loi loi n° n° 8251 portant création d’un d'un Observatoire Observatoire digital de de la la mobilité mobilité Délibération n°96/AV42/2023 n°96/AV42/2023 du du 10 10 novembre 2023. 2023. Délibération 1

l'

57.1.

1. c)57. 1.
2. e)du du règlement règlement (UE) (UE) 2016/679 2016/679 du du Parlement Parlement européen européen et du 7 avril du Conseil Conseil du du227 avril 2016 2016relatif relatifàà la la protection protection des des personnes personnes physiques physiques àà l'égard l'égard du dutraitement traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant des données à caractère personnel et à la libre circulation de ces données, et abrogeant la la directive directive 95/46/CE 95/46/CE (règlement (règlement général général sur sur la la protection protection des des données) données) (ci-après (ci-après le le «« RGPD RGPD »), »), er auquel e la août auquel se se réfère réfèrel’

l'

77 dde la loi loi du du 11er août 2018 2018 portant portant organisation organisation de de la la Commission nationale nationale pour pour la la protection des des données données et et du du régime régime général général sur sur la la protection protection des des données, données, la Commission nationale pour la protection des données (ci-après la « Commission nationale Commission nationale pour la protection des données(ci-après la Commission nationale» ou la la « CNPD CNPD ») ») «« conseille, conseille, conformément conformément au au droit droit de de l'État l'État membre, membre, le le parlement national, le le gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes organismes au au sujet sujet des des mesures mesures législatives législatives et administratives relatives relatives àà la la protection des des droits droits et et libertés libertés des des personnes personnes physiques physiques àà l'égard du traitement traitement». ». Par Par ailleurs, l’

l'

36.4

1. 4 du du RGPD RGPD dispose dispose que que « [l]es [l]es États Étatsmembres membres consultent consultent l'autorité l'autorité de contrôle contrôle dans dans le le cadre cadre de de l'élaboration l'élaboration d'une d'une proposition proposition de de mesure mesure législative législative devant devant être adoptée adoptéepar parun un parlement parlementnational, national, ou ou d'une d'une mesure mesureréglementaire réglementairefondée fondéesur surune unetelle telle mesure législative, qui e rapporte qui sse rapporte au au traitement. traitement. »»
2. Par 4 juin juin 2023,
3. Par courrier courrier en en date date du du 114 2023, Monsieur Monsieurle le Ministre Ministre de de la la Mobilité Mobilitéet et des des Travaux publics publics a invité invité la la Commission Commission nationale nationale àà se se prononcer prononcer sur sur le le projet projet de de loi loi n° n° 8251 8251 portant portant création d'un Observatoire digital de la mobilité (ci-après le « projet de loi »). créationd'un Observatoiredigital de la mobilité(ci-aprèsle « projet de loi »).
4. Selon
5. Selon l’exposé l'exposé des des motifs, motifs, la la création création d’un d'un Observatoire Observatoire digital digital de de la la mobilité mobilité (ci-après (ci-après I’l' «« Observatoire ») sous l’autorité du ministre ayant les Transports dans ses attributions (ci-après Observatoire ») sous t'autorité du ministre ayant les Transports dans ses attributions (ci-après le e coalition n effet, le «« ministre ministre ») ») répond répond àà l’accord l'accord dde coalition 2018-
6. 2018-
7. EEn effet, ledit ledit accord accord stipule stipule ce ce qui qui suit: suit: «« Pour recueillir, dans le contexte particulièrement dynamique du Grand-Duché, de manière Pour dans le du Grand-Duché, de manière efficace efficace et et continue continue les les données données nécessaires nécessaires àà une une planification planification de de la la mobilité mobilité adaptée adaptée àà l'évolution des besoins d e la population et des entreprises, un observatoire de la mobilité révolution des besoins de la et des un de la mobilité est est mis en en place place sous sous la la tutelle du du Ministère Ministère ayant ayant dans dans ses ses attributions la la mobilité. mobilité. Cet Cet observatoire observatoire cherchera des synergies dans la récolte de données par divers acteurs publics et privés, chercheradessynergiesdanslarécoltededonnéespardiversacteurspublicset privés,planifiera planifiera la la collecte collecte des des données données manquantes, manquantes, yy inclus inclus par par le le biais biais d’enquêtes d'enquêtes ménages ménages régulières, régulières, et et mettra les données à la disposition des acteurs concernés. » mettra les données à la disposition des concernés. » L'Observatoire L'Observatoireaura aura plus plus concrètement concrètementcomme comme mission mission de de fournir fournir les les données donnéesnécessaires nécessairesàà la la planification des infrastructures et offres de mobilité, son objectif étant de développer des planification des infrastructures et offres de mobilité, son objectif étant de développer connaissances concernant «« les tes comportements de de mobilité, c'est-à-dire c'est-à-dire pourquoi, comment, où et et quand quand les les personnes personnes se se déplacent déplacent », », d’une d'une part part et et «« l’efficacité l'efficacité de de l’utilisation l'utilisation des CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatif au au le le projet de de loi loi n° n° 8251 portant portant création création d'un d'un Observatoire Observatoire digital de de la la mobilité mobilité 1/19 1/19 infrastructures et et services services dde transport, c'est c'est àà dire dire le le rapport rapport entre entre les les flux flux de de mobilité mobilitéportés portés infrastructures e transport, effectivement par par les les différentes offres offres [...] [... ] et et leurs leurs capacités capacités maximales de de transport », », d’autre d'autre effectivement part.11 part.
8. La CNPD CNPD constate dans dans ce ce contexte que que l’Union l'Union européenne soutient, aau La u travers de 2 sadirective directive 2010/40/UE 2010/40/UEdu du 77 juillet 20102et et son son règlement règlementdélégué délégué2017/1926 2017/1926 du du 31 31 mai mai 2017 2017 sa juillet 2010 3 directive3, deux textes législatifs mentionnés d'ailleurs dans le commentaire des complétant ladite directive , deux d’ailleurs dans le commentaire des 4 les d'informations sur services de à mise la mise à disposition d e services d’informations sur les de loi loi sous du projet de sous avis

s du avis4,, la

s 5 déplacements déplacementsmultimodaux. multimodaux.5

1. Plus concrètement, concrètement, les les autorités autorités chargées chargées du du transport, transport, les les gestionnaires gestionnaires
2. Plus d'infrastructures, les les opérateurs opérateurs de de transport transport et et les les fournisseurs fournisseurs de de services services dde transport -- qu’ils qu'ils d’infrastructures, e transport soient publics publics ou ou privés privés -- sont sont tenus tenus de de mettre mettre àà disposition disposition les les données données de de leurs leurs services services et et de de soient leurs réseaux réseaux qui qui sont sont nécessaires nécessaires àà l’information l'information du du voyageur voyageur afin afin de de faciliter, par par le leurs de systèmes systèmes de de transport transport intelligents, les les déplacements déplacements de de porte porte àà porte porte dans développement de l'Union européenne. Chaque Chaque Etat Etatmembre membre doit doitdès dèslors lors mettre mettre en en place place un unpoint point d'accès d'accèsnational national l’Union qui reprend les les données données disponibles disponibles relatives relatives au au transport transport pour pour son son pays pays et et centralise l’accès l'accès qui auxditesdonnées. données.Au Au Grand-Duché, Grand-Duché,ce ce point pointprend prend la laforme forme d’un d'un portail portail internet Internetdonnant donnantaccès accès auxdites à toutes toutes les les données données disponibles disponibles relatives relatives àà la la mobilité mobilité aau Luxembourg.66 à u Luxembourg.
3. Néanmoins, la la Commission Commission nationale nationale constate constate que que l’envergure l'envergure des des missions missions de de
4. Néanmoins, l'Observatoire dépasse dépasse largement largement celle celle prévue prévue par par les les textes textes européens européens susmentionnés, susmentionnés, l’Observatoire notammentàà cause causedes des dispositions dispositionsddu projet dde loi ayant ayantune une répercussion répercussionsur surle le respect respectdde la notamment u projet e loi e la vie privée privée et et la la protection protection des des données données àà caractère caractère personnel. Après Après quelques quelques remarques remarques vie elle analysera analysera dès dèslors lors successivement les les différentes différentes dispositions dispositions du du projet projet de de loi loi en liminaires, elle suivant l'ordre de rédaction dudit projet pour exprimer ses recommandations. suivant de rédaction dudit projet pour exprimer ses recommandations. 1 1 Voir Voir exposé exposé des des motifs, page page
5. 2 2 Directive Directive 2010/40/UE 2010/40/UE du duParlement Parlement européen européen et et du duConseil Conseil du du 7 juillet 2010 concernant concernant le lecadre cadre pour pour le ledéploiement déploiement juillet 2010 de systèmes systèmesde de transport transport intelligents intelligents dans dans le le domaine domaine du du transport transport routier routier et et d’interfaces d'interfacesavec avecd’autres d'autres modes modes de de de transport (Texte présentant de de l'intérêt l'intérêt pour pour l’EEE). l'EEE). 3 3 Règlement Règlement délégué délégué (UE) (UE) 2017/1926 2017/1926 de de la la Commission Commission du du 31 31 mai mai 2017 2017 complétant complétant la la directive directive 2010/40/UE 2010/40/UE du Parlement Parlement européen européen et et du du Conseil Conseil en en ce ce qui qui concerne concerne la la mise mise àà disposition, dans dans l'ensemble l'ensembte de de l’Union, l'Union, de de services services sur les les déplacements multimodaux multimodaux(Texte présentant de de l'intérêt l'intérêt pour pour l'EEE.) l'EEE.) d'informations sur (Texte présentant 4 4 Voir Voirdans dansce cecontexte contextela la lettre lettrecirculaire circulairedu du22 22février février2012 2012concernant concernantla la directive directive2010/40/UE 2010/40/UEdu duParlement Parlementeuropéen et du du Conseil du du 7 juillet 2010 concernant concernant le le cadre cadre pour pour le le déploiement déploiement de de systèmes systèmes de de transport intelligents dans dans le le et juillet 2010 du transport routier routier et et d’interfaces d'interfaces avec avec d'autres modes de de transport. transport. domaine du 5 5 C’est-à-dire C'est-à-dire qui qui concerne l'utilisation combinée ombinée de de plusieurs plusieurs modes modes de de transport (par (par exemple, train, train, bus, bus, tram, taxi, taxi, vélo, vélo, propre propre voiture, voiture, etc.) etc. ) au au cours cours d'un d'unmême mêmetrajet. trajet. 6 6 Disponible Disponiblesous sousce ce lien lien:: https://data.public.lu/fr/paqes/topics/mobility/. httDS://data.Dublic. lu/fr/Daaes/toDics/mobility/. CNPD de la la Commission nationale nationale pour pour la la protection des des données Avis de relatifau au le le projet projet de deloi loi n° n° 8251 portant portant création créationd'un d'un Observatoire digital digital de de la lamobilité mobilité relatif 2/19 2/19
7. Remarques liminaires liminaires Remarques
8. Quant Quant a au responsable du du traitement I1..
9. u responsable
10. D’après
11. D'après les les

s

s 1.1

1. 1 et et 4.1
2. 1 du du projet projet de de loi, loi, le le ministre ministre désigne désigne parmi parmi ses ses agents agents un er coordinateur de l’Observatoire, créé sous son autorité. Le commentaire de l’

1 coordinateur de l'Observatoire, créésous son autorité. Le de l'

1erdu du projet projet de n « service de loi loi précise précise àà cet cet égard égard que que l’Observatoire l'Observatoire est est uun se/v/ce du du Ministère Ministère ayant ayant les les transports transports dans dans ses ses attributions »» et et qu’il qu'il «« n’a n'a pas pas d’indépendance d'indépendance administrative ». 8. Selon 8. Selonl’

l'

5 du duprojet projetde deloi, loi, le leministre ministreagit agiten entant tantque queresponsable responsabledu dutraitement traitementdes données donnéesàà caractère caractèrepersonnel personnel nécessaire nécessairepour pourremplir remplirles lesmissions missionsde del’Observatoire. t'Observatoire. 9. La 9. LaCNPD CNPD tient tient àà rappeler rappeler que que conformément àà l'

l'

4.7)

