Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 12 février 2018 Personne en charge du dossier: Roland Gaasch 247 - 82953 SCL : L 5384 / R 5672 / R5673 - 217 / nb V/réf. 52.422 / 52.419 / 52.420 Doc. parl. 7184 Objet :

1. Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification
3. de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Projet de règlement grand-ducal portant fixation du siège de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant transfert du siège de la Commission nationale pour la protection des données. Projet de règlement grand-ducal portant fixation des indemnités revenant au Président, aux membres et aux membres suppléants de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant fixation des indemnités revenant au président, aux membres effectifs et aux membres suppléants de la Commission nationale pour la protection des données. Monsieur le Président, Comme suite à mes lettres du 12 septembre 2017, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre des fonctionnaires et employés publics sur le projet de loi et les projets de règlement grand-ducal sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fa X (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu lib.. ,CHFEP A-3000/18-4 Chambre des fonctionnaires et employés publics 26, boulevard Royal L-2449 Luxembourg l Tél.: 47 22 24-1 l Fax: 47 23 74 l chfep@chfep.lu I www.chfep.lu A V ][ S sur - le projet de loi portant création de la Commission nationale pour la protection des données et mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel; - le projet de règlement grand-ducal portant fixation du siège de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant transfert du siège de la Commission nationale ponr la protection des données; - le projet de règlement grand-ducal portant fixation des indemnités revenant au président, aux membres et aux membres suppléants de la Commission nationale pour la protection des données et abrogeant le règlement grand-ducal du 7 juillet 2003 portant fixation des indemnités revenant au président, aux membres effectifs et aux membres suppléants de la Commission nationale pour la protection des données Par trois dépêches du 22 août 2017, Monsieur le Ministre des Communications et des Médias a demandé l'avis de la Chambre des fonctionnaires et employés publics sur respectivement le projet de loi et les deux projets de règlements grand-ducaux spécifiés à l'intitulé.
4. Situation actuelle concernant la protection des personnes physiques à l'égard du traitement des données à caractère personnel Le cadre législatif actuel relatif à la protection des données à caractère personnel repose sur une directive européenne de 1995 (95/46/CE), transposée au Grand-Duché de Luxembourg par la loi du 2 août 2002 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Depuis lors, le cadre juridique précité n'a pas suivi l'évolution des moyens de communication, de la conception de la vie privée et de la concentration du pouvoir entre les mains d'entités privées qui collectent et traitent des données à caractère personnel pour en tirer profit, souvent à l'insu de la personne concernée. Ledit cadre juridique se fonde sur la conception que la donnée personnelle est autonome, ne renseigne que sur un individu et est soumise au droit d'un seul. Or, cette approche ne répond plus à la réalité. Les données personnelles ne sont plus isolées, mais elles sont mutualisées et font partie d'un réseau de fichiers reliés à d'autres bases de données, provenant de portails publics de données ouvertes, de réseaux sociaux ou encore de moteurs de recherche. De nos jours, le citoyen ne peut plus guère empêcher des tiers d'accéder à ses données. Celles-ci, générées de manière continue, rendent les personnes physiques identifiables, renseignent sur leur comportement et leur mode de consommation spécifique, sur leur état de santé, leur situation financière etc. S'y ajoute que, de plus en plus, des -2 personnes physiques, souvent inconscientes et insouciantes, rendent publiquement accessibles des infonnations les concernant. Le droit de protection et de respect de la vie privée des personnes physiques se limite dès lors, dans la pratique, au seul droit de savoir lesquelles de leurs données sont traitées, par qui, et dans quel but. Les citoyens ne connaissent que très peu leurs droits et la manière dont leurs données sont utilisées pour prédire leurs comportements et façonner leurs identités virtuelles. Cela les rend vulnérables alors qu'ils ne disposent que de moyens limités pour exercer pleinement leur droit d'opposition. Dans le cas des flux de données massives, le traitement et la connexion de données provenant de différentes sources sont très opaques et difficilement vérifiables par les personnes concemées. L'approche ' je n'ai rien à cacher, je peux donc tranquillement afficher mes données personnelles" ne correspond plus à la réalité. De même, les données "anonymisées" n'excluent plus le rapprochement de plusieurs collections de données, ce qui peut entraîner une "désanonymisation".
5. Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) Dans un environnement très complexe et en permanente mutation, le règlement européen 2016/679 du 27 avril 2016, qui est à la base du projet de loi sous avis, entend répondre aux enjeux actuels pour la protection des données à caractère personnel, tout en la mettant en balance avec d'autres droits fondamentaux tels que les libertés de pensée, de conscience, d'expression, d'inforrnation etc. Le règlernent européen précité ne couvre pas le traitement de données qui concernent les personnes morales, les questions de protection des libertés et droits fondamentaux, les activités relatives à la sécurité nationale ainsi que les activités strictement personnelles ou domestiques sans lien avec une activité professionnelle ou commerciale. -3
6. Commission nationale pour la protection des données et objectifs du projet de loi sous avis Le projet de loi sous avis se propose d'abroger la loi précitée du 2 août 2002 qui règle:
7. les dispositions relatives à la protection des personnes à l'égard du traitement des données à caractère personnel, et
8. le contrôle et la surveillance de l'application de ces dispositions par la Commission nationale pour la protection des données (CNPD). Le projet de loi sous avis ne traite par contre essentiellement que de la CNPD sur la base des dispositions du règlement (UE) 2016/679 relatives à"Vautorité de contrôle" . 3.
9. Dispositions eénérales relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel Les dispositions générales concernant le traitement des données à caractère personnel ne seront plus reprises "in extenso" dans une loi nationale. Les auteurs du projet de loi sous avis estirnent en effet qu'une telle reprise n'est pas de rnise, étant donné que les dispositions en la matière se retrouvent dans le règlement européen 2016/679, qui est d'application directe dans tous les États rnembres. De mêrne, dans le projet de loi sous avis, les compétences et les missions de la CNPD ne sont pas non plus reprises textuellement, mais il est seulement fait référence au règlement général européen 2016/
10. La Charnbre des fonctionnaires et employés publics déplore vivement une telle superposition de textes, leur interaction et les vaet-vient d'un texte à un autre, ce qui rend la lecture difficile. Par ailleurs, la mise en application correcte est hnprobable au-delà d'un cercle restreint d'initiés. -4 3.
11. Respect de la vie privée et protection des données à caractère personnel dans le secteur des communications électroniques Selon le commentaire des articles accompagnant le projet de loi sous avis, la CNPD "est l'autorité de contrôle de droit commun de ce qu'on peut appeler le régime général de la protection des données à caractère personner . Or, il existe également au niveau communautaire une "lex specialis" , à savoir la directive 2002/58/CE concemant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, qui complète le régime général de la protection des données à caractère personnel. Ladite directive a été transposée au Luxembourg par la loi du 30 mai 2005 relative aux dispositions spécifiques de protection de la personne à l'égard du traitement des données à caractère personnel dans le secteur des communications électroniques, loi qui prévoit en son article 12 que "la Commission nationale pour la protection des données instituée par Particle 32 de la loi du 2 août 2002 relative à la protection des personnes à Végard du traitement des données à caractère personnel est chargée dassurer Papplication des dispositions de la présente loi et de ses règlements dexécution (...)" . L'article 60 du projet de loi sous avis précise que toute référence à la loi du 2 août 2002 est remplacée par une référence au règlement (UE) 2016/679, à la loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et à la future loi organique de la CNPD. Pour éviter une insécurité juridique en matière de compétence de la CNPD concemant le traitement des données à caractère personnel dans le secteur des communications électroniques, la Chambre des fonctionnaires et employés publics estime que le projet de loi sous avis devrait expressément spécifier que la CNPD reste compétente pour le contrôle du traitement des données à caractère personnel dans ledit secteur. -5 3.
