Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7985 modifiant 1° la loi modif

(45)du RGPD précise qu'il devrait « appart.enir au droit de /'Un.ion ou au droit d'un Etat membre de déterminer la finalité du traitement Par ailleurs, ce droit pourrait précise; les conditions générales du présent règlement régissant la Jfç{ûté du traitement des données à caractère personnel, établir les spécifications visant à dêtetminer le responsable du · traitement, Je type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les dçmnéés à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licftè et loyal ». 8. Le considérant

(41)du RGPD énonce encore que << [l}orsque le présent règlement fait référence à une basejuridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte. législatif par un parle.ment est exigée, sans préjudice des obligations prévues en vertu de rordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait étre claire et précise et son application devrait êlrè prévis;b/e pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Unîon européenne at de la Cour européenne des droits de l'homme ». Avis de la C.ommlssion nationale pour la protection des données relatif au projet de loi n°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur tàutes les voies publiques et autres·lo.i el au projet de règlement grand-ducal modif,ant rarrêté grand-duéàl modifié du 23 novembre 195_ 5 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 3/23

1. En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres. les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement.
2. Force est de constater que le texte sous avis ne précise pas clairement quelles seraient les catégories de données qui seraient traitées et conservées dans la base de données TR.RCA, ni pour quelles finalités celles-ci seraient traitées, ni quelles seraient les durées de conservation de telles données.
3. De telles précisions s'avèrent d'autant plus importantes alors que le responsable du traitement de cette base de données serait le Ministre ayant les transports dans ses attributions (ci-après le « ministre » ), mais serait gérée par une entreprise privée, la SNCA, et serait, en outre, alimentée par des données collectées par des entreprises privées, à savoir les compagnies d'assurance du Grand-duché de Luxembourg. la Commission nationale reviendra, tout au long de son avis, en détail sur les problématiques susceptibles d'être engendrées par un tel système.
4. Par ailleurs, il convient de regretter que les dispositions qui encadrent une telle base de données soient éparpillées dans plusieurs textes de loi de sorte qu'il est difficile de comprendre les contours et la portée de la base de données TR.RCA. En effet, le projet de loi entend prévoir des dispositions relatives à cette base de données dans la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques, la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilité civile en matière de véhicules automoteurs ainsi que dans le règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers.
5. Pour une meilleure lisibilité et compréhension du fonctionnement de la base de données TR.RCA, ne faudrait-il pas que les dispositions relatives à la base de données TR.RCA soient regroupées dans un même texte ?
6. Sur le rôle des différents acteurs A. Sur le rôle du ministre, de la SNCA et du CTIE
7. Il convient de rappeler que l'article 4, point 7), du RGPD définit le responsable du traitement comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par te droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre ». Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 4/23 L'article 4, point 8), du RGPD dêfinit le sous-traitant comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractërepersonnel pour le compte du responsable du traitement» .
8. Il résulte des dispositions du projet de loi que le « mînistre a la qualité de responsable du traitement conformément aux dispositions .de l'article 4, point 7), du [RGPDJ », le « [CTIE] a la qualité de sous-traitant conformément aux dispositions de l'article 4, point 8) du [RGPDJ »et« la SNCA a la qualité de sous-traitant confcrmément aux dispositions de l'article 4, point 8), du [RGPD]» 4 • 16~ S'il y a lieu de saluer l'effort des àUfeL!rS du projet de loi. pour avoir tenté de définir le rôle du ministre, celui du Centrë des technologies de l'information de l'Etat (ci-après le« CTIE ») ainsi que de la SNCA d'un point de vue de la protection des données, ces dispositions sont toutefois incomplètes.
9. En effet, afin de comprendre la portée de tels rôles d'un point de vue de la prote,ction des données, il est indispensable que le texte sous avis prévoit pour quels traitements de données le ministre est le .responsable du traitement, et de préciser que le CTI.E et la SNCA sont les soustraitants du ministre.
10. Ainsi; la CNPD recommande de préciser que le ministre serait le responsable du traitement pour les traitements, de données effêètués dans le cadre de la tenue de la base de données TR.RCA, que. la SNCA sërait le sous-traitant du ministre, en ce qu'elle gérerait une telle base de données, etque le CTIE serait égalemèntlè sous-traitant du ministre, en ce qu'il mettrait en place I.e$ solutions techniques permettant la tenue de ladite base de données. B. Sur le rôle des compagnies d'assurance
11. Il y a lieu de relever que le rôle des compagnies d'assurance n'est pas clairement défini dans le projet de loi. Én effet il ressort des dispositions de l'article 4 du projE!t de loi que la SNCA recueillerait directement auprès de l'entreprise d'assurance concemée .les données relatives à l'assurance de re$p0nsabilité civile automobile des vêhicules routiers pour le véhicule, à immatriculer. L'article 29 du projet de loi prévoit encore que les compagnies d'assurance notifieraient àla SNCA « l'expiration, l'annulatîon, la résilîafion, la. suspension du contrat ou de la garantie, relatif à 1.m véhicule routier soumis .à l'obligation d'immatriculation ». Conformément à l'article 36 du projet de loi, ces dernières pourraient également saisir « /es données personnel/es du preneur d'assurançe, et d/J propriétaire, détenteur du véhicule routier ◄ Voir article,,4 du prQiet de loi. Avis dela Commission nationale pour là protedlo.ri des données relatif au proj~t de loi n.'7985 modifiant la foi modifiée du•14 février 1955 conœrnant la réglementation de la circulation sur to~s les voîes publiques et autres loi etau projet de règlement grand-ducal modifiant l'arrêté .grand-ducal modifié du 23 novembre 1955 portant règ!emer:it qe la circulation S!M toutes les 'JOies publiques et àutrës.règlertu~nts grand-ducaux 5/23 ou titulaire du certificat d'immatriculation à établir dans la base de données relative à l'assurance de responsabilité civile automobile des véhicules routiers, ainsi que fes données techniques pour identifier le véhicule, sur lequel se porte le contrat d'assurance, en vue de la création du contrat d'assurance et du certificat d'immatriculation du véhicule routier».
12. Ainsi, les compagnies d'assurance agiraient tantôt en tant que simple« data provider », tantôt en tant que responsable du traitement dans le cadre des obligations légales découlant des articles précités. Cependant, nest difficile de comprendre à la lecture desdites dispositions dans quelle situation les compagnies d'assurance agiraient en tant que « data provider » ou en tant que responsable du traitement.
13. Dès lors, il est impératif aux yeux de la Commission nationale de clarifier le rôle des compagnies d'assurance afin de pouvoir tirer clairement les conséquences de leur rôle dans le cadre de la base de données TR.RCA d'un point de vue de la protection des données.
14. Sur les finalités de la base de données TR,RCA
15. L'article 4 du projet de loi, qui introduit le principe de ta création de la base de données TR.RCA, dispose que « v,Joor attester la conclusion d'un contrat d'assurance répondant aux d;spositions de la loi modifiée du 16 avril 2003 relative à ('assurance obligatoire da la responsabilité civile en matière de véhicufes automoteurs, la SNCA collecte et conse,ve, dans le cadre de l'immatriculation d'un véhicule routier, dans une base de données relative à l'assurance de responsabilité civile automobile des véhicules routiers, les données y relatives, recueillies auprès de l'entreprise d'assurance autorisée ».
