← Luxembourg

Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994

Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes adultes et aux familles portant modification :

  1. du Code du travail ;
  2. du Code de la sécurité sociale ;
  3. de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ;
  4. de la loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'État ;
  5. de la loi modifiée du 4 juillet 2008 sur la jeunesse ;
  6. de la loi modifiée du 10 décembre 2009 relative à l'hospitalisation sans leur consentement de personnes atteintes de troubles mentaux;
  7. de la loi du 1er août 2019 concernant l'institut étatique d'aide à l'enfance et à la jeunesse ; et portant abrogation
  8. de la loi modifiée du 10 août 1992 relative à la protection de la jeunesse ;
  9. de la loi modifiée du 16 décembre 2008 relative à l'aide à l'enfance et à la famille Délibération n° 103/AV11/2025 du 14 novembre
  11. Conformément à l’article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci -après le « RGPD »), auquel se réfère l’article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ».
  12. L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » CNPD Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes adultes et aux familles. 1/7
  13. Le 13 janvier 2023, la Commission nationale a rendu un premier avis1 relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes et aux familles et portant modification:
  14. du Code du travail ;
  15. de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ;
  16. de la loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l’État ;
  17. de la loi modifiée du 4 juillet 2008 sur la jeunesse ;
  18. de la loi modifiée du 10 décembre 2009 relative à l'hospitalisation sans leur consentement de personnes atteintes de troubles mentaux ;
  19. de la loi du 1 er août 2019 concernant l'institut étatique d'aide à l'enfance et à la jeunesse ; et portant abrogation
  20. de la loi modifiée du 10 août 1992 relative à la protection de la jeunesse ;
  21. de la loi modifiée du 16 décembre 2008 relative à l'aide à l'enfance et à la famille (ci-après le « projet de loi »). Suite à des amendements gouvernementaux adoptées le 8 février 2023, la CNPD a adopté un avis complémentaire en date du 16 mai
  22. 2
  23. Lors de la séance du 7 mai 2025, le Conseil de gouvernement a adopté une nouvelle série d’amendements gouvernementaux (ci-après les « amendements »), qui visent à répondre aux critiques soulevés par le Conseil d’Etat dans son avis du 1 er juin 2023
  24. Par courrier en date du 19 mai 2025, Monsieur le Ministre de l’Éducation nationale, de l’Enfance et de la Jeunesse a invité la Commission nationale à se prononcer sur lesdits amendements.
  25. Le présent avis complémentaire portera uniquement sur les amendements gouvernementaux concernant la protection des données personnelles, notamment les amendements n°4 et n°
  26. I. Remarques liminaires
  27. Tout d’abord, la CNPD constate que les amendements visent à supprimer le titre initialement dédié à la protection des données à caractère personnel
  28. Désormais, plusieurs dispositions y relatives ont été insérées, de manière transversale, dans le texte du projet de loi. Selon le commentaire des articles, « [c]ette nouvelle manière de mettre en œuvre la protection des données se veut respectueuse des dispositions de la nouvelle Constitution luxembourgeoise, qui réserve à la protection des données une plus grande place »5 .
  29. Compte tenu de la multitude de traitements susceptibles d’être effectués par les différents acteurs concernés, cette approche transversale permet de mieux tenir compte des spécificités propres à 1 Délibération n°5/AV1/2023 du 13 janvier 2023 de la Commission nationale pour la protection des données, doc. pari. n° 7994/09 (ci-après I’ « avis initial »). 2 Délibération n° 31/AV15/2024 du 16 mai 2024 de la Commission nationale pour la protection des données, doc. pari. n° 7994/22 (ci-après I’ « avis complémentaire »). 3 Avis
  30. 980 du 1 er juin 2023 du Conseil d'État, doc. pari. n° 7994/
  31. 4 V. Titre Vil du projet de loi initial. 5 Ad art. 4), amendements gouvernementaux du 7 mai 2025, p.
