← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves Délibération n°3/AV1/2026 du 10 février 2026

  1. Conformément à l’article 57.1.C) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le « règlement général sur la protection des données » ou le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
  2. Par courrier en date du 14 juillet 2025, Monsieur le Ministre de ('Education nationale, de l’Enfance et de la Jeunesse a invité la Commission nationale à se prononcer sur le projet de loi n°8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves (ciaprès le « projet de loi »). eÇNPD yî co— TW nowcex» Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de renseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l'enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 1/14
  3. La loi du 20 juillet 2023 relative à l’obligation scolaire avait instauré l’obligation d’une autorisation préalable pour l’enseignement à domicile. Selon l’exposé des motifs, il est apparu nécessaire d’adapter la législation existante relative à l’éducation à domicile, afin de tenir compte notamment de l’évolution législative et technologique, ainsi que de l’augmentation du nombre d'enfants suivant ce mode d'enseignement. Le présent projet de loi a pour objet de fixer un cadre légal applicable à l’enseignement à domicile, tant au niveau de l’enseignement fondamental qu’au niveau de l’enseignement secondaire. Ainsi, il vise à préciser les modalités relatives à l’autorisation, au contrôle et aux conditions de refus, de manière à compléter le cadre légal introduit par la loi précitée.
  4. La Commission nationale formulera ci-après ses remarques quant aux dispositions du projet de loi qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. I. Remarques liminaires
  5. Conformément à l’article 24 de la Charte des droits fondamentaux de l’Union européenne, dans tous les actes relatifs aux enfants, qu’ils soient accomplis par des autorités publiques ou des institutions privées, l’intérêt supérieur de l’enfant doit être une considération primordiale. Les droits de l’enfant font partie intégrante des droits de l’homme et tous ces droits sont indissociables, interdépendants et intimement liés.
  6. Le considérant 38 du RGPD reconnaît les enfants comme une catégorie spéciale de personnes concernées et impose des règles strictes concernant la collecte, le traitement de données à caractère personnel et l’utilisation de leurs données à caractère personnel.
  7. La Commission nationale estime que le volume et la sensibilité des données à caractère personnel qui sont susceptibles d’être traités dans le contexte de l’enseignement à domicile à des fins administratives et pédagogiques et que les risques sur la vie privée qui peuvent découler de ces traitements de données à caractère personnel, doivent faire l’objet d’une attention particulière.1 1 Voir aussi les lignes directrices

(2021)relatives à la protection des d o n n é e s personnelles des enfants dans un cadre éducatif de la Convention 108 - Comité consultatif de la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel. <CNPD ï rC * * Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 2/14
  1. Au vu de ce qui précède, la Commission nationale souligne l’importance d’adresser des recommandations, notamment de la part du ministère, d’une part, aux familles pour limiter le partage de données à caractère personnel et des données de catégories particulières superflues lors de l’introduction de la demande d’autorisation de l’enseignement à domicile et de la communication des motifs d’absence et d’empêchement dans l'agenda informatisé définis par le projet de loi, et d’autre part, aux formateurs pour l’utilisation de différents systèmes informatiques qui seraient mis en œuvre pour l’enseignement à domicile. II. Quant aux acteurs impliqués
  2. Conformément à l'article 4.7 du RGPD, le responsable du traitement est « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un Etat membre ».
  3. Selon l’article 4.8 du RGPD, le sous-traitant est «la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ».
  4. L’article 2 paragraphe
(2)de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves (ci-après la « loi du 18 mars 2013 ») précise que le ministre a « la qualité de responsable du traitement. Il peut faire exécuter sous sa responsabilité tout ou partie des obligations qui lui incombent en vertu de la loi par un membre du cadre supérieur de son ministère ».
