Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif a u mandat de protection future portant modification : 1° du Nouveau Code de procédure civile, et 2° de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire Délibération n°88/AV41/2023 d u 20 octobre 2023 1. Conformément à l’article 57.1.
(45)du RGPD énonce que « lorsque le traitement est effectué conformément à une obligation légale à laquelle le responsable du traitement est soumis ou lorsqu'il est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, le traitement devrait avoir un fondement dans le droit de l'Union o u dans le droit d'un État membre. [...] Il devrait également appartenir au droit d e l'Union ou au droit d'un État membre de déterminer la finalité du traitement. Par ailleurs, c e droit pourrait préciser les conditions générales d u présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet d u traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations d e la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. Il devrait, également, appartenir au droit de l'Union ou au droit d'un État membre d e déterminer si le responsable du traitement exécutant une mission d'intérêt public o u relevant d e l'exercice de l'autorité publique devrait être une autorité publique ou une autre personne physique ou morale d e droit public ou, lorsque l'intérêt public le commande, y compris à des fins de santé, telles que la santé publique, la protection sociale et la gestion des services de soins d e santé, d e droit privé, telle qu'une association professionnelle. » 3 En ce sens, voir M. Besch, Normes et légistique en droit public luxembourgeois, Promoculture Larcier, 2019, n°619. V. entre autres CourEDH, arrêt du 4 décembre 2015, Zakharov ce. Russie, §§ 228 à 229 ; CourEDH, arrêt du 24 avril 2018, Benedik v. Slovénie, §§ 122 à 125. CNPÔl J Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif a u mandat de protection future portant modification : 1° du Nouveau Code de procédure civile, et 2 ° d e la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 3/9 9. En droit interne, l’article 31 d e la Constitution dispose que « [t]oute personne a droit à l’autodétermination informationnelle et à la protection des données à caractère personnel la concernant. Ces données ne peuvent être traitées qu’à des fins et dans les conditions déterminées par la loi. » Aux termes de l’article 3 7 d e la Constitution, « [t]oute limitation de l’exercice des libertés publiques doit être prévue par la loi et respecter leur contenu essentiel. Dans le respect d u principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires dans une société démocratique et répondent effectivement à des objectifs d’intérêt général o u a u besoin de protection des droits et libertés d’autrui ». II. L e traitement de données dites « sensibles » par le répertoire civil 10. Le mandat d e protection future et les traitements de données effectués dans ce contexte touchent à la vie privée des personnes concernées e n c e qu’ils donnent des indications sur la situation personnelle et les liens affectifs du mandant, voire d u mandataire, ainsi que sur la situation patrimoniale d u mandant. 11. De plus, le projet d e loi prévoit des traitements portant sur des catégories particulières d e données, dites « données sensibles », au sens de l’article 9 d u RGPD, à savoir les données concernant la santé, mais aussi, le cas échéant, les données concernant l’orientation sexuelle, ainsi que les convictions religieuses o u philosophiques. L e traitement de ce type d e données à caractère personnel est e n principe interdit, sauf dans les hypothèses énumérées à l’article 9.2 du RGPD. L a Cour d e justice de l’Union européenne a adopté une interprétation large de la notion de « catégories particulières de données à caractère personnel » en jugeant que l e traitement d e données personnelles susceptibles d e dévoiler, d e manière indirecte, des informations sensibles concernant une personne physique est soumis a u régime d e protection renforcé prévu par l’article 9 du RGPD 4. E n l’occurrence, l e traitement de données sensibles pourrait éventuellement être fondé sur l’article 9.2.
- g)du RGPD. En vertu d e cette disposition, le traitement d e données sensibles est possible si le traitement est nécessaire pour des motifs d’intérêt public important, sur la base d u droit d e l’Union o u du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à l a protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts d e la personne concernée. 12. Le texte sous examen prévoit que les traitements de données sont effectués par le biais du répertoire civil qui, quant à lui, est régi par les articles 1126 à 1130 du Nouveau Code d e procédure civile (ci-après le « NCPC »). Or, ces dispositions, introduites par règlement grandducal d u 31 décembre 1982 et inchangées depuis lors, n e prévoient pas d e mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts d e la personne concernée tel qu’exigé par l’article 9.2.
