← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de l

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur l’enfance et la jeunesse Délibération n°38/AV8/2026 du 15 mai 2026

  1. Conformément à l’article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
  2. Par courrier en date du 16 janvier 2026, Monsieur le Ministre de l’Education nationale, de l’Enfance et de la Jeunesse a invité la Commission nationale à se prononcer sur le projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse (ci-après le « projet de loi »).
  3. Selon l’exposé des motifs, le projet de loi vise à adapter le cadre légal aux besoins constatés en la matière, et envisage de nouvelles mesures pour y répondre. Le Ministre de l’Education nationale, de l’Enfance et de la Jeunesse (ci-après le « Ministre ») apporte une précision essentielle à la loi modifiée du 4 juillet 2008 sur la jeunesse, en proposant de modifier son intitulé afin de mettre en évidence que ses dispositions concernent à la fois le domaine de la jeunesse et celui de l’enfance. Le projet de loi s’inscrit dans la continuité de cette orientation engagée en 2016, ayant conduit à l’introduction dans la loi de 2008 sur la jeunesse du dispositif du chèqueservice accueil. Le projet de loi sous avis vise à améliorer la lisibilité du texte, à optimiser ses dispositions et à les ajuster aux réalités actuelles. Enfin, le projet de loi crée une Agence pour le CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 1/15 développement de la qualité dans les secteurs de l’enfance et de la jeunesse (ci-après l’« AQUEN »). La Commission nationale formulera ci-après ses remarques quant aux dispositions du projet de loi qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. I. Remarques liminaires
  4. La Commission nationale se félicite que le projet de loi entende conférer une base légale aux traitements de données effectués en vertu du projet de loi sous avis qui a pour objet principal la jeunesse et l’enfance, ce qui suppose un regard sur l'intimité de sa vie familiale et engendre, par conséquent, une ingérence dans le droit au respect de la vie privée. Il résulte de ce qui précède qu'une telle ingérence de la part des autorités publiques doit être prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante.
  5. Le considérant 38 du RGPD reconnaît les enfants comme une catégorie spéciale de personnes concernées et impose des règles strictes concernant la collecte, le traitement de données à caractère personnel et l’utilisation de leurs données à caractère personnel.
  6. La CNPD estime que le volume et la sensibilité des données à caractère personnel qui sont susceptibles d’être traités dans le contexte de l’éducation non formelle et l’aide à l’enfance et à la famille, et par une variété de structures telles que service d’éducation et d’accueil, minicrèches, assistantes parentales, maisons de jeunes et services actifs dans le domaine de l’aide à l’enfance et à la famille, à des fins administratives et pédagogiques et que les risques sur la vie privée qui peuvent découler de ces traitements de données à caractère personnel, doivent faire l’objet d’une attention particulière
  8. Le considérant

(41)du RGPD précise que la mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme 2. 1 Voir aussi les lignes directrices
(2021)relatives à la protection des données personnelles des enfants dans un cadre éducatif de la Convention 108 - Comité consultatif de la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel. 2 En ce sens, voir M. Besch, Normes et légistique en droit public luxembourgeois, « Traitement de données à caractère personnel dans le secteur public » Promoculture Larcier, 2026, n°612, pages 499 et
  1. V. entre autres CourEDH, arrêt du 4 décembre 2015, Zakharovce. Russie, §§ 228 à 229 ; CourEDH, arrêt du 24 avril 2018, Benedik v. Slovénie, §§ 122 à
  2. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 2/15
  3. La Commission nationale se félicite de ce que le commentaire des articles, sous les remarques préliminaires au projet de loi, précise ce qui suit :« Tout d’abord, il échet de préciser que les nouvelles dispositions prévues par le présent projet de loi ont été rédigées, d’un point de vue légistique, de façon à ce qu’elles s’intégrent harmonieusement dans le texte original, en respectant sa rédaction initiale».
