← Luxembourg

Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7996 portant modification de l

Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet l'organisation des centres de recherche publics Deliberation n°17/AV10/2023 du 3 mars 2023 a a 1. Conformement !'article 57.1.

  1. c)du reglement (UE) 2016/679 du 27 avril 2016 relatif la protection des personnes physiques l'egard du traitement des donnees caractere personnel et la libre circulation de ces donnees, et abrogeant la directive 95/46/CE (reglement general sur la protection des donnees) (ci-apres le« RGPD » ), auquel se refere !'article 7 de la loi du 1er ao0t 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees (ci-apres la « loi du 1er ao0t 2018 »), la Commission nationale pour la protection des donnees ( ci-apres la « Commission nationale » ou la « CNPD ») « conseil/e, conformement au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives la protection des droits et libertes des personnes physiques l'egard du traitement ». a a a a a 2 . L'article 36.4 du RGPD dispose que « [/Jes Etats membres consultent l'autorite de contr6fe dans le cadre de !'elaboration d'une proposition de mesure legislative devant etre adoptee par un parlement national, ou d'une mesure reglementaire fondee sur une telle mesure legislative, qui se rapporte au traitement ». 3. N'ayant pas ete directement saisie par Monsieur le Ministre de l'Enseignement superieur et de la Recherche, ni au stade de l'avant-projet, ni au stade du projet de loi, la Commission nationale souhaite neanmoins s'autosaisir et se prononcer quant au projet de loi n°7996, tel qu'amende en date du 1er fevrier 2023, portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics (ci-apres le « projet de loi » ). a a 4. La Commission nationale limite son avis la disposition du projet de loi ayant trait la protection des donnees, a savoir son article 2.2°. Celui-ci vise a inserer un paragraphe 4 dans !'article 4 de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics. 5. Le libelle de ce nouveau paragraphe se lirait comme suit : « Pour la realisation des missions visees aux paragraphes 1er et 3, et sous reserve que le projet de recherche s'inscrive dans le contexte de la recherche scientifique dans l'interet public, /es centres de recherche publics peuvent, avec /'accord de /'autorite administrative concernee, acceder aux donnees caractere personnel traitees par celle-ci, condition que ces donnees soient prealablement pseudonymisees au sens de /'article 4, paragraphe a ....,.... _. _, CNP~ .,...., ~-= [ .- ,. ~ .• ~~~··t. 11 :~ ;:1 r,~,,.;r: a Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 1110 5, du reglement (UE) 2016/679 du Parlement europeen et du Conseil du 27 avril 2016 relatif a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel et a la fibre circulation de ces donnees, et abrogeant la directive 95/46/CE (reglement general sur la protection des donnees). Ces donnees ne peuvent pas etre traitees dans le cadre d'un autre projet de recherche et doivent etre anonymisees au plus tard trois mois apres la fin du projet de recherche. » 6. Cette disposition, si elle devait etre adoptee en l'etat, souleve des reflexions de la part de la CNPD a plusieurs niveaux. 7. Tout d'abord, elle s'interroge sur !'articulation entre ce nouveau paragraphe et !'article 89 du RGPD ainsi que les articles 63 a 65 de la loi du 1er aout 2018. 8. Par ailleurs, elle se pose des questions relatives a la maniere dont les droits des personnes concernees, consacres par les articles 12 a 23 du RGPD, s'exerceraient dans ce cas de figure. 9. Enfin, elle entend soulever la problematique des categories particulieres de donnees (dites « donnees sensibles ») au sens de !'article 9 du RGPD, notamment des donnees de sante, qui pourraient etre traitees (de fai;on pseudonymisee) par des centres de recherche. I. Sur !'articulation du projet de loi avec le RGPD et avec la loi du 1er aoOt 2018 1. Surles roles et les responsabilites des differents acteurs 10. La Commission nationale comprend l'interet des centres de recherche publics a disposer de donnees (le cas echeant pseudonymisees voire anonymisees) initialement traitees par des autorites administratives afin de pouvoir pleinement remplir leur mission de recherche. En effet, comme l'indique l'expose des motifs, de telles donnees administratives « constituent un reservoir peu exploite de connaissance dont /es techniques mises au point au cours des dernieres annees en matiere de traitements de donnees, de « big data » et d'intelligence artificielle perrnettront d'exploiter le plein potentiel afin de mieux comprendre /es dynamiques d'une economie moderne et ouverte et d'une societe multiculturelle comme eel/es du Luxembourg »1 . Si elle comprend en effet l'interet legitime des centres de recherches publics a disposer de donnees exploitables, ii y a cependant lieu de garantir et de respecter en meme temps les droits et libertes des personnes concernees, c'est-a-dire des citoyens, dont les donnees seront, le cas echeant, reutilisees a d'autres fins et croisees avec d'autres donnees par les centres de recherche publics. 