Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire portant : 1° transposition de la directive (UE) 2024/1346 du Parlement européen et du Conseil du 14 mai 2024 établissant des normes pour l’accueil des personnes demandant une protection internationale (refonte) ; 2° modification de la loi modifiée du 28 octobre 2016 relative à la reconnaissance des qualifications professionnelles ; 3° modification de loi modifiée du 28 juillet 2018 relative au revenu d’inclusion sociale ; 4° modification de la loi du 4 décembre 2019 portant création de l’Office national de l’accueil ; 5° modification de la loi du 7 août 2023 portant organisation de l’assistance judiciaire et portant abrogation de l’article 37-1 de la loi modifiée du 10 août 1991 sur la profession d’avocat ; 6° modification de la loi du 18 juillet 2025 autorisant le Fonds national de solidarité à participer aux prix des prestations et services fournis dans les structures d’hébergement pour personnes âgées et dans les logements encadrés agréés. Délibération n°43/AV12/2026 du 1er juin 2026
- Conformément à l’article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire. 1/6 parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
- Par courriers en date respectivement du 22 avril 2026 et du 1er juin 2026, Monsieur le Ministre de la Famille, de l’Intégration et à la Grande Région a invité la Commission nationale à se prononcer sur le projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire portant : 1° transposition de la directive (UE) 2024/1346 du Parlement européen et du Conseil du 14 mai 2024 établissant des normes pour l’accueil des personnes demandant une protection internationale (refonte) ; 2° modification de la loi modifiée du 28 octobre 2016 relative à la reconnaissance des qualifications professionnelles ; 3° modification de loi modifiée du 28 juillet 2018 relative au revenu d’inclusion sociale ; 4° modification de la loi du 4 décembre 2019 portant création de l’Office national de l’accueil ; 5° modification de la loi du 7 août 2023 portant organisation de l’assistance judiciaire et portant abrogation de l’article 37-1 de la loi modifiée du 10 août 1991 sur la profession d’avocat ; 6° modification de la loi du 18 juillet 2025 autorisant le Fonds national de solidarité à participer aux prix des prestations et services fournis dans les structures d’hébergement pour personnes âgées et dans les logements encadrés agréés (ci-après le « projet de loi »), ainsi que sur les amendements gouvernementaux, qui ont été adoptés à la suite de l’avis du Conseil d’Etat du 21 mai
- Selon l’exposé des motifs, le projet de loi vise à transposer la directive (UE) 2024/1346 du Parlement européen et du Conseil du 14 mai 2024 établissant des normes pour l’accueil des personnes demandant une protection internationale (refonte) (ci-après la « directive (UE) 2024/1346 »). Cette directive fait partie des instruments clés du pacte européen sur la migration et l’asile. La mise en œuvre au niveau national est assurée de manière globale par le projet de loi n°8684 portant mise en œuvre du pacte européen sur la migration et l’asile, auquel le présent projet de loi s’inscrit en complément en matière d’accueil des demandeurs de protection internationale. Étant donné que le projet de loi sous avis renvoie, à plusieurs reprises, au projet de loi n°8684 précité, le Conseil d’État a souligné, dans son avis du 21 mai 20262, l’importance de veiller à une entrée en vigueur simultanée des deux textes, afin d’éviter toute lacune normative ou incohérence dans leur application.
- Par ailleurs, le projet de loi comporte certaines dispositions régissant le traitement des données à caractère personnel par l’Office national de l’accueil (ci-après « ONA »). Au Luxembourg, la compétence en matière d’accueil des demandeurs de protection internationale relève de l’ONA, qui a été créé par la loi du 4 décembre 2019 portant création de l’Office national de l’accueil. À cet égard, l’article 33, point 3°, du projet de loi vise à modifier ladite loi du 4 décembre 2019 en 1 Avis du Conseil d’Etat du 21 mai 2026 n°62.535, numéro parlementaire 8732/
- 2 Avis du Conseil d’Etat du 21 mai 2026 n°62.535, numéro parlementaire 8732/01, p.
- Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire. 2/6 insérant six nouveaux articles ayant pour objet d’encadrer les traitements de données à caractère personnel effectués par l’ONA dans l’exercice de ses missions.