16. Les données relatives à l'assurance seraient donc collectées et conservées par la SNCA dans la base de données TR.RCA car celles~ci seraient nécessaires aux fins d'immatriculation du véhicule. Cependant, force est de constater que la création d'un « fichier national .central d'assurance » ne semble pas uniquement reposer sur de telles finalités sur base des explications données par les auteurs du projet de loi dans l'exposé des motifs et leurs commentaires des articles. A. Sur les finalités aux fins de l'immatriculation d'un véhicule routier
17. Il y a lieu de relever que la SNCA collecte d'ores et déjà des données relatives à l'assurance de responsabilité civile automobile des véhicules routiers car tout véhicule se doit d'être couvert par une assurance valable afin d'être mis en circulation sur le territoire du GrandDuché de Luxembourg 5 • 5 Voir article 2 de la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilité civile en matière de véhicules automoteurs. Avis de la Commission nationale pour la protection des données relatif au projet de loi n•7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant rarrêté grand-<lucal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 6/23
18. En effet, l'une des pièces à fournir dans le cadre dé « l'immatriculation d'un véhicule au Luxembourg » ou « de /'obtention d'un certificat d'immatriculation; d'une vignette de conformité, d'un document ou d'une copîe. d'un document relevant de l'immatriculation d'un véhicule ou de toute autre opération administrative dans le cadre de la mise en circulation sur la voie publique oude la mise hors circulation sur la voie publique d'un véhic:ule au Luxembourg» , est là preuve de « couverture du véhicule par une assurance de responsabilité civile pour véhicules automoteurs »6 •
19. Cependant, quelles seraient les raisons de la conservation de telles données dans la base de données TR. RCA aux fins de l'immatriculation d'un véhicule routier? En effet, aucune disposition actuellement applicable, dans le cadre de l'immatriculation d'un véhicule routier, ne semble j1.,1stifier une telle conservation dans une base de données dédiée, une fois l'immatriculation du véhicule terminée.
20. Des explications à ce sujet mériteraient d'être apportées par les auteurs du projet de loi. B. Sur les finalités à des fins de contrôle de la validité d'une assurance de responsabilité civile automobile a. Sur les di$poslttons de la directive (UE) 2021/2118 du Parlement européen et du Conseil du 24 riovetnbre 2021
21. L'article 4.1 de la directive (UÈ} 2021/2118 du Parlement européen et du Conseil du 24 novembre 2021 dispose que « [c]haque État membre s'abstient d'effectuer un contrôle de l'assu~nce de fa responsabilité civile des véhicules qui ont leur stationnement habituel sur le territoire d'un autre État membre ou qui ont leur statîonnement habituel surie territoiré d'un pays tiers et entrent sur son territoire à partir du territoire d'un autre Étal membre. Il petit tovtefois procéder à ces contrôles de l'assurance â condition que ceux-ci ne soient pas discriminatoires, qu'ils soient nécessaires et ptr:,portiontlés il tobjectif poursutvt, et : a) qu'ils soient effectués dans le cadre d'un contrôle ne visant pas exctusiVement à vérifier l'assurance ; ou b) qu'ils .fassent partie d'un système généra.! de contrôles sur le territoire natic:mal menés également sur les véhicules qui ont leur stationnement habituel sur le territoire de l'l=tat membre qui réalise le contrôle et ne nécessitent pas l'arrêt du véhicule».
22. Le considérant {16) de ladite directive apporte des précisions quant à ces dispositions, et énonce que « [/]es l=tats membres doivent actuellement s'abstenir de contrôler l'assurance des véhicules qui ontleùr stationnement habituel sur le territoire d'un autre État membre, ou qui ont leur stationnement habituel sur le territoire d'un pays tiers .et entrent sur leur territoire à parllt du 6 Voir article 52 du projet de loi quia pour objet dé modifier l'article 10 (lu règlement grand-ducal modifié du 26 janvier relatif à la réception etl'immatrlculatiôn des véhièules rouliers. Avis de la Commission nationale pour la protection des do.nnêes relatif au projet de loi n•7985 môdffi~li.t la loi .modifiée du 14 février 1955 concernant la réglementation .de la circulation sur toutes les voies publiques et autres loi et au p(ojet de réglement.grand-cluc.il modil~nt l'a~tê grancklucal.meidîfié du 23 novètnbre 1955 portant règleinentde la .circulation sur toutes les voies publiques e.t autres règlements grand-ducaux 7/23 territoire d'un autre État membre. Cependant, de nouvelles Innovations technologiques, comme la technologie permettant la reconnaissance automatique des plaques d'immatriculation, permettent de contrôler l'assurance des véhicules sans les stopper et donc sans interférer avec la libre circulation des personnes. Il convient donc d'autoriser les contrôles de l'assurance des véhicules, uniquement s'ils ne sont pas discriminatoires, s'ils sont nécessaires et proportionnés, s'ils s'inscrivent dans te cadre d'un système général de contrôles surie territoire national menés également sur les véhicules qui ont leur stationnement habituel sur le territoire de l'État membre qui effectue les contrôles et s'ils ne nécessitent pas d'arrêter te véhicule». Le considérant

(17)de la directive précitée énonce encore que« {/]es États membres qui optent pour la mise en place d'un système qui traite des données à caractère personnel susceptibles d'être ultérieurement partagées avec d'autres États membres, telles que des données obtenues grâce à une technologie de reconnaissance des plaques d'immatriculation, doivent légiférer pour permettre le traitement de données à caractère personnel aux fins de la lutte contre la conduite sans assurance, tout en mettant en place des mesures appropnëes garantissant les droits et les libertés ainsi que les intérêts légitimes des personnes concernées par ces données. Les dispositions du [RGPD] s'appliquent au traitement des données à caractère personnel aux fins de la lutte contre la conduite sans assurance. La législation des États membres devrait notamment préciser la finalité exacte, indiq.uer la base juridique pertinente, satisfaire aux exigences de sécunïé applicables, respecter les principes de nécessité, de proportionnalité et de « limitation de la finalité» , et fixer un délai proportionné de conservation des données)).

1. Il résulte de ce qui précède qu'il est laissé le choix aux États membres de mettre en place des systèmes de contrôle de l'assurance d'un véhiêule qui impliqueraient des traitements de données à caractère personnel. Cependant, il ne découle pas de la directive (UE) 2021/2118 précitée que les États membres doivent créer une base de données nationale relative à l'assurance des véhicules routiers, tel que semble le suggérer les auteurs du projet de loi. La CNPD reviendra infra sur ce point.
