Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature él

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique et au projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique Délibérationn°45/AV18/2024du 4 juillet 2024. Conformément à l'article 57. 1.

1. e)du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législativeset administrativesrelatives à la protection des droits et libertés des personnes physiques à l'égarddu traitement ». Par ailleurs, l'article 36. 4 du RGPD dispose que « [l]es Etats membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». Des amendements parlementaires relatifs au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique ont été adoptés lors de la réunion du 21 mai 2024 de la Commission de l'Enseignement supérieur, de la Recherche et de la Digitalisation (ci-après les « amendements parlementaires »). Par courrier du 4 juin 2024, la Ministre de la Digitalisation a invité la Commission nationale à se prononcer sur les amendements parlementaires. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à t'archivage électronique et au projet de règlement grand-ducalfixant certaines modalitésd'application de la loi relative à la signature électroniquedes actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 1/13 Il convient de préciserque la CNPD n'a pas étésaisie initialement afin d'aviser le projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modificationde la loi du 25juillet 2015 relative à l'archivageélectronique (ci-aprèsle « projet de loi »), ni le projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signatureélectroniquedes actes en matièreadministrativeet portant modificationde la loi du 25juillet 2015relativeà l'archivageélectronique(ci-aprèsle « projet de règlementgrandducal »). La Commission nationale formulera ci-après ses remarques quant aux amendements parlementaires mais également quant aux dispositions du projet de loi initial qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. Elle entend également commenter les dispositions du projet de règlement grand-ducal qui ont vocation à préciser les mesures techniques et organisationnelles devant être prises dans le cadre de la mise en ouvre de la plateforme sécurisée. l. Remarques liminaires Il convientde rappelerque l'article6. 1 .
2. e)du RGPD,lu en combinaisonavecl'article 6. 3 du RGPD, prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respectde l'exécutiond'unemissiond'intérêtpublicou relevantde l'exercicede l'autoritépublique dont est investi le responsable du traitement. Dans ce cas de figure, le fondement, c'est-à-dire la mission d'intérêt public en cause, et notamment les finalités des traitements de données doivent ressortir soit du droit de l'Union européenne, soit du droit de l'Etat membre auquel le responsable du traitement est soumis et ce fondement doit répondre « à un objectif d'intérêtpublic et est proportionné à l'objectif légitime poursuivi ». Dans un arrêt récent, la Cour de Justice a par exemple estimé que la « détermination des finalités et des moyens du traitement et, le cas échéant, la désignation de ce responsable par le droit national peuvent être non seulement explicites, mais également implicites. Dans ce dernier cas de figure, il est néanmoins requis que cette détermination découle de manière suffisamment certaine du rôle, de la mission et des attributions dévolus à la personne ou à l'entité concernée. »1. En droit interne, il est à noter que l'article 31 de la Constitution révisée, applicable depuis le 1er juillet 2023, dispose que « [t]oute personne a droit à l'autodétermination informationnelle et à la 1 CJUE, arrêt du 11 janvier 2024, Étatbelge/Autorité de protection des données, C-231/22, EU:C:2024:7, point 30. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électroniqueet au projet de règlementgrand-ducalfixantcertaines modalitésd'applicationde la loi relative à la signature électronique des actes en matière administrative et portant modificationde la loi du 25 juillet 2015 relative à l'archivage électronique 2/13 protection des données à caractère personnel la concernant. Ces données ne peuvent être traitées qu'à des fins et dans les conditions déterminées par la loi. » Dès lors, en tenant en compte que la protection des données à caractère personnel est une matière réservée à la loi par la Constitution, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc. 2 En effet, d'après la jurisprudence de la Cour constitutionnelle, l'article 45. 