Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autoparta

Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques ; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification :1° de l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques ; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points ;3° du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers Délibération n° 39/AV16/2024 du 21 juin 2024 1. Conformément à l'article 57. 1.

1. e)du règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le « RGPD »), auquel se réfèrel'article 7 de la loi du 1eraoût2018 portant organisation de la Commission nationale pour la protection des donnéeset du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 36.4 du RGPD dispose que « ///es Etats membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptéepar un parlement national, ou d'une mesure réglementairefondéesur une telle mesure législative, qui se rapporte au traitement ». CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n" 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlementgrand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1° de l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécutionde la législation en matière de mise en fourrière des véhicules et en matière de permis à points; 3" du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers 1/8 2. Par courriers en date des 11 et 12 mai 2023, Monsieur le Ministre de la Mobilitéet des Travaux publies a invité la Commission nationale à se prononcer sur le projet de loi relatif à l'autopartage sur la voie publique et portant modification de la loi modifiéedu 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques (ci-après le « projet de loi »), ainsi que sur le projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1° de l'arrêtégrand-ducal modifiédu 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécution de la législationen matière de mise en fourrière des véhicules et en matière de permis à points; 3° du règlement grand-ducal modifiédu 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers (ci-après le « projet de règlement grand-ducal »). 3. Il ressort de l'exposé des motifs que le projet de loi sous examen a notamment pour objectif de « de créer une base légale pour qu'une commune puisse réserver des places de stationnement sur la voie publique à des véhicules partagés qui sont identifiés comme appartenant à un opérateur d'autopartage agréépar les autoritéscompétentes et autorisépar la commune en fonction de certains critères de qualité ». De plus, le projet de règlement grand-ducal a pour objet de fixer et de clarifier les modalités d'obtention d'un agrément d'opérateur d'autopartage, notamment en apportant des précisions sur les pièces à fournir, les procédures et délais. Le projet de règlement grand-ducal prévoit également le contenu essentiel des contrats d'abonnementet des structures tarifaires que l'opérateurd'autopartage propose à ses clients, afin de garantir une transparence maximale et une qualité de service sans discrimination. 4. Bien que la CNPD ait étésaisie de manièreséparéedu projet de loi et du projet de règlement grand-ducal susmentionnés, elle estime qu'il est opportun de traiter les deux projets de texte dans un même avis, étant donné que ces derniers soulèvent des questions similaires ayant trait à la protection des données. l. 5. Remarques liminaires Il convient de relever que les informations traitées dans le cadre des dispositions des textes sous examen ne sont pas toutes à considérercomme des données à caractère personnel au sens du RGPD. L'article 4. 1) du RGPD définitcomme données à caractère personnel « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée«personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiéedu 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1° de l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points; 3° du règlement grand-ducal modifiédu 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers 2/8 localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ». La Commission nationale tient à souligner que la définition des données à caractère personnel se réfère à des personnes physiques, ainsi le traitement d'informations concernant les personnes morales ne relève en principe pas du champ d'application du RGPD. 6. Le considérant 14 du RGPD dispose que « [l]e présent règlement ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier 0'es entreprises dotéesde la personnalitéjuridique, y compris le nom, la formejuridique et les coordonnées de la personne morale ». Cependant, il faut souligner que des informations ayant trait à des personnes morales peuvent, le cas échéant,concerner des personnes physiques, par exemple si elles incluent le nom du gérant de la société, et doivent dès lors être considéréescomme des données à caractère personnel. Dès lors, le RGPD n'aura vocation à s'appliquer que si la loi ou le règlement grand-ducal en projet implique un traitement de données à caractère personnel. 7. À cet égard, le groupe de travail « article 29 »1 indique dans son avis 4/2007 sur le concept de donnéesà caractère personnel du 20 juin 2007, WP 136, que « tes informations ayant trait à des personnes morales peuvent également être considéréescomme « concernant » des personnes physiques en tant que telles (... ). Cela peut être le cas lorsque le nom de la personne morale est dérivé de celui d'une personne physique. Un autre cas de figure est celui du courrier électronique d'une entreprise qui est normalement utilisé par un employé, ou des informations concernant une petite entreprise (du point de vue juridique, un « objet » plutôt qu'une personne morale) qui peuvent éventuellement décrire le comportement de leur propriétaire ». II. La mise à disposition des donnéesd'exploitation (Art. 8 du projet de loi) 8. L'article 8 du projet de loi sous examen impose à chaque opérateur d'autopartage de rendre gratuitement disponibles au public certaines données essentielles et de les mettre à jour fréquemment. De plus, le ministre ayant la Circulation routière dans ses attributions (ci-après « le ministre ») peut demander des informations supplémentaires pour évaluer l'efficacité de l'offre d'autopartage et adapter les politiques de mobilité en conséquence. 