← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides indiv

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducal fixant les modalités d'exécution relatives aux aides individuelles au logement Délibérationn°46/AV23/2022 du 12 octobre

  2. Conformément à l'article
  3. 1.e) du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement généralsur la protection des données) (ci-après le « RGPD »), auquel se réfèrel'article 7 de la loi du 1eraoût 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertésdes personnes physiques à l'égarddu traitement ».
  4. L'article
  5. 4 du RGPD dispose que « [l]es Étatsmembres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. »
  6. Par courrier en date du 8 février 2022, Monsieur le Ministre du Logement a invité la Commission nationale à se prononcer sur le projet de loi n° 7938 relative aux aides individuelles au logement (ci-après le « projet de loi ») ainsi que sur le projet de règlement grand-ducal fixant les mesures d'exécution relatives aux aides individuelles au logement (ci-après le « projet de règlement grand-ducal »). Par courrier en date du 20 septembre 2022, le Ministre du Logement a soumis à l'avis de la CNPD les amendements gouvernementaux aux projets de loi et de règlement grand-ducal qui ont étéapprouvés par le Conseil du Gouvernement dans sa séance du 15 septembre 2022 (ci-après les « amendements gouvernementaux »).
  7. Il ressort de l'exposédes motifs que le projet de loi prévoitla réformede la loi modifiéedu 25 février 1979 concernant l'aide au logement, et plus particulièrement du volet concernant les aides individuelles au logement, en ne se limitant pas à actualiser la législation, mais en introduisant une série de concepts nouveaux. Par ailleurs, comme le projet de loi a pour objet de rassembler tous les textes principaux relatifs aux aides individuelles au logement dans un seul CNPD Avis de la Commission nationale pour la protection des données relatifau projetde loi n° 7938 relativeauxaides individuellesau logementet auprojet de règlement grand-ducalfixant les modalités d'exécutionrelatives aux aides individuelles au logement 1/11 texte, il est prévu d'y insérer les dispositions de la loi modifiée du 23 décembre 2016 concernant la collecte, la saisie et le contrôle des dossiers d'aides relatives au logement, avec toutefois quelques adaptations du texte actuellement en vigueur.
  8. Il y a encore lieu de noter que la loi du 22 juillet 2022 relative à une subvention de loyer a introduit anticipativement au 1er août 2022 toutes les adaptations relatives à la subvention de loyer prévuesau projet de loi sous avis. Lesdispositions de la loi du22juillet 2022 seront toutefois abrogées au moment de rentrée en vigueur du projet de loi sous avis. Les amendements gouvernementaux visent à tenir compte des observations formulées par le Conseil d'Etat dans ses avis relatifs aux projets de loi n°s 8000 et 8000B ayant abouti à la loi du 22 juillet 2022 susmentionnée.
  9. Le présent avis limitera ses observations aux questions soulevées par les aspects liés au respect de la vie privée et à la protection des données à caractère personnel contenus dans le projet de loi ainsi que dans le projet de règlement grand-ducal, tels qu'amendés. l.
  10. Remarques liminaires Le projet de loi encadre notamment les traitements de données effectués dans le cadre des demandes d'aide. De tels traitements doivent reposer sur une base légale, conformément à l'article 6.3 du RGPD1.Cet article prévoitunecontrainte particulièreliéeà la licéitéd'untraitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'État membre auquel le responsable du traitement est soumis.
