Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature Délibération n° 68/AV28/2024 du 15 novembre 2024 1. Conformément à l’article 57.1.
(41)du RGPD énonce encore que « [l]orsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme ». 17. En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités ainsi que les durées de conservation des données. Or, force est de constater que certains de ces éléments ne figurent pas ou ne sont pas détaillés avec suffisamment de précision par l’article 27 du projet de loi. La CNPD y reviendra dans ses développements ci-après. B. Quant au responsable du traitement 18. Il y a lieu de rappeler que la notion de responsable du traitement joue un rôle capital dans l'application du RGPD dans la mesure où elle détermine qui est responsable du respect des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer leurs droits 1. Dès lors, il est important de pouvoir identifier correctement quelle entité est responsable du traitement. 19. L’article 27.1 du projet de loi dispose qu’« [i]l est établi, dans le respect des exigences de la législation en matière de protection des données et de la vie privée, un registre de données sur la performance énergétique et la performance environnementale des bâtiments tenu par le ministre qui en assure, dans les limites prévues au paragraphe 6, le rôle de responsable de traitement visé par l’article 4, point 7, du [RGPD] ». Par ailleurs, l'article 27.6 dispose que « [/Je ministre est responsable de la sauvegarde et de la gestion administrative des données contenues 1 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3, disponibles sous : https://www.edpb.europa,eu/our-work-tools/our-documents/quidelines/quidelines-072020-concepts-controller-andprocessor-qdpr en ’ CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l’électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 5/20 dans le registre ainsi que de l’authentification visée au paragraphe 4, alinéa 1er. Il ne contrôle pas systématiquement le contenu des données importées et ne saurait dès lors en être tenu responsable ». La CNPD comprend ainsi que le ministre serait le responsable du traitement en ce qui 20. concerne les traitements de données effectués dans le cadre du registre des certificats de performance énergétique authentifiés. Il convient de rappeler qu’en vertu de l’article 5.1
- d)du RGPD, les données à caractère 21. personnel doivent être « exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ». En effet, les dispositions du projet de loi sous avis ne devraient pas décharger le responsable du traitement des obligations qui lui incombent en vertu du RGPD. Ainsi, l'article 27.6 du projet de loi ne devraient pas exclure la responsabilité du ministre quant à l'exactitude des données qui seraient importées dans ledit registre. Les autres entités, en tant que responsables de leurs propres activités de traitement, sont chargées de veiller à l’exactitude des données qu’elles ont 2 traitées auparavant et qu’elles communiquent ensuite au ministre . Par ailleurs, l’article 27.4 du projet de loi prévoit que les personnes habilitées importent, 22. via une plateforme gouvernementale sécurisée les données requises par la présente loi dans le cadre de l'établissement du certificat de performance énergétique. La Commission nationale s'interroge sur l’entité qui serait chargée de la gestion d’une telle plateforme, notamment si celleci est également opérée par le ministre ou par une autre entité. Des clarifications à ce sujet mériteraient d'être apportées par les auteurs du projet de loi. En tout état de cause, en ce qui concerne l'accès et la gestion de ladite plateforme gouvernementale, le responsable du traitement devrait mettre en œuvre des mesures de sécurité afin d'assurer la confidentialité et la sécurité des données. Sur ce point, il est renvoyé au titre IV du présent avis. C. Quant aux catégories de données à caractère personnel L'article 5.1
- c)du RGPD dispose que les données à caractère personnel doivent être 23. « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». Il résulte de ce principe que ne doivent être traitées que les données nécessaires à l'accomplissement de la finalité du traitement. 2 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, point 72, disponibles sous : https://www.edpb.europa.eu/our-work-tools/our-documents/quidelines/quidelines-072020-concepts-controller-andprocessor-qdpr en CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 6/20 24. En l'espèce, l'article 27.3 du projet de loi sous avis énumère les catégories de données sur lesquelles le registre porte. La CNPD rappelle l'importance du principe de minimisation des données, selon lequel seules les données nécessaires à la réalisation des finalités définies à l'article 27.2 du projet de loi peuvent être traitées. Il est essentiel de s'assurer que les données collectées et conservées soient strictement limitées à celles qui sont pertinentes et adéquates pour les objectifs du registre, afin de respecter les exigences du RGPD et de protéger les droits des personnes concernées. 