  1. La Commission nationale en déduit que le ministre ayant l’Éducation nationale dans ses attributions (ci-après le « ministre ») est à considérer comme responsable du traitement dans la mise en œuvre des différents traitements des données à caractère personnel couverts par les dispositions du projet de loi pour le contrôle de la demande de l’enseignement à domicile (articles 1 er, 3 et 4), la mise en œuvre du contrôle pédagogique (articles 8, 9 et 10), la mise à disposition de l’agenda informatisé (article 11), le retrait de l’autorisation de l’enseignement à domicile (article 12) et le recours à la médecine scolaire (article 13). & CNPD Æ’n " ’ Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l'enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l'enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 3/14
  2. Elle relève que selon les articles 3 paragraphe
(4)et 8 paragraphe
(1)du projet de loi, le ministre peut recourir à l’avis d'experts, sur base contractuelle, pour que ces derniers analysent la demande d’enseignement à domicile et qu’ils « assistent ses agents dans le cadre du contrôle pédagogique » à des fins d’évaluation et d'analyse de l’enseignement à domicile dispensé.
  1. Les commentaires de ces articles précisent que les avis d’experts peuvent s’avérer nécessaires d'une part « dans le cadre de l'analyse de projets individualisés, en particulier lorsque ceux-ci font référence à des formations scolaires dispensées dans une école privée ou lorsqu'ils comprennent des adaptations afin de tenir compte des besoins de mineurs ou de leur état de santé » et d’autre part « pour apporter des connaissances et une expérience professionnelle complémentaire à celle des agents ministériels garantissant un contrôle efficace et circonstancié ».
  2. À cet égard, la Commission nationale se demande si les experts désignés par le ministre agiront en qualité de sous-traitants et recommande aux auteurs du projet de loi de clarifier les responsabilités des différents traitements de données à caractère personnel dans le projet de loi et précise que l’établissement du contrat tel que prévu par les articles 3 paragraphe
(4)et 8 paragraphe
(1)du projet de loi doit répondre aux critères de l'article 28 du RGPD. En outre, la Commission nationale recommande l’insertion explicite d’une obligation de confidentialité applicable aux experts. 16. Finalement, la CNPD se demande si et selon quelles modalités les experts qui sont appelés à assister les agents selon les dispositions des articles 3 paragraphe
(4)du projet de loi auront un accès à la demande d’autorisation de l’enseignement à domicile et à tous les documents et informations qui la composent. Il y a lieu de souligner l’importance des mesures de sécurité afin de prévenir des accès non-autorisés aux données personnelles. Sur ce point, il est renvoyé aux développements formulés sous les points 28 et suivants du présent avis. III. Quant à la demande d’autorisation de l’enseignement à domicile A. Sur le contenu de la demande d’autorisation 17. L’article 3 paragraphe
(1)du projet de loi prévoit que « [l]es titulaires de l'autorité parentale adressent leur demande d'autorisation par écrit au ministre au plus tard trois mois avant le début sollicité de l’enseignement à domicile. Ils soumettent une demande individuelle pour chaque mineur. Cette demande comprend :1° le projet individualisé, qui doit être compatible avec l'article 2 et qui contient le programme d’enseignement, l’indication des lieux et des horaires ‘|ÇNPD ' ‘à • -o»—auo» n.nC'Ml ■•OTICOC" Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 4/14 d’enseignement sur l’ensemble de la période sollicitée, l’indication des mesures favorisant l’intégration sociale et la vie en communauté du mineur, ainsi que l'encadrement pédagogique du mineur et le cas échéant, l’identité du formateur ; 2° pour les personnes visées à l’article 5, un extrait du bulletin N° 3 et un extrait du bulletin N° 5 du casier judiciaire, datant tous les deux de moins de trente jours ou, lorsque ces personnes sont des ressortissants non-luxembourgeois, des extraits récents du casier judiciaire ou d’un document similaire du ou des pays dont elles ont la nationalité et dans lesquels elles ont séjourné à partir de l’âge de dix-huit ans ». L’article 4 du projet de loi indique quant à lui que « [p]ar dérogation à l’article 3, paragraphe 1er, la demande d’autorisation peut être introduite dans un délai inférieur à trois mois en cas de : 1° modification de l’un des éléments prévus à l’article 3, paragraphe 1er, point 1°; 2° mise en conformité des éléments ayant mené au retrait de l’autorisation suivant les dispositions de l’article 12, paragraphe 1er ; 3° changement de la situation du mineur résultant de :
  1. a)son état de santé ;
  2. b)la pratique d’activités sportives ou artistiques intensives ;
  3. c)l’établissement de la résidence habituelle de la famille au Luxembourg en cours d’année scolaire ;
  4. d)l’itinérance de la famille pour un cas de force majeure ». 18. La Commission nationale rappelle que l’article 5.1.