11. Dans ce contexte, la Commission nationale entend rappeler qu'en cas de reutilisation de donnees administratives des fins de recherche, les autorites administratives et les centres de recherches a 1 Vair Expose des motifs, point V, page 11 . CNP~ '°fls.. , A.: [ N:. ~ ... ,~;·t:n:~ "'"''~' Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 2/10 agissent chacun en tant que responsables du traitement au sens de !'article 4.7. du RGPD, pour les traitements dent ils determinant les finalites et les moyens. lls sent done chacun tenus d'assurer a tout moment un respect des regles en matiere de protection des donnees et d'etre en mesure de le demontrer en documentant leur conformite (conformement au principe de responsabilisation ou d'« accountability» repris a !'article 5.2 du RGPD). 12. Plus particulierement, les autorites administratives sent tenues de verifier la compatibilite de la reutilisation de donnees, initialement traitees a des fins administratives conformement aux missions legales du ministere ou de !'administration concernee, a des fins de recherche par des centres de recherche publics. 13. Quant a eux, les centres de recherche publics, une fois les donnees mises a leur disposition, doivent, en tant que responsables des traitements mis en c:euvre a des fins de recherche scientifique, respecter des conditions specifiques prevues a la fois par !'article 89 du RGPD et par !'article 65 de la loi du 1er aoOt 2018. 2. Les dispositions applicables a la reutilisation de donnees administratives a des fins de recherche a 14. Un des principes generaux respecter est le principe de limitation des finalites enonce a !'article 5.1.
  2. b)du RGPD , selon lequel les donnees personnelles doivent etre collectees pour des finalites determinees, explicites et legitimes, et ne pas etre traitees ulterieurement d'une maniere incompatible avec ces finalites. 15. L'article 6.4. du RGPD relatif a la liceite d'un traitement prevoit que : « Lorsque le traitement a une fin autre que celle pour laquelle Jes donnees ont ete collectees n'est pas fonde sur le consentement de la personne concernee ou sur le droit de /'Union ou le droit d'un Etat membre qui constitue une mesure necessaire et proportionnee dans une societe democratique pour garantir Jes objectifs vises a /'article 23, paragraphe 1, le responsable du traitement, afin de determiner si le traitement a une autre fin est compatible avec la finalite pour laquelle Jes donnees a caractere personnel ont ete initialement collectees, tient compte, entre autres:
  3. a)de /'existence eventuelle d'un lien entre Jes finalites pour lesquelles Jes donnees a caractere personnel ont ete collectees et Jes finalites du traitement ulterieur envisage;
  4. b)du contexte dans lequel Jes donnees a caractere personnel ont ete collectees, en particulier en ce qui concerne la relation entre Jes personnes concernees et le responsable du traitement; [ CNPj-~-,~, .... - r•~"1; n:~ """'""' Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 3/10
  5. c)de la nature des donnees a caractere personnel, en particulier si le traitement porte sur des categories particulieres de donnees a caractere personnel, en vertu de /'article 9, ou si des donnees a caractere personnel relatives a des condamnations penales et a des infractions sont traitees, en vertu de /'article 1O;
  6. d)des consequences possibles du traitement ulterieur envisage pour /es personnes concernees;
  7. e)de /'existence de garanties appropriees, qui peuvent comprendre le chiffrement ou la pseudonymisation. » 16. II ressort de cet article que les autorites administratives doivent evaluer la compatibilite au regard des criteres precites de la nouvelle finalite du traitement, a savoir celle concernant le transfert de donnees vers les centres de recherches publiques, avec la finalite pour laquelle les donnees caractere personnel ont ete initialement collectees. a 17. L'article 5.1.
