Projet de loi relatif aux droits des mineurs victimes et témoins dans le cadre de la procédure pénale et portant modification : 1° du Code pénal 2° du

(41)du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme4. 6. Par ailleurs, la Cour de justice de l'Union européenne a eu l'occasion de rappeler que « tes droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la sociétéet être mis en balance avec d'autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l'article 52, paragraphe 1, de la Charte, elles soientprévuespar la loi et qu'elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. En vertu de ce dernier principe, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d'intérêt général reconnus parl'Union ou au besoin de protection des droits et des libertés d'autrui. Elles doivent s'opérerdans /es limites du strict nécessaireet la réglementation comportant l'ingérence doit prévoir des règles claires et précises régissant la portée et l'application de la mesure en cause »5. 4 V. en ce sens M. Besch, Normes etlégistique en droit public luxembourgeois, Promoculture Larcier, 2019, n°619. V. entre autres CourEDH, arrêt du 4 décembre 2015, Zakharov ce. Russie, §§ 228 à 229 ; CourEDH, arrêt du 24 avril 2018, Benedik v. Slovenia. §§ 122 à 125. 5 CJUE, arrêtdu 22juin 2021, LatvijasRepublikasSaeima(Pointsde pénalité),C-439/19, EU:C:2021:504,point 105 et jurisprudence citée. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles 7. Le présent projet de loi a pour objet principal la protection du mineur, ce qui suppose un regard sur l'intimité de sa vie familiale et engendre, par conséquent, une ingérence dans le droit au respect de la vie privée. Il résulte de ce qui précèdequ'une telle ingérence de la part des autoritéspubliquesdoitêtreprévueparunetoi accessibleauxpersonnesconcernéeset prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante. De plus, elle doit être nécessairedans une sociétédémocratique,sous réservedu principede proportionnalité. Or, certainesdispositions du projet de loi manquentde précisionde sorte que leurs répercussionsen matièrede protection des donnéesne sont pas prévisiblespour les personnes concernées. Il se pose également la question de savoir si certaines mesures prévues par le projet de loi et limitant le droit à la protection des donnéessont nécessaireset proportionnelles à l'objectif poursuivi. II. Sur la maison de l'accueil en famille 8. La loi en projet prévoit la création de nouveaux services au sein de l'Office national de l'enfance (ci-après l' « ONE »), dont notamment la maison de l'accueil en famille. Il résulte de l'article 37 du projet de loi que ce service a, entre autres, comme missions de sélectionner les familles d'accueil, d'organiser la formation de base ainsi que la formation continue et de mettre en place une supervision des familles d'accueil et des professionnels. Il est indiqué que la procédure afférente à la sélection, à la formation de base et à la formation continue et de supervision est fixée par règlement grand-ducat. Il est à regretter que le projet de règlement grand-ducaln'ait pas étéjoint au projet de loi. 9. La Commission nationale déplore que le texte sous examen reste muet quant aux traitements de donnéesqui seront effectués par la maison de t'accueil en famille dans le cadre deses missions. Ainsi, la CNPDsupposeque la sélectiondesfamilles d'accueilsefera, au moins dans un premier temps, sur dossier et que les candidats devront verser un certain nombre de documents qui seront évalués par ce service. Sans vouloir mettre en doute la nécessitéd'une telle évaluation, les dispositions légales sur lesquelles sont basés les traitements de données doivent être claires et précises et leurs répercussions en matière de protection des données doivent être prévisibles pour les personnes concernées6. De plus, en l'absence de précisions quant aux traitements effectués, la Commission nationale se trouve dans l'impossibilité de se prononcer sur leur proportionnalité. III. Sur la commission de recueil des informations réoccu antes 10. Par ailleurs, il est institué au sein de l'ONE la commission de recueil des informations préoccupantes (ci-après la « CRIP »). L'article 38 du projet de loi détermine la composition et les missions de la CRIP ainsi que la procédure applicable à la communication d'une information 6 Cf. points 5 à 7 du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles préoccupante. Les auteurs du projet de loi indiquent dans le commentaire des articles que le modèle proposé est inspiré des cellules départementales de recueil, de traitement et d'évaluation instaurépar la loi françaisedu 5 mars 2007 réformantla protection de l'enfance. L'article 38. 1 in finedu projet de loi disposeque lefonctionnementde la CRIP estfixéparrèglementgrand-ducal sans que le projet de règlement grand-ducal n'ait toutefois étéjoint au projet de loi. 11. Dans le cadre de la procédure de recueil d'informations préoccupantes, la CRIP sera amenée à traiter des données personnelles. Ces données concernent des personnes vulnérables, à savoir des mineurs, et peuvent avoir trait à l'intimité de leur vie familiale, voire à descatégoriesparticulièrededonnéesdites « donnéessensibles »7,desortequelaCommission nationale souhaite attirer l'attention des auteurs du projet de loi sur ortains points soulevant des interrogations d'un point de vue protection des données. 1. Considérationsgénérales 12. Selon l'article 38.3, alinéa 1er, du projet de loi, toute personne peut communiquer à la CRIPune informationqu'ellejuge utile pour aiderou protégerun mineur. Ce n'est que dans les alinéassuivants que le terme « information préoccupante» est utilisé. La CNPDs'interrogesur la raisond'êtredecettedistinction. Uneautre incohérence,qui a égalementétésoulevéeparles autorités judiciaires8, consiste dans le fait que la définition d' « information préoccupante » à l'article 1er, point 11°, du projetde loi faitréférenceà l'intérêtsupérieurdu mineur, dujeuneadulte et de la famille tandis que l'article 38.3, alinéa 1er, du projet de loi parle d'une informationjugée utile pour aider ou protéger le mineur, sans mentionner le jeune adulte ou la famille. La Commission nationale note encore que l'article 38.2 dispose que la CRIP a notamment pour missions d' « évaluer individuellement les demandes » et d' « orienter les informations préoccupantes elles demandes », sans qu'il soit préciséce qu'il faut entendre par « demande ». S'il y a lieu de féliciter les auteurs du projet de loi d'avoir pris le soin de définir la notion d'informationpréoccupanteà l'article 1 er, point 11°, il resteque lestermesemployés,souventaux contours indéterminés,relèvent d'une certaine subjectivité. D'aprèsle commentaire des articles, « [l]a transmission d'une information préoccupante à la CRIP comporte toujours l'aveu d'une certaine incertitude quant à la qualification des faits observés dans le chef de celui qui signale et permet ainsi une transmission des faits qui est plus facile à assumer qu'une dénonciation auprès du ministère public ». Il faudra toutefois veiller à ce que ce système ne soit pas utilisé à des fins de délation, notamment au regard du fait que toute personne peut saisir la CRIP. 7 Cf. points 28 à 30 du présent avis. 8 Avis commun de la Cour d'appel, du Parquet général, des Parquets de Diekirch et de Luxembourg, et des Tribunauxd'arrondissementde Diekirchet de Luxembourgdu 19septembre2022, doc. pari. n° 7994/07, p. 14. CNPO Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutienet protection auxmineurs, auxjeunes et aux familles 5/27 13. Il se pose également la question de savoir si les faits susceptibles de correspondre à la définition d'information préoccupante revêtent une gravité suffisante pourjustifier l'intervention de la CRIPet, par conséquent, une ingérencedans la vie privéedes personnes concernées. Dans le commentaire des articles, il est notamment fait référence à l'orientation scolaire ou encore aux comportements sociaux ou culturels. La Commission nationale s'interroge si ces exemples justifieraient réellement la saisine de la CRtP et souhaite mettre en garde contre un contrôle excessifdes choix éducatifset des comportements des familles qui risquerait d'être contraire à l'article 8 de Convention européenne des droits de l'Homme9 ainsi qu'à l'article 11.3 de la Constitution10. 14. Par ailleurs, il ressort de l'exposé des motifs que le projet de loi vise à mettre en ouvre des simplifications procéduraleset administrativesen faisantde l'ONEl'acteurcentral de l'aide, du soutien et de la protection aux mineurs, auxjeunes adultes et auxfamilles. Or, le projet de loi crée un nouveau service au sein de l'ONE, à savoir la CRIP, composé notamment de représentantsde trois ministèresdifférents.Ainsi, le projet de loi prévoitune étapeprocédurale préalable, engendrant des traitements de données à caractère personnel, dont la Commission nationale a du mal à saisir la plus-value, étant donné que le rôle de la CRIP consiste essentiellement à orienter le cas vers l'acteur compétent. 15. La CNPD regrette encore que le projet de loi ne détermine pas avec précision à quelles entités les informations préoccupantes pourront, le cas échéant, être transmises. En effet, le projet de loi se contente d'évoquerdes « partenaires institutionnels concernés» ou encore des « instances étatiques » non autrement définis ainsi que de renvoyer, en ce qui concerne les modalités de transmission, à des « protocoles de collaboration et de transmission ». 