  5. c)du RGPD dispose que les données à caractère personnel doivent être « adéquates pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». Il résulte de ce principe que ne doivent être traitées que les données nécessaires à l’accomplissement de la finalité du traitement de données à caractère personnel. Lors de la collecte, le responsable du traitement de données à caractère personnel doit être en mesure de clairement distinguer les données obligatoirement renseignées des données facultatives, pour atteindre les finalités des traitements de données à caractère personnel couverts par le projet de loi. 19. La notion de finalité c’est-à-dire l’objectif poursuivi par le traitement de données à caractère personnel, occupe une place primordiale au sein du RGPD. Au terme de l’article 5.1.
  6. b)du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. De plus les principes de minimisation des données ou de limitations de conservation s’apprécient au regard des finalités pour lesquelles les données sont traitées. Il est donc important que les finalités des différents traitements de données à caractère personnel prévus par le projet de loi soient clairement définies. 20. La CNPD se félicite que les auteurs du projet de loi envisagent de conférer une base légale aux traitements de données à caractère personnel effectués dans le cadre de la mise en place de l’enseignement à domicile. Par l’article 15 du projet de loi, des modifications de la loi du 18 mars 2013 sont en effet introduites afin de soumettre l’enseignement à domicile aux dispositions de la Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l'enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 5/14 loi du 18 mars 2013. L’article 15 2°
  7. a)du projet de loi prévoit ainsi de modifier l’article 3 paragraphe
(1)de la loi du 18 mars 2013 comme suit : « Les finalités à réaliser au moyen du traitement de données visé à l’article 2 sont les suivantes :
  1. le contrôle du respect de l'obligation scolaire ;
  2. le contrôle de l’assiduité de l'élève ;
  3. l’organisation et le fonctionnement de l’École et de l'enseignement à domicile ;
  4. la gestion du parcours scolaire de l’élève;
  5. la mise en œuvre d’analyses et de recherches à des fins de planification et d’évaluation de la qualité de l’enseignement après dépersonnalisation des données afférentes conformément aux dispositions de l’article 8 ;
  6. l’identification et l’authentification de l’élève moyennant une carte d'élève ».
  7. Bien qu’elle reconnaisse l’intérêt de tels traitements de données à caractère personnel en vue notamment d'une meilleure évaluation de la qualité de l’enseignement, dans un souci de concilier la pratique de l’enseignement à domicile avec l’impératif de protéger l’intérêt supérieur de l’enfant et son droit à accéder à une éducation de qualité, la CNPD estime qu’un certain nombre de données est susceptible d’être traité afin de documenter le projet individualisé, analyser la demande d’autorisation de l’enseignement à domicile et vérifier le respect de la condition de moralité des personnes dispensant l’enseignement.
  8. En outre, elle note que les dispositions des articles 3 paragraphe
(1)2° et 5 du projet de loi ne précisent pas que les titulaires de l’autorité parentale ne sont pas soumis aux vérifications de moralité lorsqu’ils dispensent eux même l'enseignement à domicile. Il conviendrait d'apporter des précisions en ce sens à l’article 5 du projet de loi afin que les personnes physiques désignées soient limitées aux formateurs autres que les titulaires de l’autorité parentale.