- La Commission nationale formulera ci-après ses remarques quant aux dispositions du projet de loi qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. I. Sur les finalités du traitement
- La Commission nationale se félicite que le nouvel article 4bis, paragraphe
(2), énumère de manière exhaustive les finalités pour lesquelles les données à caractère personnel sont traitées par l’ONA. Dans ce contexte, elle tient à souligner que le traitement des données à caractère personnel relève d’une matière réservée à la loi en application de l’article 31 de la Constitution, de sorte que, les données ne peuvent être traitées qu’à des fins et dans les conditions déterminées par la loi. Les finalités du traitement de données sont dès lors à énoncer de manière claire et précise dans la loi en projet. 7. En effet, la notion de « finalité », c’est-à-dire l’objectif poursuivi par le traitement, occupe une place primordiale au sein du RGPD. Aux termes de l’article 5.1.
- b)du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. De plus, d’autres principes prévus par le RGPD, tels que les principes de minimisation des données3 ou de limitation de conservation4 s’apprécient au regard des finalités pour lesquelles les données sont traitées. 8. À cet égard, la CNPD salue que les auteurs des amendements aient supprimé la finalité initialement prévue au point 11°, à savoir « permettre la réalisation des missions visées à l’article 2 », à la suite des observations du Conseil d’Etat5. Ce dernier avait relevé que cette finalité est formulée d’une manière trop large et est susceptible de faire double emploi avec d’autres finalités déjà énumérées. La Commission nationale considère que cette suppression contribue à renforcer la clarté et évite toute redondance avec les finalités prévues aux points 1° à 10° et 12°. II. Sur les catégories de données personnelles traitées par l’ONA 9. D’abord, la Commission nationale relève que l’article 4ter nouveau procède à une énumération des catégories de données à caractère personnel traitées par l’ONA, en lien avec les finalités 3 Article 5.1.
- c)du RGPD. 4 Article 5.1.
- e)du RGPD. 5 Avis du Conseil d’Etat du 21 mai 2026 n°62.535, numéro parlementaire 8732/01, p.10. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire. 3/6 définies à l’article 4bis, paragraphe 2. Elle salue que les auteurs des amendements ont énuméré de manière précise les différentes données, conformément au principe de minimisation des données consacré à l’article 5.1, point c), du RGPD, selon lequel les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies. 10. Ensuite, la CNPD constate que le projet de loi prévoit expressément le traitement de données relatives à la santé par l’ONA, notamment les données issues des examens médicaux, les données relatives à la santé physique et à la santé mentale visées par le projet de loi n°86846. Selon les commentaires des articles, un tel traitement serait nécessaire afin d’adapter l’aide et la prise en charge aux personnes concernées, à savoir les demandeurs, les bénéficiaires de la protection temporaire et les bénéficiaires d’une protection internationale. Les auteurs des amendements précisent encore que « [l]es conditions matérielles d’accueil comprennent la prise en charge des soins de santé, y compris, le cas échéant, la fourniture de matériel médical et la prise en charge de frais médicaux. Un tel traitement nécessite que l’ONA puisse avoir connaissance des factures et pièces justificatives afférentes et, lorsqu’il s’agit de documents à caractère médical, de certaines données relatives aux soins prestés. » 11. Les données susmentionnées relèvent de catégories particulières de données, dites « données sensibles », au sens de l’article 9 du RGPD, qui leur confèrent une protection particulière. La CNPD attire l’attention des auteurs du projet de loi sur le traitement des données sensibles qui requiert une protection spécifique et est soumis à des exigences plus strictes. 12. En l’occurrence, le traitement de données sensibles est susceptible d’être fondé sur l’article 9.2, point g), du RGPD, en vertu duquel, le traitement de données sensibles est possible si le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. En tout état de cause, il est nécessaire que la loi prévoie des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée. De telles mesures appropriées peuvent notamment consister dans la mise en place de canaux de transmission sécurisés, de restrictions de l’accès aux données ou encore de fichiers de journalisation. 13. À cet égard, la Commission nationale prend acte du fait que les commentaires des articles renvoient aux conditions de traitement prévues à l’article 9 du RGPD. Elle estime toutefois qu’un tel renvoi n’est pas suffisant en lui-même et qu’il conviendrait de prévoir directement dans le texte 6 L’article 4ter, point 4° nouveau. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire. 4/6 du projet de loi les mesures techniques et organisationnelles destinées à garantir la protection spécifique desdites données sensibles. III. Sur l’accès direct de l’ONA à différents fichiers et registres 14. Le nouvel article 4quater, paragraphe
(1), prévoit une énumération des fichiers et registres auxquels l’ONA aura un accès directement dans le cadre de l’exercice de ses missions. La Commission nationale se félicite que les auteurs des amendements précisent les catégories de données à caractère personnel effectivement accessibles au sein de chacun de ces fichiers, ce qui permet de délimiter l’étendue des données susceptibles d’être consultées.
