Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de l

Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce et au projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce Deliberation n° 28/AV15/2023 du 7 avril 2023 1. Conformement a !'article 57.1.

1. c)du reglement (UE) 2016/679 du Parlement europeen et du Conseil du 27 avril 2016 relatif a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel et a la libre circulation de ces donnees, et abrogeant la directive 95/46/CE (reglement general sur la protection des donnees) (ci-apres le « RGPD »), auquel se refere !'article 7 de la loi du 1er aoGt 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees, la Commission nationale pour la protection des donnees (ci-apres la « Commission nationale » ou la « CNPD ») « conseille, conformement au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives a la protection des droits et libertes des personnes physiques a l'egard du traitement ». L'article 36.4 du RGPD dispose que « [/]es Etats membres consultent l'autorite de controle dans le cadre de /'elaboration d'une proposition de mesure legislative devant etre adoptee par un parlement national, ou d'une mesure reglementaire fondee sur une telle mesure legislative, qui se rapporte au traitement. » 2. Par courrier regu le 4 janvier 2023, Monsieur le Ministre de l'Economie a invite la Commission nationale a se prononcer sur le projet de de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce (ci-apres le « projet de loi ») et sur le projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce (ci-apres le« projet de reglement grand-ducal»). 3. Selon l'expose des motifs, le projet de loi a pour but principal une refonte du processus electoral de la Chambre de commerce. Dans ce contexte, ii est propose que les listes electorales seront desormais elaborees par le bureau electoral qui sera institue aupres du ministre et que cette tache ne relevera plus des missions communales. A ces fins, la loi ainsi que le reglement grand-ducal en projet prevoient des traitements de donnees personnelles dans le cadre de l'etablissement et de la mise a jour des listes electorales. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce et au projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce 1/6 4. Par consequent, le present avis limitera ses observations aux questions traitant des aspects portant sur la protection des donnees soulevees par le projet de loi et le projet de reglement grand-ducal. De plus, le present avis prendra en compte les amendements parlementaires au projet de loi qui ont ete adoptes le 10 mars 2023 (ci-apres les « amendements parlementaires ») ainsi que les amendements gouvernementaux au projet de reglement grandducal qui ont ete transmis la CNPD le 20 mars 2023 (ci-apres les « amendements gouvernementaux »). a I. Sur le principe de minimisation des donnees personnelles contenues dans les listes electorales a 5. L'article 6 du projet de loi sous avis vise remplacer, entre autres, !'article 26 de la loi modifiee du 26 octobre 2010 portant reorganisation de la Cham bre de commerce (ci-apres la « loi modifiee du 26 octobre 201 O »). Cet article enumere les donnees personnelles qui sont renseignees pour chaque electeur sur les listes electorales. a Dans son avis du 7 fevrier 2023, le Conseil d' Etat a rappele juste titre que tout traitement de donnees doit respecter le principe de minimisation de donnees inscrit !'article 5.1.
2. c)du RGPD et s'est interroge sur la necessite de renseigner le numero d'identification des personnes physiques ou encore le lieu de naissance 1 . Par consequent, les amendements parlementaires, plus precisement l'amendement 2 visant !'article 6, proposent la suppression de la date et du lieu de naissance du candidat en vertu du principe de minimisation de donnees. a D'apres les auteurs des amendements parlementaires, le maintien du numero d'identification de la personne physique (plus communement appele « matricule ») serait toutefois crucial pour verifier les conditions d'eligibilite des inscrits et pour s'assurer qu'une personne ne figure que sur une seule des listes electorales. La CNPD peut encore comprendre que le numero d'identification national pourrait, le cas echeant, servir verifier les conditions d'eligibilite des inscrits (cf. point 8 du present avis). Or, se pose la question de !'articulation de !'article 2 du projet de reglement grand-ducal et des articles 6 et 10 du projet de loi. En effet, dans la mesure ou !'article 10 du projet de reglement grand-ducal serait maintenu, les numeros d'identification des electeurs seraient communiques toutes les personnes qui demanderaient une copie de la liste electorale en vertu de !'article 10 precite, ce qui serait disproportionne en vertu du principe de minimisation inscrit !'article 5.1 .
