règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1 er juin 2021 et amendements gouvernementaux Délibération n°23/AV18/2021 du

ministratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 2 avril 2021, Monsieur le Ministre de l'Economie a invité la Commission nationale à aviser le projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au ler juin 2021 (ci-après le « projet de règlement grand-ducal ») ainsi que des amendements gouvernementaux au projet de règlement grand-ducal,

optés par le Conseil de gouvernement dans sa séance du 2 avril 2021 (ci-après les « amendements »). Le projet de règlement a pour objet l'organisation du recensement général de la population, des logements et des bâtiments, qui aura lieu le 8 novembre 2021. Ce recensement sera organisé et dirigé par l'Institut national de la statistique et des études économiques du Grand-Duché de Luxembourg (ci-après le « STATEC ») conformément à l'article 2 de la loi modifiée du 10 juillet 2011 portant organisation de l'Institut national de la statistique et des études économiques et modifiant la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'Etat (ci-après la « loi modifiée du 10 juillet 2011 portant organisation du STATEC » ou la « loi organique du STATEC »), qui dispose que le STATEC a pour mission « de réaliser les recensements de la population, du logement et des bâtiments, la date et les modalités de ces recensements étant fixées par règlement grand-ducal ». De plus, il ressort de l'exposé des motifs que « [lja réalisation de cette opération statistique tombe sous le règlement (CE) N° 763/2008 du Parlement Européen et du Conseil du 9 juillet 2008 concernant les recensements de la population et du logement qui a pour objet d'établir « des [ CNP151 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au r juin 2021 et amendements gouvernementaux 1/21 règles communes pour la fourniture décennale de données exhaustives sur la population et le logement ». Les auteurs du projet de loi précisent encore qu'au niveau national, l'article 4bis de la loi communale modifiée du 13 décembre 1988 dispose qu'« [e]n vue de déterminer le nombre des membres du conseil communal assignés à chaque commune, il est procédé, au moins tous les dix ans, au recensement de la population du Grand-Duché de Luxembourg. La date et les modalités de ce recensement sont fixées par règlement grand-ducal (...) ». Le projet de règlement grand-ducal repose dès lors sur lesdites législations. Par ailleurs, il ressort de l'exposé des motifs que la nouveauté de ce prochain recensement sera le recours par le STATEC à un recensement dit « combiné ». Les auteurs du projet de règlement grand-ducal précisent que le recensement combiné reposera sur l'accès, par le STATEC, à des données contenues dans des registres

ministratifs et sur des données collectées à travers des questionnaires en version papier et en version électronique. Ce recensement « combiné » se distinguera des autres recensements effectués par le passé, qui se faisaient sur base des données collectées via un questionnaire en version papier. Il est, dès lors, indéniable que le recensement qui sera prochainement effectué par le STATEC soulève des problématiques ayant trait à la protection des données pour lesquelles la Commission nationale formulera les observations ci-après. l. Remarques liminaires Tout d'abord, il y a lieu de relever que l'article 11, paragraphe

(3), de la Constitution érige en matière réservée à la loi les exceptions à la garantie par l'Etat de la protection de la vie privée'. De plus, l'article 32, paragraphe

(3), de la Constitution dispose que « gans les matières réservées à la loi par la Constitution, le Grand-Duc ne peut prendre des règlements et arrêtés qu'en vertu d'une disposition légale particulière qui fixe l'objectif des mesures d'exécution et le cas échéant les conditions auxquelles elles sont soumises ». Depuis la révision du 18 octobre 2016 dudit article, « la Cour constitutionnelle considère que dans les matières réservées les éléments essentiels sont du domaine de la loi, tandis que les éléments moins essentiels peuvent être relégués à des règlements et arrêtés pris par le Grand-Duc. Elle fait ainsi sienne la position du constituant, partagée par le Conseil d'Etat, qui consiste à assurer au pouvoir exécutif la faculté de régler les détails des matières réservées, les principes et les points essentiels restant du domaine de la loi. D'après le constituant, de simples lois-cadres fixant quelques grands principes et abandonnant l'essentiel des règles de fond et de forme aux règlements d'exécution ne satisfont pas à ces exigences constitutionnelles. Si des éléments 'Voir en ce sens M. Besch, Normes et légistique en droit public luxembourgeois, Vademecum, Larcier, Edition 2019, p.472, n°

— -7 CNPDI Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1e' juin 2021 et amendements gouvernementaux 2/21 essentiels sont du domaine de la loi, les mesures d'exécution, c'est-à-dire des éléments plus techniques et de détails, peuvent être du domaine du pouvoir réglementaire grand-ducal »
Or, force est de constater que tant l'article 2 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC que l'article 4bis de la loi communale modifiée du 13 décembre 1988 se bornent à respectivement énoncer que le STATEC a pour mission de « réaliser les recensements de la population, du logement et des bâtiments, la date et les modalités de ces recensements étant fiXées par règlement grand-ducal » et qu'« [e]n vue de déterminer le nombre des membres du conseil communal assignés à chaque commune, il est procédé, au moins tous les dix ans, au recensement de la population du Grand-Duché de Luxembourg. La date et les modalités de ce recensement sont fixées par règlement grand-ducal (...) ». Ainsi, la Commission nationale se demande si le projet de règlement grand-ducal est susceptible de ne pas être conforme au dispositif constitutionnel précité alors qu'il réglerait des points essentiels d'une matière réservée à la loi, notamment lorsqu'il définit qui est le responsable du traitement, les finalités des traitements qui seraient mis en œuvre, en ce qu'il prévoit l'accès à des fichiers