2. Sur l'interaction avec l'obligation de dénonciation et le secret professionnel 16. D'après le commentaire des articles, la procédure de recueil d'informations préoccupantes est une procédure parallèle au système de signalements du ministère public pour des affaires qui laissent supposer que l'intérêt supérieur d'un mineur, d'un jeune adulte ou d'une famille n'est pas garanti ou que la santé ou la sécuritéd'un mineur est en dangerou que les conditions de son éducation ou de son développement physique, affectif, sentimental, intellectuel et social sont compromises. Il est encore expliquédans le commentairedes articlesqu'il s'agitd'éviterque les 9 L'article 8 de la Convention européennedes droits de l'Homme dispose : « 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. 2. // ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de /'ordre e( à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui. » 10L'article 11.3 de la Constitution dispose : « L'Étatgarantit la protection de la vie privée, saufles exceptions fixées par la loi. » CNPD Avis d®la Commissionnationalepour la protection desdonnées relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et '"'," auxfamilles gy^y institutions et les personnes privées transmettent des « signalements » ou « dénonciations » au ministèrepublic sans qu'on soit en présenced'une infraction pénale. 17. Il semble cependant nécessaire que les auteurs du projet de loi expliquent davantage comment cette procédure interagit avec les signalements effectués auprès du ministère public, notamment en application de l'article 3 du projet de loi n° 799211. En vertu de cette disposition, « [t]oute personne qui acquiert la connaissance de faits susceptibles de constituer un crime ou un délità rencontre d'un mineur en donneavis au procureurd'Étatet transmet, sans délai, à ce magistrat tous les renseignements, pièces, documents, informations et actes qui y sont relatifs, et cela nonobstant toute règle de confidentialité ou de secret professionnel lui étant applicable le cas échéant.» Une personne engage-t-elle sa responsabilitépénale si elle ne dénoncepas les faits susceptibles de constituer un crime ou un délitau ministère public mais communique, par contre, ces informations à la CRIP ? 18. Aux yeux de la Commission nationale, les signalements se rapportant à des faits susceptibles de constituer un crime ou un délit à rencontre d'un mineur devraient se faire auprès du ministère public et non pas auprèsde la CRIP. Dans le cas contraire, la CRIP serait amenée à traiter des données à caractère personnel à des fins de prévention et de détection des infractions pénales, sans constituer cependant une autorité compétente au sens de l'article 2. 1. 7° de la loi du 1 eraoût 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personne! en matière pénale ainsi qu'en matière de sécurité nationale. En raison de la nature spécifique des domaines couverts par la loi du 1er août 2018 susmentionnée, cette dernière prévoit, d'un côté, des obligations qui lui sont spécifiques (comme par exemple l'obligation de distinguer, dans la mesure du possible, les données personnelles fondées sur des faits de celles fondées sur des appréciations personnelles) et, d'un autre côté, des limitations à certains droits (comme par exemple la limitation du droit d'accès). Or, les traitements effectués par la CRIP ne sont pas soumis au régime de la loi du 1er août 2018 susmentionnée, mais au régime général du RGPD. 19. Par ailleurs, il se pose la question de savoir comment la faculté de communiquer une information préoccupante à la CRIP s'articule avec l'obligation de secret professionnel, telle que prévue notamment par l'article 458 du Code pénal. En vertu de cette disposition, il y a deux exceptions à l'obligationdu secret professionnel, à savoir l'hypothèseoù la personne soumiseau secret professionnel est appelée à témoigner en justice et l'hypothèse où la loi Voblige à faire connaître ces secrets. La jurisprudence semble s'accorder à dire que le professionnel peut également déroger au secret professionnel si la loi \'autorise'12. À cet égard, la CNPD attire 11 Projet de loi relatif aux droits des mineurs victimes et témoins dans le cadre de la procédure pénale et portant modification : 1° du Code pénal 2° du Code de procédure pénale 3° de la loi modifiée du 10 août 1991 sur la profession d'avocat 12Voirp.ex. Tr. d'arr. Lux., Ch. corr., 29juin 2016, n°1981/2016 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles 3 l'attention des auteurs du projet de loi sur l'article 458 du Code pénal belge1 qui, afin de renforcer la sécurité juridique des professionnels, exclut expressément l'application de cet article si la loi autorise la révélation. 20. Aux termes de l'article 38.3, alinéa4, du projet de loi, les fonctionnaires et employés de l'Étatde l'ONE doivent transmettre au procureur d'Étattous les renseignements, procès-verbaux et actes relatifs à des faits qui sont susceptibles de constituer un crime ou un délit, nonobstant toute règle de confidentialité ou de secret professionnel leur étant applicable le cas échéant. Cette disposition soulève plusieurs interrogations : Tous les fonctionnaires et employés de l'Étatde l'ONE sont-ils visés ou seulement ceux attachés au bureau de la CRIP ? Appartient-il aux fonctionnaires et employés de l'Étatou à la CRIP réunieen plénièrede déciderde la transmission au procureurd'État ? 3. Sur le droit à l'information 21. Aux termes de l'article 38. 3, alinéa 2, du projet de loi, la personne qui a communiqué une information préoccupante à la CRIP est en droit de recevoir, dans un délai de trois mois, une information quant à la suite réservée à sa communication. Selon le commentaire des articles, cette disposition a été conçue dans un esprit de gouvernance transparente et vise à illustrer l'efficacitéet la réactivitéde la CRIPtout en promouvant le dispositif. En l'espèce,il y a lieu de trouver un équilibreentre l'objectifde transparencesusmentionnéet te droit à la protection des données des personnes concernées. Envertu du principe de minimisation des donnéesconsacréà l'article 5. 1.

1. e)du RGPD, la CRIP devrait limiter l'information transmise à ce qui est nécessaire au regard de la finalité poursuivie. Ainsi, la CNPD note que cette information ne concerne que la suite réservée à la communication (classement sans suite ; orientation de l'information vers une filière médicale, scolaire ou du secteur handicap ; orientation de l'information vers l'office régional compétent ; transmission de l'information au procureur d'État),à l'exclusion de toute autre information. 22. En ce qui concerne le droit à l'information de la personne concernée, il y a lieu de relever que le recueil d'informations préoccupantes par la CRIP constitue une collecte indirecte de données. Il faudra alors veiller au respect des dispositions de l'article 14 du RGPD qui prévoit que le responsable du traitement, qui aux yeux de la CNPD est la CRIP, devra fournir à la personneconcernéeun certain nombre d'informationsau sujet du traitement la concernant. Ces informations devront êtrefournies au plus tard un mois aprèsque le responsable du traitement a 13Tel que modifié par la loi du 6 juillet 2017 portant simplification, harmonisation, informatisation et modernisation de dispositions de droit civil et de procédure civile ainsi que du notariat, et portant diverses mesures en matière de justice. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et aux familles 8/27 obtenu les données. L'article 14.5 du RGPD prévoit des exceptions à l'obligation d'information qui doivent néanmoins être interprétées de manière stricte1 4. 4. Sur les traitements de données personnelles effectués par la CRIP 23. LaCommission nationalese demandesi le titre VIIdu projet de loi, intitulé « La protection des données », a vocation à s'appliquer aux traitements de données effectués par la CRIP. Dans le commentaire des articles 108 à 113, il est fait référence au « responsable du traitement de la présente loi » ou encore aux « catégories de données qui sont collectées dans le cadre du présentprojet de loi », ce qui pourrait laisser penser que ces dispositions s'appliquent à tous les traitements de donnéesprévus par le projet de loi. Or, l'article 108.1 du projet de loi ne mentionne que les « traitements des données à caractère personnel concernant les bénéficiaires et les prestataires ». Selon la compréhension de la CNPD, les personnes faisant l'objet d'une communication d'information préoccupante ne sont pas forcément des bénéficiaires au sens de l'article 1er, point 6°, du projet de loi de sorte qu'il peut en être déduit que les dispositions du titre VII ne s'appliquent pas aux traitements de donnéeseffectuéspar la CRIP. 24. En tout étatde cause, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que, conformément au principe de minimisation des données consacré à l'article 5. 1 .
2. e)du RGPD, les données personnelles traitées par la CRIP doivent être adéquates, pertinentes et limitées à ce qui est nécessaireau regard des finalitéspour lesquelles elles sont traitées. De plus, la CRIP devra veiller au respect du principe de limitation de la conservation prévu à l'article 5. 1.