- Par ailleurs, la Commission nationale note que les auteurs du projet de loi ont précisé dans les commentaires des articles que « cet accès est […] légalement encadré et sécurisé conformément aux dispositions du règlement (UE) 2016/679 ». À cet égard, elle souligne que l’encadrement de l’accès ne saurait se limiter à une mention générale dans les commentaires des articles. Elle estime qu’il convient de prévoir, dans le projet de loi lui-même, les mesures techniques et organisationnelles appropriées, afin d’assurer un encadrement effectif et conforme aux exigences du RGPD. IV. Sur la durée de conservation
- Selon le principe de limitation de la conservation consacré à l'article 5.1, point e), du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou définitivement anonymisées.
- La Commission nationale constate que l‘article 4septies, paragraphe
(1), dispose que « les données à caractère personnel […] sont conservées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées […] ». Cependant aucune durée de conservation précise n’est indiquée dans le projet de loi. Les commentaires d’articles confient à l’ONA la détermination des « durées de conservation applicables à chaque catégorie de données » en vertu du principe de responsabilisation prévu à l’article 5.2 du RGPD.
- À cet égard, la Commission nationale souligne qu’une telle approche n’est pas conforme à l’exigence selon laquelle le traitement des données à caractère personnel relève d’une matière réservée à la loi, en application de l’article 31 de la Constitution, lequel impose que les données soient traitées uniquement à des fins et dans des conditions déterminées par la loi. Elle relève, en outre, que les traitements en cause s’inscrivent dans le cadre de l’exécution de missions d’intérêt public confiées à l’ONA par le présent projet de loi ainsi que par le projet de loi n°
- Conformément à l'article 6.3 du RGPD, les traitements fondés sur l’exécution d’une mission Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire. 5/6 d’intérêt public doivent reposer sur une base légale en droit de l’Union ou en droit national, laquelle doit définir de manière suffisamment précise le fondement et les finalités du traitement
- Dès lors, même si les durées de conservation ne sont pas définies dans le projet de loi, celui-ci devrait à minima préciser dans le texte de loi les critères qui seraient pris en compte afin de déterminer quelle est la durée de conservation proportionnée pour chaque catégorie de données à caractère personnel qui serait collectée dans le cadre du projet de loi.
- Finalement, la CNPD attire l’attention des auteurs du projet de loi sur l’importance de distinguer entre la durée de conservation des données et leur archivage, deux concepts distincts dans le « cycle de vie » des données personnelles. La durée de conservation correspond à la durée nécessaire à la réalisation de l’objectif ayant justifié la collecte et l’enregistrement des données personnelles. En revanche, l’archivage intervient après que l’objectif du traitement des données a été atteint et lorsque ces données présentent encore un intérêt administratif pour l’organisme (par exemple, pour la gestion d’un éventuel contentieux) ou doivent être conservées pour répondre à une obligation légale
- Ainsi adopté à Belvaux en date du 1er juin
- La Commission nationale pour la protection des données Digitally signed by Tine signed Tine Annemarie Thierry Digitally by Thierry Larsen Annemarie Lallema Lallemang Date: 2026.06.02 Date: Larsen 2026.06.02 16:50:22 +02'00' ng 16:34:40 +02'00' Tine A. Larsen Présidente Thierry Lallemang Commissaire Digitally signed ALAIN by ALAIN HERRMA HERRMANN Date: 2026.06.02 16:41:15 +02'00' NN Alain Herrmann Commissaire signed Florent Digitally by Florent Kling Alexis Alexis Date: 2026.06.02 Kling 16:44:06 +02'00' Florent Kling Commissaire 7 Le considérant
(45)du RGPD précise qu’il devrait « (…) appartenir au droit de l’Union ou au droit d’un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l’objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d’autres mesures visant à garantir un traitement licite et loyal (…) ». 8 V. Guide pratique de la CNIL « Guide pratique sur les durées de conservation », Version juillet 2020, disponible sous : https://www.cnil.fr/sites/default/files/atoms/files/guide_durees_de_conservation.pdf , p.4 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8732 sur l’accueil des demandeurs de protection internationale et des bénéficiaires de la protection temporaire. 6/6