A-4088/24-25 CHFEP Doc. parl. n° 8395 Chambre des fonctionnaires et employés publics AVIS du 21 octobre 2024 sur le proj

A-4088/24-25 CHFEP Doc. parl. n° 8395 Chambre des fonctionnaires et employés publics AVIS du 21 octobre 2024 sur le projet de loi relatif à la valorisation des données dans un environnement de confiance et sur le projet de règlement grand-ducal relatif à la valorisation des données dans un environnement de confiance Par deux dépêches du 12 juin 2024, Madame la Ministre de la Digitalisation a demandé l’avis de la Chambre des fonctionnaires et employés publics sur les projets de loi et de règlement grand-ducal spécifiés à l’intitulé. Le projet de loi introduit plusieurs mesures dans le domaine de la gestion des données à caractère personnel par les entités publiques conformément aux règlements (UE) 2016/679 et 2022/868, à savoir, entre autres, la fixation des conditions et modalités de traitement, de réutilisation et de traitement ultérieur des données dans le cadre de l’exécution d’une mission d’intérêt public ainsi que la définition des autorités et acteurs publics compétents intervenant dans ce cadre et de leurs attributions. Le texte introduit par ailleurs dans ce contexte le principe « once only », selon lequel les administrés transmettent leurs données une seule fois à une autorité dans le cadre d’une démarche administrative, sans devoir fournir ces mêmes données de nouveau pour chaque nouvelle démarche par après, que ce soit auprès de la même autorité ou auprès d’une autre autorité. Le projet de règlement grand-ducal détermine la composition et le fonctionnement du Conseil consultatif de la valorisation des données dans un environnement de confiance, organe qui aura pour mission de conseiller le Commissariat du gouvernement à la protection des données auprès de l’État et d’émettre des avis sur les questions en relation avec le traitement et la réutilisation des données à caractère personnel dans le cadre de la future loi y relative. La Chambre des fonctionnaires et employés publics constate que le texte du projet de loi est particulièrement technique et indigeste. Si elle comprend que le domaine y couvert nécessite des règles spécifiques, elle met en garde contre une surrégulation au détriment des administrations et des administrés. Ce dernier phénomène est malheureusement à la mode depuis des années, y compris en matière de protection des données. Sous le prétexte de devoir agir dans l’intérêt général, la sécurité publique, la lutte contre le terrorisme ou la criminalité financière, la transparence et la protection des données, les administrations et les particuliers sont noyés au quotidien sous des règles et procédures lourdes, ennuyeuses et inutiles (formulaires, déclarations et demandes à remplir, obligation de donner en permanence lors d’échanges quelconques de données l’accord ou le désaccord pour le traitement de celles-ci, etc.), qui pourraient parfaitement être évitées, mais qui sont malheureusement imposées de plus en plus souvent par les bureaucrates de l’Union européenne. -2Il est d’ailleurs paradoxal que l’objectif affiché à l’exposé des motifs joint au projet de loi est de faire « économiser beaucoup de temps, de ressources et d’argent à tous les acteurs concernés, qu’il s’agisse des citoyens et des entreprises ou de l’administration publique », tandis que ledit projet introduit une panoplie de nouvelles règles et procédures complexes à mettre en œuvre, qui nécessitent un investissement considérable en temps, ressources et argent auprès des entités publiques. Les administrations seront submergées d’obligations en vertu du texte projeté et de la réglementation européenne y liée, de telle sorte que même les spécialistes en la matière risquent de se perdre dans ce labyrinthe législatif. Selon la dernière phrase de l’exposé des motifs accompagnant le projet de loi, « toutes les propositions (prévues par le projet) ont été élaborées en concertation étroite avec les acteurs concernés ». Cette affirmation prête à confusion. En effet, les mesures prévues par le projet de loi ont une envergure énorme, touchant toutes les administrations, les communes, les établissements publics, etc. La Chambre doute que les mesures projetées aient été élaborées de concert avec toutes les entités qui seront concernées par celles-ci. La fiche d’évaluation d’impact annexé au projet de loi ne mentionne d’ailleurs qu’une demidouzaine d’organismes qui ont été consultés en amont. Au vu des maintes dispositions sur la protection des données à caractère personnel que comprend le dossier sous examen, la Chambre s’étonne que la Commission nationale pour la protection des données ne figure pas parmi les organismes consultés. Si la Chambre ne nie pas que l’application du principe « once only » est certainement une bonne chose pour les administrés en faisant économiser à ceux-ci beaucoup de temps, ce qu’elle approuve, elle craint néanmoins que cette application ne mène pas du tout à une simplification administrative pour les entités publiques, contrairement à ce qu’énonce l’exposé des motifs joint au projet de loi, selon lequel le système « once only » constitue « une vraie mesure de simplification administrative ». Les mesures projetées ne doivent pas conduire à un ralentissement des procédures. Si, à travers les procédures prévues, les entités publiques prenaient plus de temps à obtenir les données nécessaires pour le traitement