Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8168 portant modification de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques. Deliberation n°27/AV14/2023 du 31 mars 2023 a
- Conformement !'article 57.1.c) du reglement (UE) 2016/679 du Parlement europeen et du Conseil du 27 avril 2016 relatif la protection des personnes physiques l'egard du traitement des donnees a caractere personnel et a la libre circulation de ces donnees, et abrogeant la directive 95/46/CE (reglement general sur la protection des donnees) (ci-apres le« RGPD »), auquel se refere !'article 7 de la loi du 18 ' aoQt 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees, la Commission nationale pour la protection des donnees (ci-apres la« Commission nationale » ou la « CNPD ») « conseille, conformement au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives a la protection des droits et libertes des personnes physiques a l'egard du traitement ». a a Par ailleurs, !'article 36.4 du RGPD dispose que « [/Jes Etats membres consultent l'autorite de controle dans le cadre de /'elaboration d'une proposition de mesure legislative devant etre adoptee par un parlement national, ou d'une mesure reglementaire fondee sur une telle mesure legislative, qui se rapporte au traitement. »
- Par courrier du 28 fevrier 2023, Monsieur le Ministre delegue a la Digitalisation a invite la Commission nationale se prononcer sur le projet de loi n° 8168 portant modification de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques ( ci-apres le « projet de loi »). a
- Selon i'expose des motifs, le projet de loi « vise a modifier la Joi modifiee du 19 juin 2013 relative /'identification des personnes physiques en y inserant deux nouveaux articles. L 'article 2bis se veut d'introduire une base legate pour la mise en place, par l'Etat, d'une application mobile de portefeuille numerique personnel afin de permettre aux usagers de creer et de detenir des attestations numeriques officielles. Le portefeuille numerique personnel est une application mobile etatique, telechargeable gratuitement par des appareils mobiles. L 'article 15bis vise a creer une equivalence entre la presentation d'une attestation numerique de la carte d'identite, via cette meme application de portefeuille numerique personnel, et la presentation de la carte d'identite physique [. ..]. » a Avis de la Commission nationale pour la protection des donnees relatif au projet de lei n°8168 portant modification de la lei modifiee du 19 juin 2013 relative !'identification des personnes physiques. a 1/4
- En date du 21 novembre 2022, la CNPD avait deja avise le projet de reglement grandducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif a la carte d'identite, ou elle avait regrette que « /'application de base qui constituera le portefeuifle numerique personnel n'est pas regfementee par ce projet » et elle y avait estime que « cette equivalence juridique [entre la presentation d'une attestation electronique de fa carte d'identite et la carte d'identite physique] devrait figurer dans le corps du texte dudit article 15 de la loi modifiee du 19 juin 2013 relative a /'identification des personnes physiques et non pas dans le reglement grand-ducal modifie du 18 juin 2014 relatif a la carte d'identite. »1 Elle constate des lors avec satisfaction que ses observations susmentionnees ont ete prises en compte dans le cadre de ce projet de loi.
- Par ailleurs, la majorite de ses recommandations formulees dans son avis precite du 21 novembre 2022 ont ete suivies par les auteurs du projet de loi sous examen. Le projet de loi fait notamment une difference entre !'application du portefeuille numerique personnel definie au deuxieme paragraphe de !'article 2bis que !'article 1er du projet de loi vise a inserer a la suite de !'article 2 de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques, d'une part, et !'application de lecture permettant de lire !'attestation numerique de la carte d'identite et de verifier l'identite du titulaire de la carte d'identite (ci-apres « !'application de lecture»), comme mentionne au paragraphe
(4)de !'article 15bis nouveau que !'article 1°' du projet de loi vise a inserer a la suite de I' article 15 de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques du projet de loi (ci-apres « !'article 15bis nouveau »), d'autre part. Neanmoins, quelques points dudit projet soulevent encore des questions ayant trait a la protection des donnees a caractere personnel que la CNPD abordera dans le present avis. 6. Tout d'abord, !'article 15bis nouveau enumere dans son paragraphe
(2)les donnees a caractere personnel qui seront integrees dans !'attestation numerique de la carte d'identite, c'esta-dire le nom et, sur demande du titulaire, le nom du conjoint vivant ou predecede, le prenom ou les deux ou trois premiers prenoms, la nationalite, la date de naissance, le sexe, la date de debut et de fin de validite de la carte, la denomination et le numero de carte et !'image faciale non codifiee du titulaire. 2 7. La CNPD constate dans ce contexte que d'apres ledit paragraphe
(2), !'ensemble des donnees precitees « ou, le cas echeant, certaines d'entre el/es» seront inserees dans !'attestation numerique de la carte d'identite sur initiative du titulaire de la carte d'identite. Elle estime dans ce contexte, au vu du principe de minimisation des donnees 3 , uniquement les 1 Deliberation n°55/AV27/2022 du 21 novembre 2022, point 13. 2 Par reference a !'article 12, paragraphe 2, alinea 1er, points
- a)a
- e)et
- g)ah), et a l'alinea 3, point
- e)du meme article de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques. a caractere personnel doivent etre « adequates, pertinentes a ce qui est necessaire au regard des finalites pour lesquelles el/es sont traitees "· 3 Voir !'article 5.1.
