Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal

(1), lettre c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Le Ier juin 2021, la CNPD a avisé le projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 1er juin 2021 (ciaprès le « projet de règlement grand-ducal ») ainsi que des amendements gouvernementaux au projet de règlement grand-ducal, adoptés par le Conseil de gouvernement dans sa séance du 2 avril 20211. Par courrier en date du 11 juin 2021, Monsieur le Ministre de l'Economie a invité la Commission nationale à aviser les amendements gouvernementaux, adoptés par le Conseil de gouvernement dans sa séance du 11 juin 2021 (ci-après les « amendements »). 1. Ad Amendement 1 Les auteurs du projet de règlement grand-ducal précisent dans le commentaire de l'article 2, tel que modifié, que le traitement des données visées audit article et qui concernent la vie sexuelle ou l'orientation sexuelle d'une personne physique seront traitées sur base de l'article 9, paragraphe

(2), lettre j), du RGPD. S'il y a lieu de saluer de telles précisions, la CNPD réitère ses observations formulées dans son avis du 1er juin 2021 quant aux mesures appropriées additionnelles qui devront être mises en œuvre par le STATEC lorsque celui-ci est amené à traiter de telles données à des fins statistiques2 ainsi qu'à la problématique relative à l'articulation des dispositions de la loi du 1er 'Avis de la Commission pour la protection des données relatif au projet de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au ler juin 2021ain5i que des amendements gouvernementaux au projet de règlement grand-ducal, délibération n°23/AV18/2021 du 1' juin 2021. 2 Voir point II. 3., page 10. CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 8 novembre 2021 1/5 août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, avec celles du projet de règlement grand-duce. 2. Ad Amendement 2 Cet amendement a pour objet d'introduire un nouvel article 3 qui dispose que « [11e . recensement récoltera à des fins administratives les informations suivantes :

1. a)le nom et le prénom ;
2. b)le numéro d'identification au sens de la loi modifiée du 19 juin 2013 relative à l'identification des personnes. Ces informations serviront uniquement à combiner les données des registres administratifs ainsi que celles récoltées à travers les questionnaires ». Dans le commentaire du nouvel article 3, les auteurs du projet de règlement grand-ducal précisent que ces données serviraient « uniquement » à combiner les différents registres administratifs et qu'aucune utilisation statistique de ces données ne serait prévue par le STATEC. Pour une meilleure compréhension du dispositif sous avis et dans la mesure où le STATEC sera le responsable du traitement, il y aurait lieu de remplacer le terme « recensement » par le « STATEC ». En ce qui concerne les données énumérées aux points
3. a)et
4. b)de l'article précité, qui seraient désormais collectées à des fins administratives par le STATEC (et non à des fins statistiques), il y a lieu de s'interroger sur le sens de telles finalités. Il convient de rappeler que les finalités d'un traitement de données à caractère personnel correspondent à l'objectif qui est poursuivi par le responsable du traitement lorsque celui-ci met en œuvre un tel traitement. En l'espèce, la CNPD comprend que le STATEC collectera de telles données car celles-ci lui seront nécessaires aux fins de la bonne organisation du recensement. Par ailleurs, l'utilisation du numéro d'identification national « à des fins administratives internes », tel que visé à l'article 2, paragraphe

(2), de la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques, est à comprendre, par exemple, comme l'utilisation par une administration du matricule d'un de ses administrés dans le cadre du traitement de son dossier. Dès lors, la Commission nationale se demande si la terminologie employée, pour désigner les finalités prévues par le nouvel article 3, reflète les finalités qui seraient effectivement poursuivies par le STATEC dans un tel contexte. En tout état de cause, la terminologie employée est trop vague et ne respecte pas les exigences de clarté, de précision et de prévisibilité auxquelles un texte légal doit répondre, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. Voir point 11.1., page