d’un dossier auprès d’une autre entité qu’auprès de l’administré, au détriment de ce dernier, l’application obligatoire du principe « once only » telle que prévue par le projet de loi sous avis ne ferait aucun sens. Or, au vu des règles complexes projetées et de l’obligation du système « once only », il est à craindre que le traitement de nombreux dossiers soit bloqué, du moins dans un premier temps. En effet, à l’heure actuelle, les infrastructures et les procédures auprès des maintes entités publiques visées par le texte ne sont pas prêtes pour appliquer tout de suite le principe en question selon les mécanismes envisagés. L’échange de données devra fonctionner sans lourdeurs administratives. La Chambre doute cependant que tel soit le cas, d’autant plus que le système d’échange projeté devra être mis en œuvre non -3seulement auprès des administrations de l’État, mais aussi auprès des communes et des établissements publics notamment, entités qui sont organisées et qui fonctionnement toutes de manière totalement différente. Le projet de loi ne prévoit d’ailleurs ni de délai ni de période transitoire pour la mise en conformité de leurs infrastructures et procédures par les entités publiques et pour la préparation de l’application obligatoire du principe « once only », ce qui crée une situation d’insécurité juridique. Pour l’échange des données entre diverses entités publiques concernant une demande leur soumise par un administré, celles-ci doivent à chaque fois, « pour chaque type d’échange d’informations et de données à caractère personnel », élaborer et signer un protocole spécifique. En cas de changement d’un élément lié à l’échange en question, un nouveau document doit être signé. Le projet de loi sous avis comporte plein d’obligations dans ce sens. La Chambre se demande en quoi toutes ces procédures sont en phase avec la simplification administrative. S’y ajoute que des procédures – qui ne sont pas encore définies – doivent être mises en place pour informer constamment les administrés sur l’état d’avancement de leurs dossiers et pour les avertir, voire requérir leur accord, sur la réutilisation de leurs données. Ces démarches, sans doute nécessaires entre autres dans un souci de transparence et pour éviter des abus, utilisent des ressources et créent des charges de travail supplémentaires pour les entités publiques. D’après l’exposé des motifs joint au projet de loi, le système « once only » favorisera une gestion plus efficace des ressources des entités publiques. La Chambre fait remarquer que l’application dudit système ne doit pas avoir un impact négatif sur le personnel des administrations. Le dossier omet de préciser comment le gouvernement entend concrètement faire face aux charges supplémentaires des administrations à travers le recrutement de personnel. Concernant les administrés, ceux-ci seront aussi soumis à des procédures complémentaires, puisqu’ils devront certainement signer lors de leur première démarche administrative une paperasserie, incompréhensible pour le commun des mortels, par laquelle ils donnent leur accord pour le traitement de leurs données à caractère personnel. Dans ce contexte, la Chambre relève en outre qu’il ne faut pas oublier à assurer l’accompagnement des personnes ayant des difficultés à se familiariser avec le monde numérique. La possibilité de recourir à des échanges traditionnels et non digitaux doit être conservée. Selon le projet de loi, le recours au système « once only » est une obligation pour les entités publiques y visées. Si cette obligation fait du sens pour les procédures liées entre elles dans le cadre d’un dossier unique (comme par exemple dans les domaines de la construction et du logement, où différentes entités publiques interviennent dans un même dossier pour émettre certaines autorisations), tel n’est pas le cas de l’avis de -4la Chambre pour les démarches administratives qui n’ont aucun lien entre elles. Il faudra veiller à ne pas rendre excessivement compliquées les démarches administratives, tant pour les administrés que pour les administrations. Le projet de loi prévoit par ailleurs la possibilité de transmettre à des personnes tierces les données à caractère personnel des administrés détenues par les entités publiques, ceci sans l’accord des administrés concernés. La Chambre relève que les administrés doivent en tout cas être informés sur la transmission de leurs données et avoir les moyens de s’y opposer dans la mesure où cela est possible. De l’avis de la Chambre, la mise en place du principe « once only » mènera au final à une simplification des démarches pour les administrés, mais elle renforcera au contraire la charge administrative pour le personnel de l’ensemble des administrations et services publics, étatiques et communaux, au vu des nombreuses procédures et règles nouvelles qui seront introduites et de la responsabilité supplémentaire qui en découle. Du point de vue de la protection des intérêts de ses ressortissants, la Chambre est donc plutôt hésitante face au système projeté. Pour le reste, la Chambre des fonctionnaires et employés publics s’abstient d’examiner plus en détail les dispositions techniques prévues par les deux textes lui soumis pour avis et elle ne peut y marquer son accord que sous la réserve expresse des observations qui précèdent. Ainsi délibéré en séance plénière le 21 octobre 2024. Le Directeur, Le Président, G. TRAUFFLER R. WOLFF