Projet de loi sur l'archivage. 2. Projet de règlement grand-ducal sur la communication, la reproduction et la publication des archives. 3. Projet de r

(3)lettre (

1. e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 » ou « la loi »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier en date du 4 décembre 2015, le Ministre de la Culture a invité la Commission nationale à se prononcer sur le projet de loi n° 6913 sur l'archivage (ci-après « le projet de loi »). II est accompagné de quatre projets de règlements grand-ducaux1. Le projet de loi a pour objectif de « régler l'archivage dans l'intérêt public tant pour les besoins de la gestion et de la justification des droits et obligations des producteurs ou détenteurs d'archives que pour assurer, par le biais de la sauvegarde d'un patrimoine archivistique national et dans un esprit de transparence démocratique, l'accès à la documentation d'intérêt historique, scientifique, culturel, économique ou sociétal du Grand-Duché de Luxembourg » (art. ier dudit projet). II entend renouveler le cadre juridique en vigueur, qui repose actuellement sur une réglementation fragmentée et ancienne2 , afin de mettre en ceuvre une politique publique cohérente en matière d'archives et de répondre aux défis actuels. Les technologies de l'information et de la communication jouent, en effet, un rôle essentiel dans la mise en ceuvre de la politique archivistique du Luxembourg. II convient tout particulièrement de prendre en considération la multiplicité des supports sur lesquels les archives peuvent désormais être créées et conservées (papier, numérique, audiovisuel...). Une bonne gestion de l'information et des archives au niveau national est essentielle à plusieurs égards : elle permet de préserver la mémoire collective du Luxembourg et pose les conditions d'une organisation publique crédible et d'une transparence nécessaire au bon fonctionnement de la démocratie. ' Les quatre projets de règlements grand-ducaux ayant vocation à accompagner le projet de loi sous examen concerne 1) le fonctionnement interne du Conseil des archives ; 2) la communication, la reproduction et la publication des archives ; 3) lexercice du droit de surveillance des archives publiques par les Archives nationales ; 4) les modalités d'établissement des tableaux de tri, de destruction d'archives, de versement et de transfert d'archives aux Archives nationales. Le projet de règlement grand-ducal relatif à la communication, à la reproduction et à la publication des archives a vocation à abroger et à remplacer le règlement grand-ducal du 15 janvier 2001 sur la consultation des fonds d'archives aux Archives nationales. 2 Le cadre juridique actuel se compose de l'arrêté royal grand-ducal du 8 février 1878 portant règlement sur l'organisation et le service des bureaux du Gouvernement, la loi du 9 décembre 1976 relative à l'organisation du notariat, la loi du 20 mars 1990 relative aux doubles des registres de l'état civil, la loi électorale modifiée du 18 février 2003 s'agissant des élections communales, le règlement grand-ducal du 15 janvier 2001 sur la consultation des fonds d' archives aux Archives nationales et la loi du 25 juin 2004 portant réorganisation des instituts culturels. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 1/19 De manière générale, la Commission nationale ne peut que saluer la présente démarche visant à doter l'Etat luxembourgeois d'une politique publique en matière d'archives et du cadre juridique nécessaire à sa mise en ceuvre. La légitimité de constituer et d'exploiter, dans l'intérêt public, des documents d'archives contenant des données à caractère personnel ne fait aucun doute. Elle relève à cet égard que la Déclaration universelle sur les archives adoptée par l'Organisation des Nations Unies pour l'éducation, la science et la culture (« UNESCO ») reconnaît « le caractère unique des archives, à la fois témoignage authentique des activités administratives, culturelles et intellectuelles et reflet de l'évolution des sociétés ». Comme le souligne l'exposé des motifs du projet de loi, « les archives forment un élément intrinsèque de notre identité et constituent un trésor irremplaçable ; elles contribuent à documenter l'activité des institutions publiques, à assurer la continuité et le contrôle de leur gestion, ainsi que la sécurité du droit. Elles permettent de sauvegarder les intérêts légitimes de personnes touchées ou de tiers, ainsi que ceux de la science et de la recherche Si l'apport des projets de textes dépasse le strict champ de la protection des données à caractère personnel, le régime juridique qui en découle s'agissant, notarnment, du versement de documents d'intérêt public aux Archives Nationales, de leur tri, de leur conservation, de leur destruction et de leur communication au grand public ou aux chercheurs appellent des observations au regard de la loi modifiée du 2 août 2002. Pour sa part, la Commission nationale entend limiter ses observations aux questions soulevées par les dispositions du projet de loi et des projets de règlements grand-ducaux sous examen traitant des aspects liés au respect de la vie privée à la protection des données à caractère personnel. L'applicabilité de la loi modifiée du 2 août 2002 aux archives Bien que de nombreux documents d'archives ne comportent aucune donnée à caractère personnel, la Commission nationale considère que de tels documents peuvent tomber sous l'application de la loi modifiée du 2 août 2002, dès lors qu'ils se rapportent à des personnes physiques potentiellement encore vivantes ou à des personnes décédées dont la publication de données à caractère personnel a des conséquences sur la vie privée de leurs ayants droit. En effet, la Commission nationale estime que la divulgation de documents d'archives anciens pourrait avoir des conséquences néfastes sur la personne directement concernée, mais également sur ses descendants ou plus largement sur les membres de sa famille. A titre d'illustration, la divulgation du contenu d'un casier judiciaire d'une personne, la révélation d'informations concernant le passé intime d'une personne (maladie mentale, maladie héréditaire...) pourraient avoir des conséquences négatives pour la famille d'une personne, notamment pour son conjoint survivant, ses enfants ou d'autres descendants. Comme le souligne l'exposé des motifs du projet de loi, la mémoire individuelle et collective que le projet de loi entend sauvegarder « se base en grande partie sur des données nominatives et sur l'accès à ces données ». L'applicabilité de la loi de 2002 ne soulève pas de difficulté particulière dans des situations où le contenu concret des documents en cause leur confère un caractère privé par nature. Tel peut être le cas, en particulier, des archives notariales, des fonds issus des cours et tribunaux, [ CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 2/1 9 ou encore des fonds de personnes et de familles ayant confié certains de leurs documents aux Archives nationales. Dans certaines circonstances, il peut s'avérer difficile de déterminer in abstractosi des données contenues dans des documents d'archives entrent dans le champ d'application de l'article 2 lettre (
2. e)de la loi définissant la notion de « données à caractère personnel ». En effet, la nature des documents en cause ne révèle pas toujours de manière évidente le caractère personnel ou non des données qui y figurent, ce d'autant que la définition des archives posée l'article 2

(1)du projet de loi est particulièrement large. Un examen détaillé du contenu des documents en cause s'avère alors nécessaire pour déterminer la nature des données au regard de l'article 2 lettre (e) de la loi modifiée du 2 août

