← Luxembourg

Loi du 1er aout 2018 relative au traitement des donnees a caractere personnel en matiere penale et securite nationale, article 1er paragraphe 1er. 4 5

Avis de la Commission nationale pour la protection des donnees relatif au projet de reglement grand-ducal portant modification du reglement grandducal modifie du 18 juin 2014 relatif a la carte d'identite Deliberation n°55/AV27/2022 du 21 novembre 2022

  1. Conformement a !'article 57.1.c) du reglement (UE) 2016/679 du 27 avril 2016 relatif a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel et a la libre circulation de ces donnees, et abrogeant la directive 95/46/CE (reglement general sur la protection des donnees) (ci-apres le« RGPD »), auquel se refere !'article 7 de la loi du 1er ao0t 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees, la Commission nationale pour la protection des donnees (ci-apres la« Commission nationale » ou la« CNPD ») « conseille, conformement au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives a la protection des droits et libertes des personnes physiques a l'egard du traitement ».
  2. Par ailleurs, !'article 36.4 du RGPD dispose que « [/Jes Etats membres consultent l'autorite de controle dans le cadre de /'elaboration d'une proposition de mesure legislative devant etre adoptee par un parlement national, ou d'une mesure reglementaire fondee sur une telle mesure legislative, qui se rapporte au traitement. »
  3. Bien que non consulte par le Ministere de la Digitalisation, la CNPD souhaite aviser le projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif a la carte d'identite (ci-apres le « projet de reglement grand-ducal »), qui a neanmoins ete porte a son attention par ledit ministere.
  4. La CNPD n'ayant pas ete saisie directement par Monsieur le Ministre de la Digitalisation afin d'aviser le projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif a la carte d'identite (ci-apres le « projet de reglement grandducal » ), elle souhaite neanmoins s'autosaisir et se prononcer sur !edit projet.
  5. II ressort de !'expose des motifs que le projet de reglement grand-ducal « vise a creer le cadre reglementaire en vue de !'introduction du concept de portefeuille numerique personnel disponible sur une application etatique de telephonie mobile et d'autres appareils, valable sur le territoire de l'Etat du Grand-Duche de Luxembourg, qui offre aux citoyens la possibilite de s'identifier en ligne et hors ligne. » Les auteurs du projet de reglement grand-ducal precisent dans ce contexte que la « creation de !'application etatique du portefeuille numerique personnel Avis de la Commission nationale pour la protection des donnees CNP~ ~o.,.....;,:,. ... e,c,411 [ ~e.• • c,-:..,.,1~ ••0·1~1,:,-. ;,r. relatif au projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif la carte d'identite. a 1/6 luxembourgeois s'inscrit dans le contexte de l'identite numerique europeenne, dont /'introduction est envisagee par la Commission europeenne dans /es prochaines annees. » En effet, la CNPD constate que la proposition de reglement de la Commission europeenne du 3 juin 2021 modifiant le reglement (UE) n° 910/2014 en ce qui concerne l'etablissement d'un cadre europeen relatif a une identite numerique1 fixe, entre autres, les conditions de delivrance, par les Etats membres, des portefeuilles europeens d'identite numerique.
  6. Les auteurs du projet de reglement grand-ducal precisent qu'afin « de permettre aux citoyens de nationalite luxembourgeoise de s'identifier /ors d'un controle d'identite sur le territoire de l'Etat du Grand-Duche de Luxembourg, ii est propose d'introduire une application mobile a telecharger, permettant aux citoyens interesses de presenter a /'agent de police, sur requete, une attestation justifiant qu'ils sont titulaires d'une carte d'identite. A noter que /'usage de cette application est reservee aux citoyens qui sont en possession d'une carte d'identite valide. »2
  7. Ainsi, selon le commentaire de !'article unique, le projet de reglement grand-ducal vise a completer !'article 6 du reglement grand-ducal modifie du 18 juin 2014 relatif a la carte d'identite par un paragraphs 4 afin d'assimiler la presentation d'une attestation electronique de la carte d'identite, dans une application de portefeuille numerique personnel, a la presentation de la carte d'identite physique.
  8. II results par ailleurs du commentaire de !'article que « /'utilisation de /'application de portefeuille numerique personnel, et partant le telechargement de /'attestation numerique de la carte d'identite, sont purement facultatifs et dependent entierement du choix du citoyen qui se decide apter ou ne pas apter pour cette possibilite supplementaire. Evidemment /es citoyens ont le droit de prouver leur identite sous la forme de leur choix. La personne qui presentera son attestation numerique a /'agent de police ne pourra se voir demander en parallele la carte d'identite physique. » a a
  9. Or, la Commission nationale constate que le projet de reglement grand-ducal sous examen se limite a prevoir qu'une attestation numerique de la carte d'identite, se trouvant dans une application de portefeuille numerique personnel, permet aux citoyens de prouver leur identite par voie electronique. Par contre, !'application de base qui constituera le portefeuille numerique personnel n'est pas reglementee par ce projet et la CNPD n'est des lors pas en mesure de se prononcer. Pour cette raison, elle ne peut pas suivre les considerations des auteurs du projet de reglement grand-ducal qui relevant que ledit projet vise « a creer le cadre reglementaire en vue 1 Proposition de Reglement du Parlement europeen et du conseil modifiant le reglement (UE) n° 910/2014 en ce qui concerne l'etablissement d'un cadre europeen relatif a une identite numerique, Bruxelles, le 3.6.2021, COM