  32. CNPD Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes adultes et aux familles. 2/7 chaque traitement. La CNPD salue cette nouvelle structuration, qui répond aux observations formulées dans son avis initial
  33. Il- Sur le traitement des données personnelles par l’Office national de l’enfance
  34. L’article 4 nouveau du projet de loi prévoit de manière explicite le traitement des données personnelles par l’Office national de l’enfance (ci-après l’« ONE »). Le premier paragraphe dudit article précise que « [l]e directeur de l’ONE a la qualité de responsable du traitement ». Dans son avis initial, la CNPD avait souligné que, bien que l’ONE soit placé sous l’autorité du ministre, il s’agit d’une administration dotée d’une certaine autonomie et que cette dernière, et non pas le ministre, devrait être considéré comme responsable du traitement des traitements respectifs
  35. Il y a lieu de saluer les auteurs des amendements d’avoir intégré cette recommandation, en clarifiant la répartition des responsabilités conformément aux observations formulées par la CNPD.
  36. Ensuite les paragraphes

(2)à
(5)du même article décrivent les catégories de données collectées, à savoir des informations sur l'identité, le statut familial, la situation sociale et scolaire des mineurs et jeunes adultes, ainsi que des données concernant les parents ou titulaires de l’autorité parentale. La Commission nationale se félicite que les auteurs des amendements ont veillé à préciser les données devant être traitées pour les finalités déterminées, conformément au principe de minimisation des données, selon lequel seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités soient traitées8. 10. La CNPD note que le paragraphe
(7)de l’article 4 nouveau du projet de loi prévoit que « l’ONE peut accéder aux traitements des données du registre général des personnes physiques et morales, créé par la loi modifiée du 30 mars 1979 organisant l’identification numérique des personnes physiques et morales, afin de comparer avec les données collectées par l’ONE, les informations d’identification des mineurs, des jeunes adultes, des parents et des titulaires de l'autorité parentale telles que le nom, le prénom, le sexe, l’état civil, le numéro d’identification national, la date de naissance, l’adresse du domicile ». Etant donné que l’article 46 de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques dispose que « [t]oute référence au « répertoire général » et qui vise les personnes physiques s’entend comme référence au « registre national des personnes physiques » (ci-après le « RNPP »), il convient de remplacer le terme « général » par le terme « national ». Dans ce contexte, il convient également de souligner que l’accès au RNPP par une administration est soumis aux procédures prévues par 6 Délibération n°5/AV1/2023 du 13 janvier 2023 de la Commission nationale pour la protection des données doc pari n° 7994/09, p. 13. 7 Délibération n°5/AV1/2023 du 13 janvier 2023 de la Commission nationale pour la protection des données, doc. pari. n° 7994/09, p. 13. 8 Art. article 5.1 c) du RGPD. CNPD Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes adultes et aux familles. 3/7 l’article 10 de la loi modifiée du 19 juin 2013, ainsi que par les articles 5 à 7 du règlement grandducal du 28 novembre 2013 fixant les modalités d’application de cette loi. 11. En outre, la CNPD salue que l’article 4 paragraphe
(9)nouveau du projet de loi prévoit les mesures techniques de sécurité mises en place par l’ONE pour protéger les données personnelles traitées par ses services afin de garantir la confidentialité, l’intégrité et la disponibilité des données personnelles qu’elle traite conformément à l’article 5.1.f) du RGPD. Ces mesures incluent notamment une authentification forte, la gestion des identités et des droits d’accès, la journalisation des accès ainsi que la conservation de ces informations pendant cinq ans. 12. En outre, la Commission nationale note favorablement que le projet de loi détermine la durée de conservation des données. L'article 4 paragraphe
