Projet de règlement grand-ducal relatif à l'organisation et aux méthodes de travail du service national de coordination

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ci-après désignée « la loi du 2 août 2002 »), la Commission nationale pour la protection des données (ciaprès : « la Commission nationale » ou « la CNPD ») a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Faisant suite à la demande lui adressée par Madame la Ministre de la Santé en date du 20 septembre 2017, la CNPD entend présenter ci-après ses réflexions et commentaires au sujet de l'avant-projet de règlement grand-ducal relatif à l'organisation et les méthodes de travail du service national de coordination des dons d'organes. Cet avant-projet de règlement grand-ducal a pour objet de définir l'organisation et les méthodes de travail du service national de coordination du prélèvement et de la transplantation d'organes (ciaprès, le « service national de coordination »). Ce service national de coordination a notamment pour mission de consigner sous forme éleçtronique les données visées à l'annexe I du règlement grand-ducal du 27 août 2013 concernant la caractérisation, le transport et l'échange d'organes destinés à la transplantation (article 2 paragraphe

(2), 2ème tiret, 2ème alinéa). De plus, il établit et tient à jour une liste des coordinateurs impliqués dans la transplantation et le prélèvement d'organes, et une liste des malades en attente d'une greffe d'organes (article 3). La Commission nationale limite ses observations aux questions traitant des aspects portant sur la protection des données, soulevées plus particulièrement par les articles 2, 3 et 7 de l'avant-projet de règlement grand-ducal sous examen. 1. Remarque préliminaire A titre préliminaire, la CNPD souhaite relever que les articles précités de l'avant-projet de règlement grand-ducal visent à créer un nouveau fichier de données à caractère personnel au sens de l'article 2 lettre (h) de la loi du 2 août 2002 et de l'article 4 point

(6)du Règlement Général sur la Protection des Données (UE) 2016/679 du 27 avril 2016, qui sera applicable à partir du 25 mai 2018 dans tous les Etats membres de l'Union européenne (ci-après : « le RGPD »). Elle tient à souligner dans ce contexte l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8, paragraphe 2 de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52, paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'homme, retiennent qu'un traitement de données effectué par une autorité publique peut constituer une ingérence dans le droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données. Cette ingérence ou limitation peut être justifiée à condition qu'elle : soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; [ CNPD Avis de la Commission nationale pour la protection des données à l'égard de l'avant-prolet de règlement grand-ducal relatif à l'organisation et les méthodes de travail du service national de coordination des dons d'organes 115 soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. En ce qui concerne la première condition, selon la jurisprudence de la Cour européenne des droits de l'Homme, une ingérence au droit au respect de la vie privée n'est « prévue par la loi », au sens de l'article 8 paragraphe

(2)de la Convention, que si elle repose sur un article du droit national qui présente certaines caractéristiques. La loi doit être « accessible aux personnes concernées et prévisible quant à ses répercussions »1 . Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne — bénéficiant éventuellement d'une assistance appropriée — d'adapter son comportement »2. « Le degré de précision requis de la ulor à cet égard dépendra du sujet en question. »3 Dans le même sens, l'article 6, paragraphe

(3)du RGPD prévoit cette contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être prévus soit par le droit de l'Union européenne, soit par le droit de l'État membre auquel le responsable du traitement est soumis. Suivant ledit article, ces bases légales devraient contenir des dispositions spécifiques concernant, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, la limitation des finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. La Commission nationale considère que loi modifiée du 25 novembre 1982 réglant le prélèvernent de substances d'origine humaine, en particulier dans ses articles 15 et suivants, constitue une base légale suffisamment accessible et prévisible, à condition que l'avant-projet de règlement grand-ducal sous examen précise à suffisance le responsable du traitement, les finalités du traitement, les catégories de données traitées, l'origine des données, les personnes ayant accès aux données et la durée de conservation des données. Pour chacun de ces éléments, la CNPD entend détailler ci-après ses observations. 2. Le responsable du traitement L'article 2 paragraphe

(2), 2ème tiret, 3ème alinéa de l'avant-projet de règlement grand-ducal sous examen prévoit que « service national de coordination est responsable du traitement des données médicales qui sont consigné[es] sous forme électronique suite à la caractérisation des donneurs d'organes et des organes, au sens de la loi modifiée du 2 août [2002] relative à la protection des personnes à l'égard du traitement des données à caractère personnel ». 1 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; voir également CouEDH, Kopp c. Suisse, n° 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 février 2009, para.