1. 7) du du RGPD, RGPD, le le responsable du traitement est est « la la personne physique physique ou ou morale, morale, l'autorité l'autorité publique, le le service ser/ice ou ou un un autre organisme qui, seul seul ou ou conjointement avec avec d'autres, d'autres, détermine détermine les les finalités finalités et et les les moyens moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par traitement; lorsque les finalités et les moyens de ce traitement sont déterminéspar le le droit droit de /'Union l'Union ou oule ledroit droitd'un d'un État Étatmembre, le leresponsable du dutraitement peut peutêtre êtredésigné désignéou oules lescritères critères spécifiques applicables à s a désignation peuvent être prévus par le droit de /'Union ou par spécifiquesapplicablesà sa désignationpeuventêtreprévusparle droit de l'Unionou parle ledroit d'un État Étatmembre. membre. »» d'un
2. e qui
3. En Encce quiconcerne concerneplus plusprécisément précisémentles lesnotions notionsde deresponsable responsabledu dutraitement traitementet etde desoustraitant, traitant, ilil ressort ressort des des lignes lignes directrices directrices du du Comité Comitéeuropéen européenpour pour la la protection protection des des données données(ciaprès aprèsle le « CEPD CEPD») ») sur surce cesujet sujetque que« [...] [...] même mêmesi siun unservice sen/iceparticulier particulierou ouune uneunité unitéparticulière particulière d’une à la e certaines d'une organisation assume assume la la responsabilité responsabilité opérationnelle de de veiller veillera la conformité conformité dde activités activitésde de traitement, traitement, cela cela ne ne signifie signifiepas paspour pourautant autantque que ce ce service serviceou oucette cette unité unité(plutôt (plutôtque 7 l’organisation l'organisation dans dans son son ensemble) ensemble) devient devient le le responsable responsable du du traitement. 7 IlIl yy est est aussi aussi indiqué indiqué que que « [l]es [IJes employés employés qui qui ont ont accès accès àà des des données données àà caractère caractère personnel au au sein sein d'une d'une organisation ne ne sont sont généralement généralement pas pas considérés considéréscomme comme des des «responsables «responsables du du traitement» ou comme comme des des «sous-traitants», «sous-traitants», mais mais plutôt plutôt comme comme des des «personnes agissant agissant sous sous l’autorité l'autorité du responsable u sous u sens de responsable du du traitement o ou sous celle celle du du soussous- traitant» aau de l'

29 29 du du RGPD. RGPD. »»88 I

1. I. Par Par ailleurs, ailleurs, les les mêmes mêmes lignes lignes directrices directrices précisent précisent que que « [Ijorsque [IJorsque le le responsable responsable du traitement est spécifiquement identifié par la loi, cette désignation est déterminante pour est identifié par la cette désignation est pour définir définir qui n tant qui agit agit een tant que que responsable du du traitement. Cela Cela présuppose que que le le législateur législateur a désigné comme comme responsable responsable du du traitement traitement l'entité l'entité qui qui est est véritablement véritablement en en mesure mesure d’exercer d'exercer le le 9 contrôle. »»9
2. IlIl est
3. est encore àà noter noter que que la la notion de de responsable du du traitement est est une une notion notion fonctionnelle joués par fonctionnelleen en ce cequ’elle qu'elle vise viseàà répartir répartirles les responsabilités responsabilitésen en fonction fonctiondes desrôles rôlesréels réelsjoués par 7 7 CEPD, CEPD, lignes lignes directrices directrices 07/2020 07/2020 concernant concernant les les notions notions de de responsable responsable du du traitement traitement et et de de sous-traitant sous-traitant dans dans le RGPD, juillet 2021, RGPD, version version 2.0,
4. 0, adoptées adoptéesle le 77 juillet 2021, point point
6. 8 8 Point Point19, 19,note notede de bas basde depage page9 desdites desditeslignes lignesdirectrices. 9 Point Point23 23desdites desditeslignes lignesdirectrices. 9 CNPD Avis de de la la Commission nationale pour pour la la protection des des données données relatif relatif au au le le projet projet de de loi loi n° n" 8251 portant portant création création d'un d'un Observatoire digital de de la la mobilité mobilité 3/19 3/19 les parties. Ainsi, elle repose sur sur une une analyse factuelle plutôt plutôt que que formelle. formelle. 10 10 Cela Cela signifie que que le les statut juridique du ministre ministre en en tant tant que que responsable responsable du du traitement, tel tel que que défini définipar parle le texte texte sous statut juridique du avis, doit être déterminé par ses activités réelles plutôt que par sa désignation formelle. avis, doit être déterminé par ses activités réelles plutôt que par sa désignation formelle. En prenant en en compte les les explications explications susmentionnées sur sur la la forme forme de de l'Observatoire, l'Observatoire, la la CNPD prenant considèreque, que, même mêmesi si le le futur futur coordinateur, coordinateur,désigné désignéparmi parmi les lesagents agentsdu du ministre, ministre, sera serachargé chargé considère du fonctionnement fonctionnement de de l’Observatoire l'Observatoire et et de de la la mise mise en en œuvre ouvre des des traitements traitements de de données données yy liés, liés, du ce dernier dernier agira agira toujours toujours sous sous l’autorité l'autorité du du ministre. ministre. Dans Dans ces ces conditions conditions et et sur sur base base des ce à sa sa disposition, la la Commission nationale estime que que le le ministre serait informations actuellement à en effet effet à considérer considérer comme responsable des des traitements de de données données àà caractère caractère personnel mis en en en œuvre ouvre par par l'Observatoire. l'Observatoire.
8. Quant Quant àà la la base base légale légale et et aux aux principes dde nécessité et et de de proportionnalité Droportionnalité 1.
9. e nécessité
10. Dansl’exposé l'exposédes desmotifs, motifs, les les auteurs auteursdu du projet projet de de loi loi expliquent expliquentpourquoi pourquoi l’Observatoire l'Observatoire
11. Dans aurait besoin besoin de de traiter traiter des des données données àà caractère caractère personnel pour pour accomplir accomplir ses ses missions. Plus aurait précisément, ilil y est est indiqué indiqué que que « pour pour pouvoir pouvoir adapter adapter l'offre /'offre de de mobilité mobilité aux aux besoins besoins de de la la précisément, faut comprendre les les comportements et et besoins besoins de de mobilité mobilité d’un d'un échantillon échantillon population, ilil faut représentatifde dela la population populationqui quiréside résideou ou travaille travailleau au Grand-Duché. Grand-Duché.Or, Or, pour pourpouvoir pouvoirs'assurer s'assurer représentatif gué l'échantillon l'échantillon questionné questionné lors lors d’une d'une enquête enquête de de mobilité mobilité est est bien bien représentatif, représentatif, ilil est que indispensable de de collecter, collecter, de de façon façon bien bien entendu entendu pseudonymisée, pseudonymisée, des des données données àà caractère caractère indispensable comme par parexemple exemple la laclasse classe d’âge, d'âge, le le sexe, sexe, le le code code postal postal du du lieu lieu de de résidence résidence et et de personnel comme travail. travail. [...]. [... ]. »
12. Par Parailleurs, ailleurs, ilil ressort ressort de de l’exposé l'exposédes desmotifs motifs que que les les auteurs auteurs du du projet projet de deloi loi considèrent considèrent
13. que, comme comme la la mobilité mobilité des des personnes personnes est est un un aspect aspect fondamental de de toute toute société société ouverte, les les que, en question ont ont lieu lieu dans dans un un « intérêt intérêtpublic public ». ». Ils Ils y précisent précisent que, que, conformément conformément àà traitements en l'

6.1.

1. e)6. 1 .
2. e)du du RGPD, RGPD, « il;"/est est possible possible de de recourir recouriràà une une « mission mission d'intérêt d'intérêtpublic public »» comme l’

ùase de de licéité licéité dde si cette cette mission a une une base base légale légale dans dans le le droit droit de de /'Union l'Union base e traitement si européenne européenne ou ou dans dansle le droit droit national. national. Le Le présent présent projet projet de deloi loi a pour pour objet objet de de préciser précisercette cette base base légale. légale. »» 15. En les auteurs font font référence référence àà l’

l'

6.3

1. 3 du du RGPD RGPD concernant la la licéité licéité d’un d'un
2. E n outre, les de données données nécessaire nécessaire àà l'exécution d’une d'une mission d’intérêt d'intérêt public public et et estiment estiment qu’en qu'en traitement de dudit

«« il// est est possible possible — - mais mais pas pas obligatoire — - de de préciser, entre entre autres, les les vertu dudit catégories e données catégoriesdde donnéesqui quifont fontl'objet l'objet de detraitements ainsi ainsique que les les personnes personnes concernées concernées par parces traitements, les lesentités entitésauxquelles auxquellesles lesdonnées donnéespeuvent peuventêtre êtrecommuniquées communiquéeset etles lesfinalités finalitésd’une d'une traitements, telle communication. communication. Dans Dans le le présent présent projet projet dde loi, le le législateur législateur souhaite souhaite apporter apporter certaines certaines telle e loi, précisions précisionsde de ce ce type. » 16. La CNPD CNPD note note dans dans ce ce contexte l'interprétation du du législateur législateur selon lequel lequel la la mission mission de 16. La er l'Observatoire serait serait àà considérer considérer comme « d’intérêt d'intérêt public public ». ». En En effet, l’

l'

11erdu du projet projet de de loi loi l’Observatoire précise que l’Observatoire a « une mission d’intérêt public. » Toujours est-il que les traitements précise que l'Observatoire une mission d'intérêt Toujours est-il que les traitements 10 10Page Page 3 et et point point 21 desdites lignes lignes directrices. directrices CNPDl CNPD de la la Commission nationale nationale pour pour la la protection des des données Avis de relatif au au le le projet projet de de loi loi n° n" 8251 8251 portant portant création d'un Observatoire digital digital de de la la mobilité mobilité relatif 4/19 de de données données àà caractère caractère personnel personnel opérés opérés par par l’Observatoire l'Observatoire doivent doivent être être « nécessaires nécessaires» afin d’exécuter d'exécuterladite ladite mission missiond’intérêt d'intérêtpublic publicconformément conformémentàà l’

l'

6.1.

1. e)6. 1.
2. e)du duRGPD. RGPD. L’

L'

6.3 du du RGPD RGPD quant quant àà lui, lui, mentionné mentionné d’ailleurs d'ailleurs par par les les auteurs auteurs du du projet projet de de loi loi dans l’exposé e l'Union l'exposédes desmotifs, motifs, dispose disposeque quele le droit droitdde l'Union ou ou le le droit droit des des États Étatsmembres membres définissant définissantle le fondement fondement du du traitement traitement nécessaire nécessaire àà l'exécution l'exécution d'une d'une mission mission d'intérêt d'intérêt public public sur sur base base de l'

6.1.e) du RGPD doit répondre « à un objectif d'intérêt public et est proportionné à l'

1. 1 . e) du RGPD doit répondre à un objectif d'intérêtpublic et est proportionné à l'objectif légitime légitimepoursuivi. »
2. La
3. La Commission Commission nationale nationale tient tient àà souligner souligner dans dans ce ce contexte contexte que que l'

l'

88 de de la la Convention européenne u respect européenne des des droits droits de de l'homme l'homme garantit garantit le le droit droit aau respect de de la la vie vie privée privée et familiale. Par Par ailleurs, les les

s 7 et et 8 de de la la Charte Charte des des droits droits fondamentaux de de l’Union l'Union européenne européenne(ci-après (ci-après la la « Charte Charte») ») accordent accordent àà toute toute personne personne le le droit droit au au respect respect de de sa sa vie privée privée et et familiale, familiale, ainsi ainsi que que le le droit droit àà la la protection protection des des données données personnelles personnelles la la concernant. Néanmoins, Néanmoins, ces ces droits droits fondamentaux fondamentaux ne ne sont sont pas pas des des prérogatives prérogatives absolues absolues puisque puisque la la possibilité possibilité d'une d'une ingérence ingérence ou ou d'une d'une limitation est est prévue prévue tant tant par par l’

l'

8.2 8. 2 de de la la Convention Convention européenne e la européennedes des droits droits de de l'homme l'homme que que par par l'

l'