(10)du projet de loi dispose qu’ « [e]n vue de la réalisation des traitements visés à l’article 3, paragraphes 3, points 1° à 9° et paragraphe 5, point 3°, les données sont conservées pour une durée de trente ans à partir de la majorité en ce qui concerne le bénéficiaire d’une mesure d’accueil stationnaire et d’une mesure d’accueil en famille d’accueil et pour une durée de dix ans à partir de la majorité en ce qui concerne le bénéficiaire d’une mesure ambulatoire et d’une mesure d’accueil de jour.» Par ailleurs, il ressort du commentaire des articles que « [l]e paragraphe 10 fixe des règles strictes sur la durée de conservation des données, en fonction de la nature de la mesure reçue. Cette durée est prolongée après la majorité des bénéficiaires concernés. Cette approche est conforme aux principes de minimisation des données et de limitation dans le temps, qui sont des aspects essentiels du RGPD. » Or, en l’absence d'explications dans le commentaire de l'article quant à la nécessité de conserver les données pendant une durée de 30 ans à partir de la majorité en ce qui concerne le bénéficiaire d’une mesure d’accueil stationnaire et d’une mesure d’accueil en famille d’accueil et pour une durée de dix ans à partir de la majorité en ce qui concerne le bénéficiaire d’une mesure ambulatoire et d’une mesure d’accueil de jour, la CNPD n'est pas en mesure d'apprécier si le principe de limitation de la conservation, conformément à l’article 5.1 e) du RGPD, est en l'espèce respecté. III. L’intégration de la mission de la CRIP en tant que mission de l’ONE 13. Dans son avis du 16 mai 2024, la Commission nationale regrettait que les amendements gouvernementaux n’apportent pas de précisions ni sur les informations que la cellule de recueil des informations préoccupantes (ci-après la « CRIP ») sera amenée à transmettre, ni sur les organismes auxquels ces informations seront transmises9 . 9 Délibération n° 31/AV15/2024 du 16 mai 2024 de la Commission nationale pour la protection des données, doc. pari. n° 7994/22, p. 5. CNPD Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes adultes et aux familles. 4/7 14. Selon l’article 3 paragraphe
(3)point 6° du projet de loi tel qu’amendé, l’ONE va désormais recueillir et traiter « toute sorte d’information, sur la situation d’un mineur pouvant laisser craindre que sa santé ou sa sécurité sont en danger ou en risque de l’être ou que les conditions de son éducation ou de son développement physique, émotionnel, intellectuel ou social sont compromises ou en risque de l’être ». Le commentaire de l’article précise que cette mission, initialement envisagée pour la CRIP, est intégrée comme mission de l’ONE. La Commission nationale se félicite de cette intégration en tant que mission de l’ONE, de sorte que la CRIP ne sera pas instituée. Par conséquent, les dispositions encadrant le traitement des données personnelles par l’ONE seront désormais applicables. 15. Il y a lieu de rappeler que les violations du secret professionnel sont punies par les sanctions pénales prévues à l'article 458 du Code pénal. Il en découle que les exceptions au secret doivent être prévues par une loi et qu'elles sont d'interprétation stricte. Le cadre régissant l’échange d'informations doit donc être établi par la loi afin d'assurer un niveau adéquat de sécurité juridique. À cet égard, la CNPD salue l’introduction du nouvel article 8 paragraphe
(2)dans le projet de loi, qui prévoit une dérogation à l’article 458 du Code pénal. Cette disposition permet expressément aux personnes soumises au secret professionnel et tous les autres professionnels de partager avec l’ONE les informations visées à l’article 3 paragraphe
(3)point 6° nouveau. IV. La maison de l’accueil en famille et la procédure de sélection 16. Contrairement à la version initiale du projet de loi, qui consacrait une disposition spécifique à la maison de l’accueil en famille10 , cette dernière ne fait plus l'objet d’un article autonome. Sa gestion est dorénavant intégrée aux missions générales de l’ONE. Ainsi, le paragraphe
(5)de l’article 3, dans sa nouvelle teneur, reprend les missions de la maison de l’accueil en famille.
  1. Dans son avis initial, la Commission nationale déplorait que le projet de loi reste muet quant aux traitements de données effectués par la maison de l’accueil en famille dans le cadre de ses missions. Il y a lieu de se féliciter que les auteurs des amendements aient apporté des précisions en ce qui concerne la sélection des accueillants, menée par la maison de l’accueil. À cet égard, les amendements gouvernementaux clarifient à l’article 34 nouveau expressément les pièces devant être déposées dans le cadre d’une demande de sélection, ainsi que les catégories de données à caractère personnel qui sont traitées pour atteindre les finalités poursuivies.
