← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395 relatif à 1° la valorisat

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395 relatif à 1° la valorisation des données dans un environnement de confiance ; 2° la mise en œuvre du principe « once only » ; 3° la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4° la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). Délibération n°72/AV32/2024 du 20 décembre 2024

  1. Conformément à l’article 57.1.c) du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ci-après la « loi du 1er août 2018 »), la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l’État membre, le parlement national, le gouvernement et d’autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par ailleurs, l’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
  2. Par courrier du 12 juin 2024, Madame la Ministre de la Digitalisation a invité la Commission nationale à aviser le projet de loi n°8395 relatif à 1° la valorisation des données dans un CNPD NX».* Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  3. ce 1/49 environnement de confiance ; 2° la mise en œuvre du principe « once only » ; 3° la mise en application de certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ; 4° la mise en application de certaines dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « projet de loi »).
  4. Le présent projet de loi vise à introduire en droit luxembourgeois des précisions quant aux traitements de données à caractère personnel effectués par des entités publiques dans le cadre de l’exécution de leurs missions d'intérêts public (Titre II), ainsi qu’au traitement ultérieur de données à caractère personnel mis en œuvre par lesdites entités publiques (Titre V). De même, le projet de loi vise à instaurer en droit national l’échange d’informations et de données à caractère personnel entre entités publiques, c’est-à-dire le principe du « once only » (Titre IV).
  5. La CNPD constate que le projet de loi vise parallèlement à mettre en œuvre certaines dispositions du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) (ci-après le « règlement 2022/868 »). Plus précisément, le Titre VI du projet de loi encadre l’accès et la réutilisation de données détenues par des organismes du secteur public par des réutilisateurs de données 1, tandis que le Titre VIII contient des précisions relatives à la gouvernance des services d’intermédiation de données et d'altruisme de données
  6. I.
  7. Remarques liminaires A titre préliminaire, la Commission nationale regrette qu’au sein du projet de loi des dispositions purement nationales, comme par exemple l’introduction en droit luxembourgeois du principe du « once only », soient mélangées à des dispositions visant à implémenter le règlement 2022/868, alors que cela rend difficile la compréhension et la lisibilité du projet de loi. Ce d’autant plus que le législateur a fait le choix de rendre applicable des dispositions issues de la mise en œuvre dudit règlement 2022/868 à des dispositions nationales. 1 Voir Chapitre II du règlement 2022/
  8. 2 Voir Chapitres III et IV du règlement 2022/
  9. CNPD HAhO>MU Avis d e l a Commission nationale pour la protection des données relatif au projet de loi n°
  10. <«om M! 2/49 Elle constate notamment que les modalités concernant un traitement ultérieur des données à caractère personnel par les entités publiques du Grand-duché, d’une part, et celles applicables à l’accès et à la réutilisation de données conformément au chapitre II du règlement 2022/868, d’autre part, sont regroupées sous un même titre du projet de loi. 3 Ce regroupement au sein d’un même titre crée a priori l’impression qu’il s’agit de modalités en commun pour le traitement ultérieur, ainsi que pour la réutilisation de données. Néanmoins, en analysant en détail ledit titre, la Commission nationale remarque que certaines dispositions y contenues sont identiques pour les deux procédures, alors que d’autres sont divergentes, ce qui rend la lecture du projet de loi particulièrement compliquée. Par exemple, les exigences de forme de la demande d’autorisation ou son instruction par l’Autorité des données 4 sont pareilles pour les deux modalités,5 alors que les dispositions sur le contenu de ladite demande ou la procédure d’autorisation par l’Autorité des données diffèrent d’une procédure à l’autre.6
  11. La CNPD est dès lors d’avis qu’il n’est pas aisé pour une entité publique qui souhaite demander une autorisation pour un traitement ultérieur de données à caractère personnel, voire pour un réutilisateur désirant formuler une demande d’accès et de réutilisation de données, de comprendre les différentes procédures et les démarches à accomplir. Cela vaut d’autant plus, pour les personnes concernées dont les données à caractère personnel sont susceptibles d’être traitées dans ce contexte. En effet, il est très difficile de saisir quelles conditions et garanties sont à respecter par les entités publiques ou les réutilisateurs de leurs données. Elle se demande même dans ce contexte si, pour plus de clarté et de compréhension, il ne serait pas plus approprié de scinder le projet de loi en deux pour distinguer entre les dispositions purement nationales7 et celles qui visent à implémenter le règlement 2022/8688 . 3 Voir le TITRE VII du projet de loi intitulé «Modalités applicables au traitement ultérieur des données à caractère personnel par les entités publiques et à l'accès et à la réutilisation de données par des réutilisateurs de données. » 4 Voir commentaires de la CNPD sous le point « II.B Sur l’Autorité des données ». 5 Voir articles 26 et 29 du projet de loi. 6 Voir articles 27, 28 et 31 du projet de loi. 7 V. point 3 du présent avis. V. point 4 du présent avis. 8 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  12. 3/49 II. Sur les acteurs compétents en matière de traitement ultérieur de données à caractère personnel et d’accès et de réutilisation de données A. Sur les entités publiques et les organismes du secteur public
  13. La Commission nationale note que l’article 2, paragraphe

(2)du projet de loi définit de manière très large la notion d’ « entité publique » en englobant une multitude de différents acteurs, et plus précisément « un Ministère, y compris ses services, une administration ou une commune luxembourgeoise, ainsi que les établissements publics luxembourgeois, les groupements d'intérêt économique et les personnes morales d'utilité publique listés expressément par règlement grand-ducal [...] ». Par ailleurs, il ressort du commentaire des articles que lesdites personnes morales d’utilité publique visent aussi « les fondations et associations sans but lucratif, notamment les hôpitaux au sens de la loi modifiée du 8 mars 2018 relative aux établissements hospitaliers et à la planification hospitalière, qui sont listés expressément par règlement grandducal aux fins d’application du titre IV et/ou du titre V. » 8. La Commission nationale note tout d’abord que, d’après le commentaire des articles, la définition d'« entité publique » est « volontairement distincte de la notion d’organisme du secteur public visée par les dispositions du règlement (UE) 2022/868. » En effet, conformément à l’article 3, paragraphe
(1)du règlement 2022/868, le chapitre II sur la réutilisation 9 s’applique uniquement aux données détenues par les organismes du secteur public, tandis que l’article 3, paragraphe
(2)dudit règlement exclut expressément les données détenues par les entreprises publiques. En ce qui concerne le terme « entité publique » utilisé par le projet de loi sous avis, celui-ci n’est pas mentionné du tout dans ce règlement.
  1. La CNPD conclut dès lors sur base de ce qui précède que les « entités publiques » sont uniquement concernées par les dispositions purement nationales, c’est-à-dire les titres II, IV et V du projet de loi relatifs au traitement nécessaire à l’exécution d’une mission d’intérêt public, au principe du « once only », ainsi qu’au traitement ultérieur de données à caractère personnel, tandis que les « organismes du secteur public » sont seulement visés par le titre VI sur la réutilisation des données qu’ils détiennent en implémentation du règlement 2022/
  2. 9 Intitulé intégral du Chapitre II du règlement 2022/868 : “Réutilisation de certaines données détenues par des organismes du secteur public. » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  3. 4/49 Néanmoins, en comparant la définition de l’« organisme du secteur public » contenue à l’article 2, point 17) du règlement 2O22/868 10 à celle précitée de l’« entité publique », la Commission nationale a des difficultés à saisir en quoi consiste concrètement la différence entre les deux notions. En d'autres termes, elle se demande quelles entités seraient uniquement visées par l’une des deux notions, voire lesquelles seraient même englobées par les deux.
  4. Ensuite, elle voudrait contredire les affirmations des auteurs du projet de loi selon lesquelles la définition de l’entité publique « permet de limiter avec précision le champ d’application des échanges d’informations et de données à caractère personnel dans le cadre du principe « once only » aux Ministères, y compris leurs services, administrations et aux communes luxembourgeoises », alors que le titre IV sur le « once only » vise aussi les établissements publics, les groupements d’intérêt économique, ainsi que les personnes morales d’utilité publique, y inclus les fondations et associations sans but lucratif et les hôpitaux. Elle se réfère dans ce contexte notamment au recueil listant les établissements publics au Luxembourg11 qui contient un nombre élevé d’acteurs venant de différents secteurs, dont la CNPD, et qui tomberaient donc dans la définition d’« entité publique », comme par exemple la Banque et Caisse d’Epargne de l’Etat (Spuerkees), la Banque centrale du Luxembourg (BCL), les Centres de recherche LIH, LIST et LISER,12 différentes chambres professionnelles,13 le Corps grand-ducal d’incendie et de secours (CGDIS) ou encore ('Entreprise des postes et télécommunications (POST Luxembourg). La Commission nationale se permet dès lors d’exprimer déjà à ce stade ses inquiétudes sur l’ampleur potentielle du projet de loi, compte tenu des acteurs qui pourraient être susceptibles d’appliquer ses dispositions. 10 « l’État, les autorités régionales ou locales, les organismes de droit public ou les associations formées par une ou plusieurs de ces autorités ou un ou plusieurs de ces organismes de droit public ». 11 Version applicable au 22 juillet 2024 https://leqilux.public.lu/eli/etat/leq/recueii/etablissements publics/20240722 et disponible ici : 12 Centre de recherche public Luxembourg Institute of Health (LIH), Centre de recherche public Luxembourg Institute of Science and Technology (LIST), le Centre de recherche public Luxembourg Institute of Socio-Economic Research (LISER) 13 Comme par exemple la Chambre des métiers, la Chambre de commerce, la Chambre des fonctionnaires et des employés publics ou encore la Chambre des salaries. CNPD| Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  5. 5/49
  6. Finalement, il y a lieu de constater que la définition de l’entité publique exclut du champ d’application du projet de loi les autorités compétentes en matière pénale et sécurité nationale 14, ainsi que les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif, lorsqu’elles effectuent un traitement de données à caractère personnel dans l’exercice de leurs fonctions juridictionnelles. 15 Cependant, il convient de souligner que lesdites autorités compétentes définies par l’article 2, point 7° de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, englobent déjà les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif. La qualification relative au fait de savoir si un traitement de données à caractère personnel est opéré par une telle juridiction dans l’exercice de sa fonction juridictionnelle ou non est uniquement importante afin de savoir quelle autorité de contrôlé est compétente : la CNPD ou l’autorité de contrôle judiciaire. Il est dès lors superfétatoire d’exclure spécifiquement lesdites juridictions par l’article 2, paragraphe
(2)point 2, lettre
  1. b)du projet de loi, alors qu’elles sont déjà englobées par l’exclusion contenue à la lettre
  2. a)dudit article visant les autorités compétentes conformément à l’article 2, point 7 de la loi susmentionnée. B. Sur l’Autorité des données 12. D’après l’article 4, paragraphe
(1)du projet de loi, le Commissariat du Gouvernement à la protection des données auprès de l’Etat est chargé des missions attribuées à l’Autorité des données dans le cadre du projet de loi et désigné tout au long par ce terme.
  1. La Commission nationale tient tout d’abord à exprimer ses plus vives inquiétudes avec le choix du terme « Autorité des données », alors qu’il risque de porter confusion avec celui de la Commission nationale étant l’« Autorité de contrôle » chargée de contrôler et de vérifier notamment si les données soumises à un traitement sont conformes aux dispositions du RGPD et de la loi du 1er août
  2. De son expérience sur le terrain, la CNPD ne peut que constater que cette confusion existe déjà aujourd’hui entre les dénominations de « Commission nationale pour la protection des données » et de « Commissariat du Gouvernement à la protection des données auprès de l’État ». Pour des raisons de compréhension, elle utilisera néanmoins le terme « Autorité des données » dans son avis pour viser le Commissariat du Gouvernement à la 14 A l’instar des dispositions de l’article 2 du règlement (UE) 2016/679 et de l'article 1er de la directive (UE) 2016/6801 transposée en droit luxembourgeois par la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité national. 15 V. article 2 paragraphe
(2)point 2°, lettres
  1. a)et
  2. b)du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 6/49 protection des données auprès de l’Etat, même si elle estime qu’il serait plus opportun de désigner ledit Commissariat par les termes « Commissariat du Gouvernement ». 14. Elle constate ensuite que les missions que l’Autorité des données assumera dans l'état actuel du projet de loi sont très vastes. En effet, elle aura non seulement des missions qui découlent de la mise en œuvre du règlement 2022/868, notamment en étant désignée « organisme compétent » conformément à l’article 7 paragraphe
(1)dudit règlement et habilitée à octroyer ou refuser l’accès à des fins de réutilisation des données, mais également des missions dans le cadre des nouvelles dispositions nationales16 en étant, par exemple, en charge d’autoriser ou de refuser le traitement ultérieur de données à caractère personnel par les entités publiques. 17
  1. L’article 32 du projet de loi confère dans ce contexte certains pouvoirs de contrôle à l’Autorité des données. Après vérification des résultats d’un traitement ultérieur de données à caractère personnel par une entité publique ou d’une réutilisation de données par un réutilisateur, elle pourrait notamment interdire l’utilisation de ces résultats s’ils portent une atteinte disproportionnée aux droits et intérêts de tiers.