12. Autorité de contrôle en matière pénale et en matière de sécurité nationale La protection des droits et libertés des personnes physiques à l'égard du traitement des données à caractère personnel à des fins de prévention et de détection d'infractions pénales, à des fins d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité nationale, se fonde sur la directive (UE) 2016/680 du 27 avril 2016, dont la transposition est prévue par le projet de loi n° 7168, déposé à la Chambre des députés le 10 août
13. Néanmoins, le projet de loi sous avis attribue d'ores et déjà de nouvelles compétences à la CNPD en ce qui concerne le contrôle de conformité du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (à l'exception des traitements de données effectués par les juridictions), alors que cette compétence revient actuellement à une "autorité de contrôle" composée du procureur général ditat et de deux membres de la CNPD (article 17 de la loi modifiée du 2 août 2002). La directive (UE) 2016/680 prévoit effectivement en son article 41, paragraphe 3, que "les États membres peuvent prévoir qu'une autorité de contrôle instituée au titre du règlement (UE) 2016/679" est l'autorité de contrôle en matière pénale ainsi qu'en matière de sécurité nationale. La CNPD remplacera donc l'autorité de contrôle actuellement présidée par le procureur général ditat, ce que la Chambre des fonctionnaires et employés publics approuve. 3.
14. Composition et nomination de la CNPD Selon le projet de loi sous avis (article 19), les membres du collège de la CNPD sont appelés "commissaires à la protection des données" et ils "sont autorisés à porter le titre de 'Commissaire sans que cela ne modifie ni leur rang ni leur traitement" . Selon le commentaire des articles, "ce titre correspond aux titres internationaux que portent les membres des autorités de contrôle dans les États membres (mais) ne devra pas être assimilé au 'commissairer couvert par la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires -6 occupant des fonctions dirigeantes dans les administrations et services de l'État" . La Chambre des fonctionnaires et employés publics ne peut que s'étonner que les auteurs du projet de loi entendent attribuer aux membres effectifs du collège un titre officiel, reconnu selon leurs dires au niveau international, qu'ils rétrogradent toutefois immédiatement au niveau d'un titre gratuit et fictif, en refusant de l'assimiler à une fonction dirigeante. Cela est d'autant plus incompréhensible que le commentaire des articles fait état d'une augmentation des missions, pouvoirs et responsabilités des membres du collège de la CNPD au point de justifier le reclassement du président du grade 17 au grade 18 et des trois autres membres du collège du grade 16 au grade
15. Par ailleurs, le titre de "commissaire à la protection des données" sera ancré dans la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État. La Chambre des fonctionnaires et employés publics ne voit pas de raison pour ne pas considérer la fonction de membre effectif du collège de la CNPD comme fonction dirigeante au sens de la loi précitée du 9 décembre
16. Partant elle propose d'appliquer cette dernière et de prévoir une durée de mandat renouvelable de sept ans pour les membres effectifs et suppléants du collège de la CNPD, ce qui est par ailleurs conforme au règlement (UE) 2016/
17. En outre, en cas d'application de cette loi, il n'y aurait pas lieu d'inventer de nouvelles procédures de reclassement si le mandat des membres effectifs du collège (qui ont la qualité de fonctionnaire en ce qui concerne leur statut, leur traitement et leur régime de pension) n'était pas renouvelé ou si un membre était révoqué (uniquement en cas de faute grave). 11 suffirait de se référer à la procédure prévue par la loi modifiée du 9 décembre
18. Selon le projet de loi, les membres du collège bénéficieront d'un reclassement dans leur nouveau grade, mais ils y seront classés "à la valeur de l'échelon barémique atteint la veille de l'entrée en vigueur de la présente loi" (article 65). -7 La Chambre des fonctionnaires et employés publics ne saurait cautionner que, d'un côté, le projet de loi procède au reclassement des membres du collège et que, de l'autre côté, il limite l'impact afférent en refusant d'accorder les avantages qui d'ordinaire résultent d'un avancement en grade. De deux choses l'une: ou bien les missions, pouvoirs et responsabilités méritent le classement dans les plus hauts grades barémiques ou ils ne le méritent pas. Étant donné que les auteurs du projet de loi proposent les reclassements précités, ils sont, de toute évidence, persuadés de la valeur ajoutée des fonctions en question. Les reclassements en question devront donc être assortis de tous les avantages prévus par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État.
