Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organi

(1), du projet de règlement grand-ducal a pour objet d'énumérer les catégories de données qui seraient traitées par l'administration pénitentiaire dans le cadre de ses missions visées à l'article 3 de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire. 1. Remarques liminaires Il ressort du commentaire des articles que les données énumérées au paragraphe

(1)de l'article 127 du projet de loi « étaient déjà traitées sur base de l'article 43 du règlement du 24 mars

1. Eu égard aux dispositions de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécunté nationale, il a été considéré comme utile tout d'abord d'effectuer un tri dans les registres énumérés à l'article 43 du règlement précité de 1989, alors que certains registres n'existent plus à l'heure actuelle, et par ailleurs, d'énumérer de manière détaillée toutes les données qui seront dorénavant traitées par l'administration pénitentiaire ». L'article 43 du règlement grand-ducal du 24 mars 1989 concernant l'administration et le régime interne des établissements pénitentiaires, qui sera abrogé par le projet de règlement grand-ducal, listait 16 registres à savoir :
2. le registre des peines ;
3. le registre des personnes mises à la disposition du Gouvernement pour vagabondage et mendicité ou en vertu d'une mesure prise en exécution de l'article 15 de la loi du 28 mars 1972 concernant l'entrée et le séjour des étrangers ;
4. le registre des prévenus qui se trouvent sous mandat d'amener, mandat de dépôt ou mandat d'arrêt ;
5. le registre des mineurs placés à la section disciplinaire ;
6. le registre des détenus militaires ; le registre de l'état journalier de la population pénitentiaire ;
8. le registre des punitions ;
9. le registre des valeurs en numéraire déposées par les détenus et
10. le répertoire alphabétique des détenus ;
11. le répertoire alphabétique de la correspondance des détenus ;
12. les dossiers individuels des détenus ;
13. le registre des déclarations d'opposition ; le registre des déclarations d'appel et des pourvois en cassation ;
15. l'agenda des élargissements ;
16. le registre faisant mention des reclus volontaires d'après l'article 332 du règlement ; et
17. le registre des élections de domicile. Désormais, le projet de règlement grand-ducal ne semble en prévoir que 6, à savoir : - le registre d'admission' ; Voir article 128 du projet de règlement grand-ducal CNPI31 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires 2/13 le dossier individuel2 ; le dossier d'insertion s0c1a1e3 ; le registre des fouilles4 ; le registre visé à l'article 123 du projet de règlement grand-ducal ; et le registre des visites
18. Par ailleurs, la CNPD comprend que certaines des catégories de données listées à l'article 127, paragraphe

(1), du projet de règlement grand-ducal ont vocation à se retrouver dans les registres susmentionnés. 2. Sur le responsable du traitement Selon les dispositions de l'article 127, paragraphe

(1), du projet de règlement grand-ducal, l'administration pénitentiaire traitera les données y énumérées. La Commission nationale comprend dès lors que l'administration pénitentiaire serait à qualifier de responsable du traitement. Selon l'article 4 de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire, l'administration pénitentiaire comprend la direction, le centre pénitentiaire d'Uerschterhaff, le centre pénitentiaire de Luxembourg, le centre pénitentiaire de Givenich et l'institut de formation pénitentiaire. Dans la mesure où l'administration pénitentiaire englobe plusieurs organes, la Commission nationale se demande si les organes la constituant ne seraient pas, pour certains traitements de données, à qualifier de responsables de traitement séparés. En effet, et à titre d'exemple, les articles 128 et 129 du projet de règlement grand-ducal se réfèrent à des registres qui seraient tenus par le greffe des centres pénitentiaires. La tenue de tels registres par les centres pénitentiaires suggère que ces derniers seraient à qualifier de responsables de traitement. Des clarifications à ce sujet mériteraient d'être apportées par les auteurs du projet de règlement grand-ducal. 3. Sur les finalités des traitements de données à caractère personnel Comme relevé précédemment, l'article 127 du projet de règlement grand-ducal, a pour objet d'énumérer à son paragraphe

(1), les catégories de données qui seraient traitées par l'administration pénitentiaire conformément à l'article 3, paragraphe

(4), de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire. Voir article 129 du projet de règlement grand-ducal Voir article 130 du projet de règlement grand-ducal ° Voir article 121 du projet de règlement grand-ducal Voir article 103 du projet de règlement grand-ducal CNPII Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires 3113 L'article 3, paragraphe