52.1

1. 1 dde la Charte. C'est e nécessité C'est dans dans ce ce contexte que que le le respect respect des des principes principes de de proportionnalité et et dde nécessité est essentiel, car cette ingérence ou limitation peut uniquement être justifiée à condition essentiel, car cette ingérenceou limitation peut uniquement êtrejustifiéeà conditionqu’elle qu'elle soit, entre autre, nécessaire nécessaire dans dans une une société société démocratique, sous sous réserve réserve du du principe principe de 11 proportionnalité.11 proportionnalité.
2. Dans justice de
3. Dans son son arrêt arrêt du du 22 22 novembre novembre 2022, 2022, la la Cour Cour de de justice de l'Union l'Union européenne européenne aa précisément souligné l'importance du caractère nécessaire et proportionné d’une ingérence précisémentsoulignél'importancedu caractèrenécessaireet proportionnéd'une ingérencedans les n jugeant jugeant que les droits droits garantis garantis aux aux

s 7 et et 88 de de la la Charte Charte een que «« la la mise mise àà disposition disposition de de données à caractère personnel à des tiers constitue une ingérence dans les droits fondamentaux données à caractère à des tiers une ingérence dans les droits fondamentaux consacrés e la consacrésaux aux

s

s 77 et et 88 dde la Charte, Charte, quelle quelle que que soit soit l'utilisation l'utilisation ultérieure ultérieuredes des informations informations communiquées. À cet égard, il importe peu que les informations relatives à la communiquées. À cet égard, il importe peu que les informations à la vie vie privée privée concernées concernées présentent présentent ou ou non non un un caractère caractère sensible sensible ou ou que que les les intéressés intéressés aient aient ou ou non non subi 12 d’éventuels d'éventuels inconvénients inconvénients en en raison raison de de cette cette ingérence ingérence »»12.. Le Le Conseil d'État d'Etat rappelle lui lui aussi aussi régulièrement régulièrement que que l'accès l'accès àà des des fichiers fichiers et et la la communication communication de données à des tiers constituent une ingérence dans la vie privée et partant, de données à des tiers constituent une ingérence dans la vie privée et partant, une une matière matière 13 réservée à à la la loi loi formelle. réservée formelle. 13 11 11Les Lesautres autres conditions conditions sont sont que que l'ingérence l'ingérence soit soit prévue prévue par par une une loi loiaccessible accessible aux auxpersonnes personnes concernées concernées et et prévisible prévisible quant quant à ses ses répercussions, répercussions, c'est-à-dire c'est-à-dire formulée avec avec une une précision précision suffisante, respecte respecte le le contenu essentiel du du droit à à la la protection protection des desdonnées donnéeset et réponde répondeeffectivement effectivementàà des des objectifs objectifsd’intérêt d'intérêtgénéral généralou ouau aubesoin besoinde de protection protection des droits droitset et libertés libertésd'autrui. d'autrui. Pour Pourune une analyse analyseplus plusdétaillée détailléede deces ces conditions, conditions, voir voir délibération délibérationn°2/2021 n°2/2021 du du4 février février2021 de dela laCommission Commissionnationale nationalepour pourla la protection protectiondes desdonnées, données,doc. doc. pari. pari. n° n° 7425/09, 7425/09, point point1.1.b). l. 1. b). 12 M et jointes C12CJUE, CJUE,arrêt arrêtdu du 22 22 novembre novembre2022, 2022, W WM et Sovim Sovim SA SAcontre contre Luxembourg LuxembourgBusiness BusinessRegisters, Registers, affaires affairesjointes C37/20 9 et 37/20 et et C-601/20, point point 339 et jurisprudence y citée citée et et points points 63 63 à 65 65 et et jurisprudence citée. 13 13V. V.notamment notammentavis avis60.250 60.250du du22 22mars mars2022, 2022,doc. doc.pari. pari.n° n°7578/01, 7578/01,p. p.55 ;; avis avis53.322 53. 322du du12 12juillet juillet2019, 2019,doc. doc.pari. pari.n° n° 7425/04, juin 2016, 7425/04, p. p. 9 ;; avis avis51.586 51. 586du du7 juin 2016,doc. doc. pari. pari. n° n° 6975/05, 6975/05,p. p. 4. ” CNPD Avis de de la la Commission nationale pour pour la la protection des des données relatif u le relatif aau le projet projet de de loi loi n° n° 8251 portant portant création d'un d'un Observatoire Observatoire digital de de la la mobilité mobilité 5/19 19. En droit interne, interne, ilil est est intéressant intéressant de de noter noter que que l’

l'

31 31 de de la la Constitution Constitution révisée, révisée, 19. E n droit er applicable depuis depuis le le 11erjuillet 2023, dispose dispose que que « [t]oute [t]oute personne personne a droit droit àà /'autodétermination l'autodétermination applicable juillet 2023, informationnelle étala protection des données à caractère personnel la concernant. Cesdonnées données informationnelle et à la protection des données à caractère personnel la concernant. Ces nepeuvent peuventêtre êtretraitées traitéesqu'à qu'àdes desfins finset et dans dansles les conditions conditionsdéterminées déterminéesparla par laloi. loi. » ne Parailleurs, ailleurs, alors alors que que la la Cour Courconstitutionnelle constitutionnelle a déjà déjàreconnu reconnu lors lors de de l’analyse l'analysede de la la conformité Par d'un texte texte législatif législatifàà la la Constitution Constitution que que le le principe principe de de proportionnalité proportionnalité est est un un des des principes d’un généraux de de droit, droit, à côté côté par par exemple exemple du du principe principe de de l'égalité l'égalité devant devant la la loi loi ou ou du du principe principe de généraux sécuritéjuridique, 14ce ce n’est n'estque quepar parson son arrêt arrêtdu du19 1 9 mars mars 2021 que que le le principe principe de deproportionnalité proportionnalité sécurité juridique,14 a été été formellement déclaré déclaré àà valeur valeur constitutionnelle. constitutionnelle. 15 15 Depuis Depuis la la révision révision susmentionnée dde e la er Constitution du du 11erjuillet 2023, les les principes principesde de nécessité nécessitéet et de de proportionnalité proportionnalitésont sont dorénavant dorénavant Constitution juillet 2023, ancrés dans la Constitution. En effet, aux termes de l'

37 de la Constitution révisée, [t]oute ancrés dans la Constitution. E n effet, aux termes de l’

37 de la Constitution révisée, «« [t]oute de l'exercice l'exercice des des libertés libertés publiques publiques doit doit être être prévue prévue par par la la loi loi et et respecter respecter leur leur contenu contenu limitation de essentiel. Dans Dans le le respect respect du du principe principe dde proportionnalité, des des limitations limitations ne ne peuvent peuvent être essentiel. e proportionnalité, apportées que que si si elles elles sont sont nécessaires nécessaires dans dans une une société société démocratique démocratique et et répondent répondent apportées effectivementàà des des objectifs objectifs d'intérêt d'intérêtgénéral généralou ou au au besoin besoin de de protection protection des des droits droits et et libertés libertés effectivement d'autrui. »» d'autrui.

1. En l'espèce, comme comme le le projet projet de de loi loi prévoit prévoit l'accès l'accès àà des des fichiers fichiers et et la la communication ddee
2. E n l’espèce, données à caractère personnel à un tiers, c'est-à-dire à l'Observatoire, ceci constitue une données caractère à un c'est-à-dire à ceci ingérence dans dans la la vie vie privée privée des des personnes concernées concernées et et les les principes principes de de nécessité nécessité et et de ingérence proportionnalité doivent dès lors être respectés. proportionnalité doivent dès lors être respectés. Néanmoins, sur sur base base de de ce ce qui qui précède précède et et sous sous réserve réserve de de ses ses commentaires qui qui suivent, la nationale se se demande de de manière manière générale générale si si les les traitements de de données données à Commission nationale caractère personnel prévus prévus dans dans le le projet projet de de loi loi respectent les les principes principes susmentionnés, c’est-àc'est-àcaractère dire s’il s'il y a vraiment vraiment un un juste équilibre entre entre les les objectifs objectifs poursuivis poursuivis par par le le projet projet de de loi loi et et les les dire juste équilibre moyens moyens déployés déployés en en vue vue de de les les réaliser. réaliser. Elle Elle estime estime qu'il qu'il faut faut plus plus particulièrement tenir tenir compte compte de ce ce que que le le projet projet de de loi loi prévoit prévoitdans dans son son

88 que que l’Observatoire l'Observatoireaurait auraitaccès accèsàà toute toute une une de série dde données àà caractère caractère personnel, comme par par exemple le le lieu lieu dde résidence, la la situation situation série e données e résidence, professionnelle, professionnelle, le le sexe, sexe, la la composition composition de de ménage ménageou ou encore encore la la fourchette fourchette de de revenu, revenu, qui qui sont détenues détenues par par différentes différentes administrations publiques publiques telles telles que que l'Administration des des contributions contributions directes ou l'Inspection générale de la sécurité sociale. D'autant plus, ledit

oblige des directes ou l’inspection générale de la sécurité sociale. D’autant plus, ledit

oblige entités privées privées àà accorder accorder un un accès accès àà leurs leurs données données àà l’Observatoire, l'Observatoire, comme comme les les données données entités concernant les les déplacements déplacements des des téléphones téléphones portables portables détenues détenues par par les les opérateurs opérateurs de concernant téléphonie e résidence, téléphonie mobile mobile ou ou encore encore les les données données concernant concernant le le lieu lieu dde résidence, le le lieu lieu de de travail, travail, le le secteur d’activité d'activité et et la la situation situation professionnelle telles telles que que détenues détenues par parles les employeurs. employeurs. 16 16 secteur 14 14 Voir Voir par par exemple exemple l'arrêt l'arrêt de de la la Cour Cour constitutionnelle n° n° 152/21 152/21 du du 22 22 janvier janvier 2021 (Mém. (Mém. A - n° n° 72 72 du du 28 28 janvier janvier 2021). 2021). 15 15Arrêt Arrêt de de la la Cour Cour constitutionnelle constitutionnelle n°146/21 du du 19 19 mars mars 2021 (Mém. A An° 232 232 du du 23 23 mars 2021), voir voir aussi aussi l’arrêt l'arrêt - n° n° 165/21 165/21 ddu 12 mai mai 2021 2021 (Mém. (Mém. A An° 372 372 du du 17 17 mai mai 2021). n° u 12 - n° 16 u projet 16Voir Voirl’

l'

6.1

1. 1 ddu projet de de loi. CNPD de la la Commission nationale pour pour la la protection des des données Avis de relatif au au le le projet projet de de loi loi n° n" 8251 portant portant création création d'un d'un Observatoire Observatoire digital de de la la mobilité mobilité relatif 6/19 Les Lesauteurs auteurs du du projet projet de de loi loi précisent précisentdans dans ce ce contexte contexte que que « le /e comportement comportement de de mobilité mobilitéd'un d'un individu en particulier ne constitue en aucun cas un enjeu de individu en particulier ne constitue en aucun cas un enjeu de politique politique de de mobilité mobilité et et n’intéresse n'intéresse donc donc pas pas /'Observatoire l'Observatoire » et et que que «« [d]ans [djans tous tous les les cas, cas, l'identité l'identité des des voyageurs voyageurs dont dont le le 17 comportement et les besoins de mobilité comportement et les besoins de mobilitésont sontobservés observésest estsans sansintérêt intérêtpour pour /'Observatoire. l'Observatoire. »»17 Tout Tout en en considérant que que le le projet projet de de loi loi prévoit prévoit que que l'Observatoire l'Observatoire collecterait uniquement des des données à caractère donnéesà caractèrepersonnel personnelsous sousforme formepseudonymisée, pseudonymisée,la la CNPD CNPDse sedemande demandenéanmoins néanmoinssi, aau u vu vu de de toutes les les données données àà caractère caractère personnel auxquelles l’Observatoire l'Observatoire aurait aurait accès, accès, les individus individus ne ne seraient seraient pas pas susceptibles d'être d'être identifiés identifiés indirectement tout tout comme leurs leurs habitudes habitudes et et préférences préférences de de mobilité, mobilité, même même si si ce ce n’est n'est pas pas le le but but recherché recherché par par l'Observatoire. l'Observatoire.
2. En
3. En prenant prenant dès dès lors lors en en compte compte les les principes principes de de nécessité nécessité et et de de proportionnalité, proportionnalité, la la Commission Commission nationale nationale s'interroge s'interroge tout tout d’abord d'abord si si le le projet projet de de loi loi ne ne pourrait pourrait pas pas prévoir prévoir la réalisation réalisation des des missions missions de del'Observatoire l'Observatoire sans sans traitant traitant des des données données àà caractère caractère personnel, c’estc'està-dire e mobilité à-direen en effectuant effectuant les les études études dde mobilité nécessaires nécessaires pour pour atteindre atteindre les les finalités finalitéspoursuivies poursuivies sur des des données données anonymisées anonymisées et et pas pas uniquement uniquement pseudonymisées. Elle Elle se se permet permet de de rappeler rappeler àà ce sujet sujetque quele leprocessus processusd'anonymisation d'anonymisationpermet permetde derendre rendreimpossible impossibletoute toute(ré)identification (ré)identificationd’une d'une personne. IlIl s’agit s'agit donc donc d’un d'un processus processus irréversible. irréversible. Au Au contraire, la la pseudonymisation rend rend possible possible la la réidentification réidentification d’une d'une personne personne déterminée, déterminée, par par le le recours recours àà des des informations supplémentaires. supplémentaires. Cette Cette distinction distinction est est importante importante:: alors alors que que le le RGPD RGPD s'applique s'applique aux aux données données pseudonymisées, les données anonymisées quant à elles ne rentrent pas dans le pseudonymisées, les données anonymisées quant à elles ne rentrent pas dans le champ 18 d’application . Le d'application du du règlement règlement
4. Le considérant

est vraiment vraiment proportionné nécessaire1 9,, la l'

8 du projet de loi est la CNPD CNPD s demande si les se proportionné et nécessaire e demande auteurs du projet de loi ne pourraient pas remplacer auteurs du projet de loi ne pourraient pas remplacer l’obligation l'obligation imposée imposée aux auxentités entités publiques publiques et privées privées listées listées audit audit

8 d'accorder accès accès aau une liste liste de de données données à u ministre àà toute une caractère personnel, par caractère par une une obligation d’anonymiser d'anonymiser lesdites lesdites données données avant avant de de les les transmettre transmettre au ministre. au