19. Examen du texte du projet de loi À titre d'observation préliminaire, la Chambre fait remarquer que le texte du projet de loi lui soumis pour avis comporte bon nombre d'erreurs et des phrases et formulations incomplètes ou malheureuses qui peuvent prêter à confusion et risquent donc de porter atteinte à la sécurité juridique. 11 y a impérativement lieu d'y remédier avant la publication de la future loi au Journal Officiel. Ad intitulé L'intitulé de la future loi est à modifier comme suit: "Loi portant création de la Commission nationale pour la protection des données etlet mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relati f à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modWcation de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités davancement des fonctionnaires de l'État et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel" . -8 Ad article 2 Contrairement à ce qu'affirme le commentaire des articles, le siège de la CNPD a été nommérnent fixé dans la loi précitée du 2 août 2002, à savoir à Luxembourg-Ville, le texte précisant que le siège peut être transféré à tout moment dans toute autre localité du Luxembourg par voie de règlement grand-ducal" . La Chambre des fonctionnaires et employés publics propose de maintenir ce principe de fixer le siège directement dans la loi, tout en prévoyant que toute modification en la matière pourra être faite par voie de règlement grand-ducal. Par ailleurs, la Chambre ne voit pas le rapport entre la fixation du siège par règlement grand-ducal et "une certaine flexibilité en cas d'augmentation des effectifs" (selon le commentaire de l'article 2, 2e alinéa). Ad article 6 La Chambre renvoie d'abord à ses observations formulées ci-avant sub 3.
20. concernant la simple référence à un règlement européen. Ensuite, conformément à ses remarques présentées sub 3.2., elle propose de préciser les compétences de la CNPD en matière de protection des données à caractère personnel dans le secteur des communications électroniques. Ad article 19 Le bout de phrase "sans que cela ne modifie ni leur rang ni leur traitement" est à biffer pour les raisons exposées ci-avant sub 3.
21. Ad article 20 La Chambre renvoie à ses remarques sub 3.
22. ci-avant et elle propose de fixer la durée du mandat — renouvelable — des membres effectifs et suppléants du collège à sept ans, à l'image de ce qui est prévu par la loi modifiée du 9 décembre 2005 déteiminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État. 9 Ad article 23 Afin d'éviter toute confusion, il y a lieu de préciser que l'article en question ne vise que les membres effectifs du collège de la CNPD. La Chambre recommande d'ailleurs de distinguer clairernent, dans tout le texte de la future loi, entre les membres effectifs et les membres suppléants dudit collège. Ad articles 24 à 26 Sous réserve de l'application, aux membres effectifs du collège, de la loi précitée du 9 décembre 2005, les articles 24 à 26 du projet de loi sous avis deviennent superflus puisque les dispositions afférentes font partie intégrante de cette loi. Ad article 30 Dans un souci de clarté, la mention "ni exercer d'activité professionnelle" est à compléter par les mots "incompatible, rémunérée ou non" . Ad article 31 Aux terrnes de la dernière phrase de l'article 31, le cadre du personnel de la CNPD peut être complété, entre autres, par "des salariés de l'Étatm. La Chambre demande que le personnel en question soit impérativement engagé sous le statut du fonctionnaire de l'État, notamment dans le cas où il serait amené à exécuter des tâches de nature technique ou artisanale. Ad article 38 11 y a lieu d'ajouter la phrase suivante à l'article 38: "En cas de partage des voix, celle du président est prépondérante" . Ad article 59 La loi du 8 septembre 1998 réglant les relations entre l'État et les organismes ceuvrant dans les domaines social, familial et thérapeutique, citée au paragraphe