Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal relatif à la détermination et à l'organisation des formations des cadres techniques et administratifs pour les différentes formes d'activités sportives. Délibération n°6/AV5/2021 du 24 février 2021 Conformément à l'article 57, paragraphe 1er, lettre
- c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après désigné le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 2 décembre 2020, Monsieur le Ministre des Sports a invité la Commission nationale à se prononcer sur le projet de règlement grand-ducal relatif à la détermination et à l'organisation des formations des cadres techniques et administratifs pour les différentes formes d'activités sportives (ci-après désigné le « projet de règlement grand-ducal »). Selon l'exposé des motifs, le sport au Luxembourg englobe l'activité physique dans toutes ses formes, telles que le sport scolaire, le sport-santé, le sport pour personnes handicapées, le sport pour tous, le sport-fitness, le sport loisir, le sport de compétition et le sport de haut niveau. Afin que l'intégralité de la population puisse exercer ces activités physiques ou sportives d'une manière qui soit adaptée à ses besoins, elle doit être encadrée par des personnes disposant d'une formation adéquate et, partant, des compétences nécessaires à cette fin. Il ressort encore de l'exposé des motifs que le cadre réglementaire actuel date des années 1990 de sorte qu'il est devenu nécessaire de l'adapter à la réalité contemporaine et d'abroger le règlement grand-ducal du 16 janvier 1990 portant restructuration des cours de formation des entraîneurs dans l'intérêt des fédérations et sociétés sportives ainsi que le règlement grand-ducal du 16 janvier 1990 portant restructuration de la formation des animateurs de sport-loisir. Par ailleurs, le projet de règlement grand-ducal constitue la suite du programme « subside qualité+ » introduit par le règlement grand-ducal du 23 décembre 2016 concernant les subsides CNN] Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal relatif à la détermination et à l'organisation des formations des cadres techniques et administratifs pour les différentes formes d'activités sportives. 1 accordés aux clubs sportifs affiliés auprès d'une fédération sportive agréée et octroyés sur base de la qualification des entraîneurs de jeunes inférieurs à 16 ans. Dans le présent avis, la Commission nationale abordera les questions liées à la protection des données à caractère personnel soulevées par le titre V, intitulé « Registre électronique », du projet de règlement grand-ducal. 1. Ad article 55 du projet de règlement grand-ducal L'article 55 du projet de règlement grand-ducal prévoit la création, sous l'autorité du ministre ayant dans ses attributions les Sports, d'un registre électronique, intitulé « registre des brevets », qui a pour finalités « l'organisation, la gestion et le suivi administratif des formations initiales et continues, visant à l'obtention des différents brevets, brevets d'État, homologations et licences ENEPS y afférentes, ainsi que des dispenses accordées ». Ainsi, la Commission nationale se félicite que les auteurs du projet de règlement grand-ducal ont pris le soin de déterminer le responsable du traitement ainsi que les finalités de ce registre. Le commentaire des articles précise que « [lia mise en place d'une telle base de données électronique s'inscrit dans les efforts de digitalisation entrepris par les administrations luxembourgeoises » et vise à faciliter et à optimiser les tâches administratives de l'ENEPS. A cet égard, la Commission nationale tient à rappeler que le RGPD s'applique non seulement aux fichiers informatisés mais également aux fichiers papiers qui, le cas échéant, existent déjà'. 2. Ad article 56 du projet de règlement grand-ducal L'article 56, paragraphe 1er, du projet de règlement grand-ducal énonce que le registre des brevets est subdivisé en trois parties, tout en précisant les catégories de données à caractère personnel qui figureront dans les différentes parties. La CNPD salue le fait que le projet de règlement grand-ducal définit les catégories de données à caractère personnel qui seront renseignées dans le registre des brevets. Elle tient toutefois à rappeler l'importance du principe de minimisation des données consacré à l'article 5, paragraphe 1er, lettre
