Avis de la Commission nationale pour la protection des données relatif à la proposition de loi n°7257 portant modification de la loi modifiée du 21 septembre 2006 sur le bail à usage d'habitation et modifiant certaines dispositions du Code civil. Délibération n° 20/2020 du 28/07/2020 Conformément à rarticle 57, paragraphe ler, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 7 mai 2020, Monsieur le Ministre du Logement a invité la Commission nationale à se prononcer sur la proposition de loi n°7257 portant modification de la loi modifiée du 21 septembre 2006 sur le bail à usage d'habitation et modifiant certaines dispositions du Code civil (ci-après la « proposition de loi »). La présente proposition de loi a pour objet de modifier la loi du 21 septembre 2006 sur le bail à usage d'habitation et modifiant certaines dispositions du code civil (ci-après la « loi du 21 septembre 2006 »). Les mesures prévues par la proposition de loi ont pour objet de faire face à la crise du logement que connaît actuellement le Grand-duché de Luxembourg. Les principaux points de la proposition de loi sont les suivants : - l'introduction d'un coefficient de pondération (« valeur de référence du loyer ») destiné à limiter l'incidence des prix d'achat des immeubles de location sur les loyers légalement possibles ; l'obligation pour les bailleurs d'inscrire dans tout nouveau contrat de bail le capital investi ainsi que la valeur de référence du loyer ; la redéfinition de la notion de « logement de luxe » figurant dans la loi précitée du 21 septembre 2006 ; et la création de la commission nationale des loyers avec des compétences nationales, notamment pour la collecte de données relatives aux baux d'habitation et pour la fixation subséquente de la « valeur de référence du loyer ». 1 Le présent avis limitera ses observations à l'article 1 point 5° de la proposition de loi en ce qu'il crée une banque de données qui sera tenue par la commission nationale des loyers, seul article ayant trait à la protection des données à caractère personnel. 1. Remarques liminaires L'article 1 point 5° de la proposition de loi introduit un nouveau paragraphe
(6)à l'article 3 de la loi du 21 septembre 2006 qui prévoit l'obligation pour chaque bailleur d'inscrire dans tout nouveau contrat de bail le capital investi ainsi que la valeur de référence du loyer. Le bailleur ou son représentant devra, en outre, transmettre une copie du contrat de bail à la commission nationale des loyers qui enregistrera dans une banque de données « soumise aux dispositions de la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel » « la localisation du logement, le type de logement, les nom, prénom et adresse du propriétaire, les nom et prénom du locataire, le capital investi, celui ajusté à l'année de référence 1995, le montant réévalué et décoté, la valeur de référence du loyer et le montant du loyer ». Les nom, prénom et adresse du propriétaire, et les nom et prénom du locataire constituent des données à caractère personnel au sens de l'article 4, paragraphe
(1)du RGPD. La Commission nationale se félicite que la proposition de loi prévoit le principe de la création d'une telle banque de données conformément à l'article 6, paragraphe
(3)du RGPD2. Cet article prévoit, en effet, une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être prévus soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. Toutefois et bien que le principe de la création d'une telle banque de données soit prévue dans la proposition de loi, la Commission nationale relève que certains éléments relatifs au traitement de données ne sont pas (ou pas suffisamment) précisés dans la proposition de loi. En effet, le considérant
(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du ' La Commission nationale tient à rappeler que la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel a été abrogée par l'article 72 de la Loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Il convient dès lors de se référer à la législation actuellement en vigueur. 2 L'article 6, paragraphe
(3)dispose que la « base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX ». 2 traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». En vertu des dispositions précitées, ces bases légales devraient contenir des dispositions spécifiques concemant, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. 2. Sur la détermination des finalités du traitement Il y a lieu de relever que conformément à l'article 5 paragraphe
(1), lettre b) du RGPD, les données à caractère personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ». Tel qu'exposé ci-avant, l'article 6 paragraphe
(3)du RGPD, lu ensemble avec son paragraphe
(1)lettre c) et (e), prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être prévus soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. Le considérant
(41)du RGPD précise encore que « cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. ». Or, il y a lieu de constater que la rédaction actuelle de la proposition de loi ne respecte pas les dispositions précitées alors que les finalités des traitements visés par le nouvel article 3 paragraphe
