Avis de la Commission nationale pour la protection des données sur la proposition de loi n° 8037 relative aux propositio

Avis de la Commission nationale pour la protection des données sur la proposition de loi n° 8037 relative aux propositions motivées aux fins de légiférer Délibération n°29/AV16/2023 du 7 avril 2023. 1. Conformémentà l'article 57. 1 .

1. e)du règlement(UE) 2016/679du Parlement européenet du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égarddu traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement généralsur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiquesà l'égard du traitement ». Par ailleurs, l'article 36.4 du RGPD dispose que « [l]es Étatsmembres consultent /'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » 2. Par courrier en date du 30 novembre 2022, Monsieur le Président de la Chambre des Députés a invité la Commission nationale à se prononcer sur la proposition de loi n°8037 relative aux propositions motivées aux fins de légiférer (ci-après la « proposition de loi »). 3. Il ressortde l'exposédes motifsque les propositionsmotivéesauxfinsde légiférerontété introduites dans le cadre de la proposition de révision des Chapitres IV et Vbis de la Constitution1 adoptéepar la Chambredes Députésen date du 22 décembre2022. En effet, l'article 67 introduit par la loi du 17 janvier 2023 portant révision des chapitres IV et Vbis de la Constitution correspondant à l'article 79 du texte coordonné de la Constitution tel qu'applicable au 1er juillet 2023, dispose ce qui suit : « La Chambre des Députés se prononce en séance publique sur les propositionsmotivéesauxfinsdelégiférer,présentéesparcentvingt-cinqet soutenuespardouze mille cinq cents électeursau moins. La loi règle l'exercice de ce droit d'initiative législative. » Le but de la proposition de loi sous avis est donc de déterminer les conditions d'exercice de ce droit d'initiative en matière législative des électeurs luxembourgeois tels que définis à l'article 64 1 Doc. pari. n°7777 CNPD Avis de la Commission nationale pour la protection des données sur la proposition de loi n°8037 relative aux propositions motivées aux fins de légiférer 1/8 de la Constitutiontel qu'applicableau 1erjuillet 2023 qui disposeque « [p]ourêtreélecteur, il faut être Luxembourgeois et être âgéde dix-huit ans. »2 4. La CNPD tient à souligner dès le départ que l'analyse de l'opportunité de l'introduction d'une telle initiative de légiférer par les électeurs, tout comme la reovabilité sur le fond d'une proposition motivée aux fins de légiférer (ci-après une « proposition de légiférer ») ne tombent pas dans son champ de ompétence. Par contre, les modalités oncrètes du traitement des donnéesà caractèrepersonnel des électeursqui présentent une telle proposition à la Chambre des Députés,d'unepart, et desélecteursquila soutiennent, d'autrepart, soulèventdesquestions ayant trait à la protection des données à caractère personnel que la Commission nationale va aborderdans le présentavis. 1. Quant au responsable du traitement 5. Tout d'abord, la CNPD onstate que la proposition de loi ne contient ni de précisions sur la question de savoir qui assume la fonction de responsable du traitement3 des données à caractère personnel collectées dans le cadre des propositions de légiférer, ni des critères spécifiquesapplicablesà sadésignation.Ellerappellequela notionderesponsabledutraitement est un conopt fonctionnel visant à répartir les responsabilitésen fonction des rôles réels des parties et que ladite notion « peut être associée à une seule opération ou à plusieurs opérations de traitement. Dans la pratique, cela peut signifier que le contrôle exercé par une entité particulière peut s'étendre à l'ensemble du traitement en cause, mais qu'il peut aussi se limiter à une étapeparticulièredu traitement. »4 Sans précisions de la part des auteurs de la proposition de loi dans le commentaire des articles, il n'estpasclairqui est à onsidérercomme responsabledu traitementau sensde l'article4 point 7) du RGPD, c'est-à-dire qui est responsable du respect des règles et principes généraux découlant du RGPD. 6. LaCNPDconsidèrepar ailleurs qu'il est primordial de différencierentre le traitement des données à caractère