3. c)du RGPD. (cf. points 11 et 12 du present avis) . II est utile de rappeler dans ce contexte que le numero d'identification de la personne physique est reserve un usage des fins administratives internes, aux relations entre l'Etat et les communes ou aux relations avec le titulaire du numero, conformement !'article 2 paragraphe 2 de la loi modifiee du 19 juin 2013 relative !'identification des personnes physiques. Le fait que le public, et en particulier toute a a a a a a a 1 Avis 61 .025 du 7 fevrier 2023, doc. parl. n°8022/03, p. 3. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorgan isation de la Chambre de Commerce et au projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce 2/6 personne qui en fait la demande, puisse obtenir acces au numero d'identification d'une personne physique inscrite sur les listes electorales laisse courir un risque de reutilisation de ce numero pour des finalites illegitimes et non connues par la personne concernee. Elle renvoie a ce sujet a son avis relatif au projet de loi n° 6630, dans lequel elle insistait deja sur les garanties destinees a eviter des risques d'abus d'utilisation dudit numero 2 . Sur !'adaptation de la terminologie a celle du RGPD II. 6. Dans leur version initiale, !'article 8 du projet de loi ainsi que !'article 10 du projet de reglement grand-ducal evoquaient les « proprietaires ou gestionnaires des banques de donnees nominatives necessaires a l'etablissement et a la mise a}our des listes electorales de la Chambre de Commerce et qui doivent mettre a la disposition des autorites competentes Jes donnees necessaires a cette fin. » a C'est juste raison que le Conseil d'Etat a estime dans son avis precite « qu'il conviendrait en l'espece de determiner le « responsable du traitement » plutot que de reg/er la question de la propriete des banques de donnees etant donne qu'il appartiendra au responsable du traitement de determiner Jes finalites et Jes moyens du traitement et de garantir la responsabilite et la protection effective des donnees a caractere personnel conformement au RGPD » 3 • La Commission nationale salue que les amendements adaptent la terminologie employee a celle du RGPD en indiquant desormais que « le bureau electoral a la qualite de responsable du traitement pour Jes donnees a caractere personnel utilisees et traitees dans le cadre des operations electorales. » Ill. Sur !'article 2 du projet de reglement grand-ducal et la verification des candidats par le bureau electoral en cas de doute 7. L'article 2 du projet de reglement grand-ducal tel qu'amende definit la procedure a suivre par les ressortissants de la Chambre de commerce pour s'inscrire sur les listes electorales. L'alinea 5 prevoit qu' « en cas de doute, le bureau electoral peut exiger la production, de la part de l'interesse, d'une copie de l'acte de naissance ou d'un extrait de easier judiciaire datant de mains de six ans. » La CNPD regrette le manque de precision de cette disposition, notamment en ce qui concerns la formulation« en cas de doute ». Elle se demande plus particulierement dans quelles hypotheses le bureau electoral peut exiger la production des documents en question et quel bulletin du easier judiciaire est vise. 2 Deliberation n° 1/2012 du 16 janvier 2012, doc. parl. n° 6330/02 . 3 Avis 61 .025 du 7 fevrier 2023, doc. parl. n°8022/03, p. 3. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce et au projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce 3/6 8. Par ailleurs, l'alinea 7 du meme article dispose que « le bureau electoral verifie si toutes Jes personnes inscrites remplissent Jes conditions d'electorat etablies par la Joi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de commerce». La CNPD recommande de preciser dans le projet de reglement grand-ducal par quel moyen cette verification aura lieu. Par un acces au fichier du registre national des personnes physique (RNPP) ou par quel autre moyen? 9. A toutes fins utiles, la Commission nationale se permet de signaler que suites aux amendements gouvernementaux, le renvoi effectue a l'alinea 3 vers les donnees enumerees a !'article 3 est errone. IV. Sur le controle d'eligibilite des candidats par le procureur general d'Etat 10. Le dernier alinea de !'article 6 du projet de reglement grand-ducal tel qu'amende precise que « [s]i l'eligibilite d'un candidat parait douteuse au vu des condamnations encourues, le bureau electoral fait verifier d'urgence par le procureur general d'Etat si Jes conditions d'eligibilite sont remplies. II invite le candidat a presenter ses observations par ecrit. Lorsque, sur presentation par le procureur general d'Etat de /'extrait du bulletin numero 2 du easier judiciaire ou de tout autre renseignement, l'ineligibilite est constatee, le president raye le candidat de la liste presentee. » Meme