- c)du RGPD selon lequel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Au vu des explications fournies dans le commentaire des articles, les données à Cf. article 2, paragraphe 10r, du RGPD. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal relatif à la détermination et à l'organisation des formations des cadres techniques et administratifs pour les différentes formes d'activités sportives. 2 caractère personnel renseignées dans le registre des brevets semblent être limitées à ce qui est nécessaire au regard des finalités énoncées à l'article 55 du projet de règlement grand-ducal. L'article 56, paragraphe 2, du projet de règlement grand-ducal poursuit que « files données visées aux points 1° à 3° du paragraphe 1" peuvent être communiquées au responsable de traitement de la banque de données en relation avec l'exécution du règlement grand-ducal modifié du 23 décembre 2016 concernant les subsides accordés aux clubs sportifs affiliés auprès d'une fédération sportive agréée ». Selon le commentaire des articles, cette communication s'effectue dans l'optique de l'attribution du subside « qualité + » régi par le règlement grand-ducal modifié du 23 décembre 2016. Les auteurs affirment que « (blette communication peut en effet être indispensable, car l'obtention et le montant du subside « qualité + » sont fonction de la qualité de l'encadrement offert aux jeunes par les clubs de sport affiliés ». L'utilisation des données du registre des brevets à des fins d'attribution du subside « qualité + » semble être une finalité compatible avec celles décrites à l'article 55 du projet de règlement grandducal, d'autant plus que le ministre ayant dans ses attributions les Sports est également le responsable du traitement de la banque de données prévue par le règlement grand-ducal modifié du 23 décembre 2016. Toutefois, les explications succinctes fournies par les auteurs du projet de règlement grand-ducal ne permettent pas à la Commission nationale d'apprécier s'il y a une réelle nécessité de communiquer les données figurant dans le registre des brevets. En tout état de cause, il semble peu probable qu'il soit nécessaire de communiquer toutes les données figurant dans le registre des brevets, telles que le numéro de téléphone ou l'adresse email. Or, le principe de minimisation des données exige que seules les données effectivement nécessaires à l'attribution du subside « qualité + » soient transmises. 3. Ad article 57 du projet de règlement grand-ducal L'article 57 du projet de règlement grand-ducal dispose que le ministre ayant dans ses attributions les Sports est le responsable du traitement au sens du RGPD et attribue au directeur de l'ENEPS la qualité de sous-traitant au sens du RGPD. Cet article poursuit que « [lj'accès aux fichiers est sécurisé et les informations relatives à la personne ayant procédé à la consultation, aux informations consultées, à la date, à l'heure et la référence du dossier, ainsi qu'au motif précis de la consultation peuvent être retracés. » Etant donné que cette disposition se trouve au deuxième paragraphe de l'article 57 relatif au sous- CNPW Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal relatif à la détermination et à l'organisation des formations des cadres techniques et administratifs pour les différentes formes d'activités sportives. 3 traitant, il serait possible d'en déduire qu'elle ne s'applique qu'aux accès effectués par le soustraitant. Or, la CNPD considère que cette disposition devrait s'appliquer à tous les accès, c'està-dire également aux accès effectués par le responsable du traitement lui-même, et propose dès lors de l'insérer dans un paragraphe à part. Par ailleurs, la Commission nationale note que le projet de règlement grand-ducal ne définit pas la durée de conservation des données à caractère personnel figurant dans le registre des brevets. Le responsable du traitement devra néanmoins veiller à se conformer à l'article 5, paragraphe 1er , lettre
- e)du RGPD selon lequel les données à caractère personnel conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. La Commission nationale estime nécessaire que le projet de règlement grand-ducal précise la/les durée(
- s)de conservation des données ou des moins les critères applicables pour déterminer les durées de conservation. Finalement, la CNPD tient à rappeler que les droits des personnes concernées prévus par le RGPD devront être respectés. Ainsi, en vertu des articles 13 et 14 du RGPD, le responsable du traitement est obligé de fournir aux personnes concernées un certain nombre d'informations lorsque des données à caractère personnel sont collectées directement auprès d'elles ou indirectement à travers un tiers, par exemple à travers un club ou une fédération. Ainsi décidé à Belvaux en date du 24 février 2021. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2021.02.24 09:10:38 +0100' Tine A. Larsen Présidente [ CNPD — signed by CHRISTOPHE Digitally CHRISTOPHE NICOLAS Digitally signed by Thierry BUSCHMANN Thierry Lallemang NICOLAS Date: 2021.02.24 2021.02.24 Lallemang Date: BUSCH MAN N 15:05:44+01w. 19:02:00 +0100' Thierry Lallemang Commissaire Christophe Buschmann Commissaire Digitally signed Marc by Marc Ernest Ernest Jean-Pierre Jean-Pierre Lemme' Date: 2021.02.25 Lemmer 08:53:29 +0100' Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal relatif à la détermination et à l'organisation des formations des cadres techniques et administratifs pour les différentes formes d'activités sportives. 4