← Luxembourg

Loi modifiée du 20 avril 2009 portant création du Centre des technologies de l'information de l'Etat. Article 5 RGPD. CNPD — Avis de la Commission nat

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l’Etat pour études supérieures ainsi qu’au projet de règlement grand-ducal concernant l’aide financière de l’Etat pour études supérieures Délibération n°32/AV6/2026 du 23 avril 2026

  1. Conformément à l’article 57.1.C) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci -après le « RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ».
  2. L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
  3. Par courrier en date du 07 octobre 2025, Madame la Ministre de la Recherche et de l’Enseignement supérieur a invité la Commission nationale à se prononcer sur : 1° le projet de loi n°8636 concernant l’aide financière de l’Etat pour études supérieures (ci-après le « projet de loi ») ; 2° le projet de règlement grand-ducal concernant l’aide financière de l'Etat pour études supérieures (ci-après « projet de règlement grand-ducal »).
  4. Selon l’exposé des motifs, le projet de loi s’inscrit dans une volonté de mettre en place un nouveau cadre légal en matière d’aide financière de l’Etat pour études supérieures, « destiné à renforcer l’égalité des chances, à moderniser les modalités de soutien aux étudiants et à adapter le dispositif aux exigences sociales, économiques et juridiques actuelles ». Les auteurs du projet de ’ CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l'Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l’Etat pour les études supérieures 1/11 loi précisent que, tout en tenant compte des évolutions structurelles et sociales intervenues depuis, le présent projet de loi s’inscrit dans la continuité de la démarche engagée par la loi du 24 juillet 2014 concernant l’aide financière de l’Etat pour études supérieures, qu'il (le présent projet de loi) entend remplacer. Il s’agit en effet de faciliter l’accès aux études supérieures pour tous les étudiants, quelle que soit leur situation sociale, tout en garantissant un système équitable.
  5. En parallèle, un projet de règlement grand-ducal concernant l’aide financière de l’Etat pour études supérieures a été élaboré dans le contexte du projet de loi.
  6. Selon l'exposé des motifs, tout en conservant les grandes lignes du règlement grand-ducal de 2014, le présent projet apporte une clarification significative des catégories d’étudiants éligibles à l’aide financière et des documents requis selon leur situation. L’approche est plus structurée, permettant de mieux tenir compte des différents profils des étudiants. Pour chacun des cas, le projet de règlement grand-ducal sous avis prévoit des pièces justificatives spécifiques, en allant au-delà de ce que prévoyait le règlement grand-ducal de
  8. La Commission nationale formulera ci-après ses remarques quant aux dispositions du projet de loi et de règlement grand-ducal qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. Remarques liminaires
  9. La Commission nationale rappelle qu’en vertu des articles 31 et 37 de la Constitution, la protection des données personnelles est une matière réservée à la loi.
  10. D’après la jurisprudence de la Cour constitutionnelle1, l’article 45, paragraphe 2 de la Constitution2 exige que dans ces matières, « la fixation des objectifs des mesures d’exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises. L'orientation et l'encadrement du pouvoir exécutif doivent, en tout état de cause, être consistants, précis et lisibles, l’essentiel des dispositions afférentes étant appelé à figurer dans la loi [...]. Si, dans une matière réservée à la loi, l'encadrement législatif d'une attribution du pouvoir règlementaire au Grand-Duc peut, au-delà de la stricte disposition prévoyant la délégation de pouvoir, se dégager de l’ensemble des règles législatives pertinentes, il n’en reste pas moins que 1 VoirCour constitutionnelle, 4 juin 2021, n° 166, Mém. An°440 du 10 juin 2021 et Cour constitutionnelle, 3 mars 2023, n° 177, Mém. A, n’ 127 du 10 mars
  11. 2 Article 45.2 de la Constitution : « Dans les matières réservées à la loi par la Constitution, le Grand-Duc ne peut prendre des règlements et arrêtés qu'en vertu d'une disposition légale particulière qui fixe l'objectif des mesures d'exécution et le cas échéant les conditions auxquelles elles sont soumises ». CNPD ■— — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l'Etat pour les études supérieures 2/11 la fixation des objectifs des mesures d'exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises ».
  12. La Commission nationale relève l’absence, dans le projet de loi sous avis, d'une disposition prévoyant la délégation de pouvoir au Grand-Duc, et par conséquent l'absence d’une disposition légale qui fixe clairement les objectifs des mesures d’exécution ainsi que les conditions auxquelles elles sont soumises. Elle rappelle que l’orientation et l'encadrement du pouvoir exécutif doivent en tout état de cause être consistants, précis et lisibles.
