Loi mars 2007 2007 portant des des dispositions diverses. diverses. 3/12 CNPD 1— —1 Avis de de la la Commission nationale nationale pour la la protect

Avis Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatif au au projet de de loi n° n° 8253 8253 relative aux aux fiches d’hébergement d'hébergement et portant u 5 juillet 2016 portant :: 1° 1° modification de de loi loi modifiée modifiée ddu 2016 portant portant réorganisation réorganisation du du Service de de renseignement renseignement de de l’Etat l'Etat ;; 2° modification modification de de la la loi loi modifiée du du 18 18 juillet 2018 2018 sur sur la la Police grandgrandducale ; et et 3° 3° abrogation de de la la loi modifiée du du 24 24 juin 2008 2008 ayant ayant pour pour objet objet le le contrôle contrôle des des voyageurs dans dans les les établissements établissements d'hébergement d'hébergement Délibération Délibérationn° n° 20/AV8/2024 20/AV8/2024ddu 29 mars mars 2024 u 29 1. 1. Conformément u Parlement Conformément àà l’article l'article 57.1.C) 57. 1.

1. e)du du règlement règlement (UE) (UE) 2016/679 2016/679 ddu Parlement européen européen et et dduu Conseil d u 27 avril 2016 relatif à la protection des personnes physiques à l'égard Conseil du 27 avril 2016 relatif à la protection des personnes physiques l'égard du du traitement traitement des des données données àà caractère personnel personnel et et à la la libre libre circulation de de ces ces données, et et abrogeant la la directive directive 95/46/CE 95/46/CE (règlement général général sur sur la la protection protection des des données) (ci-après le le « RGPD RGPD »), »), er auquel e réfère e la u 11er août auquel sse réfère l’article l'article 7 dde la loi loi ddu août 2018 2018 portant portant organisation organisation de de la la Commission Commission nationale nationalepour pourla la protection protection des des données donnéeset et du du régime régimegénéral généralsur surla la protection protection des desdonnées, la Commission nationale pour la protection la Commission pour la protection des des données (ci-après la la « Commission Commission nationale u droit e l'État nationale» ou ou la la « CNPD CNPD») ») « conseille, conseille, conformément conformément aau droit dde l'État membre, membre, le le parlement parlement national, national, le le gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes au au sujet sujet des des mesures législatives et administratives relatives à la protection mesures législatives et administratives relatives à la protection des des droits droits et et libertés libertés des des personnes physiques u traitement ». physiques àà l'égard l'égard ddu L’article L'article 36.4 36. 4 du du RGPD RGPD dispose dispose que que « [l]es [l]es États Étatsmembres membres consultent consultent l'autorité l'autorité de de contrôle dans dans le le cadre cadre de de l'élaboration l'élaboration d'une d'une proposition de de mesure mesure législative devant devant être être adoptée adoptée par par un parlement national, o u d'une mesure un parlement national, ou d'une mesure réglementaire réglementaire fondée fondée sur sur une une telle mesure législative, législative, qui e rapporte aau u traitement. qui sse traitement. »» 2. 2. er Par Par ailleurs, ailleurs, conformément conformément àà l'article l'article 8.3° 8. 3° de de la la loi loi susmentionnée susmentionnée du du 11er août 2018, août transposant u Parlement transposant en en droit droit national national l'article ['article 46.1.
2. c)46. 1.
3. e)de de la la directive directive (UE) (UE) 2016/680 2016/680 ddu Parlement européen 7 avril européen et et du du Conseil Conseil du du 227 avril 2016 2016 relative relative àà la la protection des des personnes personnes physiques physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes l'égard du traitement des données à personnel par les compétentes àà des des fins e poursuites fins de de prévention prévention et et de de détection détection des des infractions pénales, d'enquêtes et et dde poursuites en en la matière matière ou ou d'exécution d'exécution de de sanctions sanctions pénales, pénales, et et àà la la libre libre circulation circulation de de ces ces données, données, et abrogeant abrogeant la la décision-cadre décision-cadre2008/977/JAI 2008/977/JAIdu du Conseil, Conseil, la la CNPD CNPD « conseille conseille la la Chambre Chambre des députés, députés, le le Gouvernement Gouvernement et et d'autres institutions institutions et et organismes au au sujet sujet des des mesures mesures législatives et administratives relatives à la protection des droits législatives et administratives relatives à la des droits et et libertés libertés des des personnes personnes physiques physiquesàà l'égard l'égarddu dutraitement traitementdes desdonnées donnéespersonnelles personnelles ». 1/12 1/12 CNPD Avis de de la la Commission nationale pour pour la la protection des des données relatif relatif au au projet projet de de loi loi n° n° 8253 8253 relative relative aux auxfiches fiches d’hébergement d'hébergement et et portant portant :: 11 0° modification de loi modifiée du 5 juillet loi modifiée du juillet 2016 2016 portant portant réorganisation réorganisation du du Service Service de de renseignement renseignement de de l’Etat l'Etat ;; 2° modification modificationde dela laloi loimodifiée modifiéedu du18 18juillet juillet2018 2018sur surla laPolice Policegrand-ducale grand-ducale;; et et3° 3° abrogation abrogationde la juin 2008 la loi loimodifiée modifiée du du 24 24 juin 2008 ayant ayant pour pourobjet objet le le contrôle contrôle des des voyageurs dans dans les établissements établissements d'hébergement d'hébergement 3. 