(4), de loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire dispose que « pj'administration pénitentiaire est autorisée à traiter les données à caractère personnel relatives aux personnes dont elle a la charge et celles relatives aux infractions, aux condamnations et autres décisions judiciaires. Ces données ne peuvent être traitées qu'en vue des finalités visées aux articles / er, paragraphe 2, et 37 ». L'article 1, paragraphe

(2), de la loi précitée dispose notamment que « N'objectif de la mise en oeuvre des peines privatives de liberté est de concilier la protection de la société, la sanction du condamné et les intérêts de la victime avec la nécessité de préparer l'insertion de la personne détenue afin de lui permettre de mener une vie responsable et de prévenir la commission de nouvelles infractions. ». L'article 37, paragraphe

(1), de la loi précitée dispose encore que « N'accès de toute personne, y compris de celles visées à l'article 24, à un centre pénitentiaire peut être soumis à un contrôle de sécurité et de sûreté de la personne, de son identité, de ses bagages et effets personnels, ainsi que du véhicule et de son chargement lorsque ce véhicule entre dans l'enceinte du centre pénitentiaire. Ce contrôle ne peut pas porter sur des dossiers, documents ou pièces qui sont couverts par un secret professionnel ou qui relèvent du secret de l'instruction. Les portedocuments ou autres récipients dans lesquels se trouvent les dossiers, documents ou pièces concernés ne peuvent faire l'objet que d'un contrôle visuel sommaire permettant de constater qu'ils ne contiennent pas d'objets, matières et substances prohibés par la loi ou interdits par règlement grand-ducal pris sur base de l'article 36, paragraphe 2, à l'exclusion de tout contrôle qui permettrait de prendre connaissance du contenu des dossiers, documents ou pièces concernés ». Par ailleurs, il y a lieu de relever qu'il résulte des travaux préparatoires de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard des traitements en matière pénale ainsi qu'en matière de sécurité nationale que « N'administration pénitentiaire, pour sa part, sera soumise tantôt aux dispositions du règlement (UE) n° 2016/679, tantôt à celles de la future loi transposant la directive (UE) n° 2016/680, en fonction de la finalité exacte du traitement de données à caractère personnel : s'il s'agit de données que l'administration pénitentiaire traite pour mettre en oeuvre les décisions prises dans le cadre de l'exécution des peines, le dispositions de la future loi seront d'application; en revanche, s'il s'agit de traitements de données à caractère personnel ayant comme finalité la simple gestion des centres pénitentiaires, comme par exemple la gestion des badges d'entrée ou des visiteurs, le règlement (UE) n° 2016/679 sera d'application. ». Dès lors, afin de déterminer les dispositions qui seraient applicables aux traitements de données effectuées par l'administration pénitentiaire dans le cadre du projet de règlement grand-ducal, une attention particulière devrait être portée aux finalités qui seraient poursuivies par le responsable du traitement. Or, il y a lieu de regretter que les auteurs du projet de règlement grand-ducal ne se réfèrent qu'à la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard des traitements en matière pénale ainsi qu'en matière de sécurité nationale. CNP6- Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires 4/13 En effet, la CNPD estime que les traitements effectués dans le cadre de l'article 37, paragraphe

(1), de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire devraient être soumis aux dispositions du RGPD. 4. Sur les catégories de données collectées par « l'administration pénitentiaire » La CNPD se félicite que l'article 127, paragraphe

(1)du projet de règlement grand-ducal énumère les catégories de données amenées à être traitées par le responsable du traitement. Toutefois, certaines imprécisions demeurent, de sorte que la Commission nationale entend formuler les observations ci-après. A. Sur les données relatives aux mineurs La CNPD comprend que des données à caractère personnel relatives à des mineurs seraient susceptibles d'être traitées. En effet, il résulte de l'article 6 de la loi modifiée du 10 août 1992 relative à la protection de la jeunesse, qu'un mineur peut être placé dans un établissement disciplinaire de l'Etat, soit au Centre pénitentiaire de Luxembourg, si une mesure de placement dans un établissement ordinaire de garde, d'éducation ou de préservation est inadéquate en raison de la mauvaise conduite ou du comportement dangereux du mineur en cause. Or, il y a lieu d'attirer l'attention des auteurs du projet de règlement grand-ducal sur le considérant 50 de la directive relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale qui énonce que « les mesures prises par le responsable du traitement devraient comprendre l'établissement et la mise en œuvre de garanties spécifiques destinées au traitement de données à caractère personnel relatives aux personnes physiques vulnérables telles que les enfants ». B. Sur les catégories particulières de données L'article 127, paragraphe