  4. En tout état de cause, pour une meilleure compréhension du texte sous avis et afin de respecter le principe de prévisibilité auquel doit répondre tout texte légal 3, la Commission nationale estime indispensable de clarifier à la lumière des développements qui précèdent le rôle des différents acteurs dans le contexte du projet de loi sous avis. I. Quant au traitement de données à caractère personnel
  5. Considérations générales
  6. Dans le commentaire des articles, les auteurs du projet de loi précisent que « L’article 34 introduit un chapitre 7 nouveau dénommé « Protection des données à caractère personnel » contenant les articles 38 quinquies à 38 nonies nouveaux qui reprennent en partie les dispositions de l’article 29 de la loi à modifier et viennent les compléter renforçant ainsi la sécurité juridique des différents traitements opérés. Il contient également un article 38 decies qui régit les traitements des données à caractère personnel opérés par l’AQUEN, administration nouvellement créée par le présent projet de loi et dont les missions sont décrites à l’article 30ter nouveau. »
  7. Or, la Commission nationale regrette que les dispositions relatives au traitement de données personnelles concernent uniquement le chèque service accueil, ainsi qu’une partie des données personnelles traitées par l’AQUEN, administration nouvellement créée, à l’exclusion des autres données personnelles qui viendraient à être traitées par l’AQUEN ou par les autres entités visées par le projet de loi telles que le Service national de la jeunesse (ci-après SNJ), crée par la loi de 27 février 1984 (cf. art 6 du projet de loi), i’Assemblée nationale des jeunes (cf. art.14 du projet de loi), ou le Conseil supérieur de la jeunesse (cf. art.12 du projet de loi), dont les missions respectives devraient conduire lesdites entités à traiter des données personnelles, sinon au moins y avoir accès. Malgré cela, le projet de loi reste muet quant à la question de la protection des données personnelles en ce qui les concerne. En effet, ni les lois ni les différents règlements 3 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2026, p. 499, n°612; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre
  8. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 3/15 5 grand-ducaux et arrêtés concernant directement les entités précitées ne traitent de la question du traitement des données à caractère personnel
  10. La CNPD se doit de souligner l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8 paragraphe
(2)de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52 paragraphes
(1)et
(2)de la Charte des droits fondamentaux de l'Union européenne. Ainsi, selon la jurisprudence de la Cour européenne des droits de l'Homme, la législation interne doit être « accessible aux personnes concernées et prévisible quant à ses répercussions » s. Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne - bénéficiant éventuellement d'une assistance appropriée - d'adapter son comportement »6 : Enfin « [l]e degré de précision requis de la "loi" à cet égard dépendra du sujet en question » 7. 2. Le(
  1. s)responsable(
  2. s)du traitement, sous-traitant(
  3. s)et recours aux professionnels externes 13. Selon la CNPD lorsque de nombreux acteurs sont amenés à procéder, dans le cadre des missions que la loi leur confère, à différents traitements de données à caractère personnel et qu’il se révèle impossible de déterminer avec certitude qui aurait la charge de responsable du traitement, il est indispensable que celui-ci soit précisé dans la loi. 14. En tout état de cause, pour une meilleure compréhension du texte sous avis et afin de respecter le principe de prévisibilité auquel doit répondre tout texte légal ou réglementaire 8, la Commission nationale estime indispensable de clarifier le rôle des différents acteurs dans le contexte du Chapitre 7, articles 38 quinquies et suivants du projet de loi. Elle s’interroge par ailleurs sur l'entité qui devrait être chargée de la gestion de la/des plateforme(
  4. s)informatique(
  5. s)destinée(