3. Parcourrier courrier en en date date du du 16 16juin juin 2023, 2023, Monsieur Monsieur le le Ministre Ministre du du Tourisme a invité invitéla la Commission Commission Par nationale àà sse prononcer sur surle le projet projet dde loi relative relative aux auxfiches fiches d’hébergement d'hébergement et et portant portant :: 11°° e loi e prononcer nationale modification de de loi loi modifiée modifiée du du 5 juillet 2016 portant portant réorganisation réorganisation du du Service Service ddee juillet 2016 modification sur 2018 juillet 18 renseignement de de l’Etat l'Etat ; 2° 2° modification modification de de la la loi loi modifiée modifiée du du 18 2018 sur la la Police Police renseignement juin 2008 grand-ducale ;; et et 3° 3° abrogation abrogation de de la la loi loi modifiée modifiéedu du 24 24juin 2008 ayant ayantpour pour objet objet le le contrôle grand-ducale e loi des voyageurs dans dans les les établissements établissements d'hébergement (ci-après le le «« projet dde loi »). »). des e loi 4. IlIl ressort de de l'exposé des des motifs que que le le projet dde loi sous sous examen vise vise à remplacer la la loi loi du du 2244 4. d'hébergement, juin juin 2008 2008ayant ayantpour pourobjet objetle le contrôle contrôle des desvoyageurs voyageurs dans dansles lesétablissements établissements d'hébergement, adaptations depuis. Les plusieurs connu ayant et 1929 en place en un système mis en en 1929 et ayant Les mis un modifications proposées, proposées, issues des des recommandations recommandations d'un d'un groupe de de travail composé de modifications le Tourisme, du générale e diverses représentants représentants dde diverses entités entitéstelles telles que quela la direction direction généraledu le Ministère Ministèrede de la Sécurité Sécurité intérieure, intérieure, la la Police Police grand-ducale grand-ducale et et le le CTIE, CTIE, visent visent àà accroître l'efficacité l'efficacité dduu la u morale système système actuel actuel tant tant pour pour les les exploitants, exploitants, c’est-à-dire c'est-à-dire toute toute personne personne physique physique oou morale qui qui e ces fournit, à titre titre onéreux, onéreux, uun que pour pour les les destinataires destinataires dde ces données, données, n service d'hébergement, que e la qui sont sont la taPolice grand-ducale grand-ducale et etl’institut l'Institut national dde la statistique et etdes des études études économiques économiques qui du Grand-Duché Grand-Duché dde Luxembourg (ci-après (ci-après le le « STATEC STATEC »). »). La La CNPD CNPD comprend du e Luxembourg du qu’ explique commentaire des articles relatif à l'article 1 du projet de loi qui explique qu' «« IlIIn'importe n'importepas, qui loi e d projet du 1 l'article à relatif commentaire des articles u non e manière habituelle o de la la présente présente loi, si si la la personne exerce cette activité activité dde ou non u regard de aau Ainsi, d'établissement. e disposer et qu’elle qu'elle soit soit ou ou non non tenue tenue dde disposer d’une d'une autorisation autorisation d'établissement. Ainsi, les les et obligations imposées par par la la présente loi loi s’appliquent s'appliquent également aux aux personnes qui, en en vertu vertu e loi des nouvelles dispositions en en matière matière d’établissement d'établissement (projet (projet dde loi n°7989), ne ne seraient seraient pas des e situe sse tenues de détenir une autorisation d'établissement en du fait que leur activité activité leur que fait u d raison en d’établissement tenues d e détenir une u seuil à partir en-deçà en-deçà ddu partir duquel une une telle autorisation autorisation est est exigée exigée » que que les les personnes personnes physiques qui qui loueraient, loueraient, ne ne serait-ce serait-ce qu’à qu'àtitre titre occasionnel, leur leur logement logement privé privépar par le le biais biais physiques de projet du dispositions les respecter devraient ligne, d'une plateforme plateforme commerciale en en ligne, devraient respecter les dispositions du projet de loi loi d’une avis. sous avis. e règlement 5. La La Commission nationale nationale a pris pris note note du du dépôt dépôtd'un d'un projet projet dde règlement grand-ducal grand-ducal portant portant 5. du règlement grand-ducal grand-ducal du du 5 août août 2015 2015 relatif relatif aux aux fiches àà tenir tenir par par les les logeurs logeurs abrogation du de exécution en pris été a e dernier n service exploitant uun service d'hébergement d'hébergement touristique. C Ce dernier étépris en exécution de la la loi loi exploitant juin 2008 du 224 2008 susmentionnée susmentionnée afin afin de de préciser préciser les les modalités modalités et et les les délais délais de de la la 4 juin du e même des fiches d'hébergement et et des des données, données, dde même que que le le modèle modèle de de ces fiches d'hébergement communication des traitement le que ainsi celles-ci de conservation de mode le apporter, y à fiches,les les indications indicationsà apporter, le modede conservation de celles-ci ainsi que le fiches, des données par par la la Police Police grand-ducale. grand-ducale. L’ensemble L'ensemble de de ces ces questions sont sont désormais réglées réglées des par par le le projet projet de de loi loi sous sous examen. 6. 6. La Commission nationale formulera dans dans le le présent présent avis avis ses ses observations quant quant aux La soulevées personnel caractère à problématiques problématiques relatives relatives àà la la protection protection des des données données à caractère personnel soulevées par par le le loi. de projet projet de loi. 2/12 CNPD de la la Commission Commission nationale nationale pour pour la la protection des des données Avis de u projet relatif relatifaau projetde deloi loi n° n"8253 8253relative relativeaux auxfiches fichesd’hébergement d'hébergementet etportant portant:: 1° 1 ° modification modificationde de juillet 2016 loi loimodifiée modifiéedu du5 juillet 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement renseignementde del'Etat l'Etat;; 22"° juillet 2018 u 18 modification de de la la loi loi modifiée modifiée ddu 18juillet 2018 sur sur la la Police Police grand-ducale ;; et et 3° 3° abrogation abrogation de modification juin 2008 la loi loi modifiée modifiée ddu 24 juin 2008 ayant ayant pour pour objet objet le le contrôle contrôle des des voyageurs dans dans les u 24 la établissementsd'hébergement d'hébergement établissements I.l. Remarques liminaires liminaires Remarques 7. 7. La n établissement La législation législation actuelle actuelle impose impose àà quiconque quiconque qui qui héberge héberge une une personne personne dans dans uun établissement d’hébergement collectif ou d’hébergement touristique privé de remplir ou de faire d'hébergement ou d'hébergement privé de remplir ou de faire remplir une une fiche e les fiche reprenant reprenant certaines certaines informations des des personnes personnes hébergées hébergées et et dde les transmettre àà certaines autorités. certaines 8. 