2. Par ailleurs, il convient de rappeler que « [/]es considérants des directives ne sont pas soumis à l'obligation de transposition en droit national, étant donné qu'ils n'ont aucune valeur juridique propre. Ils contribuent simplement à faciliter l'interprétation des articles des directives auxquels ils se rattachent et qui l'emportent sur les considérants en cas de contradiction )) 7 • b. Sur la volonté des auteurs du projet de loi quant au~ finalités poursuivies par la base de données TR.RCA
3. Il ressort de l'exposé des motifs que « l'Union européenne rend à présent possible le contrôle de l'obligation d'assurer un véhicule routier sur les véhicules routiers immatriculés sur le 7 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public», Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p. 469, n°
4. r CNPO 1 ....,·I Avis de la Commission nationale pour la protection des données relatif au projet de loi 0°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant l'arrêté grand-ducal modifié du 23 novembre 195$ portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 8/23 territoire d'un autre l:tat membre, par la Police de l'État membre surfe. territoire duquel ce véhicule se trouve, selon notamment le considérant

(16)de la directive (UE) 2021/2118 du Parlement européen et du Conseil du 24 novembre 2021 modifiant la directive 2009/103/CE concernant l'assurance de la responsabilité civile résultant de la circulation de véhicules automoteurs et Je contrôle de l'obligation d'assurer cette responsabilité. En effet, la question de la non assurance des véhicules routiers est. envisagée comme un prqbtème sérieux et permettre cet échange contribuerait à améliorer la sécurité routière. En conséquence, un véhicule imm~triculé au LuxemboJJrg et circulant s1.1r Je territoire d'un autre État membre peut être contrôlé au sujet de l'existence de son assurance RC. Au lieu de présenter le document papier, dont la fiabilité•est toute relative, il est prévu que les membres de la Police de cet État membre puisse directement vérifier cette information sur une base de données. Le fait que cette base de données soit centralisée est une exigence pour ce système de contt6/e, à l'échelle européenne. Réciproquement la Police grand-d1,1ct1le pourra conduire de tels contrôle selon les mêmes mc;,dalités surJout véhicule Îtnmatriculé dans le territoire de tout autre État membre ». 33. Les auteurs ciu projet de loi estiment ainsi qùe « mettre en place .cette base de données c1:1ntra/isée ainsi que les moyens permettant d'obtenir et de conserver une information fiable sur l'assurance RC des véhicules routiers est donc une nécessité». Ces derniers précisent encore que « [!Je principal atout de ce système est que rtnformt;)tion sur l'existence ou non, d'une assurance RC peut être instantanément mise .~ jour et contrôlée. Aussi, tes possibHités de fraude ou de falsification quant ,à l'assurance sont exclues. C'est pourquoi ce traitement des données apporte une véritàble plus-value quant à l'application et la sanction de l'obligation de souscrire à une ass1,.1rance cie RC automobile, telle que prévue par les lois modifiées du 14 février 1955 et 16 aV1jl 20O3précitées ». 34. Il ressort encore du commentaire des articles que la base de données TR.RCA serai tune base de données « dédiée â répertorier l'existence d'une responsabilÎté civile automobile pour /es véhi<;ufes en circulation au Grand-Duché du Luxembourg, En effet, l'information contenue dans fa base est considérée comme étant Ja, plus fiable; ët constituera la s.ource de vétfficati.on de la Police grand-ducal lors de ses contrôles »8, et qü'elle serait centralisée « dans la logique des exigences eurôMi:mnes 9 , et en vue de satisfaire à qrre réforme à venir selon /aqµe/le les Etats membres communiqueront l'information relative à l'existence d'une assurance de responsabilité civile pour un véhicule automoteur aux services de Police des Etats membres lors d'un contrôle du véhicule sur le territoire de l'un de ses Etats membres » 1.0. 8 Voir commentaire des articles. Ad article 2.9. 9 les auteurs du. projetde loi semblent v1Ser le considérant 16 de la directive (UE) 202112118 du Parlemen~ eurqpéen et du Conseil du 24 novembre 2021 modifiant la directive 2009I103/CE eoncernaht l'assurahêe de la responsabilité civile résultant.de la circl.ilalion !i.e véhicules automoteurs et le contrô~ de l'Qbligation d'assurer celte responsabilité, voir paragraphe 29 di.J présent avis. 10 Voir commentaire des articles, Ad artfcle .36. Avis de: la Commission nationale pour lâ protection des données relatif au projet de loi n•19a5 i:nodif)ànt la loi modJf~ du 14 février 1955 concernant la. réglementation de la circulation sur toutes lès vt>ies publiques etautres lôi et au projet d~ règlement grand-ducal modifiant rarrêté grand-ducal .modifié du 23 novembre .1955 portant règlementde la <,irc,u.làtion sur .toutes les voies publiques et autres règfements grand-ducaux 9!23 35. Ainsi, et alors que la directive (UE) 2021/2118 précitée ne semble pas imposer la création d'une telle base de données, la CNPD comprend que la création de la base de données obéirait plutôt à une volonté politique - et à l'anticipation d'une réforme européenne à venir, dont la finalité première serait de permettre le contrôle quant à la validité ou l'existence d'une assurance de responsabilité civile pour les véhicules immatriculés et mis en circulation sur le territoire du GrandDuché de Luxembourg. Or, cela n'est aucunement reflétée dans le projet de loi. 36. Par conséquent, en l'absence de telles précisions dans le texte même du projet de loi, la formulation actuelle desdites dispositions ne remplit pas les critères de clarté, de précision et de prévisibilité auxquelles doit répondre un texte légal, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme11 • 37. La CNPD estime, dès lors, indispensable que les dispositions sous avis reflètent les finalités telles que décrites par les auteurs du projet de loi dans l'exposé des motifs et dans le commentaire des articles. 4. Sur les catégories de données 38. En vertu de l'article 4.7 de la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques, tel que modifié par le projet de loi 12 , la SNCA collecte et conserve « dans le cadre de l'immatriculation d'un véhicule routier, dans une base de données relatives à l'assurance de responsabilité civile automobile des véhicules routiers, les données y relatives, recueillies auprès de l'entreprise d'assurance autorisée ». Cet article précise encore que « les données communiquées par les compagnies d'assurance, en vue d'une immatriculation d'un véhicule routier, sont précisées dans un règlement grandducal ; elles comportent certaines données techniques du véhicule et les données personnel/es du propriétaire, détenteur ou titulaire du certificat d'immatriculation du véhîcule, et, le cas échéant, les données personnelles du preneur d'assurance ». 39. L'article 36 du projet de loi 13 précise encore que les compagnies d'assurance saisissent « les données personnelles du preneur d'assurance, et du propriétaire, détenteur du véhicule routier ou titulaire du certificat d'immatriculation à établir dans la base de données relative à l'assurance de responsabilité civile automobile des véhicules routiers. ainsi que les données 11 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public», Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p. 469, 0°619; voir entre autres CourEDH. Zakharov e. Russie [CGL n°47413/06J, § 228-229, 4 décembre 2015, CourEDH, Vavficka et autres c. République tchèque (requêtes n°47621/13 et 5 autres),§ 276 à 293, 8 avril 2021. 