personnel des cent vingt-cinq électeurs présentant une proposition de légiférerauprès de ta Chambre des Députés, d'un côté, et le traitement des données de tous les signataires soutenant une telle proposition, d'autre côté. 2 Voir les arttoles 1 et 2 de la proposition de toi: « Art. 1er. Les dispositions de la présente loi régissent les propositions motivées aux fins de légiférer, prévues par l'article 79 de la Constitution. Art. 2. Chaque électeur remplissant tes conditions prévues à l'article 64 de la Constitutton peut participer à la présentation ou au soutien d'une proposition motivée aux fins de légiférer. » 3 Voirl'article4 point7)duRGPDquidéfinitle « responsabledutraitement » comme « lapersonnephysiqueoumorale, l'autoritépublique, le serviceou un autreorganismequi, seulou conjointementavecd'autres, déterminelesfinalitéset tes moyens du traitement: torsque les finalitéset les moyens de ce traitement sont déterminéspar le droit de l'Union ou te drorf d'un Éte?membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sadésignationpeuventêtreprévusparle droitde l'Unionouparle droitd'un Étatmembre. » 4 Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant tes notons de responsable du traitement et de sous-traitant dans le RGPD, Version 2.0, adoptées le 7 juillet 2021, points 12 et 42. CNPD Avis de la Commission nationale pour la protection des données sur la propositionde loi n°8037 relative auxproposittons motivéesauxfinsde légiférer 2/8 7. Elleestimedanscecontextequ'il ressortde l'économiegénéraledutextedela proposition de loi que dèsqu'une proposition de légiférera étéprésentée,la Chambredes Députés,voire la Conférence des Présidents, sera a priori à considérer comme responsable du traitement. En effet, la proposition de loi confie à la Chambre des Députés la mission de vérifier l'exactitude des données des électeurs ayant soutenu une proposition de légiférer en accédant au Registre national des personnes physiques (ci-aprèsle « RNPP»)5 laquelle devrait dès lors être considéréecomme responsabledutraitementpourcesvérifications.Dansle mêmeordred'idées, la Commission nationaleconsidèreque soit la Chambredes Députés,soit plus spécifiquementla Conférence des Présidents sera responsable de la conservation des données des électeurs pendant maximalement 6 mois après la déclaration d'irrecevabilité ou de la clôture de la procédure.6 8. Néanmoins,alorsqu'elle comprendque la Chambredes Députésdevraitêtreconsidérée comme responsable des traitements ayant lieu dans le cadre de ses missions de vérificationde l'exactitude des données des électeurs ayant présenté une proposition de légiférer7, voire la Conférencedes Présidentspour la vérificationde leurqualitéd'électeur8,la CNPDs'interrogequi à la base devrait être considéré comme responsable du traitement de la collecte initiale des données à caractère personnel des électeurs souhaitant présenter une proposition de légiférer : la ChambredesDéputés,voirela Conférencedes Présidents,ou parcontre, plutôtlescentvingtcinq électeurs à l'initiative de ladite proposition ? Dans ce dernier cas, est-ce qu'un seul représentantde la propositionde légiférerserait à considérercomme responsabledu traitement ou, par contre, les cent vingt-cinq électeurs seraient conjointement à considérer comme responsable du traitement ? 9. En tout état de cause, la Commission nationale considère que la proposition de loi devrait définir qui assume la fonction de responsable du traitement pour les différents traitements de données en cause. 2. Quant au principe de limitation des finalités et de minimisation des données 10. Au titre du respect desprincipesrelatifsautraitementdes donnéesà caractèrepersonnel tels qu'ils sont prévus par le RGPD, la CNPD rappelle que les donnéesà caractère personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités [... ] (limitation des finalités) » et qu'elles doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalitéspour lesquelles elles sont traitées (minimisation des données). »9 5 Prévupar l'article 7.4 de la propositionde loi. 6 Prévu par l'article 12. 2 de la proposition de loi. 7 Prévupar l'article 4. 3 de la propositionde loi. 8 Prévupar l'article 5. 1 de la propositionde toi. 9 Prévu par l'article 5. 1.