8. LLe e système n vertu e l’article systèmedes desfiches fichesd’hébergement d'hébergementtient tientàà satisfaire satisfaireune unedouble doublefinalité. finalité.EEn vertu dde l'article 45 e la 45 dde la Convention Convention d'application d'application de de l'Accord l'Accord de de Schengen Schengen (ci-après (ci-après la la «« CAAS CAAS »), »), le le Luxembourg est tenu de prendre des mesures pour assurer que les étrangers, ressortissants Luxembourg est tenu de prendre des mesures pour assurer que les ressortissants de n établissement de l’Union l'Union européenne européenne et et de de pays pays tiers, qui qui sont sont hébergés hébergés dans dans uun établissement d'hébergement d'hébergement touristique touristique remplissent remplissent et et signent une une fiche fiche de de déclaration et et justifient de de leur identité. n outre, le identité. EEn le Luxembourg est est tenu tenu par par le le règlement règlement (UE) (UE) n° n° 692/2011 du du Parlement Parlement européen juillet 2011 européen et et du du Conseil Conseil du du 6 juillet 2011 concernant concernant les les statistiques statistiques européennes européennes sur sur le tourisme et abrogeant la directive 95/57/CE du Conseil de fournir à l’office statistique tourisme et abrogeant la directive 95/57/CE du Conseil de fournir à l'office statistique de de la Commission Commission européenne (EUROSTAT) (EUROSTAT) des des statistiques statistiques sur sur la la fréquentation fréquentation des des établissements établissements d’hébergement. d'hébergement. Donc, Donc, l’établissement rétablissement ainsi ainsi que que la la transmission transmission des des fiches d’hébergement aux autorités respectives couvrent des fins à la fois sécuritaires et statistiques. d'hébergement aux autorités respectives couvrent des fins à la fois sécuritaires et statistiques. 9. 9. En En ce ce qui qui concerne concerne le le volet volet sécuritaire, sécuritaire, la la Commission Commission nationale nationale constate constate que que le le projet projet de de loi loi sous examen prévoit une transmission non-ciblée des fiches d'hébergement pour chaque sous examen prévoit une transmission non-ciblée des fiches d'hébergement pour voyageur voyageur et et pour pour chaque chaque séjour séjourpar par l’exploitant l'exploitant àà la la Police Policegrand-ducale. grand-ducale.Cette Cette transmission systématique systématique et et généralisée généraliséeaboutit aboutit àà une une centralisation centralisation massive massive des des données données àà caractère caractère personnel e la personnel auprès auprès dde la Police Police grand-ducale, grand-ducale, ce ce qui qui soulève soulève des des questions questions importantes importantes aauu regard u droit 1 dde e la regard ddu droit àà la la protection des des données données tel tel que que consacré consacré tant tant par par l’article l'article 331 la 1 Constitution que par les textes supranationaux. Dans ce contexte, il faut souligner qu'une Constitution que par les supranationaux. 1 Dans ce contexte, il faut qu'une transmission transmission automatique automatique des des données données personnelles personnelles des des voyageurs voyageurs par par l’exploitant l'exploitant aux aux services n effet, services de de police police aa été été abrogée abrogée dans dans tous tous nos nos pays pays voisins. voisins. EEn effet, ni ni l’Allemagne, l'Allemagne, ni ni la la France, ni la Belgique ne connaissent actuellement une transmission systématique et France, ni la Belgique ne connaissent actuellement une transmission systématique et 2 généralisée e police. n revanche, généraliséedes des données données de de tous tous les les voyageurs voyageurs aux aux services services dde police.2 EEn revanche, les ordres juridiques susmentionnés prévoient la conservation des fiches d’hébergement ordres juridiques susmentionnés prévoient la conservation des fiches d'hébergement par par l'exploitant l'exploitant lui-même lui-même pendant pendant une une durée durée déterminée. déterminée. Si Si la la demande demande lui lui est est faite, faite, l’exploitant l'exploitant ou ou son son préposé préposédoit doitmettre mettre les les données donnéesenregistrées enregistréesàà la la disposition dispositiondes des agents agents de de police police de de sorte que le contrôle en est possible. Au-delà, la France a limité l'accès aux données en que le en est possible. la France limité l'accès aux données obligeant e police obligeant les les agents agents dde police de de fonder fonder leur leur demande demande sur sur l’un l'un des des trois trois motifs motifs légaux légauxprévus prévus par e l'entrée par le le code code dde rentrée et et du du séjour séjour des des étrangers étrangers et et du du droit droit d'asile, d'asile, àà savoir savoir aux aux fins fins de 1 1 Voir Voir article article 8 de de la la Convention de de sauvegarde des des droits droits de de l’homme l'homme et et des des libertés libertés fondamentales et et les les articles articles 7 et et 8 de de la la Charte des des droits fondamentaux de de l’Union l'Union européenne. européenne. 2 (BMG) vom 3. 2 En EnAllemagne Allemagne voir voir§29 §29àà §31 §31 du duBundesmeldegesetz Bundesmeldegesetz(BMG)vom 3.Mai Mai2013 2013;; en enFrance Francevoir voirles lesarticles articlesR.814R.81411 àà R u Code de l'entrée et ddu u séjour des étrangers et ddu u droit d'asile ;; een n Belgique voir les articles 141 R..814-3 814-3 ddu Code de rentrée et séjour des étrangers et droit d'asile Belgique voir les articles 141 àà er 146 o i du d u 11er mars 146 de de la la LLoi mars 2007 2007 portant des des dispositions diverses. diverses. 3/12 CNPD 1— —1 Avis de de la la Commission nationale nationale pour la la protection protection des des données données relatif u projet relatifaau projetde deloi loi n° n° 8253 8253relative relativeaux auxfiches fichesd’hébergement d'hébergementet etportant portant:: 1° 1 " modification modificationde loi juillet 2016 u Service loi modifiée modifiée du du 55 juillet 2016 portant portant réorganisation réorganisation ddu Service de de renseignement renseignement de de l'Etat l'Etat ;; 22°° modification de u 18 juillet 2018 de la la loi loi modifiée modifiée ddu 18juillet 2018 sur sur la la Police Police grand-ducale grand-ducate ;; et et 3° 3° abrogation de la juin 2008 la loi loi modifiée modifiéedu du24 24 juin 2008ayant ayantpour pourobjet objetle lecontrôle contrôledes desvoyageurs voyageursdans dansles les établissements d'hébergement d'hébergement prévention des des troubles troubles àà l'ordre l'ordre public, public, d’enquêtes d'enquêtes judiciaires et dde recherche dans dans l'intérêt l'intérêt prévention judiciaires et e recherche 3 des personnes.3 des personnes. 