12 Voir article 4 du projet de loi. 13 Cet article introduit un nouvel article 31bis de la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilité civile en matière de véhicules automoteurs, telles qu'introduites par rarticle 36 du projet de lôL Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulatîon sur toutes les voies publiques et autres règlements grand-ducaux 10/23 techniques nécessaires pour Identifier le véhlcule, sur lequel se pôrtê lê contrat d'assurance » et que les « modalités et le type des données à saisir sont précisés par un règlement grand-ducal ». 40. La CNPD çomprend que les dispositions du règlement grand-ducal dont il serait question et auquel font référence les articles précités, sont les dispositions vis~es à l'article 50 du projet de règlement grand-ducal, qui a pour ol>jet de modifier l'article 7 du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et l'immatriculation des véhicules routiers. 41. Cet article dispose que « {p]our toute immatriculation d'un véhicule routier au Luxembourg, la compagnie d!assurance titulaire du contrat de responsabilité civile automobile obligatoire procède à la saisie des donnêes techniques:relatives aµ véhicule à faire immatricq/er, dans la /imfte des informations prévues à l'annexe 1 du présent règlement. Dans le cadre de cette saisie, la compagnie d'assurance est autorisée à traiter conformément à l'article 4, paragraphe 7, alinéa 3 de la .loi précitée du 14 février 1955 les données à caractère personnel suivantes : le numéro de chassis du véhicule et le numéro d'immatriculation attribué au véhicule ; le(

1. s)nom(
2. s)et adresse du propriétaire, détenteur ou titulaire du certificat d'immatriculation pour lequel le véhicule est ç1ssuré ; les données pef{;onneltes du préneur d'assurance, le cas échéant ». 42. Il résulte du commentaire des articles que ces nouvelles dispositions ont été introduites « afin dè décrire tes données traitées par la compagnie d'assurance preneur du contrat de responsabilité civile obligatoire du véhicule à assurer »1.4 • 43. S'il ne ressort pas des dispositions précitées, ni du çommentaire des articlès, dans quel fichier c:es données seraient sà(sies,. la CNPD com,i:>rehd toutefois que ces données figureraient dans la base de données TR.RCA. Dès lors, l'article 50 du projet de règlement grand-ducal devrait préciser expressément que ces données soient conseiVées.dans la base de données TR.RCA. 44. En outre, tant l'article 4 du projet de loi qu_ e ('article 50 dù projet de règlement grand-ducal visent expressémentla collec:te des« données personnelles du preneur d'assurance» sans qu'il soit explicitement précisé de quelles données il s'agirait S'agit-il des données figurant sur l'attE!stati.on cl'assurence délivrée par une compagnie d'assurance, telle que visée par l'article 12.4. du règlement grand-ducal modifié du 26 Janvier 2016 relatif à la réception et l'immatricul.ation des véhicules routiers 15 ? Ce document est, en effet, nécessairement communiqué à la SNCA 14 Voir commentaire des articles du projet de règlement grand-ducal, Ad article 50. 15 L'article 12.4. dispose qu'« [ajux fins de documenter pour un véhicule routier l'assurance obligetoiflJ de la responsabilité .civile en matiére de Véhléufê$ automoteurtl, if y a lieu de ptodüite une attestation d'assurance délivrée parune compagnie d'assurance agrééfl à cette fin et certifiant/a couverture du véhicule fJàr une police d'assurance en ëours .de validité Je jour de la déliirranc.e du certificat d'immatriculation ou de ra vignette de c<mfonriité. L'attestation d'assurance doit être conforme au modèle approuvé par le ministre et tomporter au .fnofnsles indications suivantes: les nom(s), pœnom(
3. s)et adresse du !italaJre. de la police d'sssûranca 011, dans le c:as d'une persônne montle, la Avis de la Commis.s ion nationale pour la protection des données relatif au projet de loi ri"7985 modifiant là loi modifiée du 14 févtiêr 1.955 concernant la réglementation .de la circulation sur toutes les voies pubiiques et autres toi etau projet de règlemèntgrand:-ducal modifiant.l'arrêté grand-ducal modifié du 23 novembre 1.955 portant règlement de la drculatïon sur !putes les voles publiques et autres règlements grand-ducaux 11/23 lors de l'immatriculation d'un véhicule routier16• Des précisions à ce sujet mériteraient d'être apportées par les auteurs du projet de loi. 45. Enfin, il convient de relever que les compagnies d'assurance notifieraient à la SNCA des données à caractère personnel en vertu de l'article 29 du projet de loi. Cet article prévoit de remplacer les dispositions de l'article 12.1 de la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilité civile en matière de véhicules automoteurs, par les dispositions ci-après : « [p]our être opposables à la personne fésée, l'expiration, l'annulation, la résiliation, la suspension du contrat ou de fa garantie, relatif à un véhicule routier sourris à l'obligation d'immatriculation tefle que définie à l'article 7 du règlement grand-ducal modifié du 26 janvier 2016 relatif à la réception et à l'immatriculation des véhicules routiers, quelle que soit leur cause, doivent être notifiées par l'entreprise d'assurance autorisée par voie électronique à la [SNCAJ agissant pour Je compte du ministre ayant /es transports dans ses attributions ». 46. Il résulte du commentaire des articles que ces informations seraient enregistrées dans la base de données TR.RCA 17• Cependant, de telles précisions devraient être expressément mentionnées dans les dispositions sous avis et non dans le commentaire des articles 18 • 47. Par conséquent, il résulte des developpements précédents qu'il ne ressort pas clairement du projet de loi et du projet de règlement grand-ducal quelles données à caractère personnel seraient collectées et conservées dans la base de données TR.RCA. 48. Dès lors, et afin de remplir les critères de clarté, de précision et de prévisibilité auxquelles doît répondre un texte légal, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme19 , il est impératif que les auteurs du projet de loi énumèrent clairement dans le texte sous avis quelles catégories de données à caractère personnel seraient collectées et conservées dans la base de données TR.RCA 20 • 49. A toutes fins utiles, la Commission nationale estime que pour une meilleure lisibilité et compréhension des dispositions visant à préciser quelles seraient les catégories de données collectées et conservées dans la base de données TR.RCA, ces précisions devraient figurer dans une seule et même disposition. dénomination et le siège social, le nom et la signature de la compagnie d'assurance, les dates de prise d'effet et d'expiration de l'attestation ainsi que. pour les véhicules, leur numéro d'immatriculation et leur numéro d'identification ». 16 Voir article 10 du règlement grand-ducal modifié du 26 janvier 2016 relatif à la rêception et l'immatriculation des véhicules routiers, tel que modifié par te projet de règlement grand-ducel. 17 Voir commentaire des articles du projet de loi, Ad article 29. 16 Voir paragraphes 6 à 13 du présent avis. 19 En ce sens. voir M. Besth, « Traitement de données à caractère personnel dans le secteur public», Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p. 469, n°619; vo.ir entre autres CourEDH, Zakharov e. Russie (CGL n'47413/06J, § 228-229, 4 décembre 2015, CourEDH. Vavtil:ka et autres c. République tchèque (requêtes 0°47621/13 et 5 autres),§ 276 à 293, 8 avril 2021. 