Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référence de coordonnées nationaux gérés par l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutés par l'Administration du cadastre et de la topographie Délibération n°51/AV19/2024 du 7 août 2024

1. Conformément à l'article
3. e, du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismesau sujet des mesures législativeset administrativesrelatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par ailleurs, l'article
4. 4 du RGPD dispose que « [l]es Etats membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référence de coordonnées nationaux gérés par l'Administration d cadastre et de ta topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutés par l'Administration du cadastre et de la topographie 1/11 Le projet de loi n°8330 portant organisation de l'Administration du cadastre et de la topographie a vocation à « consigner la réalité législative actuelle », et abroger et remplacer la loi du 25 juillet 2002 précitée. En effet, selon l'exposé des motifs « [d]epuis la mise en vigueur de la loi du 25 juillet 2002 portant réorganisation de l'administration du cadastre et de la topographie (...) l'administration du cadastre et de la topographie (... ) a connu de profondes évolutions qui conduisent vers la modernisation de cette dernière ». Dans son avis du 27 février 2024, le Conseil d'État a suggéré de scinder le projet de loi précité « en deux projets de loi distincts, de sorte à prévoir un premier projet de loi qui traite de l'article 18 portant modification de la loi précitéedu 19 mars 1988et un second projet de loi qui porte sur /es articles 1er à 17, 19 et 20 relatifs à l'Administration ». La Commission des Finances, lors de sa réunion du 6 mars 2024, a décidé de suivre la recommandation du Conseil d'État et de scinder le projet de loi précité en deux projets de loi distincts : Le projet de loi 8330A portant modification de la loi modifiée du 19 mars 1988 sur la publicitéfoncièreen matièrede copropriété,qui reprend uniquement l'article 18 du projet de loi 8330 initial ; et Le projet de loi 8330B portant organisation de l'Administration du cadastre et de la topographie reprenant les articles restants (ci-après le « projet de loi »). En parallèle, un projet de règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnéesnationauxgéréspar l'Administration du cadastre et de la topographie ; et portant fixation du tarifdes redevances à percevoir au profit de l'Étatpour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie (ci-après le « projet de règlement grand-ducal »), a étéélaborédans le contexte du projet de loi. Enfin, le projet de loi entend entériner le principe de « publicité foncière » afin « d'expliquer l'objectifde la consultation et de la diffusion des données du registre foncier »
5. Par ailleurs, les auteurs du projet de règlement grand-ducal précisent que le but dudit texte est « d'informer le 1 V exposédes motifs. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal oncernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnées nationauxgéréspar l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutés par l'Administration du cadastre et de la topographie 2/11 public de la documentation et des données dont dispose l'administration et des conditions de leur mise à disposition respectivement de leur consultation, le tout en conformitéavec le [RGPD] ainsi qu'avec la Directive (UE) du parlement européen et du conseil du 20 juin 2019 concernant les données ouvertes et la réutilisation des informations du secteur public transposée par la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public »
6. La CNPD n'ayant pas étésaisie directement afin d'aviser ces textes, celle-ci souhaite néanmoins s'autosaisir et se prononcer sur lesdits projets alors qu'il ressort manifestement de ce qui précède que des problématiquesrelevant du domainede la protection des donnéesà caractèrepersonnel y sont abordées. Dans la mesure où le projet de loi et le projet de règlement grand-ducal sont connexes, la Commission nationale commentera ensemble ces deux textes dans le présent avis. l. Sur le projet de loi A. Ad article 2 Tel que soulevé dans son avis relatif au projet de loi n°8086, la CNPD a d'ores et déjà regretté que le texte du projet de loi n°8086 ne reflète pas expressémentque l'administration du cadastre et de la topographie (ci-après l' « ACT ») est à qualifier de responsable du traitement en ce qui concerne les traitements de données personnelles effectués dans le cadre de la tenue du registre national des bâtiments et des logements
7. Ainsi, il y a lieu de réitérer ses observations selon lesquelles elle avait souligné que « la notion de responsable du traitement joue un rôle important dans l'application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer leurs droits. La Commission nationale estime nécessaire que les auteurs clarifient les rôles des différents intervenants, tout en veillant à utiliser les notions et concepts existant en droit de la protection des données »
8. 2 V exposédes motifs. 3 Délibération n°36/AV22/2023 du 19 mai 2023 de la Commission nationale, doc. pari. n°8086/
9. 4 Délibérationn°36/AV22/2023 du 19 mai 2023 de la Commission nationale, doc. pari. n°8086/06, point 23, page
10. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnées nationauxgéréspar l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 3/11
11. La Commission nationale suggère de compléter l'article 2, 8° du texte en projet en ces termes « la gestion du registre national des bâtiments et des logements, en sa qualité de responsable du traitement ». B. Ad article 3
12. L'article
13. 2 du projet de loi entérine le principe de « publicité foncière ». De telles dispositions sont nouvelles et ne figurent pas dans la loi modifiée du 25 juillet 2002 portant réorganisation de l'administration du cadastre et de la topographie, qui vise à être abrogéepar le texte en projet. Il convient de féliciterles auteurs du projet de loi pour avoir consacré dans la loi un tel principe.