  6. s)au traitement des données à caractère personnel. 4 Cf notamment loi 27 février 1984 portant création du SNJ, la loi du 16 mars 2022 portant création de l’Observatoire national de la qualité scolaire et portant modification de la loi sur la jeunesse, etc... 5 CouEDH, Amann e. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; V. également CouEDH, Kopp e. Suisse, n" 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres e. Moldavie, n" 25198/02, 10 février 2009, para. 50. 6 Ibidem; V. également CouEDH, Malone e. Royaume-Uni, n° 869-/Z79, 26 ai/ri/ Ï985, para. 66 ; CouEDH, Silver et autres e. Royaume-Uni, n° 5947/72, 6205/73. 7052/75, 7061/75, 7107/75, 7-?-? 3/75, 25 mars 1983, para. 88. 7 CouEDH, The Sunday Times e. Royaume-Uni, n° 6538/74, 26 avril 1979, para. 49 ; V. également CouEHD, Silver et autres e. Royaume-Uni, n" 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para. 88. 8 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larder, 2019, p. 469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n”47413/06], § 228-229, 4 décembre 2015 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 4/15 A. Sur les responsables du traitement 15. Les dispositions du projet de loi doivent refléter la réalité des activités exercées par les différents acteurs et donner des indications suffisamment claires quant aux entités qui sont à considérer comme responsables du traitement. 16. En l'espèce, les dispositions légales qui entendent prévoir des traitements de données à caractère personnel, par différents responsables de traitement, via un/des système(
  7. s)informatique(
  8. s)dédié(s), ne sont pas rédigées avec suffisamment de clarté et de précision de sorte que leur lecture combinée rend lesdites dispositions incohérentes. 17. Par ailleurs, au vu de la multitude de traitements effectués par le biais du/des système(
  9. s)informatique(s), il peut s’avérer nécessaire de différencier les responsabilités pour les différents traitements effectués. En effet, la Commission nationale donne à considérer qu’il est concevable que le Ministre et le directeur de l’AQUEN soient responsables conjoints pour un traitement déterminé alors que seul le Ministre soit responsable pour un autre traitement. Or, il y a lieu de regretter que tant le projet de loi que les explications fournies par les auteurs du projet de loi ne permettent pas de déterminer plus précisément les rôles respectifs du Ministre ainsi que du Directeur de l’AQUEN d'un point de vue de la protection des données. Le Ministre est désigné responsable de traitement 18. En effet, l’article 38 quinquies désigne de façon générale le Ministre comme responsable du traitement. 9 Le directeur de l’AQUEN est désigné responsable de traitement 19. Par ailleurs, l’article 38 decies prévoit que le Directeur de l’AQUEN est responsable de traitement, tandis que l’article 30 ter portant création de l’AQUEN place cette dernière sous l’autorité du Ministre. Enfin, l’article 30 quinquies du projet de loi fait référence à la faculté de l’AQUEN de recourir à des professionnels externes, mais cela suivant des contrats à conclure avec le Ministre. 20. De la lecture combinée des précédents articles du projet de loi, la Commission nationale comprend que l’AQUEN, bien qu’elle soit placée sous l'autorité du Ministre, dispose d'une certaine autonomie pour remplir les missions énumérées à l'article 30 ter du projet de loi. Toutefois, la CNPD se réfère à ses développements qui précèdent en ce qui concerne la 9 Art. 38 quinquies « Le ministre a la qualité de responsable du traitement et a la faculté de sous-traiter la collecte et le traitement des données à caractère personnel ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 5/15 nécessité de préciser et circonscrire, en dehors de toute incohérence, les responsabilités du Ministre et du Directeur de l’AQUEN. Dans cette optique, le texte de loi en projet devrait pouvoir répondre aux questions suivantes : qui est responsable du traitement ? de quel traitement s’agitil ? qui est responsable conjoint, le cas échéant ? qui est sous-traitant et ce de quel responsable du traitement ? et quelles sont les conditions précises du recours à des professionnels externes ? 21. La Commission nationale recommande vivement aux auteurs du projet de loi d’apporter des précisions à cet égard afin que les dispositions du projet de loi reflètent la réalité des activités exercées par les différents acteurs. B. Sur le recours à des sous-traitants et/ou à des professionnels externes 22. En vertu de l’article 28 du RGPD « [...] 3. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique relevant du droit de l’Union ou du droit national, qui lie le sous-traitant au responsable du traitement et qui précise l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Ce contrat ou autre acte juridique stipule notamment que le sous-traitant:[. . .] 10. Sans préjudice des articles 82, 83 et 84, si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement ». 23. La Commission nationale relève qu’un système informatique est d’un coté placé sous l’autorité du Ministre, par les articles 38 sexies et septies, et les données sont enregistrées dans le système informatique en collaboration avec les Communes, en vertu de l’article 30 du projet de loi 10, sans aucune indication quant à la qualité en laquelle les Communes interviendraient dans le traitement des données. La Commission nationale invite les auteurs du projet de loi à préciser les dispositions concernées. 24. Par ailleurs l’article 30 quinquies du projet de loi qui permettant à l’AQUEN de recourir à des professionnels externes, suivant contrat à convenir par le Ministre, risque d’être considéré comme contraire à l’article 28 du RGPD de sorte à également influencer la qualité de responsable de traitement dans le chef du Ministre (dans le cadre de son intervention en vertu de l’article 30 quinquies pour convenir des contrats rendus nécessaires par le recours par l’AQUEN aux professionnels externes). À cet égard, la Commission nationale se demande si les professionnels concernés par les contrats à convenir avec le Ministre agiront en qualité de sous-traitants. Il est par conséquent recommandé aux auteurs du projet de loi de clarifier les responsabilités des 10 Article 30 « La gestion et le traitement informatique du chèque-service accueil se font en collaboration avec les communes ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 6/15 12 différents traitements de données à caractère personnel 11 dans le projet de loi et de préciser que l’établissement du contrat tel que prévu par les articles 30 quinquies du projet de loi doit répondre aux critères de l’article 28 du RGPD. Elle recommande en outre l’insertion explicite d’une obligation de confidentialité applicable aux professionnels externes. 25. La CNPD relève enfin que le paragraphe
(3)de l’article 38 sexies introduit l’Administration communale et la Caisse pour l’avenir des enfants, comme entités chargées de l’instruction des demandes d’adhésion au chèque service accueil sans toutefois préciser en quelle qualité elles interviennent : responsables (conjoint ?) du traitement, sous-traitants, professionnels externes ? Elle incite vivement les auteurs du projet de loi à préciser le rôle, la qualité ou la responsabilité de ces intervenants dans le traitement des données à caractère personnel. 3. Création et/ou modification du système informatique de gestion des données 26. La Commission nationale souligne que la tenue d'un fichier de données à caractère personnel collectées et traitées par une autorité administrative doit reposer sur une base légale conformément à l'article 6 paragraphe
(3)du RGPD.
  1. Il ressort du commentaire des articles que « L’article 38 septies' 2 nouveau porte création d’un nouveau système informatique d’enregistrement de données à caractère personnel sous l’autorité du ministre compétent. Le programme informatique actuellement utilisé est dénommé « eduAccueil » [...]» et que « L’article 38sexies nouveau reprend les dispositions de l’article 29, paragraphe 1er, de la loi à modifier, par lesquelles un système informatique d’enregistrement de données à caractère personnel est créé sous l’autorité du ministre compétent. Il s’agit du programme de gestion intégré dénommé « PG! ». La gestion de ce système est confiée parl’État au Syndicat Intercommunal de Gestion Informatique (SIGI). ».
  2. Si la Commission nationale se félicite de la création d’un système informatique d’enregistrement des données à caractère personnel, elle relève toutefois l’existence de plusieurs questions qui troublent la clarté des dispositions légales le concernant.