20 Sur ce point voir également paragraphes 6 à 13 du présent avis. Avis de la Commission nationale pour la protection des données relatif au projet de loi 0°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes tes voies ptibliques et autres règlements grand-ducaux 12/23 5. Sur les modalités d'accès à cette base de données 50. L'article 36 du projet de loi a pour objet d'introduire dans la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilité civile en matière de véhicules automoteurs un nouvel article 31bis. Ce nouvel article prévoit d'encadrer quelles dbnnées de la base de données TR.RCA seraient communiquées aux différentes entités y visées. A. Sur les mesures de sécurité qui seraient mise$ en place 51. Conformément à l'article 5.1.f du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité apprqpriée des données à caractère personnel; y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la de.structîon ou les dég{Jts d'origine accidente/le, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentia/ît{J) ». 52. L'article 32 du RGPD dispose encore que « /e responsal)le du traitement et le sous-traitant mettent en œuvre les mesure.s. techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aµ risque ». Pareilles mesures doivent être mises en œwre afin d'éviter notamment des ciè.cès non-autorisés. aux données, des fuites de données ou des modifications n·on désirées. 53, Il y a .iieu de rappeler qu'il est vivement recommandé de définir une politique de gestion des aèeès, afin de pouvoir identifier dès le début la personne ou le service, au sein de chaque entité concernée, et à quelles données précises cette personne ou ce service aurait accès. 54. En outre, il est nécessaire de prévoir un système{le journalisation des accès. Sur ce point. la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrerneot, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. · 55. Il convient encore de souUgner l'importance d'èffectuer proactivement des contrôles en interne. A cet effet, il convient conformément à l'article 32.1.d du RGPD de mettre en œuvre une procédure « visant à te$ler, à .a nalyser et. à .é valuer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement >>. 56. La CNPD estime primordial, dans le cadre des accès à la base de données TR.RCA, que ~ . telles mesures de sécurité soient mises en œuvre par le responsable du traitement é'.lfin çl'assurer la confidentialité et la sécurité des données. Avis de la Commission nationale pour la protection des données relatif au projet de loi n'7985 modifiant la loi modifiée du 14 février 1955 ~ncernant la réglementation de la. circulation sur toutes: les voies publiques et autr~ loi et av projet de règlèrhentgrand-qocal modifiant l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la citc:ulation sur toQtes. les voii,!s publiques et autres règlements grand-ducaux 1~~3 57. En outre, la mise en œuvre de ces mesures devraient impéràtlvement tenir compte des spécificités de chacun des accès envisagés par le projet de loi. En effet, il y a lieu de relever que l'article 36 du projet de loi prévoit différents accès à la base de données TR.RCA : - un accès par la Police grand-ducale ; un accès par les agents de l'Administration des douanes et des accises ; - un accès par les entreprises d'assurance autorisées; - un accès par le Fonds de Garantie Automobile ; et le Bureau, tel que défini à l'article 1er lettre
4. g)de la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilité civile en matière de véhicules automoteurs. La Commission nationale reviendra dans les développements ci-après sur chacun de ces accès. B. Sur l'accès à la base de données TR.RCA par des acteurs publics et privés a. Remarques liminaires 58. Les dispositions du nouvel article 31 bis21 prévoient que la SNCA « est autorisée à mettre à disposition l'information relative à la validité d'une attestation d'assurance de responsabilité civile automobile ». 59. S'il ressort desdites dispositions qu'une communication de données semblent être envisagée, cela semble être contredit par le commentaire des articles qui mentionne un accès ou une consultation de données. Pour une meilleure compréhension et lisibilité des dispositions sous avis, il est important que la volonté des auteurs soit clairement reflétée dans lesdites dis positions et qu'une même terminologie soit employée. 60. En tout état de cause, la Commission nationale estime qu'il seraït préférable de prévoir une communication de données de la SNCA vers les acteurs privés plutôt qu'un accès à la base de données TR.RCA. 61. Enfin, il convient de rappeler que conformément au principe de minimisation des données seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles seraient traitées soient communiquées. 62. La CNPD comprend qu'un tel principe serait respecté en l'espèce alors qu'il ressort des dispositions du nouvel article 31bis que la SNCA communiquerait « l'information relative à la vafidité d'une attestation d'assurance de responsabilité civile automobile ». Les auteurs du projet de loi précisent encore dans le commentaire des articles qu' « [i]I convient d'insister sur le fait que pour chacune des entitès ayant la possibilité de consulter fa base TR.RCA, la seule information 21 L'article 36 du projet de loi introduit un nouvel article 31bis dans la loi modifiée du 16 avril 2003 relative à rassurance obligatoire de la responsabib1é civile en matière de véhicules automoteuNS. Avis de la Commission nationale pour la protection des données relatif au projet de loi n•7985 modifiant la loi modifiée du 14 février 1955 concernant ta réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 14123 que la SNCA communique est la réponse à la question de savoir si une assurance RC automobile existe ou non pour le véhicule en question». Dès lors, de telles dispositions méritent d'être saluées. b. Sur l'accès par la SNCA 63. Il convient de regretter que ni les textes sous avis ni le commentaire des articles n'apportent de précisions quant aux raisons qui justifieraient qu'un agent de la SNCA puisse accéder à la base de données TR.RCA. Ainsi, quelles seraient les finalités pour lesquelles un agent de la SNCA pourrait avoir accès à la base de données TR.RCA, une fois l'immatriculation d'un véhiculertermlnée ? 64. De plus, il ressort du projet de loi qu'une autre base de données est actuellement gérée par la SNCA à savoir le fichier national des véhicules routiers et de leurs détenteurs, dénommé « TR.VIM »22 . Ce fichier serait d'après les auteurs du projet de loi également relié au fichier TR.RCA23 . 65. Afin d'éviter1out .accès illégal aux données, il faudrait veiller à ce que des agents de la SNCA qui auraiertt accès au fichier TR. VIM ne puissent accéder au fichier TR.RCA et vice-versa, si les finalités pour lesquelles ces accès sont accordés, sont différentes. 66. Par conséquent, conformément aux déyeloppements précédents sur les mesures de sécurité devant être mises en œuvre, il est impo$nt qu'une politiqUe des accès soit aménagée et que les principes de minimisation des données et de limitation des: finalités 24 soient respectés dans le cadre de tels accès. c. Sur l'accQS par la .Police grand-ducale 67. Il résulte du nouvel arti.cle 31bis que la Police grand-ducale aurait accès à la l:>ase de données TR.RCA « conformément aux dispositions prévues par l'article 43 de fa loi.modifiée du 18 juille.t 2018 sur fa. Police grand-ducale ». 68. L'arti.cle 39 du projet de loi entend refléter une telle hypothèse en ce qu'il modifie l'article 43 de la loi modifiée du 18 juHlet 2018 sur fa Police grand-ducale, La base de données TR.RCA y est ainsi expressément mentionnée. 2~ Voir riotammentcoinment,airedes a11icles du p~o]et de loi., Ad article 3.1. .un fichier séparé et relié à la bà~ TR. VIM par l 'identification .du véhicule pertinent». 24 .En vertl4 du principe de limitation des finaJltés le.s données personnelles doivent être collectées pour des finalités déterminées, explicites et lêgitinies, et ne pas être traitées ullérieurerne.nt d'une manière incompàtibfe avec œs finalités. · 211 Il résulte du commentaire {le l'article 31 du PTT>ièt ·de loi cjue « /a base de données {TR.RCAJ constitue Avis de la.Commission nationale po1.1r la protection des données relatif au projet de loi n'7985 modifiant la loi m~ifiée du 14 février 1955 concernant la régle.mentatlon dè .là circulation s.ur tolites Je.s voies publK1ues et autres loi et au projet de règlëment grand-dueal modifiant l'arrêté grànd-dl.ical modifié du 23 novembre 19~5 portant règlement de ia circulation sur toutes les voies publiques et autres règlements grand-ducaux 1~-3 69. Sans préjugé du bienfondé et de la nécessité d'un tel accès, la Commission nationale se demande quelle serait la plus-value de telles dispositions si la Police grand-ducale n'est à l'heure actuelle pas dotée des moyens techniques qui lui permettraient de consulter à distance cette base de données lors d'un contrôle routier? d. Sur l'accès par l'Administration des douanes et accises 70. L'article 31bis prévoit encore que les agents de l'Administration des douanes et accises auraient également accès à la base de données TR.RCA « conformément à l'article 6 paragraphe
