disposition est censée définir les informations inscrites dans les registres national et communaux. Or, les termes utilisés, tels que « statut » et « caractéristiques techniques », sont vagues et ne permettent pas de savoir quelles données sont concrètement visées. Le dernier alinéaindiquequ'un règlementgrand-ducal précisele détail relatifaux informations de référence sans que le projet dudit règlement grand-ducal n'ait toutefois été transmis à la CNPD. 35. Par ailleurs, le fait de déléguer au pouvoir exécutif le soin de déterminer les données figurant dans les registres national et communaux soulève la question de la constitutionnalité du dispositif. Il est renvoyéaux développements sous le point 12 du présentavis. 22 Doc. pari. n° 8086/00, page 9, ad article 2. CNPDl Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 8086 relative aux registres nationalet communauxdes bâtimentset des logements. 11/16 3. Article 15 36. Le paragraphe 1er énumère les sources pouvant être utilisées par les communes pour la tenue à jour des registres communaux tandis que le paragraphe 2 énumère les sources pouvant être utilisées pour l'initialisation de ces registres. Aux yeux de la CNPD, il serait plus logique de traiter d'abord l'initialisation des registres communaux et ensuite leur tenue à jour. a. Paragraphe 2 37. Aux termes du paragraphe 2, les communes peuvent recourir pour l'initialisation des registres communaux aux sources suivantes : « 1° les données de f Administration du cadastre et de la topographie pour la géolocalisation et tes dimensions, pour autant que disponibles ; 2° tes dossiers d'autorisation de construire des communes ou toute autre source d'information utile existant auprès des communes ; 3° tes constats effectués lors de contrôles surplace ; 4° les donnéesà fournir par les propriétaires sur demande des communes. » 38. En ce qui concerne le point 1°, les auteurs expliquent dans le commentaire des articles que les communes « peuvent déjà avoir accès aux données de l'[ACT] » sans toutefois préciser sur quelle base légale est fondé cet accès. La CNPD se trouve dès lors dans l'impossibilité de se prononcer sur la conformitéde cet accèsavec les dispositionsdu RGPD, et plus particulièrement le principe de limitation des finalitésconsacré à l'article 5. 1. b). 39. Au vu de l'imprécision de l'article 14, le libellé du point 2° ne permet pas de savoir quelles données figurant dans les dossiers de construire sont inscrites dans les registres communaux. De plus, la formulation « toute autre source d'information utile existant auprès des communes » est trop vague et source d'insécurité juridique. Le projet de loi devrait définir de manière claire et précise quelles sources d'information peuvent être utilisées afin de garantir que l'application du dispositif soit prévisible pour les justiciables. 40. Quant au point 3°, la CNPD se demande si le projet de loi ne devrait pas encadrer les contrôles sur place que les communes peuvent effectuer, cela notamment au regard de ('article 15 de la Constitution consacrant l'inviolabilité du domicile et qui dispose qu' « [a]ucune visite domiciliaire ne peut avoir lieu que dans les cas prévus parla loi et dans la forme qu'elle prescrit » 23. De plus, au vu de l'imprécision de l'article 14 du projet de loi, il n'est pas possible de savoir quels seront concrètement l'objet et retendue de ces contrôles de sorte que cette disposition risque d'être contraire à l'article 11. 3 de la Constitution. 23 Après rentrée en vigueur de la révision constitutionnelle le 1CTjuillet 2023, ce principe sera consacré à l'article 21 de la Constitution. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements. 12/16 41. Le point 4° encourt des critiques similaires. Au vu de l'imprécision de l'article 14 du projet de loi, les justiciables ne sont pas en mesure de savoir quelles données peuvent leur être demandées de la part des communes. De plus, l'article 18 du projet de loi sanctionne pénalement la méconnaissance des obligations imposées en vertu de l'article 15. 2.4°. Il se pose dès lors la question de savoir si ces dispositions ne contreviennent pas au principe de spécification de l'incrimination qui est le corollaire du principe de la légalité de la peine, tel que consacré par l'article 14 de la Constitution24. b. Paragraphe 1er 42. Leparagraphe 1era trait à la tenue à jour des registres communaux et dispose que les communes peuvent recourir aux sources suivantes : « 1° les données de l'Administration du cadastre et de la topographie pour la géolocalisation ; 2° /es dossiers d'autorisationde construire des communes ; 3° tes constats effectuéslors de contrôlessurplace. » La Commission nationale renvoie à ses observations sous les points 38 à 40 du présent avis. VI. Chapitre 5 - Autorisation d'accès et d'utilisation des données inscrites sur les registres 43. La Commission nationale voit d'un oil critique l'article 16. 