(6)de la loi du 21 septembre 2006 ne résultent pas clairement de la proposition de loi. Des précisions quant aux finalités qui seraient poursuivies ne sont également pas apportées par les auteurs de la proposition de loi. En effet, ces derniers se limitent à exposer, dans leur commentaire de l'article 1 point 5° de la proposition de loi, le procédé selon lequel les données seront collectées par la commission nationale des loyers. Ainsi, il est précisé qu' : « une copie de chaque contrat de bail conclu ou modifié après l'entrée en vigueur de la présente loi, est transmise endéans un mois suivant la conclusion par le bailleur ou son représentant — par exemple un agent immobilier — à la commission nationale des loyers », puis « la commission nationale enregistre la localisation du logement, le type de logement, les nom, prénom et adresse du propriétaire, les nom et prénom du locataire, le capital 3 investi, celui ajusté à l'année de référence 1995, le montant réévalué et décoté, la valeur de référence du loyer et le montant du loyer convenu dans une banque de données ». Il est encore spécifié que « (...) la commission nationale vérifie les copies de contrats de baux qui leur ont été transmises en vertu de ces dispositions. Au cas où la commission nationale constate qu'un contrat ne répond pas aux prescriptions de la présente loi, elle prend l'initiative pour faire redresser les modalités contractuelles en question ». La CNPD comprend dès lors que les données à caractère personnel collectées par la commission nationale des loyers via la copie du contrat de bail le seraient pour deux finalités distinctes, l'une serait afin de répondre à sa mission de contrôle et la deuxième serait afin que ces données figurent dans la banque de données précitée. Il y a encore lieu de relever que d'après l'exposé des motifs la banque de données précitée permet de mettre « les données statistiques, anonymisées, à disposition de l'Observatoire de l'Habitat, du STATEC et autres centres de recherche et de statistique, afin d'améliorer le monitoring du marché de la location »
- Néanmoins, comme relevé par le Conseil d'Etat dans son avis du 28 avril 2020 relatif à la présente proposition de loi : « La communication des données personnelles pourrait encore se comprendre, dans une certaine mesure, dans l'optique où la commission nationale des loyers serait en charge de la fixation des coefficients de pondération. Or, d'après les auteurs de la proposition de loi, cette fixation appartiendra à l'institut national de la statistique et des études économiques. »
- Dès lors, à l'instar du Conseil d'Etat, la CNPD estime nécessaire que les finalités des traitements mis en œuvre par la commission nationale des loyers soient clairement spécifiées dans le texte de la proposition de loi et estime donc indispensable que les auteurs de la proposition de loi indiquent précisément quelles catégories de données sont traitées pour quelles finalités. Cette problématique se pose avec d'autant plus d'importance que, comme le souligne le Conseil d'Etat, la proposition de loi « prévoit de surcroît des sanctions pénales conséquentes en cas de manquement à l'obligation de communication ». En l'absence de précision des finalités poursuivies, la Commission nationale se demande comment la commission nationale des loyers dans le cadre de la mise en œuvre des traitements de données à caractère personnel visés par la présente proposition de loi est en mesure de déterniiner si elle respecte les principes de minimisation des données et de limitation de la conservation des données alors que conformément au paragraphe
(2)de l'article 5 du RGPD le responsable du traitement « est responsable du respect du paragraphe
(1)5 et est en mesure de démontrer que celui-ci est respecté » (cf. sections 3 et 5 du présent avis). 3 Page 27 de la proposition de loi. 'Document parlementaire n°7257/05, page 4. 6 L'article 5 paragraphe
(1)du RGPD dispose que «
(1)Les données à caractère personnel doivent étre : (...) 4 La CNPD ne peut d'ailleurs qu'approuver les propos du Conseil d'Etat en ce qu'il « ne saurait admettre qu'à défaut de détermination claire d'une finalité spécifique du traitement, les données puissent être conservées et utilisées par la commission nationale des loyers au-delà de l'examen immédiat auquel elle peut procéder au titre de l'article 5 de la proposition de loi sous avis. »6. 3. Sur le principe de minimisation des données à caractère personnel L'article 5 paragraphe
(1), lettre
- c)du RGPD dispose que les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Il résulte de ce principe que ne doivent être traitées que les données nécessaires à l'accomplissement de la finalité du traitement. En d'autres termes, il s'agit de ne pas donner l'accès à plus de données que celles nécessaires à la commission nationale des loyers dans le cadre du traitement mis en œuvre. Or, en l'absence de précision quant aux finalités qui seraient poursuivies par la commission nationale des loyers dans le cadre de la mise en œuvre des traitements de données à caractère personnel visés par l'article 1 point 5° de la proposition de loi, la CNPD n'est pas en mesure d'apprécier si les catégories de données énumérées à l'article précité sont bien adéquates, pertinentes et limitées à ce qui est nécessaire aux regard de ces finalités. Par conséquent, la CNPD ignore si le principe de minimisation des données serait en l'espèce respecté. La Commission nationale tient, en outre, à souligner l'importance de ce principe alors qu'il appartient au législateur de mettre en œuvre et d'appliquer concrètement le principe de minimisation des données, sans quoi la loi ne répondrait pas à l'exigence de précision et de prévisibilité auquel doit répondre un texte légal sans la jurisprudence de la Cour européenne des droit de l'Homme'. Bien qu'il ne lui soit pas possible d'apprécier si le principe de minimisation serait respecté, la CNPD se félicite que le point 5° de l'article 1 de la proposition de loi énumère les données à caractère personnel amenées à figurer dans la banque de données8. Toutefois, elle constate qu'il adéquates, pertinentes et limitées à ce qui est nécessake au regard des finalités pour lesquelles elles sont traitées (minimisation des données); ( ...)