1. Finalement,
2. Finalement, en enconsidérant considérantde denouveau nouveaules les principes principesde denécessité nécessitéet et de de proportionnalité, elle elle s’interroge s'interroge de de même même si si d'autres d'autres moyens moyens moins moins intrusifs intrusifs d'un d'un point point de de vue vue de de la la vie vie privée privée et de la protection des données ne pourraient pas être mis en œuvre afin d’atteindre de la protection des données ne pourraient pas être mis en ouvre afin d'atteindre les les objectifs objectifs poursuivis poursuivis par parl’Observatoire, l'Observatoire, c’est-à-dire c'est-à-direaméliorer améliorerl’offre l'offre de de mobilité mobilitéen en l’adaptant l'adaptantaux auxbesoins 17 17Voir Voircommentaire ommentairedes desarticles

s6 et et 8 du duprojet projet de de loi. 18 18A A toutes toutes fins fins utiles, utiles, la la CNPD CNPDse se permet permet de de renvoyer renvoyer àà l’avis l'avis 05/2014 05/2014du du groupe groupe de de travail travail «

29 29 » sur sur les les techniques techniques d’anonymisation. d'anonymisation. 19 19Voir Voiraussi aussises ses commentaires commentaires sous sous la lasection section « 4.2

1. 2 Quant Quantaux auxdonnées donnéesà caractère caractèrepersonnel personnel », »,points points 46 46àà
3. CNPDi ’ CNPD Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatifau au le leprojet projet de deloi loi n° n" 8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde de la la mobilité 7/19 de la la population. U Un attentatoire àà la la vie vie privée, voire même même en en dehors de de toute toute de n tel moyen moins attentatoire collecte de dedonnées données àà caractère caractèrepersonnel, personnel, serait seraitpar parexemple exemple le ledéveloppement développement et etl’amélioration l'amélioration collecte des systèmes systèmes de de comptage comptage actuels. actuels. IlIl convient convient de de soulever soulever dans dans ce ce contexte contexte le le système système de de des permanent et et automatique automatique du du trafic trafic routier par par le le moyen de de compteurs installés àà comptage permanent travers tout tout le le Grand-Duché Grand-Duché sur sur les les autoroutes, autoroutes, les les routes routes nationales nationales et et les les pistes pistes cyclables cyclables travers 20 par l'Administration l'Administration des des ponts et et chaussées chaussées20 ou ou encore le le comptage des des passagers passagers effectué par 21 dans les les transports publics. publies. 21 dans
4. l'Observatoire pourrait pourrait toujours mener mener des des enquêtes enquêtes de de mobilité mobilité comme comme
5. Parallèlement, l’Observatoire actuellement prévu par parl’

l'

7 du du projet de deloi. loi. 22 22A titre titre dde comparaison, Bruxelles Bruxelles Mobilité, une une actuellement e comparaison, la Région Région de de Bruxelles-Capitale chargée chargée d’étudier d'étudier le le comportement omportement des administration dde e la Bruxelloisen enmatière matièrede dedéplacements, déplacements,a réalisé réaliséentre entreoctobre octobre2021 2021et etoctobre octobre2022 2022une uneenquête Bruxellois trèsdétaillée détailléesur sur les les caractéristiques caractéristiques et et habitudes habitudes dde la mobilité mobilitédes des familles familles et et des des individus. individus. 2233 très e la Dans le le même même ordre ordre d'idées, d'idées, le le Baromètre Baromètre de de la la Mobilité Mobilitéconstitue constitue l’une l'une des des enquêtes enquêtes de de Dans phare de del’Observatoire l'Observatoire « Good Goodmove move » de dela lamême mêmeadministration bruxelloise, bruxelloise, visant satisfaction phare à collecter le niveau de satisfaction des usagers par rapport à l'offre de mobilité au sens senslarge largeet et à collecter le niveau d e satisfaction des usagers par rapport à l’offre de mobilité au 24 l'interactiondde celle-ci avec avecla lademande demandede de déplacements. déplacements.24 l’interaction e celle-ci 2. Quant à à la la collecte des des données par par l’Observatoire l'Obseryatoire (

6 du projet de de loi) loi) Quant 24. Selon l’

l'

6 du du projet projet de de loi, loi, l’Observatoire l'Observatoire « ne ne collecte collecte et et ne ne sollicite sollicite des desdonnées à 24. Selon caractère personnel que que sous sous forme pseudonymisée pseudonymisée et et sans sans la la clé clé permettant de de réidentifier réidentifier les les personnes. personnes. » D’après D'après le le commentaire commentaire des des

s, l’Observatoire l'Observatoire « s’intéresse s'intéresse exclusivement exclusivement àà des flux suffisamment importants pour pouvoir impacterles réseaux de transports. Danstous tous les des flux importants pour pouvoir réseaux de Dans cas, l'identité l'identité des des voyageurs voyageurs dont dontle le comportement comportement et et les les besoins besoins de de mobilité mobilité sont sont observés observés est est cas, sans intérêt pour /'Observatoire. » sans intérêtpour l'Obsen/atoire.

1. Sous Sousréserve réservedde sescommentaires commentairessous sousle tepoint point21 21 concernant concernantla lapossibilité possibilitéd’envisager d'envisager
2. e ses la réalisation réalisation des des missions missions dde l'Observatoire sans sans traitant traitant des des données données àà caractère caractère personnel, personnel, la la la e l’Observatoire CNPD tient tient àà rappeler rappeler qu’en qu'en pratique, pratique, la la pseudonymisation consiste consiste àà remplacer remplacer les les données CNPD directementidentifiantes identifiantes(telle (telle que quele le nom, nom, prénom prénomou ou l’adresse l'adresseexacte) exacte)d'un d'unjeu dedonnées donnéespar par directement jeu de des données donnéesindirectement indirectementidentifiantes identifiantescomme comme par parexemple exempleun un alias alias ou ou un un numéro numéroséquentiel. séquentiel. des zo Voir sur le site Internet de 20 Voir sur le site internet de https://pch.gouvernement.lu/fr/administration/competences/comptage-trafic.html https://pch. gouvernement. lu/fr/administration/competences/comptage-trafic. html ladite ladite Administration : 21 21 Voir Voir dans dans ce ce contexte contexte la la note note #01 #01 de de mai mai 2023 2023 de de l’Observatoire l'Observatoire intitulée intitulée « Comptage Comptage des des passagers passagers dans dans les transports publics publics » disponible sous sous :: https://transports.public.lu/dam-assets/planifier/observatoire/odm-note-01-maihttps://transports. public. lu/dam-assets/planifier/observatoire/odm-note-01-mai2023.pdf. Voir Voir aussi aussi le le document document intitulé intitulé «« Systèmes Systèmes de de transport transport intelligents, intelligents, Rapport Rapport sur sur les les activités activités et et projets projets 2023.pdf. nationaux nationaux du du Luxembourg »» d'août d'août 2020 2020 du du Ministère Ministère de de la la Mobilité Mobilité et et des des Transports publics, disponible disponible sous : https://transport.ec.europa.eu/system/files/2021-06/2021 https://transport. ec. europa. eu/system/files/2021-06/2021 lu lu its its progress progress report report 2020.pdf. 202Q. pdf. 22 22Voir Voir dans dans ce ce contexte ses ses commentaires commentaires sous sous la la section ««
4. Quant Quantaux auxenquêtes enquêtes menées menées par par l’Observatoire l'Observatoire (

(

7 du du projet de de loi) ». ». 23Voir Voirsur sur leur leur site site internet Internet :: https://mobilite-mobiliteit.brussels/fr/ecd 23 24 24Site Site internet Internet de de l’Observatoire l'Observatoire « Good Good move move » :: https://data.mobility.brussels/home/fr/observatoire/barometre-de-lahttps://data. mobility. brussels/home/fr/observatoire/barometre-de-lamobilite/. mobilité/. CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données Avis relatif relatifau aule le projet projetde deloi loi n° n°8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde dela la mobilité 8/19 La Lapseudonymisation permet permet ainsi ainsi de detraiter traiter les les données données d’individus d'individus sans sans pouvoir pouvoir identifier identifier ceuxci de façon directe. Contrairement ci de façon Contrairement àà l’anonymisation, l'anonymisation, la la pseudonymisation pseudonymisation est est une opération opération réversible. réversible. IlIl est est dès dèslors lors possible possible de de retrouver retrouver l’identité l'identité d’une d'une personne personne si si l’on l'on dispose dispose d’informations d'informations supplémentaires, supplémentaires, c’est-à-dire c'est-à-dire même même si si l’Observatoire l'Observatoire ne ne disposerait pas pas de de la la « clé permettant d e réidentifier les personnes », a u moins les entités listées à l’

8 du projet de permettant de réidentifier les », au moins les entités listées à l'

du de loi pourraient toujours relier relier les les données données transmises à à l’Observatoire l'Observatoire à à un un individu déterminé. déterminé. LLe e considérant considérant

pseudonymisation des données incomberait à des entités listées à l'

8 du du projet projet de deloi, loi, et et non non àà l’Observatoire, l'Observatoire, sans sans quoi quoi cette cette garantie garantie ne nesaurait saurait être êtreconsidérée considéréecomme comme efficace. efficace.

1. Alternativement,
2. Alternativement, cette cette tâche tâchepourrait pourrait être être effectuée effectuée par par un un «« tiers tiers de de confiance confiance », », qui qui doit être être compris compris comme comme une une personne personne physique physique ou ou morale morale habilitée habilitée àà effectuer effectuer des des opérations opérations de sécurité juridique dont e pseudonymisation ou sécuritéjuridique dont des des services services dde ou d’anonymisation d'anonymisation et et qui qui présente présente des garanties d'indépendance, de de compétence et et ne ne se se trouvant pas pas en en situation de de conflit conflit d'intérêts au auregard regard des des données donnéesqu'il qu'il traite traite dans dans le le cadre cadrede de ses ses diverses diversesactivités. activités.La LaCNPD CNPDrenvoie renvoieàà cet égard égard àà son son avis avis du du 2 décembre décembre 2016, 2016, dans dans lequel lequel elle elle indiquait indiquait déjà déjà « qu'un qu'un encadrement encadrement général de l'activité de tiers de confiance fournissant ce général de l'activité de tiers de confiance fournissant ce type type de de services services serait serait préférable préférableet permettrait permettrait d'accompagner d'accompagner le le développement développement de de services services innovants innovants en en matière matière dde e pseudonymisation et d'anonymisation pseudonymisation et d'anonymisation au au Luxembourg. Luxembourg. Elle Elle considère considère en en outre outre que que de de tels services services devraient devraient être être réservés réservés àà des des acteurs acteurs présentant présentant des des garanties garanties d'indépendance, de de compétence et ne se trouvant compétence et ne se trouvantpas pas en en situation situationde de conflit conflit d'intérêts d'intérêtsau au regard regarddes des données donnéesqu'ils 25 traitent traitent dans dansle le cadre cadre de de leurs leurs diverses diverses activités activités »»
3. .
4. La e contexte
5. La CNPD CNPD constate constate dans dans cce contexte que que l’

l'

6.2

1. 2 du du projet projet de de loi loi permettrait àà l’Observatoire jeux dde e données l'Observatoire d’utiliser d'utiliser différents différents jeux données pseudonymisées pseudonymisées dans dans le le cadre cadre d’une d'une même 25 Avis de 25Avis dela laCommission Commission nationale nationale pour pourla laprotection protection des desdonnées données du du2 décembre décembre2016 2016relatif relatifau auprojet projet de deloi loin° n°7061 7061 modifiant modifiantcertaines certainesdispositions dispositionsdu duCode Codede dela lasécurité sécuritésociale, sociale,document documentparlementaire parlementaire7061/03, 7061/03,p. p.
2. CNPD) CNPD Avis Avis de de la la Commission Commission nationale nationalepour pourla la protection protection des des données données relatif relatifau au le leprojet projet de deloi loi n° n° 8251 8251 portant portantcréation créationd’un d'unObservatoire Observatoiredigital digitalde de la lamobilité mobilité 9/19 9/19 analyse, « mais mais pas pas d'une d'une façon façon qui qui permettrait permettrait de de réidentifer réidentifer les les personnes personnes ». ». Tout Tout en en prenant prenant analyse, e serait en compte compte que que l’Observatoire l'Observatoire nne serait pas pas en en possession possession de de données données permettant permettant une en identification directe directe comme notamment le le nom nom et et le le prénom, d’une d'une part, part, et et même même si si ce ce n'est n'est pas identification u vu lebut butpoursuivi par parl’Observatoire, l'Observatoire, d’autre d'autre part, part, la laCNPD CNPDse sedemande demande néanmoins, néanmoins, aau vude detoutes toutes le serait les données données àà caractère caractère personnel personnel auxquelles auxquelles l’Observatoire l'Observatoire aurait aurait accès, accès, s’il s'il ne ne serait pas pas les de relier entre eux eux des des ensembles de de données données distincts concernant un un même même individu. individu. faisable de Autrement dit, dit, ne ne serait-il serait-il pas pas possible possible pour pour l’Observatoire l'Observatoire d’utiliser d'utiliser et et de de recouper recouper toutes toutes les Autrement données auxquelles l’Observatoire l'Observatoire aurait aurait accès accès et et de de les les relier relier àà une une personne personne physique physique données déterminée,permettant permettant dès dèslors lors une uneidentification identificationindirecte indirectede de ladite laditepersonne ? déterminée, 9 »,
3. Legroupe groupe de de travail travail «