10. Force Force est est dde constater que que le le système système des des fiches fiches d’hébergement d'hébergement aau Grand-Duché dduu 10. e constater u Grand-Duché est beaucoup plus plus étendu et et intrusif intrusif que que celui de de ses ses pays pays voisins et et que que la la Luxembourg est des données données personnelles auprès auprès dde la Police Police grand-ducale grand-ducate constitue une centralisation des e la spécificité par par rapport rapport aux aux autres pays. LLa Commission nationale aura aura l’occasion l'occasion de de revenir revenir àà spécificité a Commission cet u présent cet aspect aspect essentiel dans dans la la suite suite ddu présent avis. avis. II. II. Les rresponsables des différents traitements Les esponsables d e s différents 11. IlIl y a lieu lieu dde rappeler que que la la notion notion de de responsable du du traitement traitement joue rôle important important en 11. e rappeler joue uun n rôle matière de de protection des des données. données. Premièrement, Premièrement, la la détermination détermination du du responsable responsable du matière peut avoir avoir des des incidences incidences sur sur le le régime régime juridique juridique applicable. EEn effet, les les traitement peut n effet, de données données effectués effectués àà des des fins fins pénales pénales oou par des des autorités autorités traitements de u sécuritaires par compétentes, telles que que la la Police Police grand-ducale ou ou le le Service de de renseignement renseignement de de l’Etat l'Etat (ci(cicompétentes, er aprèsle le «« S SRE »), sont sontsoumis soumisàà la la loi loi du du 11eraoût août2018 2018relative relative àà la laprotection protection des despersonnes personnes après R E »), physiques à u traitement des à l'égard l'égard ddu des données àà caractère personnel personnel en en matière pénale pénale ainsi ainsi qu’en qu'en matière de de sécurité sécurité nationale nationale tandis que que les les autres traitements, traitements, tels tels que que ceux ceux effectués effectués par u le e droit par les les exploitants oou le STATEC, relèvent du du régime régime dde droit commun, commun, àà savoir savoir le le RGPD. RGPD. Deuxièmement,la la détermination déterminationddu responsabledu du traitement traitementpermet permetdde savoirquelle quelle entité entité Deuxièmement, u responsable e savoir est responsable responsable des des différentes règles règles en en matière dde protection des des données ainsi ainsi que que dde est e protection e la 4 dont les les personnes concernées peuvent peuvent exercer leurs droits. droits.4 manière dont 12. En En vertu vertu des des articles articles 33 et et 66 du du projet projet de de loi, loi, ilil appartient appartient àà l’exploitant l'exploitant d’établir d'établir les les fiches fiches 12. d’hébergement d'hébergement et et de de transmettre àà la la Police Police grand-ducale grand-ducale ainsi ainsi qu'au qu'au STATEC STATEC les les données personnelles énumérées énumérées aux aux annexes annexes respectivement applicables. IlIl en en découle découle que l’exploitant l'exploitant est est le le responsable responsable du du traitement pour pour la la collecte et et la la transmission transmission subséquente subséquente des données des voyageurs, par le biais des fiches d'hébergement, à la Police grand-ducale des données des par le biais des fiches d’hébergement, à la Police grand-ducale et aau STATEC. D De même, le le STATEC, STATEC, la la Police Police grand-ducale grand-ducaleet et le le SSRE sont àà considérer considérer et u STATEC. e même, R E sont comme responsables responsablesdes des traitements traitements qu’ils qu'ilseffectuent effectuentrespectivement respectivement par parla la suite. comme 13. Par Par conséquent, la la CNPD CNPD peut peut se se rallier rallier aux aux développements faits faits par par les les auteurs auteurs dans dans le le 13. commentairede de l'article l'article 66 selon selonlesquels lesquels les les différents différentsacteurs acteurs ne ne sont sontpas pasdes des responsables responsables commentaire conjoints conjoints du du traitement traitement des des données données àà caractère caractère personnel, mais mais des des responsables responsables indépendants indépendants et et successifs. successifs. 3 3 Article R.814-1 R. 814-1 et et suivants ddu Code de de l'entrée rentrée et et du du séjour séjour des des étrangers et et ddu droit d'asile. d'asile. u Code u droit 4 4 V. V. en en ce ce sens: sens: Comité Comité européen européen de de la la protection protection des des données données (EDPB), Lignes Lignes directrices 07/2020 07/2020 concernant concernant les notions notions de de responsable responsable du du traitement et et de de sous-traitant dans dans le le RGPD, RGPD, point point 3, 3, disponibles sous sous : les https://edpb.europa.eu/our-work-tools/our-documents/quidelines/quidelines-072020-concepts-controller-andhttDs://edDb.euroDa.eu/our-work-tools/our-documents/auidelines/auide]ines-072020-conceDts-controller-andprocessor-qdpr Drocessor-adpr fr. fr. 4/12 CNPD de la la Commission nationale pour pour la la protection des des données Avis de relatif u projet relatif aau projet de de loi loi n° n° 8253 8253 relative relative aux auxfiches fiches d’hébergement d'hébergement et et portant portant :: 1° 1 " modification modification de loi modifiée modifiée du du 5 juillet 2016 portant portant réorganisation du du Service Service de de renseignement de de l’Etat l'Etat ;; 22°° loi juillet 2016 modification juillet 2018 modificationde de la la loi loi modifiée modifiéedu du 18 18juillet 2018sur surla la Police Policegrand-ducale grand-ducale;; et et 3° 3° abrogation abrogationde la u 24 juin 2008 la loi loimodifiée modifiéeddu 24 juin 2008ayant ayantpour pourobjet objetle le contrôle contrôledes desvoyageurs voyageursdans dansles les établissements établissementsd'hébergement d'hébergement III. III. La collecte des données par par les les exploitants exploitants La 14. e projet e loi 14. LLe projet dde loi sous sous examen examen instaure instaure l’obligation l'obligation légale légale pour pour les les exploitants de de traiter traiter uunn certain certainnombre nombrede dedonnées donnéesàà caractère caractèrepersonnel. personnel.Ainsi, Ainsi,la lacollecte collectedes desdonnées donnéespersonnelles des voyageurs par les exploitants trouve sa base d e licéité dans l’article des voyageurs par les trouve sa base de licéité dans l'article 6.1.