  3. Tout d’abord la réitération à travers plusieurs articles du projet de loi sous avis de la création d’un système informatique sème le doute sur la quantité des systèmes informatiques ainsi « créés ». En effet, l’article 38 sexies
(1)du projet de loi porte création d’un «système informatique 11 Cf. point no 29 du présent avis. Article 38 septies « Il est créé un système informatique, sous l’autorité du ministre, en vue de la réalisation des finalités suivantes :... ». 12 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 7/15 d'enregistrement » alors que l’article 38 septies
(1)du projet de loi, porte création d'un « système informatique ». 30. Par ailleurs, d’un côté les auteurs du projet de loi parlent de « création » d’un système informatique d’enregistrement des données, mais d’un autre coté le commentaire des articles, tout en réitérant l’idée de la création d’un nouveau système informatique, se réfère à un système déjà existant, de sorte qu’il est permis de douter de la cohérence de l’affirmation contenue dans les dispositions du projet de loi. Cela ressort encore de l’exposé des motifs, rédigé comme suit : « Ainsi, l’article 29 de la loi modifiée du 4 juillet 2008 sur la jeunesse, qui institue un fichier de données à caractère personnel placé sous l’autorité du ministre ayant l’Enfance et la Jeunesse dans ses attributions, et servant à la gestion du dispositif du chèque-service accueil, est revu, actualisé et intégré dans un nouveau chapitre spécifiquement consacré à la protection des données ». 31. La Commission nationale constate qu’un système informatique existe déjà, de sorte qu’elle s’interroge sur le système censé être créé par le projet de loi sous avis. A défaut de création d’un nouveau système, elle ne saurait que trop recommander de préciser le principe et les contours du système informatique visé par le projet de loi en ce qui le distingue du système existant, sinon de reformuler le texte du projet de loi afin de le rendre plus clair et elle suggère de repenser l’utilisation des termes « il est créé ». 32. Par ailleurs, si plusieurs systèmes informatiques sont concernés par le traitement de données personnelles, la CNPD suggère d’en préciser le principe ainsi que les contours. En effet, elle s’interroge sur la nécessité de la répétition de la même disposition sous deux articles différents ce qui laissent penser qu’il s’agit de deux créations de deux systèmes distincts. Or, le projet de loi est censé présenter une cohérence interne. Pour des raisons de sécurité juridique, les dispositions du projet de loi sous avis devraient s’accorder entre elles et ne pas se contredire13. 33. La Commission nationale craint que l’incohérence des affirmations précitées à travers diverses dispositions du projet de loi n’entraine une imprécision de la loi. Elle invite partant les auteurs du projet de loi à préciser leur intention quant à la création, à la gestion et au fonctionnement du ou des système(
  1. s)informatique(
  2. s)concerné(s). 13 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2026, p. 492, n°603. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 8/15 4. Données relatives à des enfants 34. La Commission nationale prend note de la volonté des auteurs du projet de loi exprimée dans l’exposé des motifs de tenir compte « du volume et de la sensibilité des données traitées incluant notamment des informations relatives à des enfants mineurs et à leurs familles » pour justifier de la nécessité « de doter l'ensemble de ces traitements d’une base légale explicite et solide, garantissant la sécurité, la confidentialité et la traçabilité des opérations de traitement ». 35. Cette approche globale assure une protection homogène et renforcée des données à caractère personnel collectées dans le cadre de la gestion du dispositif du chèque-service accueil, dans le cadre du développement et l’assurance de la qualité des prestataires, ainsi que dans celui des processus administratifs digitalisés, tout en préservant les droits des personnes concernées et en consolidant la confiance mutuelle entre le Ministre ayant l’Enfance et de la Jeunesse dans ses attributions, les familles et les acteurs du secteur de l'éducation non formelle. 36. La commission nationale regrette toutefois l’absence de dispositions légales quant aux données traitées par les différents acteurs du secteur de l’éducation non formelle, alors qu’elle estime que le projet de loi n'est pas suffisamment clair et précis pour permettre aux bénéficiaires de savoir quelles informations les concernant seront traitées par lesdits autres intervenants et acteurs. II. Quant aux finalités du traitement 37. La Commission nationale se félicite que les auteurs du projet de loi envisagent de conférer une base légale aux traitements de données à caractère personnel effectués avec une distinction selon les traitements concernés, les catégories de personnes concernées (bénéficiaires du chèque service accueil, ou prestataires) et les catégories de données 14. Le Ministre responsable du traitement 38. Lorsque le Ministre est désigné responsable du traitement, à savoir dans le cadre de l’article 38 quinquies du projet de loi sous avis, il est créé un système informatique d'enregistrement pour le traitement des données en vue des finalités énumérées à l'article 38 sexies paragraphe
