Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8611 portant création de l’éta

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8611 portant création de l’établissement public « Initiative pour la promotion de l’emploi dans le secteur du sport » et modifiant 1° la loi modifiée du 3 août 2005 concernant le sport ; 2° la loi du 29 juillet 2023 portant création de l’INAPS Délibération n°106/AV14/2025 du 5 décembre 2025 1. Conformément à l’article 57.1.

1. c)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». 2. Par courrier en date du 21 juillet 2025, Monsieur le Ministre des Sports a invité la Commission nationale à se prononcer sur le projet de loi n°8611 portant création de l’établissement public « Initiative pour la promotion de l’emploi dans le secteur du sport » et modifiant 1° la loi modifiée du 3 août 2005 concernant le sport ; 2° la loi du 29 juillet 2023 portant création de l’INAPS (ciaprès le « projet de loi »). 3. Selon l’exposé des motifs, le projet de loi a pour objet la création d’un établissement public nommé « l'initiative pour la promotion de l’emploi dans le secteur du sport » (IPESS), dont la mission est de fournir, à titre onéreux, des prestations aux acteurs du sport et de l’activité physique, tout en contribuant activement au développement qualitatif, à la professionnalisation et à la promotion de l’emploi dans l’ensemble du secteur. Il s’agit de créer une structure centralisée CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8611 portant création de l’établissement public « Initiative pour la promotion de l’emploi dans le secteur du sport » et modifiant l ’ la loi modifiée du 3 août 2005 concernant le sport ; 2° la loi du 29 juillet 2023 portant création de l’INAPS 1/4 en vue de contribuer à la professionnalisation progressive des organisations sportives, à la valorisation des métiers du secteur et à la création de nouvelles perspectives d'emploi. 4. Le projet de loi prévoit également d’apporter des modifications à la loi du 29 juillet 2023 portant création de l’INAPS en vue de faciliter la coopération avec les fédérations sportives. À cet effet, les auteurs du projet de loi proposent la création d’une base de données commune recensant les brevets d’État et les licences des entraîneurs « afin de garantir une meilleure traçabilité des qualifications et afin de faciliter la coordination [entre l’INAPS et les fédérations sportives] en matière de besoins en formation y afférents »1 . 5. Le présent avis limite ses observations aux questions liées à la protection des données à caractère personnel soulevées par l’article 14 du projet de loi sous avis. 6. En effet, l’article 14 du projet de loi a pour objet de créer une base légale pour permettre l'accès des responsables des fédérations sportives agréées à certaines données limitées des détenteurs de brevet. Un nouveau paragraphe est ajouté à l’article 5 de la loi du 29 juillet 2023 portant création de l’INAPS, selon lequel : « Les noms et prénoms, le numéro d'identification national, la dénomination et le niveau de certification du brevet, brevet d’Etat ou de l'homologation nationale, ainsi que les données relatives au suivi des formations continues de chaque détenteur de brevet, brevet d'Etat ou homologation nationale peuvent être consultés par les responsables des fédérations sportives agréées conformément à la discipline sportive figurant sur le brevet, brevet d'Etat ou l’homologation nationale. Les responsables des fédérations sportives agréées peuvent également consulter les noms, prénoms et numéro d’identification national des personnes inscrites aux formations dans leur discipline sportive, de même que l’état de suivi des formations ». 7. Ainsi, les données des détenteurs de brevet et des personnes inscrites aux formations dans leur discipline sportive peuvent être consultées par les responsables des fédérations sportives, afin de leur permettre d'adapter leur offre de formations initiales et continues aux besoins des différents niveaux. La Commission nationale se félicite que les auteurs du projet de loi ont veillé à préciser les données pouvant être consultées pour cette finalité, conformément au principe de minimisation des données, selon lequel seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités soient traitées 2 . 1 2 V. Exposé des motifs, p. 5. Art. article 5.1 c j d u R G P D . CNPD L_ —J Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8611 portant création de l'établissement public « Initiative pour la promotion de l’emploi dans le secteur du sport » et modifiant 1° la loi modifiée du 3 août 2005 concernant le sport ; 2° la loi du 29 juillet 2023 portant création de l’INAPS 2/4 8. Toutefois, la formulation « données relatives au suivi des formations continues » est très vague, de sorte que la CNPD n'est pas en mesure de déterminer avec précision quelles données sont effectivement visées par cette formulation. 9. Ensuite, il ressort du commentaire de l’article 14 que l’accès « sera limité à certaines personnes responsables désignées par les fédérations sportives et comportera uniquement un accès « vue », aucune modification ou saisie ne pouvant être effectuée »3 . La Commission nationale note favorablement que les auteurs du projet de loi précisent les personnes ayant le droit d'accéder à ces données. En vertu du principe d’intégrité et de confidentialité prévu par l'article articles 5.1.
2. f)du RGPD, et conformément aux obligations de sécurité des traitements énoncées à l’article 32 du RGPD, seules les personnes habilitées devraient avoir accès aux données dont elles ont besoin dans le cadre de leurs activités. Des mesures doivent être mises en œuvre afin d’éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. Il est toutefois à regretter que le projet de loi ne prévoie pas la mise en place d’un système de journalisation des accès, permettant de tracer les consultations effectuées et d'assurer la confidentialité et la sécurité des données. Sur ce point, la CNPD recommande que les données de journalisation des accès soient conservées pendant un délai de cinq ans à partir de leur enregistrement, ce qui correspond au délai de prescription des délits tels que la violation du secret professionnel prévu à l'article 458 du Code pénal. 10. Finalement, il ressort du commentaire de l'article 14 que l’accès au registre électronique est élaboré en collaboration avec le Centre des technologies de l’information de l’Etat (CTIE). À cet égard, la Commission nationale invite les auteurs du projet de loi à clarifier le rôle du CTIE. Si celui-ci agirait en tant que sous-traitant au sens du RGPD 4 , l'établissement d’un contrat de soustraitance répondant aux exigences de l’article 28 du RGPD s’avère nécessaire. Par ailleurs, l'article 32 du RGPD dispose que « le responsable du traitement et le sous-traitant mettent en oeuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». 3 Ad art. 14 point 1°. La notion de sous-traitant est définie par l’article 4.8) du RGPD comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». 4 CNPD h— — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8611 portant création de l’établissement public « Initiative pour la promotion de l’emploi dans le secteur du sport » et modifiant 1° la loi modifiée du 3 août 2005 concernant le sport ; 2° la loi du 29 juillet 2023 portant création de l’INAPS 3/4 Ainsi adopté à Belvaux en date du 5 décembre 2025. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8611 portant création de l’établissement public « Initiative pour la promotion de l’emploi dans le secteur du sport » et modifiant 1° la loi modifiée du 3 août 2005 concernant le sport ; 2° la loi du 29 juillet 2023 portant création de l'INAPS 4/4