ministratifs par le STATEC, ou encore en ce qu'il prévoit l'utilisation du numéro d'identification national « en vue de l'interconnexion des différents registres

ministratifs »3. Dès lors, ne faudrait-il pas veiller à une application rigoureuse des principes d'encadrement normatif susmentionnés s'agissant de la distinction entre ce qui doit relever, par essence, de la loi au sens stricte et ce qui peut faire l'objet d'un encadrement normatif par un texte réglementaire ? Par conséquent, la CNPD estime que le rôle des différents acteurs impliqués dans le recensement, les finalités du traitement, le principe de l'accès par le STATEC à des registres

ministratifs dans le cadre du recensement ou encore l'utilisation du numéro d'identification national devraient être prévus dans la loi au sens stricte du terme, et non pas dans un acte réglementaire

II. Sur les traitements de données à des fins statistiques Il y a lieu de relever que l'article 2 du projet de règlement grand-ducal énumère les données qui seraient collectées à des fins statistiques. La CNPD formulera, ci-après, ses observations en ce qui concerne les problématiques ayant trait à la protection des données et qui sont soulevées dans le cadre de tels traitements. Voir M. Besch, Normes et légistique en droit public luxembourgeois, Vademecum, Larcier, Edition 2019, p.37, n°
Projet de règlement grand-ducal, exposé des motifs, page
4 Voir en ce sens M. Besch, Normes et légistique en droit public luxembourgeois, Vademecum, Larcier, Edition 2019, p.472, n°
2 3 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1er juin 2021 et amendements gouvernementaux 3/21
Sur la conformité de la loi modifiée du 10 juillet 201 1 portant organisation du STATEC aux règles applicables en matière de protection des données Il y a lieu de relever que la loi modifiée du 10 juillet 2011 portant organisation du STATEC revêt une importance particulière dans le cadre de l'organisation du recensement. Cette loi encadre notamment les pouvoirs dont dispose le STATEC lorsque celui-ci est amené à procéder à des opérations statistiques, tel que cela est le cas dans le cadre du recensement. Les auteurs du projet de règlement grand-ducal indiquent que les dispositions de l'article 2 de ladite loi « constituerait déjà une base légale suffisante pour réaliser le recensement »5 et que le STATEC « est habilité par la [loi modifiée du 10 juillet 2011 portant organisation du STATEC] (...) à accéder et à utiliser les sources

ministratives à des fins statistiques »6 ou encore que l'article 12 de ladite loi « stipule que dans le choix du mode de collecte de données, le STATEC privilégie l'exploitation des fichiers

ministratifs. Il ne recourt à des enquêtes ou recensements que si l'exploitation des fichiers

ministratifs s'avère impossible ou n'est pas susceptible de fournir des informations statistiques fiables et pertinentes »7 . En effet, l'article 12 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC dispose que « dans le choix du mode de collecte de données le STATEC privilégie l'exploitation des fichiers

ministratifs ». L'article 13 de ladite loi dispose encore que « les

ministrations publiques, les communes et les établissements publics ainsi que toutes les personnes physiques ou morales sont tenues de fournir les renseignements statistiques demandés par le STATEC dans les délais fixés dans sa requête » et que « dans le cadre des missions prévues à l'article 2, le STATEC a un droit d'accès aux informations, même individuelles, contenues dans les fichiers et bases de données des

ministrations et services publics, collectées dans le cadre de leurs attributions

ministratives ». Cependant, dans la mesure où les dispositions de la loi organique du STATEC sont antérieures aux dispositions du RGPD, il y a lieu de s'interroger sur la conformité des dispositions de la loi organique du STATEC avec celles de l'article 6, paragraphe

(3), du RGPD (i) ainsi que sur l'articulation entre les dispositions de la loi précitée avec celles de l'article 65 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ii). 5 Projet de règlement grand-ducal, exposé des motifs, page 7. Projet de règlement grand-ducal,

article

' Projet de règlement grand-ducal, exposé des motifs, page
6 [ CNPDI Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1' juin 2021 et amendements gouvernementaux 4/21 Sur l'article 6, paragraphe

(3), du RGPD Comme relevé précédemment, la Commission nationale comprend que les auteurs du projet de règlement grand-ducal entendent faire reposer sur les articles 12 et 13 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC l'accès par le STATEC aux registres

ministratifs, visés à l'article 3 du projet de règlement grand-ducal. Cependant, il y a lieu de s'interroger sur la conformité des dispositions précitées avec celles de l'article 6, paragraphe

(3), du RGPD. En effet, il y a lieu de rappeler que cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal ». Le considérant 41 du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme

De plus, il ressort de l'ouvrage intitulé « Normes et légistique en droit public luxembourgeois » que cette jurisprudence « exige encore que la base en droit interne soit accessible à la personne concernée, qui de surcroît doit pouvoir en prévoir les conséquences pour elle, et sa compatibilité avec la prééminence du droit. Pour satisfaire à l'exigence de prévisibilité, il s'impose que la « loi », dans son acceptation matérielle, use de termes assez clairs pour indiquer à tous de manière suffisante en quelles circonstances et sous quelles conditions elle habilite la puissance publique à recourir à des mesures affectant leurs droits protégés par la Convention, en l'occurrence En ce sens, voir M. Besch, Normes et légistique en droit public luxembourgeois, Vademecum, Larcier, Edition 2019, p.470, n°619, voir entre autres CourEDH, Zakharov c. Russie [GC], n°47413/06, § 228-229, 4 décembre
CNPF Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au ler juin 2021 et amendements gouvernementaux 5/21 l'ingérence dans la vie privée protégée par l'article 8 de la Convention européenne des droits de l'homme »
Ainsi, pour que la licéité du traitement dans le secteur public soit assurée, il faut disposer d'un texte normatif national ou supranational qui peut amener une

ministration ou un service à devoir traiter des données pour remplir ses missions10. S'il ne faut pas qu'un texte prescrive spécifiquement un traitement de données, « la finalité du traitement doit cependant être précise, dans la mesure où le texte amenant l'

ministration à traiter des données doit permettre aux

ministrés d'en déduire la nature des données et les fins pour lesquelles celles-ci sont utilisées »". Or, force est de constater que les dispositions des articles 12 et 13 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC ne semblent pas remplir les exigences des dispositions précitées notamment en ce qu'elles ne respectent pas les critères de précision et de clarté auxquels doit répondre un texte de loi. Sur l'articulation des dispositions de la loi organique du STATEC avec celles de l'article 65 de la loi du ier août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données Comme relevé précédemment, la loi organique du STATEC est antérieure au RGPD ainsi qu'à l'entrée en vigueur de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Or, ces deux derniers textes légaux prévoient des mesures spécifiques quant au traitement de données à des fins statistiques. En effet, conformément à l'article 89 du RGPD, le traitement de données à caractère personnel à des fins statistiques est soumis à « des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données ». En ce qui concerne les garanties devant être mises en œuvre par le responsable du traitement, le considérant 156 du RGPD énonce que « [Iles États membres devraient prévoir des garanties appropriées pour le traitement de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Les 9 Voir M. Besch, Normes et légistique en droit public luxembourgeois, Vademecum, Larcier, Edition 2019, p.469, n°

10 M. Besch, Normes et légistique en droit public luxembourgeois, Vademecum, Larcier, Edition 2019, p.470, n°
11 M. Besch, Normes et légistique en droit public luxembourgeois, Vademecum, Larcier, Edition 2019, p.470, n°
Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au r juin 2021 et amendements gouvernementaux 6/21 États membres devraient être autorisés à prévoir, dans des conditions spécifiques et moyennant des garanties appropriées pour les personnes concernées, des dispositions particulières et des dérogations concernant les exigences en matière d'information et les droits à la rectification, à l'effacement, à l'oubli, à la limitation du traitement, à la portabilité des données et le droit d'opposition lorsque les données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Les conditions et garanties en question peuvent comporter des procédures spécifiques permettant aux personnes concernées d'exercer ces droits si cela est approprié eu égard aux finalités du traitement spécifique concerné, ainsi que des mesures techniques et organisationnelles visant à réduire à un minimum le traitement des données à caractère personnel conformément aux principes de proportionnalité et de nécessité ». En ce qui concerne plus particulièrement les traitements à des fins statistiques, le considérant 162 du RGPD apporte les précisions suivantes « jilorsque des données à caractère personnel sont traitées à des fins statistiques, le présent règlement devrait s'appliquer à ce traitement. Le droit de l'Union ou le droit des États membres devrait, dans les limites du présent règlement, déterminer le contenu statistique, définir le contrôle de l'accès aux données et arrêter des dispositions particulières pour le traitement de données à caractère personnel à des fins statistiques ainsi que des mesures appropriées pour la sauvegarde des droits et libertés de la personne concernée et pour préserver le secret statistique. ». En droit luxembourgeois, l'article 89 du RGPD est transposé à l'article 65 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données qui énumère les mesures appropriées

ditionnelles qui doivent être mises en œuvre lors de tels traitement. Ainsi, au vu de ce qui précède, la CNPD se demande dans quelle mesure les dispositions du chapitre 2 de la loi du ler août 2018 précitée doivent s'articuler avec les dispositions de la loi modifiée du 10 juillet 2011 portant organisation du STATEC. 2. Sur le rôle des différents acteurs impliqués dans le recensement Il ressort du projet de règlement grand-ducal que différents acteurs seront impliqués dans le recensement à savoir le STATEC (i), les communes et les agents recenseurs (ii) et le CTIE (iii). En l'absence de dispositions précises dans le texte sous avis, il convient d'analyser leur rôle d'un point de vue de la protection des données, c'est-à-dire déterminer si les différents acteurs précités agissent en tant que responsable du traitant ou sous-traitant. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1" juin 2021 et amendements gouvernementaux 7/21 Sur le rôle du STATEC L'article 2 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC dispose que le STATEC a pour mission de « réaliser les recensements de la population, du logement et des bâtiments, la date et les modalités de ces recensements étant fixées par règlement grand-ducal ». L'article 10 du projet de règlement grand-ducal précise encore que « [lje recensement est organisé, dirigé, dépouillé et contrôlé par le STATEC » et l'article 16 du projet de règlement grandducal indique que « [ljes