- g)d u RGPD. D e manière générale, l a Commission 4 CJUE, arrêt du 1er août 2022, Vyriausioji tamybinés etikos komisija, C-184/20, EU:C:2022:601, points 120 et s. ’ CNPDl .J Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif au mandat de protection future portant modification : 1 0 du Nouveau Code de procédure civile, et 2 ° de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 4/9 nationale s’interroge quant à la nécessité d e prévoir une réforme plus large d u répertoire civil pour le rendre conforme aux exigences d u RGPD. Il y a également lieu de s’interroger si le règlement grand-ducal d u 31 décembre 1982 ayant introduit les articles 1126 à 1130 dans le NCPC est conforme à la Constitution révisée e n vigueur depuis le 1er juillet 2023, et plus particulièrement à l’article 31, l u ensemble avec l’article 45.2, selon lequel la protection des données à caractère personnel est une matière réservée à la loi. III. Application d u RGPD à la relation entre le mandant et l e mandataire, voire le contrôleur 13. La Commission nationale observe à titre accessoire que les règles d u RGPD n e s’appliquent pas seulement aux traitements de données effectués par le biais du répertoire civil mais sont également susceptibles d e régir l a relation entre le mandant et le mandataire, voire le contrôleur. À cet égard, il est important que les auteurs d u projet de loi apportent des clarifications quant à l’obligation d e conservation de certains documents à charge d u mandataire et d u contrôleur. Tel que mis en exergue dans l’avis commun des autorités judiciaires5, le texte sous examen n’est pas clair quant aux documents devant être conservés, à la personne chargée d e la conservation ainsi qu’à la durée d e conservation, c e qui engendre également des incertitudes en matière de protection des données. IV. Exercice par le mandataire des droits conférés par le RGPD 14. Force est d e constater que le champ d’application du mandat de protection future est plus étendu que celui des mesures de protection judiciaire. E n effet, la sauvegarde d e justice, la curatelle et la tutelle ne s’appliquent qu’aux seuls biens d e la personne majeure à protéger tandis que la nouvelle mesure créée par le projet de loi est susceptible de s’appliquer à la personne du mandant6. La CNPD e n déduit que le mandat de protection future pourrait prévoir une stipulation autorisant le mandataire d’exercer les droits dont le mandant dispose en vertu du RGPD o u d’autres textes applicables e n matière d e protection des données. 15. Dans c e contexte, se pose la question d e savoir quels éléments de preuve u n responsable de traitement peut alors demander afin d e s’assurer que le mandataire représente valablement la personne concernée, et d’éviter l e risque de faire un traitement de données illicite. Faut-il comprendre qu’une attestation de la prise d’effet du mandat telle que mentionnée à l’article 9, alinéa 5, d u projet de loi constitue un, voire le seul moyen de preuve de la légitimité du mandataire à faire des demandes (par exemple : une demande d’accès aux données personnelles en vertu de l’article 15 d u RGPD) a u nom du mandant ? Le fait d’être un responsable de traitement ayant 5 Avis commun de la Cour d’appel, du Parquet général, du Parquet de Tribunal d’arrondissement de Diekirch, du Parquet du Tribunal d’arrondissement de Luxembourg, du Tribunal d’arrondissement de Diekirch et du Tribunal d’arrondissement de Luxembourg du 12 mai 2023, doc. pari. n° 8133/01, p. 19 et s. 6 Articles 1er et 2 du projet de loi. V. aussi : Avis commun de la Cour d’appel, du Parquet général, du Parquet de Tribunal d’arrondissement de Diekirch, du Parquet du Tribunal d’arrondissement de Luxembourg, d u Tribunal d'arrondissement de Diekirch et du Tribunal d’arrondissement d e Luxembourg du 12 mai 2023, doc. pari. n° 8133/01, p. 9. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif au mandat de protection future portant modification : 1 du Nouveau Code de procédure civile, et 2° de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 5/9 besoin de vérifier ladite condition d u mandataire suffirait-il toutefois à remplir la condition d’« u n intérêt légitime » mentionnée a u même article du projet de loi ?7 V. Inscription du mandat d e protection future au répertoire civil 16. L’article 8, alinéa 1, d u projet d e loi prévoit que « [l]e mandat de protection future doit être inscrit au répertoire civil tenu parle Parquet général. » Dans c e cadre, l’original du mandat de protection future et, le cas échéant, le certificat médical doivent être transmis a u Parquet général à des fins de conservation a u répertoire civil et d’inscription au fichier selon les modalités prévues aux articles 1126 et 1127 du NCPC. Or, l’article 1126 du NCPC reste inchangé par le projet de loi et ne mentionne par conséquent pas expressément les mandats d e protection future. L’article 1127 du NCPC, quant à lui, dispose que la publicité des documents conservés a u répertoire civil est assurée par une inscription dans u n fichier a u nom de la personne protégée. 17. Selon la compréhension de la CNPD, sont conservés au répertoire civil l’original du mandat de protection future ainsi que, dans l e cas d’un mandat établi sous seing privé, le certificat médical attestant la capacité du mandant d e conclure un tel mandat. Qu’en est-il toutefois du certificat médical circonstancié prévu à l’article 10.2° du projet de loi et à l a délivrance duquel est subordonnée la prise d’effet d u mandat d e protection future ? Est-il également conservé a u répertoire civil ou, par contre, restitué a u mandataire après que le préposé a inscrit la prise d’effet du mandat de protection future? Par ailleurs, quel est l’objectif poursuivi par la communication de ce certificat a u préposé : s’agit-il de permettre a u préposé d e vérifier si les conditions requises pour la prise d’effet du mandat d e protection future sont remplies ? 18. D e manière générale, il y a lieu d e noter que la notion de « finalité », c’est-à-dire l’objectif poursuivi par l e traitement, occupe une place primordiale au sein du RGPD. Aux termes de l’article 5.1.
