Loi. » 13 27. Il convient de rappeler que les violations du secret professionnel sont punies par les sanctions pénales prévues à l'article 458 du Code

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8535 portant modification 1° de la loi modifiée du 7 août 2023 relative au logement abordable ; 2° de la loi modifiée du 21 septembre 2006 sur le bail à usage d'habitation et modifiant certaines dispositions du Code civil Délibération n°77/AV10/2025 du 17 septembre 2025 1. Conformément à l’article 57.1.C) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». 2. L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». 3. Par courrier en date du 16 mai 2025, Monsieur le Ministre du Logement et de ['Aménagement du territoire a invité la Commission nationale à se prononcer sur : 1° le projet de loi n°8359 portant modification de la loi modifiée du 24 avril 2017 portant réorganisation de l'établissement public nommé « Fonds du logement » ; 2° le projet de loi n°8357 portant modification de la loi modifiée du 7 août 2023 relative aux aides individuelles au logement ; 3° le projet de loi n°8535 portant modification 1° de la loi modifiée du 7 août 2023 relative au logement abordable ; 2° de la loi modifiée du 21 septembre 2006 sur le bail à usage d’habitation et modifiant certaines dispositions du Code civil ; CNPD »CJ« * ••OHCIO0<S coxoto Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8535 portant modification 1° de la loi modifiée du 7 août 2023 relative au logement abordable ; 2° de la loi modifiée du 21 septembre 2006 sur le bail à usage d'habitation et modifiant certaines dispositions du Code civil 1/9 4° le projet de règlement grand-ducal portant modification du règlement grand-ducal du 7 août 2023 fixant les modalités d’exécution relatives aux aides individuelles au logement et 5° le projet de règlement grand-ducal modifiant le règlement grand-ducal du 24 avril 2017 portant fixation des indemnités et des jetons de présence revenant aux membres de conseil d’administration et au Commissaire du Gouvernement du Fonds du Logement. 4. Après analyse des projets de texte mentionnés sous les points 1°, 2°, 4° et 5° ci-dessus, la CNPD n’a pas pu identifier de questions relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement de données à caractère personnel. La Commission nationale n'estime dès lors pas nécessaire de rendre un avis sur les projets de loi ainsi que les projets de règlements grand-ducaux susmentionnés. 5. La Commission nationale ne formulera dès lors seulement des observations quant aux dispositions du projet de loi n°8535 portant modification 1° de la loi modifiée du 7 août 2023 relative au logement abordable ; 2° de la loi modifiée du 21 septembre 2006 sur le bail à usage d’habitation et modifiant certaines dispositions du Code civil qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel (ci-après le « projet de loi »). 6. Selon l’exposé des motifs, le projet de loi s’inscrit dans une volonté d'optimiser l’application de la loi modifiée du 7 août 2023 relative au logement abordable, en l’adaptant davantage aux réalités pratiques et aux besoins identifiés sur le terrain. Ainsi, l’objectif du projet de loi est de faciliter la mise en œuvre de la législation en matière d’aides individuelles au logement, d’en améliorer l’efficacité, et de stimuler la création de logements abordables, dans l’intérêt des ménages concernés ainsi que des promoteurs et bailleurs sociaux. I. Sur le registre national des logements abordables 7. Le projet de loi prévoit certaines modifications quant au registre national des logements abordables (ci-après le « RENLA »), instituée par la loi modifiée du 7 août 2023 relative au logement abordable. En effet, il s'agit d’une liste d’attente nationale centralisée des personnes cherchant à louer un logement à prix abordable, de sorte que les demandeurs n’ont plus besoin de s’inscrire sur la liste de multiples bailleurs sociaux1. La Commission nationale formulera ciaprès ses remarques quant aux modifications dudit registre soulevant des problématiques ayant trait à la protection des données à caractère personnel. A. Sur le(

1. s)responsable(
2. s)du traitement 1 V. https://loqement.public.lu/fr/professionnels/bailleurs-sociaux/renla.html CNPD ‘T- : o — mc•c>» .* MSOOMHtU Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8535 portant modification 1° de la loi modifiée du 7 août 2023 relative au logement abordable ; 2° de la loi modifiée du 21 septembre 2006 sur le bail à usage d'habitation et modifiant certaines dispositions du Code civil 2/9 8. La notion de responsable du traitement joue un rôle important dans l’application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer leurs droits 2. Il est encore à noter qu'il peut y avoir des responsables conjoints du traitement lorsque plus d’un acteur intervient dans le traitement de données. Ainsi, la notion de responsable conjoint du traitement de données est une notion fonctionnelle en ce qu’elle vise à répartir les responsabilités en fonction des rôles réels joués par les parties3. À cet égard, l’article 26 du RGPD prévoit des règles spécifiques pour les responsables conjoints du traitement et leur relation. 9. D’abord, l’article 42 du projet de loi prévoit de supprimer le promoteur social en tant que responsable du traitement, vu que les promoteurs sociaux n’auront pas accès au RENLA. La CNPD se félicite que les auteurs du projet de loi proposent d’adapter la loi modifiée du 7 août 2023 relative au logement abordable étant donné que seul le ministre ayant le Logement et ('Aménagement du territoire dans ses attributions (ci-après « le ministre ») et les bailleurs sociaux seront les responsables du traitement des données personnels dans le cadre dudit registre. En effet, les dispositions du projet de loi doivent refléter la réalité des activités exercées par les différents acteurs et donner des indications suffisamment claires quant aux entités qui sont à considérer comme responsable du traitement. 