1. 2 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 56 ; voir également CouEDH, Malone c. Royaume-Uni, n° 8691/79, 26 avril 1985, para. 66 ; CouEDH, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
2. 3 CouEDH, The Sunday Times c. Royaume-Uni, n° 6538/74, 26 avril 1979, para. 49 ; voir également CouEHD, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
3. [ CNPE Avis de la Commission nationale pour la protection des données à l'egard de l'avant-projet de règlement grand-ducal relatif à l'organisation et les méthodes de travail du service national de coordination des dons d'organes 215 L'article 7 paragraphe

(2), 2ème alinéa du même avant-projet indique quant à lui que « les établissements hospitaliers sont responsables du traitement et du transfert des données personnelles contenues dans le dossier individuel aux acteurs impliqués dans le prélèvement et la [transplantation] d'organes prévu[s] aux paragraphes précédents, au sens de la loi modifiée du 2 aoüt [2002] relative à la protection des personnes à l'égard du traitement des données à caractère personnel ». Enfin, l'article 3, 2ème tiret, alinéas 3 et 4, précise que « les établissements hospitaliers sont responsable[s] du transfert des données administratives du dossier médical au sens de loi modifiée du 2 août [2002] (...) », tandis que « le service national de coordination est responsable du traitement des données administratives du dossier médical au sens de loi modifiée du 2 août [2002] (...) ». La Commission nationale ne comprend pas cette distinction opérée par les auteurs de l'avantprojet de règlement grand-ducal entre données médicales d'une part, et données administratives (du dossier médical) d'autre part. Les auteurs de l'avant-projet de loi n'expliquent d'ailleurs pas ce qu'il faut entendre par données « administratives ». L'ensemble des différentes données visées constituent en tout état de cause des données à caractère personnel. De plus, les données médicales, ou données relatives à la santé au sens de l'article 6 de la loi du 2 août 2002 et de l'article 9 du RGPD, sont évidemment liées à une personne identifiée. II apparaît donc artificiel de séparer les données médicales des données dites « administratives ». Par ailleurs, la distinction entre « responsable du traitement » et « responsable du transfert » n'apparaît pas opportune. En effet, alors que la notion de responsable du traitement renvoie à la définition de l'article 2 lettre (n) de la loi du 2 août 2002, et de l'article 4 numéro

(7)du RGPD, celle de « responsable du transfert » ne coreespond pas à une terminologie utilisée dans ces législations. En outre, tout transfert constituant une opération de traitement, la notion de « responsable du transfert » apparaît superflue. Sur base de ces considérations, la Commission nationale suggère aux auteurs de l'avant-projet de règlement grand-ducal de remplacer les passages précités par une seule disposition, selon laquelle le service national de coordination est le responsable du traitement relatif aux données appelées à figurer dans le fichier de données à caractère personnel concemant les dons d'organe. Enfin, la CNPD se demande si les établissements hospitaliers doivent être considérés comme les fournisseurs des données appelées à figurer dans le fichier de données à caractère personnel concernant les dons d'organe, dans la mesure où le dossier patient dont l'établissement hospitalier est le responsable du traitement renseigne de toute évidence déjà des informations relatives à l'état de santé du patient respectivement la nécessité d'une greffe d'organe ? Ou s'ils doivent être considérés comme sous-traitants, traitant certaines données pour le compte du service national de coordination ? En tout état de cause, il conviendrait de clarifier leur rôle dans l'avant-projet de règlement grand-ducal sous objet. 3. Les finalités du traltement L'article 2 de l'avant-projet de règlement grand-ducal prévoit le rôle et les missions du service national de coordination. Ce dernier a notamment pour mission de consigner sous forme électronique les données visées à l'annexe I du règlement grand-ducal du 27 août 2013 concernant la caractérisation, le transport et l'échange d'organes destinés à la transplantation (article 2 paragraphe

(2), 2ème tiret, 2ème alinéa). L'article 3 y ajoute l'établissement et la mise à jour d'une liste des coordinateurs impliqués dans la transplantation et le prélèvement d'organes, et d'une liste des malades en attente d'une greffe d'organes. [ CNPD Avis de la Commission nationale pour la protection des données à l'égard de l'avant-projet de règlement grand-ducal relatif à l'organisation et les méthodes de travail du service national de coordination des dons d'organes 315 La Commission nationale comprend qu'il s'agit là des finalités des traitements de données qui seront mis en ceuvre par le service national de coordination. 4. Les catégories de données traitées L'article 2, paragraphe