  13. Par conséquent, la Commission nationale estime nécessaire d’insérer dans le projet de loi un article remédiant à cette lacune et elle attire l’attention des auteurs tant du projet de loi que du projet de règlement grand-ducal qu’à défaut de ce faire, le règlement grand-ducal sous avis risque d’être considéré comme inconstitutionnel, en ses dispositions relatives à la protection des données, faute de base légale d'habilitation, pour être non conforme à l’article 45 paragraphe

(2)de la Constitution.
  1. En revanche, la Commission nationale salue les efforts des auteurs du projet de règlement grandducal qui identifient de manière détaillée les statuts particuliers prévus par la loi (étudiants ressortissants d'un Etat membre de l’Union européenne ou d’un Etat tiers, enfants de travailleurs frontaliers, bénéficiaires d’un statut de protection internationale, étudiants disposant d’un revenu propre, ou encore étudiants vivant séparément de leurs parents) et pour chacun de ces cas, sont listées les pièces justificatives spécifiques requises. La Commission nationale relève que l’essentiel des dispositions afférentes figure dans le projet de loi. En effet l’analyse détaillée plus particulièrement des articles 2, 3 et 4 du règlement grand-ducal démontre que le règlement grandducal demeure strictement dans le cadre fixé par le projet de loi n°3686, sans qu’aucun des documents y listés ne dépasse les limites des conditions et exigences de la loi. I. Quant au traitement de données à caractère personnel A. Quant à la plateforme gouvernementale servant à la présentation des demandes
  2. La Commission nationale se félicite de la précision de l'article 3 paragraphe
(1)du projet de loi sous avis, selon lequel les demandes d’aides de l'Etat se font via une plateforme gouvernementale. Elle relève qu’il est précisé dans le commentaire des articles qu’il s’agit de la plateforme MyGuichet.lu. ’ CNPD U— —< Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l’Etat pour les études supérieures 3/11 B. Quant au responsable du traitement et au sous-traitant 14. L’article 2 paragraphe
(2)du projet de loi sous avis précise que « L’aide financière est accordée par le ministre ayant /'Enseignement supérieur dans ses attributions, ci -après « ministre » [...] ». L’article 32 du projet de loi désigne le ministre comme responsable du traitement des données à caractère personnel opéré dans le cadre des demandes d’aide financière et le Centre des technologies de l’information de l’Etat (ci-après le CTIE) comme sous-traitant en matière de services informatiques et de sécurité informatique.
  1. L’article 37 du projet de loi sous avis dispose que « Le ministre prend toutes les mesures pour assurer la confidentialité et la sécurité des données. Les supports informatiques contenant des données à caractère personnel sont conservés dans un lieu sûr dont l'accès est sécurisé ». Il y a lieu de féliciter les auteurs du projet de loi pour avoir prévu une telle disposition.
  2. La Commission nationale constate avec satisfaction que les auteurs du projet de loi ont précisé les responsabilités du ministre ayant l’Enseignement supérieur dans ses attributions comme responsable du traitement et du CTIE comme sous-traitant, les mesures techniques et organisationnelles nécessaires précitées, étant régies à suffisance par la loi portant création du CTIE 3 . C. Quant aux données traitées (article 34 du projet de loi) de l’étudiant demandeur et des personnes visées à l’article 9 paragraphes
(2)et
(4)du projet de loi
  1. Les auteurs du projet de loi, dans le commentaire des articles, précisent que « l'article 34 précise les catégories de données à caractère personnel susceptibles d'être collectées et traitées pour la mise en œuvre des finalités énoncées à l’article
  2. Cet article s'inspire, dans sa formulation, de l’article 75 de la loi modifiée du 7 août 2023 relative au logement abordable ».
  3. La Commission nationale félicite les auteurs du projet de loi sous avis pour cet énoncé permettant une lecture plus claire du projet de loi concernant les données traitées. La Commission nationale salue notamment que les catégories de données traitées pour les catégories de personnes concernées, le tout pour la mise en œuvre des finalités énoncées à l’article 33 du projet de loi sous avis, sont précisément énumérées, tout en respectant le principe de minimisation4 .