(2021)281 final, 2021/0136(COD). 2 Expose des motifs du projet de reglement grand-ducal. Avis de la Commission nationale pour la protection des donnees CNP~ ---rc~•,u [ tC JI Jo. r •O"t Cio;:-. DI] Vl,t.i,;(f~ relatif au projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif la carte d'identite. a 2/6 de /'introduction du concept de portefeuille numerique personnel disponible sur une application etatique de telephonie mobile et d'autres appareils, [ ...] ». La CNPD suppose qu'un traitement de donnees a caractere personnel est mis en ceuvre par l'Etat a travers ladite « application etatique de telephonie mobile et d'autres appareils », qui permet done le telechargement de !'attestation numerique de la carte d'identite. Le commentaire de !'article explique uniquement que « [l]'identifiant numerique etant defini comme un mode de stockage et de representation de donnees dans un format transmissible moyennant une application mobile, cette application sera une application developpee et mise en place par l'Etat », sans explications supplementaires sur les traitements de donnees a caractere personnel effectues. 10. La CNPD tient a souligner que tout traitement de donnees a caractere personnel doit reposer sur une base de liceite conformement a !'article 6 du RGPD. En particulier, ii convient de rappeler que le traitement de donnees a caractere personnel necessaire a !'execution d'une mission d'interet public ou relevant de l'exercice de l'autorite publique dont est investi le responsable du traitement ou necessaire au respect d'une obligation legale auquel !edit responsable est soumis, doit reposer sur une base legale conformement a !'article 6.3 du RGPD, lu ensemble avec son paragraphe 1er, lettres
  1. c)et
  2. e)qui dispose que: « Le fondement du traitement vise au paragraphe 1, points
  3. c)et e), est defini par: a. le droit de /'Union; ou b. le droit de l'Etat membre auque/ le responsab/e du traitement est soumis. Les finalites du traitement sont definies dans cette base juridique ou, en ce qui concerne le traitement vise au paragraphe 1, point e), sont necessaires a /'execution d'une mission d'interet public ou relevant de l'exercice de l'autorite publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions specifiques pour adapter /'application des reg/es du present reglement, entre autres: Jes conditions genera/es regissant la liceite du traitement par le responsable du traitement; Jes types de donnees qui font /'objet du traitement; Jes personnes concernees; Jes entites auxquelles Jes donnees a caractere personnel peuvent etre communiquees et Jes finalites pour lesquelles el/es peuvent l'etre; la limitation des finalites; Jes durees de conservation; et Jes operations et procedures de traitement, y compris Jes mesures visant a garantir un traitement licite et loyal, tel/es que eel/es prevues dans d'autres situations particulieres de traitement comme le prevoit le chapitre IX. » 11. Le considerant 41 du RGPD precise encore que cette mesure legislative devrait etre claire et precise et son application devrait etre previsible pour les justiciables, conformement a la [ CNPi . Avis de la Commission nationale pour la protection des donnees -:;:o., ... ;;:.:,-. ... ,,e,.,,.u re.• -. , .,..,,~.. pr.(,.·, ....u~ relatif au projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif la carte d'identite. a 3/6 jurisprudence de la Cour de justice de l'Union europeenne et de la Cour europeenne des droits de l'homme. 3 12. Tout traitement de donnees a caractere personnel opere par l'Etat a travers ladite application doit des lors etre prevu dans une loi au sens stricte du terme afin de satisfaire aux exigences precitees de prevision et de previsibilite auxquelles doit repondre tout texte legal, par reference a la jurisprudence europeenne, et dans un souci de transparence et de securite juridique. De meme, ii va de soi que des mesures techniques et organisationnelles appropriees devraient etre mises en place et que les droits des personnes concernees, tels que prevus au Chapitre Ill du RGPD , soient respectes. 13. Par ailleurs, la Commission nationale considere que !'assimilation de la presentation d'une attestation electronique de la carte d'identite, contenue dans le portefeuille numerique personnel, a la presentation de la carte d'identite physique depasse la pure forme et les modalites techniques de la carte d'identite qui peut, selon !'article 15.4 de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques, etre determines par reglement grand-ducal. Elle estime des lors que cette equivalence juridique devrait figurer dans le corps du texte dudit article 15 de la loi modifiee du 19 juin 2013 relative a !'identification des personnes physiques et non pas dans le reglement grand-ducal modifie du 18 juin 2014 relatif a la carte d'identite. 