Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8467 relatif à la gestion, la conservation, l’accès et la confidentialité des enregistrements des communications de fond et de l’environnement sonore sur les postes de travail des contrôleurs aériens Délibération n°24/AV1/2025 du 3 mars 2025 1. Conformément à l’article 57.1.C) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». 2. N'ayant pas été directement saisie par le Ministère de la Mobilité et des Travaux publics, la Commission nationale souhaite néanmoins se prononcer sur le projet de loi n°8467 relatif à la gestion, la conservation, l’accès et la confidentialité des enregistrements des communications de fond et de l’environnement sonore sur les postes de travail des contrôleurs aériens (ci-après le « projet de loi »). 3. Selon l’exposé des motifs, le projet de loi vise à introduire en droit national la mise en œuvre des obligations découlant du point ATS.OR.460 du Règlement d’exécution (UE) 2017/373 de la Commission du 1er mars 2017 établissant des exigences communes relatives aux prestataires de services de gestion du trafic aérien et de services de navigation aérienne ainsi que des autres fonctions de réseau de la gestion du trafic aérien, tel que modifié (ci-après le « Règlement (UE) 2017/373»). Ce dernier prévoit que « sauf instruction contraire de l’autorité compétente, les organismes des services de la circulation aérienne sont équipés de dispositifs qui enregistrent CNPD • •oncbo*» Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8467 relatif à la gestion, la conservation, l'accès et la confidentialité des enregistrements des communications de fond et de l’environnement sonore sur les postes de travail des contrôleurs aériens 1/6 les communications de fond et l'environnement sonore aux postes de travail du contrôleur de la circulation aérienne, de l'agent d'information de vol ou de l’agent AFIS, selon le cas, et sont capables de conserver les informations enregistrées pendant au moins les 24 dernières heures de fonctionnement », et que « ces enregistrements ne sont utilisés qu'aux fins des enquêtes sur les accidents et les incidents qui font l'objet d'une déclaration obligatoire ». Ainsi, le Règlement européen susvisé impose aux Etats membres que les prestataires de services de navigation aérienne équipent les postes de travail des contrôleurs aériens avec un dispositif permettant d’enregistrer les communications de fond et l’environnement sonore, sauf dérogation de l'autorité compétente. L’autorité compétente au Grand-Duché du Luxembourg au sens du point ATS.OR.460 est la Direction de l'aviation civile (ci-après la « DAC »). I. Remarques liminaires 4. La CNPD comprend que les communications de fond et l’environnement sonore sur les postes de travail des contrôleurs aériens enregistrés par les dispositifs prévus par le point ATS.OR.460 sont susceptibles de constituer des données à caractère personnel au sens de l'article 4.1 du RGPD 1. 5. En tenant compte du fait que la protection des données à caractère personnel est une matière réservée à la loi par la Constitution, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc2. La Commission nationale se félicite que le projet de loi entend conférer une base légale aux traitements de données effectués en vertu du point ATS.OR.460 du Règlement (UE) 2017/373. En effet, les auteurs du projet de loi précisent le champ d'application, la gestion et la durée de conservation, ainsi que les modalités d'accès et la confidentialité des informations enregistrées. II. Sur le responsable du traitement de la banque de données 1 L'article 4.6 du RGPD définit comme données à caractère personnel « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »); est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ». 2 Voir articles 31 et 45 de la Constitution luxembourgeoise. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n’8467 relatif à la gestion, la conservation, l'accès et la confidentialité des enregistrements des communications de fond et de l'environnement sonore sur les postes de travail des contrôleurs aériens 2/6 6. L’article 3.1 du projet de loi dispose que ('Administration de la navigation aérienne (ci-après l’« ANA ») « gère la banque de données où sont sauvegardées les informations enregistrées ». Les auteurs du projet de loi précisent dans le commentaire des articles que « l'ANA est également le responsable du traitement des données personnelles conformément au [RGPD] ». 7. La CNPD salue de telles précisions alors qu’il y a lieu de souligner que la notion de responsable du traitement joue un rôle important dans l'application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer leurs droits3. 8. À toutes fins utiles, et pour plus de clarté et alors que cela ne ressort pas directement des dispositions sous avis, elle propose de modifier l'article 3.1 du projet de loi en ces termes « /Administration de la navigation aérienne, en sa qualité de responsable du traitement, tient la banque de données où sont sauvegardées les informations enregistrées ». III. Sur les principes relatifs à la surveillance sur le lieu de travail 9. La CNPD comprend que les dispositions du projet de loi entendent introduire une obligation légale en vertu de laquelle l’ANA serait amenée à enregistrer les communications de fond et de l’environnement sonore sur les postes de travail des contrôleurs aériens. 10. Bien qu’un tel traitement des données à caractère personnel repose sur une obligation légale, l’ANA devra néanmoins effectuer de tels traitements en conformité avec le RGPD, ainsi qu’avec l’article L.261-1 du Code du travail, qui prévoit des conditions spécifiques pour les traitements à des fins de surveillance sur le lieu du travail. 11. Ainsi, aux termes de l’article 5.1.