  8. b)du RGPD prevoit une exception concernant le traitement ulterieur a des fins de recherche scientifique, qui n'est pas considere comme incompatible avec les finalites initiales condition qu'il respecte les conditions de !'article 89 du RGPD, lesquelles sont a mettre en reuvre par le responsable d'un traitement a des fins de recherches scientifique, a savoir en l'espece les centres de recherche publics. a 18. Selon !'article 89.1 du RGPD, le traitement a des fins de recherche scientifique est soumis a des garanties appropriees pour les droits et libertes de la personne concernee. Celles-ci « garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des donnees. Ces donnees peuvent comprendre la pseudonymisation, dans la mesure ou ces finalites peuvent etre atteintes de cette maniere ». Dans ce contexte, la Commission nationale salue la volonte des auteurs du projet de loi de conditionner l'acces accorde aux centres de recherche aux donnees personnelles traitees par les autorites administratives concernees a leur pseudonymisation prealable, meme si, comme on y reviendra plus loin, cette garantie ne peut pas a elle seule etre consideree comme suffisante. 3. L'acces aux donnees administratives par les centres de recherche publics 19. A la lecture de la disposition sous examen, la CNPD se pose la question de la maniere dont l'acces aux donnees personnelles detenues par les administrations sera effectue. Elle se demande si une transmission de donnees sera effectuee par les administrations aux centres de recherche publics ou si les centres de recherche disposeront par exemple d'un code d'acces pour acceder aux donnees. Sans connaitre comment cette communication va s'operer, ii se pose la question de savoir qui sera en charge de la pseudonymisation des donnees, et prealablement a quelle action. La CNPD comprend, d'apres le libelle de la disposition sous examen , que les CNP~ , .. ,..., ..... , v,,, .... .,11)0, ! [ K.t. • :!'IC.:'41.,:c Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 4/10 donnees doivent etre prealablement pseudonymisees avant tout transfert de donnees aux centres de recherche. Par consequent, elle en deduit que la tache de la pseudonymisation des donnees incomberait aux autorites administratives, et non aux centres de recherche publics, sans quoi cette garantie ne saurait etre consideree comme efficace. 20. Alternativement, cette tache pourrait etre effectuee par un « tiers de confiance » , qui doit etre compris comme une personne physique ou morale habilitee a effectuer des operations de securite juridique dont des services de pseudonymisation ou d'anonymisation et qui presente des garanties d'independance, de competence et ne se trouvant pas en situation de conflit d'interets au regard des donnees qu'il traite dans le cadre de ses diverses activites. La CNPD renvoie a cet egard a son avis du 2 decembre 2016, dans lequel elle indiquait deja « qu'un encadrement general de l'activite de tiers de confiance fournissant ce type de services serait preferable et permettrait d'accompagner le developpement de services innovants en matiere de pseudonymisation et d'anonymisation au Luxembourg. Elle considere en outre que de tels services devraient etre reserves a des acteurs presentant des garanties d'independance, de competence et ne se trouvant pas en situation de conflit d'interets au regard des donnees qu'ils traitent dans le cadre de leurs diverses activites »2 • 21. Par ailleurs, la Commission nationale regrette que !'article sous avis prevoit seulement une pseudonymisation, et non une anonymisation, du moins lorsque cela est possible dans le cadre d'un projet de recherche specifique. En effet, !'article 89.1 du RGPD prevoit que « chaque fois que ces finalites peuvent etre atteintes par un traitement ulterieur ne permettant pas ou plus /'identification des personnes concemees, ii convient de proceder de cette maniere ». II ressort de ce paragraphe que l'anonymisation des donnees devrait etre privilegiee a leur pseudonymisation. La Commission nationale se permet de rappeler a ce sujet que le processus d'anonymisation permet de rendre impossible toute (re)identification d'une personne. II s'agit done d'un processus irreversible. Au contraire, la pseudonymisation rend possible la reidentification d'une personne determinee, par le recours a des informations supplementaires. Cette distinction est importante: alors que le RGPD s'applique aux donnees pseudonymisees, les donnees anonymisees quant a elles ne rentrent pas dans le champ d'application du reglement3. Le considerant