14. Il ressort de l'exposédes motifs que « [l]e principe de « publicitéfoncière » qui permet au public de s'informer de la situation juridique d'un immeuble et comprenant d'une part des informations relatives au cadastre foncier et d'autre part la publicité hypothécaire, est repris dans le présent projet de loi afin d'expliquer l'objectifde la consultation et de la diffusion des données du registre foncier ».
15. Les auteurs du projet de loi expliquent, en outre, qu'un tel objectif « réside dans l'application du principe de la publicité foncière au moyen du « système informatique de la publicité foncière ». Ce système, dont les fonctionnalités ne sont pas détaillées, serait géré par le Centre des technologies de l'information de l'Etat et intégrerait « ofes données fournies par les notaires, l'Administration de l'enregistrement, desdomaineset de la TVAet de l'Administration du cadastre et de la topographie ». La CNPD n'est, dès lors, pas en mesure d'apprécier si un tel système serait conforme à la protection des données.
16. Il est encore préciséque l'ACT transmettrait auxtiers intéressés« ofes fichiers immobiliers relatifs à la situation juridique des immeubles, sous forme d'extrait du registre foncier au moyen du système informatique de la publicitéfoncière. Le règlement grand-ducal détermine le degré des informations transmises dépendantde la qualité du demandeur » et que cette transmission « se fait dans la limite des informations dont dispose l'administration et dans le respect des principes qui découlent des règles » en matière de protection des données. La CNPD reviendra infra sur les dispositions du projet de règlement grand-ducal qui visent à encadrer le principe de la communication de données à des tiers intéressés. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnées nationauxgéréspar t'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 4/11
17. Par ailleurs, la Commission nationale se rallie aux observations formulées par le Conseil d'État notamment en ce qui concerne ses développements relatifs aux éléments essentiels devant figurer dans la loi. En effet, ce dernier a souligné que : « l'article 31 de la Constitution, qui figure dans la section consacrée aux libertés publiques, dispose que : « [t]oute personne a droit à l'autodétermination informationnelle et à la protection des données à caractère personnel la concernant. Ces données ne peuvent être traitées qu'à des fins et dans les conditions déterminéespar la loi », tandis que l'article 37 de la Constitution précise, dans sa première phrase, que « [t]oute limitation à l'exercice des libertés publiques doit être prévue par la loi et respecter leur contenu essentiel ». // s'ajoute à ce rappel des textes fondamentaux que la Cour constitutionnelle, en affinant sa jurisprudence antérieure, a, dans son arrêt n°177 du 3 mars 2023, retenu que « [dj'après l'article 32, paragraphe 32, de la Constitution, dans les matières réservéespar la Constitution à la loi, la fixation des objectifs des mesures d'exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises. L'orientation et l'encadrement du pouvoir exécutif doivent, en tout état de cause, être consistants, précis et lisibles, l'essentiel des dispositions afférentesétant appelé à figurer dans la loi ». Il y a lieu de déterminer, dans l'ordrejuridique national, les conditionsdans lesquelles les données à caractère personnel peuvent être traitées pour une finalité autre que celle pour laquelle elles ont étécollectéesau sens de l'article 6, paragraphe4, du règlement(UE) 2016/679du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à /'égare/ du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ce qui couvre les hypothèses dans lesquelles des données sont communiquées par une administration à des tiers. Cette communication de données à caractère personnel à des tiers doit être strictement encadrée, ceci en application du droit à la sécurité et la confidentialité découlant du règlement européen précité. Afin d'assurer la conformitéde la disposition sous examen aux articles 31 et37dela Constitution, // convient, sous peine d'opposition formelle, de compléter cette disposition en précisant notamment la nature des donnéesà caractèrepersonnel communiquéesà destiers, la qualitédu CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnées nationauxgéréspar l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 5/11 « tiers intéressé dûment identifié», ainsi que la finalité et les conditions dans lesquelles cet échangea lieu »
