Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7975 relative aux exigences e

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7975 relative aux exigences en matière d'accessibilité applicables aux produits et services Délibération n° 41/AV19/2022 du 7 octobre 2022. 1. Conformémentà l'article 57. 1.

1. e)du règlement(UE) 2016/679du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)(ci-aprèsle « RGPD »), auquel se réfèrel'article 7 de la loi du 1eraoût 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismesausujet desmesureslégislativeset administrativesrelativesà la protection desdroits et libertés des personnes physiques à l'égard du traitement ». 2. Par courrier en date du 3 mars 2022, Madame la Ministre de la Famille et de l'Intégration a invité la Commission nationale à se prononcer sur le projet de loi n°7975 relative aux exigences en matière d'accessibilité applicables aux produits et services (ci-après le « projet de loi »). En date du 27 juillet 2022, ont été soumis à l'avis de la CNPD les amendements gouvernementaux du 30 juin 2022. Le présent avis se réfère au texte du projet de loi tel qu'il résulte desdits amendements. 3. Le projet de loi a pour objet de transposer en droit national la directive (UE) 2019/882 du Parlement européen et du Conseil du 17 avril 2019 relative aux exigences en matière d'accessibilité applicables aux produits et services (ci-après la « directive »). Selon l'exposé des motifs, l'objectif de la directive est « de créer un environnement avec des produits et services plus accessibles dès leur conception initiale ou par une adaptation ultérieure, permettant ainsi la création d'une sociétéplus inclusive qui facilite l'autodétermination des personnes en situation de handicap. » Ainsi, le projet de loi entend confier la surveillance des exigences en matière d'accessibilité des produits et services visés par la directive à une autorité nouvellement créée, à savoir ['Office de la surveillance de l'accessibilité des produits et services (ci-après l'« OSAPS »). 4. Le présent avis limitera ses observations aux questions relatives à la protection des données à caractère personnel soulevées par les articles 4. 1. 6, 5 et 30 du projet de loi. D'après le tableau de correspondance accompagnant le projet de loi, ces dispositions ne résultent pas de la transposition de la directive. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7975 relative aux exigences en matière d'accessibilité applicables aux produits et servios 1/4 l. Sur les articles 4. 1. 6 et 5 du projet de loi 5. Suivant les termes de l'article 4. 1. 6 du projet de loi, l'une des missions de l'OSAPS consiste à « recueillir, en collaboration avec les entités nationales compétentes, les données nécessairesà des fins d'étudesstatistiques en lien avec les besoins des personnes handicapées et despersonnes présentantdes limitations fonctionnellesen matièred'accessibilitédesproduits et services visés par la loi en vue de développer les connaissances sur le marché et de pouvoir répondre aux besoins du public cible et de favoriser la mise en ouvre de l'article 31 de la Convention des Nations Unies relative aux droits des personnes handicapées»1. 6. L'article 5, intitulé « Etudes et recherches », dispose quant à lui: « Dans te cadre d'études statistiques visées à l'article 4, paragraphe 1er, point 6, l'OSAPS peut collaborer, sur décision du ministre, avec des centres de recherche économique et sociale au Luxembourg. En vue de l'élaboration des études statistiques et des collaborations susvisées, l'OSAPS et les autorités ayant des responsabilités spécifiques relatives aux produits et services visés à l'article 1er, paragraphes 1er et 2, échangent à l'aide de procédés automatisés ou non des données à des fins statistiques. Les procédésautomatisésse font moyennant interconnexion de donnéeset sous garantie d'un accèssécurisé, limité et contrôlé. » 7. Il y a lieu de regretter que le commentaire des articles reste muet quant aux organismes avec lesquels l'OSAPSsera amené à collaborer, voire à échangerdes données. Par ailleurs, il se pose la question de savoir si les auteurs du projet de loi entendent conférer à t'OSAPS le pouvoir de recueillir et/ou d'échangerdes données à caractère personnel, et notamment des données dites « sensibles » au sens de l'article 9 du RGPD. 8. A cet égard, la Commission nationale tient à souligner que les traitements de données à caractère personnel, c'est-à-dire d'informations se rapportant à une personne physique identifiée ou identifiable, sont soumis aux règles posées par le RGPD. Ainsi, de tels traitements ne sont 1 L'article 31 de la Convention des Nations Unies relative aux droits des personnes handicapéesdispose ce qui suit : « 1. Les ÉtatsParties s'engagent à recueillir des informations appropriées, y compris des données statistiques et résultatsderecherches, qui leur permettent de formuler et d'appliquerdespolitiquesvisant à donnereffet à la présente Convention. Les procédures de collecte et de conservation de ces informations respectent :
2. a)Les garanties légales, y compris celles qui découlent de la législation sur la protection des données, afin d'assurer la confidentialité et le respect de la vie privée des personnes handicapées;
3. b)Lesnormes internationalement acceptéesde protection des droits de l'homme et des libertésfondamentaleset les principes éthiquesqui régissentla collecte et l'exploitation des statistiques. 2. Les informations recueillies conformément au présent article sont désagrégées, selon qu'il convient, et utilisées pour évaluer la façon dont les ÉtatsParties s'acquittent des obligations qui leur incombent en vertu de la présente Convention et identifier et lever tes obstacles que rencontrent les personnes handicapées dans l'exercice de leurs droits. 3. Les ÉtatsPartiesont la responsabilitéde diffuserces statistiqueset veillent à ce qu'elles soientaccessiblesaux personnes handicapéeset autres personnes. » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7975 relative aux exigences en matière d'accessibilité applicables aux produits et servios 2/4 licites que s'ils peuvent être baséssur l'une des conditions de licéitéénuméréesà l'article 6. 1 du RGPD. De plus, l'article 9 du RGPD confère une protection particulière aux données dites « sensibles », dont notamment les données concernant la santé, voire le handicap, d'une personne physique. Enfin, l'article 89 du RGPD ainsi que les articles 63 à 65 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données s'appliquent aux traitements de données personnelles à des fins de recherchescientifiqueet à fins statistiques. 9. Au vu de leur caractèrevague et imprécis, les dispositionssous examen ne pourraienten aucun cas servir de base légale pour des éventuels traitements de données personnelles qui seraient, le cas échéant,effectuéspar l'OSAPS, notamment à des fins de recherchescientifique ou à des fins statistiques. 10. Lecadrelégalposéparle RGPDet la loi du 1eraoût2018préciténes'applique,parcontre, pas aux données anonymes. Le considérant