5. b)de la loi modifiée du 14 février 1955 »25 • 71. Il y a lieu de réitérer les interrogations formulées par la CNPD au paragraphe 67 à 69 ciavant. e. Sur l'accès par les entreprises d'assurance 72. Il ressort des dispositions du nouvel article 31bis que la SNCA « est autorisée à mettre à disposition l'information relative à fa validité d'une attestation d'assurance de responsabilité civile automobile » aux « entreprises d'assurance autorisées, aux fins de vérification de cette information, au début et au terme de la période de couverture d'assurance». 73. Les auteurs du projet de loi indiquent à ce sujet, dans le commentaire des articles, que cet accès « est prévu afin de vén"fier la conêordance de l'information contractuelle et de l'information contenue dans la base de données. En effet, lé principal avantage de ce système électronique centralisé est d'obtenir une information fiable et à jour». 74. Cependant, quelle serait l'utilité d'un tel accès pour les compagnies d'assurance alors que celles-ci doivent d'ores et déjà conformément à l'article 29 du projet de loi26 notifier à la SNCA « l'expiration, l'annulation, la résiliation, la suspension du contrat ou de la garantie, relatif à un véhicule routier soumis à l'obligation d'immatriculation telle que définie à l'arlicle 7 du règlement grand-ducal modifié du 26 Janvier 2016 relatif à la réception et à l'immatriculation des véhicules routiers, quelle que soit leur cause » ? 25 Cet article dispose que « [d]ans le cadre des contrôles de véhicu}es effectués dans l'exerr:îce des fonctions qui levr sont conférées par le législation sur les transports routiers ainsi que, pour autant que la masse maximale des véhicules à contrôler dépasse 3.500kg, par les arlicles 11 et 17, paragraphe 1, les fonctionnairês de l'administration des douanes et accises sont chargés d'assurer l'exécution des dispositions de la présente loi et des dispositions réglementaires prises en son exécution, pour autant qu'elles concernent l'aménagement des véhicules et de Jeurs chargements ainsi que les plaques d'immatriculation, les numéros d'identification et les documents de bord, et de dresser procès-verbal des infractions à ces dispositions ».. 26 Cet article entend remplacer les dispositions de farticle 12.1. de la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilitè civile en matière de véhicules automoteurs. r CNPÔ.1 l -J • 1 Avis de la Commission nationale pour la protection des données relatif au projet de loi 0°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant farrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 16/23 75. En outre, les explications avancées par les auteurs du projet de loi pour Justifier un tel accès sont manifestement contraires à la lettre du RGPD. En effet, il y a lieu de r~ppeler que conformément au principe d'exactitude des données 27 , tes données à caractère personnel doivent être exactes, et si nécessaire, tenues à jour. De plus, en vertu de ce principe « toutes tes mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder »28 • 76. Cette obligation pèse sur le responsable du traitement, en l'espèce le ministre, conformément à l'article 5.2 du RGPD. Or, les dispositions du projet de loi, teUes que prévues, auraient comme conséquences de renverser la charge d'une telle responsabilité et de la fàite peser sur les compagnies d'assurance, qui sont totalement étrangères à la tenue et la gestion du fichier TR.RCA. 77. Ainsi, au vu de ce qui précède; la Commission nationale estime qu;il n'est pas justifié ni nécessaire que les .compagnies d'assurànce aient accês à la l;)ase de données TR.RCA pour de telles finalités. Ce d'autant plus alors que celles-ci auraient d'ores et déjà accès à de telles données, qui sont leurs propres données clients. 78. En tout état de cause, la CNPD considère qu'un tel accès ferait courir des risques importants d'accès illégal aux données le cas échéant. En effet, à défaut'demesures de sécurité appropriées, telles qœ décrites ci-avant; le risque de communication non sollicitée pour (es cli~nts des compagnies d'assurance serait, par exemple, important, Oe mêmë qu'il existerait un risqué non négligeable, en cas dé faille informatiql)e, que les données clients d'une compagnie d'assurance A deviennent acc~ssiblês à une e<>rnpagnie d'àssurance B. f. Sur l'accès par le Fonds de Garantie Automobile et pat le Buré$i.l 79. Le nouvel article 31bis prévoit un açcès au Fonds de Garantie Automobile « conformément aux dispositions de la loi du 1"'juin 2007 portant transposition .de la directive 2005114/CE sur l'assurance çJe la responsàbilité cil/ile résultant de fa circulation des véhicules eutomobiles ». 80. La Commission nationale comprend que cet accès au Fonds de Garantie Autôrtlobile ne serait octroyé que lorsque celui-ci en aurait besoin dans le cadre de sa mission de« réparer les préjudices résultant d'un accident causé au Granq-Duché de L1.1Xembourg par un Véhicuïe exempté de /'.obligation d'assurance en vertu de l'article 4 points a} et
6. b)du règlement grand- .ii'. Article 5.1.d du RGPD. 2.8 Article 5. Ù du RGPD. Avis de la Comml5$1on nationale pour ta protecticm des dc;,nnées relatif au projet de loi n'7985 modifiant ta loi modifiée du 14 février 1955 concernant.là réglementation da la élrculatiQn sw- tol.4es les voies publiques el autres loi et au pro1etde règlement grand-duèal modifiant rartê~ grand.-ducal ,nOd~ié du. 23 nPVe!'11bre 195.5 port;i.nt règlement de la circulation sudôi.ltes .le$ \/Oies publiques et autres règklmefits grand-duc.iux. 17123 dûcal du 11 novembre 2003 pris en exécution de fa présente foi ou de l'article 4 point