1. En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; Voir entre autres CourEDH, Zakharov e. Russie [GCL 3 CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 8 novembre 2021 2/5 En outre, en ce qui concerne l'utilisation du numéro d'identification national, la CNPD réitère ses observations formulées dans son avis du I er juin 2021 selon lesquelles elle considère qu'à défaut de base légale appropriée dans la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques, l'utilisation du numéro d'identification national dans le cadre du recensement devrait être encadrée par une 1oi
3. Ad Amendement 3 Il y a lieu de féliciter les auteurs du projet de règlement grand-ducal d'avoir modifié l'article 3, alinéa 3, du projet de règlement grand-ducal suite aux observations formulées par la CNPD dans son avis du 1er ju in
4. De même que la Commission nationale salue les précisions apportées par les auteurs du projet de règlement grand-ducal, selon lesquelles « STATEC n'aura pas un accès direct au registre du Centre commun. Seules les données mentionnées seront fournies au STATEC par l'Inspection générale de la sécurité sociale ».
5. Ad Amendement 4 Cet amendement a pour objet de modifier l'article 4, dernier alinéa, du projet de règlement grandducal en ces termes « [u]ne fois ces deux opérations terminées, ces informations seront supprimées dès que l'identification des personnes physiques n'est plus nécessaire dans la chaîne de production des statistiques. Cette suppression des données devra être faite endéans les au-maximum trois années après la date de recensement de sorte qu'aucune donnée nominative ne figure dans le fichier informatique établi sur la base des données du recensement. ». Selon les auteurs du projet de règlement grand-ducal, cet amendement tient compte des remarques de la Commission nationale et « ce afin d'être cohérent avec l'article 16 de la loi modifiée du 10 juillet 2011 portant organisation du STATEC. Les conditions mentionnées dans cet article sont mêmes plus strictes que celles se trouvant dans la loi du STATEC car ces opérations devront être réalisées endéans les trois ans à partir de la date de recensement ». Bien qu'il convienne de féliciter les auteurs du projet de règlement grand-ducal d'avoir pris en compte les considérations de la CNPD dans son avis du 1er juin dernier, les critères, qui justifieraient que les données soient supprimées endéans le délai de 3 ans, ne sont pas indiqués dans le texte du projet de règlement grand-ducal ou dans les commentaires de l'article. Dès lors, en l'absence de telles précisions, la Commission nationale n'est pas en mesure d'apprécier si, en l'occurrence, le principe de durée de conservation limitée des données serait respecté. n"47413/06], § 228-229, 4 décembre 2015, CourEDH, Vavrièlça et autres c. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril
6. 5 Voir points 1.1., page 2 et 11.4., page
7. [ CNP15- Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 8 novembre 2021 3/5 Pour le surplus et en ce qui concerne la durée de conservation des données traitées à des fins statistiques et non visées par l'article précité, il convient de réitérer les observations formulées par la CNPD dans son avis précité'.
8. Ad Amendement 5 Il y a lieu de saluer les auteurs du projet de règlement grand-ducal d'avoir précisé les éléments qui composent la clé d'identification. De plus, bien que l'article 9 du projet de règlement grand-ducal, tel que modifié par l'amendement 5, dispose que « [c]ette clé technique est unique par personne, ne permet pas de retrouver le matricule et n'est utilisée qu'à des fins administratives », aucune précision quant au lien qui unirait cette clé et le numéro d'identification national n'a été apportée par les auteurs du projet de règlement grand-ducal. Or, le STATEC dans son avis du 9 mars 2021 relatif au projet de règlement grand-ducal avait indiqué que cette clé permettrait « la fusion des données administratives et celles issues des questionnaires au niveau de l'individu, sera utilisée en complément du matricule afin que cette fusion des données soit optimale. Cette fusion des données est une étape clé dans la réussite du recensement de la population. Sans cette fusion, les données récoltées ne seront pas exploitables et le STATEC ne pourra satisfaire les obligations de la réglementation européenne ». Dès lors, en l'absence de telles précisions, la CNPD n'est pas en mesure de saisir les problématiques éventuelles qui pourraient se poser d'un point de vue de la protection des données. En outre, dans la mesure où cette clé constituerait un identifiant unique, elle se demande si une telle clé ne serait pas à analyser comme un « nouveau matricule ».
9. Ad Amendement 6 Il y a lieu de féliciter les auteurs du projet de règlement grand-ducal d'avoir expressément prévu à l'article 10 du projet de règlement grand-ducal que le STATEC aura la qualité de responsable du traitement au sens de l'article 4, point 7), du RGPD. Néanmoins, des précisions quant aux rôles des communes, des agents recenseurs et du CTIE, n'ont pas été apportées par les auteurs du projet de règlement grand-ducal. Dès lors, la CNPD réitère à ce sujet ses observations formulées dans son avis du 1er juin
10. 7 En outre, cet amendement introduit un nouvel alinéa 4 à l'article 6 du projet de règlement grandducal qui précise que les communes profiteront du recensement « afin de contrôler, par leurs propres moyens, le caractère exhaustif de leur registre de la population », tout en prévoyant que les données collectées par ces dernières, dans le cadre du recensement, ne pourront pas être utilisées « pour mettre à jour leur registre de la population ». 6 Voir point 11.7., page 1
11. 7 Voir point 11.2., page
12. CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 8 novembre 2021 4/5 Or, bien que le principe d'une non réutilisation des données collectées par les communes, dans le cadre du recensement, figure désormais à l'article précité, il y a lieu de s'interroger sur les moyens qui permettraient aux communes de contrôler le caractère exhaustif de leur registre de la population, si ce n'est justement par la réutilisation des données que ces dernières collecteront dans le cadre du recensement.
13. Ad Amendement 7 Cet amendement fait suite aux observations de la Commission nationale formulées dans son avis du 1er juin 2021 et propose l'introduction d'un nouvel article 21 qui a pour objet de préciser les dérogations qui seraient effectuées aux droits des personnes concernées. Néanmoins, conformément au principe de la hiérarchie des normes juridiques, qui impose le parallélisme des formes, de telles dispositions, qui entendent déroger aux droits des personnes concernées, tel que prévu à l'article 63 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, devraient figurer dans une loi et non dans un règlement grand-ducal. La Commission nationale réitère d'ailleurs l'ensemble de ses observations formulées dans son avis du 1er juin 2021 relatif à ses interrogations quant à la conformité du projet de règlement grand-ducal aux dispositions des articles 11, paragraphe