  1. Enfin, la CNPD relève sous les commentaires de l’article 15 du projet de loi que « les conditions des traitements des données effectués dans le cadre de la gestion des dossiers et des opérations de contrôle », et ce « en ce qui concerne le mineur lui-même ainsi que les titulaires de l'autorité parentale », sont encadrés par les dispositions de la loi du 18 mars
  2. Elle se demande si le traitement des données à caractère personnel issu des vérifications de moralité des formateurs est exclu des dispositions de la loi du 18 mars
  3. Afin d'éviter toute ambiguïté, il conviendrait d'apporter des précisions en ce sens à l’article 15 du projet de loi. Ainsi, la Commission nationale estime que l’article 3 paragraphe
(3)
  1. a)point 5 de la loi du 18 mars 2013, dont la rédaction se limitant actuellement au projet individualisé et ne couvrant pas les traitements concernés, soit adapté. 3CNPD .•r “ .■cvvaïc» "*nc«il l’onctc" cMOOH>m Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 6/14 B. Sur le traitement des « données sensibles » 24. La Commission nationale constate qu’une partie des données traitées à travers la demande de l’enseignement à domicile pourraient être des données de santé ou potentiellement des données pouvant révéler par exemple des prétendues origines raciales ou ethniques et des opinions religieuses. Au regard des commentaires des articles, la CNPD relève que l'appréciation de l’opportunité d’un enseignement à domicile vise à assurer que l’instruction de l’élève en dehors d’un établissement scolaire réponde à ses besoins, lui permette d’évoluer dans ses apprentissages et que les personnes physiques dispensant l’enseignement à domicile fassent preuve de garanties de moralité pour travailler en contact avec des enfants. La Commission nationale comprend que le ministre pourra être amené à traiter dans ce contexte des données révélant l’origine raciale ou ethnique, les convictions religieuses ou philosophiques qui pourraient figurer dans la demande d’autorisation. Ces données susmentionnées et les données issues des vérifications des conditions de moralité des personnes2 relèvent de catégories particulières de données, dites « données sensibles », au sens des articles 9 et 10 du RGPD qui leur confèrent une protection particulière. 25. La CNPD attire l’attention des auteurs du projet de loi sur le traitement des données sensibles qui requiert une protection spécifique et est soumis à des exigences plus strictes. Le traitement de telles données est en principe interdit, sauf dans les hypothèses énumérées aux articles 9.2 et 10 du RGPD. La Cour de justice de l’Union européenne a adopté une interprétation large de la notion de « catégories particulières de données à caractère personnel » en jugeant que le traitement de données personnelles susceptibles de dévoiler, de manière indirecte, des informations sensibles concernant une personne physique est soumis au régime de protection renforcé prévu par l’article 9 du RGPD. 3 26. En l’occurrence, le traitement de données sensibles est susceptible d’être fondé sur les articles 9.2.
  2. g)et 10 du RGPD. En vertu de l’article 9.2.
  3. g)du RGPD, le traitement de données sensibles est possible si le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. Le traitement de données sensibles peut également être fondé sur l’article 10 du 2 Au titre des articles 3 paragraphe
(1)2° et 5 du projet de loi. Cour de justice de l’Union européenne, arrêt du 1 er août 2022, Vyriausioji tarnybinés etikos komisija, C-1 84/20, EU:C:2022:601, points 120 et s. 3 CNPD »“»■«] Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 7/14 RGPD lorsqu’il est sous le contrôle de l’autorité publique ou autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées.
  1. En tout état de cause, les articles 9.2.g) et 10 du RGPD exigent que la loi prévoie des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. De telles mesures appropriées peuvent notamment consister dans la mise en place de canaux de transmission sécurisés, de restrictions de l’accès aux données ou encore de fichiers de journalisation. C. Sur la sécurité des données à caractère personnel
  2. Au vu du nombre important de données à caractère personnel en jeu, de la minorité d’un grand nombre de personnes concernées par le traitement de données à caractère personnel et du caractère potentiellement sensible de certaines données4, la réglementation des accès apparaît nécessaire, lesquels, pour être compatibles avec les finalités du traitement de données à caractère personnel, doivent être strictement limités aux accès qui permettent à leurs titulaires de poursuivre les finalités du traitement de données à caractère personnel.