(1). Pour chacune des finalités suit en paragraphe
(2)de l’article 38 sexies, l’énumération des données traitées en suivant la subdivision selon les catégories de personnes concernées : bénéficiaires des prestations ou prestataires du chèque service accueil. Concernant les finalités dans le cadre 14 Cf. articles 28 bis, 30 bis du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 9/15 du système informatique visé par l’article 38 septies, les observations du point qui précède sont également vérifiées15. Le directeur de l’AQUEN responsable du traitement 39. Dans le cadre de la création de l’AQUEN dont le Directeur est désigné responsable du traitement l’article 38 decies énumère les données traitées en vertu des finalités fixées par l’article 30 ter, paragraphe
(1)points 6° et 7°. Bien qu’il y ait lieu de saluer l’effort d’énumération des finalités poursuivis par le traitement de données par l’AQUEN, la CNPD estime que certaines desdites dispositions ne respectent pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre 16 et ce plus particulièrement en ce qui concerne l’usage des termes génériques tels que « ancienneté dans la profession, sur les qualifications professionnelles, et l’existence d’un contrat de travail ». 40. La Commission nationale ne comprend par ailleurs pas pour quelle raison seules les finalités prévues aux points 6° et 7° du paragraphe
(1)de l’article 30 ter du projet de loi font l’objet d’une règlementation à l’exclusion des autres finalités énumérées sous les autres points de l’article 30 ter, à savoir sous les points 1°à 5 et 8 à 11°. Le commentaire des articles ne permet pas plus de comprendre l’intention des auteurs du projet de loi alors que ces derniers se cantonnent à affirmer le principe de la limitation relevée ci-avant sans autre explication.17
  1. En outre, à travers les différents paragraphes de l’article 38 decies les auteurs du projet de loi opèrent des distinctions quant à la régulation des diverses missions de l’AQUEN énumérées à l’article 30 ter. Toutefois, la Commission nationale ne trouve aucune explication quant aux distinctions ainsi opérées, alors que tant le projet de loi que le commentaire des articles restent muets à ce sujet.
  2. Or, la notion de finalité, c’est-à-dire l’objectif poursuivi par le traitement de données à caractère personnel, occupe une place primordiale au sein du RGPD. Au terme de l’article 5 paragraphe
(1)lettre b) du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. De plus les principes de minimisation des données ou de limitations de conservation s’apprécient au regard des finalités pour lesquelles les données sont 15 Pour chacune des finalités citées sous le paragraphe
(1), sont suivies en paragraphe
(2)de l’article 38 septies l’énumération des données traitées selon la subdivision des catégories de personnes concernées (les services d’éducation et d’accueil pour enfants et les mini-crèches, les assistants parentaux, les enfants accueillis auprès d'un prestataire). 16 Cf point 7 du présent avis. 17 Citation : « Le paragraphe 1er liste les catégories de données à caractère personnel traitées par l’AQUEN qui se limitent strictement à celles nécessaires pour vérifier qu'une personne remplit les conditions d’accès aux formations. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 10/15 traitées. Il est donc important que les finalités des différents traitements par l’AQUEN, prévus par le projet de loi soient clairement définies en tenant compte des observations formulées ci-avant. III. Quant aux délais de conservation - articles 38 sexies
(5)et 38 septies
(3)Le Ministre responsable du traitement : finalités prévues à l’article 38 sexies
  1. La Commission nationale relève que les auteurs du projet de loi ont pris le soin de fixer dans le projet de loi un délai de conservation de 15 ans à compter de la date à laquelle le bénéficiaire n’est plus éligible pour les prestations du chèque-service accueil.