19. Dès lors, la CNPD considère qu'il est impératif que les catégories de données qui seraient communiquées soient précisées à l'article 3 du projet de loi. A ce titre, il est suggéréaux auteurs du projet de loi de s'inspirerdes dispositionsde l'article L107 A du Livre des procédures fiscales français qui dispose que « [t]oute personne peut obtenir communication ponctuelle, le cas échéant par voie électronique, d'informations relatives aux immeubles situés sur le territoire d'une commune déterminée, ou d'un arrondissement pour la Ville de Paris et les communes de Lyon et Marseille, sur lesquels une personne désignée dans la demande dispose d'un droit réel immobilier. Toute personne peut obtenir, dans les mêmes conditions, communication d'informations relatives à un immeuble déterminé. Les informations communicables sont les référencescadastrales, l'adresse ou, le cas échéant, les autres éléments d'identification cadastrale des immeubles, la contenance cadastrale de la parcelle, la valeur locative cadastrale des immeubles, ainsique les noms et adresses des titulaires de droits sur ces immeubles. Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, définitles modalitésd'application du présent article et les conditions de communication par voie électronique des informations visées à la phrase précédente ».
20. Elle estime que les finalitésd'une telle communication de données seraient, d'après ledit article, afin « de faire connaître aux intéressésla situation juridique d'un immeuble ». Ces dispositions semblent implicitement viser le principe de « publicité foncière ». Toutefois pour une meilleure compréhension du texte, la CNPD se demande s'il ne serait pas opportun de définirce principe expressément dans la loi. II. Sur lej)roletde règlement grand-ducal A. Ad article 2
21. L'article 2 dispose que « [IJ'utilisateurde la documentation est responsable de l'exploitation et de toute interprétation de la documentation délivréeou consultée ». 5 V. Avis n°61.798 du 12juillet 2024du Conseild'État,doc. pari. n°8330B/
22. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal oncernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référence de coordonnées nationaux gérés par l'Administration d cadastre et de la topographie ; et portant fixationdu tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 6/11
23. La CNPD tient à rappeler que l'article 1 . 4 de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public, ainsi que l'article 1.4 de la directive (UE) 2019/2024 du 20 juin 2019 concernant les données ouvertes et la réutilisation des informations du secteur public, précisent que leurs dispositions sont notamment sans préjudice des règles relatives à la protection des données. Le considérant 52 de ladite directive énonce que « [l]a présente directive n'affecte pas la protection des personnes physiques à l'égard du traitement des données à caractère personnel garanti par le droit de l'Union et le droit des Etats membres, en particulier le règlement (UE) 2016/679 et la directive 2002/58/CE du Parlement européen et du Conseil, mais aussi et y compris de toute disposition de droit national complémentaire. Cela signifie, entre autres, que la réutilisation de données à caractère personnel n'est licite que si le principe de limitation des finalités énoncéà l'article 5, paragraphe 1, point b), et à l'article 6 du règlement (UE) 2016/679 est respecté ».