2. b)et
3. e)du RGPD. CNPDl Avis de ta Commission nationale pour la protection des données sur la proposition de loi n°8037 relative aux propositons motivées aux fins de légiférer 3/8 11. D'après l'article 12. 1 de la proposition de loi, les «données à caractère personnel transmises par les électeurs ayant participé à la présentation ou au soutien d'une proposition motivée aux fins de légiférer ne servent qu'à des fins de vérification. » La CNPD suppose qu'il s'agit de la vérification de l'exactitude des données des électeurs ayant présenté ou soutenu une proposition de légiférer par la Chambre des Députés, ainsi que de la vérification de leur qualité d'électeur par la Conférence des Présidents. Alors qu'elle comprend (sous réserve de ses commentaires sous le point « 3. Quant à /a vérification des données parla Chambre des Députés et la Conférence des Présidents ») que la Chambre des Députés doit vérifier que les électeurs ayant présenté ou soutenu une proposition de légiférersont des personnes « réelles » et non pas des personnages fictifs et que les donnéesfournies correspondent à celles contenues dans le RNPP, d'une part, et que la Conférence des Présidents doit vérifier leur qualité d'électeur, d'autre part, la CNPD recommande néanmoins pour des raisons de précision et de clarté de déterminer plus en détailcesfinalitésdans le texte de la propositionde loi. 10 12. La CNPD constate dans ce contexte qu'il ne ressort pas du texte de la proposition de loi si les cent vingt-cinq électeurs ayant présenté une proposition de légiférer, voire ceux l'ayant soutenue, auront accès aux données personnelles de l'ensemble des signataires. Sans justifications supplémentaires de la part des auteurs de la proposition de loi, elle estime que ni les centvingt-cinq électeurs ayant présenté une proposition de légiférer, ni ceux l'ayant soutenue, devraientavoiraccèsauxdonnéespersonnelles de l'ensembledes signataires,d'autantplus que, comme le soutien d'une proposition peut se faire par voie électronique, il serait notamment aisé de copier l'intégralité des données dans un fichier. Par ailleurs, comme le soutien d'une proposition de légiférerpeut aussi se faire sous format papier, la CNPDest d'avis qu'une telle propositionne devraitpasavoirvocation à circulerentre les différentssignatairesleur permettant de consulter les données personnelles des autres signataires. Elle estime que le soutien d'une proposition de légiférer devrait se manifester par le remplissage d'une fiche de renseignement par personne, uniquement accessible à la Chambre des Députés et à la Conférence des Présidents, mais ni aux centvingt-cinq électeurs ayant présenté la proposition de légiférer, ni aux autres électeurs l'ayant soutenue. 13. Quant à la signature des électeurs, la CNPD remarque que les auteurs de la proposition de loi précisent dans le commentaire de l'article 4 que la présentation d'une proposition de légiférer auprès de la Chambre des Députés doit être «accompagnée d'une fiche de renseignement signée pour chaque électeur participant à la présentation. » Toutefois, la signature ne figure pas parmi les données à indiquer lors de la présentation ou du soutien d'une telle proposition. Alors qu'elle peut tout à fait comprendre la nécessité pour chaque électeur qui a participéà la présentationd'une proposition de légiférerou qui l'a soutenue de signer une telle 10Voir aussi l'avis de la Chambre des Fonctionnaireset employés publics du 17. 10.2022 sur la proposition de loi sous avis, point27, quise « demandequelles « finsde vérification» sontviséesparcette disposition. Elleestimeque celleci manque de précision et de clarté et qu'elle n'est dès lors pas en phase avec les dispositions du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractèrepersonnel et à la libre circulation de ces données(RGPD). Il faudra détermineravec plus de précisionles finalitéset le processus du traitement des donnéesà caractèrepersonnel ainsique les personnes en charge de ce traitement. [... ]» CNPD Avis de la Commission nationale pour la protection des données sur la proposition de loi n°8037 relative aux propositions motivées aux fins de légiférer 4/8 fiche, elle recommande aux auteurs de la proposition de loi d'ajouter ladite donnée à la liste prévueaux articles 4. 3 et 7.4 de la proposition de loi. 14. Finalement, en ce qui concerne la signature d'une proposition de légiférer par voie électronique, la Commission nationale se demande si les personnes devront obligatoirement signer par un procédé d'authentification forte (comme par exemple un ortificat Luxtrust), notamment afin d'éviter les possibilités d'abus par l'usurpation d'identité. En effet, il n'est pas à exclure qu'une personne usurpe l'identité d'une autre personne, voire qu'elle usurpe plusieurs identités pour atteindre par exemple un ortain seuil de signatures de la proposition. 3. Quant à la vérification des données par la Chambre des Députéset la Conférence des Présidents 15. D'après les articles 4. 3 et 7. 4 de la proposition de loi, la Chambre des Députés doit vérifier l'exactitude des données des électeurs ayant présenté une proposition de légiférer ou l'ayant soutenue en accédantau RNPP,tandis qu'il résulte de l'article 5. 