7. b)de fa Directive 1972/166/CEE »29 • 81. Enfin, la Commission nationale comprend que le Bureau aurait accès à la base de données TR.RCA dans le cadre des dispositions de l'article 15 du règlement modifié du 11 novembre 2003 pris en exécution de la loi du 16 avril 2003 relative à l'assurance obligatoire de la responsabilité civile en matière de véhicules automoteurs. 82. Toutefois, de tels accès sont-ils nécessaires? N'existerait-il pas d'autres moyens alternatifs plus protecteurs en matière de protection des données, afin d'obtenir une telle information, comme la communication d'une telle information par la compagnie d'assurance concernée? 6. Sur la durée de conservation des données 83. Selon l'article 5.1.c du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. 84. Le projet de loi ne donne pas de précisions quant à la durée de conservation des catégories de données qui figureraient dans la base de données TR.RCA. En l'absence de telles précisions, la Commission nationale n'est pas en mesure d'apprécier si, en l'occurrence, le principe de durée de conservation limitée des données serait respecté en l'espèce. 85. De plus, les données collectées devront être supprimées ou anonymisées dès que leur conservation n'est plus nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. 86. Dès lors, même si les durées de conservation ne sont pas définies dans le projet de loi, celui-ci devrait a minima préciser les critères qui seraient pris en compte afin de déterminer quelle est la durée de conservation proportionnée pour chaque catégorie de données à caractère personnel qui serait collectée dans le cadre du projet de loi. 87. Il y a cependant lieu de féliciter les auteurs du projet de loi pour avoir précisé combien de temps les données devraient être conservées par les destinataires des données30 . 29 Voir article 16.2.1. de la toi modifiée du 16 avrll 2003 relative à l'assurance obligatoire de la responsabilité civile 1;1n matière de véhicules automoteurs. et 31bis.3 de la loi modifiée du 16 avril 2003 relative à l'assurance obligatoire de la responsabilitê civile en matière de véhicules automoteurs. 30 Voir nouvel article 31bis.2 r CNPDj 1 L. . Avis de la Commission nationale pour la protection des données relatif au projet de loi n•7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au proj et de règlement grand-<luca! modifiant l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 18/23 88. Par ailleurs, il y a lieu de noter que les dispositions sous avis prévoient une durée « qui ne peut excéder sept années après l'expiration du contrat de responsabîlité civile automobile pour le véhicule couvert » en ce qui concerne « l'information relative à la validité d'une attestation d'assurance de responsabilité civile âl.itomobile » qui serait collectée par les entreprises d'l:lssurance. 89. Les auteurs du projet de loi expliqllerit que cette durée serait nécessaire afin de permettre aux compagnies d'assurance de remplir « Jeurs obligation d'information au Fonds de Garantie Automobile. Cette obligation concerne /es véhicules accidentés à l'étranger et ne s'applique pas à tous les véhicules assurés, mais est cruciale pour assurer l'indemnisation de la victime ». Ces damiers indiquent encore ql1e « le feCC)urs à ,.me base de données centralisée permet le mieux d'appliquer cette règle, indépendamment de l'état des activitff!s des différentes entreprises d'assurance», 90. La CNPD peut comprendre qu'une obligation légale définisse la durée de conservation pour les données collectées piu les compagnies d'assurance. Cependant, cette obligation devrait peser sur les compagnies d'assurance. en leur qualité de responsable du traitement lorsqu'elles collectent des données en vue de la conclusion d'un contrat d',assurance, Ainsi, cette obligation de conservation ne saurait s~appliquer au ministre, 'en tant que responsable du traitement de la base de donné.es TR.RCA, comme pourrait I(;} laiss(;}r penser les explications des auteurs du projet de loi, alors qu'il s'agit d'un traitement dè données différent pour des finantés diffèrentes. 91. Il est indispensable que des clarifications à ce sujet soient apportées par les auteurs du projet de loi. Il. Sur l'accès aux compagnies d'assurance à la ba$e de données ~ TR.VIM » 92. En vertu des dispositi.ons de J'.:1rticle 50 du projet de règ.lement grand-ducal les compagnies d'assurance semblent avoir accès au fichier national des véhicules routier:s et de leurs déteilteurs (TR.VIM ), .qui est actuellement géré par la SNCA. 93. En effet, il ressort du commentaire de l'cirticle 50 du projet de règlement grand-ducal qu' « en ce qui concerne les données techniqués du véhic/J/e »31 , lei. compagnies d'assurance paumaient y « accéder pour créer Je tichier du véhïci.Jle du titulaire. Ainsi la SNCA sera informée de l'initialisation d'un€t couvèrture d'a$$urance de respon$abilité cMle et pourra procéder à l'attribution de la plaque d'immatriculation du titulaire au véhicule à immatriculer». 31 La CNPD comprend qu'il s'agirait en partie <le données à caractère personnel alors que les auteurs du projet de règlement grand-ducal i ndiquent dans le commentaire de t article 50 que « (p]our Ja communication des .infdnnations de l'entreprise d'assurance à la SNCA, ltt VIN ou numéro cle châssis est considéré comme une dolin'ée â caractère personnel». r CNP~ l J Avis de la Commissjo.n nationale pour la protëcti~n des C,c>nnées relatif au projet de loi 11°7985 modifiant la loi modif~e du 14 février 1.955 concemant la réglementation de la èirculatiol) stJr toutes les voies publiques et autres loi et .au prçijet de règlement grand,.(luc:al modifiant l'arrêté grand-ducal modifié du 2:3 novembre 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 1.9 /23 94. En outre, il ressort de l'exposé des motifs du projet de loi qu' « il est proposé d'introduire également la possibilité pour les compagnies d'assurance de pré-créer un véhicule dans la base de données nationale des véhicules automoteurs en vue de l'immatriculation du véhicule. A ces fins, les compagnies d'assurance doivent saisir un minimum d'information en ce qui concerne le véhicule et Je titulaire du futur certificat d'immatriculation du véhicule ». 95. Il résulte de ces explications que les compagnies d'assurance auraient également accès au fichier national des véhicules routiers et de leurs détenteurs. Or, cela n'est ni reflété clairement ni expressément dans le.s textes sous avis. Il est indispensable que de telles clarifications soient apportées par les auteurs des dispositions en projet alors qu'il est difficile à la lecture desdites dispositions de comprendre le fonctionnement et la portée d'un tel mécanisme. 96. Dès lors, la Commission nationale estime que des précisions quant aux finalités et aux modalités d'un tel accès devraient être nécessairement apportées et que des mesures de sécurité, dans I.e cadre d'un tel accès, soient mises en œuvre par le responsable du traitement. Ill. Sur la consultation de bases de données par la SNCA aux fins de vérification de l'information néc:essaire à l'immatriculation 97. L'article 52 du projet de règlement grand-ducal entend modifier l'article 10 du règlement grand-ducal modifié du 26 janvier 2006 relatif à la réception et l'immatriculation des véhicules routiers. Un nouvel alinéa serait introduit à l'article 10 précité qui prendrait la teneur suivante « [l]es pièces justificatives visées par te présent article ainsi que les informations y relatives peuvent également être reçues ou vérifiées par la SNCA moyennant un système électronique sécurisée». 98. Les auteurs du projet de règlement grand-ducal précisent au sujet desdites dispositions qu'il « est prévu que la SNCA puisse consulter les bases de données pertinentes uniquement aux fins de vérification de l'information nécessaire à l'immatriculation. Ces vérifications génèrent un gain de temps et d'efficacité réels, pour la SNCA car elle a accès à une information fiable et à jour, comme pour te requérant qui n'a plus besoin d'effectuer une partie des démarches ». 99. Il y a lieu de regretter que les dispositions précitées ne précisent pas pour quelles autres bases de données la SNCA aurait accès ni (luélles seraient les catégories de données visées. 100. Or, il est indispensable que de telles précisions soient apportées afin que soit respecté les critères de clarté, de précision et de prévisibilité auxquelles doit répondre un texte légal, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme32• 32 En ce sens, voir M. Besch, « Traitement de données .