1. La Commission nationale relève dans le projet de loi plusieurs références expresses à la loi modifiée du 2 août de
2. 4 Ces références attestent d'une volonté du législateur de prendre pleinement en considération, à juste titre, le cadre juridique applicable à la protection des données, dans l'hypothèse où les documents en cause comporteraient des données à caractère personnel. L'exposé des motifs précise en outre que « la présente loi doit être compatible avec les lois existantes dans des domaines connexes dont notamment la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, dont l'objectif principal est de protéger le citoyen contre un fichage systématique et de veiller à ce que chaque citoyen puisse faire valoir, s'il le souhaite, le droit à l'oubli ». Ainsi, les objectifs poursuivis par le projet de loi soumis à examen et ceux de la loi modifiée du 2 août 2002 doivent être articulés, afin de parvenir à un juste équilibre entre le droit au respect de la vie privée, d'une part, et la gestion et l'exploitation des archives dans l'intérêt du public, d'autre part. Pour ce faire, la Commission nationale estime nécessaire d'instaurer des mécanismes permettant d'apprécier les intérêts en jeu et de garantir l'accès de certains documents d'archives contenant des données à caractère personnel, tout en limitant la divulgation d'informations pouvant porter atteinte à la vie privée des personnes. S'il peut être difficile d'anticiper, dès aujourd'hui, quelles archives auront une utilité pour l'avenir, la Commission nationale considère que la recherche d'un juste équilibre est essentielle dans un domaine où le droit à la mémoire et le droit à l'oubli entrent souvent en conflit.
3. La responsabilité des traitements La Commission nationale relève que les Archives nationales jouent actuellement un rôle essentiel et sont l'institution de référence pour l'orientation de la politique archivistique du Grand-Duché du Luxembourg. L'article 2

(1)du projet de loi définit les archives comrne « les documents - quels que soient leur date, leur stade d élaboration, leur forme matérielle et leur support - produits ou reçus par une personne physique ou morale de droit public ou privé dans l'exercice de son activité, ainsi que les instruments de recherche et les données complémentaires qui sont nécessaires à la compréhension et à l'utilisation de ces documents. Constituent également des archives, les documents entrés dans la propriété de l'Etat du Grand-Duché de Luxembourg et de ses prédécesseurs en droit par voie de cession à titre gratuit ou onéreux, incorporation, sécularisation, nationalisation, confiscation, dévolution, don ou legs ». Un renvoi exprès aux dispositions de la loi modifiée du 2 août 2002 s'observe notamment dans le chapitre V intitulé « Sous-traitance », le chapitre VII intitulé « Protection des archives publiques » et le chapitre X intitulé « Renseignements donnés aux personnes concernées et contestation » du projet de loi. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 3/19 En effet, en application de l'article 7 de la loi du 25 juin 2004 portant réorganisation des instituts culturels, « les Archives nationales ont pour mission de réunir tous les documents d'intérêt historique national leur soumis. Elles classent, inventorient et conservent les archives publiques en vue de leur utilisation à des fins historiques et administratives ». En application de cette obligation légale, les Archives nationales collectent, conservent, évaluent, inventorient, organisent, communiquent et mettent en valeur les archives. La Commission nationale observe par ailleurs que l'article 3 paragraphe

(1)du projet de loi prévoit que « sauf dispositions contraires dans la présente loi ou dans d'autres textes législatifs et sans préjudice des missions spécifiques attribuées aux autres instituts culturels par la loi modifiée du 25 juin 2004 portant réorganisation des instituts culturels de l'Etat, les producteurs ou détenteurs d'archives publiques doivent proposer aux Archives nationales le versement de leurs archives publiques ne présentant plus d'utilité administrative. [...1 », A ce titre et en application de l'article 2 lettres (n) de la loi modifiée du 2 août 2002, les Archives nationales doivent en principe être considérées comme responsable des traitements susmentionnés mis en ceuvre à des fins archivistiques. Toutefois, la Commission nationale note que les articles 4 et 5 du projet de loi visent à instaurer des régimes dérogatoires de gestion des archives. En premier lieu, l'article 4 du projet de loi prévoit que la Chambre des Députés, le Conseil d'Etat et les juridictions luxembourgeoises (art. 4 paragraphe

(2)) du projet de loi) et les établissements publics (art. 4 paragraphe

(3)) sont responsables de leurs traitements d'archives 5 lls remplissent ce rôle sous au sens de l'article 2 lettre (n) de la loi modifiée du 2 août 2002. la surveillance des Archives nationales, dans un souci de cohérence de la politique archivistique. Dans l'hypothèse où la Chambre des Députés, le Conseil d'Etat et les juridictions luxembourgeoises ne seraient pas en mesure de conserver elles-mêmes leurs propres archives, l'article 4 paragraphe

(2)du projet de loi autorise ces institutions à solliciter des Archives nationales qu'elles assurent la conservation de leurs archives. Par ailleurs, certains producteurs ou détenteurs d'archives publiques autres que les organismes susmentionnés peuvent se voir accorder un régime dérogatoire d'archivage autonome, c'est-àdire par leurs propres soins, de leurs documents d'archives, dans les conditions définies à l'article 5 du projet de loi. Dans un souci de cohérence de la politique archivistique, l'article 4 paragraphe

(2)du projet de loi prévoit en outre que les Archives nationales surveillent la conservation et la gestion de leurs archives par la Chambre des Députés, le Conseil d'Etat et les juridictions luxembourgeoises. II ressort de la lecture combinée des articles 3, 4 et 5 du projet de loi que, dans certaines situations, les parties en jeu peuvent être amenées à se répartir certaines des responsabilités Dans un souci de cohérence de la politique archivistique, l'article 4 paragraphe

(2)du projet de loi prévoit en outre que les Archives nationales surveillent la conservation et la gestion de leurs archives par la Chambre des Députés, le Conseil d'Etat et les juridictions luxembourgeoises. [ CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 4/19 dans le cadre de la gestion d'archives publiques. En application de l'article 2 lettres (

1. n)et (
2. o)de la loi modifiée du 2 août 2002, la Commission nationale observe que les Archives nationales sont susceptibles d'intervenir en qualité de sous-traitant d'un traitement d'archives dont la responsabilité restera celle de l'organisme déposant. Elle estime que, dans ce cas de figure, les Archives nationales n'auront pas la responsabilité de l'intégralité des décisions relatives au traitement de données (y compris la fourniture des accès aux données des personnes). La Commission nationale rappelle que, quelle que soit la nature des organismes concernés, la qual ité de responsables de traitements les assujettit à une obligation de prévoir les garanties suffisantes (juridiques, techniques et organisationnelles) pour assurer la protection des personnes à l'égard du traitement de leurs données à caractère personnel, à charge pour ces organismes de transférer contractuellement une partie de leurs obligations sur leur soustraitant. A cet égard, une formalisation dans un contrat de la répartition des rôles et responsabilités des déposants d'archives et des Archives nationales devrait avoir lieu, de manière systématique et préalablement à l'accession aux documents d'archives, conformément à l'article 22 paragraphe

