Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal fixant les modalités d'enregistrement des établissements des exploitants du secteur alimentaire Délibération n°27/2020 du 2 décembre 2020 Conformément à l'article 57, paragraphe ler, lettre
- c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après désigné le « RGPD »), auquel se réfère l'article 7 de la loi du l er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 12 août 2020, Madame la Ministre de la Protection des consommateurs a invité la Commission nationale à se prononcer sur le projet de règlement grand-ducal fixant les modalités d'enregistrement des établissements des exploitants du secteur alimentaire (ci-après désigné le « projet de règlement grand-ducal »). Il ressort de l'exposé des motifs que selon la réglementation européenne, tout exploitant du secteur alimentaire doit faire enregistrer auprès des autorités compétentes chacun des établissements dont il a la responsabilité et qui intervient dans la chaîne alimentaire. Au niveau national, l'article 6 de la loi du 28 juillet 2018 instaurant un système de contrôle et de sanction relatif aux denrées alimentaires a trait à cet enregistrement en disposant que « (...) tout exploitant du secteur alimentaire notifie au commissariat [du gouvernement à la qualité, à la fraude et à la sécurité alimentaire], aux fins d'enregistrement, chacun des établissements dont il a la responsabilité et qui mettent en œuvre l'une des étapes de la production, de la transformation et de la distribution de denrées alimentaires. À cet effet, le commissariat est autorisé à exploiter un fichier, et les données y inscrites seront transmises aux administrations chargées du contrôle des denrées alimentaires. » Le paragraphe 2 dudit article poursuit que « [u]n règlement grand-ducal précise les procédures ainsi que les modalités d'enregistrement des établissements visées au paragraphe / er du présent article. » CNPII Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal fixant les modalités d'enregistrement des établissements des exploitants du secteur alimentaire 1 Le projet de règlement grand-ducal s'inscrit dans le cadre de la mise en œuvre de l'article 6 précité, même si, dans les faits, un système de notification informatisé est opérationnel depuis 2016. La Commission nationale limitera ses observations aux dispositions du projet de règlement grandducal sans examiner plus en détail la législation européenne et nationale sur base de laquelle le projet de règlement grand-ducal a été pris. L'article 3 du projet de règlement grand-ducal énumère les informations que les exploitants du secteur alimentaire doivent notifier au commissariat du gouvernement à la qualité, à la fraude et à la sécurité alimentaire, à savoir (
- i)l'enseigne commerciale de l'établissement, (
- ii)l'adresse physique où ont lieu les activités, (iii) les coordonnées de contact et l'adresse de l'exploitant, (
- iv)les activités liées aux étapes de la production, de la transformation et de la distribution des denrées alimentaires et (
- v)lorsque l'exploitant est une personne morale, la personne physique désignée comme destinataire des rapports des contrôles officiels et comme interlocuteur en cas d'incidents liés aux denrées alimentaires pour le compte de cette personne morale. Sur base des informations dont elle dispose, la Commission nationale considère que les catégories de données personnelles à notifier sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, à savoir le contrôle des exploitants du secteur alimentaire', de sorte que le principe de minimisation des données posé à l'article 5, paragraphe l er, lettre
- c)du RGPD est respecté. L'article 5 du projet de règlement grand-ducal dispose que le commissariat du gouvernement à la qualité, à la fraude et à la sécurité alimentaire tient un registre des établissements où figurent les données notifiées conformément à l'article 3 et que les données, régulièrement mises à jour, sont conservées pendant une durée maximale de 5 années après la fin des activités liées aux étapes de la production, de la transformation et de la distribution des denrées alimentaires. La Commission nationale estime qu'au vu du fait que la loi du 28 juillet 2018 instaurant un système de contrôle et de sanctions relatif aux denrées alimentaires prévoit des peines correctionnelles se prescrivant par 5 ans, la limitation de la conservation des données à une durée maximale de 5 années est conforme au principe de limitation de conservation des données personnelles prévu à l'article 5, paragraphe ler, lettre
- e)du RGPD. 1 Même si la finalité du traitement se dégage de la lecture des différents textes normatifs, il pourrait être utile de la rappeler à l'article ler du projet de règlement grand-ducal. CNP11 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal fixant les modalités d'enregistrement des établissements des exploitants du secteur alimentaire 2 En ce qui concerne le terme « registre » utilisé à l'article 5 du projet de règlement grand-ducal, la Commission nationale estime qu'il serait préférable d'employer le même terme que celui déjà employé à l'article 6 de la loi précitée du 28 juillet 2018, à savoir « fichier ». Non seulement cette façon de procéder mettrait en exergue le fait qu'il s'agit effectivement du même fichier, mais ce terme présente aussi l'avantage d'être défini par le RGPD2. Finalement, la Commission nationale se demande s'il n'y aurait pas une éventuelle incohérence entre la loi du 28 juillet 2018 instaurant un système de contrôle et de sanctions relatif aux denrées alimentaires et le projet de règlement grand-ducal. En effet, l'article 6 de la loi précitée énonce que les données inscrites dans le fichier seront transmises aux administrations chargées du contrôle des denrées alimentaires tandis que le projet de règlement grand-ducal, tout en restant muet à ce sujet dans le corps du texte, indique dans son exposé des motifs qu'« afin d'éviter notamment des doubles emplois et de renforcer l'efficacité des contrôles officiels, il s'avère indispensable d'avoir un registre centralisé des établissements de la chaîne alimentaire ». Selon la compréhension de la CNPD, la loi précitée du 28 juillet 2018 ne permet pas aux administrations chargées du contrôle des denrées alimentaires d'accéder directement audit fichier dans la mesure où les données y inscrites leurs sont transmises par le commissariat du gouvernement à la qualité, à la fraude et à la sécurité alimentaire. En évoquant un « registre centralisé », les auteurs du projet de règlement grand-ducal semblent toutefois vouloir créer un fichier directement accessible aux administrations chargées du contrôle des denrées alimentaires. A toutes fins utiles, la Commission nationale se permet de relever que l'accès à des fichiers externes contenant des données à caractère personnel et la transmission de telles données à des tiers constituent une ingérence dans la vie privée et partant, en vertu de l'article 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle. Dans ce cas, l'essentiel du cadrage normatif doit figurer dans la 1oi3. En cas d'accès direct, la loi devrait notamment énumérer les administrations pouvant accéder au fichier en question, tout comme les finalités de cet accès. 2 Article 4, point 6) du RGPD 3 V. notamment en ce sens l'avis 6975/5 du Conseil d'Etat relatif au projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures. CNPll Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal fixant les modalités d'enregistrement des établissements des exploitants du secteur alimentaire 3 Ainsi décidé à Belvaux en date du 2 décembre 2020. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine An nemarie Larsen Date: 2020.12.02 09:55:37 +01'00 Tine A. Larsen Présidente CNPII Thierry Lallemang Digitally signed by Thierry Lallemang Date: 2020.12.02 11:10:44 +01'00' Thierry Lallemang Commissaire CHRISTOPHE NICOLAS BUSCHMANN Digitally signed by CHRISTOPHE NICOLAS BUSCHMANN Date:2020.12.02 10:49:25 +01'00' Christophe Buschmann Commissaire signed by Marc Ernest Digitally Marc Ernest JeanJean-Pierre Pierre Lemmer 2. ID t5e6: 25 02200. 11%00? Lemmer + : Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal fixant les modalités d'enregistrement des établissements des exploitants du secteur alimentaire 4