si !'article 23 de la loi modifiee du 26 octobre 2010, qui demeure inchange par le projet de loi, definit les criteres d'eligibilite, la CNPD regrette que l'alinea 2 de ladite disposition reste cependant vague quant aux documents que les candidats doivent produire pour prouver qu'ils remplissent ces conditions. Par consequent, ii n'est pas aise de savoir dans quelles hypotheses l'eligibilite pourrait paraitre douteuse de maniere a justifier une verification par le procureur general d'Etat. La Commission nationale comprend que la verification par le procureur general d'Etat s'effectue par rapport au bulletin numero 2 du easier judiciaire de sorte que la reference a « tout autre renseignement », en ce qu'elle est imprecise, pose un probleme en termes de securite juridique. V. Sur l'article 10 du projet de reglement grand-ducal et la possibilite de recevoir une copie des listes electorales 11. Finalement, ii ressort du dernier alinea de !'article 10 du projet de reglement grand-ducal tel qu'amende que « [t]out candidat peut demander par ecrit une copie de la Jiste electorale du groupe pour Jequel ii se presente comme candidat aupres du bureau electoral jusque et y compris le 45e jour avant la date de scrutin. La copie sera delivree sous forme papier ou numerique en mains propres du demandeur ou bien par un moyen de communication securise de faqon Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce et au projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce 4/6 appropriee. Les donnees des electeurs contenues dans /es listes ne peuvent etre utilisees a des fins autres qu'electorales. » A cet egard, la CNPD s'interroge sur la necessite de cette disposition, etant donne que les listes electorales font l'objet d'un depot a !'inspection du public en vertu de !'article 27 de la loi modifiee du 26 octobre 2010 tel que modifie par le projet de loi amende qui dispose que « [/Jes listes electorales sont arretees provisoirement au plus tard quatre-vingts jours avant la date du scrutin et sont deposees a /'inspection du public par le bureau electoral. Au moins quatre-vingts jours avant la date du scrutin, le president du bureau electoral en informe le public en publiant dans deux journaux luxembourgeois au moins, un avis pour annoncer ce depot et pour inviter /es personnes interessees a presenter, soixante-dix jours au plus tard avant la date du scrutin, tous recours auxquels /es lisles electorales pourraient donner lieu. La disposition du dernier alinea de !'article 10 du projet de reglement grand-ducal tel qu'amende est en quelque sorte une reprise de l'ancienne loi electorale qui a pourtant ete modifiee en 2022 . En effet, la loi du 22 juillet 2022 portant modification : 1° de la loi electorale modifiee du 18 fevrier 2003 ; 2° de la loi modifiee du 27 juillet 1991 sur les medias electroniques a supprime le droit des citoyens de demander, dans le cadre de !'inspection des listes electorales, la delivrance d'une copie des listes. II resulte des travaux parlementaires relatifs a cette loi qu' « eu egard aux reg/es applicables en matiere de protection des donnees a caractere general et a la tendance generale qui va de plus en plus vers un renforcement de la protection des donnees a caractere personnel, le maintien du droit au profit de tout citoyen de demander une copie integrale des listes electora/es n'est plus approprie de nos jours. 4 » La CNPD estime des lors necessaire que les auteurs des textes sous avis adaptent en consequence les dispositions afferentes. S'y ajoute que, comme souleve au point 5 du present avis, les numeros d'identification des electeurs seraient communiques a toutes les personnes qui demanderaient une copie de la liste electorale en vertu de !'article 10 precite ou de !'inspection publique prevue a !'article 27 nouveau en projet de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce, ce qui serait disproportionne en vertu du principe de minimisation inscrit a !'article 5.1.
4. c)du RGPD , sous reserve que !'article 10 du projet de reglement grand-ducal serait maintenu en l'etat actuel. 4 Doc. parl. N° 7877/11 , p. 2 ; v. egalement deliberation n°28/AV12/2022 du 1er juillet 2022 de la Commission nationale pour la protection des donnees, doc. parl. n° 7877/17. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce et au projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce 5/6 Ainsi adopts a Belvaux en date du 7 avril 2023. La Commission nationale pour la protection des donnees Tine A. Larsen Presidente Thierry Lallemang Commissaire Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°8022 portant modification de la loi modifiee du 26 octobre 2010 portant reorganisation de la Chambre de Commerce et au projet de reglement grand-ducal ayant pour objet les elections pour la Chambre de commerce 6/6