  4. La Commission nationale regrette toutefois que le texte du projet de loi reste très vague quant au contenu de l’attestation délivrée par un service d’aide social quant à la précarité sociale et 3 4 Loi modifiée du 20 avril 2009 portant création du Centre des technologies de l'information de l'Etat. Article 5 RGPD. CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l'aide financière de l'Etat pour les études supérieures 4/11 financière de l'étudiant (majoration pour situation grave et exceptionnelle prévue à l'article 23 paragraphe
(1)point 2° du projet de loi sous avis). En effet, si une telle attestation est susceptible de constituer une intrusion importante dans la vie privée, le projet de loi reste pourtant extrêmement vague en usant des termes tels que « ressources personnelles insuffisantes » et « situation de précarité sociale et financière » sans toutefois préciser les critères d’attribution qui seraient regroupés dans ces catégories. Il résulte du commentaire des articles que les situations graves et exceptionnelles justifiant l'attribution de la majoration prévue à l'article 23 du projet de loi sous avis sont conditionnées par la preuve que l’étudiant doit supporter « des charges extraordinaires essentielles et indispensables à la poursuite de ses études supérieures ». Le projet de loi devrait définir précisément, en son article 23, les catégories de données devant figurer et ce de façon limitative dans l’attestation des services sociaux, afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou règlementaire5. La Commission nationale relève que l'article 3 paragraphe
(1)point 5°
  1. b)du projet de règlement grand-ducal n'apporte pas plus de précision quant au contenu de ladite attestation exigée comme suit: « soit un certificat attestant de la situation financière et sociale de l'étudiant II. Quant aux finalités du traitement A. L’aide financière (bourse) et le prêt : traitements à finalités primaires prévus aux points 1°à 6° de l’article 33 du projet de loi 20. La Commission nationale salue l’effort des auteurs du projet de loi sous avis d’énumération de manière limitative des finalités du traitement de données à caractère personnel tout en respectant les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la jurisprudence constante de la Cour de justice de l’Union européenne et de la Cour européenne des droits de l’homme. 21. En effet, il convient de rappeler que la notion de « finalité », c'est-à-dire l’objectif poursuivi par le traitement, occupe une place primordiale au sein du RGPD. Aux termes de l'article 5.1.
  2. b)du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. 5 M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2026 p.499 et 500, n°612. CNPD U— Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l’Etat pour les études supérieures 5/11 22. De plus, les principes de minimisation des données ou de limitation de conservation s’apprécient au regard des finalités pour lesquelles les données sont traitées. Il est donc essentiel que les finalités du registre soient clairement définies dans le projet de loi. B. Statistiques, enquêtes internationales et politiques du ministère : traitements à finalités secondaires points 7° à 9° de l’article 33 du projet de loi 23. Le commentaire des articles permet de retenir que les auteurs du projet de loi ont analysé les conditions et formes des traitements à finalité secondaire, qui est compris par la Commission nationale comme étant relatif au traitement ultérieur, tels que le point 7° l'analyse statistique, le point 8° la participation du Luxembourg à des enquêtes internationales ainsi que le point 9° l’évaluation et la planification des politiques publiques, afin de garantir la protection des droits des personnes concernées sous la forme anonymisée ou pseudonymisée suivie de la formulation « dans la mesure du possible » qui toutefois ne parait pas adaptée aux exigences du RGPD. Le commentaire des articles précise encore que « Pour d’autres traitements secondaires tels que l’évaluation des effets de l’aide sur le parcours académique, l'adaptation des formations dans l'enseignement supérieur ainsi que les recherches scientifiques et des analyses [...] nécessitant un croisement de différentes sources de données », le traitement sera conforme au cadre légal instauré par les projets de loi n°8395A et n°8395B6. Or, la Commission nationale relève que certes le projet de loi 8395A a été adopté mais le projet de loi 8395B ne l’est pas encore. Elle note encore que les derniers amendements en date suppriment du projet de loi toutes les dispositions relatives notamment à l’utilisation secondaire, de sorte que les dispositions y relatives qui figurent dans le Règlement (UE) 2018/1724 sur la gouvernance des données (Règlement DGA) ne sont pas mises en œuvre. La Commission nationale considère que le commentaire des articles du présent projet de loi sous avis n'est donc pas à jour, de sorte que l’affirmation qu’il contient, en ce que le traitement sera conforme au cadre légal instauré par le projet de loi 8395B, ne saurait valoir faute de loi définitivement adoptée. 