  2. Selon l’article 5.1.e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. À cet égard, la CNPD salue que l’article 34 paragraphe
(3)nouveau du projet de loi prévoit que « les données traitées sont irrémédiablement anonymisées ou détruites 10 Ancien article 35 du projet de loi. CNPD Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes adultes et aux familles. 5/7 au plus tard à l’issue d’une durée de cinq ans après la fin de la sélection ou, dans l’hypothèse d’un refus, après la décision de refus. Dans le cas où des données du dossier de sélection sont remplacées par de nouvelles données, les données à remplacer sont irrémédiablement anonymisées ou détruites au plus tard à l’issue d’une durée de cinq ans à compter de leur remplacement. »
  1. Par ailleurs, la Commission nationale accueille favorablement que les dispositions relatives au dossier de candidature ainsi que celles concernant le contrôle d'honorabilité ont été intégrées dans le projet de loi et ne soient plus prévues dans le projet de règlement grand-ducal relatif aux familles d’accueil. Le nouvel article 39 du projet de loi prévoit désormais le contrôle d’honorabilité de la personne morale et de la personne physique en se basant sur la loi du 7 août 2023 sur les procédures de contrôle d'honorabilité. Il y a lieu de rappeler que la protection des données à caractère personnel relève d’une matière réservée à la loi par la Constitution, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc11 .
  2. Le commentaire de l’article 39 nouveau du projet de loi précise que « le ministre peut, au moment de la demande d’agrément et pendant toute la durée de l’agrément, vérifier l’honorabilité de ces personnes par une enquête administrative. L’honorabilité n’est pas une condition ponctuelle, vérifiée uniquement lors de l’introduction de la demande ». Ainsi, les auteurs des amendements mettent en place une procédure d’enquête administrative continue, conférant au ministre le pouvoir de contrôler l’honorabilité non seulement au moment de la demande d’agrément, mais pendant toute la durée de l’agréement.
  3. La Commission nationale constate que cette enquête administrative prévue à l’article 39 du projet de loi contient l’avis du procureur d’État 12 . Le paragraphe
(3)de cet article énumère de manière limitative les faits qui sont pris en compte par le procureur d’État pour l’établissement de son avis. En outre, la CNPD se félicite que l’article 39 prévoit des garanties supplémentaires, telles que le respect du secret d’instruction et la destruction de l’avis du procureur après un délai de six mois. Par ailleurs, dans un souci de protéger les bénéficiaires d’une décision d’agrément potentiellement susceptible d’engendrer des risques, les auteurs des amendements ont introduit la possibilité de suspendre l’instruction d’un dossier d’agrément en cas de procédure pénale en cours portant sur des faits graves. 11 Voir articles 31 et 45 de la Constitution luxembourgeoise. 12 Art. 39.2 du projet de loi. CNPD Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes adultes et aux familles. 6/7 V. Sur le registre des agréments 22. L’article 38 nouveau du projet de loi met en place un registre des agréments qui contient des données à caractère personnel en vue de la gestion et du suivi administratif, du contrôle des demandes d’agrément, de la gestion des dossiers d’agrément et des agréments accordés. Selon l’article 38 paragraphe
(2)du projet de loi, « [l]e registre [...] porte sur les données énumérées à l’article 37. » 23. L’article 38 paragraphe
(3)du projet de loi précise que le ministre a la qualité de responsable des traitements de données et le paragraphe
(4)dudit article énonce que l’accès à ces données est limité aux personnes qui en ont besoin dans l’exercice de leur fonction et de leurs tâches professionnelles. Il y a lieu de féliciter les auteurs du projet de loi pour de telles précisions. Cependant, il serait opportun de prévoir un système de journalisation des accès afin d’assurer la confidentialité et la sécurité des données. Sur ce point, la CNPD recommande que les données de journalisation des accès soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle.
  1. Enfin, la Commission nationale souligne l’importance d’effectuer proactivement des contrôles en interne. À cet effet, il convient conformément à l’article 32.1.d) du RGPD de mettre en œuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ».
  2. Par ailleurs, la Commission nationale salue que l’article 38 paragraphe
(6)du projet de loi, tel qu’amendé, prévoit une durée de conservation de cinq ans après la fin de l’agrément ou, en cas de refus de la demande d’agréement, après la décision de refus, conformément au principe de limitation de conservation prévue à l’article 5.1.e) du RGPD. Ainsi adopté à Belvaux en date du 14 novembre 2025. La Commission nationale pour la protection des données (Ad Tine A. Larsen Présidente CNPD Thierry Lallemang Commissaire Alain Herrmann Commissaire Florent F Comnlisi Commis Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7994 portant aide, soutien et protection aux mineurs, aux jeunes

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.