  2. Comme les traitements ultérieurs de données et, le cas échant, les réutilisations de données peuvent porter sur des données à caractère personnel au sens de l’article 4, point 1) du RGPD, la CNPD se demande si les dispositions précitées ne sont pas susceptibles d’entrer en conflit avec ses propres missions et pouvoirs. Le commentaire des articles précise à cet égard que « [l]es dispositions de l’article 32 s’entendent sans préjudice des prérogatives de la Commission nationale pour la protection des données d’interdire les traitements de données à caractère personnel opérés en contravention aux conditions reprises dans l’autorisation émise par l’Autorité des données, conformément au règlement (UE) 2016/679, lu ensemble avec la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. » 18
  3. Néanmoins, sur base des pouvoirs qu’elle détient en vertu de l’article 58 du RGPD et de l’article 12 de la loi du 1er août 2018, la CNPD estime que ses pouvoirs de contrôle et de sanctions ne se limitent pas à la vérification des conditions que l’Autorité des données va prévoir dans ses autorisations, mais dès qu’une entité est à considérer comme responsable du traitement ou 16 17 18 V. point 3 du présent avis. V. notamment l’article 4 du projet de loi. V. commentaire de l’article 32 du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  4. DttOOwrt» 7/49 comme sous-traitant au sens de l’article 4, points 7 et 8) du RGPD, la CNPD est compétente pour vérifier l’application et le respect de l’intégralité des dispositions du RGPD et de la loi du 1 er août
  5. D’autant plus, il serait possible que la CNPD ne soit pas d’accord avec certaines prises de positions de l’Autorité des données émises dans ses autorisations ce qui crée un risque de décisions divergentes entre l’Autorité des données et la CNPD, voire de régimes parallèles et incohérents entre le RGPD et le règlement 2022/868 et sa future loi d’implémentation.
  6. Par ailleurs, la CNPD tient à souligner que ses pouvoirs de sanctions sont beaucoup plus étendus et ne se limitent pas à l’imposition d’une interdiction de traitement de données à caractère personnel prévue par l’article 58, paragraphe
(2), point f) du RGDP. Si elle constate dès lors qu’une entité publique, voire un réutilisateur de données ne respecte pas un des principes ou obligations du RGPD, elle dispose de tous ses pouvoirs prévus par l’article 58 du RGPD. Par exemple, si la CNPD estime qu’un réutilisateur en sa qualité de responsable du traitement ne respecte pas, dans le cadre de l’accès aux données à caractère personnel lui accordé sur base de l’autorisation émise par l’Autorité des données, le principe de limitation des finalités ou de minimisation des données prévus par les articles 5, paragraphe
(1), lettres
  1. b)et
  2. c)du RGPD, elle pourrait, entre autres, lui ordonner de se mettre en conformité ou même lui imposer une amende administrative en application de l’article 83 du RGPD, en notant toutefois que l’article 48, paragraphe
(1)de la loi du 1er août 2018 prévoit que la CNPD ne peut pas imposer d’amende administrative à l’encontre de l’Etat ou des communes.
  1. La CNPD ne peut que se référer dans ce contexte au Comité européen de la protection des données (ci-après I’ « EDPB ») et au Contrôleur européen de la protection des données (ci-après le « CEPD ») qui ont déjà estimé en 2021 dans un avis sur l’ancienne proposition du règlement 2022/868 que « lorsque des données à caractère personnel sont réutilisées sur la base de la proposition, l’EDPB et le CEPD estiment que les autorités de contrôle chargées de la protection des données devraient être les seules compétentes pour surveiller le traitement de ces données à caractère personnel. Ces autorités devraient être dotées de ressources adéquates pour leur permettre d'accomplir cette mission de manière efficace et efficiente. Par ailleurs, dans le cas où des organismes spécifiques seraient désignés pour aider les organismes du secteur public et les réutilisateurs de données et chargés d’octroyer l’accès aux données, y compris aux données à caractère personnel, en vue d’une réutilisation, ces organismes ne pourraient être qualifiés de «compétents» puisqu’ils n’agiraient pas en tant qu’autorité de contrôle capable de surveiller les dispositions relatives au traitement des données à caractère personnel et de veiller à leur respect. Pour garantir la sécurité juridique et la CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  2. «i 8/49 * cohérence dans 1’application de l’acquis de l’Union dans le domaine de la protection des données à caractère personnel, les activités et obligations de ces organismes désignés doivent aussi être soumises à la compétence et au contrôle directs d’autorités chargées de la protection des données lorsque des données à caractère personnel sont en jeu. » 19 .
  3. Finalement, il convient de se demander si l’Autorité des données pourra jouer en toute neutralité son rôle d’arbitrage pour accorder ou refuser un traitement ultérieur ou un accès et une réutilisation de données, alors qu’elle fera partie du futur Conseil consultatif de la valorisation des données dans un environnement de confiance (ci-après le « Conseil consultatif ») prévu par l’article 8 du projet de loi. En effet, d’une part l’Autorité des données devra trancher sur une demande de traitement ultérieur ou d’accès et de réutilisation de données et d’autre part elle pourra en tant que membre dudit Conseil aviser les mêmes demandes. L’article 29 paragraphe
(7)du projet de loi prévoit même expressément que « [l]’Autorité des données peut transmettre la demande de traitement ultérieur de données à caractère personnel visée à l'article 27 et la demande d’accès et de réutilisation visée à l’article 28 au Conseil consultatif pour avis. ». C. Sur le Centre des technologies de l’information de l’Etat et le LNDS 21. La CNPD constate que, sur base de l’article 5 du projet de loi, le Centre des technologies de l’information de l’Etat (ci-après le « CTIE ») et le groupement d’intérêt économique PNED G.LE - Plateforme nationale d’échange de données (ci-après le « LNDS ») sont désignés organismes compétents au sens de l’article 7, paragraphe
(1)du règlement 2022/868 pour fournir une assistance technique à l’Autorité des données dans l’exercice de ses missions conformément aux dispositions du projet de loi. Elle n'a pas d’observations dans ce contexte. D. Sur le tiers de confiance 22. L’article 2, paragraphe
(2)point 3° du projet de loi définit le « tiers de confiance » comme « toute entité fonctionnellement indépendante des entités publiques visées au titre V, des organismes du secteur public détenant les données et du réutilisateur de données visés au titre VI, qui remplit les conditions prévues à l’article
  1. » 19 Avis conjoint 03/2021 de l’EDPB et du CEPD sur la proposition de règlement du Parlement européen et du Conseil sur la gouvernance européenne des données (acte sur la gouvernance des données), Version 1.1 du 9 juin 2021, points 104 et
  2. CNPÔl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  3. L I I -1 9/49
  4. De longue date, la CNPD recommande dans ses avis juridiques l’encadrement général de l'activité d’un tiers de confiance permettant d'accompagner le développement de services innovants en matière de pseudonymisation et d'anonymisation au Luxembourg, d’une part, et que de tels services devraient être réservés à des acteurs présentant des garanties d'indépendance, de compétence et ne se trouvant pas en situation de conflit d'intérêts au regard des données qu'ils traitent dans le cadre de leurs diverses activités
  6. De manière générale, elle ne peut donc que féliciter les auteurs du projet de loi d’avoir suivi finalement cette recommandation. Néanmoins, bien que l’article 6 du projet de loi énumère les missions du tiers de confiance et les conditions qu’il doit remplir, la CNPD a des difficultés à comprendre comment et par qui le tiers de confiance sera désigné.
  7. Elle constate que les auteurs du projet de loi ont inscrit dans les missions de l’Autorité des données, du CTIE et du LNDS de « collaborer avec le tiers de confiance mandaté par le Centre ».21 De même, dans l’exposé des motifs, il est mentionné que « [p]our éviter d’éventuels conflits d’intérêts et pour maintenir la confiance des citoyens dans une gestion prudente de leurs données par les acteurs publics, la loi prévoit la possibilité pour le Centre des technologies de l’information de l’État de recourir aux services d’un tiers de confiance. »
  8. Comme ce volet ne ressort pas du texte actuel du projet de loi, la CNPD se demande, sur base de ce qui précède, si la seule possibilité pour devenir tiers de confiance est que l’on soit mandaté par le CTIE ? Ou est-ce qu’une entité publique pourrait aussi prendre recours aux services d’un tiers de confiance qu’elle a désigné elle-même ? Se pose aussi la question de savoir si la désignation d’un tiers de confiance est limitée aux missions encadrées par le présent projet de loi ou si, par contre, un tel tiers de confiance pourrait aussi être désigné par une entité publique dans le cadre d’autres missions légales qu'elle poursuit ? De même, il ne ressort pas du projet de loi qui aurait les compétences et les pouvoirs pour contrôler si un tiers de confiance, soit désigné par le CTIE ou par une autre entité publique, remplit les conditions énumérées à l’article 6, paragraphe
(2)du projet de loi. 20 V. par exemple délibération n°1005/2016 du 2 décembre 2016 de la Commission nationale pour la protection des données, doc. pari. n°7061/03, p. 4 ou délibération n°96/AV42/2023 du 10 novembre 2023 de la Commission nationale pour la protection des données, doc. pari. 8251/02, point 27. 21 V. article 4, paragraphe
(4), lettre b), article 5, paragraphe
(2)lettre e) et paragraphe
(3)lettre d) du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  1. 10/49
  2. La Commission nationale recommande dès lors d’intégrer des précisions dans ce contexte dans le corps du texte du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  3. '«CtfcCrrjM 11/49 E. Sur le point d'information unique
  4. Conformément à l’article 8 du règlement 2022/868, l’article 7 du projet de loi prévoit l’instauration d’un point d’information unique sous l’autorité du ministre ayant la digitalisation dans ses attributions.
  5. La CNPD comprend donc que ce point d’information unique est structurellement différent de l’Autorité des données, même si les deux organismes sont placés sous l’autorité du ministre ayant la digitalisation dans ses attributions.
  6. Par ailleurs, le commentaire des articles mentionne la « possibilité » pour ledit ministre de soustraiter les missions du point d’information unique au LNDS. La CNPD constate dans ce contexte que cette option n’est pas expressément mentionnée dans le projet de loi, d’une part, et si cette désignation est vraiment le souhait du législateur, elle se demande pourquoi le LNDS n’est pas directement désigné dans l’article 7 du projet de loi comme point d’information unique, d’autre part.
  7. Finalement, l’article 7, paragraphe
(2), lettre c) du projet de loi prévoit que le point d’information unique doit « mettre à disposition » par voie électronique une série d'informations conformément à l’article 8, paragraphe
(2)du règlement 2022/868. La CNPD suppose qu’il s’agit d’une mise à disposition d’informations pour le grand public. De même, elle se demande comment ladite mise à disposition aura lieu dans la pratique : Est-ce que la création d’un système national d’échange est envisagé ou est-ce que lesdites informations seront simplement publiées sur le site internet du point d’information unique ? F. Sur le Conseil consultatif 32. La Commission nationale se permet de renvoyer au point 20 du présent avis en ce qui concerne la problématique relative au fait que l’Autorité des données fera partie du futur Conseil consultatif, prévu par l’article 8 du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 12/49 III. Sur le volet national A. Sur le traitement de données à caractère personnel par les entités publiques nécessaire à l’exécution de la mission d’intérêt public ou relevant de l’autorité publique 33. L’article 3 du projet de loi vise à introduire en droit national une base légale générale pour l’ensemble des traitements de données à caractère personnel effectués par les entités publiques qui seraient nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l'exercice de l’autorité publique. D’après les auteurs du projet de loi, cette disposition vise à « renforcer la sécurité juridique en matière de traitement de données à caractère personnel par les entités publiques dans le cadre de l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont elles sont investies »22. 34. La Commission nationale avise négativement l’introduction d’une telle disposition, dans la mesure où elle estime que cette disposition soulève un grand nombre de problématiques détaillées ciaprès. a. Sur la reproduction partielle ou intégrale d’une disposition du RGPD dans l’ordre juridique interne 35. La première problématique relève de la reproduction partielle ou intégrale d'une disposition d’un règlement européen dans l’ordre juridique interne. En effet, le Conseil d’État rappelle régulièrement dans ses avis la jurisprudence de la Cour de justice de l’Union européenne selon laquelle les États membres ne doivent pas entraver l’applicabilité directe des règlements ni en dissimuler la nature européenne23 . 36. Or, les dispositions de l’article 3 du texte sous avis se bornent à réitérer les dispositions de l’article 6.1.