  2. Si elle note favorablement que le projet de loi détermine la durée de conservation des données dans son article 38 sexies, paragraphe
(5)18 la CNPD relève que l’explication dans le commentaire de l'article quant à la nécessité de conserver les données pendant une durée de quinze ans, est comme suit : « Cette durée permet d’apprécier l’impact potentiel de l’éducation non formelle sur la carrière et le développement professionnel du bénéficiaire des prestations. Elle permet également de disposer de données fiables pour la gestion administrative, le suivi statistique et l’évaluation des politiques publiques relatives à l’éducation non formelle ». 45. Or, ces explications ne sont relatives qu’aux finalités secondaires et font défaut en ce qui concerne les finalités premières du traitement des données personnelles, de sorte que la CNPD n'est pas en mesure d'apprécier si le principe de limitation de la conservation, conformément à l'article 5 paragraphe
(1)lettre e) du RGPD, est respecté en l'espèce. Elle relève en outre que l’article 29 de la loi modifiée du 4 juillet 2008 sur la jeunesse prévoyait déjà un délai de conservation de 15 ans mais ce délai courait à compter de la date de naissance du bénéficiaire du chèque service accueil. La Commission nationale s’interroge sur les raisons ayant motivé la modification du point de départ du délai de conservation de 15 ans, sans autre explication. Le Directeur de l’AQUEN responsable du traitement : finalités prévues à l’article 38 septies
  1. Selon le commentaire des articles sous l’article 38 septies : «[...]La conservation des données pendant une période de quinze ans à compter du moment où le gestionnaire cesse d’être titulaire de l’agrément se justifie par les impératifs de contrôle, de suivi administratif et financier, ainsi que 18 Article 38 sexies « En vue de la réalisation du traitement des données à caractère personnel pour les finalités reprises au paragraphe 1er, les données à caractère personnel sont conservées pour une durée de quinze ans à compter de la date à laquelle le bénéficiaire n est plus éligible pour les prestations du chèque-service accueil ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 11/15 par les besoins d’analyse statistique à long terme inhérents au pilotage du secteur de l’éducation non formelle. Cette durée permet en effet de garantir la traçabilité des décisions administratives, de répondre aux exigences en matière de responsabilité juridique et financière, et d’assurer la disponibilité des informations nécessaires en cas de contestation ou de vérification ultérieure.j. . J».
  2. La CNPD se félicite de la fixation dans le projet de loi d’un délai de conservation de 15 ans à compter de la date à laquelle le gestionnaire cesse d’être titulaire de l’agrément délivré pour l’exploitation de son activité. IV. Quant à la pseudonymisation, la recherche scientifique et aux fins de statistique
  3. La Commission nationale félicite les auteurs du projet de loi d'avoir pris le soin de fixer dans le projet de loi, sous les articles 38 octies, et 38 decies paragraphe
(5), la possibilité de traitement des données à des fins de recherche scientifique ou historique ou à des fins statistiques, sous réserve d’être pseudonymisées au sens de l’article 4, paragraphe
(5)du RGPD. 49. Toutefois, elle se demande quels traitements sont exactement visés par ce point alors que l’ensemble des données, visées respectivement par les dispositions des articles 38 sexies et 38 septies et 38 decies paragraphe
(1)semblent concernés faute de précision.
  1. Par ailleurs, il y a lieu de s'interroger sur les délais et conditions de la pseudonymisation des données personnelles qui est prévue en principe sans autre information précise. Or, la pseudonymisation est une opération réversible qui permet d'identifier une personne physique en ayant recours à des informations supplémentaires. Il s'agit d'une mesure de sécurité contribuant à la mise en conformité avec les règles relatives à la protection des données. Le RGPD reste applicable aux données pseudonymisées. Ce n'est qu’après leur suppression ou anonymisation que les données ne sont plus soumises au RGPD.
  2. La Commission nationale rappelle enfin qu’à l’issue de la durée de conservation des données, lorsque la finalité poursuivie par le traitement est atteinte (lorsque la durée de conservation des données à caractère personnel a été déterminée en fonction de la finalité poursuivie par le traitement), les données doivent en principe être supprimées, anonymisées ou faire l’objet d’un archivage intermédiaire lorsque leur conservation est nécessaire pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. Or, il ressort du commentaire des articles qu’un délai de conservation de 15 ans a été prévu par les auteurs du projet de loi de façon à englober des besoins au-delà des finalités du traitement, couvrant des périodes où les données devraient le cas échéant être supprimées ou anonymisées. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 12/15