229 », qui qui a été étéremplacé remplacé le le 25 25 mai mai 2018 2018par parle le CEPD, CEPD, a déjà déjà Le

1. estimé dans dans uun avis de de 2007 2007 que que « [Inefficacité [IJ'efficacitéde de la la procédure procédurede de pseudonymisation pseudonymisation dépend dépend n avis estimé e qui n y recourt, son d'un certain nombre nombre de de facteurs facteurs (le (le stade stade auquel auquel oon son niveau niveau de de sécurité sécurité en en cce d'un concerne la la possibilité possibilité de deretracer retracer les les informations, informations, l'importance l'importance de de la la population population dans danslaquelle laquelle la concerne individuels transactions/enregistrements des rattacher de possibilité la dissimulée, est la de rattacher des transactions/enregistrements individuels personne est à une une même mêmepersonne, personne, etc.). etc. ). Les Les pseudonymes pseudonymes doivent doiventfaire faire l'objet l'objet d'un d'un choix choixaléatoire aléatoireet et non à même le que pour grande assez être doit possible prévisible. prévisible. La La quantité quantité de de pseudonymes pseudonymes possible doit être assez grande pour que le nepuisse puissejamais êtrechoisi choisideux deuxfois foisau au hasard. hasard. Pour Pourgarantir garantirun un niveau niveaude desécurité jamais être pseudonyme ne équivalent moins au soit élevé, ilil importe importe que que l'ensemble l'ensemble des despseudonymes potentiels potentiels soit au moins équivalent àà l'éventail l'éventail élevé, 26 desvaleurs valeurs des des fonctions fonctions de de hachage hachagecryptographique sûres. sûres. »»26 des estdès dèslors lors primordial que quel’entité, l'entité, voir voirmême mêmeles les entités entités auxquelles auxquelles incomberait, le lecas caséchéant, IlIlest latâche tâchede dela lapseudonymisation pseudonymisationdes desdonnées, données,respectent respectentles lesprincipes principessusmentionnés susmentionnésavant avanttout la pseudonymisation de transfert de de données données àà l’Observatoire l'Observatoire afin afin de de garantir garantir que que la la procédure procédure de pseudonymisation est transfert e doute, une garantie garantie efficace efficace pour pour réduire réduire les les risques risques pour pour les les personnes personnes concernées. concernées. En En cas cas dde doute, une communes une agrégation agrégation àà un un niveau niveau supérieur supérieur est est toujours toujours préférable. préférable. Par Par exemple, pour pour les les communes une avec un un faible nombre d'habitants, d'habitants, les les informations informations sur sur la la composition composition du du ménage ménage et et le le lieu lieu de faible nombre avec travail travail pourraient pourraient être être suffisantes suffisantes pour pour réidentifier réidentifier certaines certaines personnes personnes par par recoupement àà envisager. donc serait supérieur géographique niveau un à d'informations. Une agrégation à un niveau géographique supérieur serait donc agrégation Une d’informations.
2. Finalement, Finalement, d'après d'aprèsl’

l'

6.3 du du projet projet de de loi loi sous sous examen, examen, l’Observatoire l'Observatoire«« détruit détruitles les

1. deux les pas dépassant ne traitement de durée d’une terme données à caractère au terme d'une durée de traitement ne dépassant pas les au personnel caractère à données ans ans après après leur leur réception. réception. »»
2. La La CNPD CNPD tient tient àà rappeler rappeler dans dans ce ce contexte contexte que que le le principe principe de de la la limitation limitation de de la
3. conservationest est un un des desprincipes principesclés clésde detout touttraitement traitementde dedonnées donnéesàà caractère caractèrepersonnel. personnel. Plus Plus conservation peuvent personnel caractère à données les RGPD, du 5.1.e) concrètement, d'après l'

5. 1.e) du RGPD, les données à caractère personnel l'

d’après concrètement, uniquement être être «« conservées conservées sous sous une une forme forme permettant permettant l'identification l'identification des des personnes uniquement des regard au nécessaire celle pas n'excédant durée une pendant concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités finalités pour pour concernées lesquelles lesquelles elles elles sont sont traitées traitées [...]. [. .. ]. »» 26 juin 26Avis Avis 4/2007 4/2007 du du groupe groupe de de travail «

29 29 » sur sur le le concept oncept de de données données àà caractère caractère personnel, personnel, adopté adopté le le 20 20 juin p.

1. 2007, p.
2. CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données Avis relatif relatifau aule leprojet projet de deloi loi n° n° 8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde dela lamobilité mobilité 10/19 10/19 Sans Sans explications explications supplémentaires ni ni dans dans le le texte texte du du projet projet de de loi, loi, ni ni dans dans le le commentaire ommentaire des des

s sur la justification e la

s sur la justification dde la durée durée de de conservation conservation des des données àà caractère personnel personnel pendant pendant un un maximum maximum de de deux deux ans ans par par l’Observatoire, l'Observatoire, la la CNPD CNPD ne ne peut peut pas pas se se prononcer prononcer sur sur la proportionnalité et et la la nécessité nécessité de de ladite durée. durée. 3. aux enquêtes menées par l'Observatoire (

7 du projet oroiet de de loi) loil Quant aux par l’Observatoire 32. 32. Selon Selon l’

l'

77 du du projet projet de de loi, loi, l’Observatoire l'Observatoire peut peut « mener mener des des enquêtes enquêtes auprès auprès d’échantillons d'échantillons représentatifs représentatifs de de personnes qui qui résident résident au au Grand-Duché, qui qui utilisent utilisent les les infrastructures de transport au Grand-Duché de Luxembourg infrastructures de au Grand-Duché de Luxembourg ou ou qui qui possèdent un un véhicule véhicule qui utilise utilise les les infrastructures infrastructures de detransport transport au au Grand-Duché Grand-Duché de de Luxembourg Luxembourg » sous sous condition que que «« les /es participants aient donné leur consentement participants aient donné leur consentement ». ». Dans Dans le le commentaire commentaire des des

s ilil est est précise précise qu' qu' « [a]fin e déterminer e l’échantillon [a]findde déterminer la la représentativité représentativité dde l'échantillon selon selon les les règles règlesde de l’art, l'art, l'Observatoire l'Observatoire aa besoin e participer àà une besoin de decollecter collecter des desdonnées données àà caractère personnel. personnel. Puisqu’avant Puisqu'avantdde une enquête, enquête, la e la lapersonne personne est est informée informéede dela la finalité finalitédde la collecte collecte de dedonnées donnéeset etpeut peut refuser refuser de defournir fournir telle telle ou telle donnée, la prévisibilité d e telle donnée, la prévisibilité de l'utilisation des des données données àà caractère caractère personnel personnel est est donnée. donnée. Ceci Ceci est le cas aussi bien si les données sont collectées par le moyen d’un questionnaire ou par est le cas aussi bien si les données sont par le moyen d'un questionnaire ou par le moyen moyen d’une d'une application àà installer installer sur sur le le smartphone. smartphone. »»

1. La
2. LaCNPD CNPDtient tient tout tout d'abord d'abordàà insister insisterque que toutes toutesles les conditions conditionsd’un d'unconsentement consentementvalide aau u sens sens du du RGPD RGPD sont sont àà respecter, respecter, c’est-à-dire c'est-à-dire que que le le consentement doit doit être être libre, libre, spécifique, spécifique, 27 éclairé et univoque. Une personne concernée contactée par l’Observatoire ne doit dès éclairéet univoque. 27 Une personne concernée contactée par l'Observatoire ne doitdèslors lors pas pas uniquement e« uniquement avoir avoir la lapossibilité possibilité dde « refuser refuser de defournir fournir telle telle ou outelle donnée donnée », », mais mais elle elle doit doitpouvoir pouvoir refuser refuserintégralement intégralementla la participation participationàà une unetelle telle enquête.
3. Par
4. Par ailleurs, ilil ne ne suffit suffit pas pas qu’« qu'« avant avant de de participer àà une une enquête, la la personne est informée informéede de la la finalité finalitéde de la la collecte collecte », », mais, mais, conformément conformémentàà l’

l'

13 13 du du RGPD, RGPD, le le ministre doit toutes les u moment doit fournir fournir aux aux participants toutes les informations y listées listées et et ceci ceci aau moment où oùles les données à caractère personnel sont obtenues. A côté des finalités du traitement auquel caractèrepersonnel sont obtenues. A côtédes finalitésdu traitement auquel sont sont destinées destinéesles les données juridique du donnéesàà caractère caractère personnel, personnel, ilil s’agit s'agit par parexemple exemple aussi aussi de dela la base basejuridique du traitement, des destinataires e la destinataires des des données, données, dde la durée durée de de conservation conservation des des données, ainsi ainsi que que l’existence ['existence des différents différents droits droits des des personnes concernées. concernées. 35. Finalement, 35. Finalement, l'

l'

77 du du projet de de loi loi prévoit prévoit que que les les enquêtes en en cause cause peuvent être être menées menées par par des des questionnaires, questionnaires, par par téléphone téléphone ou ou par par tout tout autre autre système système d’acquisition d'acquisition ddee données, données, tandis tandis que que le lecommentaire commentaire des des

s

s précise préciseque queles les données donnéespeuvent peuvent être êtrecollectées collectées par par «« le te moyen moyen d’un af'un questionnaire ou ou par par le le moyen moyen d’une d'une application application àà installer installer sur sur le le smartphone. » smartphone. » 27 27Voir Voirla ladéfinition définitiondu duconsentement consentement àà l’

l'

4.11) 4. 11)du du RGPD. RGPD. Voir Voiraussi aussi l'

l'

77 sur sur les les conditions conditions applicables applicables au consentement, consentement,ainsique ainsiqueles leslignes lignesdirectrices directrices5/2020 5/2020sur surle leconsentement consentementau ausens sensdu duréglement règlement(UE) (UE)2016/679 2016/679Version 1.1, 1. 1, adoptées adoptées le le 4 mai mai 2020 2020 par par le le CEPD. CEPD. CNPDl CNPD Avis Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des desdonnées données relatif relatifau au le le projet projet de deloi loi n° n"8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde de la la mobilité mobilité 11/19 11/19 Néanmoins, ilil ne ne ressort ressort ni ni du du texte texte du du projet projet dde loi, ni ni du du commentaire des des

s, dde quelle Néanmoins, e loi, e quelle manière l’Observatoire l'Observatoire obtiendrait obtiendrait les tes coordonnées coordonnées de de contact contact desdits desdits «« échantillons échantillons manière représentatifs de de personnes personnes », », c’est-à-dire c'est-à-dire notamment notamment leur leur adresse adresse postale postale afin afin de de les les inviter inviter à représentatifs participer àà une unetelle telle enquête. enquête. Est-ce Est-ceque quele leministre ministre aurait auraitaccès accèsaux auxdonnées donnéesdu duregistre registre national national participer des personnes personnes physiques physiques (ci-après (ci-après le le « RNPP RNPP ») ») pour pour cette cette finalité finalité ? Si Si tel tel est est le le cas, cas, la la CNPD des estime nécessaire, nécessaire, dans dans uun souci de de clarté clarté et et de de sécurité sécuritéjuridique, d’inclure d'inclure cette cette possibilité possibilité dans dans estime n souci le corps corps du du texte texte du du projet projet de de loi loi sous sous avis. avis. De De même, même, l’

l'artide 114 du RGPD RGPD serait serait àà respecter respecter le 4 du dans cette cette hypothèse, hypothèse, les les données données àà caractère caractère personnel n'ayant n'ayant pas pas été étécollectées collectées directement directement dans auprèsdde la personne personne concernée. concernée. Sur Surbase base de de cette cette disposition, le leministre ministre devrait, entre entre autres, autres, auprès e la fournir aux aux personnes personnes concernées concernées une uneinformation information sur sur la la source source d’où d'oùproviennent proviennent les tes données à fournir caractère caractèrepersonnel. personnel. 36. Finalement, si si la la CNPD CNPD comprend bien bien le le commentaire des des

s, des des enquêtes

1. pourraient aussi u Luxembourg, aussi être être menées auprès auprès de de personnes qui qui ni ni résident, ni ni travaillent aau Luxembourg, mais qui qui « visite[nt] visite[nt] le le Grand-duché Grand-duché pour pour d'autres d'autres motifs, ou ou transitent] transite[nt] par par le le Grand-duché. Grand-duché. »» mais Elle se se demande demande dans dans cette cette hypothèse hypothèse par par quelle quelle manière manière l’Observatoire l'Observatoire pourrait pourrait contacter Elle lesdites personnes, le le recours, le le cas cas échéant, échéant, aau RNPP n’étant n'étant pas pas une une option option alors alors qu’il qu'il ne lesdites u RNPP contient contient pas pas les les coordonnées coordonnées recherchées. recherchées.
2. Quant à à l’accès l'accès aux aux données par par l’Observatoire l'Observatoire (