  11. De plus, le considérant

(45)du RGPD précise qu'il devrait « [... ] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminerla finalitédu traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement 1 L'article6.3 du RGPDdisposeque « [l]efondementdu traitementviséauparagraphe1, pointse) ete), est définipar:
  1. a)le droit de l'Union :ou
  2. b)le droit de l'Ëtatmembre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de '/'autoritépublique dont est investi le responsable du traitement. Cette basejuridique peut contenir des dispositions spécifiques pouradapter l'application desrègles duprésentrèglement, entre autres: les conditions généralesrégissant la licéitédu traitement par le responsable du traitement; les types de données qui font l'objet du traitement: les personnesconcernées;les entitésauxquelles les donnéesà caractèrepersonnelpeuvent êtrecommuniquéeset les finalitéspourlesquelleselles peuvent l'être; la limitation desfinalités;les duréesdeconservation;et lesopérationset procéduresdetraitement, y comprisles mesuresvisantà garantiruntraitementliciteet loyal, tellesquecellesprévues dansd'autres situationsparticulièresdetraitementcomme le prévoitle chapitre IX. Ledroit de l'Unionou le droitdes Étatsmembres répond à un objectif d'intérêtpublic et est proportionné à l'objectif légitime poursuivi. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducal fixant les modalités d'exécution relatives aux aides individuelles au logement 2/11 ofes données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...]». Le considérant
(41)du RGPD énonce encore que « [IJorsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de /'ordre constitutionnel de l'Ëtatmembre concerné. Cependant, cette basejuridique ou cette mesure législative devrait êtreclaire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européennedes droits de l'homme ». 9. Bien que le projet de loi fournisse une base légale pour les traitements effectuésdans le cadre des demandes d'aide, certains points ne sont pas suffisamment précisésdans le texte du projet de loi, comme par exemple les documents et renseignements que le ministre ayant le Logement dans ses attributions (ci-après le « ministre ») pourrait exiger de la part des demandeurs2. II. 10. Sur l'article 47 du projet de loi et le projet de rèalement arand-ducal L article 47 du projet de loi, lu en combinaison avec le projet de règlement grand-ducal, a trait aux modalités pratiques de l'introduction et du traitement des demandes en obtention d'une aide individuelle au logement. Il résulte de ces dispositions que la demande doit être adressée au ministre moyennant un formulaire de demande spécifique et être accompagnée des pièces énumérées dans le projet de règlement grand-ducal. L'article 47. 2 du projet de loi précise par ailleurs que le demandeur est tenu, sur demande du ministre, de « fournir tous les renseignements et documents nécessaires à l'instruction, à la gestion et au suivi de sa demande d'aide, pour contrôler si les conditions d'octroi et de maintien d'une aide sont remplies. A défaut de donner suite à cette demande endéans un délai de trois mo/'s, le dossier de demande est clôturé ». Il ressort du commentaire des articles que suite à l'introduction d'une demande, le ministre peut demander un certain nombre de pièces et de renseignements au demandeur de l'aide pour pouvoir vérifier si les conditions d'octroi de l'aide demandée sont remplies et pour contrôler si les conditions sont respectées après l'octroi de l'aide demandée. Les auteurs du projet de loi soulignent encore qu'« à part les pièces justificatives obligatoires énumérées dans ledit règlement d'exécution de la loi, le demandeur doit évidemment 2 Point 12 du présent avis CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducalfixant les modalités d'exécution relatives aux aides individuelles au logement 3/11 également transmettre tout autre document ou renseignement qui serait, le cas échéant, jugé nécessaire et demandé par le ministre pour contrôler le respect d'une ou de plusieurs conditions fixées par la présente loi». Ainsi, le ministre serait en droit d'exiger la fourniture de renseignements et de documents qui ne sont énumérés ni dans le projet de règlement grandducal, ni à l'article 53 nouveau du projet de loi. 11. En vertu du principe de minimisation des données consacré à l'article 5. 1.
  1. e)du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Au regard des conditions d'éligibilité prévues dans le projet de loi, les documents énumérés dans le projet de règlement grand-ducal semblent nécessaires et proportionnés à l'instruction des demandes d'aide. 12. La Commission nationale se permet toutefois d'attirer l'attention des auteurs du projet de loi sur le fait que le ministre sera amené à traiter des données dites « sensibles » au sens de l'article 9 du RGPD, ceci notamment dans le cadre des demandes en obtention d'une prime pour aménagements spéciauxrépondantauxbesoins de personnes en situation de handicap. Eneffet, une telle demande est à accompagner d'un certificat médical attestant la situation de handicap de la personne concernée3. Or, t'article 9. 1 du RGPD interdit en principe le traitement de données relatives à la santé, sauf dans les hypothèses énumérées à l'article 9. 2 du RGPD. Etant donné que le traitement semble poursuivre un motif d'intérêtpublic important, à savoir la promotion de l'autonomie des personnes handicapées, il pourrait être basé sur l'article 9. 2.