ministrations communales et les agents recenseurs se conforment aux circulaires et aux instructions émises par le STATEC concernant l'exécution du présent règlement ». Le STATEC serait ainsi à qualifier de responsable du traitement au sens de l'article 4, point 7), du RGPD, en ce qu'il détermine les finalités et les moyens du traitement qui serait mis en oeuvre dans le cadre du recensement malgré le fait qu'il reviendrait en réalité au législateur ou au gouvernement de déterminer les finalités et les moyens (voir supra au point II.1.i). La CNPD regrette que le texte sous avis ne précise pas expressément que le STATEC aurait la qualité de responsable du traitement. De telles précisions mériteraient d'être apportées dans le projet de règlement grand-ducal, pour une meilleure compréhension du texte sous avis. Sur le rôle des communes et des agents recenseurs En ce qui concerne le rôle des communes et des agents recenseurs dans le cadre de la mise en œuvre du recensement, l'article 10 du projet de règlement grand-ducal dispose que « [s]ur le plan communal, le recensement est réalisé par des agents recenseurs sous la direction et la surveillance des collèges des bourgmestres et échevins. Ces derniers désignent les agents recenseurs. Les communes s'assurent du caractère exhaustif du dénombrement sur le terrain ». Cet article précise encore que « [ljes communes s'abstiennent d'ajouter aux questionnaires du STATEC toute autre question sous quelque forme que ce soit ». Les auteurs du projet de règlement grand-ducal précisent dans le commentaire des articles que « [s]i l'organisation générale, le dépouillement des questionnaires ainsi que la publication des résultats sont du domaine des compétences du STATEC, les opérations de collecte des données sur le terrain nécessitent l'intervention des

ministrations communales. Les communes seront notamment tenues de vérifier que toutes les personnes ayant leur résidence principale sur leur territoire, et n'ayant pas répondu par voie électroniques, soient invitées à participer à ce recensement à travers la distribution d'un questionnaire papier à travers un agent recenseur. Elles ne pourront pas ajouter d'autres questions ou collectes d'informations autres que celles prévues dans le cadre du présent règlement. »12. 12 Projet de règlement grand-ducal,

Article 10

. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1' juin 2021 et amendements gouvernementaux 8/21 Les auteurs du projet de règlement grand-ducal précisent encore que « c'est aux communes de recruter des agents recenseurs chargés de la distribution et de la collecte des questionnaires papier. Il incombe également aux

ministrations communales de contrôler les documents remis par ces agents recenseurs et de procéder, le cas échéant, aux redressements nécessaires. Les instructions nécessaires sont fournies par des agents du STATEC lors de séances de formation en ligne organisées spécialement à cet effet. A noter que les indemnisations des agents recenseurs seront prises en charge par le STATEC »13 . Enfin, tel qu'énoncé précédemment les communes et les agents recenseurs « se conforment aux circulaires et aux instructions émises par le STATEC concernant l'exécution du présent règlement »14 . Dans la mesure où les communes agissent sur instructions du STATEC et traitent des données à caractère personnel pour le compte du STATEC, ces dernières seraient à qualifier de soustraitants au sens de l'article 4, point 8) du RGPD. Concernant le rôle du sous-traitant, il y a lieu de rappeler que les dispositions de l'article 28 du RGPD seront à respecter et que conformément audit article le sous-traitant « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement » et « veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ». La CNPD comprend par ailleurs que les agents recenseurs agiraient sous l'autorité des communes. Les dispositions de l'article 29 du RGPD15 seraient dès lors également à respecter. Néanmoins, la CNPD se demande si cette qualification de sous-traitant des communes est susceptible de s'appliquer lorsque celles-ci collectent les documents intitulés « l'état récapitulatif « Quartiers de recensement « QR » »16 et « Sections électorales « SE » »17 qui permettent notamment aux communes de certifier le nombre de personnes résidentes par section électorale. En effet, ces dispositions semblent découler des articles 4bis et 5ter de la loi communale du 13 décembre 1988, telle que modifiée. Projet de règlement grand-ducal, exposé des 'motifs, page

Article 16 du projet de règlement grand-ducal. 15 L'article 29 du RGPD dispose que « [ge sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit d'un État membre. ». 16 Article 9, point 5°, du projet de règlement grand-ducal. 17 Article 9, point 6°, du projet de règlement grand-ducal. 13 14 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1" juin 2021 et amendements gouvernementaux 9/21 Dans son avis du 1er février 2021 relatif au projet de règlement grand-ducal, le Syndicat des Villes et Communes Luxembourgeoises indique d'ailleurs que si « les communes sont fortement impliquées dans la réalisation du recensement général de la population (...) (*la s'explique sans doute par le fait que, conformément à l'article 4b1s de la loi communale modifiée du 13 décembre 1988, la fixation du nombre des membres des conseils communaux est basée sur le nombre d'habitants déterminés moyennant un recensement décennal ». Dès lors, pour une meilleure lisibilité du texte sous avis, il serait opportun de clarifier le rôle des communes dans le cadre du recensement afin de permettre de distinguer lorsque celles-ci collectent des données pour le compte du STATEC ou, le cas échéant, pour leur propre compte. iii. Sur le rôle du CTIE Selon l'exposé des motifs, l'une des nouveautés du prochain recensement sera la possibilité de répondre à des questionnaires électroniques via « MyGuichet.lu ». Il ressort du projet de règlement grand-ducal que cette interface numérique a été mise en place par le CTIE en collaboration avec le STATEC
Le CTIE semble dès lors agir en tant que sous-traitant au sens de l'article 4, point 8), du RGPD. Concernant le rôle du sous-traitant, il y a lieu de rappeler que les dispositions de l'article 28 du RGPD seront à respecter. Conformément audit article le CTIE, en tant que sous-traitant, devra traiter « les données à caractère personnel que sur instruction documentée du responsable du traitement » et devra veiller « à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ».
Sur la collecte de catégories particulières de données En vertu de l'article 2 du projet de règlement grand-ducal, le STATEC collectera notamment les informations relatives à « la situation de famille »19 , « les liens entre les différents membres du ménage »20 ou encore « la situation éventuelle de handicap »
Dans la mesure où ces données sont susceptibles de révéler des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle de la personne recensée, ces données sont à qualifier de catégories particulières de données, dites « données sensibles » au sens de l'article 9 du RGPD. 18 Article 7 du projet de règlement grand-ducal. 19 Article 2, 10 lettre k) du projet de règlement grand-ducal. 29 Article 2, 10 lettre l) du projet de règlement grand-ducal. 21 Article 2, 10 lettre p) du projet de règlement grand-ducal. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1e` juin 2021 et amendements gouvernementaux 10/21 De tels traitements requièrent une protection spécifique22 et sont soumis à des exigences plus strictes. Le traitement de « données sensibles » est, en effet, interdit sauf si l'une des conditions visées au paragraphe