(1), du projet de règlement grand-ducal dispose notamment que « l'administration pénitentiaire peut traiter (...) 2° toute documentation constatant des blessures visibles subies antérieurement à son admission au centre pénitentiaire ; (...) 11° les noms et prénoms des personnes à prévenir en cas de (...) maladie grave ou de décès ; 12° les informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutique des détenus ; 13° les informations contenues dans les rapports d'expertise ». La CNPD comprend que les rapports d'expertise susvisés font référence aux rapports d'expertise visés à l'article 17, paragraphe

(1), de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire qui dispose que « N'administration pénitentiaire reçoit de plein droit, au moment de la mise en détention d'une personne, copie de la décision judiciaire sur base de laquelle la détention est effectuée, ainsi que des rapports d'expertise qui concernent le détenu ». CNPII Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires. 5/13 Les auteurs du projet de loi N°7042 portant réforme de l'administration pénitentiaire avaient précisé au sujet de ces rapports que « lent visés par cela principalement les rapports relatifs à la santé physique et psychique du concerné »6. Les informations contenues dans de tels rapports sont, dès lors, susceptibles d'être relatifs à la santé physique et psychique du détenu concerné. Ainsi, les informations précitées visées à l'article 127, paragraphe

(1), du projet de règlement grand-ducal sont susceptibles d'être qualifiées de catégories particulières de données dans la mesure où celles-ci sont susceptibles de se rapporter à l'état de santé du détenu. Par ailleurs, si de tels traitements sont effectués dans le cadre de la mise en œuvre de décisions prises dans le cadre de l'exécution des peines alors les dispositions de l'article 9 de la loi du 1or août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale seront applicables. A contrario, si les traitements sont effectués à des fins de gestion des centres pénitentiaires alors les dispositions de l'article 9 du RGPD seront applicables. a. Sur le respect des dispositions légales spécifiques relatives aux catégories particulières de données Il y a lieu de relever que les traitements de catégories particulières de données requièrent une protection spécifique et sont soumis à des exigences plus strictes. Ainsi, si la loi du ier août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale a vocation à s'appliquer, alors les dispositions prévues à son article 9 seront applicables. Ces dispositions prévoient notamment que de tels traitements sont autorisés « uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :

1. a)lorsqu'ils sont autorisés par le droit de l'Union européenne ou en application de la présente loi ou d'une autre disposition du droit luxembourgeois ; pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne
2. b)physique, ou lorsque le traitement porte sur des données manifestement rendues publiques par la
3. c)personne concernée ». Le chapitre Vin du projet de règlement grand-ducal ainsi que les commentaires des articles ne précisent cependant pas quelles seraient les garanties appropriées qui seraient mises en œuvre par le responsable du traitement. La CNPD estime qu'il est important, compte tenu de la nature des données en cause, que de telles garanties soient prévues par le responsable du traitement. 6 Voir projet de loi, document parlementaire n7042/00, Ad article 18, page 33. CNP61 Avis de la Commission nationale pour la protection des données relatif au projet de réglement grand-ducal portant organisation des régimes internes des centres pénitentiaires. 6/13 En outre, si le RGPD a vocation à s'appliquer alors les dispositions de l'article 9 du RGPD s'appliqueront. Cet article prévoit qu'en principe de tels traitements de données sont interdits sauf si l'une des conditions visées au paragraphe

(2)de l'article précité est remplie. Dans le cas présent, la Commission nationale estime que de tels traitements de données pourraient reposer sur l'article 9, paragraphe

(2), lettre h), du RGPD qui dispose que « le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3 ». Ainsi, les auteurs du projet de règlement grand-ducal devraient particulièrement être attentifs aux « mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée » qui devraient être mises en œuvre par le responsable du traitement dans le cadre des traitements de catégories particulières de données. b. Sur l'origine des catégories particulières des données i. Sur « les informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutiques » Bien que le projet de règlement grand-ducal précise que les « informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutiques » figurent dans le dossier individuel' et dans le dossier d'insertion sociale du détenu8, il y a lieu de s'interroger sur l'origine des « informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutiques ». La CNPD se demande si les « informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutiques » proviendraient du dossier médical du détenu. Si tel devait être le cas, il y a lieu de relever que l'article 26, paragraphe

