Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques Délibération n° 68/AV30/2022 du 9 décembre 2022
- Conformément à l’article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par ailleurs, l’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. »
- Par courrier en date du 29 novembre 2022, Monsieur le Ministre de la Mobilité et des Travaux publics a invité la Commission nationale à se prononcer sur le projet de règlement grandducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques (ci-après le « projet de règlement grand-ducal »).
- Il ressort de l’exposé des motifs que le projet de règlement grand-ducal « vise à créer le cadre règlementaire en vue de l’introduction du concept de portefeuille numérique personnel disponible sur une application étatique de téléphonie mobile et d’autres appareils, valable sur le territoire de l’État du Grand-Duché de Luxembourg, qui offre aux citoyens résidents la possibilité de s’identifier en ligne et hors ligne. Dans un premier temps, le portefeuille numérique personnel (en anglais : e-wallet) regroupera des attestations électroniques de la carte d’identité et du permis de conduire ». À cet égard, il y a lieu de noter que la Commission nationale a déjà avisé le projet de règlement grand-ducal portant modification du règlement grand-ducal modifié du 18 juin 2014 Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. 1/6 relatif à la carte d'identité le 21 novembre 20221 et que le présent avis reprend pour l’essentiel les observations y formulées.
- Les auteurs du projet de règlement grand-ducal précisent que la « création de l’application étatique du portefeuille numérique personnel luxembourgeois s’inscrit dans le contexte d’un ewallet européen, dont l’introduction est envisagée par la Commission européenne dans les prochaines années. » En effet, la CNPD constate que la proposition de règlement de la Commission européenne du 3 juin 2021 modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique2 fixe, entre autres, les conditions de délivrance, par les États membres, des portefeuilles européens d’identité numérique.
- Les auteurs du projet de règlement grand-ducal indiquent encore dans l’exposé des motifs que « [l]’attestation numérique du permis de conduire offre aux conducteurs titulaires d’un permis de conduire la possibilité de prouver l’existence de leur permis par voie électronique. Il est proposé d’introduire une application mobile à télécharger, permettant aux conducteurs de véhicules n’ayant pas leur permis de conduire sous forme physique sur eux, de présenter à l’agent de police, à l’occasion d’un contrôle routier, une attestation numérique justifiant qu’ils sont titulaires d’un permis de conduire. A noter que l’usage de cette application est réservé aux conducteurs qui sont en possession d’un permis de conduire en cours de validité. »
- Ainsi, le projet de règlement grand-ducal vise à compléter les articles 70, point 1, et 173, point 1, de l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques afin d’assimiler la présentation d’une attestation électronique du permis de conduire, dans une application de portefeuille numérique personnel, à la présentation du permis physique.
- Il résulte par ailleurs du commentaire des articles que « l’utilisation de l’application de portefeuille numérique personnel, et partant le téléchargement de l’attestation numérique du permis de conduire, sont purement facultatifs et dépendent entièrement du choix du conducteur qui se décide à opter ou à ne pas opter pour cette possibilité supplémentaire. Évidemment les conducteurs ont le droit de prouver l’existence de leur permis sous la forme de leur choix. » La Commission nationale s’étonne dès lors que les auteurs expliquent par la suite que « [l]’agent de police qui veut se persuader de la possession du permis, par le titulaire de l’attestation numérique, peut inviter ce dernier à venir présenter le lendemain son permis de conduire physique au bureau de police le plus proche. » Il y a lieu de s’interroger sur les raisons de cette précision de la part 1 Délibération n°55/AV27/2022 du 21 novembre 2022 de la Commission nationale pour la protection des données. 2 Proposition de Règlement du Parlement européen et du conseil modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique, Bruxelles, le 3.6.2021, COM
(2021)281 final, 2021/0136(COD). Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. 2/6 des auteurs, étant donné qu’il s’agit d’une différence notable avec le dispositif prévu par le projet de règlement grand-ducal portant modification du règlement grand-ducal modifié du 18 juin 2014 relatif à la carte d'identité. En effet, en ce qui concerne la carte d’identité, il est énoncé dans le commentaire de l’article unique que « [l]a personne qui présentera son attestation numérique à l’agent de police ne pourra se voir demander en parallèle la carte d’identité physique ». Quant au projet de règlement grand-ducal sous examen, la CNPD considère que le commentaire des articles est en contradiction avec le texte à proprement parler qui prévoit expressément que la présentation d’une attestation numérique du permis de conduire est équivalente à la présentation du permis de conduire physique. Il se pose effectivement la question de savoir quelle serait l’utilité du projet de règlement grand-ducal si l’agent de police peut demander, en plus de la présentation de l’attestation numérique, la présentation du permis de conduire sur support physique.