3. e)du RGPD selon lequel les donnéespersonnelles doivent êtrecollectées sous uneforme permettant l'identification des personnes concernées pendant une période n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Ainsi, la Commission nationale considère que les données personnelles devraient être supprimées ou rendues anonymes dans un bref délai après avoir reçu confirmation de la prise en charge par le service saisi, voire après le classement sans suite de la prétendue information préoccupante. Bien que l'article 38. 3 in fine du projet de loi dispose que « [l]a CRIP clôture le dossier après confirmation de /'offre afeprise en charge par le service saisi», il n'en résulte pas dans quel délai les données personnelles contenues dans le dossierclôturéseront suppriméesou rendues anonymes. 5. Sur la transmission de donnéespersonnelles par le procureur d'État 25. Il résulte de l'article 38. 3, alinéa4, du projet de loi que le procureur d'Étatdoit continuer à la CRIP toute information utile pour aider, soutenir ou protéger un mineur dont il prend connaissance. Cette communication devrait répondre aux exigences de l'article 8. 1 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des 14Groupedetravail« Article29», Lignesdirectricessurlatransparenceausensdurèglement(UE)2016/679, points 57 et s., disponibles sous htt s://ec. euro a. eu/newsroom/article29/items/622227/en CNPD fiMis d®la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et aux familles 9/27 données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale en vertuduquel lesdonnéesà caractèrepersonnelcollectéesparle ministèrepublicpourlesfinalités énoncées à l'article 1er de ladite loi ne peuvent être traitées à des fins autres que celles y énoncées,à moins qu'un tel traitement ne soit autorisépar le droit de l'Union européenneou par une disposition du droit luxembourgeois. Or, la Commission nationale considèreque la formulation actuelle de l'article 38.3, alinéa4, ne répond pas aux exigences de clarté et de prévisibilité auxquelles les bases légales comportant des ingérences au droit à la protection des données personnelles doivent satisfaire1 5. Il se pose également la question de savoir quel est l'objectif poursuivi par cette transmission de données par le ministère public à la CRIP, cette dernière ayant comme mission principale d'orienter les informations préoccupantes à d'autres services, voire au procureur d'État. La CNPD a du mal à saisir la plus-value de cette transmission à la CRIP et se demande quel sort la CRIP devra y réserver. 6. Sur les traitements de données personnelles à des fins statistiques 26. L'article 38. 3 infine du projet de loi oblige le service saisi, à l'exclusion du procureur d'État, d'informer la CRIP des suites réservées à l'information lui transmise. Alors que cette disposition donne à croire que le service saisi doit simplement confirmer ou non la prise en charge du dossier, l'article 38. 2, 6° semble aller plus loin en ce qu'il dispose que l'une des missions de la CRIP est de « rassembler les statistiques en relation avec le recueil des informations préoccupantes, les su/tes données, les prises en charge et les difficultés rencontrées ». A moins que cet article ne vise que des données anonymes ne tombant pas dans le champ d'application du RGPD16, il y a lieu de s'interroger si cette disposition détermine avec une précision suffisante les données personnelles pouvant faire l'objet d'une telle transmission et si cette transmission de données est nécessaire et proportionnée au regard de l'objectif poursuivi1 7. 27. Par ailleurs, il est à noter que l'article 89 du RGPD et les articles 63 à 65 de la toi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données s'appliquent aux traitements de données personnelles à des fins de recherche scientifique ou historique ou à des fins statistiques. Ainsi, l'article 89. 1 du RGPDdisposeque le traitement à desfins statistiquesest soumis à des garanties appropriées pour les droits et libertés de la personne concernée qui garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour garantir le principe de 15Cf. points 5 à 7 du présentavis. 16 Les données anonymes sont des données qui ne oncernent pas une personne physique identifiée ou identifiable. Il faut distinguer les donnéesanonymes des données pseudonymiséesqui peuvent être attribuéesà une personne physique identifiablepar le recoursà des informationssupplémentaireset qui sontsoumises à la législationrelative à la protection des données. 17 Cf. points 5 à 7 du présent avis. CNPD ^vls ^®la Commission nationale pour la protection des données -.:;<. relatifau projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et aux familles minimisation des données. L'article 65 de la loi du 1er août 2018 susmentionnée énumère les mesures appropriéesadditionnellesque le responsable du traitement doit mettre en ouvre. 7. Sur les traitements portant sur des catégories particulières de données personnelles 28. L'article 9 du RGPD confère une protection particulière aux catégories particulières de données dites « données sensibles », dont notamment les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou encore les données concernant la santé. Le traitement de telles données est en principe interdit, sauf dans les hypothèses énumérées à l'article 9. 2 du RGPD. La Cour de justice de l'Union européenne a adopté une interprétation large de la notion de « catégories particulières de données à caractère personnel » en jugeant que le traitement de données personnelles susceptibles de dévoiler, de manièreindirecte, des informationssensibles concernant une personne physiqueest soumis au régimede protection renforcéprévu par l'article 9 du RGPD18. 29. En l'occurrence, le traitement de données sensibles est susceptible d'être fondé sur l'article 9.2.
4. g)du RGPD. En vertu de cette disposition, le traitement de données sensibles est possible si le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des donnéeset prévoirdes mesures appropriéeset spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. Au regard du commentaire des articles qui fait référence aux « comportements sociauxou culturels », la CNPDcomprend que la CRIPpourra êtreamenéeà traiterdes données révélantl'origineracialeouethniqueou encoreles convictionsreligieusesou philosophiques. Elle se permet de rappeler qu'en vertu de l'article 5. 1.
5. e)du RGPD, les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées et renvoie à ses développements sous les points 5à 7et 13 du présent avis. 30. En tout état de cause, l'article 9.2.
6. g)du RGPD exige que la loi prévoie des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. De telles mesures appropriéespeuvent notamment consisterdans la mise en place de canaux de transmission sécurisés,de restrictions de l'accès aux donnéesou encore de fichiers dejournalisation. L'article 38 du projet de loi ne prévoit pas de mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée de sorte que cette disposition risque de ne pas constituer une base légale suffisante pour autoriser le traitement de données dites « sensibles ». 18CJUE, arrêt du 1eraoût2022, Vyriausioji tarnybinés etikos komisija, C-184/20, EU:C:2022:601, points 1 20 et s. NpD Avis d®la Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutien et protection auxmineurs, auxjeunes et aux familles 11/27 IV. Sur le Conseil su érieur de l'aide du soutien et de la rotection aux mineurs aux "eunes adultes et aux familles 31. L'article 40 du projet de loi institue le Conseil supérieur de l'aide, du soutien et de la protection aux mineurs, aux jeunes adultes et aux familles (ci-après le « Conseil ») qui a, entre autres, comme missions de « centraliser et analyser les données statistiques qui lui sont transmises » et de dresser « des comptes-rendus statistiques détaillés des mesures tant volontairesquejudiciaires, descaractéristiquesdespopulations-cibleet desanalysesfinancières détaillées ». À l'instar des autorités judiciaires1 9, la Commission nationale regrette le caractère vaguede ces dispositionsqui ne précisentpas la nature des donnéestransmises au Conseil, ni les entités obligées de les transmettre. 32. Il y a lieu de rappeler que les traitements de données à caractère personnel, c'est-à-dire les informations se rapportant à une personne physique identifiée ou identifiable, sont soumis aux règles posées par le RGPD. Ainsi, de tels traitements ne sont licites que s'ils peuvent être basés sur l'une des conditionsde licéitéénuméréesà l'article 6. 1 du RGPD. De plus, l'article 9 du RGPD confèreuneprotection particulièreauxdonnéesdites« sensibles», dontnotammentles données concernant la santé d'une personne physique. Enfin, l'article 89 du RGPD ainsi que les articles 63 à 65 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données s'appliquent aux traitements de données personnelles à des fins de recherche scientifique ou historique ou à des fins statistiques. 33. Au vu de leur caractère vague et imprécis, les dispositions sous examen ne pourraient pas servirde base légaleà des éventuellestransmissionsde donnéespersonnelles au Conseil. Le cadre légal posé par le RGPD et par la loi du 1eraoût2018 préciténe s'applique par contre pas aux donnéesanonymes. Le considérant