(4), de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire dispose que « Nes prestations de soins de santé sont documentées par le médecin traitant du détenu dans un dossier médical. Sans préjudice du secret professionnel visé à l'article 458 du Code pénal ou de toute autre obligation de confidentialité professionnelle, le médecin traitant du détenu ainsi que tous les autres professionnels le cas échéant tenus à un secret professionnel ou à une obligation de confidentialité peuvent échanger avec l'administration pénitentiaire les informations indispensables lorsqu'il est dans l'intérêt du détenu concemé, des autres détenus, du personnel ou de la sécurité, de la salubrité du centre pénitentiaire ou des autres personnes ayant des Article 129 du projet de règlement grand-ducal Article 130 du projet de règlement grand-ducal CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation cies régimes internes des centres pénitentiaires. 7/13 contacts physiques avec les détenus, y compris en ce qui concerne la lutte contre des maladies contagieuses ». Dans le projet de loi relatif à la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire les auteurs du projet de loi avaient relevé que lesdites dispositions légales visaient à « conférer une valeur légale au droit du détenu de bénéficier des soins dont il a besoin conformément à son état de santé physique et psychique » et à créer « une base légale permettant un meilleur échange d'informations cette fois-ci entre les médecins et les autres intervenants le cas échéant tenus à un secret professionnel ou une obligation de confidentialité et l'administration pénitentiaire (...) le paragraphe 4 sous examen prévoit une disposition légale visant à permettre aux acteurs impliqués de mieux communiquer entre eux et de s'échanger les informations nécessaires aux meilleurs soins du détenu/patient. (...) 11 est important de relever à cet égard qu'il n'est en aucune manière question d'imposer un échange d'informations à qui que ce soit mais au contraire de créer une base légale visant à permettre un échange d'informations lorsque leur détenteur est persuadé qu'un échange est propice à la santé du détenu/de son patient. La formulation „Sans préjudice du secret professionnel ..." vise donc à souligner que les acteurs impliqués ne sont pas déliés de leurs obligations de secret et/ou de confidentialité, mais qu'ils sont autorisés et encouragés à rechercher par exemple plus activement le consentement de leur patient afin d'échanger des informations »9. Dès lors, dans une telle hypothèse les traitements de données relatifs aux « informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutique des détenus » devraient se faire en conformité avec les dispositions de l'article 26, paragraphe

(4)de la loi précitée. En tout état de cause, la Commission nationale estime que l'administration pénitentiaire ne devrait pas avoir accès à l'ensemble des informations contenues dans le dossier médical et donc à l'ensemble des « informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutique des détenus ». En effet, l'accès à de telles données devrait être limité aux « informations indispensables lorsqu'il est dans l'intérêt du détenu concerné, des autres détenus, du personnel ou de la sécurité, de la salubrité du centre pénitentiaire ou des autres personnes ayant des contacts physiques avec les détenus, y compris en ce qui concerne la lutte contre des maladies contagieuses ». ii. Sur les informations contenues dans les rapports d'expertise La CNPD comprend que les rapports d'expertise seraient transmis par le procureur général d'Etat à l'administration pénitentiaire afin de permettre à cette dernière de disposer des informations qui lui sont nécessaires pour l'exécution de ses missions. En effet, les auteurs du projet de loi N°7042 portant réforme de l'administration pénitentiaire avaient précisé à ce sujet que les informations contenues dans les rapports d'expertise relatifs à la santé physique et psychique du détenu constituent « des informations indispensables pour g Document parlementaire n'7042/100, Ad article 26, op. 39 à 41. CNPO Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires 8/13 l'administration pénitentiaire afin qu'elle puisse remplir ses missions à l'égard de ce détenu conformément notamment à l'article ler paragraphe 2 et à l'article 3 paragraphes 3 et 4 »i°. Sans préjuger de la nécessité de transmettre de telles informations, il y a lieu de s'interroger sur la conservation et l'accès ultérieur de telles données au sein de l'administration pénitentiaire alors qu'il ressort de l'article 130 du projet de règlement grand-ducal que ces dernières auraient vocation à être conservées dans le dossier d'insertion sociale de chaque détenu. La CNPD y reviendra infra aux points Ill et IV du présent avis. iii. Remarques finales Il y a lieu de relever que l'article 44 du règlement grand-ducal du 24 mars 1989 concernant l'administration et le régime interne des établissements pénitentiaires, qui sera abrogé par le projet de règlement grand-ducal, dispose que le dossier individuel du détenu « comprend les documents relatifs à la santé physique et mentale du détenu conservés dans une farde séparée à l'infirmerie » et que « [1Ia partie médicale du dossier est adressée sous pli fermé au médecin de l'établissement de destination ». Dans la mesure où les dispositions précitées de l'article 44 du règlement grand-ducal du 24 mars 1989 concernant l'administration et le régime interne des établissements pénitentiaires ne sont pas reprises par le projet de règlement grand-ducal, la CNPD estime que de telles mesures devraient figurer dans le dispositif légal sous avis et rester d'application. Ainsi, la Commission nationale se demande si les « informations contenues dans les bilans de suivi psychologique, psychosocial et psychothérapeutique des détenus » doivent à la fois figurer dans le dossier individuel et dans le dossier d'insertion sociale, qui sont deux registres différents, l'un tenu au greffe du centre pénitentiaire et l'autre tenu au service psycho-social et socioéducatif. Ne serait-il pas pertinent, compte tenu de la nature des données en cause, que de telles informations figurent uniquement dans le dossier médical du détenu et soient aux mains du professionnel de santé concerné ? C. Sur les « informations contenues dans le casier judiciaire du détenu » L'article 127, paragraphe