  2. g)du RGPD, à condition notamment que le droit national prévoie « des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux etdes intérêtsde lapersonne concernée »4. A cetégard, la CNPD suggère que le projet de règlement grand-ducal arrête le modèle et le contenu du certificat médical afin d'assurer que le principe de minimisation soit respecté et seules les données strictement nécessaires soient transmises au ministre. 13. En ce qui concerne « /es renseignements et documents nécessaires » que le ministre pourrait demander suite à l'introduction de la demande, il y a lieu de regretter que ni le texte du projet de loi ni le commentaire des articles ne fournissent de précisions à cet égard. Ce d'autant plus alors que le fait de ne pas donner suite à cette demande endéans un délai de trois mois aura pour conséquence le refus ou l'arrêt de l'aide. Or, la teneur actuelle de cette disposition est très vague et ne permet ni aux administrés de savoir quels documents ou renseignements le ministre 3 Article 9, point 2°, du projet de règlement grand-ducal 4 Article9.2 du RGPD: « Leparagraphe1 ne s'appliquepassi l'une desconditionssuivantesestremplie: [. ..]
  3. g)letraitementestnécessairepourdesmotifsd'intérêtpublicimportant,surlabasedudroitdel'Unionoududroitd'un Etat membre qui doit être proportionné à l'objectif poursuivi, respecter /'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée [...]. » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlementgrand-ducalfixantles modalitésd'exécutionrelatives auxaidesindividuellesau logement 4/11 pourrait exiger de leur part, ni à la CNPD d'apprécier si le principe de minimisation des données est respecté. Il en résulte que cette disposition risque d'être contraire à l'exigence de précision et de prévisibilité, qui découle du principe fondamental de sécurité juridique, à laquelle doit répondre tout texte légal en vertu de la jurisprudence de ta Cour européenne des droits de l'homme et la Cour de justice de l'Union européenne5. L'indication dans le commentaire des articles que l administration compétente « demande des renseignements et documents en veillant au respect des principes de légitimité, de finalité, de nécessité, de proportionnalité, d'exactitude des données, de loyauté, de sécurité, de confidentialité et de transparence » n'est pas suffisante pour combler ces lacunes. 14. La Commission nationale s'interroge encore sur l'interaction de l'article 47 du projet de loi et des dispositions du projet de règlement grand-ducal avec l'article 53 nouveau du projet de loi. Elle reviendra ultérieurement sur ce point6. III. Sur le chapitre 6 du projet de loi 15. Le chapitre 6 du projet de loi intitulé « Collecte, saisie et contrôle des dossiers relatifs aux aides individuelles au logement » contient des dispositions relatives auxtraitements de données à caractère personnel effectués dans le cadre du projet de loi. 1. Sur «'article 52 du projet de loi 16. Il y a lieu de féliciter les auteurs du projet de loi d'avoir pris le soin de préciser à l'article 52 du projet de loi que le ministre est le responsable du traitement des données à caractère personnel dans le cadre d'une demande d'aide. En effet, la notion de responsable du traitement joue un rôle important dans l'application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer leurs droits7. 17. La CNPD approuve par ailleurs les modifications apportées au projet de loi par les amendementsgouvernementaux. Tel que soulevé par le Conseil d'Etatdans son avis du 20 mai 2022 relatif au projet de loi n°8000, les dispositions supprimées par les amendements gouvernementaux n'apportaient pas de plus-value en matière de protection des données. Quant 5 V. également en ce sens : Avis de la CNPDdu 14 septembre 2018, délibération n°450/2018, doc. pari. 7258/03 6 Points 22 et 23 du présentavis 7 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : httDS://edDb. euroDa. eu/our-work-tools/our-documents/auidelines/auidelines-072020-conceDts-ontroller-andprocessor-adpr fr CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducal fixant les modalités d'exécution relatives aux aides individuelles au logement 5/11 aux finalités qui étaient énoncées à l'alinéa 3, la Commission nationale estime qu'elles ressortent à suffisance de droit des alinéas 1er et 2. 