- e)conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou è des fins statistiques conformément è l'article 89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques et organisationnelles appmpriées requises par le présent règlement afin de garantir les droits et libertés de la personne concemée (limitation de la conservation); (...) » Docurnent parlementaire n°7257/05, page 4. 7 Voir notamment CEDH, affaire Libert c. France, 22 février 2018, paragraphe 43. 8 Selon l'article 1 point 5° de la proposition de loi, la commission nationale des loyers serait amenée à collecter « la localisation du logement, le type de logement, les nom, prénom et adresse du propriétaire, les nom et prénom du locataire, le capital investi, celui ajusté à l'année de référence 1995, le montant réévalué et décoté, la valeur de référence du loyer et le montant du loyer » ainsi que la « (...) copie de chaque contrat de bail conclu ou modifié après l'entrée en vigueur de la présente loi (...) ».
- c)5 ne ressort pas clairement de la proposition de loi si les copies de contrat de bail - qui contiendront indéniablement encore d'autres données personnelles que celles énumérées à l'article 1 point 5° - sont également amenées à figurer dans la banque de données alors que les bailleurs ou leur représentant ont l'obligation de fournir une telle copie à la commission nationale des loyers, ou si de telles copies figureront dans une banque de données distincte alors que l'exposé des motifs précise que la commission nationale « centralisera les contrats de baux ». Des précisions à ce sujet mériteraient d'être apportées par les auteurs de la proposition de loi. 4. Sur la consultation des données figurant dans la banque de données tenue par la commission nationale des loyers La proposition de loi prévoit que « La banque des données enregistrées par la commission nationale des loyers peut être consultée pour des besoins statistiques et de recherche. Les modalités de consultation sont fixées par règlement grand-ducal ». Les auteurs de la proposition de loi précisent dans le commentaire des articles que « La banque des données enregistrées par la commission nationale des loyers peut être consultée pour des besoins statistiques et de recherche, comme par exemple le STATEC, l'Observatoire de l'Habitat, des centres de recherche. A cette fin les données sont évidemment rendues anonymes. Les modalités de consultation sont fixées par règlement grand-ducal ». En absence d'un projet de règlement grand-ducal fixant les modalités de consultation de la banque de données, la Commission nationale n'est pas en mesure d'apprécier pleinement si la consultation des données contenues dans la « banque de données enregistrées par la commission nationale des loyers » est conforme au RGPD. Cependant, elle souhaite d'ores et déjà relever qu'il ressort du commentaire des auteurs de la proposition de loi quant aux dispositions énoncées ci-avant, que seules des données rendues anonymes seraient communiquées au STATEC et à l'Observatoire de l'Habitat et à des « centres de recherche ». La CNPD comprend dès lors que le STATEC, l'Observatoire de l'Habitat et les « centres de recherche » (dont l'identité devrait le cas échéant être précisée) n'auraient, en réalité, pas accès à ladite banque de données mais seulement accès à des données anonymisées par la commission nationale des loyers. Dans la mesure où les commentaires des auteurs de la proposition de loi diffèrent des dispositions légales de l'article 1 point 5° de la proposition de loi, il y a lieu de mentionner clairement dans la proposition de loi s'il s'agit d'un accès direct aux données à caractère personnel figurant dans la banque de données ou s'il s'agit d'une communication de données anonymisées, obtenues sur base des données figurant dans la banque de données. Par ailleurs, l'article 1 point 5° de la proposition de loi visant une consultation de données « pour des besoins statistiques et de recherche », il convient de rappeler qu'en vertu du principe de limitation des finalités (article 5 du RGPD), les données personnelles doivent être collectées pour 6 des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. Ainsi, les données ne doivent pas être traitées pour des finalités « incompatibles » avec les finalités d'origine. Néanmoins, le considérant 50 du RGPD précise que « Le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être considéré comme une opération de traitement licite compatible ». Les articles 6 paragraphe