14. La CNPD constate aussi qu'alors que le commentaire de !'article mentionne que les agents de police peuvent lire l'identifiant numerique appose sur !'attestation numerique, afin d'identifier une personne, le texte de !'article unique et son commentaire restent muets sur les questions suivantes : L'attestation numerique contiendra-t-elle une copie numerique de la carte d'identite ou ne renseignera-t-elle seulement sur !'existence d'une carte d'identite par le biais d'un code QR ? Comment un policier peut-il controler l'identite d'une personne via une application de portefeuille numerique personnel de maniere equivalente a un controle physique de la personne qui presente sa carte d'identite, suivant les regles du droit penal ? Aux yeux de la CNPD, ces points devraient necessairement faire l'objet de l'encadrement legislatif en projet. 15. Les auteurs du projet ne precisent pas non plus qui pourront etre, le cas echeant, les destinataires de « /a presentation par le titulaire d'une attestation numerique de la carte d'identite ». La Commission nationals se demands des lors si ledit titulaire pourrait aussi prouver son identite par une telle attestation numerique a d'autres acteurs publics ou prives que la Police grand-ducale. 3 Ence sens, V.M. Besch,« Traitement de donnees a caractere personnel dans le secteur public», Normes et legistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 decembre 2015.CourEDH, Vavricka et autres c. Republique !cheque (requetes n°47621 /13 et 5 autres), § 276 293, 8 avril 2021. a Avis de la Commission nationale pour la protection des donnees :.s..-. CNP~ ~-,c~,,u ~o-, .. [ ,c,,,. r,o·te:•<'·· ~"""""' relatif au projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif la carte d'identite. a 4/6 16. Finalement, com me susmentionne, le commentaire de !'article prevoit que: « [/]'agent de police auquel /'attestation numerique est presentee, pourra lire l'identifiant numerique (qui pourra avoir la forme d'un code QR ou d'un code-barre par exemple) appose sur /'attestation, par des applications sur son smartphone professionnel. Ces applications Jui permettent le cas echeant de comparer et verifier /es donnees affichees par l'identifiant numerique avec eel/es contenues dans /es banques de donnees du registre national des personnes physiques (RNPP) et des permis de conduire. » 17. II en ressort que les agents de police procederont a un traitement de donnees a caractere personnel en scannant ledit code QR ou code-barre et en comparant les donnees affichees par l'identifiant numerique avec celles contenues dans le registre national des personnes physiques (RNPP). La CNPD suppose que cette application disponible aux agents de police et leur permettant de lire l'identifiant numerique appose sur !'attestation de la personne en cause est differente de !'application etatique sur laquelle le portefeuille numerique personnel sera disponible. 18. Tant que ces questions ne soient pas resolues au regard des considerations ci-avant, la CNPD ne peut pas aviserfavorablement le projet de texte sous examen, alors que l'encadrement juridique auquel doit repondre un texte legal fait defaut. 19. Elle estime des lors necessaire de preciser que la loi du 1er aoOt 2018 relative a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale s'applique aux traitements de donnees a caractere personnel par la Police grand-ducale dans !'execution de ses missions de prevention et de detection des infractions penales, d'enquetes et de poursuites en la matiere ou d'execution de sanctions penales y compris la protection contre les menaces pour la securite publique et la prevention de celles-ci.4 D'autant plus, ladite loi s'applique egalement aux traitements effectues par la Police grand-ducale dans !'execution de missions a des fins autres que celles mentionnees la phrase precedente et prevues par des lois speciales. 5 a Le controle d'identite par la Police grand-ducale6 a travers ladite application permettant de lire l'identifiant numerique appose sur !'attestation numerique du titulaire devra done respecter les dispositions de la loi precitee. Loi du 1er aout 2018 relative au traitement des donnees a caractere personnel en matiere penale et securite nationale, article 1er paragraphe 1er. 4 5 Ibidem, article 1er paragraphe 2. a). 6 Voir aussi !'article 5 de la loi modifiee du 18 juillet 2018 sur la Police grand-ducale. [ CNPi Avis de la Commission nationale pour la protection des donnees : ov ....Jo-; ... '>C'-Att ~e.,..., HQ' fC!-C'•, tt~t~.,•fl: relatif au projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif la carte d'identite. a 5/6 Ainsi adopte a Belvaux en date du 21 novembre 2022. La Commission nationale pour la protection des donnees ( , " () --=-==--+ ~ ~ 1/Y\J ~v Tine A: Larsen Presidente Thierry Lallemang Commissaire Commissaire Avis de la Commission nationale pour la protection des donnees CNP~ ~o,.,--.a~-. . .i,c,"l( [ ,eJI> r •~·1cic,. c..-:oe,..,,,Ni relatif au projet de reglement grand-ducal portant modification du reglement grand-ducal modifie du 18 juin 2014 relatif la carte d'identite. a 6/6

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.