à caractère personnel dans le secteur public "· Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p. 469, n'619 ; voir entre autres Avis de la Commission nationale pour la protection des doMées relatif au projet de loi n°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant l'arrêlé .grand.,d1,1cal modifié du 23 nqveml;)re 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 20/23 101. En outre, il convient de rappeler qu'en vertu de .l'article 6.4 du RGPD {< if s'impose encore de déterminer dans l'ordre juridique national les conditions dans lesquelles les données peuvent être traitées à une finalité autre que celle pour Jaq1,1elle elles sont collectées. Il en est ainsi lorsque le traitement à une autre fin n'est pas compatible avec la finalité pour/aquel/e les données à caractère personnel ont été initialement CQl/ectées. Sont notamment visée:s les hypothèses dàns lesquelles des données sont continuées par une administration à une autre, les données collectées et traitées par une administration sont accessibles à une autre administration ( ...). Dans le respect de · l'article 11, paragraphe 3, <:Je la Constitution, qui érige en ,natiére réservée à la loi les exceptions à la garantie par l'État di;1 la protection de la vie privée, les conditions dans lesquelles lf>S données peuvent être traitées à une finalité autre que celle pour taque/le elles ont été collectées doivent faîrè l'objet d'une loi, du moins quant aux éléments essentiels de la matière »33 • 102. Dès lors, ne faudrait-il pas prévoir dans une loi le principe de l'accès par la SNCA à des bases de données tenues par d'autres administrations ? IV. Sur les échanges de données entre la SNQA et l'Administration des douanes et acèlses 103. L'article 4 du projet <'.lt:t loi dispose que « [p]our la même finalité de l'immatriculation d'un véhicule .routier, la SNCA peut reoevoir la confirmation de l'acquittement de la taxe sur la valeur ajoutée suite à une 'Communication effectuée par l'Adm;nistration des douanes et des accises. D<1ns le cadre de cet échange, le numéro de châssis du véhicule estsaisE Afin de vérifier les informations relatives au véhicule déclaré, des dcmnées techniques supplémentaires du véhicule peuvent être consvltées, selon les,modalités fixées par un rêglem~nt grand,ducal, et le nom(s), prénom(
8. s)et adresse de la personne ayant procédé:à l'acquittement de la taxe peuvent être communiqués>>; Il résulte du commentaire des articles que les auteurs du projet de loi entendent prévoir un échange de données entre la SNCA et l'Administration des douanes.et des accises. 104. S;il convientde féliciter les auteurs du projet de loi pour avoir prévu le principe d'un tel échange, force est de constater que celles-ci ne sont pas rédigées avec suffisamment de précisions. En effet, s'agiUI d'une c9mm1Jnication çle données entre la SNCAet l'Administration des douanes et des accises ou d'un ac<;ès réciproque ,à des bases de donnêes ? CourEDH, Zaknarov e. Russie {GGL n•47413106), § .228-229, 4 décembre 2015, CourEOH, Vavricka et aùltes c. République tchèque (requêtes n•47621/13 at 5 autres), § 276 à 293, s avn1 2021. 33 En CEi sens, voir M. B.esch, I! Traitement de données à caractère personnel dans .le sècieur public », Normes .et legistique en droit public luxembourgeois, Luxembourg, Promowrture Larcier, 2019, p. 469, n°619. [CN, AVI$ de la Commisshm nationale pour la protection des données relatif au projet de loi n.•1985 modifiant ia loi modifiée .du 14 février, 1'955 ooncernant la régfementation de Ja .circulatiQn sur- toutes les voies publiques el autres loi etau projet dé règlementgrand-<lucal modifiant l'arrêté gr.;ind-(lucal modifié du 23 .l'lôvembre 1955 portant règlement dé la circulation sur toutes les voies. publiques et autres règlemel'lts gran(l-duc.iux 21/23 105. Afin de respecter les critères de clarté, de préci$ion et de prévisibilité auxquelles doit répondre un texte légal, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme34, il est indispensable que de telles précisions soient apportées dans le texte en projet. V. Sur les modifications apportées à la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés 106. Les principales modifications apportées par le projet de loi à la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés visent à inclure la notion du titulaire du certificat d'immatriculation en accord avec la directive modifiée 1999/37/CE du Conseil du 29 avril 1999. 107. Par ailleurs, il convient de saluer les modifications de l'article 2.1 de la loi modifiée du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés, par le projet de loi35 , qui entendent supprimer et remplacer la référence faite à la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel par la référence à la loi du 1er aoOt 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. 108. Enfin, dans la mesure où le projet de loi ne clarifie pas les interrogations soulevées par la CNPD dans ses avis du 25 février 2015 36 et du 30 décembre 2020 relatifs aux projets de loi N°6714 et N°7652, elle se permet de réitérer de telles interrogations quant à« la pertinence de se limiter aux masquages des personnes tierces à l'infraction uniquement lors de l'exercice du droit d'accès au images du conducteur ou de la personne présumée pécuniairement responsable » 37 ainsi que l'ensemble de ses observations formulées quant à l'exercice du droit d'accès aux données du système CSA par les personnes concemées 38 • 34 En ce sens, voir M. Besch, << Traitement de données à caractère personnel dans le secteur public», Nonnes et légîstîque en droit public luxembourgeois. Luxembourg, Promoculture Larcier. 2019, p. 469, n°619 ; voir entre autres CourEDH, Zakharov e. Russie [CGL n°47413/06], § 228-229, 4 décembre 2015. CourEDH, Vavrièka et autres c. République tchèque (requêtes n°47621/13 et 5 autres),§ 276 à 293, 8 avril 2021. 35 Voir article 20 du projet de loi. 36 Délibération n'74/2015 du 25 février 2015 d1a1 la Commission nationale pour la protection des données, document parlementaire n"6714/05, délibération n"32/2020 du 30 décembre 2020 de la Commission nationale pour la protection des données, document parlementaire n"7652/03. 37 Voir délibération n°32/2020 du 30 décembre 2020 de la Commission nationale pour la protection des données, document parlementaire n°7652/03, voir sous le point nintitulé « Quant aux images prises par les radars feux rouges », page 3 et délibération n"74/2015 du 25 février 2015 de la Commission nationale pour la protection des données, document parlementaire n°6714/05, page 4. 38 Délibération n°32/2020 du 30 décembre 2020 de la Commission nationale pour la protection des données, document parlementaire n"7652/03, voir sous le point V intitulé « Quant à l'exercice du droit d'accès aux données du système CSA par les personnes concernées », ainsi que déUbération n"7412015 du 25 révrier 2015 de la Commission nationale pour la protection des données, document parlementaire n"6714/05, page 4. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7985 modifiant la loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques et autres loi et au projet de règlement grand-ducal modifiant l'arrêté grand-ducal modifié du 23 novembre 1955 portant règlement de la circulation sur toutes les voies publiques et autres règlements grand-ducaux 22123 Ainsi adopté à Belvaux en date du 19 décembre 2022. La Çommission nationale pour la protection des données .(,·1, it -- ~ - -) ~~. ,~~ i tl••tr- _ Tine A. Larsen Présidente / . Thierry Lallemahg Commissaire /4 , arc L.emmer /1 Commissaire ~ ·. ---.::~--:;:;::;" . ~ -· .- ~-- ··" . - ✓--- Alain Herrmànn Commissaire Avis de .la Commission nationale pour la protection de$ données relatif ao j)rojet .delo.i 0°7985 modifiant la loi modifiee du 14 février 1955 conœi'nal'.11 la réglementation de la circulation 1>.ur·toutes les voies publiques-et autres loi et.au projet de tèglement.gran<!-ducal modifiant l'a,n:êié .grand-ducal.modifiê du 23 novembre 1.955 portant règlement de la circulation surtoutes les voies publiqLies et autres règlements .grand-ducaux 23/23