2 de la Constitution exige que dans ces matières, « la fixation des objectifs des mesures d'exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises. L'orientation et l'encadrement du pouvoir exécutif doivent, en tout état de cause, être consistants, précis et lisibles, l'essentiel des dispositions afférentes étant appelé à figurer dans la loi » 3 8. Or, en l'espècecertaines des dispositions sous avis ne respectent pas de telles dispositions. En effet, il est notamment difficile pour certains traitements d'identifier qui est le responsable du traitement ainsi que les finalités des traitements opérés sur la plateforme sécurisée. La CNPD reviendra sur ces points plus en détails infra. II. 9. Sur les actes tombant dans le champ d'application du projet de loi Il convient de constater que tes auteurs des amendements parlementaires ont suivi les remarques formulées par le Conseil d'État dans son avis du 12 mars 20244 en ce qu'il préconisait ta suppression de la définitiondes « actes en matière administrative »5. 10. En effet, dans son avis précité, le Conseil d'Étata estimé que « tes auteurs [du projet de loi] veulent donner à l'expression « actes en matière administrative » une portée large, visant à la fo/s /es actes émanantde l'administration et ceux que les citoyens adressent à l'administration, « le but du projet étant de couvrir la quasi-totalité des actes susceptibles d'être produits tant entre l'Étatet ses administrés, qu'entre les différents services étatiques au sens large ». Seuls sont en définitiveexclus du champ d'application les actes sous seing privéet les actes authentiquesque l'État est amené à passer, et ce au motif que ces actes sont régis par d'autres dispositions légales» et préciseencore qu'il « se demandesi un enchevêtrementde définitionstel qu'il figure au paragraphe 3 de l'article sous examen est véritablement nécessaire pour atteindre l'objectif ainsi décrit. Aux yeux du Conseil d'État, il suffirait pour cela de prévoir dans la loi en projet que 2 Voirarticles 31 et 45 de la Constitution luxembourgeoise. 3 Cour constitutionnelle, 4 juin 2021, n° 166, Mém. A n°440 du 10 juin 2021 et Cour constitutionnelle, 3 mars 2023, n° 177, Mém. A, n° 127 du 10 mars 2023. 4 V. avisn°61. 688du 22 décembre2023 du Conseil d'État,documentparlementaire n°8089/04. 5 V. ancien article 1. 1 du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique et au projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signature électronique des actes en matière administrative et portant modification de ta loi du 25 juillet 2015 relative à l'archivage électronique 3/13 « les administrés peuvent signer électroniquement tout acte qu'ils adressent à une autorité administrative ou à une entité exerçant une activité administrative » et que « les autorités administratives et les entités exerçant une activité administrative peuvent signer électroniquement l'ensemble des actes relatifs à l'exercice de leur activité »6. III. 11. Sur la création d'un identifiant numérique Il y a lieu de relever que la faculté pour les actes, tombant dans le champ d'application du projet avis7, susceptibles de revêtir une signature ou un cachet électronique nécessite la création d'un identifiant numérique. de loi sous 12. Bien que la CNPD comprenne que l'identifiant numérique se rattacherait à un acte et non à un administré directement, elle tient à rendre attentif les auteurs des amendements parlementaires sur les développements formulés par son homologue français (la Commission nationale de l'informatiqueet des libertés)danssa délibérationn°2008-578du 18décembre2008portantavis sur un projet d'arrêté relatif à la création d'un téléservice dénommé « mon. service-public. fr » selon lesquels « la commission (... ) a pris acte que les numéros permettant de relier le portail « mon. service-public.fr » aux sites partenaires choisis par les usagers seraient des chaînes de caractères alphanumériques aléatoires et non signifiantes, permettant seulement de faire le lien entre les téléservices, sans que le système technique MSP ne puisse avoir connaissance des identifiantssectoriels des usagers. Elle constateque « mon. service-public.fr » n'aboutitpas à un regroupement d'identifiants sectoriels autour d'un identifiant commun, et que le projet n'a pas pour objectif ni pour conséquence de créer un identifiant administratif national. Elle estime toutefois que cette question, fondamentaleau regard des grands principes de la loi du 6 janvier 1978 modifiée, devrait être garantie par les textes et non pas seulement par des mesures techniques, et que le principe de la fédération volontaire d'identité devrait être explicité. Elle demande ainsi que le projet d'arrêtéportant création du portail « mon.service-public.fr » énonce expressément que le dispositif, bien que créant un lien sous le contrôle de /'usager entre différents identifiants sectoriels, ne doit pas conduire à la création d'un « identifiantadministratifunique » des usagers ». IV. Sur les acteurs de la plateforme sécurisée 13. Les dispositions de l'article 3 du projet de loi, tel qu'amendé, précise que « [t]out acte relatif à {'exercice de leur activité signéou cacheté électroniquement par les autoritésadministratives et tes entités exerçant une activité administrative, destiné à un administré, doit être pourvu d'un 6 V. avis n°61. 