24. Dès lors, la mise à disposition au public par l'ACT, des données visées par les textes en projet, en vertu du principe de « publicitéfoncière », n'implique aucunement que la réutilisationde telles données par des tiers soit, automatiquement licite et légitime au sens des articles 5 et 6 du RGPD du seul fait que ces donnéessoient considéréescomme « publiques ». En effet, sans remettre en question le principe de « publicitéfoncière » (même si le principe n'est pas défini dans la loi), une vigilance particulière devrait être apportée quant à la licéité des traitements effectués par les professionnels du secteur immobilier à des fins de prospection commerciale. De tels traitements ne seraient licites que si les articles 5 et 6 du RGPD sont respectés. B. Ad article 4
25. Il y a lieu de féliciter les auteurs du projet de règlement grand-ducal pour avoir précisé les destinataires.
26. L'article 4.2 du projet de règlement grand-ducal prévoit que la délivrance d'extraits du registre foncier peut se faire « à tout intéresséidentifiédans les limites de dix demandes par mois civil ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnées nationauxgéréspar l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 7/11
27. A ce sujet, les auteurs du projet de règlement grand-ducal précisent que ces nouvelles dispositions entendent limiter « cette demande à dix parcelles ou dix lots de copropriété par demande et dans une limite de dix demandes par mois civil, tel qu'inspiré par la législation française en la matière, plus précisément le décret n"2012-59 du 18 janvier 2012 relatif à la délivrance au public de certaines informations cadastrales. Cette limitation a comme objet de préserver la vie privée des personnes tout en garantissant le principe de la publicité foncière. L'identification des demandeurs, nécessaire à la vérification de la recevabilité des demandes, se fait au moyen d'unepièced'identité»
29. Il convient de saluer l'introduction de telles dispositions qui pourraient permettre de limiter les abus en ce qui concerne la communication de données.
30. De plus, il y a plus particulièrement lieu de rendre attentifs les auteurs du projet de règlement grand-ducal à l'interprétation de l'article
31. 1.e) du RGPD, qui confère à la personne concernée le droitd'obtenirdu responsabledutraitementdesinformationssurles destinatairesoucatégories de destinataires auxquels les données personnelles ont été communiquées, suite à l'arrêt de la Cour dejustice de l'Union européenne(ci-aprèsla « CJUE ») du 12janvier
32. Dans cet arrêt, la CJUE a considéré que l'article
34. e) du RGPD « doit être interprété en ce sens que : le droit d'accès de la personne concernée aux données à caractère personnel la concernant, prévu par cette disposition, implique, lorsque ces données ont été ou seront communiquées à des destinataires, l'obligation pour le responsable du traitemenjde fournir à cette personne l'identité même de ces destinataires, à moins qu'il ne soit impossible d'identifier ces destinataires ou que ledit responsable du traitement ne démontre que les demandes d'accès de la personne concernée sont manifestement infondéesou excessives, au sens de l'article 12, paragraphe 5, du règlement 2016/679, auxquels cas celui-ci peut indiquer à cette personne uniquement les catégories de destinataires en cause » (souligné en gras).
35. Or, en l'absence d'un système d'authentificationforte des personnes à l'origine de la demande de délivrance d'un extrait du registre foncier, l'ACT ne pourra faire droit à la demande des 6 V. commentaire des articles sous Ad
36. 7 CJUE, arrêt du 12janvier 2023, RW e. ÔsterreichischePost AG, C-154/21, ECLI:EU:C:2023:3, point
37. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnées nationauxgéréspar l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 8/11 personnes concernées sur base de l'article
38. 1.e) du RGPD en ce qui concerne les personnes ayant demandéun extrait du registre foncier concernant la propriétédes personnes concernées. S'il ressort du commentaire des articles que « l'identification des demandeurs, nécessaire à la vérification de la recevabilité des demandes, se fait au moyen d'une pièce d'identité », la Commission nationale se demande si une telle solution serait transposable aux demandes par voie électronique, ainsi qu'aux demandes émanant des personnes morales
40. Ainsi, il y a lieu de regretter que les modalités concrètes d'un tel mécanisme ne soient pas préciséesdans le texte en projet. En ce qui concerne la communication des données par l'ACT par voie électronique, la CNPD suppose que celle-ci reposera sur la procédure actuelle qui permet la communication d'extraits de documentation cadastrale sur le site geoportail. lu via un compte utilisateur
41. Si la Commission nationale comprend que l'identification des personnes physiques se ferait au moyen d'une carte d'identité10, les modalités d'un tel contrôle dans le cadre d'une communication par voie électronique ne sont pas précisées. En outre, qu'en est-il des moyens d'identification des personnes morales ? En tout état de cause, la Commission nationale estime indispensable la mise en place d'un système d'authentification forte des personnes à l'origine de la demande de délivrance d'un extrait de la documentation cadastrale.