- b)du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne peuvent pas être traitées ultérieurement d’une manière incompatible avec les finalités initiales pour lesquelles elles ont été collectées. 12. Conformément au point ATS.OR.460 du Règlement (UE) 2017/373, « les enregistrements ne peuvent être utilisés que dans le cadre d'une enquête sur des accidents ou des incidents faisant l'objet d’une déclaration obligatoire »4. Par conséquent, les communications de fond et de 3 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p.3, disponibles sous : https://edpb.europa.eu/our-work-toQls/our-documents/quidelines/quidelines-072020-conceDts-controller-andprocessor-qdpr fr 4 V. Commentaire des articles, p. 2. CNPD ».•<«-*11 (•iro-/»: Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8467 relatif à la gestion, la conservation, l'accès et la confidentialité des enregistrements des communications de fond et de l’environnement sonore sur les postes de travail des contrôleurs aériens 3/6 l'environnement sonore sur les postes de travail des contrôleurs aériens ne peuvent être utilisées que pour ces finalités. La CNPD tient à souligner que les données à caractère personnel ainsi collectées ne peuvent pas être utilisées à d'autres fins, notamment à des fins disciplinaires. 13. Par ailleurs, la Commission nationale se permet de rappeler l’application du principe de transparence, consacré à l'article 5.1.
- a)du RGPD. Ce principe implique une obligation d’information des contrôleurs aériens en vertu duquel ces derniers se voient communiquer l’ensemble des informations visées à l’article 13 du RGPD. 14. Ainsi, conformément à l’article précité, les contrôleurs aériens devraient être informés par l’ANA, le responsable du traitement, que des données à caractère personnel les concernant sont susceptibles d’être enregistrées via le dispositif prévu à l’article 1er du projet de loi. En outre, parmi les informations devant être communiquées aux contrôleurs aériens figurent les finalités pour lesquelles les données sont collectées. Ainsi l’ANA doit notamment indiquer que les données sont traitées à des fins d’enquêtes sur les accidents et incidents déclarés. 15. En outre, il y a lieu de souligner que le responsable du traitement, à savoir l’ANA, doit également respecter les dispositions de l’article L.261-1 du Code du travail. Cet article prévoit notamment une obligation d’information collective préalable à l’égard de la représentation du personnel, en plus de l’information individuelle des salariés découlant de l’article 13 du RGPD. Cette information doit contenir une description détaillée de la finalité du traitement envisagé, des modalités de mise en œuvre du système de surveillance, et le cas échéant, la durée ou les critères de conservation des données, de même qu’un engagement formel de l’employeur sur la non-utilisation des données collectées pour une finalité autre que celle prévue explicitement dans l’information préalable. IV. Sur le principe de limitation de la durée de conservation 16. Selon l’article 5.1.