(26)du RGPDénonceà cet égardqu'il n'y a « pas lieu d'appliquer les principes relatifs à la protection des donnéesaux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche. » Il y a toutefois lieu de s'assurer qu'il s'agit effectivement de données anonymes et non pas de données pseudonymisées qui pourraient être attribuées à une personne physique par le recours 19Avis commun de la Cour d'appel, du Parquet général, des Parquets de Diekirch et de Luxembourg, et des Tribunaux d'arrondissement de Diekirch et de Luxembourg du 19 septembre 2022, doc. pari. n° 7994/07, p. 20. CNPD Avis de la Commission nationalepour la protection desdonnées relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et «;^: auxfamilles ^^y à des informations supplémentaires et qui, quant à elles, tombent dans le champ d'application du RGPD20. V. Sur l'intervention médicale d'ur ence 34. Aux termes de l'article 41 du projet de loi, un médecin peut, en cas d'urgence, intervenir même sans l'accord des titulaires de l'autorité parentale. Il doit alors adresser dans les trois jours à l'ONE un rapport motivé sur les mesures d'ordre médical qu'il a prises. Selon le commentaire des articles, cet article se base sur la loi modifiée du 24 juillet 2014 relative aux droits et obligations du patient. Celle-ci prévoit, dans son article 13. 3, une disposition similaire, avec l'obligation toutefois d'adresser un rapport motivé au procureur d'État. Le projet de loi reste muet quant à l'objectif poursuivi par cette transmission de rapport ainsi qu'auxsuites que l'ONE devra y réserver. Ainsi, les répercussions en matière de protection des données ne sont pas prévisibles pour les personnes concernées. La Commission nationale tient par ailleurs à rappeler que le traitement de données dites « sensibles » est en principe interdit, sauf dans tes hypothèses énumérées à l'article 9. 2 du RGPD et renvoie à cet égard à ses développements sous les points 28 à 30 du présent avis. VI. Sur le secret rofessionnel 35. Les articles 42 et 49 du projet de loi semblent avoir trait au secret professionnel. Il y a lieu d'examiner comment ces dispositions interagissent entre elles ainsi que leurs incidences en matière de protection des données. 1. Sur l'interdiction de la publication et de la diffusion 36. L'article 42 du projet de loi sanctionne pénalement le fait « de publier ou de diffuser de quelque manière que ce soit, les débats desjuridictions de lajeunesse ainsi que tous les éléments qui seraient de nature à révélerl'identité ou la personnalité du mineur, du jeune adulte ou de la famille qui fait l'objet d'une mesure prévue par la présente loi ». Le commentaire des articles précise que cette disposition s'applique à tous les dossiers en relation avec le projet de loi et ayant trait à un mineur, un jeune adulte ou une famille. 37. Il y a lieu de regretter que les auteurs du projet de loi ne fournissent pas davantage de précisions sur le champ d'application personnel de cet article : Vise-t-il uniquement les personnes ayant eu connaissancede ces élémentsdans l'exercice ou à l'occasion de leurs fonctions? Cette disposition s'applique-t-elle aux membres de la CRIP dans l'hypothèse où aucune « mesure » au 20A toutesfins utiles, la CNPDse permetde renvoyerà l'avis 05/2014du groupede travail « Article 29 » sur les techniques d'anonymisation, disponible sous : htt s://cn d. ublic. tu/content/dam/cn d/fr/ ublications/ rou e-art29/w 216 en. df CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles 13/27 sens du titre II du projet de loi n'a été prise, par exemple lorsqu'aucune suite n'a été réservée à l'information ? 38. L'alinéa3 de l'article 42 dispose que « [t]oute suspicion de fuite de donnéesdonne lieu à rétablissement d'une fiche de fuite de données transmise au ministre, qui décide de sa transmission au Procureurd'État». LaCommission nationalese demandece qu'il faut entendre par « fuite de données » et rappelle que le RGPD encadre la gestion des violations de données personnelles. En vertu de l'article 33. 1 du RGPD, le responsable du traitement doit notifier à la CNPD les violations de données à caractère personnel, cela sans préjudice de la compétence de l'autorité de contrôle judiciaire en ce qui concerne les traitements effectués par les juridictions dans l'exercice de leurs fonctions juridictionnelles2 1, tandis que l'article 33. 5 du RGPD dispose que le responsable du traitement documentetoute violation de donnéespersonnel. 2. Sur le partage et rechange d'informations entre professionnels 39. D'après le commentaire de l'article 49, les auteurs du projet de loi entendent créer un cadre légal pour le partage d'informations entre professionnels afin de donner une sécurité juridique aux prestataires concernés. La Commission nationale reconnaît qu'un échange d'informations entre les professionnels peut faciliter une prise en charge à la fois globale et continue des bénéficiaires.Néanmoins, les dispositions prévoyant un tel échangedoivent être, d'une part, prévisibles quant à leurs répercussions pour les personnes concernées et, d'autre part, proportionnéesà l'objectifpoursuivi. Au vu des interrogations que l'article 49 du projet de loi suscite, il se pose la question de savoir si le texte sous examen renforce réellement la sécurité juridique des professionnels. 40. Ainsi, la CNPD se demande si l'article 49 doit être compris comme étant une exception à l'article 42 du projet de loi, voire à d'autres dispositions légales consacrant le secret professionnel. Il serait souhaitable que les auteurs du projet de loi clarifient la manière dont ces différentes dispositions interagissent entre elles. Il se pose également la question de savoir pourquoi les auteurs ont fait le choix de limiter l'application de cette disposition aux procéduresvolontaires. Il serait dans l'intérêt de la sécurité juridique de prévoir un régime uniforme pour tous les professionnels intervenant dans le cadre du projet de loi. 41. À l'instar des autorités judiciaires2 2, la Commission nationale préconise que les auteurs précisent le sens et la portée des expressions utilisées, telles que « toute collaboration entre professionnels » et « ne détourne pas le professionnel de sa mission ». Si le projet de loi entend conféreraux bénéficiairesla facultéde s'opposer à rechanged'informations, il y a alors lieu, afin 21 Article 40.2 de la loi du 1er août2018 relative à la protection des personnes physiques à l'égarddu traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. 22Avis commun de la Cour d'appel, du Parquetgénéral,des Parquets de Diekirchet de Luxembourg, et des Tribunauxd'arrondissementde Diekirchet de Luxembourg du 19 septembre 2022, doc. pari. n" 7994/07, p. 22. CNPD Avis d®la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection auxmineurs, auxjeunes et auxfamilles 14/27 de garantirl'effectivitéde ce droit, de prévoirexpressémentque les personnesconcernéessont averties au préalablede cet échange. Par ailleurs, le cercle des personnes avec lesquelles les informations peuvent êtrepartagées ne devrait-il pas être limitéauxprofessionnels ouvrant dans le cadre de la mêmemission, à savoir la protection du mineur? Àcet égard, la CNPD sedemande notamment pourquoi le projet de loifait référenceaux pharmaciensou encore aux responsables de laboratoire d'analyses médicales et si un tel partage est nécessaire au regard de l'objectif poursuivi. Il est suggéré que les auteurs du projet de loi s'inspirent de l'article L.226-2-2 du Code français de l'action sociale et des familles23 qui, aux yeux de la CNPD, prévoit des règles plus claires et intelligibles en matière de secret partagé. Il résulte de ce qui précèdeque, contrairement à l'intention affichéepar les auteurs, l'article 49 du projet de loi risque d'être source d'insécurité, tant pour les bénéficiaires que pour les professionnels. VII. Sur la trans arence des décisions 42. L'article53 du projet de loi a traità la transparencedesdécisionsprises dans le cadre de la procédure volontaire. Le paragraphe 4 dispose que les personnes concernées peuvent demander la consultation des pièces du dossier dans un délai de 10 jours en adressant une demande motivéeau directeur de l'ONE. Dans l'intérêtsupérieurdu mineur et dujeune adulte, t'ONE peut classer certains passages du dossier comme confidentiels. 43. La CNPD tient à souligner que cette disposition est sans préjudice du droit d'accès prévu à l'article 15du RGPD.Àpart les exceptions et limitations prévues parle RGPD, notamment dans sesarticles 12.5, 15.4 et 23, il n'est pas possiblede prévoird'autresdérogationsau droitd'accès. Ainsi, une demande d'accèsne doit pas être motivée et n'est soumise à aucun délai. VIII. Sur les mesures visant à assurer la ualité des services 44. Il ressort de l'exposé des motifs que le projet de loi a pour ambition d'améliorer la qualité de la prise en charge et de l'encadrement des bénéficiaires par les prestataires. Tout en maintenant le principe de l'agrément, il est introduit un nouveau dispositif nommé 23L'article L. 226-2-2 du Code français de l'action sociale et des familles dispose: « Parexception à l'article 226-13 du code pénal, les personnes soumises au secret professionnel qui mettent en ouvre la politique de protection de l'enfance définieà l'article L. 112-3ou qui lui apportent leur concours sont autorisées à partager entre elles des informations à caractère secret afin d'évaluer une situation individuelle, de déterminer et de mettre en ouvre les actions de protection et d'aide dont les mineurs et leur famille peuvent bénéficier. Le partage des informations relatives à une situation individuelle est strictement limité à ce qui est nécessaire à l'accomplissement de la mission de protection de l'enfance. Le père, la mère, toute autre personne exerçant l'autorité parentale, le tuteur, l'enfanten fonction de son âge et de sa maturité sont préalablement informés, selon des modalités adaptées, sauf si cette information est contraire à l'intérêt de l'enfant. » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles « reconnaissancede la qualitédes services » qui prévoit notamment un système de gestion des plaintes. 1. Sur les traitements de données effectués dans le cadre des demandes d'agrément 45. D'après l'article 91 du projet de loi, les prestataires offrant l'une des mesures prévues par le projet de loi doivent être en possession d'un agrément accordé par le ministre ayant l'Enfance et la Jeunesse dans ses attributions (ci-après le « ministre »), conformément à la loi modifiée du 8 septembre 1998 réglant les relations entre l'État et les organismes ouvrant dans le domaine social, familial et thérapeutique (ci-après la « loi modifiée du 8 septembre 1998 »). Le paragraphe 4, point 1°, précise que, pour obtenir l'agrément, le requérant doit remplir « tes conditions d'honorabilitétant dans le chefde la personne physique ou des membres desorganes dirigeants de la personne morale responsables de la gestion des services que dans le chef du personnel dirigeant, d'encadrement ou autre. Le prestataire veille à ce que les conditions d'honorabilité du personnel soientrespectées». Il est encore indiquéque le détaildes conditionsd'agrémentest déterminépar règlementgrand-ducal.LaCNPDregrette que te projet de règlementgrand-ducal ne lui pas étésoumis ensemble avec le projet de loi. L'article 92 du projet de loi prévoit que le ministre peut procéder ou faire procéder à tout moment à la vérificationdu respect des conditions d'agrémentsans donner davantage de précisionssur la manièredont le contrôle sera effectué. 