- De plus, la Commission nationale constate que le projet de règlement grand-ducal sous examen se limite à prévoir qu’une attestation numérique du permis de conduire, se trouvant dans une application de portefeuille numérique personnel, permet aux conducteurs de prouver l’existence de leur permis par voie électronique. Par contre, l’application de base qui constituera le portefeuille numérique personnel n’est pas réglementée par ce projet et la CNPD n’est dès lors pas en mesure de se prononcer. Pour cette raison, elle ne peut pas suivre les considérations des auteurs du projet de règlement grand-ducal qui relèvent que ledit projet « vise à créer le cadre règlementaire en vue de l’introduction du concept de portefeuille numérique personnel disponible sur une application étatique de téléphonie mobile et d’autres appareils, […] ». La CNPD suppose qu’un traitement de données à caractère personnel est mis en œuvre par l’État à travers ladite « application étatique de téléphonie mobile et d’autres appareils », qui permet donc le téléchargement de l’attestation numérique du permis de conduire. Le commentaire des articles explique uniquement que « [l]’identifiant numérique étant défini comme un mode de stockage et de représentation de données dans un format transmissible moyennant une application mobile, cette application sera une application développée et mise en place par l’Etat », sans explications supplémentaires sur les traitements de données à caractère personnel effectués.
- La CNPD tient à souligner que tout traitement de données à caractère personnel doit reposer sur une base de licéité conformément à l’article 6 du RGPD. En particulier, il convient de rappeler que le traitement de données à caractère personnel nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ou nécessaire au respect d’une obligation légale auquel ledit responsable est soumis, doit reposer sur une base légale conformément à l’article 6.3 du RGPD, lu ensemble avec son paragraphe 1er, lettres c) et e) qui dispose que : « Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par : Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. 3/6 a. le droit de l'Union; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. » Le considérant
(41)du RGPD précise encore que cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme
- Tout traitement de données à caractère personnel opéré par l’État à travers ladite application doit dès lors être prévu dans une loi au sens stricte du terme afin de satisfaire aux exigences précitées de prévision et de prévisibilité auxquelles doit répondre tout texte légal, par référence à la jurisprudence européenne, et dans un souci de transparence et de sécurité juridique. De même, il va de soi que des mesures techniques et organisationnelles appropriées devraient être mises en place et que les droits des personnes concernées, tels que prévus au Chapitre III du RGPD, soient respectés.
