Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8090 portant création de l'In

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8090 portant création de l'Institut national de l'activité physique et des sports et modifiant la loi modifiée du 29 novembre 1988 portant organisation de la structure administrative de l'éducation physique et des sports Délibération n°13/AV7/2023 du 17 février 2023. 1. Conformément à l’article 57.1.

1. c)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » 2. Par courrier reçu le 21 octobre 2022, Monsieur le Ministre des Sports a invité la Commission nationale à se prononcer sur le projet de de loi n° 8090 portant création de l'Institut national de l'activité physique et des sports et modifiant la loi modifiée du 29 novembre 1988 portant organisation de la structure administrative de l'éducation physique et des sports (ci-après le « projet de loi »). 3. Selon l’exposé des motifs, le projet de loi a pour but principal de créer l’Institut national de l’activité physique et des sports (ci-après « INAPS ») ayant comme mission l’organisation des formations des cadres techniques et administratifs pour les diverses formes d’activités sportives et de promouvoir l’activité physique nationale. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8090 portant création de l'Institut national de l'activité physique et des sports et modifiant la loi modifiée du 29 novembre 1988 portant organisation de la structure administrative de l'éducation physique et des sports 1/5 À ces fins, la loi en projet prévoit, dans son article 5, la création d’un registre national électronique contenant les brevets, brevets d’État, homologations nationales, ainsi que des dispenses accordées (ci-après le « registre »). 4. Par conséquent, le présent avis limitera ses observations aux questions relatives à la protection des données des personnes concernées soulevées par l’article 5 du projet de loi sous avis. I. L’articulation entre le projet de loi et le règlement grand-ducal du 20 mai 2021 5. Il y a lieu de constater que le règlement grand-ducal du 20 mai 2021 relatif à la détermination et à l’organisation des formations des cadres techniques et administratifs pour les différentes formes d’activités sportives (ci-après le « règlement grand-ducal du 20 mai 2021 ») contient un titre V relatif à un registre électronique, appelé « registre des brevets », tenu par le ministre ayant les Sports dans ses attributions1. Les finalités dudit registre des brevets semblent se recouper avec les finalités du registre prévu par le projet de loi sous examen. Il se pose dès lors la question de savoir si le règlement grand-ducal du 20 mai 2021 sera abrogé suite à l’entrée en vigueur du projet de loi. Si tel n’est pas le cas, comment les deux textes sont censés s’articuler ? II. Ad paragraphe 1er de l’article 5 du projet de loi 6. Le paragraphe 1er prévoit qu’il « est établi, sous forme électronique, un registre national des brevets, brevets d’État, homologations nationales, ainsi que des dispenses accordées, qui a pour finalités l’organisation, la gestion et le suivi administratif des formations visées à l’article 2, point 1°, des indemnisations des chargés de cours et patrons de stage, ainsi que des homologations nationales et dispenses visées à l’article 2, point 6°. » La Commission nationale se félicite que le projet de loi entend conférer une base légale aux traitements effectués par le biais de ce registre et qu’il en détermine les finalités. Néanmoins, elle s’interroge sur les catégories de personnes concernées dont les données personnelles seront traitées par le biais du registre : s’agit-il exclusivement des catégories de personnes mentionnées à l’article 5.2 du projet de loi ? Le projet de loi mériterait d’être plus précis à cet égard. III. Ad paragraphe 2 de l’article 5 du projet de loi 1 V. également l’avis de la Commission nationale pour la protection des données relatif au projet de règlement grand- ducal relatif à la détermination et à l’organisation des formations des cadres techniques et administratifs pour les différentes formes d’activités sportives, délibération n°6/AV5/2021 du 24 février 2021. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8090 portant création de l'Institut national de l'activité physique et des sports et modifiant la loi modifiée du 29 novembre 1988 portant organisation de la structure administrative de l'éducation physique et des sports 2/5 7. Le paragraphe 2 a trait à la durée de conservation des données personnelles et dispose que « [l]es données à caractère personnel des candidats aux formations, des chargés de cours, des patrons de stage et des demandeurs d’homologations nationales sont enregistrées un an de plus que la durée de vie de la personne, à partir du moment de leur collecte. Elles sont supprimées un an après le décès de la personne. » 8. Premièrement, il est à noter que la disposition sous examen vise expressément les données personnelles des candidats aux formations, des chargés de cours, des patrons de stage et des demandeurs d’homologations nationales. La CNPD se demande dès lors si ces catégories de personnes concernées sont les seules à figurer dans le registre. Dans l’hypothèse où les données personnelles d’autres catégories de personnes concernées sont susceptibles d’y être inscrites, il y a également lieu de fixer leur durée de conservation. 9. Deuxièmement, le texte sous examen prévoit une durée de conservation correspondant à une année de plus que la durée de vie des personnes concernées. Il ressort du commentaire des articles qu’une telle durée de conservation serait nécessaire et à considérer comme proportionnée conformément au principe de la limitation de la conservation des données2, étant donné qu’elle serait indispensable au bon fonctionnement de la mission d’organisation des formations initiales et continues de l’INAPS. Plus particulièrement, les auteurs du projet de loi invoquent l’âge des candidats aux formations, la gestion des licences par cycles de trois ans, la durée de l’engagement, les demandes de duplicata et le paiement du subside « qualité + »3. La Commission nationale ne dispose pas d’informations suffisantes sur le fonctionnement des formations dans le cadre desquelles les brevets, brevets d’États, homologations nationales et dispenses seront délivrés pour apprécier si la durée de conservation prévue par le projet de loi n’excède pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. En tout état de cause, elle donne à considérer que si une telle durée de conservation peut, le cas échéant, être considérée comme proportionnée pour certaines catégories de personnes concernées ou pour certaines catégories de données, tel n’est pas forcément le cas pour toutes les données susceptibles de figurer dans le registre. Ainsi, il pourrait être indiqué de prévoir des durées de conservation différentes en fonction des catégories de personnes concernées, voire des catégories de données personnelles. 10. Troisièmement, les auteurs du projet de loi expliquent dans le commentaire des articles que les données personnelles figurant dans le registre « sont automatiquement comparées avec celles contenues dans le Registre national des personnes physiques (RNPP) et désactivées en cas de décès de la personne, pour être définitivement supprimées du registre électronique un an 2 Article 5.1.