688 du 22 décembre 2023 du Conseil d'État, document parlementaire n°8089/04. 7 Voir article article 3 nouveau du projet de loi, tel qu'amendé. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la toi du 25 juillet 2015 relative à l'archivage électronique et au projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signatureélectroniquedes actes en matièreadministrativeet portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 4/13 identifiant numérique à des fins de vérification de l'authenticité et conservation de la preuve de la signature ou du cachet électronique »8. 14. Ainsi, une plateforme sécurisée a vocation à être créée9. Cette plateforme poursuit plusieurs objectifs : permettre l'apposition d'un identifiant numérique sur les actes visés par le projet de loi sous avis ; permettre la lecture d'un identifiant numérique apposé sur les actes visés par le projet de loi sous avis ; vérifier l'authenticité de la signature ou du cachet électronique ; et conserver les actes visés par le projet de loi sous avis, signés ou cachetés électroniquement. 15. Cette plateforme serait mise à disposition par le Centre des technologies de l'information de l'État (ci-après le « CTIE ») ou, le cas échéant, par le biais d'une plateforme équivalente, interopérable avec 16. la plateforme sécurisée1 0. Le projet de loi, tel qu'amendé, précise que « [tjoute autorité administrative et entité exerçant une activité administrative ayant demandé la création d'un identifiant numérique conformément à la présente loi a la qualité de responsable du traitement »11 et que le CTIE « a/'ns/que tout opérateur de toute plateforme équivalente a la qualité de sous-traitant » « dans l'opération de la plateforme »12. La CNPD salue detelles précisions mais souhaiterait attirer l'attention des auteurs des amendements parlementaires sur les points ci-après. 17. En ce qui concerne la détermination du responsable du traitement, le Comité européen de la protection des données précise que « pour une opération de traitement particulière, le responsable du traitement est l'acteur qui a déterminéla raison pour laquelle le traitement a lieu (c'est-à-dire « à quelles fins » ou « pourquoi ») et comment cet objectif sera atteint (c'est-à-dire quels moyens doivent être mis en ouvre pour atteindre l'objectif) »13. 18. La Commission nationale comprend que les autorités ou entités « exerçant une activité administrative ayant demandé la création d'un identifiant numérique » auront effectivement la 8 V. amendement n°5, nouvel article 3 du projet de loi. 9 V. amendement n°8, nouvel article 5 du projet de loi. 10V. amendement n°7, nouvel article 4 du projet de loi. 11 V. amendement n°8, nouvel article 5 du projet de loi. 12V. amendement n°8, nouvel article 5 du projet de loi. 13 Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptéesle 7 juillet 2021 par le ComitéEuropéende la Protection des Données,page 16, point 35. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrativeet portant modificationde la loi du 25juillet 2015 relative à l'archivage électroniqueet au projet de règlementgrand-ducalfixantcertaines modalitésd'applicationde la loi relative à la signatureélectroniquedes actes en matièreadministrativeet portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 5/13 qualité de responsable du traitement alors qu'elles décideront d'avoir recours à cette plateforme pour signer électroniquement les actes, tels que visés par le texte en projet, pour vérifier l'authenticité de ta signature ou du cachet électronique et éventuellement conserver lesdits actes signés ou cachetés électroniquement. Le CTIE ne traite ces demandes que sur instructions des autorités et entités précitées, de sorte qu'il agirait par conséquent comme sous-traitant pour ces traitements de données. Cependant, des nuances quant à cette qualification devraient être apportées. 19. En effet, il y a lieu d'attirer l'attention des auteurs des amendements parlementaires sur la notice d'information « Protection des données à caractère personnel » du site Internet « guichet. lu » qui précise que pour les « traitements MyGuichet. lu relatifs à l'identification, (... ) et mise à disposition d'un espace de stockage », le CTIE est considéré comme responsable du traitement1 4. Dès lors, la CNPD se demande si un parallèle avec la gestion par le CTIE de la plateforme sécuriséesous examen peut êtrefait avec sa gestion du site « MyGuichet.lu » notamment en ce qui concerne les traitements relatifs à l'identification et la mise à disposition d'un espace de stockage. Le CTIE est-il à considérer comme un responsable du traitement pour certains des traitements prévus par le projet sous examen15 ? 