- Par ailleurs, la Commission nationale considère que l’assimilation de la présentation d’une attestation électronique du permis de conduire, contenue dans le portefeuille numérique personnel, à la présentation du permis de conduire physique devrait figurer dans la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et non pas dans l’arrêté grand-ducal du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. Il se pose également la question de savoir si le principe du contrôle du permis de conduire par les agents de police ne relève pas d’une matière réservée à la loi. À cet égard, il y a lieu de rappeler que l’article 32.3 de la Constitution dispose que « [d]ans les 3 En ce sens, V.M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n°47413/06], § 228-229, 4 décembre 2015.CourEDH, Vavřička et autres c. République tchèque (requêtes n°47621/13 et 5 autres), § 276 à 293, 8 avril
- Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. 4/6 matières réservées à la loi par la Constitution, le Grand-Duc ne peut prendre des règlements et arrêtés qu’en vertu d’une disposition légale particulière qui fixe l’objectif des mesures d’exécution et le cas échéant les conditions auxquelles elles sont soumises. »
- Le projet de règlement grand-ducal soulève encore des interrogations sur le fonctionnement pratique de ce dispositif. Ainsi, le commentaire des articles prévoit que « [l]’agent de police auquel l’attestation numérique est présentée, pourra lire l’identifiant numérique (qui pourra avoir la forme d’un code QR ou d’un code-barres par exemple) apposé sur l’attestation, par des applications sur son smartphone professionnel. Ces applications lui permettent le cas échéant de comparer et vérifier les données affichées par l’identifiant numérique avec celles contenues dans les banques de données du registre national des personnes physiques (RNPP) et des permis de conduire. » Or, l’attestation numérique contiendra-t-elle une copie numérique du permis de conduire ou ne renseignera-t-elle seulement sur l’existence d’un permis de conduire par le biais d’un code QR ou d’un code-barres ? Quelles données sont précisément affichées par l’identifiant numérique ? Aux yeux de la CNPD, ces points devraient nécessairement faire l’objet de l’encadrement législatif en projet.
- Il résulte encore du commentaire des articles que, afin de garantir l’actualité des données relatives au permis de conduire affichées sur l’attestation numérique du permis, ces données sont mises à jour dans les bases de données correspondantes. La Commission nationale se demande quelles bases de données sont exactement visées.
- En tout état de cause, il ressort des explications fournies dans le commentaire des articles que les agents de police procèderont à un traitement de données à caractère personnel en scannant ledit code QR ou code-barres et en comparant les données affichées par l’identifiant numérique avec celles contenues dans le registre national des personnes physiques (RNPP) et des permis de conduire. La CNPD suppose que cette application disponible aux agents de police et leur permettant de lire l’identifiant numérique apposé sur l’attestation de la personne en cause est différente de l’application étatique sur laquelle le portefeuille numérique personnel sera disponible.
- Tant que ces questions ne sont pas résolues au regard des considérations ci-avant, la CNPD ne peut pas aviser favorablement le projet de texte sous examen, alors que l’encadrement juridique auquel doit répondre un texte légal fait défaut.
- Elle estime dès lors nécessaire de préciser que la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale s’applique aux traitements de données à caractère personnel par la Police grand-ducale dans l’exécution de ses missions de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. 5/6 d’exécution de sanctions pénales y compris la protection contre les menaces pour la sécurité publique et la prévention de celles-ci
- D’autant plus, ladite loi s’applique également aux traitements effectués par la Police grand-ducale dans l’exécution de missions à des fins autres que celles mentionnées à la phrase précédente et prévues par des lois spéciales
- Le contrôle de l’existence du permis de conduire par la Police grand-ducale à travers ladite application permettant de lire l’identifiant numérique apposé sur l’attestation numérique du titulaire devra donc respecter les dispositions de la loi précitée. Ainsi adopté à Belvaux en date du 9 décembre
- La Commission nationale pour la protection des données Tine Digitally signed by Tine Larsen Annemarie Annemarie Date: 2022.12.13 10:43:02 +01'00' Larsen Tine A. Larsen Présidente Digitally signed by Thierry Thierry Lallemang 2022.12.13 Lallemang Date: 10:27:29 +01'00' Thierry Lallemang Commissaire signed by Marc Ernest Digitally Marc Ernest JeanJean-Pierre Pierre Lemmer Date: 2022.12.13 Lemmer 10:16:56 +01'00' Marc Lemmer Commissaire Digitally signed by ALAIN ALAIN HERRMANN 2022.12.13 HERRMANN Date: 10:20:25 +01'00' Alain Herrmann Commissaire 4 Loi du 1er août 2018 relative au traitement des données à caractère personnel en matière pénale et sécurité nationale, article 1er, paragraphe 1er. 5 Ibidem, article 1er, paragraphe
- a). Avis de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal modifiant l’arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques. 6/6