(3)de la loi modifiée du 2 août

2. Les finalités des traitements de données à caractère personnel Les traitements envisagés à des fins d'archivage dans l'intérêt public poursuivent les final ités détaillées à l'article le' précité du projet de loi. II s'agit de répondre aux besoins de la gestion et de la justification des droits et obligations des institutions publiques, de sauvegarder un patrimoine archivistique national et dans un esprit de transparence démocratique, l'accès à la documentation d'intérêt historique, scientifique, culturel, économique ou sociétal du GrandDuché de Luxembourg L'exposé des motifs précise en outre que « l'archivage contribue à documenter l'activité des institutions publiques, à assurer la continuité et le contrôle de leur gestion, ainsi que la sécurité du droit, sauvegarde les intérêts légitimes de personnes touchées ou de tiers, ainsi que ceux de la science et de la recherche. crée ainsi les conditions nécessaires à la compréhension de l'histoire ». II en ressort une volonté expresse du législateur d'élargir le champ de compétences des Archives nationales, en ne le limitant plus uniquement à la réunion des documents d'intérêt historique nationa
3. Ainsi, les Archives nationales disposeront de la base légale nécessaire pour pouvoir procéder à la publication numérique de documents, à leur valorisation lors d'expositions ou d 'atel iers pédagogiques. La Commission nationale regrette toutefois que l'article i er du projet de loi ne reprenne pas certains éléments de rédaction de l'article L. 211-2 du code du patrimoine français', dont il s'inspire pourtant. A la différence de l'article i er du projet de loi (qui ne vise que la gestion de la justification des droits et obligations des seuls producteurs ou détenteurs d'archives), l'article L. 211-2 du code du patrimoine français inclut parmi les finalités de l'archivage la justification L'article 7 de la loi du 25 juin 2004 portant réorganisation des instituts culturels dispose que « les Archives nationales ont pour mission de réunir tous les documents d'intérêt historique national ». L'article L. 211-2 du code du patrimoine français dispose que « la conservation des archives est organisée dans l'intérêt public tant pour les besoins de la gestion et de la justification des droits des personnes physiques ou morales, publiques ou privées, que pour la documentation historique de la recherche ». Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 5/1 9 des droits des personnes physioues ou morales, publioues ou privées. Comme le souligne le Conseil d'Etat dans son avis du 21 juillet 2016 relatif au projet de loi sur l'archivage, (‹ les documents des archives publiques peuvent évidemment servir à documenter les droits d'autres personnes que ceux des personnes qui ont produit ou qui détiennent les documents afférents. » Sous réserve de l'observation qui précède, la Commission nationale estime que les données traitées à des fins archivistiques dans l'intérêt public répondent à des finalités déterminées, explicites et légitimes, conformément à l'article 4 paragraphe

(1)lettre (a) de la loi modifiée du 2 août

1. Ces traitements, certes mis en ceuvre pour des finalités autres que celles pour lesquelles les données ont été collectées initialement, doivent être considérés comme des traitements ultérieurs a priori com pati bles et I icites. Dans le contexte particulier de la mise à disposition de documents d'archives à des fins de réutilisation, la Commission nationale estime primordial d'évaluer l'impact potentiel qu'une telle mise à disposition pourrait avoir sur les droits et libertés des personnes. A cet égard, la CNPD souscrit entièrement à l'opinion du Groupe de travail « Article 29 » dont elle fait partie sur la réutilisation des informations du secteur public9 selon laquelle « une évaluation minutieuse de l'impact sur la protection des données devrait garantir qu'aucune collection d'archives ne soit rendue disponible à des fins de réutilisation avant que soit exclu tout impact négatif potentiel sur les personnes concernées ou que les éventuels risques aient été réduits à un minimum acceptable. Le secteur des archives pourrait également envisager de rédiger des codes de conduite ou de modifier les codes existants afin d'expliquer les bonnes pratiques ». Les données traitées IV. Le projet de loi n'énumère pas les catégories de données traitées dans le cadre de l'archivage. A l'issue de plusieurs échanges avec les Archives nationales, la Commission nationale a noté toutefois, sans prétendre à l'exhaustivité, que les catégories de données à caractère personnel ont vocation à être traitées : - des données relatives à l'identité civile (nom de famille, nom d'usage, prénoms, surnom, alias, pseudonyme...) et aux coordonnées des personnes concernées ; - des photographies ; - des données relatives à la naissance (date et lieu de naissance) ; - des données relatives à la nationalité (acquisition, perte, naturalisation...) ; - des données relatives au décès (date, lieu et cause du décès) ; des données relatives aux unions et désunions (date et lieu du mariage, du partenariat, du divorce, de la rupture de partenariat) ; - des données relatives à la filiation biologique ou adoptive (noms, prénoms, date et lieu de naissance des parents, conséquences de la filiation) ; Avis du Conseil d'Etat n° 51.437 du 21 juillet 2016 portant sur le projet de loi sur l'archivage (doc. parl. n° 6913), spéc. p.
2. Avis 6/2013 du Groupe de travail « Article 29 » sur la réutilisation des informations du secteur public (ISP) et des dormées ouvertes, 5 juin 2013, WP
3. [ CNPI5- Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 6119 - parmi les données précitées, certaines relèvent des catégories particulières de données, données communément appelées « données sensibles », définies à l'article 6 de la loi, à savoir des données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données relatives à la santé, à la vie sexuelle et les données génétiques (données issues des fonds de l'Inspection Générale de la sécurité sociale, des Soldbücher, etc); - des données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté relevant de l'article 8 de la loi modifiée du 2 août 2002 (données issues des fonds de la police ou de la gendarmerie, ou encore des juridictions comportant des dossiers criminels et pénaux ; des données relatives à la vie économique et professionnelle (fonds « ADEM », fonds « Ministère de la Fonction publique »...) - des données relatives au patrimoine (données issues des registres de l'enregistrement, des hypothèques, des déclarations de succession). Les données traitées concernent les citoyens luxembourgeois ou étrangers ayant été en contact avec une institution ou un organisme producteur ou détenteur d'archives au Luxembourg (ministère, administration, juridiction, notaires...). La Commission nationale estime qu'il est de la responsabilité de l'autorité déposant des documents d'archives auprès des Archives nationales de déterminer la nature des données qui y figurent. Elle est toutefois consciente que, pour des raisons pratiques (liées notamment au volume de documents généré), cet examen préalable peut s'avérer difficile dans certaines circonstances. Elle rappelle en outre que l'article 4 paragraphe

(1)lettre (b) de la loi modifiée du 2 août 2002 pose un principe de proportionnalité qui devrait être appliqué minutieusement dans le choix des méthodes, des modalités et des degrés de détail envisagés pour rendre les données issues de documents d'archives publiquement disponibles. En effet, les traitements à des fins archivistiques dans l'intérêt public devraient se limiter aux données adéquates, pertinentes et non excessives au regard des finalités poursuivies (conservation, inventorisation, mise à disposition des chercheurs, mise à disposition du public...). En particulier, la CNPD estime que les catégories particulières de données au sens de l'article 6 de la loi modifiée du 2 août 2002 ne doivent pas être publiées pour répondre à la seule finalité de valorisation du patrimoine auprès du grand public. Elle considère en effet que seule la finalité de mise en valeur à des fins historiques, statistiques ou scientifiques justifie en principe leur publication, sous réserve toutefois que cette publication s'effectue dans des conditions respectueuses de la vie privée des personnes". V. La durée de conservation des données L'article 6 paragraphe

(1)du projet de loi instaure une procédure selon laquelle les Archives nationales doivent sélectionner en concertation avec les producteurs ou détenteurs d'archives '° A l'instar de la position adoptée par la Commission nationale de l'informatique et des libertés française (CNIL) dans sa délibération n° 2012-113 du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de publication par les services d' archives publiques (AU-029). CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 7/19 publiques les documents destinés à être archivés de façon définitive. Pour ce faire, des « tableaux de tri » consigneront, pour chaque type de document, la durée durant laquelle ces documents doivent être conservés par l'administration concernée pour des raisons administratives (délai dit « d'utilité administrative »") et le sort finalement réservé à chaque type de document à l'issue dudit délai d'utilité administrative. La CNPD constate avec satisfaction qu'en application du régime susmentionné, les documents d'archives comportant des données à caractère personnel ne seront en principe conservés que s'ils présentent une utilité administrative ou un intérêt archivistique, scientifique. Toutefois, en application de l'article 4 paragraphe