  3. La Commission nationale note que plusieurs dispositions de la loi du 18 mars 2013 prévoient des mesures relatives à la communication et au partage des données à caractère personnel. L’article 4 prévoit que «
(5)[l]e système informatique par lequel l’accès ou le traitement des données à caractère personnel sont opérés doit être aménagé de la manière suivante:
  1. a)l’accès aux fichiers est sécurisé moyennant une authentification forte;
  2. b)les informations relatives aux personnes ayant procédé au traitement ainsi que les informations traitées, la date et l’heure du traitement sont enregistrées et conservées pendant un délai de 3 ans, afin que le motif du traitement puisse être retracé. Les données à caractère personnel traitées doivent avoir un lien direct avec la finalité à laquelle participe la personne ayant procédé au traitement dans le cadre de ses attributions et qui a motivé le traitement.
(6)Seules peuvent être traitées les données à caractère personnel strictement nécessaires selon le principe de proportionnalité ».
  1. Selon l’article 5 de la loi du 18 mars 2013 « [l]’accès aux données et la possibilité de les traiter sont gérés par un système de gestion des identités et des droits d'accès. Ce système constitue la base de la gestion des droits d'accès, de leur attribution à leur suppression, à l'échelle de toutes les données, pour tous les membres de l’administration de /'Éducation nationale ainsi que pour 4 Citons à titre d’exemple la communication de la médecine scolaire à l’agent en charge du contrôle pédagogique dans le contexte de l’article 13 2° du projet de la loi. WCNPD îOMwai»' .’ rCJ».A rKHtcnOH Avis de la C o m m i s s i o n n a t i o n a l e p o u r la protection des d o n n é e s relatif au projet de loi n° 8588 portant organisation de l'enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 8/14 les partenaires de l’École appelés à intervenir sur des données en vertu de la législation scolaire. Les critères et conditions d’accès aux données, les modalités d’octroi et de retrait des autorisations d’accès, la périodicité de la révision des accès et la durée de leur validité sont déterminés par règlement grand-ducal ».
  2. L’article 6 indique aussi que « [l]a communication se fait directement par interconnexion entre systèmes informatiques ou par voie électronique. Le système informatique par lequel un accès direct est accordé à un tiers doit être aménagé de sorte que les informations relatives à la personne bénéficiant de la communication, les informations communiquées, la date, l’heure, ainsi que le motif précis de la communication puissent être retracés ».
  3. La Commission nationale souhaite à ce titre renvoyer à l’avis du Conseil d’Etat du 6 décembre 2011 relatif au projet de loi n°6284 relatif aux traitements de données à caractère personnel concernant les élèves. Le Conseil d’Etat avait déjà souhaité que « les données à caractère personnel trop sensibles, telles que celles relatives à la nationalité et au pays d’origine, celles relatives à la catégorie de revenus, l’éventuel statut de protection internationale ou les informations sur le placement d’un mineur dans une structure d’accueil soient exclues par la loi de toute communication à des tiers » et il avait précisé que « la communication de données à caractère personnel à des tiers, de même que l’interconnexion de fichiers de données, sont des opérations très délicates qui doivent être entourées d’un maximum de garanties ».
  4. Il y a lieu de relever que l’article 6 de la loi du 18 mars 2013 interdit de transmettre les données relatives au placement d'un mineur dans une structure d’accueil, celles relatives à la nationalité, le pays d’origine et l’éventuel statut de protection internationale à des tiers.