  1. e)et 6.3 du RGPD. 22 V. commentaire des articles. V. avis du Conseil d’État CE 61.218 ; doc, pari. n°8089, l'avis du Conseil d'Etat du 17 juillet 2020 sur le projet de loi n°7537 relative à certaines modalités de mise en oeuvre du règlement (UE) n° 2019/1150 du Parlement européen et du Conseil du 20 juin 2019 promouvant l'équité et la transparence pour les entreprises utilisatrices de services d'intermédiation en ligne. 23 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. *Dlt£7OM DfEOOMMtl 13/49 b. Sur la position constante de la CNPD en ce qui concerne les dispositions de l’article 6.1.
  2. e)et 6.3 du RGPD 37. Les auteurs du projet de loi estiment qu’« il suffit, d’après l’article 6, paragraphe 3 du règlement (UE) 2016/679 que le traitement de données à caractère personnel prévu à l’article 6, paragraphe 1er, point
  3. e)du règlement (UE) 2016/679 soit nécessaire à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ». Dès lors, ils considèrent que la définition des finalités dans un texte spécifique n’est pas requise. 38. Les auteurs du projet de loi justifient une telle approche car « il paraît difficilement concevable que le législateur adopte pour chacun des traitements de données à caractère personnel nécessaires au bon fonctionnement et à la réalisation des missions des entités publiques (dont le nombre d’hypothèses est en réalité considérable voire illimité) une loi spécifique au sens formel »24 . Toutefois, la CNPD ne partage pas et n’approuve pas l’approche de prévoir une base légale générale pour tous les traitements de données à caractère personnel qui seraient mis en œuvre par toutes les « entités publiques » dans le cadre de l’exécution de leurs missions d’intérêt public. 39. Elle estime que l’article 6.1.
  4. e)du RGPD, lu en combinaison avec l’article 6.3 du RGPD, prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect de l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ce cas de figure, le fondement, c’est-à-dire la mission d’intérêt public en cause, et notamment les finalités des traitements de données doivent ressortir soit du droit de l'Union européenne, soit du droit de l'Etat membre auquel le responsable du traitement est soumis et ce fondement doit répondre « à un objectif d'intérêt public » et être « proportionné à l'objectif légitime poursuivi ». Par ailleurs, la Commission nationale tient à rappeler que sa position en la matière est étayée par la jurisprudence de la Cour de justice de l’Union européenne (ci-après la « CJUE »), des avis du Conseil d’État ainsi que des arrêts de la Cour constitutionnelle. 24 Ad article 3 du projet de loi CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 14/49 c. La protection des données, une matière réservée à la loi 40. L’article 31 de la Constitution, qui figure dans la section consacrée aux libertés publiques, dispose que « [t]oute personne a droit à l’autodétermination informationnelle et à la protection des données à caractère personnel la concernant. Ces données ne peuvent être traitées qu’à des fins et dans les conditions déterminées parla loi ». Ainsi, la protection des données à caractère personnel est une matière réservée à la loi par la Constitution. L'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le GrandDuc. 41. Cependant, les droits fondamentaux ne sont pas des prérogatives absolues puisque la possibilité d’une ingérence ou d’une limitation est prévue par l’article 8.2 de la Convention européenne des droits de l’homme, par l’article 52.1 de la Charte des droits fondamentaux de l’Union européenne, ainsi que par l’article 37 de la Constitution qui prévoit que « [tjoute limitation de l’exercice des libertés publiques doit être prévue par la loi et respecter leur contenu essentiel. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires dans une société démocratique et répondent effectivement à des objectifs d’intérêt général ou au besoin de protection des droits et libertés d’autrui ». 42. Par conséquent, la Commission nationale estime que si les traitements de données mis en œuvre par une entité publique dans le cadre de l’exécution de ses missions d’intérêt publique constituent une ingérence dans la vie privée des citoyens, alors ces traitements doivent être spécifiquement encadrés par une loi au sens formel. 43. En effet, une ingérence ou limitation dans l’exercice des libertés publiques peut uniquement être justifiée à condition qu’elle soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c’est-à-dire formulée avec une précision suffisante, respecte le contenu essentiel du droit à la protection des données et réponde effectivement à des objectifs d’intérêt général ou au besoin de protection des droits et libertés d’autrui. L’ingérence doit également être nécessaire dans une société démocratique, sous réserve du principe de proportionnalité25. 25 Pour une analyse plus détaillée de ces conditions, voir délibération n°2/2021 du 4 février 2021 de la Commission nationale pour la protection des données, doc. pari. n° 7425/09, point 1.1.b). Voir aussi arrêt de la CJUE du 7 mars 2024, C-740/22, point 52, « [...] les droits fondamentaux au respect de la vie privée et à la protection des données à CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. «jtottcno» 15/49 * 44. Enfin, au sujet de ces textes, le Conseil d’État a considéré26 que la « Cour constitutionnelle, en affinant sa jurisprudence antérieure, a, dans son arrêt n°177 du 3 mars 2023, retenu que « [dj’après l’article 32, paragraphe 3, de la Constitution 27, dans les matières réservées par la Constitution à la loi, la fixation des objectifs des mesures d’exécution doit être clairement énoncée de même que les conditions auxquelles elles sont, le cas échéant, soumises. L’orientation et l’encadrement du pouvoir exécutif doivent, en tout état de cause, être consistants, précis et lisibles, l’essentiel des dispositions afférentes étant appelé à figurer dans la loi »28 . 45. Il résulte de ce qui précède que la Commission nationale ne partage pas l’avis des auteurs du projet de loi selon lequel « le fait pour une entité publique de pouvoir démontrer le respect de la double condition : premièrement qu’elle est investie d’une mission d’intérêt public ou qui relève de l’exercice de l’autorité publique dont elle est investie et, deuxièmement, que le traitement de données à caractère personnel est « nécessaire » pour réaliser cette mission, suffit à légitimer la collecte et le traitement des données en question ». d. Sur la position du Conseil d’Etat 46. Les auteurs du projet de loi estiment que la position du Conseil d’Etat serait identique à la leur. Ils s’appuient sur un avis du 30 mars 2018 pour étayer leur prétention. Dans cet avis, le Conseil d’Etat avait estimé qu’« [a]ux termes de l’article 6 du [RGPD], la licéité du traitement dans le secteur public est vérifié si le traitement est nécessaire au respect d’une obligation légale ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. Dans cette logique, il ne s’impose pas de donner à chaque traitement de données une base spécifique légale ou réglementaire ». caractère personnel ne sont pas des prérogatives absolues ainsi que l’indique le considérant 4 du RGPD, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues parla loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. En vertu de ce dernier principe, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. Elles doivent s’opérer dans les limites du strict nécessaire et la réglementation comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause ». 26 Avis du Conseil d’Etat n° CE 61.798 relatif au projet de loi portant organisation de l’Administration du cadastre et de la topographie, doc. pari. n°8330B/02. 27 En l’occurrence, il s’agit de l’article 45, paragraphe 2, de la Constitution révisée, à contenu identique sur ce point. 28 Cour constitutionnelle, 3 mars 2023, n° 177, Mém. A n° 127 du 10 mars 2023, Cour constitutionnelle, 4 juin 2021, n° 166, Mém. An°440du 10 juin 2021 et Cour constitutionnelle, 3 mars 2023, n" 177, Mém. A, n° 127 du 10 mars 2023. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. HGfrcro*. 16/49 47. Toutefois, la position du Conseil d’Etat a fortement évolué et sa position actuelle diffère de celle citée par les auteurs du projet de loi. La nouvelle position du Conseil d’Etat semble constante et est étayée par de nombreux avis récents, surtout depuis l’entrée en vigueur de la Constitution révisée le 1er juillet 2023. Ainsi, le Conseil d'État rappelle que l’accès à des fichiers et la communication de données à des tiers constituent une ingérence dans la vie privée et partant, une matière réservée à la loi formelle29. Par ailleurs, dans un avis récent du 11 juin 2024, celui-ci a considéré qu’ : « [e]n ce qui concerne l’échange d’informations, le Conseil d’État note, à la lecture du commentaire de l’article, qu’il s’agit de données à caractère personnel et rappelle, à cet égard, que l’article 31 de la Constitution, qui figure dans la section consacrée aux libertés publiques, dispose que « [t]oute personne a droit à l’autodétermination informationnelle et à la protection des données à caractère personnel la concernant. Ces données ne peuvent être traitées qu’à des fins et dans les conditions déterminées par la loi », tandis que l’article 37 de la Constitution précise, dans sa première phrase, que « [t]oute limitation à l’exercice des libertés publiques doit être prévue par la loi et respecter leur contenu essentiel ». Il s’ajoute à ce rappel des textes fondamentaux que la Cour constitutionnelle, en affinant sa jurisprudence antérieure, a, dans son arrêt 5 n°177 du 3 mars 2023, retenu que « [dj’après l’article 32, paragraphe 38 , de la Constitution, dans les matières réservées par la Constitution à la loi, la fixation des objectifs des mesures d’exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises. L’orientation et l’encadrement du pouvoir exécutif doivent, en tout état de cause, être consistants, précis et lisibles, l’essentiel des dispositions afférentes étant appelé à figurer dans la loi ». Il y a lieu de déterminer, dans l’ordre juridique national, les conditions dans lesquelles les données à caractère personnel peuvent être traitées pour une finalité autre que celle pour laquelle elles ont été collectées au sens de l’article 6, paragraphe 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ci-après le « règlement (UE) 2016/679 », ce qui couvre les hypothèses dans lesquelles des données sont communiquées par un ministre à un autre ou par 29 V. notamment avis du Conseil d'Etat n° CE 60.250 du 22 mars 2022, doc. pari. n° 7578/01, p. 5 ; avis du Conseil d’Etat n° CE 53.322 du 12 juillet 2019, doc. part. n° 7425/04, p. 9 ; avis du Conseil d’Etat n° CE 51.586 du 7 juin 2016, doc. pari. n° 6975/05, p. 4 ; Avis du Conseil d’Etat n° CE 61.798 du 12 juillet 2024 , doc. pari. n°8330B/02 ; Avis du Conseil d’Etat n° CE 61.070 du 11 juin 2024, doc. pari. n°8031/08 CNPD ££ “J Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 17/49 une administration à une autre, tout comme celles dans lesquelles les données collectées et traitées par une administration sont accessibles à une autre administration ou font l’objet d’un traitement organisé selon une modalité de connexion, voire d’interconnexion. Afin d’assurer la conformité de la disposition sous examen aux articles 31 et 37 de la Constitution, il convient, sous peine d’opposition formelle, de compléter cette disposition en précisant notamment la nature des données à caractère personnel échangées, ainsi que la finalité et les conditions dans lesquelles cet échange a lieu ». 48. Par conséquent, à la lumière des développements ci-avant, la CNPD estime que la lecture faite par les auteurs du projet de loi quant à l’article 6.1,
  5. e)et 6.3 du RGPD ne peut être retenue. 49. Enfin, l’argumentation des auteurs du projet de loi selon laquelle il resterait « admissible aux termes de l’article 31 de la Constitution, en particulier au regard du principe de primauté du droit de l’Union européenne rappelé récemment par la [CJUE] » n’est pas pertinente, alors que l’article 6.3 du RGPD laisse la possibilité au droit de l’Etat membre de régler le fondement du traitement visé au à l’article 6.1.
