Projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par le Service de

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou «la CNPD ») a notamment pour mission d'«être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi». Par courrier du 8 juin 2016, Monsieur le Premier Ministre a invité la Commission nationale à se prononcer au sujet du projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par le Service de renseignement de l'État, règlement à prendre en exécution de la loi ultérieure du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat. Par la suite, la CNPD a rendu son avis relatif au projet de règlement grand-ducal pris en exécution de la future loi portant réorganisation du Service de Renseignement de l'Etat et au projet de règlement grand-ducal pris en exécution de la loi du 15 juin 2004 relatif aux modalités de traitement des données à caractère personnel par l'Autorité nationale de Sécurité.' Par courrier du 18 décembre 2018, Monsieur le Premier Ministre a invité la Commission nationale à se prononcer au sujet des amendements apportés au projet de règlement grandducal susmentionné. La CNPD a rendu un avis relatif à ces amendements en date du 12 avril 2018.2 Par courrier du 19 juin 2018, Monsieur le Premier Ministre a invité la Commission nationale à se prononcer au sujet des amendements apportés audit projet de règlement grand-ducal. La Commission nationale pour la protection des données formule les observations ci-après. Amendement 1 L'article 1 parapraphe

(2)point 6° nouveau du projet de règlement prévoit que peuvent faire l'objet d'un traitement « les données en relation avec des évènements, objets, groupements et des personnes physiques ou morales présentant un intérêt pour l'exercice des missions du SRE obtenus par le biais des mesures prévues à l'article 5, paragraphe 2, de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ». 1 Délibération n° 639/2016 du 13 juillet 2016 https://cnpd.public.1u/fr/decisions-avis/2016/SRE.html 2 Délibération n° 244/2018 du 12 avril 2018 https://cnpd.public.1u/fr/decisions-avis/20171/SRE.html — [ CNPD Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 1/2 La CNPD se demande s'il ne serait pas utile d'encadrer encore davantage les données obtenues par le biais des mesures prévues à l'article 5, paragraphe 2, de la loi modifiée du 5 juillet 2016, afin d'exclure tout traitement de données excessif. On peut aussi par exemple se demander quel sera le traiternent réservé à des informations relatives à l'appartenance syndicale ou à la vie sexuelle obtenues par le biais des mesures prévues à l'article 5, paragraphe 2 de la loi modifiée du Sjuiilet 2016. Des données de ce type sont exclues par le point 5° de l'article 1 paragraphe

(2)du projet de règlement. Mais peuventelles faire l'objet d'une conservation en vertu du point 6° du même article 1 paragraphe

(2)? Amendement 4 L'article 5 nouveau relatif aux fichiers de journalisation évoque désormais le « traitement » au lieu de « l'accès ». La CNPD tient à préciser que l'accès aux données est une forme de traiterrent de données tout comme l'introduction de nouvelles données, la modification ou la suppression de données? Le « simple » accès aux données est donc a priori couvert par l'article 5. Néanmoins, la CNPO se demande s'il ne serait pas indiqué de préciser que les dispositions de l'alinéa premier s'appliquent (outre les accès aux données des bases de données propres au SRE) aussi aux accès du SRE, par un système informatique, aux traitements de données à caractère personnel de différentes administrations en application de l'article 10 paragraphe

(2)de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat. En effet, l'article 10 paragraphe

(3)de la loi du 5 juillet 2016 prévoyant des fichiers de journalisation pour lesdits accès ne fixe pas de durée de conservation pour ces fichiers. Par ailleurs, cet article ne précise pas si le motif de la consultation fait l'objet d'un enregistrement Ainsi décidé à Esch-sur-Alzette en date du 16 juillet 2018. La Commission nationale pour la protection des données ()11 : Tine A. Larsen Présidente Thierry Lallemang Membre effectif C ristophe Buschmann Membre effectif 3 L'article 2 paragraphe

(1)point 2° du projet de loi n° 7168 tel qu'amendé définit le traitement comme «toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, renregistrement, rorganisation, la structuration, /a conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, ta communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, reffacement ou la destruction». [ CNPI5-1 Deuxième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 2/2