Avis de de la la Commission nationale pour pour la la protection des des données données relatif au projet de de loi loi

Avis de de la la Commission nationale pour pour la la protection des des données données relatif au projet de de loi loi n°8180 fixant les conditions conditions relatives relatives à à l’organisation l'organisation des des transports sanitaires terrestres non urgents urgents Délibération n°8/AV3/2024 du du 23 23 février février 2024 Délibération 1. Conformément 1. Conformémentàà l’article l'article 57.1.

1. c)57. 1.
2. e)du du règlement règlement(UE) (UE) 2016/679 2016/679 du du Parlement Parlement européen européen et du du Conseil du du 27 27 avril 2016 2016 relatif relatif àà la la protection des des personnes physiques àà l'égard l'égard du du traitement traitement des des données données àà caractère caractère personnel personnel et et àà la la libre libre circulation circulation de de ces ces données, données, et et abrogeant abrogeant la directive directive 95/46/CE 95/46/CE (règlement (règlement général généralsur sur la la protection protection des des données) données) (ci-après (ci-après le le « RGPD RGPD »), er auquel août auquel se se réfère réfère l'article l'article 7 de de la la loi loi du du 11er août 2018 2018 portant portant organisation organisation de de la la Commission nationale nationalepour pour la la protection protection des des données donnéeset et du du régime régimegénéral généralsur sur la la protection protection des des données, données, la Commission Commission nationale nationale pour pour la la protection protection des des données données(ci-après (ci-aprèsla la « Commission Commission nationale nationale »» ou la la « CNPD CNPD ») ») «« conseille, conseille, conformément au au droit droit de de l'État l'État membre, le le parlement national, le gouvernement et d'autres institutions et organismes au sujet des gouvernement et d'autres institutions et organismes au sujet des mesures mesures législatives législatives et administratives administrativesrelatives relatives àà la la protection protection des des droits droits et et libertés libertésdes des personnes personnes physiques physiques àà l'égard l'égard du traitement ». du traitement L’article L'article 36.4 du du RGPD RGPDdispose disposeque que « [l]es [l]es États Etats membres membres consultent consultentl'autorité l'autoritéde de contrôle contrôledans le le cadre cadre de de l'élaboration l'élaboration d'une d'une proposition proposition de de mesure mesure législative législative devant devant être être adoptée adoptée par par un parlement parlement national, national, ou ou d'une d'une mesure mesure réglementaire réglementaire fondée fondéesur sur une une telle telle mesure mesure législative, législative, qui se se rapporte rapporte au au traitement. » 2. Par 2. Parcourrier courrierreçu reçu le le 22 22 mars mars 2023, 2023, Madame Madamela la Ministre Ministrede de la la Santé Santéa invité invitéla la Commission nationale nationale à à se se prononcer sur sur le le projet projet de de loi loi n°8180 n°8180 fixant fixant les les conditions relatives à à l'organisation l'organisation des transports sanitaires terrestres non urgents (ci-après le « projet de loi »). des transports sanitaires terrestres non urgents (ci-après le projet de loi »). 3. Selon 3. Selon l'exposé l'exposé des des motifs, motifs, l'objectif l'objectifprincipal principal du du projet projet de de loi loi est est d'établir d'établirun un cadre cadre légal pour pour les les entreprises prestataires de de services de de transports sanitaires terrestres non urgents, urgents, en dehors e cadre dehorsdes des missions missionsdévolues dévoluesau au Corps Corpsgrand-ducal grand-ducald'incendie d'incendieet et de desecours secours(CGDIS). (CGDIS).C Ce vise vise àà définir définirdes des normes normes minimales minimales en en matière matière d'équipement d'équipementet et d'hygiène d'hygiènedes des véhicules, véhicules, ainsi que que les les formations formations nécessaires nécessairesdu du personnel. personnel. À A cette cette fin, fin, la la loi loi en en projet projet envisage envisage le le traitement de de données donnéespersonnelles, personnelles, notamment notamment dans dansle le cadre cadre de de la la délivrance délivranced'agréments, d'agréments,de de la la création d'un d'un registre registre national national contenant contenantdes des données donnéesàà caractère caractèrepersonnel, personnel, ou ou encore encore de de la la vérification de de l'honorabilité l'honorabilité des des membres membres de de l'équipage. l'équipage. 