1 selon lequel toute autorité administrative a accès au registre national. Lacréation du registre national et l'accès audit registre constituent une ingérence dans le droit à la vie privée et à la protection des données personnelles. En vertu du principe de proportionnalité consacré notamment par l'article 52. 1 de la Charte des droits fondamentaux de l'Union européenne, une telle ingérence doit être limitée au strict nécessaire2 5. Ainsi, la CNPD demande de limiter l'accès au registre national aux autorités administratives qui en ont effectivement besoin dans le cadre de leurs missions légales qui devront être en lien avec les finalitésdes registres national et communaux26. 44. En ce qui concerne les « entités autres que les administrations relevant de l'Etat et des communes »27, les auteurs indiquent suivre une approche « open data ». Ainsi, l'article 16.2 dispose que « [u]n règlement grand-ducal précise les modalités des droits d'accès pour des entités autres que celles énumérées au paragraphe 1er. » Premièrement, il se pose la question de savoir ce qu'il y a lieu d'entendre par « entité » : sont visées exclusivement les personnes 24V.encesens: Avis53.509duConseild'Étatdu28février2023,doc.pari. n"7475/06,p. 6. 25V. notamment CJUE,arrêtdu22 novembre 2022, WMet Sovim SAcontre Luxembourg Business Registers, affaires jointes C-37/20 et C-601/20, points 63 à 65 et jurisprudence citée. 26V. les développementssous tes points 16à19du présentavis. 27 Doc. pari. n° 8086/00, p. 12. Ad Article 16. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 8086 relative aux registres nationalet communauxdes bâtimentset des logements. 13/16 morales de droit privé ou également les personnes physiques ? Deuxièmement, le fait de déléguer au pouvoir exécutif le soin de déterminer les modalités des droits d'accès, sans fournir un quelconque encadrement au niveau de la loi formelle, risque d'être contraire à l'article 32. 3, considéré ensemble avec l'article 11. 3 de la Constitution28. Troisièmement, la CNPD regrette que le projet de règlement grand-ducal précisant les modalités d'accès ne lui ait pas été soumis ensemble avec le texte sous avis de sorte qu'elle n'est pas en mesure de se prononcer. 45. Néanmoins,il peut être déduitdu commentaire des articles que l'intention des auteurs du projet de loi est de conférerau grand publicun accèsaux informationsfigurantdans le registre national. La Commission nationale souhaite mettre en garde contre les risques qu'un tel accès représente en matière de protection des données. Plus particulièrement, il y a lieu d'attirer l'attention des auteurs sur l'arrêt du 22 novembre 2022 dans lequel la CJUE s'est prononcée sur l'accès de tout membre du grand public aux informations sur les bénéficiaires effectifs29. La CJUE a notamment rappelé que conformément à l'article 52. 1 de la Charte et dans le respect du principe de proportionnalité,des limitations ne peuvent êtreapportéesaux droits consacréspar les articles 7 et 8 de la Charteque si elles sont nécessaireset répondenteffectivementà des objectifs d'intérêt généralreconnus par l'Union ou au besoin de protection des droits et des libertésd'autrui. En ce qui concerne le projet de loi sous avis, la CNPD se demande en quoi l'accès du grand public serait nécessairepour répondre à un objectif d'intérêtgénéral. 46. L'article 17 vise à refléter, d'après les auteurs, le devoir de collaboration des utilisateurs du registre en leur imposant de signaler à la commune et à l'ACT toutes les erreurs dont elles ont connaissance. La CNPD s'interroge sur la portée juridique de cette disposition : quelles sont les conséquences juridiques en cas de non-respect ? VII. Chapitre 6 - Dispositions pénales 47. L'article 18 sanctionne pénalement la méconnaissance des obligations imposées en vertu de l'article 15. 2.4°. La Commission nationale renvoie à ses observations sous le point 41 du présent avis. VIII. Chapitre 7 - Dispositions modificatives 48. L'article 19 du projet de loi vise à modifier l'article 2 de la loi modifiée du 25 juillet 2002 portant réorganisationde l'administration du cadastre et de la topographie pour préciserque la gestion du registre national fait partie des attributions de l'ACT. La CNPD renvoie à ses commentaires 28 V. point 12 du présent avis. 29 CJUE, arrêt du 22 novembre 2022, WM et Sovim SAontre Luxembourg Business Registers, affaires jointes C37/20 et C-601, 20, point 46. 1 CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n" 8086 relative aux registres nationalet communauxdes bâtimentset des logements. 14/16 sous les points 22 et 23 du présent avis. Par ailleurs, elle se demande s'il ne serait pas utile d'utiliser les mêmes termes que l'article 6 du projet de loi qui mentionne également la tenue du registre national. 49. L'article 20 du projet de loi ajoute un dernier tiret à l'article 5. 2.