18. Finalement, la Commission nationale approuve la suppression de l'article 53 ancien du projet de loi. Plus particulièrement, l'alinéa 1er de cet article énumérait les catégories de données traitées mais il se posait la question de la plus-value de cette disposition, étant donné que les catégories de données étaient énoncées de manière très large et que l'article 54 ancien du projet de loi ainsi que le projet de règlement grand-ducal énumèrent de manière beaucoup plus détaillée les données personnelles traitées dans le cadre des demandes d'aide. De surcroît, l'énumération des catégories de données était incomplète. A titre d'exemple, il ressort de l'article 9, point 2°, du projet de règlement grand-ducal que des données relatives à un éventuel handicap seraient traitées sans que cette catégoriede donnéesait étémentionnéeà l'article 53, alinéa 1er, ancien du projet de loi. 2. Sur l'article 53 nouveau du projet de loi 19. L'article 53 nouveau du projet de loi prévoit que le ministre peut demander à un certain nombre d'organismes la transmission des donnéesy énumérées. A. Sur la terminologie employée 20. Les termes utilisés à travers le projet de loi ne sont pas constants de sorte qu'il existe une certaine incertitude quant aux modalités pratiques de la transmission des données. A titre d'exemple, il résulte de l'article 53, alinéa 1er, nouveau du projet de loi que le ministre se voit transmettre les données tandis que l'article 54 nouveau parle d'un « accès aux renseignements », d'un « accès aux donnéeset informations » ou encore d'un « échangede données ». Pour une plus grande sécuritéjuridique, il serait souhaitable d'utiliser une terminologie cohérente à travers tout le projet de loi et de clarifier si le ministre dispose d'un accès direct aux données détenues par d'autres administrations ou s'il peut uniquement demander ponctuellement la transmission de certaines données relatives aux personnes concernées, c'est-à-dire, d'après la compréhension de la CNPD, les demandeurs et bénéficiaires d'une aide ainsi que, le cas échéant,les membres de leur communauté domestique. 21. Il y a encore lieu de noter que la liste de l'article 53, alinéa 1er, nouveau n'énumère pas seulement des administrations publiques mais mentionne, au point 8° nouveau, rétablissement de crédit en cas d'une demande de subvention d'intérêt. Le texte du projet de loi devrait tenir compte des éventuelles spécificités liées à la transmission de ces données. Ainsi, il ne serait pas concevable que le ministre dispose d'un accès direct aux données détenues par les établissements de crédit. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducal fixant les modalités d'exécution relatives aux aides individuelles au logement 6/11 B. Sur la base de licéité 20. Le projet de loi prévoit une mesure de simplification administrative qui était subordonnée, dans la version initiale, au consentement du demandeur. Ainsi, le projet de loi tel que déposé initialement disposait que, en signant une déclaration spéciale, le demandeur donne son consentement explicite à ce que le ministre ait accès « aux renseignements des fichiers et bases cfe données d'autres autorités de l'Etatf... ] ». Faisant suite à l'avis du Conseil d'Etat du 20 mai 2022 relatif au projet de loi n° 8000, les amendements gouvernementaux suppriment l'alinéa 1er de l'article 54 ancien qui faisaitréférenceau consentementdu demandeurpour désormaisbaser ce traitement sur l'article 6. 1 .