(26)du RGPD enonce a cet egard qu'il n'y a« pas lieu d'appliquer /es principes relatifs a la protection des donnees aux informations anonymes, a savoir /es informations ne concernant pas une personne physique identifiee ou identifiable, ni aux donnees 2 Avis de la Commission nationale pour la protection des donnees du 2 decembre 2016 relatif au projet de loi n° 7061 modifiant certaines dispositions du Code de la securite sociale, document parlementaire 7061/03, p. 4. 3 A toutes fins utiles, la CNPD se permet de renvoyer a l'avis 05/2014 du groupe de travail « Article 29 » sur les techniques d'anonymisation , disponible sous : https://cnpd .public.lu/contenUdam/cnpd/fr/publications/groupeart29/wp216 en .pdf CN....,,,·~·,11,.,' P~ .,.ri.;., ~-• [ t<:.•. • n;·: ; n ;~ :~l t.,:'1,:1: Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 5/10 a caractere personnel rendues anonymes de telle maniere que la personne concernee ne soit pas ou plus identifiable. Le present reglement ne s'applique, par consequent, pas au traitement de tel/es informations anonymes, y compris a des fins statistiques ou de recherche. » 4. Les traitements de donnees a des fins de recherche par les centres de recherche publics 22. Une fois que des donnees prealablement pseudonymisees 4 ont ete transmises a ou accedees par un centre de recherche public, celui-ci doit encore mettre en oouvre les mesures appropriees additionnelles prevues par !'article 65 de la loi du 1er aoOt 2018 : « Compte tenu de la nature, de la portee, du contexte et des finalites du traitement ainsi que des risques, dont le degre de probabilite et de gravite varie, pour /es droits et libertes des personnes physiques, le responsable d'un traitement mis en oouvre a des fins de recherche scientifique ou historique, ou a des fins statistiques, doit mettre en ceuvre /es mesures appropriees additionnelles suivantes : 1° la designation d'un delegue a la protection des donnees ; 2° la realisation d'une analyse de /'impact des operations de traitement envisagees sur la protection des donnees a caractere personnel; 3° l'anonymisation, la pseudonymisation au sens de /'article 4, paragraphe 5, du reglement (UE) 20161679 ou d'autres mesures de separation fonctionnelle garantissant que /es donnees collectees a des fins de recherche scientifique ou historique, ou a des fins statistiques, ne puissent etre utilisees pour prendre des decisions ou des actions a I'egard des personnes concemees ; 4° le recours a un tiers de confiance fonctionnellement independant du responsable du traitement pour l'anonymisation ou la pseudonymisation des donnees; 5° le chiffrement des donnees a caractere personnel en transit et au repos, ainsi qu'une gestion des cles confonnes a /'etat de /'art; 6° /'utilisation de technologies renfor<;ant la protection de la vie privee des personnes concernees ; 7° la mise en place de restrictions de l'acces aux donnees a caractere personnel au sein du responsable du traitement ; 8° des fichiers de joumalisation qui pennettent d'etablir le motif, la date et /'heure de la consultation et /'identification de la personne qui a collecte, modifie ou 5 supprime /es donnees a caractere personnel ; 4 Comme indique ci-dessus , ii en va autrement des donnees veritablement anonymisees, pour lesquelles les dispositions du RGPD ainsi que de la loi du 1er aoOt 2018 n'ont plus vocation a s'appliquer. CNP~ , ..,11;,;,A.: [ l'<:.ll. • n;·! ; n :~ :i, t,:".:..'t: Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 6/10 la sensibilisation du personnel participant au traitement des donnees a caractere personnel et au secret professionnel ; 10° /'evaluation reguliere de l'efficacite des mesures techniques et organisationnelles mises en place a travers un audit independant ; 11 ° l'etablissement au prealable d'un plan de gestion des donnees ; 12° !'adoption de codes de conduite sectoriels tels que prevus a !'article 40 du reglement (UE) 2016/679 approuves par la Commission europeenne en vertu de !'article 40, paragraphe 9, du reglement (UE) 2016/679. 9° Le responsable de traitement doit documenter et justifier pour chaque projet a des fins de recherche scientifique ou historique ou a des fins statistiques !'exclusion, le cas echeant, d'une ou plusieurs des mesures enumerees a cet article ». 