(2)de l'article 9 du RGPD est remplie. Dans le cas présent, la Commission nationale se demande si le traitement reposera sur l'article 9, paragraphe

(2), lettre j), du RGPD qui dispose que « le traitement est nécessaire à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l'article 89, paragraphe 1, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée », ou sur l'article 9, paragraphe

(2), lettre g), du RGPD qui dispose que « le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ». En outre, il y a lieu de relever que l'article 64 de la loi du i er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données dispose que « pie traitement de catégories particulières de données à caractère personnel telles que définies à l'article 9, paragraphe ler du [RGPD], peut être mis en œuvre pour les finalités prévues à l'article 9, paragraphe 2, point j) de ce même règlement, si le responsable de traitement remplit les conditions de l'article 65. ». L'article 65 de la loi du 1er août 2018 énumère les mesures appropriées

ditionnelles qui doivent être mises en œuvre par le responsable du traitement lorsque celui-ci est amené à traiter des données à caractère personnel à des fins statistiques. En l'absence de précisions dans le projet de règlement grand-ducal et dans le commentaire des articles quant aux mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée qui seraient, le cas échéant, prises par le STATEC, la CNPD n'est pas en mesure d'apprécier si les conditions de l'article 9, paragraphe

(2), lettre j) ou g), du RGPD seraient remplies en l'espèce. En ce qui concerne la problématique de l'articulation des dispositions précitées avec celles du projet de règlement grand-ducal, il est renvoyé supra au point II du présent avis. En tout état de cause, les auteurs du projet de règlement grand-ducal devraient veiller à la bonne cohérence entre l'ensemble des dispositions précitées ainsi que prévoir des mesures appropriées 22 Voir les affaires rendues par la CJUE du 8 avril 1992, C-62/90, point 23 et du 5 octobre 1994, C-404/92, point

CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au juin 2021 et amendements gouvernementaux 11/21 et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.
Sur la collecte du numéro d'identification national Il ressort des articles 2, 3, et 4 du projet de règlement grand-ducal que le numéro d'identification national au sens de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques sera collecté lors du recensement à des fins statistiques' et afin de « combiner les différentes sources de données entre elles »
Celui-ci serait directement collecté par la STATEC via un accès au Registre National des Personnes Physiques (ci-après le « RNPP »). Si la Commission nationale comprend que le numéro d'identification national serait nécessaire à la qualité des statistiques réalisées dans le cadre du recensement, il y a toutefois lieu de relever que la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques encadrant l'utilisation du numéro d'identification nationale ne prévoit pas un tel traitement de données. En effet, l'article 2, paragraphe

(2), de la loi précitée dispose que « lyes actes, documents et fichiers établis visés à l'article 1, paragraphe

(1), lettre b) peuvent contenir le numéro d'identification, à condition que celui-ci soit réservé à l'usage à des fins

ministratives internes, aux relations entre l'Etat et les communes ou aux relations avec le titulaire du numéro ». Or, le projet de règlement grand-ducal prévoit que le numéro d'identification national serait traité par le STATEC à des fins statistiques et non à des fins

ministratives internes, tel que cela est prévu par l'article 2 précité. Enfin, la CNPD estime que l'utilisation du numéro d'identification national dans le cadre du recensement devrait être encadrée par une loi (voir supra points I et II). 5. Sur l'accès aux registres

ministratifs II y a lieu de féliciter les auteurs du projet de règlement grand-ducal sur les précisions apportées par l'article 3 du projet de règlement grand-ducal quant à l'origine des données à caractère personnel. Ledit article dispose, en effet, que « [l]e recensement se base sur des données issues de registres

ministratifs ainsi que celles récoltées à travers des questionnaires qui seront fusionnées ». Cet article précise encore que lorsque les données ne sont pas collectées via les registres

ministratifs, le reste des informations, visées à l'article 2 du projet de règlement grand-ducal, " Article 2 du projet de règlement grand-ducal 24 Article 4 du projet de règlement grand-ducal CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au l' juin 2021 et amendements gouvernementaux 12/21 seront collectées à l'aide du questionnaire « ménage privé » ou à l'aide du questionnaire « ménage collectif ». Ces questionnaires seront disponibles en version électronique ou en version papier. Bien qu'il convienne de saluer les précisions apportées par l'article 3 du projet de règlement grand-ducal quant aux catégories de données qui seraient collectées via ces fichiers, la Commission nationale tient à apporter les considérations ci-après. Sur l'accès au RNPP Il y a lieu de relever que l'article 4, paragraphe