8 du du projet d de loi) e loi) 37. L'

L'

8.1

1. 1 ddu projet de de loi loi crée crée l’obligation l'obligation pour pour les les entités entités yy énumérées énuméréesde de donner
2. u projet accès au au ministre, sur sur sa sa demande demande et et dans dans les les délais délais fixés fixés dans dans sa sa requête, requête, aux aux données données à « accès caractère personnel ou non personnel nécessaires à l’exécution des missions de l’Observatoire caractère personnel ou non personnel nécessaires à l'exécution des missions de l'Observatoire telles que que prévues àà l’

l'

3, 3, selon les les modalités de de l’

l'

66 et et telles telles que que précisées précisées par par les les finalités finalitéssuivantes suivantes[...]. [...]. » 38. La LaCNPD CNPDconstate constatedans danscce contexteque quel'

l'

2, 2, point point4° 4° du duprojet projet de de loi loi définit définitl’accès l'accès

1. e contexte comme « le te traitement, traitement, par par un un utilisateur utilisateurde de données, données, dde donnéesqui qui ont ont été étéfournies fournies par par un un comme e données détenteur dde données conformément àà des des exigences exigences techniques, juridiques détenteur e données juridiques ou organisationnelles organisationnelles particulières, particulières, sans sans que que cela cela n’implique n'implique nécessairement la la transmission transmission ou ou le le téléchargement téléchargementde de ces ces données. données. »»
2. A la la lecture lecture de de ladite ladite définition définitionet et de de l’

l'

88 sous sous examen, examen, ilil n’est n'est pas pas clair clair comment

1. A l'accès» aux aux données donnéespersonnelles personnelles détenues détenuespar par les les différentes différentesentités entités serait serait concrètement concrètement « l’accès effectué. effectué. Est-ce Est-ce que que lesdites lesdites entités entités effectueraient effectueraient dès dès lors lors une une transmission transmission des des données données àà l'Observatoire, même si dans la définition précitée il est mentionné que l'accès n'implique pas l’Observatoire, même si dans la définition précitée il est mentionné que l’accès nécessairement la la transmission transmission oou le téléchargement téléchargement dde ces données données», », ou ou est-ce est-ce que « nécessairement u le e ces l’Observatoire l'Observatoire disposerait disposerait par par exemple d’un d'un code code d'accès d'accès pour pour accéder accéder aux aux données données ? Sans comment cette cette communication communication vva s'opérer, ilil se se pose pose comme comme susmentionné susmentionnéaau connaître comment a s'opérer, u point 26 26 la la question de de savoir savoir qui qui s’occupe s'occupe de de la la pseudonymisation. pseudonymisation. CNPD CNPD de la la Commission nationale nationale pour pour la la protection des des données Avis de relatif u le relatifaau le projet projetde deloi loi n° n° 8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde dela la mobilité mobilité 12/19 12/19
2. De
3. De même, même, indépendamment indépendamment du du moyen moyen d’accès d'accès aux aux données données par par l'observatoire l'Observatoire et et sous réserve de ses commentaires de ses commentaires qui qui suivent, la laCNPD CNPD estime que que l'Observatoire l'Observatoire devrait uniquement uniquement avoir avoiraccès accèsaux auxdonnées donnéesénumérées énuméréesàà l’

l'

88 du du projet projetde deloi loi et et en en aucun aucuncas casàà toute toute la la base base de données de donnéesdétenue détenuepar parl’entité l'entitéen en cause.

1. La
2. La Commission Commission nationale nationale analysera analysera par par la la suite suite plus plus en en détail détail les les finalités finalités poursuivies par par l’accès aux données par l'Observatoire (4.1), ainsi que les données à caractère personnel l'accès aux données par l'Observatoire (
3. 1), ainsi que les données à personnel auxquelles l’Observatoire l'Observatoire aurait aurait accès accès (4.2). (
4. 2). A titre A titre préliminaire, préliminaire, elle elle tient tient àà souligner souligner qu’elle qu'elle prendra uniquement en en compte dans dans son son analyse analyse l’

8.1, points 1° à 3° du projet de loi, alors qu’elle estime, l'

8. 1, points 1° à 3° du projet de loi, alors qu'elle estime, sans sans indications indicationscontraires contraires dans dans le le texte texte ou ou le le commentaire des des

s, que que les les finalités finalités mentionnées mentionnées aux aux points points 4° 4° àà 6° 6° sont a priori prioripoursuivies poursuiviessans sanstraiter traiterdes desdonnées donnéesàà caractère caractèrepersonnel. personnel. En Eneffet, effet,elle elle a l’impression l'impressionque les les données données mentionnées mentionnées aux aux points points 4° 4° àà 6° 6° sont sont soit soit des des données données concernant concernant des des personnes personnes 28 morales qui ne tombent , soit morales qui ne tombent pas pas dans dans le le champ champ d’application d'application du du RGPD RGPD28, soit des des données données statistiques statistiques sans sans lien lien avec avec une une personne personne physique physique identifiée identifiée ou ou identifiable identifiable comme comme par par exemple exemple des données des données concernant concernant la la topologie topologie et et les les chantiers chantiers des des réseaux réseaux ferroviaires, les les données concernant concernant les les projections et et répartition répartition des des résidents résidents et et des des emplois emplois ou ou encore encore les les données concernant concernant les les stratégies, stratégies, plans plans et et projets projets d’infrastructures d'infrastructures et et d’offres d'offres de de transport. transport. 4.1. 4. 1. Quant Quant aux aux finalités finalités poursuivies par par l’accès l'accès aux aux données 42. D’après 42. D'après l’

l'

5.1.b

2. b)) du du RGPD, RGPD, les les données données àà caractère caractère personnel collectées collectées peuvent peuvent uniquement uniquementêtre êtrecollectées collectées« pour pourdes desfinalités finalitésdéterminées, déterminées,explicites expliciteset etlégitimes, légitimes,et etne nepas pasêtre être traitées ultérieurement d'une manière incompatible avec traitées ultérieurement d'une manière avec ces ces finalités finalités [...] [...] (limitation (limitation des des finalités) finalités) ».
3. IlIl ressort
4. ressort dans dans ce ce contexte contexte du du commentaire des des

s

s qu' qu' « [é]tant [éjtant donné donnéque que certaines données donnéessont sontàà caractère caractèrepersonnel, personnel, chaque chaquedonnée donnéeest estexplicitement explicitementreliée reliéeàà une unefinalité. finalité.CelleCelleci ne vise jamais à comprendre le comportement ci ne vise jamais à comprendre le comportement ou ou les les besoins besoins de de mobilité mobilité d’un d'un individu individu en particulier, particulier, mais mais toujours toujours d'un d'un groupe groupe de de personnes personnes présentant présentant un un comportement ou ou des des besoins besoins de mobilité mobilitésimilaires. » de La La CNPD CNPD constate constate en en effet effet que que les les points points 1° 1° àà 3° 3° de de l’

l'

8.1

1. 1 du du projet projet de de loi loi énumèrent à quelles données, détenues par quelle entité, quelles données, détenues par quelle entité, et et pour pour quelle quelle finalité finalitél'Observatoire l'Observatoire aurait aurait accès. Elle Elle estime estime que que la la détermination détermination des des types ou ou catégories de de données àà caractère personnel qui qui seront traitées par finalité seront traitées par finalité est est considérée considérée comme un un des des éléments essentiels du du traitement qui qui doivent doivent être être définis définis dans dans la la réglementation réglementation qui qui encadre le le traitement dde ces données données àà caractère caractère e ces personnel.
2. Les
3. Les finalités finalités 1°, 1°, 2° 2° et et 3° 3° sont sont dans dans ce ce contexte contexte àà considérer considérer a priori priori comme comme «« déterminées » et « explicites » en visant déterminées et « » en visant àà adapter adapter les les offres offres et et infrastructures de de mobilité mobilité àà la la 28 28Voir Voirle le considérant onsidérant

s.

s.

1. Considérant que que la la finalité finalité plus plus globale globale d’adapter d'adapter les les offres offres et et infrastructures infrastructures de de mobilité mobilité
2. Considérant à la la demande demande de de la la population population semble semble tout tout àà fait fait légitime, légitime, d'une d'une part, part, et et sans sans prétendant prétendantavoir avoir à métier en en matière de de planification de de la la mobilité, d’autre d'autre part, part, la la CNPD CNPD se se demande demande l'expertise métier néanmoins si si les les traitements mis mis en en œuvre ouvre afin afin de de poursuivre les les finalités finalités 1°, 1°, 2° 2° et et 3° 3° respectent respectent néanmoins les principes constitutionnels de nécessité et de proportionnalité. Plus concrètement, est-il les principes de nécessité et de Plus est-il vraiment nécessaire nécessaire de de connaître connaître la la raison raison du du déplacement, liée liée aau lieu de de départ départ et et d'arrivée, d'arrivée, vraiment u lieu pour poursuivre la finalité de l'adaptation des offres et infrastructures de mobilité à la demande pour la finalité de l’adaptation des et infrastructures de la demande de la la population, population, ou ou ne ne serait-il serait-il pas pas suffisant suffisant de de savoir savoir que que X X personnes personnes se se déplacent déplacent d'A d'A àà B, B, de indépendamment si lesdites personnes se rendent à leur lieu de travail, à l’école, à un indépendamment si lesdites personnes se rendent à leur lieu de à l'école, à un supermarché,àà un un complexe complexesportif sportifou ouàà la la crèche crèchede deleurs leursenfants. supermarché, Elleestime estimedès dèslors lors utile utile d’analyser d'analyserplus plus en en détail détailles les données donnéesàà caractère caractèrepersonnel personnel auxquelles Elle l'Observatoireaurait auraitaccès accèset et si si leur leurcollecte collecte est est vraiment vraiment nécessaire nécessaireau au regard regard des des finalités finalitéspour l'Observatoire lesquelles lesquelles elles elles seraient seraient traitées.
4. Quant Quant aux aux données donnéesàà caractère caractèrepersonnel 4.
6. Conformémentàà l’

l'

5.1.

1. b)5. 1.
2. b)du du RGPD, RGPD,les les données donnéesàà caractère caractèrepersonnel personnel collectées collectées 46. Conformément doivent être être «« adéquates, adéquates, pertinentes pertinentes et et limitées limitéesàà ce ce qui qui est est nécessaire nécessaireau au regard regarddes desfinalités finalités doivent pourlesquelles lesquelles elles elles sont sonttraitées traitées(minimisation (minimisationdes desdonnées). données). » pour 47. Les Les auteurs auteurs du du projet projet de de loi loi expliquent expliquent dans dans le le commentaire commentaire des des

s

s que que «« [pjour [p]our

1. obtenir une une vue vue d'ensemble d'ensemble aussi aussi complète complète que que possible possible et et pouvoir pouvoir adapter adapter au au mieux mieux les les obtenir investissements dde l'État dans dans les les infrastructures infrastructures et et les les services services de de transport transport aux aux besoins besoins du du investissements e l’État pays, et et parce parce que que les les données données dont dont disposent disposent différents différents détenteurs détenteurs de de données données sur sur un un même pays, sujet sont souvent similaires mais non identiques, il est nécessaire de comparer et ainsi compléter sujet sont souvent similaires mais non il est nécessaire de comparer et ainsi les tes données donnéesde de plusieurs plusieursdétenteurs. »
2. Demanière manièregénérale, générale,la la Commission Commissionnationale nationaleconstate constateque queles lesmêmes mêmesjeux dedonnées données
3. De jeux de seront demandés demandésauprès auprèsde de différents différentsacteurs, acteurs, comme comme par par exemple exemple les les données donnéesconcernant concernantle le seront lieu de de résidence ou ou le le lieu de de travail. Comme l’Observatoire l'Observatoire n'aurait n'aurait accès accès qu’à qu'à des des données lieu pseudonymisées, pseudonymisées, sans sans « clé clé permettant permettant de de réidentifier réidentifier les les personnes personnes », », elle elle se se demande demande comment l’Observatoire l'Observatoire pourrait pourrait dès dèslors lors comparer comparer et et croiser croiser dans dans le le cadre cadre d'une d'une même même analyse analyse comment des données donnéesidentiques identiquesmais mais résultant résultantde de différents différentsjeux de données. des jeux de CNPD CNPD Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données Avis relatifau aule leprojet projet de deloi loin° n"8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde dela la mobilité relatif 14/19 14/19
4. En
5. En ce ce qui qui concerne plus plus concrètement les les «« données données concernant le le lieu lieu de de résidence résidence », », 29 29 est-ce qu’elles visent uniquement est-ce qu'elles visent uniquement le le nom nom de de la la commune ou ou plutôt plutôt le le code code postal, voire voire même l’adresse e lier l'adresse exacte ? Dans Dans ce ce dernier dernier cas, ilil est est très trèsfacile facile dde lier l’adresse l'adresse àà une une personne personne physique physique déterminée déterminée et et on on ne ne serait serait plus plus en en présence présence de de données données pseudonymisées. Par Par ailleurs, ailleurs, en en cas de decode codepostal postal d’une d'unecommune communeavec avecun unfaible faiblenombre nombred'habitants, d'habitants,d’autres d'autresinformations, informations,comme comme par par exemple exemple la la composition composition du du ménage ménage et et le le lieu lieu de de travail, travail, pourraient pourraient être être suffisantes suffisantes pour réidentifier certaines personnes par recoupement d’informations. Comme mentionné u point réidentifier certaines personnes par recoupement d'informations. Comme mentionné aau point 29, 29, la n niveau la CNPD CNPD recommande une une agrégation agrégation àà uun niveau géographique géographique supérieur, supérieur, au au moins moins par par nom nom de de la la commune commune et et non non par par le le code code postal.
6. u vu
7. De Demême, même,aau vu des des finalités finalitéspoursuivies, poursuivies, elle elle ne ne comprend comprendpas pas le le caractère caractèrenécessaire nécessaire de de la la collecte de de données données sur sur le le sexe sexe des des personnes concernées. concernées. 30 30
8. La
9. La problématique problématique la la plus plus complexe aux aux yeux yeux de de la la CNPD CNPD en en matière matière de de protection protection des données à caractère personnel réside néanmoins a u point 3° a) de l’