  4. e)du RGPD, qui dispose qu'un traitement est licite s'il est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis. 21. La Commission nationale accueille favorablement cet amendement. En effet, II ressort du considérant
(43)du RGPD qu'il n'est pas probable que des autorités publiques puissent se fonder sur le consentement pour le traitement de données à caractère personnel, dès lors que dans l'hypothèse où le responsable du traitement est une autorité publique, il existe souvent un déséquilibre manifeste des rapports de force entre le responsable du traitement et la personne concernée de sorte que le consentement n'est pas libre. Le RGPD n'exclut pas entièrement le recours au consentement en tant que basejuridique du traitement de données par des autorités publiques mais il existe souvent d'autres bases juridiques plus adaptées aux activités des autorités publiques8. En l'espèce, le consentement ne semble pas être la base de licéité appropriée pourjustifier l'accès par le ministre aux données détenues par d'autres administrations et la CNPDrejoint l'avis du Conseil d'Etatquant au fait que ce traitement devrait plutôtêtre basé sur l'article 6. 1.
  1. e)du RGPD. C. Sur l'interaction avec l'article 47 du projet de loi et les dispositions du projet de règlement grand-ducal 22. D'après le commentaire de l'amendement 10, l'accès du ministre aux données détenues par d'autres administrations vise à « décharger les demandeurs ou bénéficiaires d'une aide au logement de l'accomplissement des formalités administratives légales relatives à une demande en obtention d'une aide ou lors des réexamens périodiques d'un dossier prévus par la loi (simplification administrative non seulement pour les administrés concernés, mais également pour l'administration publique). » Selon la compréhension de la Commission nationale, les demandeurs n'ont dès lors plus à fournir tes piècesjustificatives dont il est fait référenceà l'article 8 V. en ce sens: Comitéeuropéende la protection des données(EDPB),Lignesdirectrices 5/2020sur le consentement au sens du règlement (DE) 2016/679 du Comité européen de la protection des données, points 16 et s., disponibles sous : httDS://edDb. euroDa. eu/our-work-tools/our-documents/Quidelines/auidelines-052020-onsent-under-reaulation2016679 fr CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducalfixant les modalités d'exécutionrelatives aux aides individuelles au logement 7/11 47. 3 du projet de loi et qui sont plus amplement énuméréesdans le projet de règlement grandducal. Par conséquent, ne faudrait-il pas amender, voire supprimer, ces dispositions ? 23. Par ailleurs, il ressort de l'article 53, alinéa 1er, nouveau que le ministre peut demander la transmission des données y énumérées « afin de contrôler si les conditions d'octroi de l'aide demandéesont remplies et afin de vérifierl'exactitude et l'authenticitédes donnéeset des pièces fournies par le demandeur ou bénéficiaire de l'aide ». La Commission nationale donne à considérer que la vérification de l'exactitude et de l'authenticité des données ne devrait avoir lieu que dans l'hypothèse où le demandeur ou le bénéficiaire d'une aide fournit lui-même les informations requises. Or, le projet de loi prévoit que le ministre se voit transmettre les données par d'autres autorités étatiques de sorte qu'une telle vérification devient en principe superfétatoire. D. Sur les catégoriesde données 24. L'alinéa 1er de l'article 53 nouveau énumère les organismes auxquels le ministre peut demander la transmission de données ainsi que, pour chaque organisme, les catégories de donnéespouvant être transmises. Tout d'abord, il y a lieu de constater que le projet de loi prévoit que le ministre peut demander la transmission de données à un nombre important d'organismes9 et que les donnéesqui peuvent être transmises font souvent double emploi. A titre d'exemple, en ce qui concerne le nom, le prénom, le numéro d'identification national et l'adresse, le ministre peut accéder aux données de trois administrations, à savoir l'Administration des contributions directes, le Centre commun de la sécurité sociale et le Fonds national de solidarité, tout en ayant le droit de consulter ces donnéesau registre national des personnes physiques. La Commission nationale voit d'un oil critique cette prolifération d'accès qui ne semble pas être justifiée. 25. Ensuite, pour un certain nombre de données, il ne ressort ni du texte du projet de loi ni du commentaire des articles pourquoi il serait nécessaire que le ministre se voie transmettre ces données dans le cadre du contrôle des conditions d'octroi de l'aide demandée. La Commission nationale rappelle l'importance du principe de minimisation consacré à l'article 5. 1.