1 de la proposition de toi que la Conférence des Présidents vérifie la conformité de la qualité d'électeur des personnes ayant présentéà la Chambre des Députésune proposition de légiférer. 16. La CNPD se demande tout d'abord de quelle manière la Conférence des Présidents procède à une analyse de ladite qualité d'électeur, d'une part, et si elle est aussi responsable de contrôler la qualité d'électeur des personnes ayant soutenu une proposition de légiférer, d'autre part. En effet, la proposition de toi prévoit cette vérification de la qualité d'électeur uniquement dans son article 5. 1 pour les cent vingt-cinq électeurs ayant présenté une proposition de légiférer, mais non pas pour l'intégratitédes signataires qui soutiennent la proposition. 17. Par ailleurs, elle s'interroge comment la Chambre des Députés va pouvoir vérifier que l'intégralité des données à caractère personnel de toutes les personnes impliquées dans la procédure, c'est-à-dire d'au moins douze mille six cents vingt-cinq individus, 11 correspondent aux données du RNPP ou si, le cas échéant, elle va uniquement procéder par un contrôle d'échantillons aléatoires. 18. En ce qui concerne plus particulièrement la présentation ou le soutien d'une proposition de légiférer par voie électronique, la Commission nationale se demande si la Chambre des Députés va vérifier manuellement t'exactitude des différentes données à caractère personnel ou si, par contre, un contrôle automatisé est prévu permettant, par exemple, de détecter automatiquement des doublons, c'est-à-diresi une personne a soutenu plusieurs fois une même proposition de légiférer,ou des donnéesqui ne correspondent pas à celles figurant au RNPP. 19. Au cas où une proposition est présentée ou soutenue sous format papier, est-ce que la Chambre des Députésa dans ce cas les moyens et ressources nécessaires pour procéder à 11 Cent vingt-cinq personnes qui ont présentéune proposition de légiféreret au moins douze mille cinq cents l'ayant soutenue. CNPD Avis de la Commission nationale pour la protection des données sur la proposition de loi n°8037 relative aux proposittons motivées auxfins de légiférer 5/8 otte vérification de l'exactitude des données de tous les électeurs, surtout si un grand nombre de signataires a soutenu la proposition sous cette forme ? La CNPD s'interroge notamment si toutes les données reçues sur papier seront au préalable, donc avant de procéder au contrôle de l'exactitude des données, enregistrées, le cas échéant, manuellement dans un fichier électronique ? 4. Quant à la publication de la proposition de légiférer 20. L'article 6 de la proposition de toi sous analyse prévoit que la proposition de légiférer est « publiée sur le site Internet de la Chambre des Députés», sans préciser si les données à caractère personnel des cent vingt-cinq électeurs l'ayant présentée ou ceux l'ayant soutenue y seront aussi publiées. 21. Elle estime qu'une différenciation s'impose en ce qui concerne une éventuelle publication des données des cent vingt-cinq électeurs ayant présenté une proposition de légiférer et les données des signataires. Un potentiel signataire d'une telle proposition peut avoir un intérêt légitime à connaître l'identité des initiateurs d'une proposition qu'il souhaite, le cas échéant, soutenir et vice-versa les initiateurs eux-mêmespourraient avoir un intérêtlégitimeà ce que leur identité soit onnue par les éventuels signataires. Par contre, la CNPDestime que dans ce cas, il devrait être évité de publier l'intégralité des données listées actuellement à l'article 4. 3 de la proposition de loi, mais qu'uniquement le nom, prénom et la localité de résidence devrait être suffisant. Par ailleurs, elle se demande si ce n'est pas une option de ne publier, le cas échéant, que les données d'un, voire de plusieurs représentants de la proposition de légiférer, mais non pasdescentvingt-cinqélecteurs,saufsi cesderniersonttous expriméleurconsentementà cette publication. En tout état de cause, au cas où une telle publication est prévue, l'article 6 de la proposition de loi est à darifieren ce sens. 22. En ce qui concerne finalement une éventuelle publication des données des signataires d'une proposition de légiférer, la CNPD recommande, à l'instar du système existant pour les pétitions publiques1 2, de laisser le libre choix aux signataires d'une proposition de légiférer de voir publié ou non leur nom, prénom et leur localité de résidence. Cette solution présenterait l'avantage que les personnes soucieuses de leur vie privée pourraient garder confidentielles leurs donnéesà caractèrepersonnel, surtout dans le cadre d'un sujet de proposition de légiférerplus « sensible », voire susceptible de tomber dans le champ d'application de l'article 9 du RGPD13, alors que les personnes souhaitant conférer un caractère public à leur soutien de la proposition de légiférer auraient aussi le choix en ce sens. Alors même que les données de certains 12 Le formulaire disponible sur le site interne! « https://www. petitions. lu » prévoit la case à cocher suivante: « J'accepte que mes données personnelles (nom de famille, prénom, ville, pays) soient publiées sur ce site. La publication de ces donnéesn'est pas obligatoire pour clôturer le dépôtd'une pétition publique. » 13 L'arttele 9 du RGPD prévoit que « p]e traitement des données à caractère personnel qui révèle t'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou /'appartenance syndicale, ainsi que te traitement des données génétiques, des données biométhques aux fins d'identifier une personne physique de manière unique, des donnéesconcernant la santéou des donnéesconcernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits ». Cette interdteton est levée si une des conditions prévues à l'article 9. 