1 Le groupe de travail « article 29 » était un organe consultatif qui conseillait la Commission sur les questions de protection des données et qui a contribué à l'élaboration de politiques harmoniséesen matière de protection des données dans l'UE. Après rentrée en application du RGPD le 25 mai 2018, le comité européen de la protection des données a succédé à ce groupe de travail. CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1° de l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifiédu 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécutionde la législation en matière de mise en fourrière des véhicules et en matière de permis à points; 3° du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers 3/8 9. Conformément au premier paragraphe, chaque opérateur d'autopartage doit mettre à la disposition du grand public certaines données, à savoir la localisation géographique des stations d'autopartage, les coordonnéesde contact de l'exploitant, la catégoriedes véhicules aux stations, le nom de marque et du modèle de véhicules aux stations, la disponibilité des véhicules ainsi qu'un lien vers le canal de distribution de l'opérateur. La Commission nationale tient à souligner qu'il ne s'agit pas de données à caractère personnel et estime que le RGPD n'est pas applicable. 10. Ensuite, selon le deuxième paragraphe, l'opérateur d'autopartage supporte le ministre dans toutes les démarches qui nécessitent une communication directe avec ses clients en vue de mener des enquêtes ciblées dans le but d'améliorer l'efficacité des politiques publiques de mobilité et de quantifier l'impact de l'allocation d'espace publique à l'autopartage. Ces actions incluent la distribution aux clients des informations nécessaires pour participer à l'enquête, l'incitation des clients à y participer, ainsi que l'évaluation de la représentativité de l'échantillon. La Commission nationale regrette que les auteurs du projet de loi ne fournissent pas d'explications sur la manièredont la représentativitéde l'échantillon sera évaluée. En outre, elle tient à soulignerque l'article 8.2 du projet de loi ne saurait servir de base légale pour des éventuelles transmissions de données personnelles des clients de l'opérateur d'autopartage au ministre. La CNPDcomprend que la participation aux enquêtes est volontaire, de sorte que les traitements des donnéespersonnelles des clients effectuésdans le cadre de ces enquêtes trouveront leur base de licéité dans le consentement des personnes concernées, conformément à l'article 6. 1.
2. a)du RGPD. Ainsi, le rôle des opérateurs d'autopartage consistera essentiellement à relayer aux clients des informations sur la possibilité de participer à des enquêtes menées par le ministre, tout en respectant les règles applicables en matière de protection des données. 11. Finalement, le ministre peut, conformément au troisième paragraphe, demander aux opérateurs « des données anonymes sur le nombre, la distance parcourue et la temporalité des déplacements commençant à une ou plusieurs stations, ainsi que des données pseudonymisées sur la fréquence et la temporalité de l'utilisation ». Ainsi, cette disposition évoque, d'une part, des données anonymes et d'autre part, des données pseudonymisées. D'abord, la CNPD tient à rappeler qu'à l'issue du processus d'anonymisation, le RGPD ainsi que les autres règles en matière de protection des données à caractère personnel ne sont plus applicables. Suivant le considérant 26 du RGPD « [... ] [i]l n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savo/r /es informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le [RGPD] ne s'applique, par conséquent, pas au CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1° de l'arrêtégrand-ducalmodifiédu 23 novembre 1955 portant règlementde la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignationspourcontrevenants non résidentsainsiqu'aux mesures d'exécutionde la législationen matière de mise en fourrièredes véhiculeset en matièrede permis à points; 3° du règlementgrand-ducalmodifiédu 26 janvier 2016 relatifà la réceptionet l'immatriculation des véhicules routiers 4/8 traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche.» 12. En revanche, la procédure de pseudonymisation doit être considérée comme l'une des mesures techniques et organisationnelles que le responsable du traitement peut être amenée à mettre en place, afin d'atténuerles risques pour les personnes concernées. Conformément à l'article 4. 5) du RGPD, la pseudonymisation est définie comme le « traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuéesà une personne physique identifiéeou identifiable. » En effet, les données à caractère personnel qui ont fait l'objet d'une pseudonymisation peuvent par définition toujours être attribuées indirectement à une personne physique déterminée par le recours à des informations supplémentaires et restent, par conséquent, soumises au RGPD. 13. Selon l'article 8. 