  6. e)du RGPD par une disposition nationale. En outre, le considérant 41 du RGPD énonce clairement que « [Ijorsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l’adoption d’un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l’ordre constitutionnel de l’Etat membre concerné » (mise en évidence ajoutée). e. Sur la disposition de droit allemand 50. Par analogie au droit allemand, les auteurs du projet de loi entendent introduire en droit national une base légale qui s’inspire de la disposition de droit allemand tirée de l’article 3 du Bundesdatenschutzgesetz qui dispose que « [djie Verarbeitung personenbezogener Daten durch eine ôffentliche Stelle ist zulàssig wenn sie zur Erfüllung der in der Zustandigkeit des Verantwortlichen liegenden Aufgabe oder Ausübung ôffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist ». 51. Au sujet de cette base légale, l’Autorité de protection des données fédérale (der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) estime que : CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 18/49 « Ergànzend regelt Art. 6 Abs. 3 DSGVO, dass sich in den Fàllen der Buchst.
  7. c)und
  8. e)des Art. 6 Abs. 1 Satz 1 DSGVO die Rechtsgrundiage für die Verarbeitung entweder aus dem Unionsrecht oder dem mitgliedstaatlichen Recht ergeben muss. Im Unionsrecht kônnen sich die Rechtsgrundlagen insbesondere aus EU-Verordnungen ergeben, da sie unmittelbar anwendbar sind. Ein Beispiel ist etwa die Verôffentlichung der Empfânger von Agrarsubventionen auf der Grundlage der entsprechenden EU-Verordnungen. Im mitgliedstaatlichen Recht hat der Gesetzgeber auf Bundesebene mit Blick auf Art. 6 Abs. 3 DSGVO dafür Sorge getragen, dass lückenlose Rechtsgrundlagen für die Verarbeitung personenbezogener Daten durch ôffentliche Stellen des Bundes geschaffen worden sind, sodass ein unmittelbarer Rückgriff auf Art. 6 Abs. 1 Satz 1 Buchst.
  9. c)und
  10. e)nicht notwendig ist. Wie bereits oben dargesteilt, wird sich die Rechtsgrundiage für eine Verarbeitung personenbezogener Daten weiterhin aus dem bereichsspezifischen Datenschutzrecht und subsidiàr aus § 3 BDSG ergeben »30 . 52. Selon la compréhension de la Commission nationale, la base de licéité des traitements de données à caractère personnel se trouve toujours ancrée dans les législations spécifiques et uniquement de manière subsidaire dans la disposition du Bundesdatenschutzgesetz citée par les auteurs du projet de loi. La disposition allemande n’a donc pas vocation à être une base de licéité générale mais subsidiaire. 53. Dès lors, cette disposition semble difficilement transposable en droit interne alors que l’argumentation des auteurs du projet de loi semble différente. f. Remarques finales 54. Enfin, il convient de relever que la base légale envisagée par le projet de loi pourrait être invoquée par les « entités publiques ». Comme développé supra au point 7 du présent avis, la Commission nationale réitère ses inquiétudes en ce qui concerne la potentielle ampleur d’une telle définition. 55. En effet, compte tenu des différentes entités et différents domaines qui seraient couverts par cette définition, les traitements effectués pourraient être très différents et concerner, le cas échéant, des catégories particulières de données. Ainsi, la CNPD se demande si l’ensemble des établissements publics listés au recueil « établissements publics » pourront invoquer cette base légale. A titre d’exemple, le centre hospitalier de Luxembourg, le centre hospitalier neuropsychiatrique ainsi que les caisses de 30 Info 6 / Die DSGVO in der Bundesverwaltuno CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. rtcitcrON 19/49 maladie (CMFEP, CMFEC, Entraide médicale de la SNCFL) qui figurent au recueil pourront-ils invoquer l'article 3 sous examen ? 56. Si la base légale devait être adoptée telle quelle, la Commission nationale craint plus particulièrement que les garanties suffisantes, telles qu’exigées à l’article 9 du RGPD, permettant de protéger efficacement les catégories particulières de données contre les risques d’abus, ne soient pas mises en œuvre. 57. Par conséquent, la CNPD avise négativement l’introduction en droit interne d’une telle disposition. Une telle base légale mènerait indubitablement à créer une insécurité juridique, contrairement à ce qui est avancé par les auteurs du projet de loi qui estiment que cet article aurait pour objet de « renforcer la sécurité juridique en matière de traitement de données à caractère personnel ». B. Sur les informations et données à caractère personnel obtenues par les entités publiques auprès d’une entité publique « once only » 1. Remarques générales 58. Le Titre IV du projet de loi entend introduire en droit luxembourgeois, le principe du « once only ». D’après le commentaire des articles, ce principe a pour objet de « supprimer certaines démarches administratives pesant lourdement sur les administrés dans le cadre de la présentation d’une demande ou d’une déclaration auprès d’une entité publique ». 59. Le « once only » entend faciliter le « traitements par les entités publiques des demandes et déclarations présentées par les administrés, d’une part, en obligeant les entités publiques à échanger entre elles toutes informations, données à caractère personnel ou pièces justificatives nécessaires au traitement desdites demandes ou déclarations et, d’autre part, en permettant aux administrés ayant déjà produit des pièces justificatives auprès d’une entité publique de ne pas être tenus de les produire à nouveau »31 . 60. Les dispositions du Titre IV du projet de loi érigent en « obligation légale le traitement de données à caractère personnel nécessaire pour la mise en oeuvre » du « once only ». Par ailleurs, ce système reposera « sur trois caractéristiques essentielles : - La réalisation d’une démarche à l’initiative de l’administré ; 31 Commentaire des articles ad article 9 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n 8395. L MÏDQWM.. I -1 20/49 - La limitation des informations et des données à caractère personnel échangées à celles strictement nécessaires à la démarche initiée par l’administré ; et La possibilité, pour les seules entités publiques agissant dans le cadre de leurs missions légales ou réglementaires, et régulièrement habilitées à connaître ces informations et données, de bénéficier de ces échanges »32 . 61. En ce qui concerne les problématiques liées à la protection des données qui ont pu être relevées concernant le système du « once only », il y a lieu de souligner que le Contrôleur européen de la protection des données (ci-après le « CEPD ») a estimé que pour « une mise en œuvre réussie du principe « une fois pour toutes » à l’échelie de l’UE (...) ledit principe doit être appliqué conformément aux principes pertinents de la protection des données »33 . 62. Ainsi, il a notamment estimé que le « once only » pouvait potentiellement soulever des problématiques en ce qui concerne la base juridique du traitement, la limitation de la finalité et la minimisation des données et les droits des personnes concernées. 63. Sans reprendre de manière exhaustive l’ensemble des développements formulés par le CEPD, il y a lieu de souligner que ce dernier a notamment recommandé, en ce qui concerne le choix de la base juridique du traitement, que « dans toute la mesure du possible, le traitement ultérieur de données à caractère personnel basé sur le principe « une fois pour toutes » » devrait être « spécifié dans un instrument législatif offrant des garanties adéquates pour assurer le respect de la législation en matière de protection des données, notamment le principe de limitation de la finalité et le respect des droits des personnes concernées »34. 64. En ce qui concerne le principe de la limitation de la finalité, le CEPD a souligné en ce qui concerne le respect du principe de la limitation des finalités qu’il ne s’agit « toutefois pas d’une autorisation illimitée d’adopter tout texte législatif général et large permettant de réutiliser sans fin des données à caractère personnel entre différents ministères. Conformément à la Charte des droits fondamentaux, la loi doit respecter certaines exigences pour qu’il puisse être dérogé au principe de la limitation de la finalité » 35 et a encore estimé que « conformément aux observations qui 32 Commentaire des articles ad article 9 Avis 8/2017, avis du CEPD sur la proposition de règlement établissant un portail numérique unique et sur le principe « une fois pour toutes », page 9 34 Avis 8/2017, avis du CEPD sur la proposition de règlement établissant un portail numérique unique et sur le principe « une fois pour toutes », page 9 35 Avis 8/2017, avis du CEPD sur la proposition de règlement établissant un portail numérique unique et sur le principe « une fois pour toutes », page 11. 33 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n D8395. VtOKOKM 21/49 précèdent et à moins qu’un motif approprié de limitation visé à l’article 23.1 du RGPD soit disponible ou que les personnes concernées aient donné leur consentement, le principe de limitation de la finalité doit être respecté, même lorsqu’une législation de l’Union ou d’un Etat membre prévoit l’application du principe « une fois pour toutes » »36 . 65. Enfin, l’autorité de protection des données française a également eu l’occasion de se prononcer à plusieurs reprises sur le principe « dites-le nous une fois »37 à l’occasion de son introduction en droit français. Ainsi, cette dernière a considéré que « si la simplification des démarches administratives et l’amélioration des relations entre le public et les administrations constituent des objectifs légitimes, la mise en œuvre des échanges de données à caractère personnel dans ce cadre doit être limitée aux données strictement nécessaires et garantir le respect des droits des personnes ainsi que la sécurité et la confidentialité de leurs données à caractère personnel »38 . 66. Dès lors, les développements ci-après porteront notamment une attention particulière au respect des principes énoncés ci-avant et le projet de loi sera analysé à la lumière des remarques formulées supra. 2. Sur les acteurs visés par le « once only » 67. La CNPD se permet de réitérer ses vives inquiétudes quant au champ d’application du « once only », compte tenu du nombre très important d’acteurs qui seraient visés. En effet, compte tenu de la définition des entités publiques par le projet de loi 39, la CNPD s’interroge sur la nécessité de prévoir un tel mécanisme pour des établissements publics et des groupements d’intérêts économiques. Ainsi, la Commission nationale regrette que le système du « once only » ne vise pas que des administrations à l’instar de la France. 3. Sur le respect du principe de la limitation des finalités et du principe de minimisation des données 36 Avis 8/2017, avis du CEPD sur la proposition de règlement établissant un portail numérique unique et sur le principe « une fois pour toutes », page 12. 37 L’équivalent français du « once only ». 38 Délibération 2021-035 du 25 mars 2021 délibération n°2022-101 du 6 octobre 2022. 39 V. points 7 et suivant du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 22/49 68. En vertu du principe de la limitation des finalités, les données personnelles doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités40. Le principe de minimisation des données implique quant à lui que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées 41. 69. En ce qui concerne le principe de la limitation des finalités, comme relevé par le CEPD, le projet de loi doit respecter certaines exigences afin qu’il puisse y être dérogé. 70. Force est de constater que l’article 9.3 du projet de loi énumère les finalités pour lesquelles les données peuvent être traitées dans le cadre de la mise en œuvre du « once only ». L’article 9.2 du projet de loi précise que seules les données « nécessaires » peuvent être échangées entre entités publiques. 71. il convient encore de noter que l’article 9.2 alinéa 2 du projet de loi prévoit, à l’instar des dispositions françaises42, un échange de données entre entités publiques afin de pouvoir informer les administrés concernant leurs droits et le cas échéant leur octroyer des prestations ou avantages. Il y a lieu de regretter que les raisons pour lesquelles les auteurs aient décidé d’introduire cette finalité en même temps que celle du « once olny » n’ait pas plus été détaillée par les auteurs du projet de loi. Aussi, la CNPD aurait préféré à l’instar des dispositions françaises que seules les données strictement nécessaires puissent faire l’objet d’un tel échange43. L’ajout du terme « strictement » constitue une garantie supplémentaire afin de respecter le principe précité. 72. L’article 11.3 du projet de loi dispose encore que « [l]es informations et les données à caractère personnel collectées et échangées en application du présent titre ne peuvent être utilisées ultérieurement à des fins de détection systématique d’une fraude ». Cependant, le texte en projet précise également que cette interdiction « ne vise pas les autorités, administrations, services, institutions ou organismes habilités, par ou en vertu de la loi, à procéder auxdites détection et ce pour les détections sur lesquelles porte cette habilitation ». 40 Article 5.1,