8.1 du données à caractère personnel réside au point 3° a) de l'

1. 1 du projet projet de de loi loi prévoyant prévoyant que que l’Observatoire l'Observatoire aurait aurait accès accès aux aux « données données concernant concernant les les déplacements déplacements des téléphones la représentativité téléphonesportables portableset etdonnées donnéessur surles lesutilisateurs utilisateurspermettant permettantd'évaluer d'évaluerla représentativitéde dela la base base d'utilisateurs, telles telles que que détenues détenues par par les les opérateurs opérateurs de de téléphonie téléphonie mobile mobile et et autres fournisseurs de de données passives de de type type «« Floating Floating Mobile Mobile Data Data »» pour pour autant autant que que ces ces détenteurs e partager détenteurs ont ont le le droit droit dde partager leurs leurs données. »»
2. Elle
3. Elle tient tient tout tout d’abord d'abord àà préciser préciserque que même mêmesi si le le législateur législateurenvisagerait, envisagerait, comme comme elle elle le 31 recommande recommande d'ailleurs àà maintes maintes reprises reprises dans dans le le présent présent avis avis31, le transfert de de données , le anonymisées anonymisées vers vers l’Observatoire, l'Observatoire, anonymiser anonymiser des des données données provenant provenant des des opérateurs opérateurs de télécommunications est est une une tâche tâchetrès très compliquée. Le Le CEPD CEPD avait avait estimé estimé dans dans ce ce contexte contexte dans un avis sur un avis sur l’utilisation l'utilisation de de données donnéesde de localisation localisation dans dans le le cadre cadre de de la la pandémie pandémiede de COVID-19 COVID-19 que « les /es tentatives de de ré-identification ré-identification constituent des des domaines de de recherche actifs. IlIl est essentiel essentiel que que les les responsables responsablesdu du traitement traitement qui qui utilisent utilisentdes des solutions solutions d’anonymisation d'anonymisationsuivent les évolutions récentes dans ce domaine, en particulier en ce qui concerne tes évolutions récentes dans ce domaine, en particulier en ce qui concerne les les données données ddee localisation localisation (provenant (provenant des des opérateurs opérateurs de de télécommunications télécommunicationset/ou et/ou des des services services de de la la société société de l’information) qui sont réputées difficiles à anonymiser. En effet, de l'information) qui sont réputéesdifficiles à anonymiser. En effet, de de nombreuses nombreusesrecherches recherches ont ont démontré démontréqu’il qu'il était était possible possible que que des des données données de de localisation localisation que que l’on l'on pensait pensait anonymisées anonymisées ne ne le le soient soient pas pas vraiment. vraiment. Les Les traces traces des des déplacements déplacements des des personnes personnes sont, sont, de de manière manière intrinsèque, intrinsèque, fortement fortement corrélées corréléeset et uniques uniques et et sont, sont, par par conséquent, conséquent, vulnérables vulnérablesaux aux tentatives 32 de ré-identification ré-identificationdans dans certaines certaines circonstances. circonstances. »»32 de
4. Ensuite,
5. Ensuite, d'après d'après le le commentaire commentaire des des

s

s « [l]’analyse [IJ'analyse des des rebondissements rebondissements de de téléphones portables sur les antennes des réseaux d e communication téléphones portables sur les antennes des réseaux de communication permet permet d'estimer d'estimer le le 29 29Voir Voirarticle

8.1 8. 1 point point 1°, 1 °, a), a), b), b),

1. c)
2. e)et et
3. e)
4. e)et et point point 2° 2°
5. a)
6. a)du du projet projet de deloi. loi. Voir

8.1 point 1°, c) du projet 30Voir

1. 1 point 1 °, e) du projet de deloi. loi. 31 31Voir Voirnotamment notammentles les points points21 21 et et
2. 30 32 32Lignes Lignes directrices 4/2020 4/2020 relatives àà l’utilisation l'utilisation de de données données de de localisation et et d’outils d'outils de de recherche de de contacts contacts dans le le cadre cadrede dela lapandémie pandémiede deCOVID-19, COVID-19,adoptées adoptéesle le21 21 avril avril2020, 2020,points points 19 19et et
3. CNPDl ’ CNPD Avis Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatifau aule leprojet projetde deloi loin° n° 8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde dela la mobilité mobilité 15/19 15/19 nombre de dedéplacements déplacements effectués effectuésentre entredifférentes différentes zones zones du dupays paysàà différents différents moments moments du dujour. jour. nombre Le traitement traitement est est fondamentalement différent différent de de la la triangulation de de la la position position exacte exacte d'un d'un Le mais particulier, en ne s’agit s'agit donc donc nullement de de localiser un un téléphone téléphone en particulier, mais de téléphone. IlIl ne entre quels quels points points « A A »» et et «« BB »» des des déplacements déplacements ont ont lieu, lieu, et et par par quel quel itinéraire. itinéraire. »» comprendre entre Or, ilil ne ne ressort ressort ni ni du du texte texte du du projet projet de de loi, loi, ni ni du du commentaire commentaire des des

s

s ce ce qui qui est est visé Or, concrètementpar par«« données donnéesconcernant concernantles les déplacements déplacementsdes destéléphones téléphonesportables portables ». concrètement

1. La Commission nationale nationale tient tient àà rappeler rappeler àà cet cet égard égard que que les les opérateurs opérateurs de La
2. télécommunications font font l’objet l'objet d’une d'une réglementation spécifique, spécifique, et et plus plus concrètement concrètement de de la la loi loi télécommunications modifiée du du 30 30 mai mai 2005 2005 concernant la la protection dde la vie vie privée privée dans dans le le secteur secteur des e la modifiée communicationsélectroniques électroniques(ci-après (ci-aprèsla la « loi loimodifiée modifiéedu du30 30mai mai2005 2005 »). »). Au Aucas casoù oùles lesauteurs communications 33 du projet projet visent visent les les données données de de trafic, trafic, ainsi ainsi que que les les données données de de localisation, localisation, 33 ces ces dernières du peuvent uniquement être être mises àà disposition par par un un fournisseur ou ou opérateur de de services de aux autorités autorités judiciaires dans dans des des conditions restrictives restrictives et et sous communications électroniques aux 34 peine d’une d'une sanction sanction pénale. pénale. 34 peine
3. A titre titrede decomparaison, comparaison,le leService Servicepublic publicfédéral fédéralMobilité Mobilitéet etTransports Transportsde dela laBelgique Belgiqueavait A
4. opérateurs des auprès récolter de objet pour ayant public comme projet projet de de passer passer un un marché marché public ayant pour objet de récolter auprès des opérateurs ddee comme télécommunications des des données données de de localisation localisation sur sur l'ensemble l'ensemble du du territoire territoire belge belge en en vue vue de télécommunications données des protection e d l’Autorité projet, gérerles les flux flux de depersonnes. personnes. Dans Dans son son avis avis relatif relatif audit audit l'Autorité de protection des données gérer belge a estimé estimé que que « [c]ompte tenu tenu de de ces ces explications et et tenant tenant compte de de la la sensibilité des belge proportionnalité, de données concernées, la Commission estime que pour rencontrer le principe de proportionnalité, le principe estime que pour la données te demandeur demandeurserait seraitfondé fondéen en l'espèce /'espèceàà se se voir voir communiquer communiquerles les données donnéessollicitées sollicitéessous sous une une le forme anonymisée, conformément conformément àà l'

l'

33 de de l’arrêté /'arrêté royal royal du du 13 13 février février 2001 2001 portant forme 35 Ladite exécutionde de la la loi loi vie vie privée. privée. »»35 LaditeAutorité Autorité a par parailleurs ailleurs fait fait « remarquer remarquerque que les les critères exécution d'analyse ne ne peuvent peuvent pas pas porter porter préjudice préjudice au au caractère caractère anonyme anonyme des des données données transmises. Elle Elle d’analyse enjoint le le demandeur àà faire faire preuve d'une d'une extrême prudence pour pour éviter éviter de de rendre rendre ces ces données données enjoint identifiantes. Une Une véritable véritableanonymisation anonymisation peut peut s’avérer s'avérerdifficile difficileàà obtenir obtenir et et ilil est est exclu exclu qu'une identifiantes. 36 »»36 identification. une à combinaison des données de localisation tout de même aboutir à une identification. aboutir même de tout puisse localisation de données des combinaison 56. Ainsi,conformément conformémentaux auxdispositions dispositionsde de la la loi loi modifiée modifiéedu du 30 30 mai mai 2005, 2005, les les données donnéesde Ainsi, 56. trafic et et de de localisation localisation collectées collectées par par des des fournisseurs fournisseurs ou ou opérateurs opérateurs de de services services de trafic 33 33 Voir Voir définitions définitions àà l’

l'

2. 2.

1. e)
2. e)et et
3. f)
4. f)de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 34 34Voir Voir

s

s 5.1.

1. a)5. 1.
2. a)et et 9.1.
3. a)9. 1.
4. a)de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005. 2005. Par Parailleurs, sur sur base base de de l’

l'

5.2 de de ladite ladite loi, loi, les par les donnéesrelatives relatives aux auxtrafic traficpeuvent peuvent être êtredemandées demandées««par les organes organescompétents compétentsdans dansle le but butde de régler réglerdes deslitiges données notamment en en matière d'interconnexion d'interconnexion ou ou de de facturation ». ». notamment 35 35Avis Avisn° n°43/2016 43/2016du du20 20juillet 2016sur surle leprojet projetdu duService Servicepublic publicfédéral fédéralMobilité Mobilitéet etTransports Transportsde derécolte récoltede dedonnées juillet 2016 delocalisation localisationen enmatière matièrede deflux fluxde depersonnes personnessur surle le territoire territoirebelge belge(CO-A-2016-028), (CO-A-2016-028),point point

1. de 36 36 Avis Avis précité, précité, point point
3. Voir Voir les les résultats résultats de de cette cette étude étude sur sur des des données données anonymisées anonymisées sous sous ce ce lien lien : l/files/documents/publications/2023/Mobilit%C3%A9%20et%20donn%C3%A9es https://mobilit.belqium.be/sites/defaul httDS://mobilit. betaium. be/sites/defaulVfiles/documents/Dublications/2023/Mobilit%C3%A9%20et%20donn%C3%A9es pdf. %20t%C3%A91%C3%A9om%20FR.pdf. %20t%C3%A9l%C3%A9com%20FR. CNPD Avis de de la la Commission nationale pour pour la la protection protection des des données relatif au au le le projet de de loi loi n° n° 8251 portant portant création d'un d'un Observatoire digital de de la la mobilité mobilité relatif 16/19 16/19 communications communicationsélectroniques électroniquesne nepourraient pourraienten enprincipe principeêtre êtrecommuniquées communiquéesàà l’Observatoire l'Observatoireque si u préalable. si elles elles ont ont été étéanonymisées anonymiséesaau
4. E n dernier e mentionner
5. En dernier lieu, lieu, ilil convient convient dde mentionner qu’afin qu'afin de de poursuivre la la finalité finalité 3° 3° prévue prévue par l'

l'

8.1 8. 1 du du projet projet de de loi, l’Observatoire l'Observatoire aurait aurait accès accès aux aux «données « données concernant concernant les les déplacements la représentativité déplacementseffectués effectuéset etdonnées donnéessur surles lesutilisateurs utilisateurspermettant permettantd’évaluer d'évaluerla représentativitéde de la la base base d'utilisateurs, d'utilisateurs, telles telles que que détenues détenues par par les les services sen/ices numériques numériques d’assistance d'assistance au 37 déplacement. Lesdits déplacement. »»37 Lesdits «« services sen//ces numérique numérique d’assistance d'assistance au au déplacement » sont sont définis à l’

e loi l'

2 point point 7 du du projet projet dde loi comme comme «« les les services services qui qui visent visent àà faciliter faciliterles les déplacements déplacements monomodaux o u multimodaux au moyen de services de transport, de véhicules, monomodaux ou multimodaux au moyen de services de transport, de véhicules, d'engins d'engins personnels dde e déplacement u projet de déplacement ou ou àà pied». Les Les auteurs ddu de loi loi précisent précisent dans dans le commentaire dudit

que cette définition est issue de l’

L 1214-8-3 du code commentaire dudit

que cette définition est issue de l'

L1214-8-3 du code des transports transports français.