24. Concernant les finalités de l’article 33 points 7° à 9° du projet de loi, la Commission nationale souligne que le traitement ultérieur à ces fins n'est pas considéré comme incompatible avec les finalités initiales à condition d’être soumis, conformément à l’article 89.1 du RGPD, à des garanties appropriées pour les droits et libertés de la personne concernée. La pseudonymisation, 6 Projet de loi portant création du Commissariat du Gouvernement à la souveraineté des données et désignation des organismes et autorités compétents prévus aux articles 7, 13 et 23 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) et du point d’information unique prévu à l'article 8 du règlement (UE) 2022/868 précité et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l’État ; 2° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l'Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l'Etat pour les études supérieures 6/11 voire l’anonymisation, sont mises en avant par l’article 89.1 du RGPD comme des mesures permettant de garantir les droits et libertés des personnes concernées. 25. Il est également rappelé que l’article 65 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données doit être respecté dans le cadre des traitements de données mis en œuvre à des fins statistiques ou à des fins de recherche scientifique. La CNPD estime indispensable que le responsable du traitement veille au respect des dispositions précitées. Ledit article prévoit une liste de mesures appropriées à mettre en place par le responsable d'un traitement lorsqu’il traite des données personnelles à des fins de recherche scientifique ou à des fins statistiques. Parmi les mesures listées par cette disposition, on peut également retenir l’anonymisation ou la pseudonymisation (3°) ou encore le recours à un tiers de confiance fonctionnellement indépendant du responsable du traitement pour l’anonymisation ou la pseudonymisation des données (4°). III. Quant à l’accès et à la transmission des données et fichiers d’autres entités étatiques ou administrations A. L’accès aux données d’autres entités publiques 26. Sur les modalités pratiques de l’accès aux données par le ministre, détenues par d’autres administrations, le commentaire des articles du projet de loi précise que l'article 35 encadre les interactions du ministre avec d’autres autorités publiques et établissements de crédit. L'article 35 paragraphes 1, 2 et 3 est relatif à l’accès du ministre aux données d’autres autorités telles que
(1)le registre national des personnes physiques,
(2)les registres communaux,
(3)a) les fichiers du centre commun de la sécurité sociale,
(3)b) les fichiers de l'administration des contributions directes,
(3)c) les fichiers du ministre ayant l’immigration dans ses attributions. Ces accès sont en principe unilatéraux dans la mesure où les autres autorités n’ont pas accès aux données détenues par le ministre de l’Enseignement supérieur.
  1. La Commission nationale relève avec satisfaction que les auteurs du projet de loi ont circonscrit avec précision le cadre des accès aux données d’autres entités publiques tant quant aux finalités du traitement que quant aux catégories de données ainsi que les limites de ces accès. B. La communication des données personnelles
  2. L'article 35 paragraphe
(4)du projet de loi concerne la communication mutuelle d'informations avec les établissements de crédit. La Commission nationale salue la précision des auteurs du projet de loi de la nécessité d’une demande écrite. Toutefois, la Commission nationale s’interroge sur le caractère vague des informations susceptibles d’être communiquées entre le ministre et CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l'Etat pour les études supérieures 7/11 les établissements de crédit, alors que le projet de loi se cantonne à viser « /es informations nécessaires afin de procéder au recouvrement des prêts non remboursés ». Le commentaire des articles précise que cette communication mutuelle se fait conformément à une convention conclue entre le ministre et les établissements de crédit sans davantage d’explications. Le même commentaire précise encore que les données concernées par le partage du ministre sont les données de contact actuelles de l'étudiant-emprunteur, à savoir, l'adresse postale actuelle, le numéro de téléphone et l’adresse électronique. La Commission nationale regrette qu’aucune indication ne soit envisagée concernant les informations qui viendraient à être transmises par le ministre aux établissements de crédit, sauf de façon globale par référence à la convention précitée. À cet égard, il y a lieu de noter que les termes « se communiquent mutuellement » supposent une réciprocité. Or, la Commission nationale suggère de préciser le cadre des informations et données que le ministre serait amené à partager avec les établissements de crédit et à défaut de réciprocité, il est préférable d’adapter la terminologie employée en utilisant le terme « communication » si la transmission d’information devait se faire de façon unilatérale.