(1)lettre (d) de la loi du 2 août 2002, les données à caractère personnel contenues dans des documents destinés à l'archivage devraient être en principe conservées sous une forme permettant l'identification des personnes concernées pendant une période n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles les données ont été collectées. Comme énoncé précédemment, les documents d'archives comportent bien souvent des données à caractère personnel dont la conservation à long terme peut s'avérer nécessaire à des fins historiques, statistiques ou scientifiques. Dans de tels cas de figure, il devrait pouvoir être fait exception à la durée de conservation limitée prévue à l'article 4 paragraphe

(1)lettre (d) de la loi du 2 août 2002, ce que prévoit certaines législations étrangères". La CNPD estime donc, pour davantage de clarté, que l'article 6 du projet de loi pourrait être complété d'un paragraphe

(3), rédigé sur le modèle de l'article L. 212-3 du Code du patrimoine français : «

(3)Lorsque les archives publiques comportent des données à caractère personnel collectées dans le cadre de traitements régis par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, ces données font l'objet, à l'expiration de la durée prévue à l'article 4 paragraphe

(1)lettre (d) de ladite loi, d'une sélection pour déterminer les données destinées à être conservées et celles, dépourvues d'utilité administrative ou d'intérêt scientifique, statistique ou historique, destinées à être éliminées ». Cette recommandation va dans le sens des évolutions à venir avec l'entrée en vigueur du Règlement général sur la protection des données" dont le considérant 156 prévoit que « le traitement ultérieur de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques doit être effectué lorsque que le responsable du traitement a évalué s'il est possible d'atteindre ces finalités grâce à un traitement de données à caractère personnel qui ne permettent pas ou plus L'article 2 paragraphe 6 du projet de loi défmit le délai d'utilité administrative comme la période pendant laquelle les archives publiques doivent être conservées par le producteur ou détenteur d'archives publiques ou par son successeur en droit en raison notamment de l'utilité administrative qu 'elles présentent et des obligations juridiques qui incombent aux producteurs ou détenteurs des archives ». 12 En France, une disposition législative spécifique en ce sens, l'article 36 de la loi n° 78-17 du 7 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, prévoit que « Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l'article 6 qu'en vue d'être traitées à des fins historiques, statistiques ou scientifiques ; le choix des données ainsi conservées est opéré dans les conditions prévues à l'article L. 212-3 du code du patrimoine ». 13 Règlement (UE) 206/679 du 27 avril 2016 relatif à la protection des personnes physiques à légard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, spéc. considérant 156. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 8/1 9 d'identifier les personnes concernées, pour autant que des garanties appropriées existent (comme par exemple la pseudonymisation des données) (...) ». Vl. L'information et les droits des personnes La Commission nationale observe que les auteurs du projet de loi ont souhaité aménager la protection des droits des personnes telle que prévue par la loi modifiée du 2 août 2002 en prévoyant des dispositions spécifiques dans le projet de loi sous examen. Elle note à cet égard que l'article 89 du Règlement général sur la protection des données laisse aux Etats membres la possibilité de prévoir des dérogations aux droits reconnus aux personnes concernées (droit d'accès, droit de rectification, droit à l'effacement, droit à la limitation du traitement, droit à la portabilité des données), afin de tenir compte des finalités et des contraintes particulières de l'archivage dans l'intérêt public14. A. Le droit d'accès L'article 19 du projet de loi aménage les conditions et les modalités d'exercice du droit d'accès des personnes, prévu par l'article 28 de la loi modifiée du 2 août 2002. En application du paragraphe

(1)de l'article 19 du projet de loi, les personnes concernées pourront demander communication des données les concernant aux Archives nationales, par écrit et sous réserve de fournir les renseignements nécessaires et suffisants pour qu'une telle demande soit traitée. La Commission nationale observe que le paragraphe

(1)de l'article 19 précité confère également aux Archives nationales la possibilité de restreindre la communication de documents lorsque cette dernière est incompatible avec une « gestion administrative rationnelle ». A l'instar des observations du Conseil d'Etat en ce sens15, elle estime que le critère imprécis de « gestion administrative rationnelle » est source d'insécurité juridique. La CNPD tient en effet à souligner qu'en principe les restrictions au droit d'accès des personnes concernées sont limitativement énumérées par l'article 29 de la loi modifiée du 2 août 200216 et l'article 23 du Règlement général sur la protection des données. Elle admet que, çompte tenu du volume documentaire qu'elles gèrent, les Archives nationales doivent disposer d'informations précises, afin de pouvoir identifier les données et faire droit aux demandes d'accès des personnes concernées. A cet égard, elle souscrit à la recommandation du Conseil d'Etat de revoir la rédaction de l'alinéa i er du paragraphe

(1)de l'article 19 du projet de loi afin L'article 89 alinéa 3 du Règlement général sur la protection des données prévoit en effet que « Lorsque des données à caractère personnel sont traitées à des fins archivistiques dans 1 'intérêt public, le droit de l'Union ou le droit d'un Etat membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18, 19, 20 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités ». 15 Avis du Conseil d'Etat n° 51.437 précité, spéc. p. 36. 16 En application de l'article 29 de la loi modifiée du 2 août 2002, le responsable du traitement peut limiter ou différer l'exercice du droit d'accès pour l'un des motifs suivants : sûreté de l'Etat, défense, sécurité publique, police et justice, sauvegarde de l'intérêt économique ou financier important de l'Etat ou de l'Union européeime, protection de la personne concernée ou des droits et libertés d'autrui. 14 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 9/1 9 de clarifier son objectir. Elle se demande s'il faut comprendre de la disposition précitée une volonté des auteurs du projet de loi de ne pas faire peser sur les Archives nationales une obligation de fournir des documents dans des cas où la communication de tels documents à la personne concernée se révèlerait impossible ou exigerait des efforts disproportionnés. En outre, la Commission nationale admet que les Archives nationales ne sauraient être tenues de donner suite à des demandes d'accès abusives, en particulier par leur nombre ou leur caractère répétitif ou systématique. En revanche, elle saurait difficilement admettre une restriction du droit d'obtenir communication d'archives publiques contenant des données à caractère personnel fondée sur le caractère incompatible d'une telle demande avec une « gestion administrative rationnelle ». Elle considère en effet que les restrictions au droit d'accès dans le contexte des archives doivent répondre à des critères objectifs et clairement identifiables, ce qui n'est pas le cas en l'occurrence de la notion de « gestion administrative rationnelle ». Rappelons dans ce contexte que le droit de la protection des données est un droit à valeur constitutionnelle et que l'article 8.2 de la Charte européenne des droits fondamentaux fait expressément référence au droit d'accès des personnes concernées. S'agissant des modalités d'exercice du droit d'accès, la CNPD relève que le droit d'accès peut s'exercer par « consultation des archives par la personne concernée elle-même, si l'état de conservation des archives le permet et si des intérêts de tiers ne sont pas affectés » (paragraphe