(3)et 32, paragraphe

(3)de la Constitution, alors qu'il réglerait des points essentiels d'une matière réservée à la loi, notamment lorsqu'il définit qui est le responsable du traitement, les finalités des traitements qui seraient mis en œuvre, en ce qu'il prévoit l'accès à des fichiers administratifs par le STATEC, ou encore en ce qu'il prévoit l'utilisation du numéro d'identification nationa

1. Ainsi décidé à Belvaux en date du 2 juillet
2. La Commission nationale pour la protection des données Tine Annemarie Larsen IDitztaA11=e:J by T , re Larsen Date 2021D7.05 1OE0136 +02D0' Tine A. Larsen Présidente 8 hierry Lallemang Digitally signed by Thierry Lallemang Date: 2021.07.05 13:45:08 +0200' Thierry Lallemang Commissaire Digitally signed by CHRISTOPHE NICOLAS BUSCHMANN Date: 2021.07.05 13:31:15 +0200' Marc Ernest by Marc Ernest Jean-Pierre Date 2021.07.05 Lemmer Christophe Buschmann Commissaire Marc Lemmer Commissaire CHRISTOPHE NICOLAS BUSCHMANN signed 1134:51 +02'00' Voir point 1, page
3. [ CNPE1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de de règlement grand-ducal prescrivant un recensement général de la population, des logements et des bâtiments du Grand-Duché au 8 novembre 2021 5/5