25. À cet égard, il y a lieu de regretter que le projet de règlement grand-ducal, n'ait pas été transmis en même temps que le projet de loi pour connaître les données contenues dans le calcul de performance énergétique et le certificat de performance énergétique authentifié. 26. En outre, il convient de se demander si, dans le cadre de la procédure de contrôle visée à l’article 27.4 du projet de loi, des données à caractère personnel seraient collectées et amenées à figurer dans le registre visé à l’article 27.3 du projet de loi. 27. La CNPD regrette l'absence de précision concernant les catégories de données, qui devraient être intégrées dans le registre. Le texte du projet de loi devrait énumérer de manière exhaustive les catégories de données qui pourrait y figurer, tout en veillant à respecter le principe de minimisation des données. D. Quant aux finalités 28. L'article 27.2 du projet de loi énumère de manière limitative les finalités du traitement des données afférentes au registre des certificats de performance énergétique en disposant que « [l]e registre visé au paragraphe 1er a pour finalité de : 1° servir comme répertoire central mettant de manière efficace, conviviale et sécurisée à la disposition des personnes visées au paragraphe 7, des données auxquelles elles ont légitimement droit d’accéder ; 2° assurer la conservation des données importées à des fins archivistiques, à des fins de recherche scientifique ou historique ou à des fins statistiques ; 3° améliorer l’accessibilité aux informations et données ainsi que leur qualité ; 4° permettre l'élaboration et la mise à disposition de statistiques et de données agrégées et anonymisées à des fins d’information, de transparence et de recherche ». 29. Bien qu’il y ait lieu de saluer l’effort d'énumération des finalités poursuivis par le registre, force est de constater que certaines desdites dispositions ne respectent pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la Avis de la Commission nationale pour la protection des données relatif au projet de toi n’ 8317 relative à la transition énergétique et modifiant : 1° la toi modifiée du 1er août 2007 relative à l’organisation du marché de l'électricité ; et 2° la toi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 7/20 jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits 3 de l'homme . Il convient de rappeler que la notion de « finalité », c’est-à-dire l’objectif poursuivi par le 30. traitement, occupe une place primordiale au sein du RGPD. Aux termes de l’article 5.1.
- b)du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. 5 4 De plus, les principes de minimisation des données ou de limitation de conservation 31. s’apprécient au regard des finalités pour lesquelles les données sont traitées. Il est donc essentiel que les finalités du registre soient clairement définies dans le projet de loi. À cet égard, la CNPD estime nécessaire que les auteurs du projet de loi clarifient ces finalités en tenant compte des observations formulées ci-après. 1. Sur les finalités énumérées à l’article 27.2.1° et 27.2.3° du projet de loi L'article 27.2.1° dispose que le registre sert «comme répertoire central mettant de 32. manière efficace, conviviale et sécurisé à la disposition des personnes visées au paragraphe 7, des données auxquelles elles ont légitimement droit d'accéder ». Il convient de se demander s’il est pertinent de préciser que les personnes visées au paragraphe 7 ont accès audit registre, alors que les dispositions dudit paragraphe prévoient un tel accès. La Commission nationale propose ainsi d’omettre de telles dispositions et suggère la formulation suivante « le registre visé au er paragraphe 1 a pour finalité de servir comme répertoire central de données sur la performance énergétique et la performance environnementale des bâtiments ». Par ailleurs, l’article 27.2.3° prévoit une autre finalité notamment l’amélioration de « l’accessibilité aux informations et données ainsi que leur qualité ». Si les auteurs du projet de loi ne devaient pas tenir compte de la proposition de la CNPD formulée ci-avant, elle s’interroge sur la différence entre ces deux finalités, qui semblent se recouper. En effet, l'objectif de rendre les données accessibles de manière efficace, conviviale et sécurisée paraît étroitement lié à celui d’améliorer l'accessibilité et la qualité des informations et des données. Afin d'assurer une meilleure lisibilité des dispositions, ne serait-il pas préférable de regrouper ces finalités sous une finalité unique ? 3 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Nonnes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; Voir entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 décembre 2015, CourEDH, Vavricka et autres c. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril 2021. 4 Article 5.1
- c)du RGPD. 5 Article 5.1