2 du RGPD est remplie. CNPD Avis de la Commission nationale pour la protection des données sur la proposition de loi n°8037 relative aux propositons motivées aux fins de légiférer 6/8 signataires ne seraient pas publiées, le système pourra toujours indiquer le nombre total de signatairespour une proposition de légiférerdonnée, en vue de renseignerle publicsur le succès d'une proposition de légiférer. 5. Quant aux droits des personnes concernées 23. La CNPD tient à rappeler que tous les droits des personnes concernées consacrés par le RGPD14 sont à respecter par le responsable du traitement (voir dans ce contexte ses commentaires sous « 1. Quantau responsable du traitement »). 24. Le responsable du traitement doit dès lors, entre autres, fournir aux électeurs qui présentent et ceux qui soutiennent une proposition de légiférer les informations prévues à l'article 13 du RGPD et ceci au moment de la collecte des données à caractère personnel en cause. 25. L'article 15 du RGPD accorde en plus à toute personne concernée le droit d'obtenir du responsable du traitement la confirmation que des donnéesà caractèrepersonnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que certaines informations dont les finalités du traitement effectué par le responsable du traitement, les catégories de données à caractère personnel concernées ou encore les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées. 26. Par ailleurs, dans les conditions prévues aux articles 16 et 17 du RGPD, les droits à la rectification et à t'effacement de la personne concernée sont à respecter par le responsable du traitement. L'article 5.2 de la proposition de loi prévoit dans ce contexte que tant « que la Conférence des Présidents n'a pas déclaré recevable une proposition motivée aux fins de légiférer, un ou plusieurs des cent vingt-cinq électeurs peuvent demanderle retrait de sa ou leur participation à la présentation de la proposition motivée aux fins de légiférer. Cette demande nécessite l'envoi d'une lettre recommandée avec avis de réception au Président de la Chambre. [... ] À compter de la décision de recevabilité par la Conférence des Présidents, la proposition motivée aux fins de légiférer ne peut plus être retirée. » Par ailleurs, en vertu de t'article 7. 1 de la proposition de loi, pendant un délai de quatre semaines à partir de la date de début de la période de collecte des soutiens « /es électeurs participant au soutien d'une proposition motivée aux fins de légiférer ont la faculté de retirer ou de rétablir leur soutien dans tes mêmes formes que prévues à l'article 5. » 27. La CNPD se demande dans ce contexte si les données à caractère personnel d'un électeur ayant retiré soit sa participation à la présentation de la proposition de légiférer,soit son soutien à ladite proposition, sont automatiquement effacées.Elle estime qu'à priori, ces données ne sont plus nécessairesau regard des finalitésde vérificationpoursuivies par la Conférencedes Présidents, voire la Chambre des Députés. Par conséquent, les donnéesà caractère personnel 14 Voir tes articles 12 à 23 du RGPD. CNPDl Avis de la Commission nationale pour la protection des données sur la proposition de loi nu8037 relative aux proposittons motivées auxfins de légiférer 7/8 d'un électeur qui retire sa participation ou son soutien à une proposition de légiférerdevraient être effacées,sous réserveque le retrait a lieu dans les délaisimpartis 28. Finalement, la Commission nationale tient à rappeler que l'obligation de garantir la sécuritédu traitement des donnéesest une des exigencesen matièrede protection des données figurantà l'article 32 du RGPDqui est à respecter en cas de « traitement de donnéesà caractère personnel, automatisé en tout ou en partie, ainsi qu'[en cas de] traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. »15 Plus concrètement, la sécurité et la confidentialité des données à caractère personnel est à garantir indépendammentdu moyen de leur collecte, c'est-à-direen cas de présentation ou de soutien d'une proposition de légiférersous format papier, ainsi qu'en cas de format électronique. Ainsi adopté à Belvaux en date du 7 avril 2023. La Commission nationale pour la protection des données y,i^J Thierry Lallemang Tine A. Larsen Présidente Commissaire lare Lemmer Commissaire Alain hlerrmann Commissaire 15 Voir article 2. 1 du RGPD. CNPDl Avis de la Commission nationale pour la protection des données sur la proposition de loi n°8037 relative aux propositions motivées auxfins de légiférer 8/8