2. e)du RGPD : « Les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». 3 Doc. parl. n° 8090/00, commentaire des articles, pages 18 à 19. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8090 portant création de l'Institut national de l'activité physique et des sports et modifiant la loi modifiée du 29 novembre 1988 portant organisation de la structure administrative de l'éducation physique et des sports 3/5 après le décès de la personne ». Il est à regretter que le projet de loi ne fournisse pas davantage d’explications sur la manière selon laquelle cette comparaison automatique s’effectuera. En ce qui concerne le registre national des personnes physiques, la Commission nationale tient à rappeler que les modalités d’accès et de transmission sont définies par la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques ainsi que par le règlement grand-ducal du 28 novembre 2013 fixant les modalités d’application de cette loi. IV. Ad paragraphes 3 et 4 de l’article 5 du projet de loi 11. La Commission nationale se félicite que le paragraphe 3 précise que le ministre ayant les Sports dans ses attributions est à considérer comme responsable du traitement des données. 12. En outre, le paragraphe 4 de l’article 5 du texte sous avis mentionne que « les données contenues dans le registre sont déterminées par règlement grand-ducal. » Dans le commentaire des articles, les auteurs du projet de loi expliquent que « les données personnelles traitées sont fixées avec précision à l’article 54 du [règlement grand-ducal du 20 mai 2021] ». La Commission nationale renvoie à cet égard à ses observations sous le point 5 du présent avis et se demande si le règlement grand-ducal du 20 mai 2021 restera en vigueur ou s’il est envisagé d’adopter un nouveau règlement grand-ducal qui est censé reprendre le libellé de l’article 54 dudit règlement grand-ducal. En tout état de cause, il est à noter que l’article 54 du règlement grand-ducal mentionne les détenteurs d’un brevet (d’État) ou encore les membres des commissions des programmes alors qu’il ne ressort pas clairement du projet de loi que les données personnelles de ces catégories de personnes font l’objet d’un traitement par le biais du registre4. La CNPD estime que les auteurs du projet devraient préciser ce point. Par ailleurs, elle tient à rappeler l’importance du principe de minimisation des données consacré à l’article 5.1.
3. c)du RGPD en vertu duquel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. V. Ad paragraphe 5 de l’article 5 du projet de loi 13. Finalement, le paragraphe 5 prévoit que « les nom et prénoms, le numéro d’identification national ou la date de naissance, ainsi que la dénomination et le niveau de certification du brevet, du brevet d’État ou de l’homologation nationale des détenteurs de brevets, de brevets d’État ou d’homologations nationales contenues dans le registre visé au paragraphe 1er, peuvent être communiquées au responsable du traitement de la banque de données en relation avec l’exécution du règlement grand-ducal modifié du 23 décembre 2016 concernant les subsides accordés aux clubs sportifs affiliés auprès d’une fédération sportive agréée. » 4 Cf. points 6 et 8 du présent avis. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8090 portant création de l'Institut national de l'activité physique et des sports et modifiant la loi modifiée du 29 novembre 1988 portant organisation de la structure administrative de l'éducation physique et des sports 4/5 14. La CNPD se félicite que le projet de loi entend conférer une base légale à l’éventuelle transmission de certaines données personnelles contenues dans le registre au service compétent du Ministère des Sports pour la finalité du paiement du subside « qualité + » aux clubs sportifs en application du règlement grand-ducal modifié du 23 décembre 2016 concernant les subsides accordés aux clubs sportifs affiliés auprès d’une fédération sportive agréée. Tel qu’expliqué dans son avis du 24 février 20215, l’utilisation des données du registre à des fins d’attribution du subside « qualité + » semble être une finalité compatible avec celles décrites à l’article 5.1 du projet de loi, d’autant plus que le ministre ayant dans ses attributions les Sports est également le responsable du traitement de la banque de données prévue par le règlement grand-ducal modifié du 23 décembre 2016. Ainsi adopté à Belvaux en date du 17 février 2023. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2023.02.17 11:32:01 +01'00' Digitally signed by Thierry Thierry Lallemang 2023.02.17 Lallemang Date: 12:01:43 +01'00' signed by Marc Ernest Digitally Marc Ernest JeanJean-Pierre Pierre Lemmer Date: 2023.02.17 Lemmer 14:11:36 +01'00' Tine A. Larsen Thierry Lallemang Marc Lemmer Présidente Commissaire Commissaire 5 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal relatif à la détermination et à l’organisation des formations des cadres techniques et administratifs pour les différentes formes d’activités sportives, délibération n°6/AV5/2021 du 24 février 2021. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8090 portant création de l'Institut national de l'activité physique et des sports et modifiant la loi modifiée du 29 novembre 1988 portant organisation de la structure administrative de l'éducation physique et des sports 5/5