- e)du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou définitivement anonymisées. 17. L'article 3.2 du projet de loi sous avis prévoit un délai de conservation des enregistrements de 144 heures. Tel que cela ressort du commentaire des articles, le point ATS.OR.460 du Règlement (UE) 2017/373, «laisse une certaine marge d'appréciation aux États membres concernant certaines modalités des enregistrements des communications de fond et de l’environnement sonore aux postes des contrôleurs aériens, en ce qu’il laisse indéfinis (...) la gestion et la durée CNPD CC-- « i •une «Ait Motrcio» Mi»o™ru Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8467 relatif à la gestion, la conservation, l'accès et la confidentialité des enregistrements des communications de fond et de l'environnement sonore sur les postes de travail des contrôleurs aériens 4/6 de conservation des enregistrements ». En effet, le point ATS.OR.450 « précise que les enregistrements doivent être conservés pendant au moins 24 heures, mais n’indique pas de durée de conservation maximale »5 . 18. La CNPD se félicite des explications fournies par les auteurs du projet de loi en ce qu'ils justifient les raisons d’une durée de conservation de 144 heures. Dès lors, elle peut souscrire à une telle durée de conservation des données, alors que la durée de conservation prévue semble être proportionnée au regard des délais prévus par le Règlement (UE) 2014/376. 19. Par ailleurs, la Commission nationale se félicite que l’article 3.3 du projet de loi dispose que les données collectées soient effacées par l’ANA « dès l’expiration du délai de 144 heures, sauf instruction contraire parl’AET ». 20. En outre, à la lecture de l’article 3.4 du projet de loi, elle comprend que l’AET peut ordonner la prolongation de la conservation des enregistrements pour la durée strictement nécessaire aux besoins de l’enquête technique. Cet article précise encore que « les informations enregistrées nécessaires à l’enquête technique ne peuvent être effacées qu’avec l’accord préalable de l’AET ». Il y a lieu de féliciter les auteurs du projet de loi pour de telles précisions. V. Sur les mesures de sécurité 21 . Conformément à l’article 5.1.
- f)du RGPD, les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». 22. L’article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. 23. L’article 5.1 du projet de loi dispose que « [/['Administration de la navigation aérienne prend les mesures nécessaires pour garantir la confidentialité des informations enregistrées et les protéger contre la perte, l'accès non autorisé et les manipulations ». Il y a lieu de féliciter les auteurs du projet de loi pour avoir prévu une telle disposition. 5 V. commentaire des articles. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8467 relatif à la gestion, la conservation, l’accès et la confidentialité des enregistrements des communications de fond et de l’environnement sonore sur les postes de travail des contrôleurs aériens 5/6 24. Par ailleurs, l’article 4 du projet de loi prévoit que « [l]e personnel autorisé de /'Administration de la navigation aérienne est habilité à accéder aux informations enregistrées uniquement pour :
- a)les rendre accessibles aux enquêteurs désignés par l’AET et aux représentants accrédités de l'AET désignés à participer à une enquête de sécurité étrangère, dans les cas prévus par la loi ;
- b)les rendre temporairement accessibles à la Direction de l’aviation civile, pour les besoins stricts de vérification de conformité des dispositifs d’enregistrements avec la loi ;
- c)les fins de la maintenance, si cela se révèle indispensable ». La CNPD se félicite que de telles mesures soient prévues par le projet de loi. Cependant, elle tient à rappeler qu’il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début quel agent parmi le personnel autorisé de l’ANA et à quelles données précises cette personne aurait accès. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation des accès soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. 25. Enfin, la Commission nationale souligne l’importance d’effectuer proactivement des contrôles en interne. À cet effet, il convient conformément à l’article 32.1.
- d)du RGPD de mettre en œuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Ainsi adopté à Belvaux en date du 3 mars 2025. Alain Herrmann Commissaire ’ CNPD :ow-aioriwiaoi- Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8467 relatif à la gestion, la conservation, l'accès et la confidentialité des enregistrements des communications de fond et de l’environnement sonore sur les postes de travail des contrôleurs aériens 6/6