23. Dans ce contexte, la Commission nationale regrette que les auteurs du projet de loi n'aient pas fait reference a cet article, mais seulement au fait que les donnees ne pourront pas etre traitees dans le cadre d'un autre projet de recherche, et qu'elles doivent etre anonymisees au plus tard trois mois apres la fin du projet de recherche. Ces mesures constituent certes des garanties en matiere de protection des donnees, mais qui ne sauraient etre considerees a elles seules comme suffisantes au regard des principes generaux du RGPD ainsi que de !'article 65 de la loi du 1er ao0t 2018. Or, ii ya lieu de souligner que les mesures reprises a !'article 65 de la loi du 1er ao0t 2018 doivent etre respectees en tout etat de cause par les centres de recherche. En effet, ii revient aux centres de recherche, en tant que responsables de traitement des donnees a des fins de recherches scientifiques, de garantir la mise en place de toutes les mesures appropriees additionnelles. 24. En outre ii y a lieu de rappeler que, conformement a l'alinea 2 de !'article precite, les centres de recherche doivent egalement « documenter et justifier pour chaque projet a des fins de recherche scientifique [. . .] /'exclusion, le cas echeant, d'une ou plusieurs des mesures enumerees a cet article. » Get alinea est en lien avec le principe de responsabilisation ou d' « accountability » precite, repris a !'article 5.2 du RGPD, en vertu duquel tout responsable du traitement doit prendre des mesures appropriees pour garantir, et etre a meme de demontrer, que le traitement des donnees a caractere personnel soit effectue dans le respect du RGPD et de la legislation nationale. 25. Enfin, la CNPD comprend que l'acces des centres de recherche publics aux donnees detenues par les autorites administratives ne pourrait avoir lieu qu'avec l'accord de ces dernieres. Or, ii ne suffit pas qu'une autorite administrative donne tout simplement son accord , encore faut-il qu'elle apprecie si un tel traitement ulterieur est compatible avec la finalite administrative initiale, sur base des elements indiques dans !'article 6.4 du RGPD, tel qu'indique precedemment. [ CNPj ...,... ~., ,,. -~ -· A, ._ . . . .,,., , ,~:·L n ;~ ::tto~'!,: t! Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 7110 II. Les droits des personnes concernees a 26. Selon !'article 5.1 .
  1. a)du RGPD , les donnees caractere personnel doivent etre traitees de maniere licite, loyale et transparente au regard de la personne concernee (principe de liceite, loyaute, transparence). Ce principe implique notamment que les autorites administratives et les centres de recherche publics devront respecter les dispositions des articles 13 et 14 du RGPD qui consacrent le droit a !'information de la personne concernee. 27. En effet, les administrations doivent informer les personnes concernees des finalites de la reutilisation de leurs donnees conformement a !'article 13 du RGPD, dans la mesure ou leurs donnees ont ete collectees directement aupres d'elles ou collectees indirectement en vertu d'une disposition legale. La paragraphe 3 de cet article prevoit en effet que « lorsqu'il a !'intention d'effectuer un traitement ulterieur des donnees a caractere personnel pour une finalite autre que celle pour laquelle /es donnees a caractere personnel ont ete collectees, le responsable du traitement fournit au prealable a la personne concernee des informations au sujet de cette autre finalite et toute autre information pertinente visee au paragraphe 2 ». 28. Les centres de recherche quant a eux doivent fournir !'information aux personnes concernees conformement a !'article 14 du RGPD dans la mesure ou les donnees a caractere personnel n'ont pas ete collectees aupres de la personne concernee elle-meme mais qu'elles ont ete collectees indirectement aupres des autorites administratives concernees. 29. Toutefois, !'article 14.5 du RGPD prevoit des exceptions au droit a !'information lorsque les donnees a caractere personnel n'ont pas ete recueillies aupres de la personne concernee, ce qui est le cas en l'espece. Ainsi, la communication de ces informations n'est pas requise notamment lorsque leur fourniture se revele impossible ou exigerait des efforts disproportionnes, en particulier pour le traitement a des fins de recherche scientifique sous reserve des conditions et garanties visees a !'article 89.1 du RGPD ou dans la mesure ou !'obligation de fournir de telles informations est susceptible de rendre impossible ou de compromettre gravement la realisation des objectifs de ce traitement. Dans ce cas, le centre de recherche devra prendre des mesures appropriees pour proteger les droits et libertes ainsi que les interets legitimes de la personne concernee (article 14.5.