4. c)6. 1.
5. e)du du RGPD RGPD eenn vertu duquel u respect duquel le le traitement est est licite licite s’il s'il est est « nécessaire nécessaire aau respect d’une d'une obligation obligation légale légale à laquelle le responsable d u traitement est soumis ». Dans ce cas de figure, l’article laquelle le du traitement est soumis ». Dans ce cas de figure, l'article 6.3 6. 3 du RGPD u traitement RGPDprévoit prévoitune une contrainte contrainte particulière particulièreliée liéeàà la la licéité licéitéddu traitement dans dans la la mesure mesure où où le fondement fondement et et les les finalités finalités du du traitement traitement doivent doivent être être définies définies soit soit par par le le droit droit de de l’Union l'Union européenne, soit par le droit national. De plus, cette base juridique doit répondre à un objectif soit par le droit national. De plus, cette base juridique doit répondre à un d’intérêt d'intérêtpublic public et et être être proportionné proportionné àà l’objectif l'objectif légitime légitime poursuivi. poursuivi. 15. n outre juridique 15. IlIl résulte résulte een outre de de l’article l'article 6.3 6. 3 ainsi ainsi que que du du considérant considérant 45 45 du du RGPD RGPD que que la la base base juridique peut peut contenir contenir des des dispositions dispositions spécifiques spécifiquesvisant, visant, entre entre autres, autres, àà déterminer déterminerle le responsable responsable du e données du traitement, les les personnes concernées, les les catégories catégories dde données qui qui font font l'objet l'objet du traitement et et la la durée durée dde traitement e conservation. 1. 1. L’exploitant L'exploitanten en tant tant que que responsable responsable du du traitement 16. 1 à 16. Tel Tel qu’exposé qu'exposé sous sous les les points points 111 à 13 13 du du présent présent avis, avis, les les exploitants exploitants sont sont àà considérer considérer comme responsables des des traitements relatifs à à la la collecte et et la la transmission des des données personnelles des des voyageurs. Ainsi, le le respect des des principes énoncés énoncés àà l’article l'article 5 du du RGPD s’impose u traitement. LLe e présent s'impose aux auxexploitants en en tant tant que que responsables ddu présentavis avisse sepenchera penchera plus particulièrement sur les principes d e transparence, d’une part, ainsi que sur le plus particulièrementsur les principes de transparence, d'une part, ainsi que sur le principe d'intégrité e confidentialité, d'intégritéet et dde confidentialité,d’autre d'autrepart. A. A. Le Le principe principe de de transparence 17. e principe 4 du 17. LLe principe de de transparence transparence est est consacré consacréàà l'article l'article 5.1.
6. a)5. 1.
7. a)tandis tandis que que les les articles articles 12 12 àà 114 RGPD RGPDexposent exposentles les exigences exigencespratiques pratiquesrelatives relativesàà l'information l'informationdes des personnes personnesconcernées. Ainsi, les Ainsi, les informations informations visées viséesàà l’article l'article 13 13 du du RGPD RGPDdoivent doiventêtre êtrefournies fourniespar parle le responsable du u moment m ê m e dde e la du traitement, c’est-à-dire c'est-à-dire l’exploitant, l'exploitant, aau même la collecte des des données données d’une d'une 5 manière manière concise, concise, transparente, transparente, compréhensible compréhensible et et aisément aisément accessibles. accessibles. 5 L’exigence L'exigence de de compréhensibilité compréhensibilitéimplique implique que que ces ces informations informations devraient devraient être être accessibles accessiblesàà la la majorité majorité du public u plusieurs langues devrait public visé, visé, et et donc donc une une traduction dans dans une une oou devrait être être fournie fournie si si les 6 personnes personnes ciblées cibléespar parle le responsable responsable du du traitement traitementparlent parlentd’autres d'autres langues. langues.6 18. u traitement fournissent 18. Par Par ailleurs, l'article 13.1.
8. e)13. 1.