(1), point 14° du projet de règlement grand-ducal dispose que l'administration pénitentiaire peut traiter « les informations contenues dans le casier judiciaire du détenu ». Pour une meilleure compréhension des données visées par les dispositions précitées, il conviendrait de préciser quel numéro de bulletin est visé et de se référer expressément à l'un des bulletins visés par la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire, alors que dans l'ordre juridique luxembourgeois la communication des informations relatives à des décisions de justice se fait par la délivrance d'extraits de casier judiciaire conformément à ladite loi. '° Document parlementaire re7042/00. Ad article 18. page 33. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires. 9/13 Par ailleurs, il conviendrait de veiller à la bonne articulation entre les dispositions sous avis avec celles de l'article 17, paragraphe

(2), de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire. En effet, ledit article dispose que « (plar dérogation à l'article 6 de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire, le bulletin n°1 du casier judiciaire est délivré sur demande motivée à l'administration pénitentiaire pour tous les détenus. En ce qui concerne les détenus ressortissants d'un autre État membre de l'Union européenne ou d'un État tiers, l'administration pénitentiaire peut adresser une demande motivée au procureur général d'État en vue de l'obtention d'un extrait du casier judiciaire de l'autorité compétente de l'État membre dont le détenu concerné a la nationalité. Sur demande motivée, l'administration pénitentiaire peut solliciter auprès du procureur général d'État copie des arrêts et jugements rendus antérieurement en matière pénale à l'égard d'un détenu par les juridictions nationales, ainsi que par les juridictions d'un autre État membre de l'Union européenne ou d'un État tiers. ».

1. Sur les registres visés par le projet de règlement grand-ducal Comme énoncé supra au point 1.
2. du présent avis, le projet de règlement grand-ducal prévoit la tenue de 6 registres, à savoir : le registre d'admission ; le dossier individuel ; le dossier d'insertion sociale ; le registre des fouilles ; le registre visé à l'article 123 du projet de règlement grand-ducal ; et le registre des visites. 11 y a lieu de féliciter les auteurs du projet de règlement grand-ducal pour avoir précisé pour chacun des registres quelles données à caractère personnel y figureraient. De même qu'il convient de saluer les auteurs du projet de loi pour avoir précisé aux articles 128 et 129 que le registre d'admission ainsi que le dossier individuel de chaque détenu sont tenus au greffe du centre pénitentiaire. L'article 130 précise que le dossier d'insertion sociale de chaque détenu est tenu au service psycho-social et socio-éducatif. De telles précisions mériteraient également d'être apportées pour le registre des fouilles, le registre visé à l'article 123 du projet de règlement grand-ducal ainsi que le registre des visites. Par ailleurs, il est encore précisé que le registre des admissions, le dossier individuel et le dossier d'insertion sociale précité sont susceptibles d'être tenus sous forme électronique". A ce sujet, les auteurs du projet de règlement grand-ducal précisent notamment que ces registres peuvent " Voir articles 128, paragraphe

(3), 129, paragraphe

(2)et 130, paragraphe

(2)du projet de règlement grand-ducal. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires. 10113 être tenus sous forme électronique afin « d'utiliser de manière optimale les nouvelles technologies disponibles ». En l'absence de précision dans le projet de règlement grand-ducal et dans le commentaire des articles quant aux modalités de la tenue de tels registres électroniques, la Commission nationale n'est pas en mesure d'apprécier les éventuelles problématiques relatives à la protection des données qui pourraient, le cas échéant, naître dans ce contexte. Enfin, en l'absence de précisions à ce sujet dans le dispositif sous avis, il y a lieu de se demander si de telles mesures s'appliqueraient le cas échéant au registre des fouilles, au registre visé à l'article 123 du projet de règlement grand-ducal ainsi qu'au registre des visites.