- e)du RGPD. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l’organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 8/20 2. Sur les finalités énumérées à l’article 27.2.2° du projet de loi 33. L’article 27.2.2° du projet de loi précise d’ailleurs que le registre a pour finalité « la conservation des données importées à des fins archivistiques, à des fins de recherche scientifique ou historique ou à des fins statistiques ». La Commission nationale souligne que le traitement ultérieur à des fins archivistiques, à des fins de recherche scientifique ou historique ou à des fins statistiques n'est pas considéré comme incompatible avec les finalités initiales à condition d'être soumis, conformément à l'article 89.1 du RGPD, à des garanties appropriées pour les droits et libertés de la personne concernée 6 . La pseudonymisation, voire l’anonymisation, sont mises en avant par l'article 89.1 du RGPD comme des mesures permettant de garantir les droits et libertés des personnes concernées. 34. Il est également rappelé que l’article 65 de la loi précitée du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données doit être respecté dans le cadre des traitements de données mis en œuvre à des fins statistiques ou à des fins de recherche scientifique. La CNPD estime indispensable que le responsable du traitement veille au respect des dispositions précitées. Ledit article prévoit une liste de mesures appropriées à mettre en place par le responsable d’un traitement lorsqu’il traite des données personnelles à des fins de recherche scientifique ou à des fins statistiques. Parmi les mesures listées par cette disposition, on peut également retenir l'anonymisation ou la pseudonymisation (3°) ou encore le recours à un tiers de confiance fonctionnellement indépendant du responsable du traitement pour l’anonymisation ou la pseudonymisation des données (4°). 35. Cependant, les dispositions nationales précitées ne s’appliquent pas aux traitements à des fins archivistiques. De tels traitements lorsqu’ils sont effectués dans l’intérêt public sont, en principe, encadrés par la loi du 17 août 2018 relative à l’archivage. Dès lors, il conviendrait de vérifier que les dispositions envisagées s’articulent correctement avec les dispositions de la loi du 17 août 2018 relative à l’archivage. 36. Par ailleurs, il y a lieu de noter que l’article L.126-32 du Code de la construction et de l'habitation français dispose que: « [ . . . ] Ces informations [diagnostics de performance énergétique ou les audits énergétiques ] sont transmises à des fins d'information, de contrôle, d'études statistiques, d'évaluation, d'amélioration méthodologique, de mise en œuvre et de suivi 6 Art. 89.1 du RGPD : « Le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est soumis, conformément au présent règlement, à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière. Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l'identification des personnes concernées, il convient de procéder de cette manière. » " CNPD -J Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 9/20 des politiques publiques touchant à la construction, aux bâtiments, aux logements, aux consommations énergétiques et aux performances environnementales [...] ». Dès lors, il est suggéré aux auteurs du projet de loi de s’inspirer du degré de détail des finalités énoncées dans le texte de loi français en ce qui concerne la formulation des finalités des traitements visées à l’article 27.2.2° du projet de loi sous avis. Il est ainsi proposé de formuler lesdites dispositions en ces termes « la conservation des données importées à des fins archivistiques, à des fins de recherche scientifique ou historique ou à des fins statistiques en lien avec la performance énergétique et la performance environnementale des bâtiments ». Enfin, les dispositions françaises précitées prévoient expressément que « [c]es informations ne peuvent pas être utilisées à des fins commerciales ». La CNPD recommande d’introduire une telle interdiction dans les dispositions du projet de loi sous avis. 3. Sur les finalités énumérées à l’article 27.2.4° du projet de loi L’article 27.2.4° du projet de loi prévoit que le registre a pour finalité de « permettre 37. l'élaboration et la mise à disposition de statistiques et de données agrégées et anonymisées à des fins d’information, de transparence et de recherche ». En outre, il ressort du commentaire des articles que « le registre de performance énergétique permet également la mise à disposition de données non-agrégées aux personnes y ayant légalement droit ainsi que de données agrégées et de statistiques en « open data » ». La CNPD comprend que le registre de performance énergétique permet la mise à 38. disposition de données agrégées et de statistiques, ce qui s’aligne avec la stratégie nationale pour la promotion de l'Open data au Luxembourg. En effet, les détenteurs de données publiques 7 devraient concevoir lesdites données dans l'optique de rendre celles-ci réutilisables. Toutefois, la Commission nationale appelle à la prudence quant à la mise à disposition de 39. données à caractère personnel au vu du risque de réutilisation à des fins non compatibles par des tiers alors que l’entité publique n’exerce qu'une influence limitée sur cette réutilisation. À cet effet, la CNPD souhaite souligner l'importance de la lecture combinée du présent projet de loi avec la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. Il est conseillé aux auteurs du projet de loi de s'assurer que les dispositions envisagées par le projet de loi soient compatibles avec celles prévues par la loi du 29 novembre 2021 précitée. 