  3. La CNPD se demande dès lors si le cas de figure évoqué par les auteurs du projet de loi dans le commentaire des articles précités ne serait pas couvert par la loi modifiée du 17 août 2018 sur l'archivage. Ainsi, les administrations et services de l'État, tels que l'AQUEN, ne seraient pas obligés de conserver les données personnelles pendant une durée qui risque de paraître excessive au regard des finalités pour lesquelles elles sont traitées. V. Quant à l’accès et la transmission de données et fichiers d’autres entités étatiques ou administrations
  4. La condition de licéité du traitement prévue à l’article 6, paragraphe
(1)lettre e) du RGPD ne concerne que la collecte et le traitement initial de données personnelles par les autorités publiques. 54. Or, dans la mesure où, dans le cadre du projet sous avis, des données à caractère personnel seront transférées à une autorité publique autre que le responsable du traitement initial pour une finalité différente de celle pour laquelle ces données ont été collectées, cette autorité devra vérifier les conditions alternatives de l’article 6, paragraphe
(4)du RGPD qui permettent le traitement ultérieur des données. 55. Le transfert des données entre autorités publiques peut être légitime si le traitement ultérieur est fondé sur une disposition légale qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir un des objectifs visés à l’article 23, paragraphe
(1)du RGPD. 56. La Commission nationale relève que les auteurs du projet de loi ont spécifié les situations selon lesquelles le Ministre, ou le Directeur de l’AQUEN, est responsable du traitement. En effet, lorsque le responsable du traitement est le Ministre, les auteurs du projet de loi ont prévu l’accès (des Communes et de la Caisse pour l’avenir des enfants) aux données d’autres entités, telles que le Centre Commun de la Sécurité Sociale (article 38 sexies paragraphe
(3): pour être informées sur le nombre d’enfants à charge du requérant. S’y ajoute la communication des données par le Ministre à la Caisse pour l’avenir des enfants (article 38 sexies paragraphe
(4): aux fins de permettre à celle-ci de vérifier le respect des conditions relatives au versement des indemnités de congé parental.
  1. Conformément aux principes de nécessité et de proportionnalité, les traitements de données doivent demeurer strictement limités aux finalités poursuivies. À cet égard, la Commission CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 13/15 nationale se félicite que le projet de loi précise, pour chaque fichier, les finalités pour lesquelles cet accès du Ministre (de fait les Communes et la Caisse pour l’avenir des enfants) est autorisé.
  2. Par ailleurs, les auteurs du projet de loi ont prévu sous l’article 38 decies paragraphe
(3)l’accès par l’AQUEN aux données du registre national des personnes physiques et morales, afin de confirmer l’exactitude du numéro d'identification national avec les données collectées par l’AQUEN.
  1. Le projet de loi opère une distinction entre, d'une part, les catégories de données collectées directement auprès des personnes concernées et, d’autre part, celles susceptibles d’être obtenues indirectement à partir de fichiers détenus par des administrations ou organismes publics. La Commission nationale salue le fait que les conditions d’accès à ces fichiers étatiques soient clairement précisées dans le projet de loi.
  2. Enfin, la CNPD remarque que l’article 37 du projet de loi précise que sur demande motivée du Ministre, les Administrations communales peuvent lui communiquer certaines informations. Or, il est permis de s’interroger sur l'absence de référence à cet article sous le chapitre 7 relatif au traitement des données à caractère personnel. Serait-ce parce que l’article 37 ne concerne que des données agrégées à l’exclusion de données à caractère personnel ? La Commission nationale recommande de remédier à cette lacune par des explications claires à ce sujet. VI. Quant aux mesures techniques et organisationnelles
  3. La Commission nationale félicite les auteurs du projet de loi d'avoir pris le soin de fixer dans le projet de loi, sous les articles 38 nonies et 38 decies paragraphe
(4)les mesures techniques et organisationnelles de sécurité, le tout avec une authentification forte garantissant que seules les personnes autorisées peuvent consulter ou modifier les informations.
  1. Selon le commentaire des articles ces « dispositions concrétisent les principes de sécurité, d’intégrité et de responsabilité prévus par le RGPD et assurent un haut niveau de sécurité, de transparence et de responsabilité dans l’accès et l’utilisation des données à caractère personnel, en conformité avec les exigences du RGPD et les principes de bonne gouvernance administrative ». Les mesures mises en place en ce qui concerne les données traitées par l’AQUEN s’apparentent à celles prévues à l’article 38 nonies du projet de loi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 14/15 Ainsi adopté à Belvaux en date du 15 mai
  2. La Co lésion nationale pour la protection des données Tine A. Larse Présidente CNPD Thierry Lallemang Commissaire Alain Herrmann Commissaire Coi Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8686 portant modification de la loi modifiée du 4 juillet 2008 sur la jeunesse 15/15

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.