  5. Dans la mesure où des données contenues dans la demande d’autorisation pourraient révéler de telles informations et être partagées avec des experts, la Commission nationale recommande aux auteurs du projet de loi de clarifier les données accessibles aux experts afin d'assurer que les données consultées par ces derniers soient strictement limitées à celles qui sont pertinentes et adéquates pour les objectifs de leur expertise.
  6. Dans cet avis du 6 décembre 2011, le Conseil d’Etat avait aussi à juste titre rappelé qu’« [a]vant de communiquer des données à caractère personnel issues du fichier des élèves à des tiers, le responsable du traitement doit, de cas en cas, vérifier la nécessité de la communication ainsi que la compatibilité de la finalité du traitement en vue duquel la communication est demandée avec la finalité en vue de laquelle les données avaient été collectées. Il s’ensuit qu’il n’est pas possible d’accorder à quiconque un accès permanent et illimité au fichier des élèves. Afin de limiter les tCNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 9/14 abus possibles, il doit être veillé à ne communiquer que de petites quantités de données à la fois, et pour une courte durée. Les communications de données à des tiers doivent se faire de telle manière que le responsable du traitement peut à tout moment et dans tous les cas garantir que les données communiquées ne soient pas traitées au-delà de leur durée légale de conservation ». Le Conseil d’Etat avait indiqué qu’il était nécessaire d’« éviter que les données à caractère personnel soient communiquées sous forme de fichiers annexes à des courriels ou téléchargés sur supports informatiques amovibles » et il avait ajouté qu’« il y a lieu de permettre l’accès des tiers aux données à caractère personnel que parle seul moyen d’une interconnexion de systèmes informatiques, à condition que le retraçage détaillé des opérations effectuées soit garanti ».
  7. La Commission nationale exprime ainsi ses inquiétudes quant aux communications de données à caractère personnel par voie électronique et se permet d'attirer l’attention des auteurs du projet de loi sur l’éventuelle perte de contrôle des données à caractère personnel, que ce soit sur leur réutilisation ultérieure, leur durée de conservation ou les mesures garantissant leur sécurité.
  8. Elle recommande donc que des clarifications soient apportées au projet de loi notamment eu égard aux dispositions des articles 8, 10 paragraphe
(2)et 11 paragraphe
(3)et de veiller à leur cohérence avec les dispositions de l’article 6 de la loi du 18 mars 2013 qui régit les communications des données à caractère personnel relatives aux élèves. IV. 38. Quant au contrôle pédagogique L’article 8 du projet de loi dispose que : «
(1)[L]’enseignement à domicile est soumis au contrôle pédagogique du ministre. Il charge ses agents de procéder au contrôle pédagogique. Le ministre peut recourir à l’avis d'experts indemnisés sur base contractuelle, afin qu’ils assistent ses agents dans le cadre du contrôle pédagogique.
(2)Le contrôle pédagogique porte sur le portfolio mentionné à l’article 10 ainsi que sur l'agenda informatisé mentionné à l’article 11, sur la conformité à l'autorisation délivrée et il comprend une évaluation du développement des connaissances et des compétences du mineur visées par le projet individualisé ». 39. L’article 9 du projet de loi indique quant à lui que : «
(1)[L]e contrôle pédagogique peut être effectué moyennant : 1° des visites d’inspection sur convocation notifiée au moins cinq jours avant la date indiquée par l’agent en charge du contrôle pédagogique aux titulaires de l'autorité parentale, sur les lieux et aux heures d’enseignement indiqués dans la demande ou l’agenda informatisé ; 2” des visites d'inspection inopinées par l’agent chargé du contrôle pédagogique sur § CNPD rojr.» «•onciKX Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l'enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 10/14 /es lieux et aux heures d’enseignement indiqués dans la demande ou l'agenda informatisé ; 3° des entrevues entre l'agent chargé du contrôle pédagogique, les titulaires de l'autorité parentale et le mineur sur convocation notifiée au moins cinq jours avant la date indiquée.
(2)L’entretien avec le mineur réalisé dans le cadre du contrôle pédagogique peut être fait sans l’intervention des titulaires de l'autorité parentale.