7 V. Délibérationn°0172021 du 20 janvier 2021 de la Commission nationale pour la protection des données, doc. pari. 7643/02, p.6. CNPD -J Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l’organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 10/20 E. Quant à l’accès par le ministre aux registres visés à l’article 27.5 du projet de loi 1. Remarques générales 40. La CNPD comprend que l’accès aux registres mentionnés à l'article 27.5 du projet de loi vise principalement à vérifier les données requises par la loi en projet et à établir des sources authentiques. Cependant, en ce qui concerne l'accès du ministre aux données du RNPP et du RCS, il résulte du commentaire des articles que cet accès est conféré au ministre « pour les besoins de l’agencement du registre ainsi que du traitement et de la mise à disposition des données ». Toutefois, la CNPD estime que ces explications sont imprécises et ne permettent pas de comprendre quelles seraient les raisons exactes pour lesquelles le ministre aurait besoin des accès aux registres précités. Des clarifications à ce sujet devraient être apportées par les auteurs du projet de loi. Sur ce point, il est renvoyé aux développements formulés sous les points 44 à 46 du présent avis. 41. Par ailleurs, il convient de se demander comment cet accès s'articule avec les dispositions de l'article 27.4.2 du projet de loi. En effet, le ministre contrôle l'exhaustivité des données concernées et procède à l’authentification des certificats de performance énergétique. De plus, il peut préalablement procéder à un contrôle sommaire de l’exactitude des données concernées. Dans le cadre dudit contrôle, le ministre peut exiger la production de tout document nécessaire à la vérification de l’exactitude du certificat concerné. Ainsi, la CNPD comprend que le contrôle opéré par le ministre ne s’effectue pas de manière systématique et qu'il est rendu possible grâce à un accès aux registres. À cet égard, il serait pertinent de clarifier dans quelle mesure cet accès est limité aux contrôles sommaires, ou le cas échéant s’il est conçu pour s'étendre au-delà des seuls contrôles prévus par l’article 27.4.2 du projet de loi. 2. Sur l’accès aux registres du cadastre 42. Il y a lieu d’attirer l'attention des auteurs du projet de loi sur le fait qu’un projet de règlement grand-ducal concernant notamment la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référence de coordonnées nationaux gérés par l'Administration du cadastre et de la topographie a été déposé et a vocation à abroger et remplacer le règlement grand-ducal du 10 août 2018 portant fixation des conditions et modalités de consultation et de délivrance de la documentation cadastrale, topographique, cartographique et géodésique gérée par l’administration du cadastre et de la topographie portant fixation du tarif des taxes à percevoir au profit de l'État pour les travaux de bureau et de terrain exécutés par l'administration du cadastre et de la topographie. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l’électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 11/20 Les articles 5 et 6 dudit projet de règlement grand-ducal entendent encadrer : la consultation et délivrance des extraits de la documentation relative à la tenue à jour du registre foncier et de la documentation relative à la tenue à jour du plan cadastral ; et l’accès en ligne d’une partie ou l’intégralité du registre foncier. Ainsi, il convient de se demander à quels registres de l’administration du cadastre et de 43. la topographie, le ministre pourrait avoir accès. Afin de s’assurer que les dispositions du projet de loi sous avis et celles du projet de règlement grand-ducal précité, s’articulent correctement, les auteurs du projet de loi devraient préciser expressément les registres auxquels le ministre pourrait avoir accès. 3. Sur l’accès au RNPP et au RCS Le projet de loi accorde au ministre le pouvoir de consulter le registre national des 44. personnes physiques (ci-après le « RNPP ») ainsi que le registre de commerce et de sociétés (ci-après le « RCS »). Ainsi, il résulte de l’article 27.5 du projet de loi que le ministre peut accéder aux données des registres précités afin de vérifier certaines données prévues par le projet de loi et d’établir des sources authentiques pour identifier les propriétaires et les résidents des bâtiments concernés, ainsi que les personnes habilitées. Il convient de regretter que les auteurs du projet de loi ne détaillent pas davantage les 45. raisons pour lesquelles il serait nécessaire de consulter de telles données pour les finalités énumérées par les dispositions du projet de loi sous avis. La CNPD s’interroge plus particulièrement sur la nécessité de vérifier l'identification des résidents des bâtiments faisant l’objet des certificats de performance énergétique. En