42. A toutes fins utiles, en ce qui concerne les modalités de la communication des informations prévues à l'article
44. 1° précité,la CNPD se permet de renvoyer aux dispositions réglementaires précisées à l'article R°107 A-6 du Livre des procédures fiscales français qui entend prévoir que « [l]a communication des informations susmentionnées est réalisée, si le demandeur en a fait le choix, par voie électronique à l'exclusion de tout autre moyen. Dans ce cas, elle a lieu par courrier électronique si le demandeur a fourni une adresse électronique et valide ou dans le cadre d'une application informatique à accèscontrôléedotéed'unetraçabilitéet dont le responsable a satisfait aux formalités préalables du chapitre IV de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ». Il est ainsi suggéréaux auteurs du projet de règlement grand-ducal de s'en inspirer. 8 V. supra point
45. 9 V. https://extraits. aeoDOrtail. lu/?lana=fr. 10 V. commentaires des articles sous Ad
46. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal concernant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnées nationauxgéréspar l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 9/11 C. Ad article 6
47. L'article 6 entend prévoir « ofes droits d'accès en ligne d'une partie ou l'intégralité du registre foncier » aux entités énumérées audit article. Ces dispositions reprennent les dispositions de l'article 9 du règlement grand-ducal du 10 août 2018, ayant vocation à être abrogé par le texte sous examen.
48. Dans la mesure où un accès direct au registre foncier est prévu, il convient de rappeler que le responsable du traitement se doit de respecter le principe d'intégrité et confidentialité visé à l'article
49. 1.f) du RGPD. Par ailleurs, l'article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant mettent en ouvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en ouvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées.
50. Il y a lieu de rappelerqu'il est vivement recommandéde définirune politique de gestion des accès, afin de pouvoir identifierdès le début la personne ou le service, au sein de l'entité concernée, et à quelles données précises cette personne ou ce service aurait accès.
51. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle.
52. Par ailleurs, ta Commission nationale souligne l'importance d'effectuer proactivement des contrôles en interne. Àcet effet, il convient conformément à l'article
54. d) du RGPD de mettre en ouvre une procédure « visant à tester, à analyser et à évaluer régulièrementl'efficacité des mesures techniques et organisationnelles pour assurer la sécuritédu traitement ».
55. Enfin, la CNPDse demandequelles seraientles mesures misesen place par l'ACD pours'assurer du respect des dispositions de l'article
57. 1° du projet de règlementgrand-ducal qui prévoit que « tout intéressé identifié » puisse obtenir un extrait du registre foncier « dans la limite de dix demandes par mois civil ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographie et au projet règlement grand-ducal conornant la consultation et la diffusion de la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référencede coordonnéesnationauxgéréspar l'Administration d cadastre et de la topographie ; et portant fixation du tarif des redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutéspar l'Administration du cadastre et de la topographie 10/11 En effet, dans l'hypothèse où des salariés d'une même société obtiendraient individuellement la délivrance d'extraits du registre foncier, ce cas d'espèce ne constituerait-il pas un détournement des quotas fixés par l'article précité ? Ainsi adopté à Belvaux en date du 7 août
58. La Commission nationale pour la protection des données Thierry Lallemang Commissaire CNPD Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8330B portant organisation de l'Administration du cadastre et de la topographieet au projet règlementgrand-ducal concernant la consultation et la diffusionde la documentation relative à la mensuration officielle, de la documentation cadastrale, de la documentation topographique, du registre national des localités et des rues et des systèmes de référence de coordonnées nationaux gérés par l'Administration d cadastre et de la topographie ; et portant fixation du tarifdes redevances à percevoir au profit de l'Etat pour les travaux de bureau et de terrain exécutés par l'Administration du cadastre et de 'la topographie 11/11