46. Il n'est pas clair aux yeux de la Commission nationale comment le projet de loi s'articule avec la loi modifiée du 8 septembre 1998. Les auteurs du projet de loi entendent-ils simplement renvoyer à la procédured'agrémenttelle que prévuepar la loi modifiéedu 8 septembre 1998et le règlement grand-ducal du 17 août 2011 concernant l'agrément à accorder aux gestionnaires d'activités pour enfants, jeunes adultes et familles en détresse? Ou le projet de loi a-t-il pour objet d'introduire une procédure d'agrément distincte qui s'applique parallèlement à celle prévue par la loi modifiéedu 8 septembre 1998 ? 47. Quant à la procédure instaurée par la loi modifiée du 8 septembre 1998, il y a lieu de noter que le règlement grand-ducal modifié du 17 août 2011 précité ne fournit que très peu de précisionsquantà la conditiond'honorabitité.En effet, l'article 8 disposequ'elle « s'appréciesur Jbase des antécédentsjudiciaires et de tous les éléments fournis par l'instruction administrative », tandis que l'article 9 énonce que le gestionnaire veille à contrôler les conditions d'honorabilité de son personnel et tient les pièces y relatives à la disposition du ministre et de certains fonctionnaires. 48. La CNPD se doit de relever le caractèrevague et imprécistant des dispositions de la loi modifiée du 8 septembre 1998 et de son règlement d'exécution que des dispositions du projet de loi sous examen. En effet, il ne ressort pas de ces textes dans quelles hypothèses CNPD ^vls tle 'a Commission nationalepour la protection desdonnées relatifau projet de loi n° 7994 portant aide, soutien et protection auxmineurs, auxjeunes et auxfamilles 16/27 l'« honorabilité» fait défaut, ni quelle procédure s'applique pour l'apprécier. Il est intéressantde noter que Madamela Ministre de la Justicea déposéen 2020 un projet de loi ayantcomme objet de préciser les différentes procédures de contrôle d'honorabilité actuellement prévues dans plusieurs textes de loi relevant de sa compétence24. Il est regrettable que cet effort de précision des procédures se limite au seul ressort du ministre de la Justice alors que les reproches d'imprécision s'appliquent également aux dispositions sous examen25. En l'état, les articles 91 et 92 du projet de loi sont source d'insécuritéjuridique en ce qu'ils ne permettent pas auxjusticiables de savoir quelles données sont susceptibles d'être collectées et traitées sur leur base26. 2. Sur le système de gestion des plaintes 49. L'article 94.3, point 2°, du projet de loi prévoitque le prestataire qui offre des mesures au sens des articles 5 à 20 et qui participe au dispositif de l'assurance de la qualité des services doit mettre en place un système de gestion des plaintes. En outre, l'article 4 du projet de loi impose à toute personne physique ou morale, de droit privé ou de droit public, qui prend en chargede manièrenon occasionnelledes mineurs et qui dispose d'un agrément conformément à la loi modifiée du 8 septembre 1998, ainsi qu'à chaque structure d'enseignement soumise au code de l'éducation nationale, de mettre en ouvre un concept de protection visant à évitertoute forme de maitraitance et de dangerallant à rencontre du bien-être du mineur. L'alinéa 3 est libellé comme suit : « Une procédure interne de gestion des plaintes est mise en place et le mineur accueilli est informédes moyens existants pour signaler ses doléances. Les réclamationssont documentées et une procédure de suivi des réclamations est mise en place. » Il résulteencore de l'article 35, point 12°, du projet de loi que l'ONEa notamment comme mission de « mettre en place et gérer un service de réclamation et un système de gestion des plaintes pour les prestataires et les bénéficiaires ». 24Projet de loi n" 7691 portant modification: 1° du Code de procédure pénale ; 2° du Nouveau Code de procédure civile ; 3° de la loi du 7 juillet 1971 portant en matièrerépressive et administrative, institution d'experts, de traducteurs et d'interprètesassermentéset omplétant les dispositions légalesrelativesà l'assermentationdes experts, traducteurs et interprètes ; 4° de la loi modifiéedu 9 décembre 1976 relative à l'organisation du notariat ; 5° de la loi modifiéedu 20 avril 1977 sur les jeux de hasard et les paris sportifs ; 6° de la loi du 30 décembre 1981 portant indemnisation en cas de détention préventive inopérante ; 7° de la loi modifiée du 12 mars 1984 relative à ['indemnisation de certaines victimes de dommages corporels résultantd'une infraction et à la répressionde l'insolvabilitéfrauduleuse ; 8° de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice ; 9" de la loi du 31 janvier 1998 portant agrément des services d'adoption et définition des obligations leur incombant ; 10° de la loi du 6 mai 1999 relative à la médiation pénale et portant modification de différentesdispositions

1. a)de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire,
2. b)du ode des assurances sociales ; 11° de la loi du 12 novembre 2002 relative aux activités privéesde gardiennageet de surveillance. 25V. en ce sens : Avis du Conseil d'Étatdu 26 octobre 2021, doc. pari. n° 7691/05 ; Délibération n°3AV3/2021 du 10 février2021 de la Commission nationale pour la protection des données, doc. pari. n° 7691/03. 26 Cf. points 5 à 7 du présentavis. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutien et protection auxmineurs, auxjeunes et auxfamilles 50. Les dispositions sous examen instaurent une obligation légale de mettre en place un système de gestion des plaintes qui rend nécessairedes traitements de données à caractère personnel. Or, il y a notammentlieu de s'interrogersur l'entitéou la personnephysiquequi serait à considérer comme responsable du traitement au sens de l'article 4. 7 du RGPD. Les articles 4 et 94. 3 du projet de loi laissent à penser que ce rôle incombe aux prestataires tandis que l'article 35, point 12° peut être interprété en ce sens que l'ONE assume le rôle du responsable du traitement. LaCNPDregretteparailleursquele projetde loineprécisepasdavantagecesystème de gestion des plaintes, comme parexemple les catégories de données pouvant faire l'objet d'un traitement ou encore les entités auxquelles les données personnelles peuvent, le cas échéant, être communiquées2 7. IX. Sur le titre VII - La rotection des données 51. La Commission nationale prend note que les auteurs ont fait le choix de regrouper les dispositionsrelativesà la protectiondesdonnéesau seindutitreVIIetque, auvu desexplications fournies dans le commentaire des articles28, ces dispositions sont censéess'appliquerà tous les traitements de données personnelles prévus par le projet de loi. Or, au regard de la multitude de traitements susceptibles d'être effectués par les différents acteurs (l'ONE, les différents prestataires offrant les diverses mesures, la CRIP, la maison de l'accueil en famille, le Conseil supérieurde l'aide,du soutienet dela protectionauxmineurs, auxjeunesadulteset auxfamilles, ... ), cette façon de procéder risque, d'un côté, de ne pas tenir compte des spécificités des différents traitements et, d'un autre coté, de nuire à la lisibilité du texte. 1. Sur le responsable du traitement 52. Aux termes de l'article 108. 1 du projet de loi, le ministre met en uvre les traitements des données personnelles concernant les bénéficiaires et les prestataires qui sont nécessaires à la réalisation des finalités énoncéesà l'article 109. Le paragraphe 2 précise que le ministre a la qualité de responsable du traitement. Or, la notion de responsable du traitement est un concept fonctionnel en ce qu'il vise à répartir les responsabilités en fonction des rôles réels des parties2 9. Cela implique que la désignationen tant que « responsable du traitement » par le projet de loi devrait concorder avec les activités réellement effectuées par l'entité en question. Même si le ministre est à considérercomme le responsabledu traitement de certainstraitements prévus par le projet de loi, tels que les traitements effectuésdans le cadre de la procédured'agrémentdes prestataires, il reste que l'ONE devient avec le projet de loi l'acteur central de l'aide, du soutien et de la protection aux mineurs, aux jeunes adultes et aux familles. La CNPD comprend que l'ONE est certes placé sous l'autorité du ministre mais qu'il s'agit néanmoins d'une administration 27 Cf. points 5 à 7 du présent avis. 28 Cf. point 22 du présent avis. 29Comitéeuropéende la protectiondesdonnées(EDPB), Lignesdirectrices07/2020oncernant les notions de responsabledutraitementet de sous-traitantdans le RGPD, point 12, disponiblessous : htt s://ed b.euro a.eu/ourwork-tools/our-documents/ CNPD uidelines/ uidelines-072020-once ts-controller-and- rocessor- d r en ^vis ^®'a Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles 18/27 disposantd'une certaine autonomie qui remplit elle-même les missions énuméréesà l'article 35, dont notamment le recueil et le traitement des demandes volontaires ou encore la tenue de la gestion centrale des listes d'attente. L'UNE, et non pas le ministre, est dès lors à considérer comme le responsable du traitement de ces traitements et l'article 108 du projet de loi devrait le refléter. 53. La même remarque est valable pour la CRIP30, les prestataires31 ainsi que pour le Conseil supérieur de l'aide, du soutien et de la protection aux mineurs, aux jeunes adultes et aux familles32 : aux yeux de la CNPD, ces organismes, et non pas le ministre, sont à considérer comme responsables de leurs traitements respectifs. En ce qui concerne la maison de l'accueil en famille33qui est notamment chargéede la sélectionet de la formation des familles d'accueil, s'agit-il d'un simple service offert par l'ONE de sorte que l'ONE serait à considérer comme responsable du traitement ? En tout état de cause, la Commission nationale considère que le ministre n'est pas te responsable des traitements effectuésparla maison de l'accueil en famille. 