- c)du RGPD exigeant que les donnees et limitees Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8168 portant modification de la loi modifiee du 19 juin 2013 relative !'identification des personnes physiques. a 2/4 a donnees necessaires doivent etre transmises I' Etat en vue de la creation de !'attestation numerique de la carte d'identite et etre integrees par la suite dans cette attestation afin de permettre au titulaire de prouver son identite. En d'autres termes, si l'integralite des donnees susmentionnees est necessaire afin de poursuivre les finalites precitees, toutes ces donnees doivent des lors figurer sur chaque attestation numerique et les mots « ou, le cas echeant, certaines d'entre el/es )) seraient supprimer. Si, par contre, uniquement certaines des donnees sont necessaires dans ce contexte, la liste des donnees au paragraphe
(2)serait modifier en ce sens. a a
- Ensuite, la CNPD constate que dans l'expose des motifs, les auteurs du projet de loi ont repondu a une des questions qu'elle s'etait posee dans son avis du 21 novembre 2022 precite, a savoir si « /edit titulaire pourrait aussi prouver son identite par une telle attestation numerique a d'autres acteurs publics ou prives que la Police grand-ducale )). 4 II yest indique ce qui suit : « Le present projet de loi prevoyait initialement de reserver le pouvoir de verifier f'identite par la lecture de /'attestation numerique de la carte d'identite aux seuls agent de police. Or, au fur et mesure des discussions, ii a ete decide de f'etendre toute situation dans /aquelle une personne peut etre amenee prouver son identite ou son age. Ainsi, tors d'une verification d'identite, la personne en charge de la verification utilisera son smartphone dote de /'application mobile en question, capable de lire /es informations contenues par /'identifiant numerique sans qu'elle n'ait besoin de se faire remettre physiquement le telephone de /'usager. )) a a a
- Par ailleurs, le commentaire du paragraphe
(3)de !'article 15bis nouveau mentionne que « PJ'agent de police auquel /'attestation numerique est presentee, pourra comparer et verifier /es donnees affichees par l'identifiant numerique avec eel/es contenues dans /es banques de donnees du registre national des personnes physiques et des permis de conduire. )) a a
- II en ressort que les agents de police procederont un traitement de donnees caractere personnel en lisant les informations contenues dans !'attestation numerique et en comparant les donnees affichees par l'identifiant numerique avec celles contenues dans le registre national des personnes physiques (RNPP). Elle estime des lors necessaire de reiterer que la loi du 1"' aout 2018 relative la protection des personnes physiques l'egard du traitement des donnees caractere personnel en matiere penale ainsi qu'en matiere de securite nationale s'applique aux traitements de donnees a caractere personnel par la Police grand-ducale dans !'execution de ses missions de prevention et de detection des infractions penales, d'enquetes et de poursuites en la matiere ou d'execution de sanctions penales y compris la protection contre les menaces pour la securite publique et la prevention de celles-ci. 5 D'autant plus, ladite loi s'applique egalement aux a 4 a a Voir Deliberation n°55/AV27/2022 du 21 novembre 2022, point
- 5 Loi du 1er ao0t 2018 relative au traitemenl des donnees a caractere personnel en matiere penale et securite nationale, article 1er paragraphe 1er_ Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8168 portant modification de la loi modifiee du 19 juin 2013 relative !'identification des personnes physiques. a 3/4 a traitements effectues par la Police grand-ducale dans !'execution de missions des fins autres que celles mentionnees a la phrase precedente et prevues par des lois speciales. 6
- Le controle d'identite par la Police grand-ducale7 a travers !'application de lecture devra des lors respecter les dispositions de la loi precitee.
- Par ailleurs, alors que !'application de lecture pourra etre telechargee librement et utilisee par toute personne en charge de la verification d'identite, la CNPD se demande si un traitement de donnees a caractere personnel aura lieu atravers !'utilisation de cette application par celui qui serait en charge de la verification d'identite (par exemple l'exploitant d'un etablissement qui voudrait verifier si une personne est mineure d'age ou non). Est-ce que, par exemple, !'application enregistre temporairement Jes donnees caractere personnel qu'elle vient de lire sur !'attestation numerique? A titre de comparaison, la CNPD avail estime que le « scan d'un code QR moyennant /'application CovidCheck.lu renseigne certaines donnees personnel/es de la personne concernee, a savoir son nom et prenom ainsi que si elle est en possession ou non d'un certificat valable [. ..]. Ces donnees etant collectees temporairement et localement sur un smartphone, cette operation constitue un traitement de donnees caractere personnel au sens /'article 4 paragraphe 2 du reglement general sur la protection des donnees (RGPD). Ce/a signifie que /es principes et obligations du RGPD doivent etre respectes /ors de la mise en place du systeme CovidCheck. » 8 a a Sans precisions supplementaires par les auteurs du projet de Joi dans le commentaire des articles, la CNPD ne peut pas se prononcer a ce sujet. Ainsi adopte a Belvaux en date du 31 mars
- La Commission nationale pour la protection des donnees ( \ ~.,~ Tine't". ~ Presidente \ ~~ Thierry Lallemang Commissaire Marc Lemmer Commissaire ,c- Alain Herrmann Commissaire 6 Ibidem, article 1"' paragraphe
- a). 7 Voir aussi !'article 5 de la loi modifiee du 18 juillet 2018 sur la Police grand-ducale. 8 FAQ SUR LA PROTECTION DES DONNE.ES ET LE COVIDCHECK, disponibles sur le site de la CNPD, mais cette partie du site n'est plus actuelle, car le CovidCheck n'est plus applicable. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n"8168 portant modification de la loi modifiee du 19 juin 2013 relative !'identification des personnes physiques. a 4/4