  2. b)du RGPD). II est alors possible, par exemple, de proceder a une information generale et non pas individuelle. 30. Par ailleurs, !'article 89. 2 du RGPD prevoit une clause d'ouverture, consacree en droit national par les articles 63 de la loi du 1er aoQt 2018. L'article 63 de ladite loi prevoit la possibilite pour le responsable du traitement de deroger aux droits de la personne concernee prevus aux articles 15, 16, 18 et 21 du RGPD (respectivement le droit d'acces , le droit de rectification, le droit a la limitation du traitement et le droit d'opposition) lorsque les donnees personnelles sont traitees a des fins de recherche scientifique « dans la mesure ou ces droits risquent de rendre impossible [ CNPj .,11,,·,1<.: K.'!.• ~,;,: 11 :~ """'"·'" Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 8/10 ou d'entraver serieusement la realisation des finalites specifiques, sous reserve de mettre en place des mesures appropriees tel/es que visees a /'article 65 ». Or, pour pouvoir recourir a ces derogations, les centres de recherche publics devraient dans un tel cas justifier ce risque et mettre en place les mesures appropriees additionnelles indiquees a la section I de notre avis. 31 . La Commission nationale regrette que le projet de loi sous examen ne fasse pas reference aces articles et s'interroge par consequent sur la fa9on dont le droit a !'information serait respecte en pratique. Ill. Le traitement de donnees sensibles par des centres de recherche publics 32 . Dans le cadre de la realisation des missions des centres de recherche publics, ii n'est pas exclu que des categories particulieres de donnees, telles que des donnees relatives a l'origine raciale ou ethnique, des donnees relatives a la sante, des donnees genetiques, des donnees biometriques aux fins d'identifier une personne physique de maniere unique, des donnees concernant la vie sexuelle ou !'orientation sexuelle d'une personne physique, soient traitees. 33 . Or, ii ya lieu de rappeler que conformement a !'article 9.1 du RGPD , « [l]e traitement des donnees caractere personnel qui reve/e l'origine raciale ou ethnique, /es opinions politiques, /es convictions religieuses ou philosophiques ou /'appartenance syndicate, ainsi que le traitement des donnees genetiques, des donnees biometriques aux fins d'identifier une personne physique de maniere unique, des donnees concernant la sante ou des donnees concernant la vie sexuelle ou /'orientation sexuel/e d'une personne physique sont interdits », sauf si l'une des conditions visees au paragraphe 2 dudit article s'applique. a 34 . Une des conditions pouvant justifier le traitement de ces donnees est enoncee a !'article 9.2.
  3. j)du RGPD , qui prevoit que !'interdiction de traitement de categorie particuliere de donnees ne s'applique pas lorsque « le traitement est necessaire a des fins archivistiques dans l'interet public, des fins de recherche scientifique ou historique ou a des fins statistiques, conformement /'article 89, paragraphe 1, sur la base du droit de /'Union ou du droit d'un Etat membre qui doit etre proportionne l'objectif poursuivi, respecter /'essence du droit a la protection des donnees et prevoir des mesures appropriees et specifiques pour la sauvegarde des droits fondamentaux et des interets de la personne concernee ». a a a 35 . L'article 64 de la loi du 1er ao0t 2018 prevoit a cet egard que le traitement de donnees sensibles a des fins de recherche est autorise dans la mesure ou ii respecte les conditions prevues par !'article 9.2.
  4. j)du RGPD ainsi que les conditions reprises a !'article 65 de la loi du 1er ao0t 2018, . . . ..... ~- ' CNP~ ... ...,.>.: [ ,.. .•. • r~: ·Ln ;o. ;:1t,;".:t : Avis de la Commission nationale pour la protection des donnees relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 9/10 developpees dans la section I du present avis, lesquelles doivent etre respectees en tout etat de cause par les centres de recherche6 . Ainsi adopts a Belvaux en date du 3 mars 2023. La Commission nationale pour la protection des donnees Tine A. Larsen Presidente 6 Toutefois, ii est a Thierry Lallemang Commissaire a Commissaire a noter que side telles donnees caractere personnel venaient etre (veritablement) anonymisees avant qu'un traitement ne soit realise par les centres de recherches, le RGPD et les conditions de !'article 65 de la loi du 1er aoQt 2018 ne seraient pas applicables. CNP~ Avis de la Commission nationale pour la protection des donnees <.-,"- Y•~ • t ~ ... 11\,l,~ •• [ ...,;_,,: _... r~;·1:n:~ :!1(,~'1..."t! relatif au projet de de loi n°7996 portant modification de la loi du 3 decembre 2014 ayant pour objet !'organisation des centres de recherche publics 10/10

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.