(4)et 89 du RGPD ainsi que l'article 65 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, précisent les mesures appropriées qui doivent être mises en œuvre par le responsable du traitement lors de tels traitements ultérieurs de données. La commission nationale des loyers devra dès lors remplir l'ensemble des conditions prévues par les dispositions légales énoncées ci-dessus of n de permettre la communication des données à caractère personnel contenues dans ladite banque de données au STATEC, à l'Observatoire de l'Habitat et à des « centres de recherche ». Comme pré-mentionné, le texte même de la proposition de loi ne précise pas que les données devront être anonymisées pour « des fins statistiques et de recherche », mais seul le commentaire des articles y fait référence. Ceci dit, la CNPD relève qu'une telle mesure constitue en effet une des mesures appropriée visée par l'article 65 de la loi du 1er août 2018 précitée. Cet article dispose en effet que : « l'anonymisation, la pseudonymisation au sens de l'article 4, paragraphe 5, du règlement (UE) 2016/679 ou d'autres mesures de séparation fonctionnelle garantissant que les données collectées à des fins de recherche scientifique ou historique, ou à des fins statistiques, ne puissent être utilisées pour prendre des décisions ou des actions à l'égard des personnes concernées ». Cependant, la Commission nationale entend attirer l'attention des auteurs de la proposition de loi sur le fait que l'anonymisation est un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et ce de manière irréversible. Au contraire, la pseudonymisation, telle que définie par l'article 4 paragraphe
(5)du RGPID, est un traitement de données personnelles réalisé de « telle façon que celles-ci ne puissent plus êfre attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ». Par conséquent, il est important que les auteurs de la proposition de loi analysent si la commission nationale des loyers communiquera des données pseudonymisées au sens du RGPD, ou des données véritablement anonymisées ou « rendues anonymes », auquel cas le RGPD n'aurait pas vocation à s'appliquer à partir du moment où de telles données ne permettent plus aucune identification de la personne par quelque moyen que ce soit et ce de manière irréversible. 7 Enfin, la Commission nationale suggère également que les auteurs de la proposition de loi reprennent la terminologie exacte du RGPD et de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, en ce qui concerne les traitements de données à caractère personnel « à des fins statistiques » ou à des fins « de recherches scientifique ou historique » et non pas comme mentionné dans la présente proposition de loi « à des fins statistiques et de recherche ». 5. Sur la durée de conservation des données à caractère personnel Conformément à l'article 5 paragraphe
(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. En l'absence de précision d'une durée de conservation dans la proposition de loi ou dans le commentaire des articles, la CNPD n'est pas en mesure d'apprécier si en l'occurrence, le principe de durée de conservation limitée des données est respecté concernant la collecte des données à caractère personnel consignées dans la banque de données visée par la présente proposition de loi ainsi que concernant les copies de contrat de bail. La CNPD estime dès lors nécessaire que les auteurs de la proposition de loi précisent dans le texte de l'article 1 point 5° quelle est la durée de conservation ou a minima les critères permettant de déterminer quelle est la durée de conservation proportionnée pour les catégories de données énoncées ci-avant. Ainsi décidé à Belvaux en date du 28 juillet 2020. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by The Annemarte Larsen Date 2020.07.28 093738 +0200' Tine A. Larsen Présidente signed by Ditt:yllyL siznecl try CHRISTOPHE Digit* CHRISTOPHE NICOLAS Thierry Th r a mang NICOLAS BUSCHMANN 2020.07.29 Date 2020.07.28 Lallemang Date: 19:06:1 9 -Forov BUSCHMANN 0947:27 +02'00' Thierry Lallemang Commissaire Christophe Buschmann Commissaire ure........d by.K West Muc Ernest ............ Jean-Pierre 1..."'" ID.] .02.0C Marc Lemmer Commissaire 8