54. L'article 108.2 du projet de loi dispose encore que le ministre « peut faire exécutersous sa responsabilitétout ou partie des obligationsqui lui incombenten vertu de la loi par un membre du cadre supérieur de son ministère ». La CNPD s'interroge sur le sens à donner à cette disposition. En matière de protection des données, c'est généralement l'organisation en tant que telle, et non une personne au sein de celle-ci, qui agit en tant que responsable du traitement au sens du RGPD. En désignant le ministre comme responsable du traitement, la CNPD comprend que les auteurs du projet de loi ne visent pas te ministre personnellement mais l'autorité administrative que le ministre représente. Même si, dans les faits, une personne physique particulièreest désignéepourveillerau respect des règlesen matièrede protection des données, cette personne ne sera pas le responsable du traitement mais agira pour le compte de l'organisation34. Il en résulte que cette disposition peut être omise d'un point de vue protection des données. 55. Finalement, la CNDP tient à rappeler que le RGPD est, en tant que règlement européen, d'application directe et qu'il n'est pas nécessaire de prévoir dans le projet de loi que les dispositions du RGPD s'appliquent aux traitement de données personnelles prévus par le projet 30 Cf. Article 38 du projet de loi. 31 Cf. Article 39 du projet de loi. 32Cf. Article 40 du projet de loi 33 Cf. Article 36 du projet de loi. 34 Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 oncernant les notions de responsable du traitement et de sous-traitant dans le RGPD, points 17 et 18, disponibles sous htt s://ed b. euro a. eu/our-work-tools/our-documents/ uidelines/ uidelines-072020-conce ts-controller-andDrocessor-adpr fr. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n" 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles ^^ de loi35. Dans le même ordre d'idées, il résulte du RGPD que les droits des personnes concernées s'exercentauprèsdu responsabledu traitement de sorte que l'article 108. 1, deuxièmephrase, et l'article 108. 3 sont superfétatoires et peuvent être supprimés. 2. Sur les finalités 56. La Commission nationale reconnaît l'effort des auteurs pour énumérer, à l'article 109, les finalités poursuivies par les multiples et divers traitements prévus par le projet de loi, mais donne à considérerque le fait d'énumérertoutes les finalitésdes différentstraitements dans un article, détachédu reste du projet de loi, nuit à la lisibilitédu texte. A titre d'exemple, l'article 109, point 8°, indique comme l'une des finalités « l'archivage, les statistiques et la recherche scientifiqueet historique ». La CNPD se demande quels traitements sont exactement visés par ce point et se permet de renvoyer à ses développements sous les points 26 et 27 du présent avis ainsi qu'à la loi modifiée du 17 août 2018 sur l'archivage. De manière générale, il serait préférableque la finalitédes traitements ressorte des dispositions prévoyant les traitements respectifs au lieu de figurerdans une disposition à part dont il est difficiledefaire le lien avec le reste du texte. 3. Sur les catégoriesde donnéesà caractèrepersonnel 57. L'article 110 de la loi en projet énonce les catégoriesde donnéestraitées dans le cadre des différentesfinalitésénuméréesà l'article précédent. Il est, ici encore, difficilede faire le lien entre les différentescatégoriesde données et les traitements concrètement visés. De plus, les catégories de données sont décrites de manière assez vague (caractéristiques personnelles, données médicales...) et ce n'est que dans le commentaire des articles que les auteurs fournissentplus de précisions,au moins pourcertainescatégoriesde données. Parailleurs, cette disposition énumère des catégories de données qui bénéficient, en application du RGPD, d'une protection accrue, à savoir les données médicales36 ainsi que les données relatives aux condamnations pénaleset aux infractions. 58. Il résulte par exemple du point 4° de l'article 110 que des-donnéespersonnelles relatives aux infractions pénales et aux condamnations sont traitées pour les finalités prévues aux points 2 (l'administration des bénéficiaires)et 3 (l'administration des prestataires) de l'article 109. Le commentaire des articles explique à cet égard que « [e]n ce qui concerne les prestataires, une copie des casiers judiciaires n°3 et n°5 est demandée pendant la procédure d'agrément. La CNPDestime que les auteurs devraientfairefigurerces précisionsà l'article 91.4 du projet de loi, tout en veillant à la concordance de ces dispositions avec celles de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire, et renvoie pour le surplus à ses observations 35V. en ce sens : Avis n°60.376 du 16 juillet 2021 du Conseil d'Etatsur le projet de loi portant organisationde l'accès à la onnaissancede ses origines dans le cadre d'une adoption ou d'une procréationmédicalementassistéavec tiers donneurs, doc. pari. n°7674/03, p. 4. 36 Cf. points 28 à 30 du présent avis. CNPD ^vls c*e *a Commission nationale pour la protection des données relatifau projet de loi n" 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles ^p^y sous les points 45 à 48 du présent avis. Quant aux bénéficiaires,le commentaire des articles indique que « connaître les antécédentsjudiciaires permet à l'ONE de déterminer la prise en charge la plus adaptée », sans préciser davantage les traitements de données qui seraient effectués dans ce contexte. 59. Il y a lieu de rappeler que l'article 10 du RGPD vise à assurer une protection accrue à rencontre des traitements relatifs aux condamnations pénales et aux infractions qui, en raison de la sensibilitéparticulièredes donnéesen cause, sont susceptibles de constituer une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne37. Ainsi, ces traitements doivent non seulement relever de l'un des cas prévus par l'article 6 du RGPD, mais ils sont également soumis aux restrictions additionnelles prévues à l'article 10. Conformément à cette disposition, le traitement de ces données « ne peut être effectué aue sous le contrôle de l'autorité publique », à moins qu'il ne soit « autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées ». Ladite disposition précise, par ailleurs, que « [t]out registre complet des condamnations pénales ne peut être tenu que sous te contrôle de l'autorité publique ». 60. En ce qui concerne l'article 6 du RGPD, les traitements en cause sont susceptibles de relever de l'article 6. 1.c)38ou de l'article 6. 1.e)39du RGPD. Il reste toutefois que ces traitements doivent alors être prévus par une loi accessible aux personnes concernées, prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante, et proportionnée à l'objectif poursuivi40. Quant à l'article 10 du RGPD, il n'y a pas de difficultésparticulièressi les traitements sont effectués par une autorité publique, telle que l'ONE. Dans l'hypothèse où des acteurs privés, comme par exemple les prestataires, traitent des donnéespersonnelles relatives à des condamnations pénales ou des infractions, le droit national autorisant ce traitement doit prévoir« des garantiesappropriéespour les droits et libertés des personnes concernées ». 4. Sur l'accès aux donnéesà caractèrepersonnel 61. L'article 111 vise à encadrer l'accès aux donnéespersonnelles traitées dans le cadre du projet de loi. Or, le fait de vouloir régler cet aspect par un article unique s'appliquant indistinctement à tous les traitements de données prévus par la loi en projet ne tient pas suffisamment compte des spécificités des divers traitements et nuit à la lisibilité du texte. L'article 111 renvoie par ailleurs aux finalités et aux catégoriesde donnéesénuméréesaux articles 109 37CJUE, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C-439/19, EU:C:2021:504, point 74. 38Letraitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis. 39Letraitementestnécessaireà l'exécutiond'unemissiond'intérêtpublicourelevantde l'exercicedel'autoritépublique dont est investi le responsable du traitement. 40 Cf. points 5 à 7 du présentavis. CNPD Avis d®la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles ^^ et 110, ce qui rend d'autant plus difficile de savoir quels traitements sont concrètement visés. La CNPD préconiseque les dispositions prévoyant les traitements respectifs règlent égalementla question des personnes et/ou entités qui peuvent avoir accès aux données ainsi que les modalités de cet accès. 62. Sous réservede ce qui précède,la Commission nationale se permet de relever certaines incohérences contenues dans le paragraphe 1er de t'article 111 du projet de loi. Selon cette disposition, l'accès aux données ne peut se faire que sur autorisation préalable du responsable du traitement41. Est-ce que le responsable du traitement peut refuser l'accès aux données, pourtant prévu par cet article ? Dans l'affirmative, dans quelles hypothèses l'accès peut-il être refusé? Aux termes du point 2°, les prestataires ont accès aux donnéesd'identificationset aux caractéristiques personnelles pour la prise en charge des bénéficiaires. Est-ce que les prestataires ne devraientpas avoiraccèsà certainesdonnéesmédicales, notamment au regard 2 des explications fournies dans le commentaire des articles4 ? Par ailleurs, qu'est-ce que les auteurs visent par « tes données anonymisées par le juge de lajeunesse » mentionnées au point 4° ? A toutes finsutiles, la CNPDdonneà considérerquele RGPDne s'appliquepasauxdonnées renduesanonymesde telle manièreque la personneconcernéene soit pas ou plus identifiable. 63. Le paragraphe 2 de l'article 111 du projet de loi précise la manière dont le système informatique par lequel l'accès ou le traitement des données sont opérésdoit être aménagé. Même si elle approuve de manière générale le fait de prévoir que l'accès aux données est sécurisémoyennantuneauthentificationforte ainsique le principede lajournalisationdesaccès, la Commission nationale se demandes'il est vraiment de la volonté des auteurs de créer un accès direct aux données détenues par le responsable du traitement au profit des personnes concernées ou encore au profit des personnes titulaires de l'autorité parentale. En ce qui concerne la durée de conservation des donnéesde journalisation, il est suggéréde porter cette durée à cinq ans, ce qui correspond au délai de prescription des délitstels que la violation du secret professionnel prévu à l'article 458 du Code pénal. 5. Sur la pseudonymisation, l'anonymisation et la conservation des données 64. L'article 5. 1.