  11. b)du RGPD. Article 5.1,
  12. c)du RGPD. 42 Article L114-8 II du Code des relations entre le public et l'administration 43 Article L114-8 du Code des relations entre le public et l’administration 41 CNPD] cû*w*JK* I Avis de ,a Commission nationale pour la protection des données « relatif au projet de loi n°8395. ntCltOKM I OÜWMRfW I u -1 23/49 73. 74. S’il convient de saluer l’introduction de dispositions qui prévoient que les données ne peuvent pas être utilisées ultérieurement à des fins de détection systématique d’une fraude, l’exception qui est également précisée à l’article 11.3 du projet de loi porte à confusion. Ainsi, comme relevé par l’autorité de protection des données française, si les échanges de données effectués aux fins de répondre à une démarche administrative d’un usager ne posent pas « de difficulté de principe dès lors que l'atteinte à la vie privée apparaît faible »44, tel n’est pas le cas si les données utilisées dans le cadre des dispositions de l’article 9.2 sont par la suite utilisées pour des finalités ultérieures différentes, à savoir la détection d'une fraude45 . La CNPD regrette que les auteurs du projet de loi n’aient pas reproduits les dispositions légales françaises qui prévoient que « [l]es informations et les données ainsi recueillies et les traitements mis en œuvre en application du présent article pour procéder à ces échanges ne peuvent être ultérieurement utilisés à d'autres fins, en particulier pour la détection ou pour la sanction d'une fraude »46 . 75. Enfin, les dispositions de l’article 11 du projet de loi peuvent se lire comme une garantie aux principes de limitation de la finalité et de minimisation des données alors que « [Identité publique ne sollicite pas l'échange d’informations et de données à caractère personnel auprès d’une autre entité publique s’il est manifeste qu’elle n’est pas compétente pour traiter la demande ou la déclaration présentée par l’administré ». 4. Sur les catégories de données à caractère personnel faisant l’objet d’un échange entre entités publiques et sur leur origine 76. Il ne ressort pas des dispositions en projet quelles seraient les catégories de données à caractère personnel qui pourraient faire l’objet de ces échanges de données « à grande échelle » en application du système « once only ». 77. Cependant, il y a lieu de noter que pour chaque demande effectuée par l’administré auprès d’une entité publique, celle-ci l’informera des données à caractère personnel nécessaires au traitement de sa demande et également les coordonnées de l’entité publique d’où proviennent les données à caractère personnel47 . 44 Délibération CNIL 25 mars 2021 Délibération CNIL 25 mars 2021 46 L114-8 II Code des relations entre le public et l’administration 47 Article 11.2 du projet de loi 45 CNPD Avis d e *a Commission nationale pour la protection des données relatif au projet de loi n°8395. 24/49 78. De plus, il est également précisé à l’article 11.6 du projet de loi qu’un « règlement grand-ducal détermine les informations ou données à caractère personnel, qui en raison de leur nature, ne peuvent faire l’objet de ces échanges entre entités publiques ». La CNPD déplore qu’un tel projet de règlement grand-ducal ne lui ait pas été transmis concomitamment à sa saisine dans le cadre de ce projet de loi. Or, de telles informations auraient été les bienvenues alors qu’elle se demande si des catégories particulières de données seraient échangées ou si des données visées à l’article 10 du RGPD 48 seraient échangées. Ce d’autant plus alors que des garanties appropriées doivent être mises en place lors du traitement de telles données. 79. Par ailleurs, à l’instar des dispositions françaises les auteurs du projet de loi ne pourraient-ils pas d’ores et déjà préciser que les données qui « en raison de leur nature, notamment parce qu’elles touchent au secret médical et au secret de la défense nationale, ne peuvent faire l’objet de ces échanges entre administrations » ? 80. De même, il convient de regretter qu’il ne soit pas précisé dans le texte en projet qu’une entité publique ne peut se procurer des documents contenant des données à caractère personnel qu’auprès des administrations détentrices des données d’origine en cause et non pas auprès d’une entité qui est seulement un destinataire des documents. 81. A ce titre, la CNPD regrette que le texte en projet ne s’inspire pas des dispositions françaises visées à l’article D114-9-1 du Code des relations entre le public et l’administration qui encadre « l’origine des données » par la colonne nommée « Administrations chargées de la mise à disposition ». Pour une meilleure compréhension de ses propos la Commission nationale se permet de reproduire partiellement le texte légal français précité : Personnes concernées 48 Types d'informations ou de données Administrations chargées de la mise à disposition II s’agit des traitements de données à caractère personnel relatives aux condamnations pénales et aux infractions. CNPD] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. U wrciecwo. I Dft&OwÇe» -1 25/49 Particuliers Particuliers Situation du foyer fiscal Droits sociaux, revenus et prestations ; Situation de la famille Particuliers Situation de l'enfant au regard de l'obligation scolaire Direction générale des finances publiques Organismes de protection sociale et organismes mentionnés au premier alinéa de l'article L. 133-5 du code de la sécurité sociale, au I de l'article 3 de l'ordonnance n° 77-1102 du 26 septembre 1977 et au I de l'article 19 de l'ordonnance n° 96-1122 du 20 décembre 1996 Ministère chargé de l'éducation nationale Son homologue français avait notamment relevé que cette liste, partiellement reproduite cidessus, permet « d’établir des administrations de référence pour la mise à disposition de chaque donnée recherchée par une administration tierce, permettant ainsi de s’assurer que la donnée est bien collectée directement auprès de l’administration détentrice de la donnée d’origine, fiable et unique, et non auprès de tout autre administration qui en disposerait également. Elle estime que cette mesure est de nature à éviter des erreurs dans les données échangées et la propagation de données inexactes ou non actualisées auprès des administrations ». Par conséquent, la CNPD estime nécessaire et primordial que des dispositions similaires soient introduites expressément dans le texte en projet. 82. Ainsi, la CNPD avise négativement les dispositions prévues à l’article 10 du projet de loi qui prévoient qu’il revient aux administrés pour chaque démarche entreprise auprès d’une « entité publique » de « certifier l’exactitude des informations et des données à caractère personnel » obtenues à travers le système du « once only ». 83. Cet article prévoit encore que si les données s’avèrent inexactes l’administré est tenu de les rectifier auprès « de l’entité publique d’où elles proviennent et de communiquer les informations CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 26/49 et les données à caractère personnel rectifiées à l'entité publique en charge du traitement de la demande ou de la déclaration présentée par l’administré ». 84. En effet, de telles dispositions sont contraires à l’esprit du « once only » qui est de faciliter les démarches des administrés. Par ailleurs, en vertu de l’article 16 du RGPD, l’administré dispose d’ores et déjà d’un droit de rectification. 5. Sur le droit des personnes concernées 85. La CNPD tient à rappeler l’importance du respect des droits des personnes concernées en matière de protection de données dans le cadre de la mise en œuvre du principe du « once only ». De même qu’elle tient à souligner l’importance du principe de transparence dans le contexte précité49. 86. Il y atout particulièrement lieu d’attirer l’attention des auteurs du projet sur le fait que chaque entité qui échangera des données en vertu des dispositions sous avis devra accorder une attention particulière aux modalités de délivrance de l’ensemble des informations visées à l’article 13 du RGPD, afin de s’assurer que la transparence peut ainsi être garantie. La CNPD rappelle également l’importance de s’assurer que l’information des personnes concernées soit complète et de qualité au regard des exigences posées par l’article 14 du RGPD. De plus, elle recommande notamment que les informations soient transmises avant chaque étape de la démarche administrative initiée par une personne concernée. En outre, en cas d’exercice du droit d’opposition par la personne concernée, cette information devrait aussi indiquer les modalités alternatives pour effectuer la démarche entreprise sans bénéficier du dispositif du « once only ». 87. Par ailleurs, chacun des responsables du traitement devra s’assurer de l’effectivité des droits des personnes concernées, tel que le droit d’opposition, de rectification des données, ainsi que le droit d’accès. Ainsi, la CNPD estime essentiel qu’une traçabilité précise des échanges soit assurée, permettant l’exercice du droit d’accès sur les données. Cette traçabilité doit permettre de retracer les échanges qui ont eu lieu, entre quelles administrations, à quel moment. A cet égard, elle recommande la mise en place de moyens techniques qui permettraient à chaque administré de 49 Article 5.1,
  13. a)du RGPD ainsi que le chapitre III, section 1 du RGPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 27/49 prendre connaissance, de manière simple et consolidée, de l’ensemble des échanges de données le concernant. 88. Elle se demande également si à l’instar des dispositions prévues à l’article 38 de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques, il ne serait pas possible de permettre aux personnes concernées d'obtenir sur MyGuichet.lu une liste des entités publiques ayant eu recours au système du « once only » liée aux démarches entreprises par l’administré ou aux démarches proactives effectuées par les entités publiques, le cas échéant. 6. Sur les mesures techniques et organisationnelles 89. Conformément au principe d’intégrité et de confidentialité 50 , les données personnelles doivent être traitées de façon à garantir une sécurité appropriée des données à caractère personnel. Le responsable du traitement doit assurer l’intégrité et la confidentialité des données à l’aide de mesures techniques et organisationnelles appropriées, notamment contre un traitement nonautorisé ou illégal et contre la perte, destruction ou altération accidentelle des données. 90. La CNPD estime que le respect de ce principe est primordial dans le cadre de la mise en œuvre du système « once only » et regrette donc que le projet de loi reste muet à ce sujet. Ainsi, il est primordial que l’échange de données entre les administrés et les entités publiques d’une part et l’échange de données entre les entités publiques entre elles d’autre part, garantissent la sécurité et la confidentialité des données personnelles des personnes concernées 51. 91. Il y a lieu d’attirer l’attention des auteurs du projet de loi sur le fait que les mesures techniques et organisationnelles devraient comporter des moyens d’authentification forte tant pour les échanges entre administrés et entités publiques que pour les échanges entre entités publiques. De même, ces mesures devraient permettre la traçabilité des échanges, ainsi qu’une journalisation des opérations d’échanges de données. 92. En outre ces mesures techniques devraient permettre d’éviter tout accès illicite à des données personnelles et assurer le principe de minimisation des données. 50 L'article 5.1.