outre, l'accès au RNPP devrait s'effectuer conformément à la procédure prévue par 46. l'article 10 de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques ainsi que les articles 5 à 7 du règlement grand-ducal du 28 novembre 2013 fixant les modalités d’application de la loi précitée. Dès lors, la CNPD estime que cette disposition du projet de loi pourrait être omise sinon reformulée afin d'être alignée sur le cadre légal en vigueur. F. Quant à l’accès au registre des certificats de performance énergétique authentifiés La Commission nationale constate que l’article 27.7 du projet de loi prévoit un accès au 47. registre des certificats de performance énergétique authentifiés pour certaines catégories de CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l’organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l’organisation du marché du gaz nature 12/20 personnes, notamment les « personnes habilitées », ainsi que les propriétaires et résidents des bâtiments concernés. 48. Plus précisément, il résulte de l’article 27.7.1° que les personnes habilitées à établir le calcul de performance énergétique et le certificat de performance énergétique peuvent importer, consulter et exporter les données et les documents du registre. À la lecture de ladite disposition, il n’est pas clair s’il s’agit seulement des données et documents que les personnes habilitées ont établies elles-mêmes ou toutes les données et documents figurant dans le registre. 49. Il conviendrait de veiller à ce que seules les personnes dûment autorisées puissent consulter et exporter les données strictement nécessaires à la réalisation des finalités définies par le projet de loi. Cependant, la CNPD relève que les finalités exactes pour lesquelles ces données seraient consultées ne ressortent pas avec suffisamment de clarté du projet de loi. Il serait donc pertinent de clarifier ces finalités afin d'assurer que l'accès aux données soit justifié. 50. En effet, la création du registre des certificats de performance énergétique et l'accès audit registre constituent une ingérence dans le droit à la vie privée et à la protection des données personnelles. En vertu du principe de proportionnalité consacré notamment par l'article 52.1 de la Charte des droits fondamentaux de l'Union européenne, une telle ingérence doit être limitée au strict nécessaire8. 51. En outre, il y a lieu de rappeler l’importance des mesures de sécurité afin de prévenir des accès non-autorisés aux données. Sur ce point, il est renvoyé au titre IV du présent avis. III. Le cadastre de chaleur A. Remarques liminaires 52. Le projet de loi prévoit également la création d’un nouveau registre intitulé « cadastre de chaleur » dont l'objectif est de centraliser les données provenant de diverses sources en lien direct avec l’évolution de la consommation de chaleur des immeubles bâtis pour l’ensemble du territoire national. Ces données sont destinées à être affichées dans une application cartographique. À cet égard, la collecte et le traitement de certaines données à caractère personnel, telles que celles relatives à la consommation énergétique et à la performance énergétique des bâtiments, s’avèrent nécessaires. 53. L'article 28.2.1° dispose que le registre de chaleur a notamment pour finalité de servir comme « outil aux communes sous forme de répertoire cartographique ». En ce sens, la CNPD comprend que l’objectif principal de ce registre est d'organiser et de structurer les données 8 V. notamment CJUE, arrêt du 22 novembre 2022, WM et Sovim SA contre Luxembourg Business Registers, affaires jointes C-37/20 et C-601/20, points 63 à 65. CNPD Avis de la Commission nationale pour la protection des données u>— relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 13/20 relatives à la consommation et à la performance énergétique des bâtiments afin de les visualiser de manière claire et intuitive dans une application cartographique. En vue d’améliorer la lisibilité du texte sou avis, la Commission nationale recommande aux auteurs du projet de loi de créer un article distinct dédié spécifiquement aux dispositions relatives à la représentation cartographique. Cette modification permettrait de mieux distinguer le traitement des données concernant la collecte des données de ceux concernant la visualisation desdites informations. B. Quant au responsable du traitement Selon l’article 28.1 du projet de loi « [i]l est créé, dans le respect des exigences de la 54. législation en matière de protection de données et de la vie privée un registre dénommé « cadastre de chaleur » qui est déployé par un organisme désigné par le ministre qui assure le rôle de responsable de traitement visé par l’article 4, point 7, du [RGPD]. ». Au vu de l'importance 9 de la notion du responsable du traitement dans l’application du RGPD , cette disposition soulève plusieurs interrogations. En effet, il ne ressort pas clairement des dispositions sous avis, quelle entité est à qualifier 55. de responsable du traitement. S’agit-il de l’organisme désigné par le ministre ou du ministre luimême ? Cela devrait être formulé sans ambiguïté