10. D’autre part, l’article 43 du projet de loi propose d’ajouter le bailleur social à l’article 75.2 de la loi modifiée du 7 août 2023 relative au logement abordable, qui prévoit désormais que : « [...] Le ministre et le bailleur social traitent les données relevant de toutes les catégories de données énumérées à l’alinéa 1er lorsque l’instruction, la gestion ou le suivi administratif des dossiers des demandeurs-locataires, des candidats-locataires et des locataires rend ce traitement nécessaire ». La Commission nationale salue que les auteurs du projet de loi redressent cet oubli 4. 11. Au vu de la multitude de traitements effectués par le biais du RENLA, il peut s’avérer nécessaire de différencier les responsabilités pour les différents traitements effectués. À cet égard, la CNPD réitère ses observations formulées dans son avis du 21 juillet 2022 relatif au projet de loi n°79375. En effet, il est concevable que le ministre et le bailleur social soient responsables conjoints pour un traitement déterminé alors que seul le ministre soit responsable pour un autre traitement. Il y 2 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : https://edpb.europa.eu/our-work-tools/our-documents/quidelines/quidelines-072020-concepts-controller-andprocessor-qdpr fr 3 Ibid., p.4. 4 V. Commentaire de l’article 43 du projet de loi. 5 Délibération n°33/AV16/2022 du 21 juillet 2022, doc. pari. n°7937/04, p. 7 et 8. CNPD ‘.•n ••O-fCK» Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8535 portant modification 1° de la loi modifiée du 7 août 2023 relative au logement abordable ; 2° de la loi modifiée du 21 septembre 2006 sur le bail à usage d’habitation et modifiant certaines dispositions du Code civil 3/9 a lieu de regretter que le projet de loi ne distingue pas clairement les responsabilités pour les différents traitements effectués dans le cadre dudit registre. B. Sur la durée de conservation 12. Selon l’article 5.1.
3. e)du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Les données personnelles devront être supprimées ou anonymisées dès que leur conservation n’est plus nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. 13. Il y a lieu de regretter que le projet de loi ne prévoie pas de durée de conservation précise des données traités dans le cadre du RENLA. En l’absence de telles précisions, la Commission nationale n’est pas en mesure d’apprécier si, en l’occurrence, le principe de limitation de conservation serait respecté. Bien qu’il ne soit pas toujours possible de définir une durée de conservation précise, le projet de loi devrait a minima énoncer les critères permettant de déterminer quelle est la durée de conservation proportionnée pour chaque catégorie de données à caractère personnel qui serait traitée dans le cadre du RENLA. Dans son avis du 21 juillet 2022 6, la CNPD déplorait déjà l’absence d’un délai de conservation et renvoie à ses développements antérieurs. C. Sur les personnes susceptibles de figurer dans le RENLA 14. En vertu du principe de minimisation inscrit à l’article 5.1
4. c)du RGPD, seules les personnes dont le traitement des données à caractère personnel est nécessaire au regard des finalités peuvent voir leurs données collectées et traitées. Ainsi, la CNPD se félicite que les auteurs du projet de loi proposent de supprimer les acquéreurs et les membres de leur communité domestique du texte de loi étant donné que les données de ces derniers ne sont pas intégrées dans le RENLA 7. 15. En sus, l’article 42 du projet de loi sous avis prévoit d’insérer un deuxième alinéa au paragraphe premier de l'article 74 de la loi modifiée du 7 août 2023 relative au logement abordable en les termes suivants : « Le locataire d’un logement dédié aux personnes bénéficiant d'un accompagnement social rapproché, d’un logement dédié aux jeunes, d’un logement dédié aux étudiants, d’un logement dédié aux salariés du promoteur social ou de son mandataire, d’un logement dédié aux membres d'une société coopérative agissant en tant que promoteur social ou d’un logement dédié dit de réserve, au sens de l’article 12, paragraphe 3, peut être répertorié 6 7 Délibération n°33/AV16/2022 du 21 juillet 2022, doc. pari. n°7937/04, p. 11. V. Commentaire de l’article 42 du projet de loi. CNPD fOvwUt» rXit4»fU Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8535 portant modification 1° de la loi modifiée du 7 août 2023 relative au logement abordable ; 2° de la loi modifiée du 21 septembre 2006 sur le bail à usage d'habitation et modifiant certaines dispositions du Code civil 4/9 dans le registre national des logements abordables à la fois comme locataire et candidat locataire ». 16. À cet égard, le commentaire de l’article 42 précise que « [l]’objectif de cette modification consiste à permettre à tous les locataires qui bénéficient d'un logement abordable dédié d’être inscrit au RENLA en vue de l’attribution d'un logement tous public une fois que leur situation particulière [...] n'est plus donnée ». En effet, la Commission nationale comprend qu'il s’agit de retenir les cas dans lesquels un locataire d'un logement dédié peut être répertorié dans le RENLA à la fois comme locataire et comme candidat-locataire en vue de passer d’un logement dédié à un logement tous publics. Il y a lieu de saluer les auteurs du projet de loi de cette précision. D. Sur la pseudonymisation des données personnelles 17. L’article 42 du projet de loi prévoit encore que les données peuvent servir à des fins de statistiques après avoir été anonymisées ou pseudonymisées. Selon le commentaire des articles, il s'agit de se conformer au règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données). 18. La Commission nationale se permet de rappeler que le processus d’anonymisation permet de rendre impossible toute (ré)identification d’une personne. Il s’agit donc d’un processus irréversible. Au contraire, la pseudonymisation rend possible la réidentification d’une personne déterminée, par le recours à des informations supplémentaires. Cette distinction est importante étant donné que le RGPD s’applique aux données pseudonymisées et que les données anonymisées quant à elles ne rentrent pas dans le champ d’application du règlement8 . À cet égard, le considérant