3 du projet de loi, le ministre peut demander aux opérateurs d'autopartage les données pseudonymisées « afin d'évaluer l'efficacité de /'offre d'autopartage à des stations particulières sur la voie publique en vue d'adapter l'offre de transports aux besoins de la population et d'assurer l'allocation de /'espace la plus efficace aux modes de transports ». Comme susmentionné, les données pseudonymiséessont toujours à considérercomme des données à caractère personnel, étant donné qu'il s'agit d'informations concernant une personne physique indirectement identifiable, et le RGPD s'applique intégralement à leur traitement. En vertu du considérant 39 du RGPD « /es données à caractère personnel ne devraient être traitées que si la finalitédu traitement ne peut être raisonnablement atteinte par d'autres moyens. » La Commission nationale s'interroge sur ta nécessité de transmettre des données pseudonymisées pour évaluer l'efficacité de l'offre d'autopartage et se demande si l'utilisation des données sous une forme agrégéede façon que les déplacements individuels ne puissent être identifiésne serait pas suffisante pour atteindre ladite finalité.2 14. Dans l'hypothèse où les auteurs du projet de loi souhaiteraient maintenir le principe d'une transmission de donnéespseudonymisées, se pose la question de la proportionnalitéde cette limitation du droit à l'autodétermination informationnelle et à la protection des données à caractère personnel : Est-ce que la finalité poursuivie, à savoir l'évaluation de l'efficacité de l'offre d'autopartage, justifie une limitation de ces droits constitutionnellement protégés? En outre, la Commission nationale estime que le pouvoir du ministre consistant à demander la 2 A toutes fins utiles, la CNPD se permet de renvoyer à l'avis 05/2014 du groupe de travail « Article 29 » sur les techniques d'anonymisation, p. 10, disponible sous : https://cnDd. Dublic. lu/fr/actualites/international/2014/05/G29anonvmisation. html. CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiéedu 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1 ° de l'arrêtégrand-ducalmodifiédu 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points; 3° du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers 5/8 transmission de données personnelles est insuffisamment circonscrit dans une matière réservée à la loi en vertu des articles 31 et 37 de la Constitution. Ainsi, les données que les opérateurs d'autopartage seraient obligées de transmettre au ministre doivent être précisémentet limitativement énoncéesau niveau de la loi. 15. Dans ce contexte, il est à noter que l'exposédes motifs du projet de règlementgrand-ducal indique que ce texte « précise également le partage des statistiques des utilisateurs avec les autorités publiques, ce qui peut fournir des informations précieuses pour la planification du trafic et la prise de décision concernant les infrastructures, le stationnement et d'autres sujets qui contribuent à réduire les embouteillages et la pollution atmosphérique. » Or, le projet de règlementgrand-ducal ne contient pas de telle disposition. III. Les bases de données (Art. 9 du projet de loi)
3. a)Sur la structure de l'article 9 16. L'article 9 du projet de loi prévoit rétablissement de deux bases de données à caractère personnel. Selon la compréhensionde la Commission nationale, l'une est dédiéeà la gestion des agréments d'autopartage et l'autre à l'enregistrement des informations spécifiques relatives à la délivrance et la gestion administrative du signe distinctif. Le libellé du projet de loi donne à croire que ce dernier crée ces deux bases de données. Or, la CNPD note que les informations énumérées au paragraphe 4 sont introduites dans une base de données qui existe déjàet pour laquelle le projet de loi prévoit simplement une finalité supplémentaire. En effet, les informations relatives au point 3 du paragraphe 1er sont enregistrées dans la base de données nationale relative auxvéhicules immatriculésau Luxembourg, dont la base légale constitue l'article 4. 2 de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques. 17. En outre, il est difficile de déterminerquel paragraphe est associé à quelle base de données. Il ne ressort pas clairement de la disposition si les mesures visées par les paragraphes 4 à 7 de l'article 9 du projet de loi se rapportent à la base de données relative aux agréments d'autopartage ou bien à la base de données nationale relative aux véhicules immatriculés au Luxembourg. Afin d'assurer une meilleure lisibilité et de renforcer la sécurité juridique, la Commission nationale suggère dès lors de prévoir un article spécifique pour chacune des bases de données respectives. En séparant les dispositions correspondantes, il serait plus aisé de regrouper par exemple les finalités pour chaque base de données ou de mettre en place les mesures de protection de données adaptées. CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatifà l'autopartage sur la voie publique et portant modification de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1" de l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points; 3° du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers 6/8 18. De plus, les auteurs du projet de loi devraient veiller à ce que les dispositions concernant l'enregistrement des informations spécifiques relative à la délivrance et la gestion administrative du signe distinctif prévu à l'article 7 s'articulent de manière cohérente avec les dispositions de la loi précitéedu 14 février 1955. La CNPDse demande s'il ne serait pas plus opportun de modifier cette dernière, afin d'y faire figurer la finalité supplémentaire que le point 3° du paragraphe 1er entend introduire.