dans le texte du projet de loi. Par ailleurs, si l’organisme traite les données personnelles pour ses propres finalités ou conserve ces données pour le compte du ministre, alors il s’agirait d’une sous-traitance. La notion de sous-traitant est définie par l'article 4.8) du RGPD comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement». Dans ce cas, l’établissement d’un contrat de sous-traitance, répondant aux critères de l'article 28 du RGPD, s'avère nécessaire. En outre, il y a lieu de s’interroger sur le fait que cet organisme soit un acteur public ou 56. une entreprise privée. En effet, confier la gestion d’un registre national dans l’intérêt public et le traitement de données y relatif par une loi à une entreprise privée serait contestable. Pour une meilleure compréhension du texte sous avis et afin de respecter le principe de prévisibilité auquel 10 doit répondre tout texte légal ou règlementaire , la CNPD estime indispensable de clarifier à la lumière des développements précédents le rôle et la qualité de l’entité en charge du déploiement du registre. 9 V. point 18 du présent avis. En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre 2015. 10 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 14/20 57. La CNPD relève que, dans le cas où un acteur privé aurait accès à un registre public et à des données de consommation, il est nécessaire de préciser de manière explicite que toute réutilisation de ces données à des fins commerciales soit interdite. 58. La CNPD souligne que l’article L.126-32 du code de la construction et de l'habitation français précité 11 prévoit explicitement que « [l]es informations ne peuvent pas être utilisées à des fins commerciales. » Elle invite ainsi les auteurs du projet de loi luxembourgeois à s'inspirer de cette disposition, afin d'éviter toute exploitation commerciale. 59. Par ailleurs, en ce qui concerne les dispositions des paragraphes 2 et 3 de l'article 28.6 du projet de loi 12 , il convient de réitérer les observations formulées au point 21 du présent avis. Dès lors, l’article 28.6 du projet de loi ne devrait pas exclure la responsabilité du ministre quant à l'exactitude et l’exhaustivité des données importées dans le registre. 60. En outre, il y a lieu de préciser que les responsables du traitement qui importent des données à caractère personnel dans le registre sont tenus de garantir la véracité et l’exactitude de ces données. Conformément au principe d'exactitude prévu à l’article 5.1
- d)du RGPD, ils doivent veiller à ce que les données personnelles soient non seulement exactes, mais également, le cas échéant, mises à jour. Cette disposition impose également aux responsables du traitement de prendre toutes les mesures raisonnables afin que les données inexactes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder. C. Quant aux catégories de données 61. L’article 28.3 dispose que : « [l]e registre visé au paragraphe 1er comprend, outre les données publiquement accessibles, les données suivantes : 1° les données contenues dans le calcul de performance énergétique et le certificat de performance énergétique authentifiés telles que visées à l’article 27, paragraphe 3, point 2°, hormis les noms et prénoms des propriétaires ; 2° le nombre d’unités contenues dans un bâtiment ; 3° les données relatives aux demandes d’aides financières pour l’assainissement énergétique et les installations techniques valorisant les sources d’énergie renouvelables 11 12 V. point 36 du présent avis. L'article 28.6 dispose que « [l]e responsable de traitement] n'est responsable que de la sécurisation et du traitement des données dans le registre et de la visualisation de l’historique des traitements des usagers dans le répertoire cadastral. Il n'est pas responsable de l’exactitude et de l'exhaustivité des données importées à partir des bases de données visées au paragraphe 4 ou éditées par les usagers conformément au paragraphe 5 ». " CNPD -J Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l’organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 15/20 telles que visées par la loi modifiée du 23 décembre 2016 instituant un régime d'aide pour la promotion de la durabilité, de l’utilisation rationnelle de l'énergie et des énergies renouvelables dans le domaine du logement concernant le nombre, type et taille des installations, l'année de dépôt de la demande, les coordonnées du demandeur, le type de bâtiment et les indications sur l'alimentation par un réseau de chaleur ; 4° les données relatives au statut de raccordement d'une parcelle cadastrale à un réseau de chaleur ainsi qu'à la production ou la consommation d'énergie thermique des points de raccordement ; 5° les données relatives à la consommation de gaz naturel d’un point de raccordement. » S’il convient de saluer l'énumération des catégories de données qui seraient collectées, il y a lieu de relever, que le principe de minimisation des données devrait être respecté, de sorte que seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités 13 soient traitées . De ce fait, la Commission nationale s'interroge particulièrement