(1), de la loi modifiée du 19 juin 2013 relative à est établi un registre national qui a pour l'identification des personnes physiques dispose qu'« finalités : (...) la mise à disposition de données de personnes physiques aux responsables des fichiers des organismes publics dans les limites des missions légales de ces organismes ou, à condition que les données soient anonymisées, à des fins statistiques ». Des précisions quant à la portée de ces dispositions sont apportées par le projet de loi n°6330 relative à ridentification des personnes physiques, au registre national des personnes physiques, à la carte d'identité, aux registres communaux des personnes physiques, duquel il ressort que le « registre permettra également d'établir des statistiques au sujet de la population au Luxembourg »25. Par ailleurs, l'article 41 de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques dispose que « files données ou listes de données figurant au registre national ou communal ne peuvent être communiquées à des tiers. Cette interdiction ne vise pas les autorités,

mhistrations, services, institutions ou organismes habilités, par ou en vertu de la loi, à obtenir de telles données ou listes de données et ce pour les informations sur lesquelles porte cette habilitation ». La Commission nationale se félicite que de telles précisions soient apportées, ce d'autant plus que les dispositions prévues par l'article 13 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC26 sont rédigées de manière vague (voir supra au point II du présent avis). Projet de loi n°6330, document parlementaire n°6330/00,

Article 4, page 23.

L'article 13 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC dispose que le « STATEC a un droit d'accès aux informations individuelles, contenues dans les fichiers et bases de données des

ministrations et services publics, collectées dans le cadre de leurs attfibutions

ministratives ». 25 26 [ CNPO Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au le' juin 2021 et amendements gouvernementaux 13/21 ii Sur les registres du Centre commun de la sécurité sociale et des Bâtiments et des Logements Il ressort de l'article 3 du projet de règlement grand-ducal que le STATEC aura accès au registre du Centre commun de la sécurité sociale et au registre des Bâtiments et des Logements. S'il y a lieu de féliciter les auteurs du projet de règlement grand-ducal pour avoir précisé les catégories de données qui seraient collectées à travers de tels registres, certaines précisions mériteraient d'être apportées. En effet, il ne ressort pas clairement des dispositions sous avis si le STATEC aura un accès direct au registre du Centre commun de la sécurité sociale dans la mesure où l'article 3 du projet de règlement grand-ducal dispose que les données seront « reprises du Centre commun de la sécurité sociale à travers l'Inspection générale de la sécurité sociale ». Aucune précision quant à cet accès n'est cependant apporté par les auteurs du projet de règlement grand-ducal dans le commentaire des articles. S'agit-il, dès lors, d'un accès par le STATEC au registre du Centre commun de la sécurité sociale ou d'une communication de données par l'Inspection générale de la sécurité sociale au STATEC ? Les auteurs du projet de règlement grand-ducal devraient apporter des précisions à ce sujet. En ce qui concerne le registre des Bâtiments et des Logements, il y a lieu de relever qu'il ressort de l'exposé des motifs que ce registre a été « créé et maintenu par le STATEC sur base du recensement de 2011 ». La Commission nationale comprend que le STATEC accéderait donc à un de ses propres fichiers. A ce titre, il convient de rappeler que la tenue d'un fichier de données à caractère personnel collectées et traitées par une autorité étatique doit reposer sur une base légale conformément à l'article 6, paragraphe

(3), du RGPD. La CNPD renvoie à ce sujet à ses développements supra au point 11 du présent avis. Enfin, si des fichiers devaient être créés par le STATEC, à l'instar du registre des Bâtiments et des Logements, sur base des données collectées dans le cadre du projet de règlement grandducal alors cela devrait être expressément reflété dans le projet de règlement grand-ducal sous avis. Remarques finales Il y a lieu de relever que dans son avis du 9 mars 2021 relatif au projet de règlement grand-ducal, le STATEC précise qu'il « poursuivra, dans les prochaines années, ses efforts afin de récolter un [ CNPI51 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1" juin 2021 et amendements gouvernementaux 14/21 maximum d'informations à travers les registres

ministratifs et ce afin de réduire la charge statistique des personnes recensées »27. Si telle est la volonté du STATEC, il est impératif que des dispositions spécifiques quant aux accès qui seraient prévus à divers registres

ministratifs soient conformes aux dispositions légales actuelles applicables en matière de protection des données, comme relevé dans les développements supra au point II du présent avis. 6. Sur les mesures de sécurité Conformément à l'article 5, paragraphe

(1), lettre f), du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». L'article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité

apté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. S'il y a lieu de féliciter les auteurs du projet de règlement grand-ducal d'avoir prévu une interdiction aux « fonctionnaires concernés, aux agents recenseurs ainsi qu'à toute personne collaborant aux travaux de recensement ou en lien avec lesdits travaux, de divulguer, de diffuser ou d'utiliser à d'autres fins et de quelque manière que ce soit les renseignements et données dont ils viennent à connaître dans l'accomplissement de leur mission ou de leur intervention »28, il est toutefois essentiel que de telles mesures de sécurité soient mises en œuvre par le STATEC et les

ministrations dont les données sont accédées dans le cadre de ses accès aux différents fichiers

ministratifs, prévus à l'article 3 du projet de règlement grand-ducal, afin d'assurer la confidentialité et la sécurité des données. Dans ce contexte, il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début la personne, et à quelles données précises cette personne aurait accès. 27 28 Page 5 sous le point 3 intitulé « Recours aux registres

ministratifs ». Article 17 du projet de règlement grand-ducal. CNPOi Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1e` juin 2021 et amendements gouvernementaux 15/21 Il est d'ailleurs rappelé qu'un tel accès devrait être limité aux personnes ayant besoin d'en connaître dans le cadre de leur fonction. De même que cet accès ne doit pas permettre une utilisation qui diffère des finalités pour lesquelles ces données sont traitées. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. La CNPD souligne aussi l'importance d'effectuer pro activement des contrôles en interne. A cet effet, il convient conformément à l'article 32, paragraphe