  2. e)du RGPD en application duquel le ministre ne pourra accéder qu'aux données qui sont strictement nécessaires au contrôle des conditions d'octroi de l'aide demandée. Ainsi, il serait utile que les auteurs du projet de loi précisent tout au moins dans le cadre de quelle(
  3. s)aide(
  4. s)le ministre pourrait demander la transmission des données en question. 9 À savoir 1° l'Administration des contributions directes ; 2° l'Administration du cadastre et de la topographie ; 3° l'Administration de l'enregistrement, des domaines et de la TVA ; 4° le Centre ommun de la sécurité sociale ; 5° le Fonds national de solidarité ; 6° la Caisse pour l'avenir des enfants ;7° la Caisse nationale de santé ou la Caisse de maladie des fonctionnaires et employés public ; 8° rétablissement de crédit ; 9° l'Agence pour le développement de remploi. De plus, le ministre a droit à la communication de renseignements à partir du registre national des personnes physiques. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducal fixant les modalités d'exécution relatives aux aides individuelles au logement 8/11 E. Sur le registre national des personnes physiques 26. L'article 53, alinéa 2, nouveau dispose ce qui suit : « Le ministre a droit à la communication de renseignements à partir du registre national au sens de la loi modifiéedu 19juin 2013 relative à l'identification des personnes physiques et le répertoire général au sens de la loi modifiée du 30 mars 1979 organisant l'identification numérique des personnes physiques et morales pour vérifier pour un demandeur ou bénéficiaired'une aide ou tout autre membre de la communauté domestique qui vit dans le logement les données à caractère personnel suivantes : 1 ° /es nom et prénoms ; 2° le numéro d'identificstion national ; 3° te sexe ; 4" les date et lieu de naissance ; 5° la date de décès ; 6° l'état civil ; 7° le domicile et la résidence habituelle, mentionnant la localité, la rue et le numéro d'immeuble, le cas échéant, le numéro d'ordre établi en exécution de la loi modifiée du 19 mars 1988 sur la publicitéfoncièreen matièredecopropriétéou toute précisionsupplémentairequant à l'immeuble dans lequel se situe le logement, ainsi que le historique concernant la durée de résidenceou les changements de résidence afin de contrôler le respect des conditions relatives à l'habitation principale et permanente ou à l'occupation du logement par le demandeur ou bénéficiaire d'une aide. » 27. Quant au renvoi au répertoire général au sens de la loi modifiée du 30 mars 1979 organisant l'identification numérique des personnes physiques et morales, il y a lieu de noter qu'envertu de l'articte45 de la loi modifiéedu 19juin 2013relativeà l'identificationdespersonnes physiques, la loi modifiée du 30 mars 1979 organisant l'identification numérique des personnes physiques et morales ne s'applique plus aux personnes physiques. 28. En ce qui concerne le registre national des personnes physiques, tel que prévu par la loi modifiéedu 19juin 2013relative à l'identificationdes personnes physiques, les modalitésd'accès et de transmission sont définies par la loi susmentionnée du 19 juin 2013 ainsi que par le règlement grand-ducal du 28 novembre 2013 fixant les modalités d'application de la loi du 19juin 2013 relative à l'identification des personnes physiques. Alors même que le terme « communication » est utilisé, la CNPD comprend que le ministre disposera d'un accès à ce registre. Cet accès devra s'effectuer conformément à la procédure prévue par les textes susmentionnés1 0. 10Article 10de la modifiéedu 19juin 2013relative à l'identificationdes personnesphysiquesainsique les articles 5 à 7 du règlementgrand-ducaldu 28 novembre 2013fixant les modalitésd'applicationde la loi précitée. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlement grand-ducalfixant les modalités d'exécutionrelatives aux aides individuelles au logement 9/11 F. Sur les modalités pratiques de la transmission de donnéesdétenues par d'autres administrations 29. La Commission nationale regrette que tes explications fournies dans le commentaire des articles peuvent laisser croire que les dispositions de l'article 54 nouveau ne s'appliquent qu'à la transmission de données telle que prévue à l'article 53 nouveau. Or, elle considère qu'il résulte de l'articte 54. 