20. Par ailleurs, en ce qui concerne les traitements opérés aux fins de vérification de l'authenticité de la signature ou du cachet électronique, le CTIE agit-il en tant que simple sous-traitant ou est-ce que ce dernier pourrait être considéré comme 6 conjointement responsable1 avec l'autorité administrative ou l'entité exerçant une activité administrative, responsable du traitement ? 21. Il est, dès lors, vivement recommandé de procéder à une analyse, pour chaque traitement de données effectué sur la plateforme, des rôles joués par les différents acteurs de la plateforme afin de s'assurer de leur qualification juridique exacte, à savoir celle de responsable du traitement, responsables du traitement conjoints ou sous-traitant. 22. En tout étatde cause, la Commission nationale estime que les traitements effectuéspar le CTIE devraient être définis plus précisément par l'article 5. 5 du projet de loi. En effet, la formulation suivante « dans l'opération de la plateforme sécurisée », employée par le nouvel article 5. 5 du projet de loi, apparaît comme étant trop vague, compte tenu des remarques formulées supra. 14 V. point IV, paragraphes 82 à 87 sur httDS://auichet. Dublic. lu/fr/citovens/suDDort/asDects-leaaux. html. le site Internet suivant 15 V. article 4 nouveau, amendement 7. 16 V. article 4. 7 du RGPD, et Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptées le 7 juillet 2021 par le Comité Européen de la Protection des Données, point 2. 1. 3. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrativeet portant modificationde la toi du 25juillet 2015 relative à l'archivage électroniqueet au projet derèglementgrand-ducalfixantcertainesmodalitésd'applicationde la loi relative à la signatureélectroniquedes actes en matièreadministrativeet portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 6/13 V. Sur les catégories des données et les finalités des traitements de données à caractère personnel 23. Le texte sous avis précise encore que les finalités poursuives par les traitements de données opérésdans le cadre de la plateforme sont les suivantes : « permettre la lecture de l'identifiant numérique, la vérification de l'authenticité de la signature ou du cachet électronique, la conservation des actes signés ou cachetés électroniquementpourvus d'un identifiantnumériqueet/'accèsà l'endroit de stockagepar te biais de l'identifiant numérique » ; « permettre l'apposition de l'identifiant numérique ». 24. Les catégoriesde données à caractère personnel amenéesà être traitées à ces fins seraient : « te contenu chiffré de tout acte signé ou cacheté électroniquement pourvu d'un identifiant numérique » ; « l'identité de l'agent de l'autorité administrative ou de l'entité exerçant une activité administrative ayant demandé la création d'un identifiant numérique »17. 25. La CNPD comprend que l'ensemble des catégories de données énoncées ci-dessus seraient traitées pour l'ensemble des finalités énumérées ci-avant. Si tel ne devait pas être le cas, il conviendrait, pour une meilleure compréhension, de préciser dans le texte sous examen quelles catégoriesde donnéesà caractère personnel sont traitées pour quelles finalités. 26. Par ailleurs, la Commission nationale se demande si d'autres catégories de données seraient amenées à être traitées pour les finalités énoncées ci-avant. En effet, est-ce que les catégories de données énumérées au paragraphe 4 du nouvel article 5 du projet de loi ne sont-elles pas traitées pour certaines des finalités énoncées à l'article 5. 1 précité ? Bien que celles-ci ne soient pas conservées sur la plateforme, la CNPD comprend que celles-ci pourraient tout de même amenées à être traitées. Des précisions à ce sujet mériteraient d'être apportées par les auteurs des amendements parlementaires. 27. Enfin, il y a lieu d'attirer l'attention des auteurs des amendements parlementaires ainsi que des auteurs du projet de loi sur les règles applicables aux traitements de catégories particulières de donnéesau sens de l'article 9 du RGPD. Dans l'hypothèseoù les actes tombant dans le champ d'application du texte en projet contiendraientde telles données, il convient de rappeler que leur traitement est en principe interdit sauf si l'une des conditionsviséesau paragraphe2 dudit article est remplie. 