4. b)Sur le rôle des différents acteurs 19. La notion de responsable du traitement joue un rôle important dans l'application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des donnéesainsi que la manièredont les personnes concernéespeuvent exercer leurs droits. 3 Il convient de rappeler que l'article 4. 7) du RGPD définit le responsable du traitement comme « la personne physique ou morale, l'autoritépublique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalitéset les moyens du traitement ; lorsque les finalitéset les moyens de ce traitement sont déterminéspar le droit de l'Union ou le droit d'un Etat membre, le responsable du traitement peut être désignéou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre ». En outre, l'article 4. 8) du RGPD définit le sous-traitant comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». 20. Il résulte des paragraphes 6 et 7 de l'article 9 du projet de loi que le « ministre a la qualité de responsable du traitement conformément aux dispositions de l'article 4, point 7) du [RGPD] », et « la SNCAa la qualité de sous-traitant conformément aux dispositions de l'article 4, point 8), du [RGPD] ». La Commission nationale se félicite que les auteurs du projet de loi précisent le rôle des différents acteurs dans le cadre de l'article 9 du projet de loi. Cependant, il y a lieu de recommander aux auteurs du projet de loi de préciser dans l'article pour quelle base de données la SNCA agit en tant que sous-traitant du ministre. En effet, la CNPD se demande si ta SNCAagit en tant que sous-traitant pour les deux bases de données susmentionnéesou bien si les auteurs du projet de loi se réfèrent uniquement à la base de données nationale relative aux véhicules immatriculés au Luxembourg et estime que les explications contenues à cet égard dans le commentaire de l'article 9 n'apportent pas les clarifications nécessaires. 3 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : httDS://edDb. euroDa. eu/our-work-tools/our-documents/auidelines/auidelines-072020-concepts-controller-andprocessor-Qdpr fr CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1° de l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2" du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points; 3° du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers 7/8 21. Par ailleurs, si ces dispositions visent la base de données nationale relative aux véhicules immatriculés au Luxembourg, se pose la question de savoir s'il ne faudrait pas intégrer ces précisionsdans la loi modifiéedu 14 mai 1955 concernant la réglementation de la circulation sur toutes les voies publiques. Il est renvoyé au point 18 du présent avis.
5. e)Sur la durée de conservation 22. La Commission nationale note favorablement que le projet de loi détermine la durée de conservation des données. L'article 9. 8 du projet de loi dispose que « Les données [... ] sont conservées pour une durée de cinq ans après la fin de l'agrément ou de l'agrément renouvelé et sont détruites immédiatement dans le cas d'une demande d'agrément refusée. » Néanmoins, faute d'explications dans le commentaire de l'article quant à la nécessité de conserver les données pendant une durée de cinq ans après la fin de l'agrément ou de l'agrément renouvelé, la CNPD n'est pas en mesure d'appréciersi le principe de limitation de la conservation, conformémentà l'article 5. 1.
6. e)du RGPD, est en l'espèce respecté. IV. Quant au projet de règlement grand-ducal 23. L'article 1erdu projet de règlementgrand-ducal précise la procédureapplicable auxdemandes d'agrément d'opérateur d'autopartage. Alors même qu'un tel agrément ne peut être accordé qu'à des personnes morales, le projet de règlement grand-ducal prévoit le traitement de données à caractère personnel, telles que les noms et prénoms du représentant légal de la sociétédemanderesse. La CNPD n'a pas d'observations particulières à formuler à cet égard. 24. La CNPD constate toutefois que l'article 3.4.9° du projet de règlement grand-ducal dispose que le contrat d'abonnement « fixe » la protection des données à caractère personnel. La Commission nationale tient à rappeler que c'est le RGPD qui fixe les règles applicables en matière de protection des données et qu'un contrat doit contenir des clauses qui respectent les règles et principes du RGPD, comme par exemple, le droit à l'information en fournissant les informations requises en vertu de l'article 13 du RGPD. Ainsi, la Commission nationale invite les auteurs du projet de règlement grand-ducal à reformuler cette disposition. Ainsi adopté à Belvaux en date du 21 juin 2024. nationale pour la protection des données ^ (7^^ Tine A. Larsen Thierry Lallemang Alain Herrmann Présidente Commissaire Commissaire CNPD Avis de la Commission nationale pour la protection des données relatif 1. au projet de loi n° 8232 relatif à l'autopartage sur la voie publique et portant modification de la loi modifiéedu 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques; 2. au projet de règlement grand-ducal portant réglementation de l'autopartage sur la voie publique et portant modification: 1° de l'arrêtégrand-ducal modifiédu 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques; 2° du règlement grand-ducal modifié du 26 août 1993 relatif aux avertissements taxés, aux consignations pour contrevenants non résidents ainsi qu'aux mesures d'exécution de la législation en matière de mise en fourrière des véhicules et en matière de permis à points; 3° du règlement grand-ducal modifiédu 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers 8/8