3 nouveau que les modalités y prévues, et notamment le principe de la journalisation, s'applique également aux traitements effectués dans les fichiers détenus par le ministre. 30. L'article 54. 1 nouveau précise que « [IJ'accès aux renseignements et la transmission des informations et donnéesénumérésà l'article 53 et nécessairespour le traitement d'un dossier de demande d'aide prend la forme d'un échange de données sur requête déclenchée parle système informatique ou par le biais d'une correspondance écrite sur initiative d'un gestionnaire du dossier. » A cet égard, il y a lieu de noter que le terme « échange » suppose une réciprocité. Or, la transmission de données par d'autres administrations est en principe unilatérale. Il est partant préférabled'adapter la terminologie utilisée en utilisant le terme « communication ». 31. D'après les termes de l'article 54. 2 nouveau, « [s]eules peuvent être consultées les données à caractère personnel ayant un lien direct avec la demande d'une aide prévue par la présente loi », ce qui est conforme au principe de minimisation susmentionné. Il est toutefois suggéréd'utiliser la même terminologie que celle employée à l'article 55.3 du projet de loi, de sorte que l'article 55. 2 prendrait le libellé suivant : « Toute consultation ne peut avoir lieu que pour un motif précis ». 32. L'article 54. 3 nouveau fournit des précisions quant au fonctionnement du système informatique.LaCommissionnationalesefélicitequele projetde loi prévoitle principeducontrôle de l'accès aux données par le biais de la journalisation. Elle suggère néanmoins de porter la durée de conservation des données de journalisation à cinq ans, ce qui correspond par ailleurs au délaide prescription des délitstels que la violation du secret professionnel prévuà l'article 458 du Code pénal. Par ailleurs, elle regrette que les explications fournies dans le commentaire des articles laissent à penser que les dispositions de l'article 54 nouveau ne s'appliquent qu'à la transmission de données telle que prévue à l'article 53 nouveau. Or, il résulte de l'article 54. 3 nouveau que les modalités y prévues, et notamment le principe de la journalisation, s'appliquent également aux traitements effectués dans les fichiers détenus par le ministre. A toutes fins utiles, il y a lieu de rappeler que le ministre peut être amené à traiter des données dites « sensibles » qui font l'objet d'une protection particulière en vertu de l'article 9 du RGPD et pour lesquelles des « mesures CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7938 relative aux aides individuelles au logement et au projet de règlementgrand-ducalfixant les modalitésd'exécutionrelatives auxaides individuellesau logement 10/11 appropriées et spécifiques » doivent être prévues11. La mise en place de fichiers dejournalisation peut constituer une telle mesure, tout comme la restriction des accès. 4. Sur la durée de conservation 33. Selon l'article 5. 1.
  5. e)du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou anonymisées. Or, le projet de loi n'indique pas pendant combien de temps les donnéescollectées dans le cadre des demandes d'aide seront conservées. Dès lors, la Commission nationale n'est pas en mesure d'apprécier si, en l'occurrence, le principe de durée de conservation limitée des données est respecté. Mêmesi la duréede conservation ne doit pasforcément être définiedans le projet de loi, celui-ci devrait a minima préciser les critères qui seraient pris en compte afin de déterminer quelle est la duréedeconservation proportionnée pour les donnéesà caractère personnel qui serait collectées par le ministre. Le délai pendant lequel le ministre pourra demander le remboursement de l'aide indûment touchée en cas de recalcul pourrait constituer un indicéà cet égard12. Ainsi décidé à Belvaux en date du 12 octobre 2022. La Commission nationale pour la protection des données -A^ Tine A. Larserî Thierry Lallemang Présidente Commissaire . emmer Commissaire Alain Herrmann Commissaire 11 Point 11 du présentavis 12Article 51.4 du projet de loi CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n" 7938 relative auxaides individuelles au logement et au projet de règlement grand-ducal fixant les modalités d'exécution relatives aux aides individuelles au logement 11/11

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.