4. LLe e présent 4. présent avis avis se se concentrera concentrera sur sur les les questions questions liées liées àà la la protection protection des des données données qui sont sont soulevées soulevéespar par le le projet projet de de loi. ’ CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatifau au projet projet de de loi loi n°8180 n°8180fixant fixantles les conditions conditionsrelatives relatives àà l’organisation l'organisationdes des transports sanitaires terrestres terrestres non urgents urgents 1/7 1/7 I.l. Sur l’agrément l'aarément délivré délivré par par le ministre ayant la la Santé dans ses attributions attributions Sur 5. L'article 3 du du projet projet de de loi loi a pour pour objectif objectif de de préciser préciser que que quiconque souhaitant exercer 5. L'article l'activité de de transport sanitaire sanitaire terrestre, que que cce soit àà titre titre principal ou ou accessoire, doit l'activité e soit obligatoirement détenir n agrément détenir uun agrément délivré délivré par par le le ministre ministre ayant ayant la la Santé Santé dans dans ses ses attributions attributions (ci-après (ci-après le le « ministre ministre »). »). L'article L'article 4 soumet soumet la la délivrance délivrance de de l’agrément l'agrément àà deux deux conditions à savoir, d’une d'une part, part, celle celle de de disposer disposer d’une d'une autorisation d’établissement d'établissement et, d’autre d'autre cumulatives, à celle de de disposer disposer des des installations matérielles matérielles et et techniques prévues prévues àà l’article l'article 12 12 du du projet projet part, celle loi. de loi. 6. L'article 5 du du projet projet de de loi loi sous sous avis avis énumère énumère les les informations informations devant devant figurer figurer dans dans la la 6. L'article demande d'agrément d'agrément adressée adressée aau ministre, parmi lesquelles se trouvent des données à caractère u se des données à personnel. Ainsi, ressort du du paragraphe paragraphe premier, premier, point point 1, 1, dde l'article précité précitéque que la la demande personnel. Ainsi, ilil ressort e l’article d’agrément u s’il d'agrément doit doit indiquer indiquer « [...] [... ] les les noms, prénoms, profession et et domicile domicile du du demandeur, oou s'il s'agit s'agit d'une d'une personne morale, la la dénomination dénomination ou ou la la raison raison sociale, la la forme forme de de la la personne personne et son son siège siège social, ainsi ainsi que que les les noms, noms, prénoms, profession et et domicile domicile des des directeurs, directeurs, morale et gérants gérantsou ou administrateurs. » Selon Selon le le point point 2, 2, la la demande demanded’agrément d'agrémentdoit doitêtre être accompagnée accompagnéed'une d'une attestation attestation signée signéepar par la personne physique ou ou morale morale qui qui se se propose d'exercer d'exercer l'activité t'activité de de transport sanitaire sanitaire terrestre, terrestre, sans e cette attestation soit sans que que l’objet l'objet dde soit toutefois défini. En outre, le le projet projet de de loi loi sous sous avis avis prévoit prévoit dans dans le le même même paragraphe, aau point 3, 3, que que les les En u point d'agrément en en question doivent «« comporter le(
3. s)le(
4. s)bulletin(
5. s)bulletin(
6. s)n° n° 33 et et 55 récents récents du du casier demandes d’agrément judiciaire datant judiciaire datant tous tous les les deux deux de de moins moins de de trois trois mois mois àà partir partir de de la la date date d’introduction d'introduction de de la la demande d’agrément d'agrément tant tant du du requérant requérant que que pour pour les les directeurs, gérants gérants et et administrateurs visés demande au au point point 1°. 1°. »» les dans quelle demande dans la CNPD CNPD se À mesure les des Métiers se demande Chambre des l'instar de de la la Chambre 7. Métiers1,1, la quelle mesure 7. À l'instar donnéespersonnelles personnelles énumérées énuméréesàà l'article l'article 55 du du projet projet de de loi loi seraient seraientpertinentes pertinentes afin afin d’évaluer d'évaluer données le respect respect des desconditions conditionsd’obtention d'obtention de del'agrément, l'agrément,énoncées énoncéesàà l'article l'article 4 du du même mêmeprojet. projet. Plus Plus le précisément, la la Commission nationale nationale s'interroge sur sur la la pertinence pertinence d’inclure, d'inclure, par par exemple, la précisément, profession et et le le domicile du du directeur, du du gérant gérant ou ou de de l’administrateur l'administrateur de de l’entreprise l'entreprise ainsi ainsi que d'examiner les les bulletins n°3 n°3 et et 5 du du casier casier judiciaire du du demandeur demandeur d’agrément d'agrément afin afin de de vérifier vérifier si d’examiner ce dernier dernier est est en en possession «« d’une d'une autorisation autorisation d'établissement d'établissement ou ou du du moins moins d’une d'une décision décision ddee ce principe principe au au sens sens de de l'article l'article 12, 12, paragraphe paragraphe 2, 2, de de la la loi loi modifiée modifiée du du 22 septembre septembre 2011 réglementant réglementant l’accès /'accès aux aux professions d'artisan, de de commerçant, commerçant, d’industriel d'industriel ainsi ainsi qu'à qu'à certaines 1 1 Cf. Cf. avis avis de de la la Chambre des des Métiers Métiers du du 26 26 mai mai 2023, doc.parl. doc. parl. n°818/01 n"818/01 (ci-après (ci-après l'« l'« avis avis de de la la Chambre Chambre des Métiers Métiers»), »), points points 1.1.2 1. 