17 V. Amendement n°8, nouvel article 5 du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrativeet portant modificationde la loi du 25juillet 2015 relative à l'archivage électronique et au projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 7/13 28. Il appartient au responsable du traitement de veiller au respect de telles dispositions et de dès lors s'assurer que, le cas échéant, les traitements de catégories particulières de données respectent l'une des conditions visées au paragraphe 2 dudit article. VI. Sur les traitements à des fins de « conservation des actes signés ou cachetés électroniauement pourvus d'un identifiant numérique » 29. L'exposédes motifs du projet de loi initial précise que « [IJ'identifiantnumérique permet ainsi à tout administré destinataire de /'acte, et à toute administration à laquelle un administré présente une copie de /'acte d'accéder, à l'aide de cet identifiant numérique, au lieu de conservation de /'acte original et d'en prendre connaissance. Il est à noter que les actes sont accessibles sur la plateforme sécurisée ou les plateformes équivalentes, pendant une durée de trente ans »18. 30. Il ressort encore du commentaire des articles du projet de règlement grand-ducal que « [l]a plateforme n'a en effet pas vocation à remplacer les solutions de gestion électronique des documents aujourd'hui utilisées par les autorités administratives et les autres entités, ni d'éventuelles solutions de stockage à long terme de ces actes ». 31. L'article 3 du projet de loi, tel qu'amendé, précise également que l'apposition de l'identifiant numérique a pour but la « conservation de la preuve de la signature ou du cachet électronique ». 32. La CNPD comprend, dès lors, que les actes seraient conservés afin de : conserver une preuve de la signature ou du cachet électronique pour les administrés ; et permettre aux administrés, autorités administratives ou entités exerçant une activité administrative d'accéderauxdits actes signés ou cachetésélectroniquement. 33. En ce qui concerne la conservation de la preuve de la signature ou du cachet électronique, la Commission nationale comprend que la conservation serait nécessaire afin de garantir la valeur probante de tels actes sous forme électronique pour permettre le cas échéantaux administrés de verser de tels actes en tant que preuve lors d'un éventuel litige. 34. Dans la mesure où le CTIE a le statut de Prestataire de Services de Dématérialisation ou de Conservation (ci-après« PSDC») en vertu des règlesprévuespar la loi du 25juillet 2015 relative à l'archivage électronique1 9, la Commission nationale se demande si les documents seraient dès lors conservés dans les conditions prévues par la loi précitée ? 18V. exposédes motifs du projet de loi initial, page 5. 19V. Chapitre 2 de la loi du 25 juillet 2015 relative à l'archivage électronique. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatifà la signatureélectroniquedes actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électroniqueet au projet de règlementgrand-ducalfixantcertaines modalitésd'applicationde la loi relative à la signatureélectroniquedes actes en matièreadministrativeet portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 8/13 35. Enfin, bien que cette solution technique de conservation soit d'après la compréhension de la CNPD mise à disposition des administrés, cela ne serait-il pas également le cas pour les administrations ou entités exerçant une activité administrative (bien qu'il soit précisé par les auteurs du projet de règlement grand-ducal que cette conservation n'a pas vocation « à remplacer tes solutions de gestion électronique des documents aujourd'hui utilisées par les autorités administratives et les autres entités, ni d'éventuelles solutions de stockage à long terme de ces actes »)20 ?. 36. Des clarifications quant aux interrogations soulevées par la Commission nationale devraient être apportées. VII. 37. Sur le principe de minimisation des données Les dispositions sous examen précisent qu'en vertu du principe de minimisation des données2 1, la plateforme ne conserve pas : « le nom desfichierscontenant les actes signésou cachetésélectroniquementreçus » ; « le contenu en clair des actes signés ou cachetés électroniquement reçus » ; «tes identifiants numériques générés par la plateforme sécurisée ainsi que toute plateforme équivalente et associésaux actes signésou cachetésélectroniquement » ; « tes données permettant d'identifier les agents ou les administrés ayant accédéà un acte signé ou cacheté électroniquement sur base d'un identifiant numérique »22. 38. S'il convient de féliciter les auteurs des amendements parlementaires pour avoir prévu de telles dispositions, il y a lieu de regretter que les raisons ayant poussées les auteurs desdites dispositions à ne pas conserver de telles données, sous couvert du principe de minimisation des données, ne figurent pas dans le commentaire des amendements. 39. De telles justifications seraient les bienvenues. En effet, la CNPD se demande plus particulièrement si les données qui permettraient le traçage des accès aux actes signés ou cachetésélectroniquement sont tout de même conservées sur un autre support. VIII. 40. Sur les mesures de sécurité Le responsable du traitement se doit de respecter le principe d'intégrité et confidentialité visé à l'article 5. 1.
