Projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de l

(3)lettre (

1. e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après : « la CNPD ») a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Faisant suite à la demande lui adressée par Monsieur le Ministre de la Sécurité sociale en date du ter septembre 2017, la CNPD entend présenter ci-après ses réflexions et commentaires au sujet de trois différents projets de règlements grand-ducaux. II s'agit du projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance, du projet de règlement grandducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge, et finalement du projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant. 1. Quant au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance La loi modifiée du 2 août 2002 définit en son article 2, lettre
2. n)le responsable du traitement comme « la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personne. » Pour des raisons de clarté et de précision, la CNPD propose aux auteurs de préciser dans le corps du texte de l'article 1ier, point ter du projet de règlement grand-ducal sous examen le responsable du traitement concernant l'outil d'évaluation et de détermination des prestations de l'assurance dépendance (ci-après : « l'outil »). II devrait s'agir a priori du ministre ayant dans ses attributions la sécurité sociale. [ CNPDI Avis de la Commission nationale pour la protection des données à l'égard du : 1. projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance ; 2. projet de règlement grand-ducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge ; 3. projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant. 1 /6 Quant à la partie « données générales » de l'outil, la CNPD recommande aux auteurs de circonscrire plus clairement les catégories de données personnelles qui seront collectées et traitées. Dans ce contexte, la Commission nationale regrette que le texte ne donne aucune précision sur l'origine des données, c'est-à-dire de qui / d'où proviennent les données et comment elles ont été obtenues. Le commentaire des articles précise à cet égard que des éléments ressortant de la conversation avec le demandeur, l'aidant et/ou le personne! soignant s'il intervient dans la prise en charge sont introduits dans l'outil. La CNPD se demande ainsi si toutes les données personnelles sont fournies par le demandeur lui-même, par l'aidant et/ou le personnel soignant ou si certaines données sont collectées à partir d'autres fichiers étatiques ou encore par d'autres moyens. Par ailleurs, la CNPD veut tirer l'attention des auteurs du projet de règlement grand-ducal sur l'article 4, paragraphe

(1), lettre (d) de la loi modifiée du 2 août 2002, qui impose au responsable de traitement l'obligation de veiller à ce que les données qu'il traite ne sont pas conservées pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées sans préjudice du paragraphe

(2)de l'article en cause. Or, la CNPD constate que le projet de règlement grand-ducal sous avis ne contient aucune disposition relative à la durée de conservation des données. De même, la CNPD recommande aux auteurs du projet de règlement grand-ducal de préciser qui aura accès au sein de l'Administration d'évaluation et de contrôle de l'assurance dépendance aux données contenues dans l'outil. En particulier, il est important que seules les personnes qui en ont besoin dans l'exercice de leur fonction et de leurs tâches professionnelles soient habilitées à y avoir accès. La Commission nationale tient à souligner dans ce contexte l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8, paragraphe 2 de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52, paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'homme, retiennent qu'un traitement de données effectué par une autorité publique peut constituer une ingérence dans le droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données, à condition que cette ingérence ou limitation: - soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; - soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; - respecte le contenu essentiel du droit à la protection des données ; - réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. CNPD, Avis de la Commission nationale pour la protection des données à l'égard du : 1. projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance ; 2. projet de règlement grand-ducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge ; 3. projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant. 2/6 L'article 6, paragraphe

(3)du règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après : « le RGPD »), qui sera applicable à partir du 25 mai 2018 dans tous les Etats membres de l'Union européenne, prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être prévus soit par le droit de l'Union européenne, soit par le droit de l'État membre auquel le responsable du traitement est soumis. Suivant ledit article, ces bases légales devraient contenir des dispositions spécifiques concernant, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Au niveau national, la Commission nationale tient à rappeler à cet égard l'exigence de la Cour constitutionnelle selon laquelle « dans les matières réservées par la Constitution à la loi, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc. »1 Le Conseil d'Etat rappelle lui aussi régulièrement dans ses avis que « (...) l'accès à des fichiers externes et la communication de données informatiques à des tiers constituent une ingérence dans la vie privée et partant, en vertu de l'article 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle. Dans ce cas, l'essentiel du cadrage normatif doit figurer dans la loi. La loi doit indiquer les bases de données auxquelles une autorité publique peut avoir accès ou dont une autorité publique peut se faire communiquer des données, tout comme les finalités de cet accès ou de cette communication (.. ). » 2 La CNPD estime ainsi qu'en l'état actuel, le texte du projet de règlement grand-ducal ne respecte pas les exigences de précision et de prévisibilité auxquelles doit répondre un texte légal et ne peut pas être considéré comme étant conforme à l'article 4 de la loi modifiée du 2 août 2002, ni à l'article 8 de la Convention européenne des droits de l'homme, à l'article 52 de la Charte des droits fondamentaux de l'Union européenne, ainsi qu'à l'article 6, paragraphe

(3)du RGPD. Finalement, la CNPD estime nécessaire de prévoir un système de traçage des accès, ce qui constitue une garantie en matière de protection des données à caractère personnel des personnes concernées dans le cadre des articles 22 et 23 de la loi modifiée du 2 août