(2)de l'article 19 du projet de loi). Elle s'interroge sur la possibilité pour la personne concernée d'obtenir également, au titre de son droit d'accès, une copie au format papier d'un document comportant des données la concernant ou d'en obtenir une copie sous forme électronique par courriel. Le cas échéant et si telle est la volonté du législateur, le paragraphe

(2)de l'article 19 du projet de loi devrait être complété en ce sens. En définitive, la Commission nationale ne peut que soutenir la recommandation formulée par le Conseil d'Etat de « remettre l'ensemble du texte proposé sur le métier, et cela à la lumière du règlement européen »18. Elle s'inquiète en effet de la création d'un droit d'accès au rabais à travers l'article 19 paragraphe

(1)du projet de loi sous examen, dès lors que les données en cause sont issues de documents d'archives publiques. Elle est d'avis que des dérogations au droit d'accès peuvent être admises, conformément d'ailleurs à ce que prévoit l'article 89 précité du Règlement général sur la protection des données, sous réserve de garanties appropriées à fixer par le législateur que la Commission nationale n'est pas en mesure d'apprécier en l'occurrence, faute de précisions suffisantes. Elle considère, à l'instar du Conseil d'Etat, que le droit d'accès en matière d'archives publiques comportant des données à caractère personnel pourrait s'exercer selon des modalités particulières encadrées par le projet de loi sous examen 19, mais dans les conditions prévues par l'article 28 de la loi précitée du 2 août 2002, quitte à y introduire quelques retouches. 17 Le Conseil d'Etat suggère en effet d'indiquer à l'alinéa 1" du paragraphe

(1)de l'article 19 que la communication doit se faire « dans la mesure où les personnes concernées peuvent fournir des renseignements précis en vue de l'identification des données les concernant ». cf Avis du Conseil d'Etat n° 51.437 précité, spéc. p.

1. 18 Avis du Conseil d'Etat n° 51.437 précité, spéc. p.
2. 19 Avis du Conseil d'Etat n° 51.437 précité, spéc. p.
3. [ CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 10/19 B. Rectification et retrait Le paragraphe

(3)de l'article 19 du projet de loi prévoit que « les personnes concernées ne peuvent pas exiger la destruction ni la rectification de données. Si les personnes concernées sont en mesure de fournir des renseignements prouvant que les archives comportent des affirmations litigieuses ou inexactes, elles peuvent exiger qu'une déclaration contradictoire soit ajoutée aux archives »20 . La CNPD admet que les personnes concernées ne peuvent exiger la destruction de données traitées à des fins d'archivage dans l'intérêt public, sans que cela ne rende impossible ou compromette gravement la réalisation des objectifs de l'archivage. En outre, tout en reconnaissant que les archives doivent être gérées et conservées dans des conditions qui en assurent l'authenticité et l'intégrité, la Commission nationale juge excessive l'affirmation selon laquelle les personnes concernées ne peuvent pas exiger la rectification de données. Compte tenu des finalités de l'archivage, elle estime satisfaisante la possibilité laissée aux personnes concernées d'exercer une maîtrise sur leurs données en ajoutant à un document contenant des informations qu'elles jugent incomplètes, contestables ou inexactes une déclaration complémentaire s'appuyant sur des preuves suffisantes. Dès lors, la CNPD propose de remplacer l'actuelle rédaction du paragraphe

(3)de l'article 19 du projet de loi par les dispositions suivantes : « Les personnes concernées ne peuvent pas exiger la destruction ou l'effacement de leurs données figurant dans des documents sélectionnés pour être conservées à long terme. Si les personnes concernées sont en mesure de fournir des renseignements prouvant que les archives comportent des affirmations inexactes ou incomplètes, elles peuvent toutefois exiger qu'une déclaration contradictoire ou complémentaire soit ajoutée aux archives » Par ailleurs, s'agissant des traitements ultérieurs de publication, diffusion ou indexation sur internet d'archives publiques, la CNPD considère que toute personne dont des données figureraient dans de tels traitements a le droit d'obtenir sans condition le retrait de cette publication en ligne21. C. L'exercice des droits de la personne concernée après son décès Le paragraphe

(5)de l'article 19 du projet de loi prévoit qu'« après le décès de la personne concernée les droits selon les paragraphes I à 3 reviennent à ses héritiers légaux ». Le commentaire des articles justifie cette extension des droits aux héritiers légaux de la personne concernée par le contexte particulier des archives « où les déclarations contradictoires avec preuves, fournies par un apparenté, peuvent fournir des informations supplémentaires utiles à la recherche historique ». 11 précise en outre qu'en pratique, les Archives nationales ont déjà été confronté à une demande d'un fils de rectifier les données dans un dossier de son père décédé. Le paragraphe

(3)de l'article 19 du projet de loi précise en outre que « la déclaration contradictoire doit se limiter à l'affirmation des faits et doit énumérer les preuves, sur lesquelles se base la déclaration contradictoire. Une déclaration contradictoire n'est pas possible pour des dossiers où existe un jugement rendu par les juridictions judiciaires ou administratives. » 20 21 A l'instar de la position adoptée par la Commission nationale de l'informatique et des libertés française (CNIL) dans sa délibération n° 2012-113 du 12 avril 2012 précitée. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 11/19 La CNPD est particulièrement sensible à ces considérations et accueille favorablement cette disposition. D. Le droit à l'information A défaut de précisions dans le projet de loi, la Commission nationale préconise, en cas de publication de documents d'archives sur lnternet, que le responsable de traitement procède à une information générale, claire et complète sur le(

1. s)site(
2. s)internet proposant la consultation de documents d'archives. Sur les destinataires vII. Peuvent être destinataires des données : les agents habilités à collecter, à conserver et à gérer les archives en application du projet de loi ; toute personne intéressée à des fins de consultation ou à des fins historiques, scientifiques ou statistiques. S'agissant des agents en charge de la collecte, de la conservation et de la gestion des archives, la Commission nationale note qu'en application de l'article 17 du projet de loi les personnes chargées de la collecte ou de la conservation d'archives sont assujetties à une obligation de secret professionnel, « en ce qui concerne les informations contenues dans les archives qui ne peuvent pas ou ne pas encore être légalement communiquées au public ». Elle relève en outre que cette disposition vise les employés privés, stagiaires et étudiants, ainsi que les soustraitants chargés de la gestion d'archives publiques". La CNPD estime que la disposition précitée de l'article 17 est de nature à assurer une meilleure confidentialité des données, compte tenu des informations parfois sensibles qui figurent dans les documents d'archives. Elle s'interroge toutefois sur les catégories de personnel visées par les auteurs du projet de loi, compte tenu de la mention dans le commentaire des articles de personnes autres que les employés privés, stagiaires et étudiants, ainsi que les sous-traitants qui seraient assujettis au secret professionnel. L'intention des auteurs du projet de loi gagnerait à être clarifiée sur ce point. S'agissant du grand public, la Commission nationale note tout particulièrement l'intérêt des catégories de destinataires suivants pour les documents d'archives : les généalogistes, les académiques/universitaires, les journalistes, le milieu du théâtre, le milieu du film, le milieu de la publicité, les administrations publiques, les avocats, les architectes/entrepreneurs, les représentants diplomatiques autorisés, les cultes, etc. VIII. Sur l'encadrement de la communication des archives L'article 16 paragraphe