3. f)du RGPD. Par ailleurs, l'article 32 du RGPD dispose encore que « /e responsable du traitement et le sous-traitant mettent en ouvre les mesures techniques et organisationnelles 20V. point 30 du présentavis. 2i V. article 5. 1.
4. e)du RGPD. 22V. Amendement n°8, nouvel article 5 du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique et au projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 9/13 appropriées afin de garantir un niveau de sécuritéadapté au risque ». Pareilles mesures doivent être mises en ouvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. 41. Il y a lieu de rappeler qu'il est vivement recommandé de définirune politique de gestion des accès, afin de pouvoir identifierdèsle débutla personne ou le service, au sein de l'entité concernée,et à quelles donnéesprécisescette personne ou ce service auraitaccès. 42. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. 43. Or, les mesures techniques et organisationneltesconcernant la mise en ouvre de la plateforme sécurisée ont notamment comme conséquence que « [l]es identifiants numériques ne sont également pas stockés, et par conséquent /'opérateur de la plateforme n'est pas en mesure seul d'identifier un acte spécifique, ni de déchiffrerles donnéesstockées pour retrouver le contenu ofes actes reçus. Cee/"permet de garantir que la confidentialitédes actes publics sera assurée même dans l'éventualité d'une compromission de la sécurité de la plateforme sécurisée. Cela signifie également qu'en cas de perte d'un identifiant numérique, /'acte correspondant stocké sous forme chiffrée sur la plateforme ne pourra définitivement plus être accédé »23. 44. En outre, comme évoqué aux développements précédents, ne sont pas conservées sur la plateforme les « données permettant d'identifier les agents ou les administrés ayant accédéà un acte signéou cacheté électroniquement sur base d'un identifiant numérique »24. 45. Si detelles précisionssont les bienvenueset compréhensibles,la CNPDregrette que les auteurs du projet de règlementgrand-ducal n'aient pas précisécomment le responsable ensemble avec le sous-traitant peuvent se conformer aux exigencesde l'article 32 du RGPD, notamment en ce qui concerne le traçage des accès. En l'absence de précisions à ce sujet, elle se demande si un traçage des accèsest toujours possible ? Quelles seraient les mesures concrètesqui pourraient être prises par le responsable du traitement en cas d'accèsillicite aux actes signésou cachetés électroniquement ? 46. Parailleurs, la Commission nationale regrette que les modalitéstechniques d'accessibilitéde la plateforme par les administrés et par les autorités administratives ou entités exerçant une activité administrative n'aient pas étédétaillées.Des précisionsà ce sujet mériteraientd'êtreapportées. 23V. commentaire des articles sous « Ad article 3 » du projet de règlementgrand-ducal. 24 Amendement n°8, nouvel article 5 du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n°8089 relatifà la signatureélectroniquedes actes en matière administrativeet portant modificationde la loi du 25juillet 2015 relative à l'archivage électroniqueet au projet de règlementgrand-ducalfixantcertaines modalitésd'applicationde la loi relative à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 10/13 IX. 47. Sur la durée de conservation En vertu du principe de limitation de la conservation, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessairepour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou anonymisées2 5. Toutefois, si les données doivent être en principe supprimées dès lors que les finalités du traitement ont été atteintes, cette règle ne suppose pas de supprimer systématiquement les données dès que les objectifs du traitement ont été atteints. En effet, les données à caractère personnel obéissent à un cycle de vie durant lequel les données peuvent avoir plusieurs utilités successives. Cela signifie que pour des mêmes données, des durées différentes peuvent s'appliquer26. 48. Le projet de loi, tel qu'amendé, entend fixer une durée de conservation de 30 ans en ce qui concerne les données à caractère personnel suivantes : le contenu chiffré des actes signés ou cachetés électroniquement et pourvu d'un identifiant numérique ; et l'identité de l'agent de l'autorité administrative ou de l'entité exerçant une activité administrative ayant demandéla création d'un identifiant numérique. 49. Or, compte tenu des développements précédents, la Commission nationale se demande si les auteurs des amendements parlementaires ont tenu compte du cycle de vie des données collectées ? En effet, il ressort du texte sous avis que les données collectées sont traitées afin d'apposer une signature ou cachet électronique et permettre aux parties d'y accéder, puis dans un second temps sont conservées afin d'assurer l'authenticité du document signé ou cacheté électroniquement, ce qui permet le cas échéant de permettre aux administrés de verser un tel document en tant que preuve. En outre, la CNPDse demande encore s'il a ététenu compte, afin de déterminer la durée de conservation, des finalités distinctes pour lesquelles les données sont traitées. Cette analyse devrait être faite afin de respecter au mieux le principe de limitation de conservation. Par ailleurs, des distinctions quant à la fixation de la durée de conservation des donnéesen fonction de leur cycle de vie, ou finalités, devraient égalementêtre prises en compte. 25V. article 5. 1.