(1), lettre d), du RGPD de mettre en œuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». En ce qui concerne, le recueil des données via les questionnaires papiers, le STATEC devrait également s'assurer du respect des dispositions précitées lorsque le recueil desdits questionnaire se fait par les communes ou les agents recenseurs. Enfin, en ce qui concerne les questionnaires électroniques qui seraient accessibles via la platefomie « MyGuichet.lu », le STATEC devrait également veiller à l'ensemble des dispositions de l'article 32 précitées et s'assurer que le CTIE, en tant que sous-traitant, prend toutes les mesures requises en vertu de l'article précité. 7. Sur la durée de conservation des données Selon l'article 5, paragraphe

(1), lettre e), du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou anonymisées. Le projet de règlement grand-ducal ne précise pas la durée de conservation des données qui seraient collectées à des fins statistiques, ni quels seraient les critères à prendre en compte afin de déterminer une telle durée. Cependant, il convient de relever que l'article 16 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC dispose que « lyorsque l'accomplissement de ses missions ou les finalités statistiques poursuivies exigent l'utilisation de données d'unités statistiques identifiables, le traitement se fait dans le respect des droits et libertés fondamentales des personnes concernées. L'accès à ces données est réservé aux seules personnes chargées d'établir ces statistiques. Dès que l'identification des unités statistiques et tout particulièrement des personnes CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1" juin 2021 et amendements gouvernementaux 16/21 physiques n'est plus nécessaire dans la chaîne de production des statistiques, les données seront anonymisées ». Conformément aux dispositions précitées faut-il dès lors comprendre que les données seront anonymisées dès que celles-ci ne seront plus nécessaires « dans la chaîne de production des statistiques » ? En l'absence de précisions à ce sujet dans le projet de règlement grand-ducal et dans le commentaire des articles, la Commission nationale n'est pas en mesure d'apprécier si, en l'occurrence, le principe de durée de conservation limitée des données serait respecté. 8. Sur les droits des personnes concernées Selon l'article 5, paragraphe

(1), lettre (a), du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (principe de licéité, loyauté, transparence). Ce principe implique notamment que le STATEC devra respecter les dispositions de l'article 13 du RGPD pour les données collectées directement auprès de la personne concernée, sinon celles de l'article 14 du RGPD, lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée elle-même, c'est-à-dire celles collectées notamment via l'accès aux registres

ministratifs. En vertu de ces articles, le responsable du traitement devra fournir à la personne concernée des informations au sujet du traitement la concernant, notamment pour garantir un traitement équitable et transparent. Il est précisé que dans le cas de l'article 14 du RGPD, ces informations devront être fournies à la personne concernée au plus tard un mois après que le responsable du traitement ait obtenu les données. Par ailleurs, l'article 89, paragraphe

(2), du RGPD dispose que « Norsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, le droit de l'Union ou le droit d'un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18 et 21, sous réseive des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure OÙ ces droits risqueraient de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités ». L'article 63 de la loi du ier août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données dispose encore que « [ilorsque les données à caractère personnel sont traitées à des fins de recherche scientifique ou historique, ou à des fins statistiques, le responsable du traitement peut déroger aux droits de Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1e` juin 2021 et amendements gouvernementaux 17/21 la personne concernée prévus aux articles 15, 16, 18 et 21 du [RGPD] dans la mesure où ces droits risquent de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques, sous réserve de mettre en place des mesures appropriées telles que visées à l'article 65 ». Si les auteurs du projet du règlement grand-ducal entendent déroger aux droits des personnes concernées conformément aux dispositions précitées, cela devrait être précisé obligatoirement dans le texte sous avis. Ill. Sur l'utilisation du numéro d'identification national « à des fins de fusion des données issues des registres

ministratifs et des questionnaires électroniques ou papiers » L'article 3 du projet de règlement grand-ducal dispose que les données collectées seraient « combinées entre elles à travers le numéro d'identification et l'

resse de résidence ». A ce sujet, les auteurs du projet de règlement grand-ducal précisent dans leur commentaire des articles que « les données tirées des registres et des sources alternatives (questionnaires électroniques ou papiers) sont fusionnées en ayant recours aux numéros d'identification national. Ces fusions sont réalisées de manière automatisée »

Il ressort encore de l'article 4 du projet de règlement grand-ducal que le numéro d'identification national serait collecté afin de « combiner les différentes sources de données entre elles »
Les auteurs du projet de règlement grand-ducal précisent dans le commentaire des articles qu'un tel numéro d'identification national servirait « à des fins de fusion des données issues des registres

ministratifs et des questionnaires électroniques ou papiers »31. Cependant, il y a lieu de constater que, dans l'exposé des motifs, les auteurs du projet de règlement grand-ducal emploient une terminologie différente et évoquent l' « utilisation du numéro d'identification national en vue de l'interconnexion des différents registres

ministratifs »

Sur la notion « interconnexion » Or, en ce qui concerne le terme « interconnexion », il y a lieu de rappeler qu'en matière de protection des données le concept d' « interconnexion »33 signifie que les traitements des 29 Projet de règlement grand-ducal,

Article 3. 3° Article 4 du projet de règlement grand-ducal.