(1)du projet de loi entend poser un principe de communication gratuite à des fins de consultation des archives publiques, sauf dispositions particulières plus restrictives. Elle salue cette démarche tendant à rendre accessible plus rapidement la documentation archivistique d'intérêt public. Compte tenu du développement croissant de services d'archives digitaux et de la mise à disposition de documents d'archives en ligne, elle invite néanmoins à une certaine prudence et 22 Selon les précisions apportées par l'exposé des motifs. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 12/19 à la mise en place de mesures juridiques et techniques adéquates, afin de minimiser les risques pour la vie privée des personnes et le respect de leurs données à caractère personnel. A. Les délais de communication des archives Dans un souci de protection de certains intérêts publics ou privés essentiels, l'article 16 paragraphe

(2)du projet de loi assujettit la communication de certains documents d'archives publiques à l'écoulement de délais prolongés, en raison de la nature sensible des informations qu'ils contiennent23 (article 16 paragraphe

(2)du projet de loi). La Commission nationale note que les intérêts publics ou privés visés par l'article 16 paragraphe

(2)du projet de loi « sont essentiellement ceux qui figurent dans les législations étrangères ainsi que les intérêts repris à l'article 4 de l'avant-projet de loi relative à une administration transparente et ouverte »". L'article 16 paragraphe

(2)du projet de loi renvoie à un règlement grand-ducal le soin de déterminer quels documents d'archives publiques sont soumis à des délais de communication prolongés. A titre préliminaire, la CNPD ne peut que soutenir la recommandation du Conseil d'Etat selon laquelle les restrictions à la communication de certains documents d'archives publiques devraient être déterminées par voie législative et non réglementaire. Elle observe que le principe de tels délais de communication prolongés était déjà inscrit dans le règlement grand-ducal du 15 janvier 2001 précité. La Commission nationale note toutefois l'instauration de délais mobiles. En effet, l'article 3 paragraphe

(1)du projet de règlement grand-ducal précité dispose que : « (I) Les archives qui contiennent des renseignements individuels relatifs à la vie privée, familiale et professionnelle ou à la situation financière d'une personne physique, qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale ainsi que le traitement de données relatives à la santé et à la vie sexuelle, y compris le traitement des données génétiques ne peuvent être communiquées que : - 10 ans après le décès de la personne concernée, au cas où la date de décès est connue ; - 50 ans à compter de la date du document le plus récent inclus dans le dossier au cas où la date de décès n'est pas connue ou la recherche de la date de décès entraînerait un effort administratif démesuré. » Elle note que ces délais mobiles « s'expliquent par le désir de rendre les archives plus rapidement accessibles. En effet, semble peu utile de protéger des informations d'ordre privé par un délai fixe allant au-delà des 10 ans après la mort de la personne concernée. Ce principe Figurent au titre des intérêts publics ou privés protégés par un délai de communication prolongé 1) la défense nationale, la sécurité et l'ordre public ; 2) les affaires portées devant les juridictions luxembourgeoises ; 3) la prévention, la recherche ou la poursuite de faits punissables et de l'auteur de ces faits ; 4) les documents déclassifiés ; 5) le secret des affaires ; 6) les données à caractère personnel. 24 cf Commentaire des articles du projet de loi sous examen, spéc. Ad article 16. 23 Le Conseil d'Etat pour sa part recommande que ce soit le législateur qui, du moins dans leurs grandes lignes, definisse ces restrictions à l'accès aux archives publiques et règle cette matière particulièrement importante » cf 25 « Avis du Conseil d'Etat n° 51.437 précité, spéc. 33. [ CNP61 i Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 13/19 est inspiré e. a. de la nouvelle loi sur l'archivage de la Hesse (Allemagne) du 26 novembre 2012 »26. Par ailleurs, la CNPD se réjouit de ce que le paragraphe

(2)de l'article 3 du projet de règlement grand-ducal prévoit que « ces délais de communication valent également pour les inventaires nominatifs relatifs aux archives énumérées au précédent paragraphe », tenant ainsi compte du caractère privé de certaines informations figurant dans lesdits inventaires. Elle s'étonne en revanche que le délai de communication en vigueur pour les documents comportant des renseignements individuels à caractère médical" particulièrement sensibles ne figure plus dans le projet de règlement grand-ducal sous examen. Elle s'interroge sur un éventuel souhait des auteurs du projet de loi de réduire le délai de communication de ces documents, dont la communication pourrait porter atteinte au secret médical, aux délais mobiles précités figurant à l'article 3 paragraphe

(1)du projet de règlement grand-ducal sur la communication des archives. Sur ce point, la Commission nationale est d'avis que le raccourcissement des délais qui en résulterait serait en contradiction avec le droit à la protection des données et au respect de la vie privée. Elle estime, en outre, que ce raccourcissement serait en contradiction avec l'allongement de la durée de l'espérance de vie des personnes. Selon les statistiques du STATEC, la dernière table de mortalité, calculée pour la période 2012 à 2014, indique que l'espérance de vie à la naissance est de 84.8 ans pour les femmes et de 80.2 ans pour les hommes". Par ailleurs, l'espérance de vie moyenne des Luxembourgeois est en continuelle progression, quel que soit le sexe. A titre d'illustration, depuis la période 2005/2007, le gain est de 2,6 ans pour les hommes et de 2,1 ans pour les femmes. Actuellement, les espérances de vie à la naissance des hommes et des femmes résidant au Luxembourg sont parmi les plus élevées en Europe La Commission nationale estime qu'un délai de 10 ans après le décès (si la date de décès est connue) ou de 50 ans à compter de la date du document le plus récent inclus dans le dossier (si la date de décès est inconnue ou extrêmement difficile à trouver) ne suffit pas à garantir, dans toutes les hypothèses, une protection réelle de la vie privée. L'accessibilité des documents d'archives comportent dans certains cas un risque accru d'atteinte à la vie privée et à la protection des données personnelles des individus ou de leurs proches, et ce, même après 10 ans après le décès. Elle considère qu'un délai plus long pour les documents dont la communication risque de porter atteinte au secret médical serait de nature à assurer une meilleure protection des personnes. Ce délai pourrait être de 25 ans à compter de la date du décès de l'intéressé (si celle-ci est connue) ou de 120 ans à compter de la date de naissance de la personne concernée (si la date du décès n'est pas connue). 26 cf Commentaire des articles du projet de règlement grand-ducal sur la communication, la reproduction et la publication des archives, spéc. Ad article 3. 27 Actuellement, l'article 5 paragraphe 1 du règlement grand-ducal du 15 janvier 2001 fixe à 150 ans, à compter de la date de naissance de la personne concernée, pour les documents comportant des renseignements individuels à caractère médical. 28 Institut national de la statistique et des études économiques (STATEC), Regards sur la mortalité, n° 13/2015, 24 novembre 2015. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 1 4/1 9 En outre, la Commission nationale note qu'en application des paragraphes