- b)du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et n e pas être traitées ultérieurement d’une manière incompatible avec ces finalités. D e plus, d’autres principes prévus par le RGPD, tels que les principes de minimisation des données8 o u d e limitation de conservation9 s’apprécient au regard des finalités pour lesquelles les données sont traitées. Par conséquent, il est important que les finalités des différents traitements instaurés par le projet de loi soient clairement définies, c e qui, aux yeux de la CNPD, n’est pas l e cas e n l’espèce. 19. La CNPD rappelle par ailleurs que le certificat médical circonstancié contient des informations très détaillées sur l’état d e santé du mandant, étant donné qu’il décrit avec précision l’altération des facultés du mandant, donne tout élément d’information sur l’évolution prévisible de cette altération et précise les conséquences de cette altération sur la nécessité d’une représentation. Or, le répertoire civil n’est réglementé que de manière très succincte dans le Titre XVI d u Livre I 7 Voir aussi le point 22 du présent avis. Article 5.1.
- c)du RGPD. 9 Article 5.1Le) du RGPD. 8 " CNPD] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif au mandat de protection future portant modification : 1 0 du Nouveau Code de procédure civile, et 2° de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 6/9 d u NCPC consacré au répertoire civil. Il semble partant nécessaire d’encadrer plus strictement et explicitement le fonctionnement d u répertoire civil, au risque de ne pas respecter les conditions de l’article 9.2.
- g)d u RGPD, qui permet de mettre e n place u n traitement d e données sensibles pour des motifs d’intérêt public 10. Compte tenu du fait que le commentaire d e l'article 8 indique que les auteurs d u projet de loi se sont fortement inspirés d u modèle belge, la Commission nationale constate que le législateur belge a prévu la création d’un registre central destiné à regrouper spécifiquement les contrats et documents relatifs aux mandats d e protection extrajudiciaire11. 20. La Commission nationale estime que l’encadrement juridique tel qu’il résulte d u projet d e loi est lacunaire et s’interroge plus particulièrement sur la durée conservation d’un mandat inscrit a u répertoire civil. La loi e n projet devrait préciser la durée de conservation, e n prenant e n compte les différents cas d e figure qui pourraient se présenter (révocation d u mandat de protection future, rétablissement des facultés personnelles d u mandant, renonciation a u mandat de protection future par le mandataire, ... ). Il paraît par ailleurs utile d’indiquer clairement qui est le responsable des traitements effectués par le biais d u répertoire civil. S’agit-il du Parquet général auprès duquel le répertoire civil est tenu ? O u s’agit-il d u répertoire civil qui serait, le cas échéant, à considérer comme entité distincte et donc comme responsable d u traitement ? VI. 21. Publicité des données personnelles inscrites au répertoire civil En c e qui concerne la publicité des informations inscrites au répertoire civil, la loi en projet fait une distinction selon que l e mandat de protection future a pris effet o u non. Aux termes de l’article 8, dernier alinéa, du projet de loi, « [l]orsque le mandat de protection future inscrit au répertoire civil n’a pas pris effet a u sens de l’article 9 d e la présente loi, des attestations d e l’inscription d e ce mandat de protection future peuvent être délivrées aux signataires d u mandat de protection future, au notaire et a u juge des tutelles. » Cette disposition soulève plusieurs interrogations de la part de la CNPD : que faut-il entendre par « attestation de l’inscription » ? Qui est en charge de la délivrance de cette attestation ? Quelles informations y figureront ? Elle note par ailleurs que la liste des destinataires comprend, outre les signataires d u mandat, le notaire et le juge des tutelles. Or, quelle est la finalité de cette transmission de données ? Pourquoi est-il nécessaire que le notaire et l e juge des tutelles peuvent se voir délivrer une telle attestation avant que le mandat ait pris effet ? Est visé seulement le notaire ayant reçu l e mandat de protection future établi par acte authentique o u tout notaire qui sera amené à établir u n acte pour le mandant? 10 Voir points 10 et s. du présent avis. Arrêté royal du 31 août 2014 fixant les modalités d e création, de tenue et de consultation du registre central des contrats de mandat en vue d’organiser une protection extrajudiciaire et d u registre central des déclarations relatives à la désignation d’un administrateur ou d’une personne de confiance ; voir également les avis n°45/2014 d u 21 mai 2014 et n°140/2019 d u 7 août 2019 de l’Autorité de protection des données belge. 