9. e)du du RGPD RGPD exige exige que que les les responsables responsables ddu fournissent aux aux personnes concernées les les informations relatives aux aux destinataires ou ou aux aux catégories catégories ddee 5 5 Article 12. 1 du du RGPD. RGPD. Article 12.1 6 Groupe Groupe de de travail travail « Article Article 29 29 », », Lignes Lignes directrices directrices sur sur la la transparence au au sens sens du du règlement règlement (UE) (UE) 2016/679, 2016/679, Version révisée révisée et et adoptée adoptée le le 11 11 avril 2018, points points 9 et et s. 5/12 6 CNPD —J Avis de la la Commission Commission nationale pour la la protection des données données relatif relatifau au projet projetde deloi loi n° n° 8253 8253relative relative aux auxfiches fichesd'hébergement d'hébergementet etportant portant:: 1° 1 ° modification modificationde loi juillet 2016 loi modifiée modifiéedu du 5 juillet 2016portant portantréorganisation réorganisationdu du Service Servicede derenseignement renseignementde de l’Etat l'Etat;; 2° modification de juillet 2018 de la la loi loi modifiée modifiée du du 18 18juillet 2018 sur sur la la Police Police grand-ducale ;; et et 3° 3° abrogation de la juin 2008 la loi loimodifiée modifiéedu du24 24 juin 2008ayant ayantpour pourobjet objetle le contrôle contrôledes desvoyageurs voyageursdans dansles établissements d'hébergement d'hébergement des données données à à caractère caractère personnel. personnel. En En l’espèce, l'espèce, les les personnes doivent doivent être destinataires des informées sur sur le le fait que leurs leurs données données personnelles sont sont traitées traitées par par la la Police Police grand-ducale grand-ducale fait que informées et le le cas cas échéant échéant par par le le STATEC, conformément conformément aux aux explications fournies sous sous les les points 36 et e toutes les d uniforme et et suivants suivants du du présent présent avis. Afin Afin d’assurer d'assurer une une information information complète et de les et personnes concernées, ilil pourrait pourrait être êtreutile utile que que le le ministère ministère compétent compétent mette mette àà disposition disposition des personnes modèlesdde noticesd’information d'informationqui qui peuvent peuventêtre être utilisées utiliséespar partous tous les les exploitants. e notices modèles B. Le Lerôle rôle du du CTIE CTIE au au regard du du principe d’intégrité d'intégrité et et de de confidentialité confidentialité B. 19. LLe commentaire dde l'article 6 du du présent présentprojet projet dde loi précise préciseque que « le /e transfert transfert des des données données e loi e l’article e commentaire 19. e la e fait et informations informations dde l'exploitant vers vers les les autorités autorités compétentes compétentes sse fait par par l'intermédiaire l'intermédiaire dde la e l'exploitant et protection e d général règlement u d u regard hébergéepar parle le CTIE CTIEqui, qui, aau regard du règlement général de protection solution informatique hébergée e la des données données aura aura la la qualité qualité de de sous-traitant sous-traitant des des exploitants exploitants et et dde la Police Police ». ». Or, Or, la des qualification retenue par par les les auteurs du du projet de de loi loi soulève plusieurs observations observations de de la la part part de la la CNPD. CNPD. de 20. Tout Tout d’abord, d'abord, ilil yy a lieu lieu dde rappelerque que l’article l'article 4.8) 4.8) du du RGPD RGPDdéfinit définitle le sous-traitant sous-traitantcomme e rappeler 20. un u o service le publique, l'autorité morale, ou la personne personne physique physique ou morale, l'autorité publique, le service ou un autre autre organisme organisme qui « la u traitement u responsable ddu traite des des données données àà caractère caractère personnel personnel pour pour le le compte compte ddu traitement ». ». Or, traite hébergée est résulte de de l’article l'article 1.6° 1.6° de de la la loi loi en en projet projet que que la la solution solution informatique informatique est hébergéedans ilil résulte u Ministre l'infrastructure du duCTIE CTIEpour pour le le compte compte ddu Ministre ayant ayantle le Tourisme Tourisme dans dans ses sesattributions. C Cee l’infrastructure libellé donne donne àà croire croire que que le le CTIE CTIE agirait agiraiteen tant que que sous-traitant du du Ministre Ministre alors alors que, que, selon selon n tant libellé prévu dispositif du cadre le dans pas e dernier n’intervient la compréhension compréhension de de la ta CNPD, cce n'intervient pas dans te cadre du prévu la par le le projet projet dde loi. La La Commission nationale nationale estime estime que que les les explications contenues contenues àà cet e loi. par er n’apportent égard égard dans dans le le commentaire de de l'article l'article 11er n'apportent pas pas les les clarifications clarifications nécessaires. nécessaires. n sous-traitant 21. Ensuite, Ensuite, conformément conformément àà l’article l'article 28.3 28. 3 du du RGPD, RGPD, le le traitement par par uun sous-traitant doit doit être 21. d’un droit n autre acte n contrat ou régi régi par par uun ou uun acte juridique au au titre du du droit droit de de l’Union l'Union ou ou du du droit d'un État Etat membre, conclu conclu entre entre le le responsable responsable du du traitement traitement et et le le sous-traitant, sous-traitant, qui qui doit doit contenir membre, e sous-traitant a pour certaines clauses. Ainsi, Ainsi, la la qualification dde pour conséquence conséquence que que les certaines l’article e d sens u a n contrat exploitants doivent doiventconclure conclure avec avecle leCTIE CTIEuun contrat de desous-traitance sous-traitance au sens de l'article 28.3 28.3 exploitants du RGPD. RGPD. LLa conclusion d’un d'un tel tel contrat contrat n’a n'a toutefois toutefois pas pas d’incidence d'incidencesur sur la la responsabilité responsabilité a conclusion du des des exploitants en en matière matière de de protection protection des des données. La La CNPD CNPD rappelle rappelle que que l’exploitant, l'exploitant, en en mesures des œuvre en mise la e d responsable demeure traitement, du tant tant que que responsable responsable du demeure de la mise en ouvre des mesures et organisationnelles organisationnelles appropriées pour pour s’assurer s'assurer que que le le traitement est est effectué effectué techniques et 7 conséquent, Par démontrer. conformément aau RGPD (article 24) 24) et et doit doit être être en en mesure mesure de de le le démontrer. 