(1)et

(2)de l'article 11 du projet de règlement grand-ducal, la communication de documents d'archives publiques peut être accordée de manière dérogatoire, avant l'expiration des délais de communications prolongés susmentionnés, en présence d'un « intérêt public motivé » par le demandeur ou sur autorisation écrite de la personne concernée de son vivant (sur autorisation de ses héritiers légaux en cas de décès). La décision d'autoriser ces accès dérogatoires reviendrait alors au directeur des Archives nationales en accord avec le producteur des archives publiques concernées (art. 12 du projet de règlement grand-ducal). Occasionnellement saisie de demande d'accès dérogatoire aux archives, la Commission nationale se réjouit de ce que l'article 12 du projet de règlement grand-ducal prévoit un tel cadre pour la consultation, avant l'expiration des délais prolongés, de documents dont la consultation pourrait présenter un intérêt public. Si ces accès dérogatoires sont de nature à ménager des conditions favorables au développement de la recherche scientifique et historique au Luxembourg, la Commission nationale estime qu'en toute hypothèse que les conditions de traitement de ces données doivent demeurer loyales et licites. En particulier, les données issues des archives consultées ne devraient pas être utilisées pour venir appuyer des mesures ou décisions à l'égard d'un individu en particulier. De même, les données ne devraient pas être utilisées de sorte qu'elles causent ou puissent causer un dommage à l'encontre des personnes concernées". A titre subsidiaire, s'agissant des minutes et répertoires des notaires, le paragraphe 3 de l'article 16 du projet de loi dispose que les documents en question ne peuvent être communiqués à des fins de consultation à des tiers (c'est-à-dire à des personnes autres que les personnes intéressées en nom direct ou leurs héritiers et ayants droit) qu'après l'expiration des délais de communication prolongés à fixer par voie de règlement grand-ducal. En l'absence de précisions dans le projet de texte, la Commission nationale estime que le projet de règlement grand-ducal précité devrait être complété, afin de mentionner explicitement quels délais de communication prolongés s'appliquent aux minutes et répertoires des notaires. De manière plus générale, la CNPD appelle les rédacteurs des projets de texte sous examen à harmoniser les notions utilisées pour justifier des délais de communication prolongés avec les motifs pouvant justifier une limitation de l'accès à des documents au titre du projet de loi n° 6810 relatif à une administration transparente et ouverte, initiative législative en instance devant la Chambre des députés et à propos de laquelle la Commission nationale a déjà eu l'occasion de se prononcer dans son avis du 26 février 2016'. B. L'encadrement de la publication des archives sur internet La Commission nationale note toutefois que les délais de communication prolongés ne valent pas pour les documents contenant des informations ayant trait à la vie privée de personnalités jouant un rôle dans la vie publique, dans l'hypothèse où la communication, la reproduction et/ou la publication d'archives publiques serait nécessaire à la réalisation d'une recherche ou d'un travail scientifique effectués dans l'intérêt public (art. 11 et 16 du projet de règlement grand-ducal). 30 Sur ce point, la Commission nationale renvoie à sa délibération n° 196/2016 du 26 février 2016 portant conjointement sur le projet de loi n° 6810 relatif à une administration transparente et ouverte et sur le projet de loi n° 6811 modifiant la loi du 4 décembre 2007 concernant la réutilisation des informations du secteur public. 29 [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 15/].9

1. Des délais plus longs La Commission nationale observe que la publication sur internet de certaines archives contenant des données à caractère personnel sera subordonnée à l'expiration d'un délai plus long que le délai de non-communicabilité desdites archives. Ainsi de tels documents pourront être mis en ligne à l'expiration d'un délai de 75 ans à compter de la date du document, en application de l'article 4 du projet de règlement grand-ducal sur la communication, la reproduction et la publication des archives. L'exposé des motifs précise à juste titre qu « en matière de protection des données à caractère personnel, importe en effet de différencier entre la communication d'un dossier physique, accessible sur demande à une personne à la fois et ceci dans un endroit précis, et la mise à disposition en ligne, accessible librement et simultanément à tout internaute peu importe son lieu de consultation La Commission nationale se félicite de cet encadrement prévu par les auteurs du projet de loi, compte tenu du risque d'atteinte disproportionnée pour la vie privée qui pourrait résulter d'une publication sur Internet de certaines informations ayant trait à la vie privée des personnes (unions, désunions, naturalisations, changements de nom, adoptions, reconnaissances, légitimations, abandons...). Elle relève en outre qu'en application de l'article 5 du projet de règlement grand-ducal précité, « pour toute communication d'archives pour lesquelles au moins deux des délais visés aux articles 2 à 4 du présent règlement grand-ducal s'appliquent, le plus long des délais l'emporte ». Toutefois la CNPD estime que l'écoulement d'un délai de 100 ans à compter de la date du document avant la publication de documents d'archives sur Internet serait de nature à assurer une meilleure protection de la vie privée et des données des personnes concernées, en conformité avec les recommandations de la CNIL en la matière.
2. Prévoir des restrictions d'accès lors de la mise en ligne de données sensibles Par principe, la publication sur internet d'archives contenant des catégories particulières de données au sens de l'article 6 de la loi devraient faire l'objet de restrictions d'accès. La CNPD est soucieuse de trouver un équilibre entre l'intérêt des chercheurs et la protection des données. Elle admet que, du fait de leur intérêt pour la recherche historique, scientifique ou statistique, une occultation définitive des données sensibles ne serait pas conforme à l'intérêt public. Sans imposer de ligne directrice trop rigide en la matière, la CNPD tient à souligner que certains pays voisins" ont encadré les traitements de leurs services d'archives en se prononçant en faveur d'une publication des archives sur Internet avec occultation des données sensibles durant un certain délai ou en faveur d'une publication sans occultation des données sensibles mais avec des mécanismes visant à restreindre l'accès aux données :création d'un compte utilisateur pour l'accès à certains fonds, accès restreint à certaines catégories de personnes " Notamment la France, à l'issue d'une procédure de consultation des services d'archives concernés. [ CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 1 6/1 9 (chercheurs) ou organismes (instituts de recherche), limitation du nombre de documents consultables.... C. L'encadrement de la réutilisation des archives La Commission nationale considère que toute réutilisation d'archives publiques contenant des données à caractère personnel ne peut intervenir que dans les conditions prévues, d'une part par la loi modifiée du 2 août 2002 et, d'autre part, par la loi du 23 mai 2016 modifiant la loi du 4 décembre 2007 sur la réutilisation des informations du secteur public. Sans revenir dans le détail sur cette problématique de la réutilisation des informations du secteur public", la CNPD relève que l'article 14 du projet de règlement grand-ducal sur la communication, la reproduction et la publication des archives en reprend le principe, ce dont elle se félicite. L'article 14 précité dispose en effet que « les documents numériques ou numérisés mis à disposition par les Archives nationales sur leur propre site internet ou sur les sites internet de leurs partenaires peuvent être utilisés en fonction des modalités fixées par le type de licence ou de marque auxquels lesdits documents sont soumis ». Comme elle l'a souligné dans son avis du 26 février 2016 sur les projets de loi n° 6810 concernant une administration transparente et ouverte et n° 6811 sur la réutilisation des informations du secteur public, la CNPD estime que, dans le contexte des archives, l'instauration d'un régime de licence rigoureux est de nature à garantir que des données à caractère personnel ne soient pas utilisées pour des finalités incompatibles avec celles pour laquelle elles ont été initialement collectées. Elle avait en outre observé que les contrats de licence devraient rappeler aux réutilisateurs qu'ils sont tenus de respecter leurs obligations en matière de protection des données. IX. Les transferts La CNPD observe que toute exportation d'archives publiques vers un pays situé hors de l'Union européenne doit nécessairement respecter les conditions prévues par la loi modifiée du 2 août
3. Elle estime dès lors, comme le préconise le Conseil d'Etat", que la précision selon laquelle l'exportation des archives publiques peut s'effectuer, « sans préjudice de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel » peut être supprimée du paragraphe 3 de l'article 12 du projet de loi. Elle rappelle à cet égard qu'il est possible de réaliser des transferts de données hors de l'Union européenne, sous réserve du respect des dispositions des articles 18 et 19 de la loi modifiée du 2 août 2002 concernant les principes et dérogations applicables en matière de transferts de données vers des pays tiers. Elle souligne que le recours aux exceptions prévues par l'article 19 paragraphe