3. e)du RGPD énonce le principe de ta limitation de conservation en vertu duquel les données personnelles ne doivent pas être conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées. À l'issue de la durée de conservation, les données doivent être supprimées ou anonymisées. Aux termes de cet article, les données personnelles peuventtoutefoisêtreconservéespourdes duréesplus longuesdansla mesureoù elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de 41 Ence qui oncerne la notionde « responsabledutraitement », il est renvoyéauxpoints52 à 55 du présentavis. 42Doc. pari. n° 7994/00, p. 69: « Lesdonnéesmédicalessonttraitéespourcertainesmesuresoùune ordonnance médicale sert de base à la prise en charge. Il s'agit notamment du soutien au développement par la psychomotricité ou l'ergothérapie ou du soutien au développement par l'orthophonie. » CNPD Avis d®la Commission nationalepour la protection desdonnées relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles 22/27 recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89. 1 du RGPD, pour autant que soient mises en ouvre les mesures techniques et organisationnelles appropriéesrequises par le RGPDafinde garantirles droits et libertésde la personneconcernée. 65. Il y a lieu de regretter que l'article 112 du projet de loi ne se réfère qu'aux données personnelles concernant les bénéficiaires de sorte que le projet de loi ne se prononce pas sur la durée de conservation des données concernant les autres catégories de personnes concernées comme par exemple les personnes faisant l'objet d'une communication d'information préoccupante ou les personnes exerçant l'activité de famille d'accueil. La loi en projet prévoit des durées de conservation très différentesselon que les bénéficiairessont des « adultes » ou des « mineurs ». Aux yeux de la CNPD, il n'est toutefois pas clair dans quelles hypothèses un bénéficiaire est qualifié en tant que « adulte » ou, par contre, en tant que « mineur » au sens de la dispositionsous examen. Un bénéficiaireest-il à considérercomme adulte lorsque la dernière mesure a débuté après son 18e anniversaire ? 66. Il résulte du point 1° de l'article 112. 1 du projet de loi, lu ensemble avec l'article 112.2, que pour les adultes, les données sont anonymisées 5 ans et 6 mois après la fin de la dernière mesure lorsque cette dernière a débuté après le 18e anniversaire du bénéficiaire. Faute d'explications de la part des auteurs du projet de loi, la CNPD se trouve dans l'impossibifité d'appréciersi cette duréeest appropriée. 67. Pour les mineurs, le point 2° de l'article 112. 1 du projet de loi, lu ensemble avec l'article 112. 2, dispose qu'en ce qui concerne les demandes introduites n'ayant donné aucune suite, les donnéespersonnelles sont anonymisées2 ans et 6 mois aprèsla date d'ouverture du dossier. Ici encore, les auteurs du projet de loi ne fournissent pas d'explications quant à cette durée de consen/ation. La CNPD se demande par ailleurs quelle durée de conservation s'applique aux demandes n'ayant donné aucune suite qui concernent des jeunes adultes, le texte sous examen étant muet à ce sujet. 68. Par la suite, le point 2° évoque les données personnelles des bénéficiaires ayant passé toute ou partie de leur vie dans un accueil en famille ou dans un accueil provisoire. Ces données ne seraient anonymiséesque 6 mois après le 90e anniversaire du bénéficiaire.Cette disposition soulève plusieurs remarques, voire interrogations, de la part de la CNPD. Premièrement, quelle durée de conservation s'applique aux données des « mineurs » qui ont fait l'objet d'une autre mesure 3 que d'un accueil en famille4 ou d'un accueil provisoire ? Que faut-il entendre par « accueil provisoire » ? Deuxièmement,la CNPDs'interrogesurla proportionnalitédecette durée de conservation. Aux termes du commentaire des articles, « te projet de loi s'aligne avec le cadre légal français et donne l'occasion aux bénéficiaires de connaître leurs origines et leur histoire. 43 La CNPD suppose que les auteurs visent l'accueil en famille d'accueil. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutien et protection auxmineurs, auxjeunes et auxfamilles 23/27 L'expériencemontre que beaucoupde personnesqui ont bénéficiéde mesures d'aide, de soutien et de protection s'intéressent, à un moment de leur vie, à leur parcours dans le secteur et aux raisons de l'intervention de l'Êtat. Étendrele délaide pseudonymisation jusqu'au 90e anniversaire du bénéficiaire permet d'en tenir compte. » A cet égard, la CNPD regrette que les auteurs du projet de loi n'indiquent pas précisément quelle disposition française instaure une telle durée de conservation et se permet de renvoyer au référentiel adopté en la matière par son homologue français, la Commission Nationale de l'Informatique et des Libertés(CNIL), qui ne semble pas prévoirdes durées aussi longues44. Par ailleurs, il se pose la question de l'application de la loi modifiéedu 17 août 2018 sur l'archivage. Selon son article 1er, cette loi a notamment pour objet de « régler l'archivage dans l'intérêtpublic [... ] pour les besoins de la gestion et de la justification des cfr'0/te des personnes physiques ou morales, publiques ou privées ». Il résulte encore des travaux parlementaires que l' « [u]n des objectifs principaux d'une loi en matière d'archives consiste à protéger le patrimoine archivistique qui contribue à la constitution et à la sauvegarde ofe la mémoire individuelle et collective. Cette mémoire individuelle et collective se base en grande partie sur des donnéesnominativeset sur /'accèsà ces données»45. LaCNPDse demandedès lors si le cas de figure évoqué par les auteurs du projet de loi ne serait pas couvert par la loi modifiée du 17 août 2018 sur l'archivage qui permet notamment aux personnes concernées d'exercer leur droit d'accès auprès des archives. Ainsi, les administrations et services de l'État, tels que l'ONE, ne seraient pas obligés de conserver les données personnelles pendant une duréequi risque de paraître excessiveau regard des finalitéspour lesquelles elles sont traitées, tout en conférant par exemple aux personnes ayant fait l'objet d'une mesure de placement la possibilité d'accéder aux documents les concernant même s'ils datent de plusieurs décennies. La durée de conservation au sens de l'article 5. 1.
