Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des ent

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale Délibération n°44/AV2/2025 du 23 avril 2025

1. Conformément à l’article 57.1.C) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1e' août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
2. Par courrier en date du 30 janvier 2025, Monsieur le Premier ministre a invité la Commission nationale à se prononcer sur les amendements gouvernementaux au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale (ci-après les « amendements »).
3. Le projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 (ci-après le « projet de loi ») a pour objet de transposer la directive (UE) 2022/2557 du Parlement européen et du Conseil du I4 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil (ci-après la « directive CER »). CNPD *a>C«Alt Ml ooutts Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale 1/6
4. Selon l’exposé des motifs : « [l]e but primaire de la directive et du projet de loi y afférent est la protection des entités critiques, c’est-à-dire des entités qui assurent un service qui est indispensable pour assurer des fonctions sociétales ou des activités économiques vitales, dénommé « service essentiel ». Ces entités sont critiques dans un double sens. D’une part, ces entités et les services essentiels qu’elles fournissent sont en eux-mêmes cruciaux pour nos sociétés, et, d'autre part, vu les interdépendances entre différents entités et secteurs, la défaillance d’une entité risque de mettre en péril d’autres entités dites critiques ».
5. Il y a lieu de relever que l’article 14 de la directive CER précisent que les Etats membres doivent prévoir les conditions dans lesquelles les personnes visées à l’article 14.1 de la directive précitée font l’objet d’une vérification des antécédents. Ces conditions sont précisées aux articles 13 à 15 du projet de loi, tel qu’amendés.
6. La Commission nationale se limitera à formuler ses remarques quant aux dispositions précitées qui adressent des problématiques d’un point de vue de la protection des données. I.
9. Remarques liminaires Tout d’abord, il y a lieu de relever que la CNPD s’est prononcée à plusieurs reprises sur des projets de loi concernant la vérification des antécédents, ou encore les procédures d’enquêtes d'honorabilité, et les problématiques ayant traits à la protection des données. Dès lors, il est renvoyé à l’ensemble des développements généraux qu’elle a formulés à ce sujet1 . De plus, la Commission nationale se rallie à l’ensemble des observations formulées par le Conseil d’Etat concernant les dispositions des articles 13 à 15 du projet de loi initial qui ont conduits aux amendements présentement sous avis
10. Par ailleurs, il y a lieu de noter que la formulation des dispositions sous avis s’inspirent du système de vérification des antécédents mis en place par l’article 26 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et le règlement grand-ducal du 28 juillet 2018 portant 28 exécution de ' V. délibération n°3/AV3/2021 du 10 février 2021 de la Commission nationale pour la protection des données, doc. pari. n°7691/03, délibération n°42/AV20/2022 du 7 octobre 2022 de la Commission nationale pour la protection des données, doc. pari. n°7691/08, délibération n°42/2019 du 8 juillet 2019 de la Commission nationale pour la protection des données, doc. pari. n°7425/05, délibération n°2/2021 du 4 février 2021 de la Commission nationale pour la protection des données, doc. part. n°7425/09 et délibération n°29/AV24/2021 du 1 octobre 2021 de la Commission nationale pour la protection des données doc. pari. n°7425/11), délibération n°43/AV21/2022 du 7 octobre 2022 de la Commission nationale pour la protection des données, doc. pari. n°7863A/03 et délibération n°56/AV28/2022 du 2 décembre 2022 de la Commission nationale pour la protection des données, doc. pari. n°7863A/
11. 2 V. avis du Conseil d’Etat CE n°61.637 du 23 janvier 2024, doc. pari. n°8307/
12. CNPD »«oncr>oOU Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale 2/6 l’article 26 de la loi du 18 juillet 2018 sur la Police grand-ducale pour les institutions de l’Union européenne, ainsi que les dispositions du projet de loi n°7475 et son projet de règlement grandducal d’exécution. II. Ad Amendement 18 A. Sur la base de licéité de la vérification des antécédents
13. L’article 13.2, 3° du projet de loi, tel qu’amendé, prévoit que la personne faisant l’objet d’une vérification des antécédents donne son consentement à ladite vérification. Il convient de se demander si le recueil du consentement apparaît nécessaire alors que la vérification des antécédents devrait, en tout état de cause, être effectuée en vertu des dispositions de l’article 13 du projet de loi. En effet, la CNPD estime que la base de licéité des traitements de données effectués dans le cadre de la vérification des antécédents repose sur l’article 13 du projet de loi et non sur le consentement des personnes qui feraient l’objet d’une vérification des antécédents. B. Sur les fichiers légalement accessibles par la Police grand-ducale
14. Les amendements prévoient encore d’introduire un nouvel alinéa 2 au paragraphe 2 de l’article 13 du projet de loi de nouvelles dispositions concernant les vérifications effectuées par la Police grand-ducale dans le cadre de la vérification des antécédents. Ainsi, il est prévu que la Police grand-ducal « consulte les fichiers qui lui sont légalement accessibles pour autant que cette consultation soit pertinente quant à la finalité recherchée ».