sur la nécessité d’intégrer les données relatives aux demandes d'aides financières (3°). De plus, il y a lieu de constater que le registre comprend notamment des données liées à 62. la consommation en énergie des bâtiments et souligne que ces données sont susceptibles de fournir un aperçu extrêmement détaillé des habitudes des individus. À cet égard, il serait opportun de diminuer la granularité des données, c'est-à-dire de rendre les informations intégrées dans le cadastre plus générales, afin d'exclure tout risque de réidentification des personnes concernées. Par ailleurs, il y a lieu de regretter que les catégories de données visées par le point 1° 63. de la disposition précitée ne soient pas précisées. Il est indiqué qu’un projet de règlement grandducal préciserait les données contenues dans le calcul de performance énergétique et le certificat de performance énergétique authentifiés et la CNPD regrette qu’un tel projet de règlement grandducal n’ait pas été transmis en même temps que le projet de loi. D. Quant aux finalités Il y a lieu de relever que l’article 28.2 du projet de loi énumère les finalités du cadastre de 64. chaleur qui sont les suivants : « 1° de servir d'outil aux communes sous forme de répertoire cartographique dans le cadre de la mise en œuvre des mesures du catalogue du Pacte Climat concernant la planification communale en faveur de l'énergie et du climat en permettant :
- a)d'identifier les sources et réseaux de chaleur et de froid existants sur le territoire communal ; 13 Article 5.1 c j d u R G P D . CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l’organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 16/20
- b)d’identifier et de calculer les besoins en chaleur et de froid des bâtiments sur le territoire communal ;
- c)de déterminer les zones favorables à l'utilisation d’énergies renouvelables ou de la chaleur et de froid fatals compte tenu de la disponibilité des différentes sources d’énergie ou de chaleur, de l’efficacité énergétique, de l'efficacité et de la durabilité des réseaux de chaleur et de froid ;
- d)de quantifier les potentiels de chaleur et de froid fatals et d'énergies renouvelables utilisables ainsi que les potentiels d'efficacité énergétique ;
- e)d’établir des bilans énergétiques et la stratégie communale au niveau énergétique et climatique ; 2° d’assurer la conservation des données à des fins archivistiques, à des fins de recherche scientifique ou historique ou à des fins statistiques ; 3° de permettre l’élaboration et la mise à disposition de statistiques et de données agrégées et anonymisées à des fins d’information, de transparence et de recherche. » Il convient de rappeler que conformément au principe de limitation des finalités 14, les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne doivent pas, en principe, être traitées pour des finalités « incompatibles » avec ces finalités d’origine. 65. Il ressort de l’article 28.2 du projet de loi que le cadastre de la chaleur ait pour finalité d’« assurer la conservation des données à des fins archivistiques, à des fins de recherche scientifique ou historique ou à des fins statistiques ». En ce qui concerne les traitements à des fins statistiques et scientifiques, il est renvoyé aux développements formulés aux points 33 et suivants du présent avis. E. Quant à l’accès au registre « cadastre de chaleur » 66. L’article 28.5 dispose qu’: « ont accès au répertoire cadastral visé au paragraphe 2, point 1°, des agents communaux individuellement désignés par leur bourgmestre en vue de l’exécution des missions visées au point 1° précité ainsi que des agents publics, nommément désignés par le ministre en fonction de leurs attributions, dans l’exercice de leurs attributions sous l’autorité du ministre. Les usagers visés à l’alinéa 1er ont accès au répertoire cadastral via un accès individuel et sécurisé leur permettant de visualiser et d’éditer les informations concernant le territoire de leur commune. Le répertoire archive les traitements opérés sous forme d'historique visualisant de manière transparente les traitements opérés par les différents usagers. » 14 Article 5.1
- b)du RGPD. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l’organisation du marché de l’électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 17/20 La CNPD note que le cadastre de chaleur ne sera pas accessible au public et que seuls 67. les agents des administrations communales ou du ministère pourront y accéder dans le cadre de leurs missions. Au-delà, les usagers, désignés comme tels par les auteurs du projet de loi, pourront accéder au répertoire cadastral via un accès individuel et sécurisé afin de visualiser et d'éditer les informations concernant le territoire de leur commune. Le paragraphe 2 de l’article 28.5 du projet de loi dispose que « [...] Le répertoire archive 68. les traitements opérés sous forme d'historique visualisant de manière transparente les traitements opérés par les différents usagers. ». La Commission nationale comprend qu’il s’agit d’une journalisation des accès (registre des logs) afin de pouvoir garantir la traçabilité des accès. Il y a lieu de souligner que la journalisation des accès est soumise comme toutes les données à 15 caractère personnel à une durée de conservation . Ainsi, il est recommandé aux auteurs du projet de loi d’éviter l’utilisation du terme « archive », car celui-ci pourrait prêter à confusion. À cet égard, il est renvoyé aux développements formulés sous le point 76 du présent avis. IV. Les mesures de sécurité Conformément à l'article 5.1