(3)Les titulaires de l'autorité parentale mettent à disposition toutes pièces et tout dispositif informant sur la mise en œuvre de l’enseignement à domicile ainsi que sur l’assiduité à l’enseignement ». 40. La Commission nationale comprend que dans le cadre du contrôle pédagogique des données à caractère personnel sont susceptibles d'être collectées afin de documenter (
  1. i)les vérifications et analyses réalisées sur le portfolio et l’agenda informatisé et (
  2. ii)l’évaluation du développement des connaissances et des compétences du mineur prévue par l’article 10 du projet de loi. Le contrôle pédagogique implique aussi le traitement de données de santé pour notamment justifier l’absence ou l'empêchement du mineur et potentiellement le traitement des données pouvant révéler par exemple des prétendues origines raciales ou ethniques ou des opinions religieuses. La Commission nationale renvoie à ce titre aux points 24 et suivants du présent avis. 41. Elle note selon les commentaires du projet de loi que le portfolio et l’agenda informatisé « instaurent une transparence accrue pour les agents et les experts en charge, car ils peuvent accéder à des données claires, vérifiables et organisées » 5 et comprend qu’un accès au portfolio et à l'agenda informatisé de l’élève est conféré au ministre et ses agents ainsi qu’aux experts pour les besoins du contrôle pédagogique. 42. La Commission nationale s’interroge sur la mise en œuvre du contrôle pédagogique prévu par l’article 8 paragraphe
(2)du projet de loi. Selon le commentaire de l’article 8 du projet de loi, le contrôle est effectué par le chargé du contrôle pour « vérifier que les travaux présentés dans le portfolio ont bien été réalisés par l'enfant, que le contenu et les modalités du projet autorisé sont respectés, et que les méthodes pédagogiques de l’enseignement à domicile choisies par les titulaires de l’autorité parentale favorisent une progression constante de l'acquisition des connaissances et compétences de l'enfant ». Ce contrôle pédagogique est réalisé au moyen de l’accès au portfolio de l’élève et à l’agenda informatisé. La CNPD estime qu’il serait nécessaire de clarifier dans quelle mesure cet accès est limité à des contrôles ponctuels ou s’il est conçu pour s’étendre au-delà du seul contrôle prévu par l’article 8 paragraphe
(2)du projet de loi dans le contexte de la mise en œuvre des articles 8, 9, 10 et 11 du projet de loi. 5 Commentaires en page 7 du projet de loi. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l'enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 11/14
  1. Les commentaires de l’article 9 du projet de loi précisent que le contrôle pédagogique pourra être fait par vidéoconférence. La CNPD souhaite se référer à son avis du 5 août 2022 relatif au projet de loi n° 7977 1° relative au droit à l’enseignement et à l'obligation scolaire ; 2° portant modification de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel ; et 3° portant abrogation de la loi modifiée du 6 février 2009 relative à l'obligation scolaire6 dans lequel était rappelé que « le traitement de l'image des enseignants et des élèves est un traitement de données à caractère personnel soumis au RGPD». À ce titre, elle regrette que le texte sous avis reste muet quant aux modalités concrètes à respecter en cas de recours à la vidéoconférence et aux mesures techniques et organisationnelles particulières requises. V. Quant aux durées de conservation des données à caractère personnel
  2. Selon l’article 5.1.e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. La durée de conservation des données à caractère personnel devrait être en effet déterminée en fonction de la finalité poursuivie par le traitement de données à caractère personnel afin d’assurer que les données soient conservées sous une forme permettant l'identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
  3. La Commission nationale relève que plusieurs dispositions de la loi du 18 mars 2013 donnent des indications sur les durées de conservation des données à caractère personnel qui sont traitées dans le contexte de l’enseignement à domicile.