1. Sur l'accès aux données collectées par l'administration pénitentiaire et sur la sécurité des traitements Conformément au principe d'intégrité et de confidentialité, les données doivent être traitées de « de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées »12 . Le responsable du traitement et le sous-traitant doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel'
2. Pareilles mesures doivent être mises en oeuvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. Il y a lieu de féliciter les auteurs du projet de règlement grand-ducal d'avoir prévu à l'article 127, paragraphe

(2)du projet de règlement grand-ducal que « l'accès des membres de l'administration pénitentiaire aux données personnelles visées au paragraphe 1er est strictement limité à ceux qui justifient d'un intérêt professionnel les obligeant à traiter ces données afin d'accomplir les missions prévues à l'article 3 de la loi du 20 juillet 2018 portant réforme de l'administration ». En effet, la Commission nationale estime important que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires. Dans ce contexte, il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début la personne ou le service compétent qui aurait accès aux données, et à quelles données précises cette personne ou ce service aurait accès. Ce d'autant plus dans la mesure où des catégories particulières de données seraient amenées à être traitées. '2 Article 5, paragraphe

(1), lettre f) du RGPD et article 3, paragraphe

(1), lettre f) de la loi du août 2018 du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Article 32 du RGPD et article 28, paragraphe

(1)de la loi dur août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale 14 Article 28, paragraphe

(1)de la loi du 1°' août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale CNPLI Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes intemes des centres pénitentiaires. 11/13 Le responsable du traitement devra ainsi mettre en place de telles mesures afin d'assurer la confidentialité et la sécurité de telles données, dont notamment un système de journalisation (c'est-à-dire un enregistrement dans des « fichiers journaux » ou « logs ») des activités des utilisateurs, des anomalies et des événements liés à la sécurité. En outre, si des registres électroniques devaient être tenus, et si de tels traitements tombent dans le champ d'application de la loi du ier août 2018 relative aux traitements de données en matière pénale ainsi qu'en matière de sécurité nationale, le responsable du traitement devrait veiller au respect des dispositions de l'article 28, paragraphe

(2)et l'article 24 de la loi précitée. L'article 24 de la loi précitée exige notamment que le responsable du traitement définisse les profils et modalités d'accès et procéder à des vérifications régulières des logues à des fins, notamment, « d'autocontrôle [et] de garantie de l'intégrité et de la sécurité des données à caractère personnel ». Dans de tels cas, le responsable de traitement devrait donc procéder à des revues de logues régulières et proactives, notamment en lien avec les mesures et procédures à mettre en place pour tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement conformément à l'article 28 de ladite loi. W. Sur la durée de conservation des données Conformément au principe de la limitation de la conservation, les données à caractère personnel doivent être conservées « sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées »15 . S'il y a lieu de féliciter les auteurs du projet de règlement grand-ducal d'avoir prévu à l'article 132 qu' « [à] la libération du détenu, les dossiers prévus aux articles 129 et 130 sont classés dans les archives du greffe pour y être conservés pour une durée maximale de trente ans » et qu'en « cas de nouvelle détention intervenant dans le délai visé au paragraphe ler, les dossiers sont reproduits pour être continués. En l'absence d'une nouvelle détention dans ce délai, les données sont détruites ou anonymisées pour être utilisées à des fins statistiques ou historiques ». Elle regrette cependant que les critères justifiant une telle durée ne soient pas précisés dans le commentaire des articles, de sorte qu'elle n'est pas en mesure d'apprécier si une telle durée apparaît proportionnée en l'espèce. Article 5, paragraphe

(1), lettre e) du RGPD et article 3, paragraphe

(1). lettre e) de la loi du 1 août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires 12/13 Ainsi décidé à Belvaux en date du 1er octobre 2021. La Commission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang Commissaire arc Lemmer Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires. 13113