1.2 et et 2.2. 2. 2. CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données Avis relatif relatif au au projet de de loi loi n°8180 n°8180 fixant fixant les les conditions relatives à l’organisation l'organisation des des transports transports sanitaires terrestres terrestres non urgents urgents 2/7 professions libérales libérales pour pour le le métier métier secondaire de de loueur loueur d'ambulances »» et et s’il s'il dispose dispose des 2 «« installations installations matérielles et et techniques prévues prévues àà l’article l'article 12 12 ». ».2 8. Tel que relevé relevé dans dans l’avis l'avis de la Chambre de la Chambre des Métiers l'honorabilité des dirigeants 8. Tel Métiers3,3, l’honorabilité dirigeants est appréciée lors lors de de l'octroi dde l'autorisation d’établissement. d'établissement. La La Commission nationale nationale estime estime appréciée e l’autorisation également également que que les les données données personnelles requises et et plus plus spécifiquement celles liées liées àà la la personne du directeur, gérant ou administrateur dans le cadre de la demande d’agrément, ne du gérant ou dans le cadre de la demande d'agrément, semblent e minimisation semblent pas pas être être en en conformité conformitéavec avec le le principe principedde minimisationdes des données donnéesénoncé énoncéàà l'article 5.1.
7. c)5. 1.
8. e)du du RGPD RGPD selon lequel lequel les les données données àà caractère caractère personnel doivent doivent être être adéquates, adéquates, pertinente pertinente et et limitées limitées àà ce ce qui qui est est nécessaire nécessaire au au regard regard des des finalités finalitéspour pour lesquelles lesquelles elles elles sont traitées. traitées. II. II. Sur l’établissement ('établissement d’un d'un registre registre contenant contenant des des données donnéesàà caractère caractère personnel Sur la transmission transmission dudit registre au ministre compétent compétent et de la 9. LLa a loi 9. loi en en projet projet prévoit prévoit dans dans son son article article 10 10 «« qu’il qu'il est est établi établisous sous l’autorité l'autoritédu du ministre ministre un un registre registre qui qui contient contientdes desdonnées donnéesàà caractère caractèrepersonnel personnelet et qui quiaa pour pourfinalités finalitésla lagestion gestionet etle le suivi administratif, administratif, le le contrôle contrôle des des demandes demandes d'agrément, d'agrément, ainsi ainsi que que la la gestion gestion des des dossiers dossiers d'agréments d'agrémentset et des des agréments agrémentsaccordés accordés». ». La LaCommission Commissionnationale nationale se se félicite féliciteque que le le texte texte sous avis avis détermine détermine les les finalités finalités du du registre, conformément au au principe de de limitations limitations des des finalités consacré consacréàà l’article l'article 5.1.
9. b)5. 1.
10. b)du du RGPD, RGPD, ainsi ainsi que que le le responsable responsable du du traitement, traitement, àà savoir savoirle le ministre. ministre.44 10. LLe e deuxième 0 du e loi 10. deuxième paragraphe paragraphe de de l'article 110 du projet projet dde loi mentionne que que le le registre porte porte sur les données énumérées à l'article 5. La CNPD renvoie à ses observations sous les points sur les données énuméréesà l'article 5. La CNPD renvoie à ses observations sous les points 7 et e loi et 8 du du présent présent avis avis et et attire attire l’attention l'attention des des auteurs auteurs du du projet projet dde loi sur sur l’importance l'importance du du principe principe de minimisation des données en vertu duquel seules peuvent être traitées les données de minimisation des données en vertu duquel seules peuvent être traitées les nécessaires u regard nécessairesaau regard des des finalités finalitésénumérées énuméréesàà l'article l'article 10.1 10. 