  14. f)du RGPD les données à caractère personnel doivent être traitées « de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) », v. également article 32 du RGPD. 51 Délibération de la CNIL n“2021-0035 du 25 mars 2021. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 28/49 93. Par ailleurs, il convient de noter qu’en France des dispositions spécifiques relatives aux mesures techniques et organisationnelles sont prévues afin d’encadrer des systèmes similaires à celui prévu par le texte sous avis 52. Ces dispositions légales françaises prévoient également des durées de conservation spécifiques en ce qui concerne les données relatives à la traçabilité qui diffèrent selon que les données sont échangées dans le cadre du système « once only » ou dans le cadre du système permettant d’échanger les données pour informer proactivement un administré de son droit au bénéfice éventuel d’une prestation ou d'un droit 53. De telles durées de conservation ne devraient-elles pas être prévues également dans le projet de loi ? 94. Enfin, conformément à l’article 32.1,
  15. d)du RGPD, l’efficacité de ces mesures devra être régulièrement évaluée pour assurer la sécurité des traitements. 95. Par conséquent, en l’absence de précisions en ce qui concerne le cadre technique et organisationnel, la Commission nationale estime que des précisions à ce sujet devraient être intégrées dans le texte du projet de loi. 7. Sur les durées de conservation 96. En vertu du principe de limitation de la conservation, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées54. 97. Il y a lieu de noter que les documents échangés en vertu du système « once only » devront être conservés en fonction des finalités déterminées par chacune des entités pour lesquelles ces documents sont traités. 98. Toutefois, il est intéressant de noter qu’en France, des durées de conservation sont spécifiées dans le Code des relations entre le public et l’administration. 52 V. articles R114-9-6 et suiv. du Code des relations entre le public et l’administration. Article R114-9-7 du Code des relations entre le public et l’administration. 54 Article 5.1,
  16. e)du RGPD. 53 CNPDl v s c e ’ * *a Commission nationale pour la protection des données relatif au projet de loi n°8395. -I 29/49 Ainsi, en ce qui concerne plus particulièrement les échanges de données entre administrations « pour informer les personnes sur leur droit au bénéfice éventuel d'une prestation ou d'un avantage prévus par des dispositions législatives ou des actes réglementaires et pour leur attribuer éventuellement lesdits prestations ou avantages »55, il est prévu qu’« [u]n décret en Conseil d'Etat, pris après un avis motivé de la Commission nationale de l'informatique et des libertés rendu public, détermine les conditions d'application du présent II, notamment la durée et les modalités de conservation des informations et des données collectées à cette occasion ». En l’absence de précision à ce sujet dans le texte en projet, il est regrettable qu’aucune précision à ce sujet ne figure dans le projet de loi. 8. Sur l’opposabilité du secret professionnel 99. Il y a lieu de saluer les auteurs du projet de loi pour avoir expressément prévu que les entités publiques destinataires des informations et des données ne peuvent se voir opposer le secret professionnel dès lors qu’elles sont dans le cadre de leurs missions légales, habilitées à avoir connaissance des informations ou des données à caractère personnel 56. 9. Sur les modalités de fonctionnement du « once only » 100. L’article 12 du projet de loi fait peser sur les entités publiques l’obligation d’identifier dans les meilleurs délais les informations et les données à caractère personnel qu’elles pourraient obtenir auprès d’une autre entité publique tant dans le cadre des démarches qui pourraient être effectuées à l’initiative de l’administré tant que pour informer les administrés sur leur droit au bénéfice éventuel d’une prestation ou d’un avantage prévus par des dispositions légales en vue de leur attribuer lesdits prestations ou avantages. 101. La CNPD prend note du choix des auteurs du projet de loi de faire peser sur les entités publiques cette obligation de recensement des données à caractère personnel qui pourraient être obtenues auprès d’autres entités publiques. Au vu de l’ampleur des échanges projetés et du nombre d’acteurs qui seraient impliqués, elle regrette que les catégories de données ne soient pas définies dans le projet de loi. 55 56 Article l_114-8, Il du Code des relations entre le public et l’administration. Article 11.5 du projet de loi CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 30/49 102. Par ailleurs, les dispositions de l’article 12.2 du projet de loi prévoient que le ministre ayant la digitalisation dans ses attributions (ci-après le « ministre ») puisse se voir communiquer une copie de l’information « relative à la disponibilité des informations et données », telles que prévue par l’article 12.1, « afin de permettre à ce dernier de cartographier les flux des échanges « once only », notamment pour l’identification d’éventuelles sources authentiques »57. En l’absence de précisions en ce qui concerne le rôle que jouerait le ministre, il y a lieu de s’interroger sur les raisons pour lesquelles ce dernier devrait cartographier les flux des échanges « once only » ainsi que les raisons pour lesquelles il lui serait nécessaire d’identifier des sources authentiques. De même qu’il convient encore de se demander ce que recouvre le terme « sources authentiques », en l’absence de toute définition dans le texte sous avis. 103. L’article 13 du projet de loi crée dans le chef des entités publiques une obligation « de formaliser chaque type d’échanges d’informations et de données à caractère personnel visé par l’obligation « once only » par le biais d’un protocole contenant tous les éléments obligatoires cités par la disposition sous examen »58. Ce protocole a par la suite vocation à être publié par l’Autorité des données par voie électronique59. La CNPD salue une telle publication qui œuvre pour une meilleure transparence des échanges de données qui seraient effectués en vertu des dispositions sous avis. Les auteurs du projet de loi précisent effectivement dans le commentaire des articles que « la mise en place d’une infrastructure standardisée de publication des protocoles et d’un pilotage centralisé au niveau de l’Autorité des données permettent en effet de garantir de manière efficace la transparence administrative dans le cadre de la mise en œuvre du principe « once only ». Ainsi, les administrés peuvent consulter toutes les informations sur les échanges d’informations et de données à caractère personnel effectués par les entités publiques auprès d’une seule source centralisé ». 104. L’article 13.1 du projet de loi énumère l’ensemble des éléments qui devraient figurer dans le protocole précité. La Commission nationale regrette que la base de licéité du traitement ne soit pas reprise dans le protocole contrairement à la législation française qui le prévoit. 105. Enfin, l’article 14 prévoit la tenue par l’Autorité des données d’un registre de tous les protocoles qui lui sont transmis pour publication. Il est également prévu que le ministre puisse avoir accès à 57 V. ad article 12 V. ad article 13 59 Article 13.3 du projet de loi 58 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 31/49 ce registre « en vue d’identifier les sources authentiques d’informations et de données ». Des précisions à ce sujet devraient être apportées par les auteurs du projet de loi. La CNPD renvoie à ses commentaires formulés au point 102 du présent avis. 10. Remarques finales 106. Compte tenu des dispositions légales nationales existantes qui pourraient s’appliquer en parallèle de la mise en œuvre de ce système, la CNPD souhaite faire part de ses interrogations ou problématiques qu’elle a pu identifier. 107. Elle s’interroge notamment sur l’articulation de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques avec le texte en projet. En effet, bien que l’utilisation du numéro d’identification (dit « matricule ») ne soit pas expressément visée par le projet de loi, la Commission nationale voit difficilement comment la mise en œuvre du « once only » pourrait fonctionner sans l’utilisation du matricule des administrés. De manière générale, elle constate la tendance actuelle consistant à utiliser le matricule pour la mise en œuvre des démarches électroniques entre un administré et une administration. Bien que la CNPD puisse comprendre une telle utilisation, ne faudrait-il pas adapter la loi relative à l’identification des personnes physiques en ce sens ? En effet, il convient de se demander compte tenu de la multiplication des démarches en ligne, s'il ne serait désormais pas possible de tenir un historique des « traces administratives » d’un administré ? 108. En outre, l’autre problématique identifiée par la Commission nationale est relative à la multitude de bases de licéité des traitements de données qui seraient applicables en sus du projet de loi. A titre d’exemple, comment les dispositions du projet de loi s’articuleront avec les dispositions du règlement grand-ducal modifié du 23 juillet 2016 fixant la liste des administrations et personnes morales de droit public pouvant demander un bulletin n“2 ou n°3 du casier judiciaire avec l'accord écrit ou électronique de la personne concernée ? Ainsi, il convient de regretter que les auteurs du projet de loi n'aient pas précisé dans le commentaire des articles, ce qu’il adviendrait lorsqu’une autre base de licéité s’appliquerait le cas échant en ce qui concerne l’obtention de données personnelles par une entité publique. 109. Enfin, il ressort du rapport d’activité 2015 du CTIE que « MyGuichet est la plateforme interactive sécurisée, intégrée à Guichetlu, qui permet aux citoyens et aux entreprises d’effectuer des démarches administratives par la voie électronique auprès des administrations compétentes. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 32/49 Ainsi, l’utilisateur remplit son formulaire en ligne, le signe de manière électronique, y joint ses pièces justificatives puis transmet le tout via MyGuichet. Les principales fonctionnalités offertes par MyGuichet sont : • les assistants de services (démarches) qui permettent un dialogue simplifié ; • un espace de stockage pour les documents ; • un module de signature électronique ; • un système de messagerie qui permet entre autre un retour électronique ; • le suivi des démarches. MyGuichet permet également de consulter des sources exactes. A travers les sources exactes l’utilisateur peut consulter les données détenues par l’Etat le concernant. Les sources exactes permettent : • au Gouvernement d’appliquer le principe de transparence par rapport aux données stockées et la possibilité de présenter qui a consulté ces données ; • la possibilité d’y adjoindre des démarches en vue de rectifier les données et donc d’augmenter la qualité de celles-ci ; • d’appliquer le principe du « once only » puisque les sources exactes peuvent servir par la suite au pré remplissage de démarches administratives ; • de rationaliser les efforts des administrations qui désirent publier des données personnelles »60 . La Commission nationale comprend dès lors que cette plateforme aurait vocation à servir de canal de communication sécurisé entre les citoyens et les entités publiques dans le cadre de la mise en œuvre du « once only ». En effet, il ressort de l’article 2,
  17. m)de la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’Etat que le « centre a pour mission la mise en place et l'exploitation des plateformes d'échange avec les citoyens et les entreprises ». Cependant, elle se demande s’il ne conviendrait pas d’encadrer plus précisément l’utilisation de MyGuichet alors que cette plateforme semble être de plus en plus plébiscitée dans le cadre d’échange entre citoyens et administrations. En effet, elle constate par exemple que dans le cadre du projet de loi n°8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l’archivage électronique ainsi que du projet de règlement grand-ducal fixant certaines 60 Disponible sous le lien suivant : https://qouvernement.lu/dam-assets/fr/publications/rapport-activite/minist-fonctionpublique-refomne-administrative/centre-des-technoloqies-de-l-information-de-l-etat-ctie/2015-rapport-activitectie/2015-rapport-activite-ctie.pdf CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 33/49 modalités d’application de la loi relative à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l’archivage électronique, les auteurs desdits textes ont détaillés les conditions et modalités d’utilisation de la plateforme sécurisée61. C. Sur le traitement ultérieur de données à caractère personnel par les entités publiques 1. Remarques liminaires 110. L’article 15 du projet de loi intitulé « Finalités du traitement ultérieur autorisées et licéité du traitement », autorise le « traitement ultérieur de données à caractère personnel par des entités publiques s’il est réalisé pour l’une ou plusieurs des finalités énoncées à l’article 15, sous réserve que les conditions énoncées au titre V de la loi soient remplies ». Les auteurs du projet de loi précisent dans le commentaire des articles encore que ces dispositions permettent aux entités publiques d’effectuer un traitement ultérieur de données « pour des finalités déterminées par le texte, sans devoir réaliser le test de compatibilité des finalités conformément aux critères énoncés à l’article 6.4 du [RGPD] »62. Ces derniers ajoutent encore que cette disposition permettant la mise à disposition des données que leur partage ainsi que le traitement ultérieur qui serait mis en œuvre par les entités publiques. 111. Il y a lieu de rappeler que le considérant 50 du RGPD énonce que « [l]orsque [...] le traitement est fondé sur [. ..] le droit d’un Etat membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir, en particulier, d’importants objectifs d’intérêt public général, le responsable du traitement devrait être autorisé à effectuer un traitement ultérieur des données à caractère personnel indépendamment de la compatibilité des finalités ». En effet, les conditions de l’article 6.4 du RGPD ne s’appliquent notamment pas lorsque le traitement se fonde sur le droit d’un Etat membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l’article 23.1 du RGPD. 112. Les auteurs du projet de loi estiment dans le commentaire des articles que « l’allégement de la charge administrative sur les personnes physiques ou les organisations, l’efficacité accrue des procédures administratives et l’économie de temps et de ressources, constituent sans nul doute 61 62 V. notamment article 5 du projet de loi V. Ad article 15. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 34/49 des objectifs d’intérêt public valables ». Ainsi, selon les auteurs du projet de loi les dispositions du projet de loi, lues à la lumière de l’article 23.1 du RGPD, poursuivraient des objectifs d’intérêt public. Toutefois, la Commission nationale ne souscrit pas à une telle analyse, alors qu’elle partage la position du CEPD qui dans son avis sur la proposition de règlement établissant un portail numérique unique et sur le principe « une fois pour toutes », a estimé que « [l]’allégement de la charge administrative sur les personnes physiques ou les organisations, l’efficacité accrue des procédures administratives et l’économie de temps et de ressources, qui sont souvent les objectifs premiers des applications du principe « une fois pour toutes » constituent sans nul doute des objectifs d’intérêt public valables. Néanmoins, ils ne sont pas spécifiquement mentionnés dans la liste visée à l’article 23, paragraphe 1, et ne constituent pas en soi un motif licite permettant de restreindre la portée du principe de limitation de la finalité pour atteindre ces objectifs. Cela étant, comme indiqué plus haut, on ne peut exclure que dans certains cas spécifiques, l’un ou l’autre des fondements juridiques des limitations visées à l’article 23, paragraphe 1, point d), puisse être approprié ». Par ailleurs, en ce qui concerne les traitements ultérieurs à des fins de recherche scientifique ou à des fins statistiques, selon le considérant 50 du RGPD de tels traitements devraient être considérés comme des opérations de traitement compatibles et licites. En tout état de cause, force est de constater que les articles 63 et suivants de la loi du 1 er août 2018 prévoient d’ores et déjà d’encadrer de tels traitements. Sur ce point il est encore renvoyé au point 115 du présent avis. 2. Un enchevêtrement de bases légales 113. Les auteurs du projet de loi précisent dans le commentaire des articles que le système envisagé « s’applique sans préjudice de la possibilité pour les entités publiques d’effectuer des traitements ultérieurs de données à caractère personnel sur base de leur compatibilité ou de procéder à des traitements ultérieurs de données à caractère personnel sur base d’une disposition spécifique du droit de l’Union ou du droit national applicable, telles que l’article 4, paragraphe 4 de la loi du 3 décembre 2014 ayant pour objet l’organisation des centres de recherches publics ou l’article 423, point 4° du Code de la sécurité sociale ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. **onc»o* 35/49 114. La CNPD relève que plusieurs textes légaux sont susceptibles de s’appliquer, outre ceux déjà précisés ci-avant par les auteurs du projet de loi. 115. En effet, comment les dispositions sous avis s’articulent avec les dispositions de l’article 89 du RGPD ainsi qu’avec les dispositions du Chapitre 2 intitulé « Traitement à des fins de recherche scientifique ou historique ou à des fins statistiques » de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données » ? De même, dans une moindre mesure, il convient également de s’interroger sur l’articulation des dispositions du projet de loi avec celles de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. 116. Enfin, dans ce contexte, la Commission nationale se demande si l’ajout d’un nouveau texte légal, tel que celui projeté, ne va pas complexifier la tâche des entités publiques et nuire à la sécurité juridique. 3. Sur les traitements ultérieurs de données pour les finalités énumérées à l’article 15 du projet de loi a. L’article 15 du projet de loi 117. Les finalités visées par l’article 15 du projet de loi sont les suivantes : - l'analyse statistique ; - les activités d’éducation ou d’enseignement, y compris au niveau de l’enseignement professionnel ou supérieur ; - la recherche scientifique dans l’intérêt public ou dans l’intérêt général ; - l’évaluation et la planification des politiques envisagées ou planifiées par le Gouvernement et approuvées par décision du Gouvernement en conseil, ou en ce qui concerne les communes, envisagées ou planifiées par le Conseil communal ; - lorsque la mise en œuvre d’un accord international requiert la communication d’informations ou lorsque le traitement ultérieur des données à caractère personnel permet de répondre aux demandes d’informations officielles provenant de gouvernements étrangers ou d’organisations internationales approuvées par décision du Gouvernement en conseil ; - les activités de développement, d’évaluation, de démonstration, de sécurité et d’innovation de dispositifs ou de services ; CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. VOHCHOM 36/49 - la formation, le test et l’évaluation d’algorithmes, y compris dans les dispositifs, les systèmes d’intelligence artificielle et les applications numérique. 118. En l’absence de précisions sur les catégories de données qui seraient visées ainsi que les acteurs qui pourraient effectuer des traitements63 sur base de cet article 15, la Commission nationale n’est pas en mesure d’apprécier si l’ensemble des principes visés à l’article 5 du RGPD seraient en mesure d'être respectés. Toutefois, elle se demande s’il n’aurait pas été possible d’être plus précis alors que le considérant 50 du RGPD énonce que « [s]i le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, le droit de l’Union ou le droit d’un Etat membre peut déterminer et préciser les missions et les finalités pour lesquelles le traitement ultérieur devrait être considéré comme compatible et licite »64 . 119. Par ailleurs, la Commission nationale note que les auteurs du projet de loi entendent introduire une base de licéité en ce qui concerne les traitements effectués par les entités publiques à des fins d’intelligence artificielle, notamment en ce qui concerne la création d’algorithme. A défaut de précisions dans le projet de loi, la Commission nationale n’est toutefois pas en mesure d’apprécier si un traitement pour une telle finalité respecte les principes généraux du RGPD. 120. En tout état de cause, il y a lieu de souligner que le considérant 50 du RGPD énonce que « l’application des principes énoncés dans le [RGPD] et, en particulier, au sujet de ces autres finalités et de ses droits, y compris le droit de s’opposer au traitement, devraient être assurées »65 . b. Les dispositions légales étrangères 121. Les auteurs du projet de loi indiquent dans le commentaire des articles s’inspirer de dispositions légales allemandes ainsi que finlandaises similaires. 122. Or, il convient de relever que les dispositions légales allemandes diffèrent grandement des dispositions légales envisagées de sorte que le parallèle effectué par les auteurs du projet de loi ne s’avère pas pertinent en l’espèce. 63 II est renvoyé aux points 7 et suiv. du présent avis sur la définition d’entité publique. II est renvoyé infra au point 112 du présent avis. 65 V. points 146 et suiv. du présent avis. 64 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. ’tlXKTKW 37/49 En effet, les dispositions du § 23 du BDSG visent le traitement ultérieur de données soit dans l’intérêt manifeste de la personne concernée, ou justifié par des motifs impérieux d’intérêt public. Ainsi, par exemple en ce qui concerne le traitement ultérieur de données dans l’intérêt manifeste de la personne concernée, il ne doit pas y avoir de raisons de penser que la personne concernée refuserait de donner son consentement si elle avait connaissance du nouvel usage de ces données. En outre, les finalités visées par lesdites dispositions diffèrent encore de celles énumérées par le projet de loi. Ainsi, l’analogie avec le droit allemand ne fait pas de sens aux yeux de la CNPD. 123. En ce qui concerne les dispositions finlandaises citées par les auteurs du projet de loi, la même analyse est retenue par la Commission nationale alors que le champ d’application de la législation finlandaise a un champ d’application beaucoup plus restreint qui se limite notamment à la réutilisation de données dans le contexte de la santé 66. 4. Sur les garanties appropriées 124. L’article 16 paragraphes 1 et 2 du projet de loi conditionne la réutilisation des données pour des finalités ultérieures différentes à l’anonymisation sinon à la pseudonymisation des données. La Commission nationale comprend que ces données doivent être préalablement anonymisées ou pseudonymisées par l’entité détentrice des données. Il est encore précisé que lorsque le « traitement ultérieur de données à caractère pseudonymisées ne permet pas d’atteindre la finalité poursuivie », les données non anonymisées et non pseudonymisées pourraient être traitées ultérieurement pour les finalités énoncées à l’article 15 du projet de loi « dans les limites du strict nécessaire »67 . Il convient de regretter que le commentaire des articles ne précise pas quelles situations seraient visées par les « limites du strict nécessaire ». En tout état de cause, il conviendrait autant que possible que des données non anonymisées et non pseudonymisées ne soient pas utilisées pour des traitements de données ultérieurs pour des finalités différentes de celles initiales pour lesquelles elles sont traitées. 66 67 Disponible sous le lien suivant : Muistiopohja. V. article 16.3duRGPD CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. 38/49 Il y a lieu de saluer que les garanties visées à l’article 35 du projet de loi doivent être mises en œuvre dans le cadre des traitements ultérieurs de données visées à l’article 15 du projet de loi. En outre, l’obligation d’introduire une demande à formuler devant l’Autorité des données en ce qui concerne le traitement ultérieur des données 68, semble également constituer une garantie appropriée. La CNPD reviendra supra plus en détail sur ce point. 125. De même qu’il convient encore de saluer que toute réidentification de l’identité de toute personne concernée à laquelle se rapporte les données est interdite par le projet de loi aux entités publiques. 126. Par ailleurs, la CNPD prend note que le terme anonymisation est défini par l'article 2.2 du projet de loi. Les auteurs du projet de loi indiquent que « pour des raisons de sécurité juridique, une définition en droit interne du terme « anonymisation » est prévue. Ils précisent encore que cette définition tient compte de la neutralité technologique. Cependant, la CNPD se demande si l’introduction en droit interne de cette définition ne constitue pas un risque ultérieur de se voir enfermer dans cette définition en cas d’évolution technique ou jurisprudentielle sur la question. Elle préférerait dès lors que cette définition soit omise du texte en projet. 5. Sur le traitement ultérieur de données à caractère personnel par la même entité publique 127. Il convient de saluer que l’article 17 prévoit des garanties supplémentaires en ce qui concerne les traitements ultérieurs de données visées aux articles 9 et 10 du RGPD. En effet, conformément à l’article 17.2 du projet de loi, les données à caractère personnel visées aux articles précitées ne peuvent pas être traitées de manière non-anonymisées ou non-pseudonymisées. 6. Sur le traitement ultérieur de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques 128. Il y a lieu de noter que l’article 18 du projet de loi prévoit des conditions spécifiques aux traitements ultérieurs de données à caractère personnel par une autre entité publique ou par plusieurs entités publiques. La CNPD comprend que les dispositions dudit article encadrant une telle réutilisation sont plus strictes. Elle tient à saluer les auteurs du projet de loi pour avoir prévu 68 V. articles 27 et suiv. du projet de loi. CNPD] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. L “ J 39/49 un régime plus strict alors que le traitement ultérieur par une autre entité publique ou par plusieurs entités publiques est d’une plus grande ampleur. 7. Sur les modalités applicables au traitement ultérieur des données à caractère personnel 129. Les articles 27, 29 et 31 conditionnent le traitement ultérieur de données à une demande à introduire devant l’Autorité des données, qui autorisera ou non le traitement. L’article 27 énumère les informations à fournir lors de l’introduction d’une telle demande. 130. L'article 32 précise encore le contrôle qui pourrait être effectué par l’Autorité des données quant à la demande pour un traitement ultérieur de données à caractère personnel formulée par une entité publique. Enfin l’article 34 prévoit que les autorisations délivrées dans ce contexte par l’Autorité des données figurent dans le registre public des autorisations tenu par cette dernière. Il convient de saluer cette publication d’un point de vue du principe de la transparence69 . 131. En outre, et comme relevé tout au long de cet avis, la CNPD émet de vives inquiétudes quant à l’articulation de ses pouvoirs de sanction au sens de l’article 58 du RGPD avec les pouvoirs octroyés par le projet de loi à l’Autorité des données70. Elle se demande plus particulièrement si les dispositions légales envisagées ne vont pas accentuer un sentiment de confusion dans le chef des responsables du traitement entre les pouvoirs et missions de l’Autorité des données avec les pouvoirs et missions de la CNPD 71. Ainsi, les procédures envisagées par le projet de loi ne vont-elles pas entraîner une insécurité juridique ? IV. Sur le volet européen A. Sur l’accès et réutilisation des données détenues par des organismes du secteur public par des réutilisateurs de données 69 70 71 II est renvoyé également aux points 141 et suiv. du présent avis. V. points 15 à 18 et points 140 et suiv. du présent avis. V. points 12 et suivant du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8395. MJ ’’c 40/49 D’après le commentaire des articles, le titre VI du projet de loi met en œuvre le chapitre II du règlement 2022/868 concernant l’accès et la réutilisation des données détenues par des organismes du secteur public par des réutilisateurs de données. Néanmoins, la CNPD constate que ledit chapitre II du règlement 2022/868 est uniquement intitulé « Réutilisation de certaines catégories de données protégées détenues par des organismes du secteur public », tandis que le titre VI du projet de loi ne mentionne pas uniquement la réutilisation, mais aussi l’accès aux « données détenues par des organismes du secteur public par les réutilisateurs de données ». L’article 2 point 2) du règlement 2022/868 définit dans ce contexte le terme « réutilisation » comme « l'utilisation, par des personnes physiques ou morales, de données détenues par des organismes du secteur public, à des fins commerciales ou non commerciales autres que l’objectif initial de la mission de service public pour lequel les données ont été produites, à l’exception de l’échange de données entre des organismes du secteur public aux seules fins de l’exercice de leur mission de service public. ». L’article 2 point 11) dudit règlement quant à lui contient une définition du terme « accès » visant « l’utilisation de données conformément à des exigences techniques, juridiques ou organisationnelles particulières, sans que cela implique nécessairement la transmission ou le téléchargement de données. ». B. Sur les dispositions générales 132. La Commission nationale note que l’article 19 du projet de loi sur les catégories de données protégées disponibles à l’accès et à la réutilisation exclut de son champ d’application non seulement les données de l’article 3, paragraphe
(2)du règlement 2022/86872, mais également les « cas visés par les autres titres de la présente loi. ». En d'autres termes et comme le mentionnent d’ailleurs aussi les auteurs du projet de loi dans le commentaire des articles, les entités publiques ne sont pas en droit de solliciter un accès et une réutilisation de données sur base du Titre VI du projet de loi, alors qu’elles sont déjà visées par le traitement ultérieur de données à caractère personnel encadré par le titre V du projet de loi. 133. Dès lors, les entités publiques sont uniquement concernées par le titre VI du projet de loi en tant que détenteur de données à caractère personnel et, le cas échéant, par la mise à disposition desdites données dans ce contexte. De même, elle comprend sur base de ce qui précède que les « réutilisateurs » demandant un accès et une réutilisation de données détenues par des organismes du secteur public, peuvent seulement être des personnes physiques ou morales du 72 L’article 3 paragraphe
(2)du règlement 2022/868 prévoit par exemple que le chapitre II sur la réutilisation ne s’applique pas aux données détenues par des entreprises publiques ou encore aux données détenues par des radiodiffuseurs de service public ou par des établissements culturels et des établissements d’enseignement. CNPD B -«wxAii Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  1. 41/49 secteur privé, alors que les entités publiques doivent se baser sur le titre V du projet de loi sur le traitement ultérieur de données.