11 " CNPD, L J Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif au mandat d e protection future portant modification : 1 0 du Nouveau Code de procédure civile, et 2° d e la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 7/9 22. Dans l’hypothèse o ù le mandat de protection future a pris effet, tant l’article 9 du projet de loi que le titre XVI du NCPC relatif a u répertoire civil semblent s’appliquer. L’article 9, alinéa 5 , d u projet de loi indique que « [l]orsque le mandat de protection future a pris effet, des attestations d e la prise d’effet d e ces mandats peuvent être délivrées à toute personne justifiant d’un intérêt légitime. » D e nouveau, ladite « attestation de la prise d’effet » n’est pas définie. III n’est pas non plus précisé qui délivre cette attestation et quelles informations y sont contenues. La CNPD suppose que, tout a u moins, les mentions de l’identité du mandant et du mandataire y figureront. Cependant il convient d e s’interroger quant aux mentions relatives à l’objet et à l’étendue d u mandat. D e plus, la notion d’intérêt légitime n'est pas définie. La Commission nationale se demande si une personne souhaitant se procurer une attestation de prise d’effet d’un mandat d e protection future aura à justifier d u besoin d’accéder à c e document, par exemple en tant que partie à u n contrat. S e pose également la question d e savoir qui appréciera la légitimité d e l’intérêt invoqué1 2. 23. L’article 1129 du NCPC, quant à lui, dispose que « [d]es copies des extraits conservés a u répertoire civil peuvent être délivrées à tout requérant. Lorsqu'une indication d e radiation a été portée sur le fichier, les copies des extraits conservés a u répertoire civil ne peuvent être délivrées que sur autorisation d u procureur général d'Etat. ». L’article 2 7 d u projet d e loi ajoute u n deuxième alinéa à l’article 1129 du NCPD aux termes duquel « [l]es formalités prévues à l’alinéa précédent valent également pour les mandats de protection future inscrits au répertoire civil et ayant pris effet». Faut-il en déduire que l’article 1129 du NCPC prévoit un mécanisme additionnel de publicité s’ajoutant à celui instauré par l’article 9, alinéa 5, d u projet de loi ? Dans l’affirmative, quelles informations sont contenues dans les copies des extraits pouvant être délivrées à tout requérant ? L a notion de « tout requérant » implique-t-elle que le destinataire n’a pas à justifier d’un intérêt légitime, contrairement à c e qui est prévu à l’article 9, alinéa 5, du projet d e loi ? L a Commission nationale observe dans cette articulation des textes une source d’insécurité juridique pour les signataires d’un mandat aussi bien que pour les acteurs chargés d e l’application des textes précités. 24. Il y a lieu de rappeler que l’inscription des mandats de protection future au répertoire civil ainsi que la délivrance de documents reprenant les informations figurant dans le répertoire civil constituent une ingérence dans le droit à la vie privée et à la protection des données personnelles. En vertu d u principe d e proportionnalité consacré notamment par l’article 3 7 de la Constitution, une telle ingérence doit être limitée a u strict nécessaire. Ainsi, la CNPD invite les auteurs d u texte de définir clairement les finalités des traitements effectués par le biais du répertoire civil et de limiter la communication d e données personnelles aux destinataires qui en ont effectivement besoin. 12 Avis commun de la Cour d’appel, du Parquet général, du Parquet de Tribunal d'arrondissement de Diekirch, du Parquet d u Tribunal d’arrondissement de Luxembourg, du Tribunal d’arrondissement de Diekirch et du Tribunal d’arrondissement de Luxembourg du 12 mai 2023, doc. pari. n° 8133/01, p. 19. CNPD] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif au mandat de protection future portant modification : 1° du Nouveau Code de procédure civile, et 2° de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 8/9 25. En conclusion, l a Commission nationale insiste sur l’importance de préciser l’encadrement des traitements de données à caractère personnel pouvant avoir lieu sur base du présent projet de loi, notamment s’agissant des informations ayant vocation à figurer sur les différentes attestations, voire sur les copies des extraits, des destinataires de ces documents, des durées de conservation des différentes données traitées et des garanties afférentes aux traitements d e données dites « sensibles ». Cet encadrement juridique devra respecter les principes prévus par le RGPD, tels que les principes de limitation des finalités, de minimisation des données et de limitation d e la conservation. Ainsi adopté à Belvaux e n date d u 20 octobre 2023. Tine A. Larsen Présidente Thierry Lallemang Commissaire Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8133 relatif a u mandat de protection future portant modification : 1 0 du Nouveau Code de procédure civile, et 2° d e la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 9/9