(2), 2ème tiret se réfère à l'article premier du règlement grand-ducal du 27 août 2013 précité, ainsi qu'à son annexe I. Ladite annexe I liste de façon exhaustive l'ensemble des données à caractère personnel traitées pour la caractérisation des organes et des donneurs. Elle se subdivise en une partie A contenant les données minimales, c'est-à-dire les informations qui doivent être collectées pour chaque don, et une partie B qui contient les données complémentaires, c'est-à-dire les informations qui doivent être collectées en plus des données minimales selon la décision de l'équipe médicale, en tenant compte de la disponibilité de ces informations et des circonstances particulières de l'espèce. II ressort de l'article 3 qu'une liste des coordinateurs impliqués dans la transplantation et le prélèvement d'organes, et une liste des malades en attente d'une greffe d'organes sont également traitées par le service national de coordination. Cet article n'indique cependant pas si cette liste contient uniquement les données de contact des coordinateurs et des malades en attente de greffe, ou d'autres données à caractère personnel y associées. La Commission nationale estime indispensable d'indiquer précisément quelles sont les catégories de données traitées dans ce cadre. L'article 3 se réfère également à des « données administratives du dossier médical ». II ressort du commentaire des articles que ces données « se rapportent aux données recueillies lors de l'examen clinique, à savoir les données obéenues lors de l'anamnèse (l'interrogatoire du patient sur son état de santé) ainsi que les données médicales (plus précisément les données paracliniques) obtenues lors d'examens complémentaires ». Comme plus amplement expliqué dans la section 1 du présent avis, la Commission nationale ne comprend pas cette distinction entre « données administratives » et « données médicales », et propose dès lors de se référer dans l'article en question à l'ensemble des données qui sont traitées par le service national de coordination. 5. L'origine des données II ressort de l'article 1 er du règlement grand-ducal du 27 août 2013 précité que les données visées à l'article 2, paragraphe

(2), 2ème tiret de l'avant-projet de règlement grand-ducal sous objet « sont collectées par les établissements de prélèvement pour chaque don d'organes ». L'article 3, 2ème tiret, alinéa 2, de l'avant-projet de règlement grand-ducal sous examen prévoit quant à lui que les données administratives du dossier médical proviennent des établissements hospitaliers du pays. Comme indiqué dans la section 1 du présent avis, la Commission nationale ne comprend cependant pas si cela signifie que les établissements hospitaliers doivent être considérés comme fournisseurs de certaines données, ou comme sous-traitants, traitant dans ce cas ces données pour le compte du service national de coordination ? Par ailleurs, la CNPD se réfère aux sections 1 et 4 du présent avis, où elle exprime ses interrogations quant à la distinction réalisée entre « données administratives » et « données médicales ». Par conséquent, elle estime indispensable de préciser l'origine de toutes les données traitées par le service national de coordination, et non des seules « données administratives du dossier médical ». Avis de la Commission nationale pour Ia protection des données l'égard de l'avant-projet de règlement grancl-ducal relatif à l'organisation et les méthodes de travail du service national de coordination des dons d'organes 4/5

1. Les personnes ayant accès aux données Ni l'article 2, ni l'article 3 de l'avant-projet de règlement grand-ducal sous examen ne précisent quelles sont les personnes qui auront accès au fichier de données à caractère personnel concernant les dons d'organe, outre le service national de coordination lui-même. Dans l'hypothèse où certaines données pourraient être transmises à des tiers, la Commission nationale estime indispensable de le préciser dans l'avant-projet de règlement grand-ducal sous objet.
2. La durée de conservation des données L'article 3, deuxième tiret, alinéa 5 de l'avant-projet de règlement grand-ducal sous examen prévoit que les données administratives du dossier médical seront conservées « pour une durée minimale de 30 ans et pour une durée maximale de 50 ans ». En l'absence de justification de ces durées de conservation dans le commentaire des articles, la Commission nationale n'est pas en mesure d'apprécier le caractère proportionné des durées de conservation des données administratives du dossier médical. Par ailleurs, elle ne comprend pas la raison d'être d'une telle disparité entre les durées de conservation. A moins que les auteurs de l'avant-projet de loi sous objet justifient pourquoi dans certains cas, les données doivent être conservées 30 ans et dans d'autres 40 ou 50 ans, la CNPD privilégie l'option consistant à prévoir une seule durée de conservation pour l'ensemble des données traitées. Sans explication supplémentaire, une telle disparité entre les durées de conservation n'aurait en effet pas de sens aux yeux de la Commission nationale. Par contre, l'avant-projet de règlement grand-ducal ne prévoit pas de durée de conservation pour les autres données visées à l'article 3, à savoir la liste des coordinateurs impliqués dans la transplantation et le prélèvement d'organes, et la liste des malades en attente d'une greffe d'organes. De même, l'article 2 n'indique pas pour combien de temps le service national de coordination doit consigner sous forme électronique les données dont il est fait référence à l'annexe I du règlement grand-ducal précité du 27 août
3. La Commission nationale estime nécessaire de prévoir l'ensemble des durées de conservation relatives aux catégories de données précitées. Les données ne pourront en tout état de cause être « conservées sous une forme permettant l7dentification des personnes concernées [que] pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées », conformément à l'article 4, paragraphe

(1), lettre (d) de la loi du 2 août

1. Ainsi décidé à Esch-sur-Alzette en date du 31 janvier
2. La Commission nationale pour la protection des données Ç:v ete Tine A. Larsen Présidente [ CNPD Thierry Lallemang Membre effectif Christophe Buschmann Membre effectif Avis de la Commission nationale pour la protection des données à l'égard de l'avant-projet de règlement grand-ducal relatif à l'organisation et les méthodes de travail du service national de coordination des dons d'organes 5/5