1. Dans
2. Dans le le commentaire des des

s

s ilil est est expliqué expliqué dans dans ce ce contexte que que l’Observatoire l'Obsen/atoire exploiterait exploiteraitcomme comme source source «« [d]es [d]es systèmes systèmesqui qui renseignent renseignentles les voyageurs voyageurssur surleurs leurs options optionsddee mobilité, ou qui contrôlent l’accès à des services d e mobilité [et qui] collectent des informations ou qui contrôlent /'accès à des services de mobilité [et qui] des informations sur e l'

surles tes déplacements déplacementseffectués. effectués. Cette Cette disposition disposition suit suit l’exemple {'exemple dde l'

L1214-8-3 L1214-8-3du du code des destransports transportsfrançais, français, qui quiexige exigeque que« les les données donnéespertinentes pertinentesrelatives relativesaux auxdéplacements déplacementset et àà la la circulation circulation détenues détenues par par les les services services numériques numériques d'assistance d'assistance au au déplacement déplacement [...] [...J sont sont rendues . .] aux rendues accessible accessible[.[...] auxautorités autoritésfrançaises françaises» afin afin de de « améliorer améliorerl'efficacité l'efficacitédes des politiques publiques de mobilité, notamment la conception, la mise en oeuvre et l'évaluation publiques de mobilité, notamment la conception, la mise en oeuvre et l'évaluationdes despolitiques publiques, e Mobilité publiques, notamment notamment des desplans plans dde Mobilité » La LaCommission nationale nationale comprend que que les les services susmentionnés sont sont en en fait fait des descalculateurs calculateurs d'itinéraires d'itinérairesvisant visant àà faciliter faciliter les les déplacements déplacementspar par plusieurs plusieurs modes modes de de transport transport(par (par exemple, train, bus, tram, taxi, u cours taxi, vélo, vélo, propre propre voiture, etc.) etc. ) aau cours d'un d'unmême même trajet. Néanmoins, Néanmoins, ilil ne neressort ressort ni ni du du texte textedu duprojet projet de deloi, loi, ni ni du du commentaire commentairedes des

s,

s, si si des desdonnées donnéesàà caractère caractèrepersonnel sont collectées par lesdits services auxquelles l’Observatoire aurait, le cas échéant, sont par lesdits l'Observatoire le cas échéant, accès. accès. Sans précisions précisionssupplémentaires supplémentairesde dela la part partdes desauteurs auteursdu du projet projetde deloi, loi, la la CNPD CNPDne nepeut peutdès dèslors lors pas pas se se prononcer prononcer à à ce ce sujet. 5. Quant au au comptage comptage des des véhicules véhicules par par l’Observatoire l'Observatoire (

(

9 du du projet projet de de loi) loi) Quant 59. Sur e l’

e comprendre les 59. Sur base base dde l'

9 du du projet projet de de loi loi et et afin afin dde les « flux flux de de véhicules véhicules à travers les réseaux de transport, l’Observatoire peut effectuer des comptages permettant la travers les réseaux de l'Observatoire peut effectuer des la reconnaissance reconnaissanced’un d'unvéhicule véhiculeàà plusieurs plusieursendroits endroitsdu duréseau. réseau.» IlIIy est estprécisé préciséque queles les « données données collectées collectées àà cette cette fin fin doivent doivent être être détruites détruites endéans endéans 24 24 heures heures et et ne ne doivent doivent pas pas être être utilisées utilisées pour pour identifier identifierles les occupants occupants ou ou le le propriétaire propriétairedu du véhicule. véhicule. » Dans Dans le le commentaire commentaire des des

s les e ce les auteurs auteurs du du projet de de loi loi expliquent l’utilité l'utilité dde ce comptage des des véhicules véhicules par par l’Observatoire l'Obsen/atoire en donnant donnant l'exemple suivant suivant :: « Par Par exemple, pour pour comprendre quelle quelle part part du du trafic trafic sur sur les les 37 37Selon Selon l'

l'

s,

s, la la CNPD CNPDse Néanmoins, demande par u projet par quels quels moyens la la finalité finalité prévue prévue àà l’

l'

9 ddu projet de de loi loi serait serait atteinte, c’est-àc'est-àdire comment le ministre effectuerait les comptages permettant la reconnaissance d'un véhicule dire le les la d’un à plusieurs plusieurs endroits endroits du du réseau réseaudde transport afin afin de de comprendre comprendre le le flux flux des des véhicules véhicules àà travers à e transport ledit réseau. réseau. Est-ce Est-ceque que l’atteinte l'atteinte de de cette cette finalité finalitéobligerait obligeraitle le ministre ministre àà installer installer des des caméras ledit permettant permettantd’enregistrer d'enregistrerles les plaques plaquesd’immatriculation d'immatriculationpartout partoutdans dansle le pays pays ? Parailleurs, ailleurs, les les explications explications des des auteurs auteurs du du projet projet dde loi sur sur l’utilité l'utilité et et surtout surtout la la nécessité nécessitéde Par e loi collecter la la plaque plaqued’immatriculation d'immatriculation et et de depouvoir pouvoirla la suivre suivreàà travers travers le le pays pays pendant pendant24 24 heures collecter ne n d'autres ne sont sont pas pas convaincantes. convaincantes. EEn d'autres termes, termes, la la Commission Commission nationale nationale doute doute que que la la collecte dela la plaque plaque d’immatriculation d'immatriculationest est vraiment vraimentnécessaire nécessaireaau regarddde la finalité finalitéde de comprendre comprendrele le de u regard e la flux des des véhicules véhicules àà travers les les réseaux réseaux de de transport et et que que des des moyens moyens moins moins attentatoires à à la la flux vieprivée privéedes despersonnes personnesconcernées concernéesexistent. existent.Plus Plusconcrètement, concrètement,elle elle considère considèreque quele le système vie de comptage permanent et automatique des routes aux Luxembourg, actuellement de comptage permanent et automatique des routes aux Luxembourg, actuellement opéré opérépar par des ponts et et chaussées, pourrait pourrait être être amélioré amélioré et et développé développé afin afin d’avoir d'avoir une une vue l'Administration des précise précisesur surle leflux fluxdes desvéhicules véhiculesàà l’intérieur l'intérieurdu dupays. pays.Les Lescompteurs compteurspourraient pourraientaussi aussiêtre êtreinstallés aux aux frontières afin d’y d'y évaluer évaluer le le trafic trafic routier. routier. 6. aux droits des personnes personnes concernées concernées Quant aux 61. LaCNPD CNPD tient tient àà rappeler rappeler que que tous tous les les droits droits des des personnes concernées concernées consacrés consacrés par par le le 61. La 38 RGPD RGPD38 sont sont àà respecter respecter par par le le responsable du du traitement, c'est-à-dire c'est-à-dire en en l'espèce l'espèce par par le leministre. ministre. 62. Par exemple, en en l’état l'état actuel des des

s

s 7 et et 9 du du projet projet de de loi loi prévoyant prévoyant une une collecte collecte 62. Par directe dde donnéesàà caractère caractèrepersonnel personnel par par('Observatoire l'Observatoireauprès auprèsdes des personnes personnesconcernées, directe e données le ministre ministre devrait devrait dès dès lors tors leur leur fournir fournir au au moment moment de de la la collecte collecte des des données données à à caractère caractère le personnel u projet personnel toutes toutesles les informations informationsprévues prévuesàà l'

l'

13 13du duRGPD. RGPD.Par Parailleurs, ailleurs,l'

l'

88 ddu de loi prévoit toute une série de collectes indirectes de données à caractère personnel de loi prévoit toute une série de collectes indirectes de données à caractère personnel par par l'Obsen/atoire, et et dès dès lors, tors, l’

l'

114 du RGPD RGPD est est àà respecter. Au vu de de l'ampleur l'ampleur dudit dudit

l’Observatoire, 4 du Au vu 38 38Voir Voir les les

s 12 12 àà 23 23 du du RGPD, RGPD, sauf sauf exceptions prévues prévues par par les les différents

s.

s. CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif relatif au au le le projet de de loi loi n° n" 8251 portant portant création d’un d'un Observatoire digital digital de de la la mobilité mobilité 18/19 18/19 8 8 du du projet projet de de loi, loi, le le ministre ministredevrait devraita priori priori fournir fourniràà toute toute la la population population du du Grand-Duché, Grand-Duché,ainsi qu’aux frontaliers, les informations listées à l'

1 4 du RGPD dans un qu'aux frontaliers, les informations listées 14 du RGPD dans un délai délai raisonnable raisonnable après après 39 avoir avoirobtenu obtenu les lesdonnées donnéesàà caractère caractèrepersonnel, personnel, mais maisne ne dépassant dépassantpas pas un un mois. mois.39 63. De 63. De plus, plus, l’

l'

15 15 du du RGPD RGPD accorde accorde àà toute toute personne personne concernée concernéele le droit droit d’obtenir d'obtenirdu du responsable responsabledu du traitement traitementla la confirmation confirmationque que des desdonnées donnéesàà caractère caractèrepersonnel personnel la la concernant sont u ne sont oou ne sont sont pas pas traitées traitées et, et, lorsqu’elles lorsqu'elles le le sont, sont, l’accès l'accès auxdites auxdites données données àà caractère personnel personnel ainsi ainsi que que certaines certaines informations informations dont dont les les finalités finalités du du traitement traitement effectué effectué par par le le responsable du traitement, responsable du traitement, les les catégories catégories de de données données àà caractère caractère personnel personnel concernées concernées ou ou encore encore les les destinataires destinataires ou ou catégories catégories de de destinataires destinataires auxquels auxquels les les données données àà caractère caractère personnel personnel ont ont été étéou ou seront serontcommuniquées. 64. Par 64. Par ailleurs, dans dans les les conditions prévues prévues aux aux

s

s 16 16 et et 17 17 du du RGPD, RGPD, les les droits droits àà la la rectification et et àà l’effacement l'effacement de de la la personne personne concernée concernée sont sont àà respecter respecter par par le le responsable du traitement.

1. Finalement,
2. Finalement, la la Commission Commission nationale souligne que, comme les les auteurs du du projet de de loi loi estiment e données estiment que que les les traitements traitements dde donnéesàà caractère caractèrepersonnel personnel opérés opéréspar par l’Observatoire l'Observatoire sont nécessaires nécessaires àà l’exécution l'exécution d’une d'une mission mission d’intérêt d'intérêtpublic public conformément conformément àà l’

l'

6.1.

1. e)6. 1 .
2. e)du du RGPD, RGPD, le le droit droit d’opposition d'opposition des despersonnes personnesconcernées concernéesest est àà respecter. respecter. En En effet, effet, l’

l'

21.1 21. 1 du du RGPD prévoit prévoitque quela lapersonne personneconcernée concernéea le le droit droitde des'opposer s'opposeràà tout toutmoment, moment, pour pourdes desraisons raisonstenant à à sa sa situation particulière, particulière, àà un un traitement des des données données àà caractère caractère personnel la la concernant concernant fondé sur sur ledit ledit

6.1.

1. e)6. 1 .
2. e)du du RGPD, RGPD, sauf saufsi si le le responsable responsable du du traitement traitement «« peut peut démontrer démontrer qu'il qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur des motifs légitimes et impérieuxpour le traitement qui prévalentsur les les intérêts intérêtset et les les droits droits et libertés libertés de de la la personne concernée, ou ou pour pour la la constatation, l'exercice l'exercice ou ou la la défense défense de de droits droits en justice. » Ainsi adopté adopté à à Belvaux Belvaux en date date du 10 10 novembre 2023. 2023. La Commission nationale pour la protection des données :/^ ^/^4/ TineA. Larsen ' ~ Présidente Thierry Lallemang Marc Lemmer Alain Herrmann Commissaire Commissaire Commissaire 39 39Conformément àà l’

l'

14.3.

1. a)14. 3.
2. a)du duRGPD. RGPD. CNPDl CNPD Avis Avis de de la la Commission Commission nationale nationalepour pourla la protection protection des desdonnées données relatif relatifau au le leprojet projet de deloi loi n° n° 8251 8251 portant portantcréation créationd'un d'unObservatoire Observatoiredigital digitalde de la lamobilité mobilité 19/19 19/19