7 Par conséquent, u RGPD conformément des qualification la si s’interroge la nationale s'interroge si la des différents différents acteurs, telle telle nationale Commission la e loi, u projet qu’envisagée qu'envisagée par par les les auteurs auteurs ddu projet dde loi, est est adaptée adaptée àà la la réalité réalitédes des activités activités réellement réellement exploitants les que concevable exercées. À À titre titre d’exemple, d'exemple, ilil semble semble difficilement difficilement concevable que les exploitants donnent exercées. 7 7 Comité Comité européen européen de de la la protection protection des des données données (EDPB), Lignes Lignes directrices 07/2020 07/2020 concernant les les notions notions de u traitement responsable responsableddu traitementet etde desous-traitant sous-traitantdans dansle leRGPD, RGPD,Point Point41, 41,disponible disponiblesous sous:: https://edpb.europa.eu/ourhttDS://edDb.euroDa.eu/ourwork-tools/our-documents/quidelines/quidelines-072020-concepts-controller-and-processor-qdpr fr. work-tools/our-documents/auidelines/auidelines-072020-conceDts-controller-and-Drocessor-adDr fr. 6/12 CNPD a Commission nationale pour ta protection des données e lla Avis dde Commission nationale pour la protection des données Avis 0 u projet relatif relatifaau projetde deloi loin° n°8253 8253relative relativeaux auxfiches fichesd’hébergement d'hébergementet etportant portant:: 11 ° modification modificationde de u Service juillet 2016 loi loimodifiée modifiéedu du5 juillet 2016portant portantréorganisation réorganisationddu Servicede derenseignement renseignementde del'Etat l'Etat;; 2° 2° juillet 2018 modificationde dela la loi loimodifiée modifiéedu du18 18juillet 2018sur surla la Police Policegrand-ducale grand-ducale;; et et 3° 3° abrogation abrogationde modification juin 2008 la loi loi modifiée modifiée ddu 24 juin 2008 ayant ayant pour pour objet objet le le contrôle contrôle des des voyageurs voyageurs dans dans les les u 24 la établissementsd'hébergement d'hébergement établissements une u CTIE e sorte e sse e demander une quelconque instruction aau CTIE dde sorte qu'il qu'il y a lieu lieu dde demander si si la la qualification qualification de de responsable (conjoint) du du traitement ne ne serait serait pas pas plus plus appropriée appropriée en en l'espèce. l'espèce. 2. 2. Les Les personnes personnes concernées 22. e système actuel prévoit 22. LLe prévoit qu’une qu'une fiche fiche d'hébergement doit doit être être remplie remplie par par chaque voyageur voyageur à e moins à l'exception de de la la personne personne accompagnant accompagnant le le voyageur voyageur et et des des enfants enfants dde moins de de 15 15 ans er qui sont repris sur la même fiche. D e plus, l'article 1 de la loi du 2 4 juin 2008 ayant pour qui sont repris sur la même fiche. Déplus, l'article 1erde la loi du 24juin 2008 ayant pour objet objet le le contrôle contrôle des des voyageurs voyageurs dans dans les les établissements établissements d’hébergement d'hébergement ainsi ainsi que que le le règlement règlement d'exécution, 4 août n effet, d'exécution, tel tel qu’il qu'il est est en en vigueur vigueur depuis depuis le le 114 août 2015, 2015, ne ne prévoient prévoient een effet, pour pour les personnes voyageant en groupe, que l’obligation d'établir une fiche pour le voyageur principal personnes voyageanten groupe, que l'obligation d'établirune fichepour le voyageur et voyageurs accompagnant et d'indiquer d'indiquersur surcette cette fiche fichele le nombre nombre de de voyageurs accompagnantcelui-ci. celui-ci. Aucune Aucune donnée à à caractère caractèrepersonnel personnelconcernant concernantles lespersonnes personnes« accompagnantes accompagnantes» n'est n'estdès dèslors lorstransmise à à la la Police Police grand-ducale. 23. 23. Les Les auteurs auteurs du du projet projet de de loi loi sous sous avis avis veulent veulent désormais désormais imposer imposer aux aux exploitants exploitants l’obligation l'obligation d’établir une fiche d’hébergement pour chaque client âgé d e 15 ans ou plus et pour d'établir une fiche d'hébergement pour chaque client âgé de 15 ans ou plus et pour chaque chaque séjour séjour du du client. La La CNPD CNPD prend prend note note des des explications des des auteurs concernant les les raisons raisons pour lesquelles ils veulent élargir le cercle des personnes concernées. Selon pour lesquelles ils veulent élargir le cercle des personnes concernées. Selon leurs explications, explications, le le système système actuel actuel serait serait inefficace inefficace dans dans la la mesure mesure où oùla la Police Police ne ne reçoit reçoit aucune aucune information information sur sur l’identité l'identité des des différents différents membres membres d’un d'un groupe groupe et et ilil n’est n'est pas pas aisé aisé pour pour l’exploitant, lorsque plusieurs personnes se présentent dans son établissement sans faire l'exploitant, lorsque plusieurs personnes se présentent dans son établissement sans partie e déterminer partie d’un d'un voyage voyage organisé, organisé, dde déterminer qui qui est est le le voyageur voyageur «« principal principal »» dont dont ilil est est censé censé relever relever les les données donnéeset et qui qui sont sont les les personnes personnes accompagnantes. 24. e la u mineurs 24. Sur Surle le plan plan européen, européen, l'article l'article 45.1.
10. a)45. 1 .