(1)de la loi modifiée du 2 août 2002 n'est pas possible pour les transferts répétitifs, massifs ou structurels de données qui doivent quant à eux faire l'objet d'un encadrement spécifique. X. 32 33 La sécurité Pour plus détails voir la Délibération n° 196/2016 du 26 février

1. Avis du Conseil d'Etat n° 51.437 précité, spéc. p.
2. [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 17/19 En application des articles 22 et 23 de la loi modifiée du 2 août 2002, des mesures techniques et organisationnelles adéquates doivent être envisagées en fonction des risques identifiés, notamment l'anonymisation ou la pseudonymisation des données, des mesures visant à éviter le téléchargement massif ou répété de documents (notamment la limitation du nombre de documents accessibles depuis une même adresse IP). La CNPD recommande également que des mesures techniques soient mises en ceuvre par les organismes responsables de la mise à disposition de documents d'archives au public, afin d'empêcher l'indexation desdits documents par les moteurs de recherche externes à leur site internet. Elle observe en effet que le respect des durées de conservation prévues par les textes et l'exercice de leurs droits par les personnes concernées sont rendus plus difficiles, après l'indexation d'informations par les grands moteurs de recherche sur internet. La Commission nationale estime qu'un équilibre entre l'objectif de transparence et la protection des données à caractère personnel peut être atteint en recourant à des mesures de restriction techniques concernant les capacités de recherche de documents d'archives sur internet (« CAPTCHA », « robots.txt »). La CNPD souligne en effet que les données à caractère personnel contenues dans les archives doivent être stockées et traitées en toute sécurité, afin d'en garantir la confidentialité à tout moment. Elle relève en outre que la nécessité de prévoir des garanties adéquates en matière de traitement d'archives a été pleinement reconnue par le Règlement général sur la protection des données, adopté le 27 avril 2016 et dont les dispositions seront applicables à partir du 28 avril 2018, La Commission nationale note qu'en application de l'article 8 du projet de loi un sous-traitant devra remplir les conditions suivantes : 1) il devra être spécialisé dans l'archivage de documents, d'une part, et 2) il devra apporter des garanties suffisantes au regard de la loi modifiée du 2 août 2002, d'autre part. Dans son avis du 21 juillet 2016, le Conseil d'Etat a souligné au sujet de l'article 8 du projet de loi que la « condition essentielle, à savoir celle de la fourniture de garanties suffisantes par le sous-traitant dans le domaine de la protection des données à caractère personnel n'est pas formulée de façon suffisamment précise. S'agissant d'un domaine particulièrement sensible, qui ne tolère pas la moindre insécurité juridique, le Conseil d'Etat insiste à ce que ces garanties soient formulées avec plus de précision au niveau de la loi en projet. » La CNPD ne peut que souscrire à cette recommandation et rappelle qu'en cas de recours à un sous-traitant, le responsable du traitement doit en particulier imposer à ce sous-traitant, au moyen d'un contrat, de n'utilliser les données qu'aux fins prévues, de s'assurer de leur confidentialité et de procéder à la destruction ou à la restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de sa prestation. Elle estime dès lors que les dispositions de l'article 8 du projet de loi devraient être complétées afin de détailler les garanties auxquelles un sous-traitant en matière d'archivage devra être assujetti. Xl. Sur l'articulation du proiet de loi n° 6913 avec d'autres initiatives législatives récentes A titre subsidiaire, la Commission nationale relève que le projet de loi sous examen est silencieux quant à son articulation avec plusieurs initiatives législatives récentes. Elle Règlement (UE) 206/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, voir notamment les considérants 156 et 158 et l'article. 9 paragraphe

(2), lettre j) et l'article 89 paragraphe

(1)34 [ CNPET Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 18/19 s'interroge sur la mise en cohérence de ces différents textes ou projets de texte et sur le régime juridique qui résultera de leur entrée en vigueur respective. A titre d'illustration, la notion d'« atteinte à un secret ou une confidentialité protégés par la loi » prévue dans le projet de loi n°6810 relatif à une administration transparente et ouverte, traitant selon une approche globale de l'accès aux documents administratifs, n'a pas son pendant exact dans le projet de loi sous examen, qui se réfère uniquement aux notions de secret fiscal et de secret des affaires (sans mentionner notamment le secret médical). En outre, les notions de « document détenu par une administration et correspondant à une activité administrative » (visée par le projet de loi n° 6810) et d'« archive publique » se recoupent parfois sans se confondre, de sorte qu'il est permis de s'interroger sur le régime précis qui s'appliquera aux documents détenus par l'administration (au sens du projet de loi n° 6810)et qui constituent des archives publiques (au sens du présent projet de loi), sur une éventuelle compétence de la future « Commission d'accès aux documents » au regard de certains documents d'archives publiques... La Commission nationale estime que l'intention des auteurs du projet de loi devrait être clarifiée sur ce point. Plus particulièrement, la CNPD s'interroge sur la manière dont interagiront les dispositions du projet de loi sous examen et de celles de la loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'Etat. Dans son avis n° 51.266 du 2 février 2016 concernant le projet de loi régissant les archives historiques du Service de Renseignement de l'Etat (projet de loi n° 6850), le Conseil d'Etat se posait en effet« la question de savoir si le projet de loi sous examen (ledit projet de loi n° 6913) n'a pas perdu de son utilité suite au dépôt du projet de loi n° 6913 sur l'archivage, alors que celui-ci est appelé à régir l'ensemble des fonds d'archives publiques, y compris dès lors ceux du SRE pris dans leur ensemble et donc également les données visées au projet sous examen ». La Commission nationale estime qu'en dépit de l'adoption récente de la loi du 23 juillet 2016 par la Chambre des députés, la question de l'interaction entre les deux textes précités demeure entièrement ouverte et que le législateur devra porter une attention particulière à leur concordance. La Commission nationale se demande, en outre, si l'accès et l'exploitation, dans des conditions dérogatoires au droit commun, de fonds d'archives publiques appelant un régime juridique particulier (tels que l'accès aux archives du SREL) ne devrait pas plutôt être régi par des dispositions législatives ou réglementaires spécifiques dérogeant au droit commun relatif à l'accès aux documents d'archives publiques, tel qu'issu du projet de loi sous examen. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 14 octobre 2016. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNP15- Thierry Lallemang Membre effectif François Thill Membre suppléant Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6913 sur l'archivage 1 9/1 9