  1. Hormis le point précité qui mérite précision supplémentaire, la Commission nationale se félicite des précisions apportées par les auteurs du projet de loi quant aux catégories de données auxquelles le ministre a accès selon les finalités, et les motifs précis, ainsi que de la précision sous l'article 36 du projet de loi sous avis, ainsi que des mesures techniques prévues pour assurer un traitement sécurisé, afin de garantir la sécurité et la traçabilité dans l'utilisation du système d’information. C. Sur le droit à l'information
  2. Les données à caractère personnel faisant l'objet des échanges visés par le projet de loi, seront collectées de manière indirecte, alors qu'elles seront transmises non pas par les personnes concernées directement mais par une administration. Dès lors, les responsables du traitement devraient, en principe, fournir toutes les informations prévues à l'article 14 du RGPD endéans les délais prévus à l'article
  3. 3 du RGPD. Cependant, en vertu de l'article
  4. 5 du RGPD, l'obligation d'information préalable ne s'applique pas lorsque « l'obtention ou la communication des informations sont expressément prévues par le droit de /'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes delà personne concernée ». Ainsi, s'il y a lieu de féliciter les auteurs du projet de loi de prévoir de telles communications dans un texte légal, il convient de constater que le texte sous avis reste muet quant aux mesures appropriées précitées qui seraient, le cas échéant, prévues. La Commission nationale recommande dès lors de prévoir que de de telles mesures soient mises en œuvre et soient aussi prévues dans le projet de texte de loi. CNPD —J Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l'Etat pour les études supérieures et au projet de règlement grand-ducal concernant l'aide financière de l’Etat pour les études supérieures 8/11 IV. Quant aux durées de conservation
  5. Conformément l’article 5.1 e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. A. Le principe : 10 ans
  6. En vertu de l'article 37, paragraphe
(2)du projet de loi, « dans le cadre des finalités visées à l'article 33, les données sont conservées pendant une durée maximale de dix ans à compter de la date à laquelle la dernière tranche de l’aide financière a été attribuée. ». Selon le commentaire des articles sont concernés les délais de conservation des données traitées en tenant compte des délais d’éventuels recours juridictionnels et de la nécessité d’assurer le suivi du remboursement du prêt étudiant qui peut s'étendre sur une période équivalente.
  1. La CNPD se félicite des explications fournies par les auteurs du projet de loi en ce qu’ils justifient les raisons d’une durée de conservation de dix ans, dès lors, elle peut souscrire à une telle durée de conservation des données, alors que celle-ci semble être proportionnée. B. L’exception : 40 ans
  2. En vertu de l’article 37 paragraphe
(2)alinéa 2 du projet de loi « par dérogation à l'alinéa précédent, les informations relatives à l'aide financière allouée sont conservées quarante ans à compter du 1er août suivant l'année académique au cours de laquelle la dernière tranche de l’aide financière a été attribuée. ». Selon le commentaire des articles cette conservation prolongée porte sur les éléments essentiels de l’historique d’attribution de l’aide, notamment le montant et le type d’aide perçu (bourse ou prêt), les années et semestres concernés, les formations suivies, les diplômes obtenus et l’identité du bénéficiaire, les informations relatives à l’aide financière allouée. Elle se justifie en raison de l’aide financière prévue par les articles 17 et 18 du projet de loi, cette durée de conservation permet au ministre de déterminer si une personne a déjà bénéficié de cette aide et d’éviter toute attribution indue. 35. La Commission nationale constate que le traitement concerné est destiné à comprendre des données à caractère personnel d'un très grand nombre de personnes 7 , les motifs de consultation sont très nombreux (octroi d'une demande d’aide financière, d’un prêt, recouvrement des prêts non remboursés, vérification d’éligibilité pour de nouvelles demandes d’aide financières) et de 7 Selon l’exposé des motifs du projet de loi sous avis, page 7/21 : pour l’année 2024/2025 : 39.813 étudiants uniques ont introduit au moins une demande d'aide financière et 35.615 étudiants ont vu au moins une de leurs demandes validées. ’ CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l'aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l’Etat pour les études supérieures 9/11 nombreux agents de l’état comme des établissements de crédit seront habilités à consulter ces données personnelles. Compte tenu de la nature des données enregistrées, de l'ampleur du traitement de données, de la fréquence de son utilisation, du grand nombre de personnes susceptibles d'y avoir accès, la durée de conservation des données pendant
(40)quarante ans porte une atteinte au droit au respect de la vie privée qui ne paraît pas comme proportionnée au but poursuivi.
  1. Finalement, la Commission nationale attire l’attention des auteurs du projet de loi sur l’importance de distinguer entre la durée de conservation des données et leur archivage, deux concepts distincts dans le « cycle de vie » des données personnelles. La durée de conservation correspond à la durée nécessaire à la réalisation de l’objectif ayant justifié la collecte et l’enregistrement des données personnelles. En revanche, l’archivage intervient après que l’objectif du traitement des données a été atteint et lorsque ces données présentent encore un intérêt administratif pour l’organisme (par exemple, pour la gestion d’un éventuel contentieux) ou doivent être conservées 8 pour répondre à une obligation légale .