15. Les auteurs des amendements précisent sous la motivation de l’amendement concernant l'article 13 que « cette nouvelle formulation limite la recherche de la Police grand-ducale aux fichiers qui lui sont légalement accessibles » et que « cette nouvelle formulation s’inspire fortement de l’article 17, paragraphe 2, alinéa 2, de la loi du 7 août 2023 sur l’organisation de I'Armée luxembourgeoise » :
16. Or, il convient de regretter que les dispositions sous avis ne précisent pas quels fichiers seraient consultés. S’agit-il des fichiers listés à l’article 43 et/ ou à l’article 43quinquies de la loi modifiée CNPD N.rc-Mt rcj» .* Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale 3/6 du 18 juillet 2018 sur la Police grand-ducale? Des précisions à ce sujet mériteraient d’être précisées.
17. Par ailleurs, la CNPD se permet de réitérer ses observations faites dans son avis relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise ainsi que ses observations faites dans son avis complémentaire au point
18. C. Sur la délimitation du champ d’application de la vérification des antécédents
19. Les auteurs des amendements entendent encore introduire un nouveau paragraphe 4 à l’article 13 du projet de loi.
20. Ces nouvelles dispositions précisent les critères pour lesquels la vérification des antécédents serait considérée comme échouée. Il y a lieu de saluer de telles précisions.
21. Par ailleurs, ces nouvelles dispositions entendent également prévoir qu’à l’issue de la vérification des antécédents effectuée par la Police grand-ducale, celle-ci transmette un « avis motivé » au ministre ayant la Protection nationale dans ses attributions (ci-après le « ministre »)3 . Cet avis est « relatif au risque potentiel que la personne [faisant l'objet d’une vérification des antécédents] représente pour la sécurité de l'entité critique ».
22. Il y a lieu de saluer de telles dispositions alors que la transmission d’un avis motivé est le procédé également retenu par plusieurs textes légaux récents détaillant la condition d’honorabilité. Cette manière de procéder évite ainsi de devoir transmettre des extraits ou l’intégralité de documents tels que des procès-verbaux ou rapports de police. D. Remarques finales
23. La Commission nationale donne à considérer que l’article 2 du règlement grand-ducal du 28 juillet 2018 portant exécution de l’article 26 de la loi du 18 juillet 2018 sur la Police grand-ducale prévoient des dispositions relatives au secret de l’instruction. Des dispositions similaires sont également prévues par l’article 17 de la loi du 7 août 2023 sur l’organisation de l’Armée luxembourgeoise. Il en est de même pour les articles 4, 5, 8, 9 et 10 de la loi du 7 août 2023 3 V. article 13.4, tel qu’amendé du projet de loi. CNPD LJ Avis 116 la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la protection nationale 4/6 précisant les conditions d’honorabilité pour certaines professions. A titre d'exemple, les dispositions de l’article 4 de la loi précitée précisent que « [p]endant toute la durée où les faits en cause sont couverts par le secret de l’instruction prévu par l’article 8 du Code de procédure pénale, l’avis du procureur général d’État comporte uniquement le nom, le prénom et le numéro d’identification au sens de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques ou, à défaut de ce numéro, la date de naissance et l’adresse ou la dernière adresse connue du candidat concerné, ainsi que la qualification juridique des faits reprochés ». Ainsi, elle se demande si des dispositions similaires ne devraient pas figurer pas dans le texte sous avis ? III. Ad Amendement 19
24. L’amendement 19 a pour objet de remplacer par de nouvelles dispositions l’article 14 du projet de loi. Ces nouvelles dispositions détaillent les conditions dans lesquelles le ministre informe « l’entité critique » concernée si la personne concernée par la vérification des antécédents présente des risques pour la sécurité de son entité.
25. L’article 14.3 du projet de loi, tel qu’amendé, dispose que « [le] ministre transmet la décision à l’entité critique requérante sans lui communiquer les informations personnelles qu’elle a reçues dans l’avis de la Police grand-ducale. L'entité critique requérante est tenue de suivre la décision du ministre ».
26. Il y a lieu de saluer de telles précisions au regard du principe de minimisation. En vertu de ce principe « [l]es données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».
27. Par ailleurs, la Commission nationale se demande s’il ne serait pas préférable d’utiliser la terminologie employée par le RGPD et de se référer aux données à caractère personnel plutôt qu'aux « informations personnelles ». CNPD txtooMn Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la protection nationale 5/6 IV. Ad Amendement 20
28. L’amendement 20 modifie l’article 15.2 du projet de loi ayant trait à la conservation des données à caractère personnel « en relation avec les vérifications des antécédents ». Les nouvelles dispositions entendent prévoir une durée de conservation de six mois « après une décision ayant acquis force de chose décidée ou jugée ». A l’issue de cette période les données sont détruites.
29. Il convient de féliciter les auteurs des amendements pour de telles précisions. Cette durée de conservation est celle qui semble être retenue dans le cadre d’autres procédures de vérifications des antécédents. Ainsi adopté à Belvaux en date du 23 avril
30. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale 6/6