  2. Par ailleurs, la CNPD constate que sur base de l’article 21 du projet de loi, le principe est que les données à caractère personnel détenues par des organismes du secteur public doivent être anonymisées préalablement à l’accès et à la réutilisation par le réutilisateur de données. Ce n’est que si ledit accès et la réutilisation de données anonymisées ne permet pas d’atteindre la finalité poursuivie que l’accès et à la réutilisation de données à caractère personnel préalablement pseudonymisées est possible. Le commentaire des articles précise dans ce contexte qu’ « il peut être fait usage de données à caractère personnel préalablement pseudonymisées, à condition de démontrer que la réutilisation de données anonymisées ne permet pas d’atteindre les finalités poursuivies. » Elle estime qu’il revient au réutilisateur de procéder à cette analyse de la nécessité d’accéder à des données pseudonymisées et que la CNPD pourrait, le cas échéant, contrôler si le principe de minimisation des données prévu par l’article 5, paragraphe
(1), lettre c) du RGPD a été respecté dans ce contexte. C. Sur les conditions applicables à la réutilisation de données à caractère personnel
  1. L’article 22 du projet de loi contient les conditions applicables à l’accès et la réutilisation de données à caractère personnel par des réutilisateurs de données qui sont notamment contrôlées par l’Autorité des données lorsqu’elle analyse la demande de réutilisation conformément à l’article 31 du projet de loi. La CNPD tient à renvoyer dans ce contexte notamment aux points 17 et 18 du présent avis afin d’insister que dès qu’un réutilisateur est à considérer comme responsable du traitement ou comme sous-traitant au sens de l’article 4, points 7 et 8) du RGPD, la CNPD est compétente pour vérifier l’application et le respect de l’intégralité des dispositions du RGPD et de la loi du 1er août
  2. Ses pouvoirs de contrôle et de sanctions ne dépendent pas de l’analyse des conditions précitées par l’Autorité des données.
  3. L’article 23 du projet de loi quant à lui contient les conditions applicables à l’accès et la réutilisation de données à caractère non personnel. A la différence du traitement ultérieur par des entités publiques qui ne concerne que des données à caractère personnel, l’accès et la réutilisation peut dès lors porter aussi sur des données non personnelles. CNPD * E pMVJXM mKXAll Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  4. .UlOlOn oc 42/49 La CNPD accueille favorablement à cet égard que l'article 24 du projet de loi prévoit qu’en cas d’accès et de réutilisation de données à caractère personnel et non personnel, toutes les conditions des articles 19 à 23 du projet de loi sont à respecter. D. Sur les modalités applicables à l’accès et à la réutilisation de données par des réutilisateurs de données
  5. L’article 25 du projet de loi prévoit que les dispositions du titre VII couvrent tant les cas de figure visés au titre V (traitement ultérieur de données à caractère personnel par les entités publiques) 73 que ceux du titre VI du projet de loi sous examen (accès et réutilisation de données détenues par des organismes du secteur public) et qui sont soumis à autorisation de l’Autorité des données.
  6. Par ailleurs, l’article 32 du projet de loi accorde certains pouvoirs de contrôle et de sanction à l’Autorité des données. Après vérification des résultats d’un traitement ultérieur de données à caractère personnel par une entité publique ou d’une réutilisation de données par un réutilisateur, elle pourrait notamment interdire l’utilisation de ces résultats s’ils portent une atteinte disproportionnée aux droits et intérêts de tiers. Le commentaire des articles mentionne à cet égard que « [l]es dispositions de l’article 32 s’entendent sans préjudice des prérogatives de la Commission nationale pour la protection des données d'interdire les traitements de données à caractère personnel opérés en contravention aux conditions reprises dans l’autorisation émise par l’Autorité des données, conformément au règlement (UE) 2016/679, lu ensemble avec la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. ».
  7. La Commission nationale se permet de renvoyer aux points 15 à 18 du présent avis où elle a déjà précisé qu’elle devrait pouvoir sanctionner une entité publique ou un réutilisateur de données non seulement pour interdire un traitement de données à caractère personnel opéré en contravention aux conditions reprises dans l’autorisation émise par l’Autorité des données à cette fin. Elle estime que ses pouvoirs de contrôle et de sanctions ne se limitent pas à la vérification des conditions repises dans les autorisations de l’Autorité des données, mais qu’elle est compétente pour vérifier l’application et le respect de l’intégralité des dispositions du RGPD et de la loi du 1er août
  8. 73 Sauf les traitements ultérieurs par la même entité publique qui ne sont pas soumis à autorisation de l’Autorité des données et ne sont donc pas concernés par le titre VII du projet de loi. CNPD Avis de la Commission nationale pour la protection des données COMWfSON relatif au projet de loi n°
  9. oeoowtfo 43/49 De même, les pouvoirs de sanctions de la CNPD sont beaucoup plus étendus et ne se limitent pas à l’imposition d'une interdiction de traitement de données à caractère personnel prévue par l’article 58, paragraphe
(2), point f) du RGDP, mais elle dispose de tous les pouvoirs prévus à l’article 58 du RGPD. 140. De plus, l’article 34, paragraphe
(1)du projet de loi prévoit que l’Autorité des données « tient un registre public des traitements ultérieurs de données à caractère personnel et des accès et réutilisations de données autorisés. » Néanmoins, il n’est pas clair si ledit registre devra contenir uniquement les traitements ultérieurs et les réutilisations de données actives, donc ceux qui sont encore en cours, ou si, par contre, il contiendra aussi un historique des traitements ultérieurs et des réutilisations terminés. La CNPD estime que, dans un but de transparence, garder un historique en la matière pendant un certain temps devrait être envisageable. 141. Par ailleurs, l’article 34, paragraphe
(2)du projet de loi prévoit que la « publication par l’Autorité des données des éléments d’information à destination des personnes concernées, telle que visée au paragraphe 1er, alinéa 2, point 3°, vaut information de la personne concernée au sens des articles 12 à 14 du règlement (UE) 2016/679 pour les traitements ultérieurs de données visés au titre V et les accès et réutilisations visés au titre VI. » 142. La Commission nationale tient tout d’abord à souligner que dans le cadre des traitements de données à caractère personnel concernés par le présent projet de loi, l’obligation d’information à respecter est surtout celle inscrite à l’article 14 du RGPD qui s’applique au cas de figures dans lesquels les données n'ont pas été collectées directement auprès de la personne concernée. En effet, dans le cadre d’un traitement ultérieur74 ou d’une réutilisation, une entité publique ou un réutilisateur ne collecte pas les données auprès de la personne concernée, mais auprès de l’entité publique, voire de l’organisme public qui détient les données et donc les données sont collectées de manière indirecte. Ensuite, alors que la transparence constitue un aspect fondamental des principes relatifs au traitement des données à caractère personnel, des exceptions à l’obligation d’informer individuellement la personne concernée lorsque des données à caractère personnel n'ont pas été collectées auprès d’elle sont prévues à l’article 14, paragraphe
(5)du RGPD. Dans les lignes 74 Le seul cas où les données seraient potentiellement collectées auprès de la personne concernée c’est le traitement ultérieur par la même entité publique, mais ce cas n’est pas soumis à autorisation de l’Autorité des données et n’est donc pas concerné par le titre Vil du projet de loi. Avis de la Commission nationale pour la protection des données relatif au projet de loi n D
  1. 44/49 directrices sur la transparence75 de l’ancien Groupe de Travail Article 29, des lignes directrices reprises et re-approuvées par l’EDPB,76 il est précisé que ces « dérogations devraient, en règle générale, être interprétées et appliquées stricto sensu ». L’article
  3. c) du RGPD prévoit notamment que l'obligation d’information ne s’applique pas si « l’obtention ou la communication des informations sont expressément prévues par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée. »77 Néanmoins, les lignes directrices sur la transparence précisent dans ce contexte que «le responsable du traitement devrait signaler clairement aux personnes concernées qu'il obtient ou communique les données à caractère personnel en accord avec le droit en question [...] » ; une obligation qui serait dès lors à respecter par les responsables du traitement dans le contexte du projet de loi sous avis. Par contre, si le législateur veut introduire dans le projet de loi une limitation générale de la portée du droit à l’information sur base de l’article 23 du RGPD, toutes les conditions y énumérées sont à respecter et l’article 34 du projet de loi devrait être adapté en ce sens. L’article 23 du RGPD prévoit notamment en son paragraphe 1 er que les droits de la personne concernée peuvent être limités lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs énumérés dans ce paragraphe. Par ailleurs, il y a lieu de soulever que lorsqu'une telle restriction aux droits des personnes est prévue par une mesure législative, elle doit contenir des dispositions spécifiques relatives aux informations énumérées au paragraphe 2 de l'article 23 du RGPD. 78
  4. Finalement, sans préjudice des commentaires qui précèdent, la CNPD constate que l’article 34 du projet de loi ne prévoit pas de délai de publication des informations par l’Autorité des données. Elle estime que dans un but de transparence, les informations en cause devraient être publiées 75 Lignes directrices sur la transparence au sens du règlement (UE) 2016/679, version révisée adoptée le 11 avril 2018, WP260rev.01, point
  5. 76 Voir décision Endorsement 1/2018 de l’EDPB du 25 mai
  6. 77 V. l’arrêt précité de la CJUE du 28 novembre 2024, ECLI:EU:C:2024:
  7. 78 II s'agit des finalités du traitement ; des catégories de données à caractère personnel; de retendue des limitations introduites ; des garanties destinées à prévenir les abus ou l'accès ou le transfert illicites; la détermination du responsable du traitement; les durées de conservation et les garanties applicables ; les risques pour les droits et libertés des personnes concernées et le droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. CNPDl Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  8. ncaOKiH I DCOCHtftfB I 45/49 au même moment où l’Autorité des données accorde une autorisation à l’entité publique ou au réutilisateur. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  9. 46/49 E. Sur la gouvernance en matière de services d’intermédiation de données et d’altruisme des données En vertu des articles 39 et 44 du projet de loi, la CNPD est désignée « autorité compétente » responsable pour effectuer les tâches liées à la procédure de notification pour les services d’intermédiation de données, telle que visée à l’article 13 du règlement 2022/868, ainsi que pour le registre public national des organisations altruistes en matière de données, tel que visé à l’article 23 du règlement 2022/
  11. L’article 41 du projet de loi prévoit qu’un règlement interne de la CNPD définit la procédure de notification pour les services d’intermédiation de données conformément à l’article 11 du règlement 2022/
  13. La CNPD tient à souligner dans ce contexte que le Conseil d’Etat avait soulevé dans son avis sur le projet de loi n° 7184 dont est issu la loi du 1er août 2018 79 qu’en « vertu de l’article 108bis de la Constitution, les établissements publics ne disposent d’un pouvoir réglementaire que « dans la limite de leur spécialité ». Le Conseil d’État s’oppose formellement au pouvoir réglementaire non autrement délimité de la CNPD, et ce conformément aux arrêts de la Cour constitutionnelle dans lesquels il est précisé « que le pouvoir normatif des établissements publics est tributaire du principe de spécialité dans leur domaine de compétence et reste réservé à des mesures de détail précises, de nature technique et à portée pratique, destinées à permettre à celles-ci l’exercice, de façon autonome, d’une mission de régulation sectorielle facilitant la mise en œuvre des normes établies parla loi et, le cas échéant, le règlement grand-ducal. »80 Dès lors, il est primordial que l’article 41 du projet de loi délimite précisément le pouvoir normatif de la CNPD en matière de services d’intermédiation de données. Elle estime que ledit article ne devrait pas uniquement faire référence à l’article 11 du règlement 2022/868 sur la notification des prestataires de services d’intermédiation de données. Plus précisément, il convient de préciser à l’article 41 du projet de loi que le pouvoir normatif de la CNPD englobe aussi la mise en œuvre 79 Avis du Conseil d’Etat n° CE 52.422 portant création de la Commission nationale pour la protection des données et la mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et abrogeant la loi du 2 août 2002 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, doc. pari. n°7184/
  14. 80 Arrêts 76-96/13 du 19 mars 2013 de la Cour constitutionnelle. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
  15. 47/49 de l’article 14 du règlement précité intitulé « Contrôle du respect des dispositions » afin de lui permettre de prévoir dans un règlement interne la procédure relative au contrôle et à la surveillance des prestataires de services d’intermédiation de données. Pour des raisons de transparence, la CNPD se demande si ce règlement devrait être publié au Journal officiel du Grand-Duché du Luxembourg. Par ailleurs, la CNPD constate qu’une disposition accordant un pouvoir normatif à la CNPD en matière d’enregistrement des organisations altruistes fait défaut. Elle estime dès lors nécessaire de compléter la section II du Titre VIII du projet de loi en ce sens. Un tel article pourrait avoir la teneur suivante : « Un règlement interne de la CNPD définit la procédure et le contrôle en matière d'enregistrement des organisations altruistes, conformément aux a

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.