5. e)du RGPD. 26 V. « Guide pratique : Les durées de conservation (cnil.fr), version juillet 2020, publié sur le site de la CNIL. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique et au projet de règlement grand-ducalfixant certaines modalités d'application de la loi relative à la signature électronique des actes en matièreadministrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 11/13 50. En ce qui concerne la conservation pour une durée de 30 ans de l'identité de l'agent de l'autorité administrative ou de l'entité exerçant une activitéadministrative ayant demandé la création d'un identifiant numérique, il y a lieu de se demandersi cette duréede 30 ans est adéquate,pertinente et limitéeà ce qui est nécessaireau regard desfinalitéspour lesquelles ces donnéessonttraitées. 51. La Commission nationale se demandesi de telles donnéessont conservéesà des fins de traçage des accès ou sont conservées afin de permettre de vérifierl'authenticitéde l'acte ? 52. En ce qui concerne la conservation des donnéessous examen à des fins de preuve, il y a lieu de relever qu'il ressort du commentaire des articles du projet de règlement grand-ducal que la plateforme n'a « pas vocation à remplacer les solutions de gestion électronique de documents aujourd'hui utilisées par les autorités administratives et les autres entités ou d'éventuelles solutions de stockage à long terme de ces actes »27. 53. Les auteurs des amendements parlementaires précisent quant à eux que « le délai de trente ans correspond au délaide prescription de droit commun. Etant donnéque la plateforme sécurisée a comme vocation de conserver la version originale d'un acte administratifsignéélectroniquement, permettant de vérifierainsi l'authenticitéde /'acte, cette durée de conservation vise à assurerque tes administrés peuvent verser les preuves nécessaires pour faire valoir leurs droits dans les mêmes conditions comme s'ils avaient à leur disposition un original sous format papier. En d'autres termes, la disposition vise à assurer une égalité de traitement de tous les administrés sans distinction du format sous lequel un acte leur est transmis ». 54. 55. La Commission nationale comprend que la durée fixée par le projet de loi sous examen se calque sur la duréede prescription de 30 ans, et cela afin de permettre aux administrésde fournir le cas échéantune preuve de la signature de l'acte signéou cachetéélectroniquement. Cependant il y a lieu de se demander si des durées de prescription plus courtes seraient applicables compte tenu de la grande diversité des actes amenés à être signés ou cachetés électroniquement. Il y a encore lieu d'attirer l'attention des auteurs des amendements parlementaires qu'une solution différente semble avoir été retenue en France. En effet, en France des dispositions légales prévoientpour le téléservice« Service-Public.fr » que « /'espace de stockage en ligne est placée sous le contrôleet la responsabilitéde son titulaire qui peut le clore à tout moment »28. 27V. commentaire des articles sous « Ad article 3 » du projet de règlement grand-ducal. 28 V. arrêté du 24 février 2016 portant intégration au site Internet « service-public.fr » d'un téléservice permettant à l'usager d'accomplir des démarches administratives en tout ou partie dématérialisées et d'avoir accèsà des services d'informations personnalisés. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique et au projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 12/13 56. Enfin, il résulte de l'ensemble des développements précédents qu'en l'absence de précision quant aux points d'interrogation soulevés par la CNPD, celle-ci n'est pas en mesure d'apprécier si le principe de limitation de la conservation serait respecté en l'espèce. Ainsi adopté à Belvaux en date du 4 juillet 2024. La Çomînission nationale pour la protectior>des données w Tine A. Larsen lare Lemmer Alain Herrmann Présidente Commissaire Commissaire CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à ['archivage électronique et au projet de règlement grand-ducal fixant certaines modalités d'application de la loi relative à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l'archivage électronique 13/13