11. a)dde la CAAS CAAS exclut exclut explicitement explicitement les les conjoints conjoints oou mineurs accompagnant u les e voyage accompagnant le le voyageur voyageur principal principal oou les membres membres des des groupes groupes dde voyage de de l'obligation l'obligation de de remplir une une fiche fiche d'hébergement. Ainsi, la la Commission nationale se se demande s’il s'il s’avère s'avère vraiment vraiment nécessaire nécessaired’élargir d'élargirle le cercle cercle des des personnes personnes concernées concernées en en tenant tenant compte compte de de la la disposition susmentionnée. susmentionnée. 25. e loi toute 25. Par Par ailleurs, ailleurs, l’article l'article 1.5° 1. 5° du du projet projet dde loi sous sous examen examen définit définit comme comme voyageur voyageur ««toute personne âgée de 1 5 ans o u plus qui loge dans un hébergement touristique pour une durée personne âgéede 15 ans ou plus qui loge dans un hébergementtouristique pour une durée ne e fait, nedépassant dépassantpas pastrois trois mois moisconsécutifs consécutifs». ». De Decce fait, les lesmineurs mineursde dequinze quinzeàà dix-huit dix-huitans ansont l'obligation e remplir n hébergement l'obligation dde remplir une une fiche fiche d'hébergement d'hébergement pour pour chaque chaque séjour séjour dans dans uun hébergement touristique et leurs données personnelles sont également transmises à la Police grand-ducale. touristique et leurs donnéespersonnelles sont égalementtransmisesà la Policegrand-ducale. En e personnes vulnérables, la En considérant considérant qu’il qu'il s’agit s'agit dde la CNPD CNPD estime la la transmission transmission généralisée et systématique vers la Police grand-ducale comme étant d'autant généralisée et systématique vers la Police grand-ducale comme étant d'autant plus plus problématique. IlIl faut faut noter noter qu’à qu'à l'égard l'égard du du traitement traitement des des données données àà caractère caractère personnel en matière matièrepénale, pénale,«« des desmesures mesuresprises prisespar parle le responsable responsabledu du traitement traitementdevraient devraientcomprendre comprendre l'établissement et la mise e n oeuvre de garanties spécifiques destinées au traitement rétablissement et la mise en ouvre de garanties spécifiques destinées au traitement ddee 7/12 CNPD Avis de de la la Commission nationale pour la la protection protection des des données données relatif u projet relatif aau projet de de loi loi n° n° 8253 8253 relative relative aux auxfiches fiches d’hébergement d'hébergement et et portant portant :: 1’ 1 ° modification modification de de loi juillet 2016 loi modifiée modifiée du du 55 juillet 2016 portant portant réorganisation réorganisation du du Service Service de de renseignement renseignement de de l’Etat l'Etat;; 22°° modification de u 118 8 juillet juillet 2018 de la la loi loi modifiée modifiée ddu 2018 sur sur la la Police Police grand-ducale ;; et et 33°° abrogation de la u 24 juin 2008 la loi loi modifiée modifiéeddu 24 juin 2008ayant ayantpour pourobjet objetle le contrôle contrôledes desvoyageurs voyageursdans dansles les établissements d'hébergement d'hébergement données àà caractère caractère personnel relatives relatives aux aux personnes personnes physiques physiques vulnérables vulnérables telles telles que que les les données enfants ». ».88 enfants 26. EEn outre, le le projet projet dde loi sous sous examen examen ne ne fait, fait, contrairement contrairement àà la la France, France, aucune aucune différence différence 26. n outre, e loi entre uun voyageur dde nationalité étrangère étrangère et et luxembourgeoise. luxembourgeoise. Ainsi, la Commission Commission entre n voyageur e nationalité Ainsi, la nationale s’interroge s'interroge sur sur l’obligation l'obligation dde remplir les les fiches fiches d'hébergement d'hébergement aussi aussi bien bien ppour les nationale e remplir o u r les citoyens luxembourgeois. luxembourgeois. Encore Encore une une fois, fois, ilil faut faut souligner souligner que que l'article l'article 45 45 dde la CAAS CAAS ne ne citoyens e la prévoit une une obligation de de déclaration que que pour pour les les ressortissants ressortissants étrangers logés logés dans dans uunn prévoit établissement d’hébergement. d'hébergement. IlIl y a lieu lieu de de souligner souligner qu’en qu'en Allemagne, uun projet dde loi a établissement n projet e loi récemment été déposé par le Ministre de la Justice, qui vise dans son article 6 la suppression récemment été déposé par le Ministre de la Justice, qui vise dans son article la de l’obligation l'obligation dde remplir les les fiches fiches d’hébergement d'hébergement pour pour les les ressortissants ressortissants allemands, ce ce qui de e remplir représente, selon selon les les auteurs auteurs dde ce projet projet de deloi, loi, une unemesure mesure importante pour pourréduire réduirela lacharge représente, e ce administrativedes des exploitants. exploitants.99 administrative 3. e données 3. Les Les catégories catégoriesdde données 27. 27. Les Les voyageurs doivent fournir sur sur la la fiche fiche d'hébergement d'hébergement les les informations informations àà caractère caractère personnel u présent e loi. personnel prévues prévues par par l’annexe l'annexe 11 ddu présent projet dde loi. La LaCommission Commission nationale comprend comprend qu'il s’agit s'agit notamment notamment du du numéro numéro de de la la pièce pièce d'identité présentée par par le le voyageur. voyageur. Selon Selon qu'il l’article e loi e vérifier l'article 5.2 5. 2 du du projet dde loi sous sous examen, l’exploitant l'exploitant a l’obligation l'obligation dde vérifier les les données données qui qui lui sont sont soumises soumises sur sur base base dde la carte carte d’identité d'identité ou ou du du passeport passeport du du voyageur. voyageur. À À cette cette fin, fin, lui e la l’exploitant u voyageur dde e présenter l'exploitant peut peut demander aau présenter une une pièce pièce d’identité d'identité dans dans le le seul seul but but de vérifier les les renseignements renseignements fournis fournis par par celui-ci. celui-ci. IlIl s’agit s'agit d’une d'une obligation obligation qui qui est est également également vérifier par l'article l'article 45.1.
12. a)45. 1.
13. a)de de la la CAAS. LLa Commission nationale tient tient àà souligner que que les les prévue par a Commission peuvent à juste titre demander de de se se faire faire présenter une une pièce pièce d’identité d'identité afin afin ddee exploitants peuvent vérifier les données du voyageur, mais n'ont cependant pas le droit de faire une copie vérifier les données d u mais n’ont cependant pas le droit de faire une copie ddu u document présenté u principe présenté conformément conformément aau principe de de minimisation minimisation prévu prévu àà l'article l'article 5.1.
14. c)5. 1.
15. e)du du RGPD, RGPD, qui qui prévoit prévoit que que la la collecte collecte des des données donnéesdoit doit être être limitée limitée àà ce ce qui qui est est nécessaire nécessaireaauu regard des finalités pour lesquelles elles sont traitées. regard des finalitéspour lesquelles elles sont La durée d de conservation 4. La e conservation 28. À Àl’heure l'heure actuelle, actuelle, les les exploitants exploitants d’hébergement d'hébergement ont ont une une obligation obligation de de conserver conserver les les fiches fiches 28. 10 d'hébergement e loi d'hébergement des des voyageurs voyageurs pour pour une une durée durée de de douze douze mois. mois. 10Le Le projet projet dde loi sous sous examen examen 8 8 Considérant Considérant