31 Projet de règlement grand-ducal,

Article 4. Projet de règlement grand-ducal, exposé des motifs, page 3.

La version initiale de la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, désormais abrogée, définissait à l'article 2, lettre (j) l'interconnexion comme : « toute forme de traitement qui consiste en la corrélation de données traitées pour une finalité avec des données traitées pour des finalités identiques ou liées par un ou d'autres responsables du traitement ». 32 33 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1e` juin 2021 et amendements gouvernementaux 18/21 données sont reliés et peuvent être gérés par les responsables des différents traitements concernés. Toutefois comme cela ne semble pas être le cas en l'espèce, la CNPD comprend que le STATEC souhaite mettre en commun, par des moyens techniques, les données collectées via les registres

ministratifs et les questionnaires (sous forme papier et électronique). Pour plus de clarté et afin d'éviter toute confusion, il conviendrait de veiller à utiliser une terminologie uniforme à ce sujet. 2. Sur le lien entre le numéro d'identification national et la « clé recensement » Comme relevé ci-avant « les données tirées des registres et des sources alternatives (questionnaires électroniques ou papiers) sont fusionnées en ayant recours aux numéros d'identification national. Ces fusions sont réalisées de manière automatisée »'. Cependant, il ressort encore du projet de règlement grand-ducal que « [lje rôle des agents recenseurs est essentiel car, en plus de la distribution des questionnaires papiers, il permet d'améliorer le taux de participation et de faire le lien entre les données issues des données

ministratives et des données issues des questionnaires et ce à travers la 'clé recensement', clé unique qui est indiquée par les agents recenseurs sur les listes de contrôles et sur les questionnaires ». De plus, dans son avis du 9 mars 2021 relatif au projet de règlement grand-ducal, le STATEC indique que « [lja fusion des données issues des registres

ministratifs et des questionnaires sera facilitée car contrairement à l'option « courrier postal », l'agent recenseur doit indiquer sur chaque questionnaire une clé « recensement » unique par personne. Cette clé, permettant /a fusion des données

ministratives et celles issues des questionnaires au niveau de l'Individu, sera utilisée en complément du matricule afin que cette fusion des données soit optimale. Cette fusion des données est une étape clé dans la réussite du recensement de la population. Sans cette fusion, les données récoltées ne seront pas exploitables et le STATEC ne pourra satisfaire les obligations de la réglementation européenne ». Or, en l'absence de précision quant aux éléments qui constitueraient cette clé « recensement », la Commission nationale se demande quel serait le lien entre cette clé et le numéro d'identification national, qui ont tous deux pour objet de fusionner les données receuillies dans le cadre du recensement. En outre, cette clé est-elle constituée d'un numéro aléatoire attribué à une personne recensée ou est-elle constituée en partie du numéro d'identification national de la personne recensée ? 34 Projet de règlement grand-ducal,

Article 3

. Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au r juin 2021 et amendements gouvernementaux 19/21 Des précisions à ce sujet mériteraient d'être apportées par les auteurs du projet de règlement grand-ducal. 3. Sur la durée de conservation des données Selon l'article 5, paragraphe

resse de résidence, le nom et le prénom « seront supprimées au maximum trois années après la date de recensement ». Cependant, l'article 16 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC dispose que « [I]orsque l'accomplissement de ses missions ou les finalités statistiques poursuivies exigent l'utilisation de données d'unités statistiques identifiables, le traitement se fait dans le respect des droits et libertés fondamentales des personnes concernées. L'accès à ces données est résetvé aux seules personnes chargées d'établir ces statistiques. Dès que l'identification des unités statistiques et tout particulièrement des personnes physiques n'est plus nécessaire dans la chaîne de production des statistiques, les données seront anonymisées ». La Commission nationale comprend dès lors que les dispositions de l'article 4 du projet de règlement grand-ducal dérogent aux dispositions de l'article 16 précité. S'il convient tout d'abord de rappeler qu'un règlement grand-ducal ne peut déroger à une loi, la CNPD s'interroge encore sur les critères qui justifieraient que le numéro d'identification national, l'

resse de résidence, le nom et le prénom soient conservées au maximum trois ans après la date de recensement ? En l'absence de précisions à ce sujet dans le commentaire des articles, la Commission nationale n'est pas en mesure d'apprécier si, en l'occurrence, le principe de durée de conservation limitée des données serait respecté. Des précisions à ce sujet mériteraient d'être apportées par les auteurs du projet de règlement grand-ducal. [ CNPI51 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au ler juin 2021 et amendements gouvernementaux 20/21 Ainsi décidé à Belvaux en date du ler juin 2021. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date2021.06.02 10:45:00 +0200' Tine A. Larsen Présidente CNPD Digitally signed by CHRISTOPHE Digitally signed by CHRISTOPHE NICOLAS Thierry SUSCHMANN ThierrY Lallemang NICOLA S Date:2021.06.02 Date: 2021.06.02 Lallemang 17:13:58 +02'00' BUSCHMANN 15:35:35 +0200' Thierry Lallemang Commissaire Christophe Buschmann Commissaire Marc Ernest DMiagriCaEllrynesit ne .lan edby Jean-Pierre Pierre Lemmer Date: 2021.0602 Lemmer 15:38:29 -F-02'00' Marc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au ler juin 2021 et amendements gouvernementaux 2 1/2 1

🔗 Vers la source officielle