  4. L’article 4 paragraphe
(5)b) de la loi précitée indique que : « Le système informatique par lequel l'accès ou le traitement des données à caractère personnel sont opérés doit être aménagé de la manière suivante : (...) les informations relatives aux personnes ayant procédé au traitement ainsi que les informations traitées, la date et l’heure du traitement sont enregistrées et conservées pendant un délai de 3 ans, afin que le motif du traitement puisse être retracé ». 47. La Commission nationale se demande si la durée de conservation des accès de l'agenda informatisé sera également aménagée selon les dispositions de l’article 4 paragraphe
(5)b) de la loi du 18 mars
  1. 6 Voir délibération n°34/AV17/2022 du 5 août 2022 de la Commission nationale pour la protection des données, remarques préliminaires en page
  2. f CNRD ét -O»-wïl<0~ *< rio'tcnoH (xiooiin Avis de la Commission nationale p o u r la protection des d o n n é e s relatif au projet de loi n° 8588 portant organisation de l’enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 12/14
  3. La CNPD s’interroge par ailleurs sur la durée de conservation des données qui seront collectées lors de la vérification de moralité des titulaires de l’autorité parentale et des formateurs prévue par les articles 3 paragraphe
(1)2° et 5 du projet de loi et note également que le sort de la demande d’autorisation de l'enseignement à domicile qui est l’objet d’un refus ou d’un retrait dans les conditions de l'article 12 du projet de loi n'est pas déterminé. Elle recommande aux auteurs du projet de loi d’ajouter des précisions à ces égards pour se conformer aux exigences de l’article 5.1.e) du RGPD.
  1. Ensuite, elle souhaite renvoyer à l’avis du Conseil d’Etat du 6 décembre 2011 relatif au projet de loi n°6284 relatif aux traitements de données à caractère personnel concernant les élèves dans lequel il invitait les auteurs du projet de loi à « fournir des précisions supplémentaires (...), sur la manière d’après laquelle les données collectées » étaient « vérifiées et tenues à jour » en précisant que « des données incorrectes, incomplètes ou simplement périmées » risquaient « de faire perdre au traitement son caractère loyal et licite ». En effet, l’article 5.
  2. d)du RGPD dispose que « [IJes données à caractère personnel doivent être exactes et si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ».
  3. Dans ce contexte, la CNPD attire l’attention des auteurs du projet de loi sur les risques attachés au traitement de données erronées, obsolètes ou incohérentes dans le contexte de l’enseignement à domicile qui pourraient déboucher sur des traitements inadéquats et des prises de décisions inexactes et souhaite se référer à son avis du 26 juillet 2010 7 concernant l'avantprojet de règlement grand-ducal déterminant les conditions, les critères et les modalités de l’échange de données à caractère personnel entre l’administration de l’éducation nationale et les établissements scolaires, les autorités communales et des tiers dans lequel elle rappelait que l’exactitude des données était d’autant plus importante lorsqu’il s’agissait de données relatives à un enfant car « l’enfant étant en évolution constante, les responsables du traitement des données » devaient « être particulièrement attentifs à l’obligation de mise à jour des données à caractère personnel ». 7 Voir délibération n°238/2010 du 26 juillet 2010 de la Commission nationale pour la protection des données, point 4.2 page
  4. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8588 portant organisation de l'enseignement à domicile et portant modification : 1° de la loi modifiée du 2 décembre 1987 portant réglementation de la médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 13/14 Ainsi adopté à Belvaux en date du 10 février
  5. La Commission nationale pour la protection des données Tine A. Larsen Présidente J CNPD Thierry Lallemang Commissaire Alain Herrmann Commissaire Florent Klin Commissaré Avis de la Commission nationale pour la protection des données de l’enseignement à domicile et portant «uns-wu relatif au projet de loi n° 8588 portant organisation 1987 portant réglementation de la décembre 2 du modifiée loi la de 1° : modification '«oacno. médecine scolaire ; 2° de la loi modifiée du 6 février 2009 portant organisation de l’enseignement fondamental ; 3° de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves 14/14

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.