1. Ainsi, à l'instar d'autres lois ou règlements grand-ducaux, il conviendrait de rajouter une disposition qui pourrait avoir la teneur suivante : « Le système informatique par lequel l'accès 1 Arrêt 117 de la Cour constitutionnelle du 20 mars 2015 2 Voir par exemple : Conseil d'Etat, Avis n° 6975/5 du 7 juin 2016 relatif au projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures. — CNPIDI Avis de la Commission nationale pour la protection des données à l'égard du :
2. projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance ;
3. projet de règlement grand-ducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge ;
4. projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant. 3/6 à l'outil est opéré doit être aménagé de sorte que les informations relatives à la personne ayant procédé à la consultation, les informations consultées, la date, Pheure et la référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif précis de la consultation puissent être retracés. Les données de journalisation doivent être conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauflorsquel/es font l'objet d'une procédure de contrôle ». En tout état de cause, la CNPD suggère que l'accès à l'outil soit sécurisé moyennant une authentification forte (par exemple via le système d'authentification « LuxTrust »).
5. Quant au projet de règlement grand-ducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge Sur base de l'article 4, paragraphe

(1), lettre a) de la loi modifiée du 2 août 2002, le responsable du traitement doit s'assurer que les données qu'il traite sont collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. II ressort de l'exposé des motifs du projet de règlement grand-ducal sous avis que la documentation de la prise en charge servira d'un côté à soutenir les prestataires d'aides et de soins à assurer un suivi de qualité et une réalisation de l'accompagnement et des aides et soins en toute sécurité, et de l'autre côté, elle sera utilisée dans le cadre du contrôle de la qualité des prestations fournies à la personne dépendante par l'Administration d'évaluation et de contrôle de l'assurance dépendance selon l'article 384bis du Code de la sécurité sociale. Or, dans l'optique de la CNPD, le projet en cause devrait identifier et énumérer expressément dans le corps du texte les différentes finalités de la documentation de la prise en charge. En ce qui concerne les données administratives à figurer dans la documentation de la prise en charge, elles n'apparaissent pas comme disproportionnées par rapport aux finalités susmentionnées. Le catalogue des données est clairement circonscrit. Néanmoins, la Commission nationale se demande qu'elle est l'origine de ces données, c'est-à-dire de qui / d'où elles proviennent et comment elles ont été obtenues. De même, la CNPD comprend que les données administratives énumérées à l'article 2 du projet de règlement grand-ducal sous avis sont accessibles aux prestataires d'aides et de soins qui fournissent des soins à la personne dépendante en cause, tandis que les données administratives contenues dans la partie des « données générales » de l'outil prévu à l'article 1 'et, alinéa 1 'et du projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance sont accessibles à l'Administration d'évaluation et de contrôle de l'assurance dépendance. Or, comme le commentaire des articles précise que « la documentation de la prise en charge soit accessible par des moyens informatiques », la Commission nationale se demande comment cette accessibilité informatique à la documentation de la prise en charge de la personne dépendante par les prestataires d'aides et de soins se réalisera concrètement. Qui aura accès à cette documentation? Est-ce que l'Administration d'évaluation et de contrôle de l'assurance dépendance aura un accès direct à cette documentation dans le cadre du contrôle CNPD: Avis de la Commission nationale pour la protection des données à l'égard du :

1. projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance ;
2. projet de règlement grand-ducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge ;
3. projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant. 4/6 de la qualité de la prise en charge de la personne dépendante tel que prévu par l'article 384bis du Code de la sécurité sociale ? Finalement, la Commission nationale rappelle que les articles 22 et 23 de la loi modifiée du 2 août 2002 obligent le responsable du traitement de mettre en place des mesures techniques et organisationnelles nécessaires afin d'assurer la protection des données à caractère personnel. Cette obligation est reprise à l'article 32 du RGPD, en application duquel le responsable du traitement doit mettre en ceuvre les mesures appropriées afin de garantir un niveau de sécurité adapté au risque. Elle est par ailleurs d'avis que la protection de la confidentialité et de la sécurité des données à caractère personnel constitue un enjeu majeur en cas de traitement de données sensibles (données de santé) dans la mesure où la divulgation de ces données pourrait causer un préjudice grave aux patients. Ces risques augmentent avec le recours accru aux nouvelles technologies par les prestataires de soins qui utilisent souvent des dispositifs mobiles (tablettes) pour documenter les prestations de soins. Eu égard au caractère sensible des données traitées et en tenant compte des risques susmentionnés, la CNPD suggère de préciser dans le texte du projet de règlement grandducal que des mesures particulièrement élevées doivent être imposées aux prestataires de soins concernant le contrôle de l'utilisation, de l'accès et de la transmission des données administratives à figurer dans la documentation de la prise en charge. Quant à la mise en place d'un système de traçage des accès, la Commission nationale renvoie à ses commentaires ci-dessus relatifs au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance.
4. Quant au projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant La CNPD renvoie à ses commentaires ci-dessus relatifs au projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance en ce qui concerne les modalités et conditions d'utilisation de l'outil. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. [ CNPD: Avis de la Commission nationale pour la protection des données à l'égard du :
5. projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance ;
6. projet de règlement grand-ducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge ;
7. projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant. 5/6 Ainsi décidé à Esch-sur-Alzette en date du 23 novembre
8. La Commission nationale pour la protection des données 6,1„9 U eik) Tine A. Larsen Présidente CNP& Thierry Lallemang Membre effectif istophe Buschmann Membre effectif Avis de la Commission nationale pour la protection des données à l'égard du :
9. projet de règlement grand-ducal modifiant le règlement grand-ducal modifié du 18 décembre 1998 fixant les modalités de la détermination de la dépendance ;
10. projet de règlement grand-ducal déterminant le contenu de la documentation de la prise en charge et les indicateurs de qualité et de la prise en charge ;
11. projet de règlement grand-ducal modifiant le règlement grand-ducal du 21 décembre 2006 fixant les modalités spécifiques de la détermination de la dépendance de l'enfant. 6/6