  2. En effet, suivant le guide précité de la CNIL, il convient de se poser les questions suivantes : À l’issue de la période d’utilisation courante, un texte législatif ou réglementaire impose-t-il d’archiver ces données ? - Si oui : quelles sont les données personnelles ou catégories de données concernées par cette obligation d’archivage ? Quelle est la durée prévue par le texte ? - Si non : les données présentent-elles un intérêt administratif ou juridique (ex : se prémunir d’un contentieux spécifique) ? - Si non : procéder à l’anonymisation ou à la destruction de manière sécurisée de toutes les données - Si oui : quelle est la durée à retenir en fonction de l’objectif de cet archivage et des modalités du traitement ? Quelles sont les données pertinentes par rapport à l'objectif justifiant cet archivage ? Pendant cette période, quelles seront les personnes spécifiquement habilitées à accéder aux données archivées en base intermédiaire ?
  3. Ainsi, la Commission nationale comprend qu’en l’espèce, les auteurs du projet de loi ont prévu un délai de conservation sans distinction selon l’utilisation courante des données personnelles ou leur intérêt administratif et/ou juridique. Ainsi le projet de loi permet la conservation des données à caractère personnel durant une période maximum de
(10)dix ans, sinon de
(40)quarante ans, sans pour autant fixer les conditions spécifiques et les limites précises quant au délai de conservation pendant quarante ans, délai que la Commission nationale considère comme très long et qui a ses yeux, engendre, une insécurité juridique importante. 8 V. Guide pratique de la CNIL « Guide pratique sur les durées de conservation », Version juillet 2020, disponible sous : https://www.cnil.fr/sites/cnil/files/atoms/files/guide_durees_conservation.pdf, p.
  1. ’ CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l’aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l’Etat pour les études supérieures 10/11
  2. La Commission Nationale considère qu'en l'espèce, les auteurs du projet de loi sous avis ont certes établi une durée de conservation des données collectées pendant toute la durée théorique maximale de traitement en tenant compte des délais d'éventuels recours juridictionnels et de la nécessité d’assurer le suivi du remboursement du prêt étudiant, ils n'apportent toutefois aucun élément de justification rendant la conservation des données pendant
(40)quarante ans nécessaire aux finalités du traitement, telles qu'énumérées dans l'article 33 du projet de loi, la finalité du traitement relative aux recours contentieux éventuels de même que le traitement de l’aide financière allouée n'étant que secondaires. Le Conseil d’Etat français a notamment considéré qu’une durée totale de conservation de 35 ans « n'apparaît pas nécessaire aux finalités du traitement et est donc excessive [. . .] Ce vice entache d'illégalité l'ensemble de la décision mettant en oeuvre le traitement. »9 .
  1. La durée de conservation des données à caractère personnel doit être déterminée en fonction de la finalité poursuivie par le traitement. Lorsque cette finalité est atteinte, les données doivent en principe être supprimées, anonymisées ou faire l'objet d’un archivage intermédiaire lorsque leur conservation est nécessaire pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. Ainsi adopté à Belvaux en date du 23 avril
  2. La Commission nationale pour la protection des données Présidente Commissaire Commissaire 9 CE, 10ème/9ème SSR, 19 juillet 2010, M. X et Mme Y, n° 334014, T., point 13, « Considérant qu'aux termes de l'article 6 de la loi du 6 janvier 1978 précitée 5° [les données à caractère personnel] sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. ; que si le ministre établit que la conservation des données collectées pendant toute la durée théorique maximale de présence d'un élève dans le premier cycle du système éducatif, serait nécessaire et légitime au regard des finalités du traitement qui vise à donner un identifiant unique aux élèves scolarisés dans les écoles maternelles et primaires, et s'il soutient à bon droit que la généralisation envisagée de l'utilisation de l'identifiant à l'enseignement secondaire et à l'enseignement supérieur justifierait une durée de conservation égale à la durée du cycle complet d'étude d'un élève donné, il n'apporte aucun élément de justification de nature à faire regarder un délai total de conservation de 35 ans comme nécessaire aux finalités du traitement ; [...]» CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8636 concernant l'aide financière de l’Etat pour les études supérieures et au projet de règlement grand-ducal concernant l’aide financière de l’Etat pour les études supérieures 11/11

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.