1 du du projet projet de de loi. 11. La 11. La CNPD CNPD se se pose pose également également la la question question de de savoir savoir si si les les informations informations concernant concernant le le certificat certificat d’immatriculation, d'immatriculation, le le certificat certificat de de contrôle contrôle technique du du véhicule véhicule sanitaire, ainsi ainsi que l’attestation t'attestation de de police police d’assurance d'assurance certifiant certifiant la la couverture couverture de de la la responsabilité responsabilité civile civile liée liée au véhicule u ministre véhicule sanitaire, sanitaire, dont dont la la transmission transmission par par la la SNCA SNCA aau ministre est est prévue prévue àà l’article l'article 11.4 11.4 du projet n effet, le projet de de loi, loi, font font également également l'objet l'objet d'un d'un enregistrement dans dans le le registre en en question. EEn texte e loi texte du du projet projet dde loi devrait devrait énumérer énumérer de de manière manière exhaustive exhaustive les les catégories catégories de de données données susceptibles susceptibles d’y d'y figurer, figurer, tout tout en en veillant veillant àà respecter respecter le le principe principe de de minimisation minimisationdes des données. 2 2 Cf. Cf. article 4 du du projet projet de de loi. loi. 3 3 Cf. Cf. avis avis de dela la Chambre Chambredes des Métiers, Métiers,point point2.2.a). 4 Cf. Cf. article article10.3 10.3 du duprojet projetde deloi. loi. 4 ’ CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatif au au projet projet de de loi loi n°8180 n"8180 fixant fixant les les conditions relatives à l’organisation l'organisation des des transports transports sanitaires terrestres terrestres non non urgents urgents 3/7r ô/ 12. de l’article l'article 110 du projet projet de de loi loi dispose dispose que que « [s]eules [s]eules les les personnes qui 12. LLe e paragraphe 4 de 0 du en ont ont besoin besoin dans dans l’exercice l'exercice de de leur leur fonction et et de de leurs leurs tâches tâches professionnelles professionnelles ont ont accès accès au au en registre registre», », ce ce qui qui est est conforme conformeau au principe principede de sécurité sécuritéet et de deconfidentialité confidentialitéconsacré consacréaux auxarticles 5. 1 .
11. f)et et 32 32 du du RGPD. RGPD. La LaCNPD CNPD regrette toutefois que que le le texte texte sous sous avis avis ne ne prévoit prévoitpas pas un un système système 5.1.
12. f)de journalisation des des accès accès qui qui permettrait de de contrôler contrôler le le respect de de ce ce principe. Sur Sur ce ce point, la la de Commission nationale nationale recommande recommande que que les les données données dde soient conservées Commission e journalisation journalisation soient pendant un un délai délai de de cinq cinq ans ans àà partir partir de de leur leur enregistrement, enregistrement, délai délai après après lequel elles elles sont pendant effacées,sauf sauflorsqu’elles lorsqu'elles font fontl'objet l'objet d'une d'une procédure procédurede de contrôle. effacées, 13. Par ailleurs, ailleurs, ilil ressort ressort du du paragraphe paragraphe 55 de de l’article l'article 10 10 que que « les /es données données traitées traitées sont sont 13. Par irrémédiablement irrémédiablement anonymisées anonymisées ou ou détruites détruites au au plus plus tard tard àà l'issue l'issue d’une d'une durée durée de de cinq cinq ans ans après la fin fin de de l’agrément l'agrémentou, ou, dans dans l’hypothèse l'hypothèse que que la la demande demande d’agrément d'agrémenta été étérefusée, refusée, après aprèsla la la décisiondde refus. »» La La Commission Commission nationale nationale note note favorablement favorablement que que le le projet projet dde loi détermine décision e refus. e loi la durée durée de de conservation conservation des des données données appelées appelées àà figurer figurer dans dans le le registre. registre. Néanmoins, Néanmoins, faute la d'explications dans dans le le commentaire de de l’article l'article quant quant àà la la nécessité nécessité de de conserver les les données pendantune une durée duréede decinq cinq ans ans après aprèsla la fin fin de de l’agrément l'agrémentou ou la la décision décisionde de refus, refus, elle elle n’est n'estpas pas pendant 5 en mesure mesure d’apprécier d'apprécier si si le le principe principe de de limitation de de la la conservation conservation5 est est en en l’espèce l'espèce respecté. respecté. en 14. L'article 14. L'article10.6 10.6 du du projet projet de deloi loi indique indiqueque que « [l’]accès [l']accèsdes desdonnées donnéesàà des destiers tiers ne ne peut peutavoir lieu lieu que que sous sous une une forme forme anonymisée anonymisée ». ». Concernant Concernant ce ce libellé, libellé, la la CNPD CNPD suppose que que les les auteurs auteurs ont plutôt plutôt voulu viser viser l'accès l'accès des des tiers tiers aux aux données données et et non non pas pas l’accès l'accès des des données données aux auxtiers. Par Par ont elle tient tient àà souligner souligner que que le le cadre cadre légal légal posé posé par par le le RGPD RGPD ne ne s'applique pas pas aux aux données ailleurs, elle voire anonymisées. Le Le considérant considérant