4. e)du RGPD correspondrait ainsi à la durée d'utilité administrative au sens de l'article 2, point 9, de la loi modifiée du 17 août 2018 sur l'archivage. 69. La CNPDdonne encore à considérerque les auteurs du projet de loi devraientveiller à la concordance des durées de conservation prévues par le projet de loi avec celles instaurées par d'autres textes légaux. A titre d'exemple, l'article 13.4 de la loi du 1er août 2019 concernant l'Institut étatique d'aide à l'enfance et à la jeunesse dispose que « [l]es données relatives au fichier individuel d'un mineur d'âge admis à l'Institut sont conservées pour une durée de conservation de cinq ans à compter de la date à laquelle le mineur d'âgea atteint sa majorité. » 70. A supposer que les durées de conservation telles que fixées par l'article 112 du projet de loi soient appropriées, il y a néanmoins lieu de s'interroger sur les raisons pour lesquelles la pseudonymisation des données personnelles interviendrait à un stade aussi tardif. Contrairement 44 Référentielrelative auxtraitements de donnéesà caractèrepersonnel mis en ouvre dans le cadre de la protection de l'enfance et des jeunes majeurs de moins de vingt-et-uns, adopté le 20 janvier 2022 par la Commission Nationale de l'Informatique et des Libertés(CNIL), point 7. 1, disponible sous : htt s://www. cnil. fr/sites/default/files/atoms/files/referentiel relatif a la rotection de lenfance. df 45 Doc. pari. n° 6913/00, commentaire des articles, p. 25. CNPO Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles 24/27 à l'anonymisation, la pseudonymisation est une opération réversible qui permet d'identifierune personne physique en ayant recours à des informations supplémentaires. Il s'agit d'une mesure de sécurité contribuant à la mise en conformité avec les règles relatives à la protection des données. Le RGPD reste applicable aux données pseudonymisées. Ce n'est qu'après leur suppression ou anonymisation que les données ne sont plus soumises au RGPD. 71. Selon le commentaire des articles, l'article 113 du projet de loi détermine également les délais de conservation des données, bien que cela soit aussi l'objet de l'article 112. Aux termes de l'article 113. 1 du projet de loi, « [IJes données à caractère personnel relatives à des demandes incomplètes restées sans suites sont supprimées après 6 mois ». S'agit-il des demandes introduites n'ayant donné aucune suite telles que visées à l'article 112. 1, point 2°, lettre a ? En ce qui concerne le point de départ du délai de 6 mois, le commentaire des articles indique que « [p]our les demandes sans suite, les données à caractère personnel sont supprimées 6 mois aorés leur anonymisation ». Or, il se pose la question de savoir pourquoi le projet de loi prévoit, en plus de l'anonymisation, la suppression des données. En effet, l'anonymisation a pour conséquence que la législation relative à la protection des données ne s'applique plus aux données en question de sorte que, d'un point de vue protection des données, il n'est pas nécessairede prévoirla suppression des donnéesanonymisées. X. Sur les dis ositions modificatives 72. Les auteurs entendent procéder à la modification de plusieurs lois existantes afin de les rendre conformes aux dispositions du projet de loi. Les observations qui suivent se limiteront aux modifications apportées à ces lois, pour autant qu'elles aient des implications en matière de protection des données, et ne se prononceront pas sur les dispositions existantes qui restent inchangées. A toutes fins utiles, la Commission nationale renvoie aux avis qu'elle a rendus dans le cadre de la procédure d'élaboration de ces lois46. 73. Les articles 116 à 128 du projet de loi portent modification de la loi modifiéedu 16juin 2004 portant réorganisation du centre socio-éducatif de l'État. Ainsi, le projet de loi vise notamment à supprimer l'unité de sécurité dite « UNISEC » se trouvant sur le site de Dreiborn. Il résulte du commentaire des articles que le centre socio-éducatif de l'État(ci-après le « CSEE ») n'encadrera plus de jeunes en milieu fermé, mais offrira un encadrement renforcé en milieu ouvert. Ainsi, le CSEE accueillera des mineurs et des jeunes adultes dans le cadre des mesures prévues par le projet de loi sous examen et les mineurs privés de liberté seront placés dans un centre pénitentiaire pour mineurs4 7. 46Voirnotammentdoc. pari. n" 6593/01 et doc pari. 6593/12. 47Projet de loi n° 7991 portant introduction d'un droit pénal pour mineurs et portant modification : 1" du Code de procédure pénale ; 2° de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ; 3° de la loi modifiée du 17 mars 2004 relative au mandatd'arrêteuropéenet auxprocéduresde remise entre Etats membres de l'Unioneuropéenne ; 4° de la loi du 20juillet 2018 portant réformede l'administration pénitentiaire CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles ^^ 74. Or, la Commission nationale s'interroge si les dispositions relatives aux traitements de données effectués par le CSEE ne devraient pas être adaptées afin de refléter davantage cette nouvelle orientation du CSEE. Àtitre d'exemples, est-il toujours nécessairede procéderà des fouilles corporelles, dont notamment des fouilles intimes, des pensionnaires et de tenir, par conséquent, un fichierspécialdes fouilles ? Est-il toujours nécessaireque le Procureurgénéral d'Étatet son déléguéaientaccèsaufichierindividueldes pensionnaires ? Il y a lieu de noterque la loi du 1er août 2019 concernant l'Institut étatique d'aide à l'enfance et à la jeunesse ne prévoit pas de telles dispositions alors que cet institut prend également en charge des mineurs et des jeunes adultes dans le cadre du projet de loi. 75. En ce qui concerne plus particulièrementle contrôle de la correspondance, il résulte de l'article 10 de la loi modifiée du 16 juin 2004 portant réorganisation du CSEE qu'il peut être procédé,surordreformel du directeurou d'undesesdélégués,aucontrôledela correspondance des pensionnaires. Non seulement cette disposition risque de constituer une atteinte disproportionnée au respect à la vie privée et à la correspondance, elle ne permet pas aux pensionnaires de savoir en quelles circonstances il pourra être procédé au contrôle de leur correspondance, ce qui les expose à une ingérence arbitraire de ta part du CSEE48. La Cour de Strasbourg a jugé que, s'agissant de l'application de restrictions à la correspondance, il est important de distinguer entre les mineurs placés sous éducation surveillée et les détenus. La marge d'appréciation dont les autorités jouissent est plus réduite dans le premier cas49. Ce raisonnement devrait s'appliquer a fortiori aux mineurs accueillis en milieu ouvert. Xl. Sur les dis ositions abro atoires 76. Leprojet de loi abrogenotamment la loi modifiéedu 10 août1992 relative à la protection de la jeunesse. À cet égard, la CNPD tient à signaler que l'article 17 de la loi du 1er août 2018 relativeà la protection des personnesphysiquesà l'égarddutraitementdesdonnéesà caractère personnel en matière pénaleainsi qu'en matièrede sécuriténationalefait référenceà l'autorité compétentesur base de la loi modifiéedu 10 août 1992 relative à la protection de la jeunesse. Pour une meilleure lisibilité du texte, et donc pour une sécuritéjuridique accrue, il est suggéréde modifierl'article 17 de la loi du 1eraoût2018afinde désignerexpressémentl'autoritédorénavant visée. XII. Sur les dis ositions transitoires 77. L'article 152 du projet de loi a trait aux dispositions transitoires dans te cadre de la procédurejudiciaire.Auxtermesdu point4° duditarticle, <-<tes dossierspapierdu SCASainsique 48V. en ce sens : CourEDH, arrêtdu 28 novembre 2002, Laventse. Lettonie, §§ 134 à 137 ; CourEDH, arrêtdu 27 avril 2004, Doerga e. Pays-Bas, §§44 à 54. 49 V. en ce sens : CourEDH, arrêtdu 19 mai 2016, D. L. e. Bulgarie, §§ 104-109. CNPD ^vls c*e'a Commissionnationalepour la protection desdonnées relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et aux familles 26/27 leur base de données informatique en rapport avec les « Assistances éducatives » sont transmis à l'ONEpour assurer la continuitéde la prise en charge ». Sans préjudicede la compétence de l'autorité de contrôle judiciaire en ce qui concerne les traitements effectués par les juridictions dans l'exercice de leurs fonctions juridictionnelles50, la Commission nationale partage les préoccupations exprimées par les autorités judiciaires dans leur avis commun51. Ainsi, les auteurs du projet de loi devraient déterminer plus clairement les données qui seraient à transmettre à l'ONE ainsi que les modalitésde cette transmission, tout en veillant au respect du principede minimisationdes donnéesen applicationduquel seules les donnéesnécessairespour assurer la continuité de la prise en charge des « Assistances éducatives» pourront faire l'objet d'une transmission. Ainsi adopté à Belvaux en date du 13 janvier 2023. La Commission nationale pour la protection des données ^k/ Tine A. Larsen Présidente Thierry Lallemang Commissaire / MarèTemmer Commissaire Alain hlerrmann Commissaire 50Article 40.2 de la loi du 1eraoût2018relative à la protectiondes personnes physiquesà l'égarddutraitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. 51Avis communde la Courd'appel, du Parquetgénéral,des Parquetsde Diekirchet de Luxembourg,et des Tribunauxd'arrondissementde Diekirchet de Luxembourg du 19 septembre 2022, doc. pari. n° 7994/07, p.42. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n° 7994 portant aide, soutien et protection aux mineurs, auxjeunes et auxfamilles ^