- f)du RGPD les données à caractère personnel doivent être 69. « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». L’article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant 70. mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. Il y a lieu de rappeler qu’il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début la personne ou le service, au sein de chaque entité concernée, et à quelles données précises cette personne ou ce service aurait accès. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, 71. la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l’objet d’une procédure de contrôle. La CNPD souligne aussi l'importance d'effectuer proactivement des contrôles en interne. À cet effet, il convient conformément à l’article 32.1
- d)du 15 V. point 70 du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 18/20 RGPD de mettre en œuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». 72. La mise en œuvre de ces mesures devrait tenir compte des spécificités de chacun des accès envisagés par le projet de loi. En effet, les personnes habilitées importent via une plateforme gouvernementale sécurisée qui requiert une authentification forte les données requises dans le registre des certificats de performance énergétique. En ce qui concerne le cadastre de chaleur, les agents communaux individuellement désignées par le bourgmestre ainsi que des agents publics désignés par le ministre et les usagers ont accès au répertoire cadastral via un accès individuel et sécurisé. 73. Par ailleurs, dans le cadre des différents accès envisagés par le projet de loi, le principe de minimisation devrait être respecté, de sorte que seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles seraient traitées soient communiquées. V. Les durées de conservation 74. Conformément l’article 5.1
- e)du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Or, le projet de loi sous avis ne comporte pas de disposition fixant la durée de conservation des données traitées. 75. En effet, l’article 22.1 du projet de loi dispose qu’« un certificat de performance énergétique a une validité de dix ans à partir de la date de son authentification. ». De plus, l'article 24.1 du projet de loi prévoit que « les personnes visées à l’article 21, paragraphe 3, assurent un archivage d’au moins dix ans des calculs de performance énergétique et des certificats de performance énergétique qu’ils ont établis pour un bâtiment donné. ». La Commission nationale comprend qu’une durée de conservation d'« au moins dix ans » implique que cette durée minimale pourrait être prolongée et souligne qu’une telle formulation est contraire à l’article 5.1
- e)du RGPD. Il est recommandé aux auteurs du projet de loi de prévoir une durée de conservation précise. Par ailleurs, en l'absence de précisions des auteurs du projet de loi quant à la nécessité d'une conservation de dix ans, la Commission nationale n’est pas en mesure d'apprécier si, en l’occurrence, le principe de durée de conservation limitée des données serait respecté et invite les auteurs du projet de loi à fournir des précisions à cet égard. 76. Finalement, la CNPD attire l’attention des auteurs du projet de loi sur l’importance de distinguer entre la durée de conservation des données et leur archivage, deux concepts distincts dans le « cycle de vie » des données personnelles. La durée de conservation correspond à la CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de l'électricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 19/20 durée nécessaire à la réalisation de l’objectif ayant justifié la collecte et l’enregistrement des données personnelles. En revanche, l'archivage intervient après que l’objectif du traitement des données a été atteint et lorsque ces données présentent encore un intérêt administratif pour l'organisme (par exemple, pour la gestion d'un éventuel contentieux) ou doivent être conservées 16 pour répondre à une obligation légale . Ainsi adopté à Belvaux en date du 15 novembre 2024. La Commission nationale pour la protection des données , Tine A. Larsen Présidente Thierry Lallemang Commissaire Alain Herrmann Commissaire 16 V. Guide pratique de la CNIL « Guide pratique sur les durées de conservation », Version juillet 2020, disponible sous : https://www.cnil.fr/sites/cnil/files/atoms/files/quide durees de conservation.pdf, p.4. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8317 relative à la transition énergétique et modifiant : 1° la loi modifiée du 1er août 2007 relative à l'organisation du marché de rélectricité ; et 2° la loi modifiée du 1er août 2007 relative à l'organisation du marché du gaz nature 20/20