9. c)de la loi modifiée du 1 9 juin 2013 relative à l'identification des personnes physiques afin d'indiquer que l'identificateur figure parmi les données mentionnées dans le RNPP. Il ressort de l'exposé des motifs que « /es communes inscriront les personnes physiques désormais [... ] non seulement à une adresse, mais dans un logement précis, à l'aide du numéro d'identification de ce logement ». Afin de permettre aux services de la population des communes d'inscrire les personnes physiques dans le logement exact30, ne faudrait-it pas prévoir, tel que suggéré par le Syvicol31, que l'identificateur figure obligatoirement sur un certain nombre de documents, comme par exemple les contrats de bail ou les actes notariés ? IX. Chapitre 8 - Dispositions finales 50. L'alinéa 1er, de l'article 22. 1 du projet de loi dispose que « [cjhaque personne peut acter l'exactitude des données concernant ses bâtiments et logements, qui ont étéreprises au registre communal endéansle délaiprévu à l'article 20, en contresignant un extrait de donnéeset en le retournant à la communeterritorialement compétente. » La référenceà l'article 20 étanterronée, la CNPD se demande si les auteurs visent le délai prévu à l'article 21. De plus, il n'est pas clair, auxyeux de la CNPD,qui peut acter l'exactitude. S'agit-ildes propriétairesdes immeubles ou les locataires sont-ils aussi visés ? 51. Lesalinéas2 et 3 de l'article 22. 1 du projet de loi prévoientla possibilitéd'adresserune demande de rectification à la commune territorialement compétente. Là encore, il n'est pas clair qui pourra formuler une telle demande. Par ailleurs, il y a lieu de noter que l'article 16 du RGPD confère à la personneconcernéele droit d'obtenirdu responsabledutraitement la rectificationdes données personnelles la concernant qui sont inexactes. 52. Aux termes de l'article 22. 2 du projet de loi, « [l]es données concernant l'historique des bâtiments et des logements qui sont à la disposition des communes sont reprises dans les registres communaux et dans le registre national. » La Commission nationale se demande quelles donnéessont exactementviséeset s'il s'agitd'autres donnéesque celles mentionnéesà l'article 14 du projet de loi. La Commission nationale estime que la loi en projet devrait clairement indiquer quelles données figureront dans les registres national et communaux. 30V. égalementle principed'exactitudeénoncéà l'article 5. 1.
10. d)du RGPD. 31 Doc. pari. n" 8086/02, p. 3. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 8086 relative aux registres nationalet communauxdes bâtimentset des logements. 15/16 53. L'article 23 du projet de loi a trait aux voies de recours. Les auteurs du projet de loi expliquent dans le commentaire des articles que les inscriptions effectuées par la commune dans le registre communal constitue une décision administrative individuelle de sorte qu'elles sont susceptibles d'un recours en annulation devant le tribunal administratif. Sans vouloir se prononcer sur la qualification de décision administrative individuelle, la CNPD tient simplement à rappeler que cette disposition est sans préjudice du droit de toute personne concernée d'introduire une réclamation auprès de la CNPD si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du RGPD32. Ainsi adoptéà Belvaux en date du 19 mai 2023. La Commission nationale pour la protection des données %^-- ^C i'i^QM:^' Tine A. Larsen Thierry Lallemang 'Marc Lemmer Alain Herrmann Présidente Commissaire Commissaire Commissaire 32Article77duRGPD. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8086 relative aux registres national et communaux des bâtiments et des logements. 16/16