Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8250 concernant le comptage d

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlement grand-ducal concernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975 portant statut de la copropriété des immeubles Délibérationn°10/AV5/2024du 23 février 2024 Conformément à l'article 57. 1.

1. e)du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des donnéesà caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par ailleurs, l'article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». Par courrier en date du 11 septembre 2023, Monsieur le Ministre de l'Énergie et de l'Aménagement du territoire a invité la Commission nationale à se prononcer au sujet du projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire (ci-après le « projet de loi ») qui avait déjà été déposé le 14 juin 2023 à la Chambre des députés et pour lequel un traitement prioritaire avait été demandé au Conseil CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaireet la répartition des coûtsde chaleur, de froid et d'eau chaudesanitaire et au projet de règlementgrandducal oncernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles 1/11 d'État. Il est à noter qu'en même temps, un projet de règlement grand-ducal1 visant à mettre en ouvre certaines dispositionsdu projet de loi avaitétédéposésans que la CNPDn'aitcependant étésaisie pour avis. Elle s'autosaisitpartant pour le projet de règlementgrand-ducalafin de faire part de ses observations. 3. Le projet de loi entend transposer en droit national la directive (UE) 2018/2002 du Parlement européen et du Conseil du 11 décembre 2018 modifiant la directive 2012/27/UE relative à l'efficacitéénergétiquequi établitun cadre commun de mesures pour la promotion de l'efficacité énergétique dans l'Union. Il ressort de l'exposé des motifs du projet de loi que la directive (UE) 2018/2002 impose « aux Etats membres de créer un nouveau cadre légalqui rend obligatoire le comptage de la consommationde certainstypes d'énergieau niveaudesunitésindividuellesd'un immeuble collectif». L'objectif poursuivi est d'inciter les utilisateurs finals, par la mise à disposition régulièredes informations sur leur consommation d'énergie réelle, de réaliser des économies d'énergiepar changementcomportemental. 4. Le présent avis ne se prononcera pas sur les directives susmentionnées mais se limitera à examiner les dispositions du projet de loi ainsi que du projet de règlement grand-ducal qui concernent leur mise en ouvre concrète en droit national ayant un impact en matière de protection des données personnelles. l. 5. Observations générales Il convient de rappeler que les informations collectées par les compteurs d'énergie thermique constituent des données à caractère personnel si elles peuvent être reliées à une personne physique identifiéeou identifiable. Déjàlors du déploiementnational des compteurs intelligents, la Commission nationale avait, tout en reconnaissant les avantages apportés par ces compteurs, mis en garde contre les risques qui pourraient se poser pour la protection de la vie privée2. A titre d'exemple, l'analyse des donnéescollectéespermet de déduireun grand nombre d'informations sur les habitudes de vie des personnes concernées, telles que les heures de lever et de coucher, les périodesd'absence,le nombrede personnes présentesdansle logementou même,dansdes cas spécifiques, le type d'appareils utilisés. 1 Projet de règlementgrand-ducaloncernant le omptage divisionnaireet la répartitiondes coûtsde chaleur, froid et eau chaudesanitaireet modifiant le règlementgrand-ducaldu 13juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles (ci-aprèsle « projet de règlementgrand-ducal »). 2httDS://cnDd.Dublic. lu/fr/actualites/national/2014/05/smart-metering-lux-meterinc].html. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaudesanitaire et au projet de règlement grandducal concernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975 portant statut de la copropriété des immeubles 2/11 Plus particulièrement, la CNPD avait rendu un avis sur ce qui allait devenir le règlementgrandducal du 27 août2014 relatifauxmodalitésdu comptagede l'énergieélectriqueet du gaznaturel, texte pris en exécution des lois modifiées du 1er août 2007 relative à l'organisation du marché de l'électricité respectivement du gaz naturel 3. En ce qui concerne les traitements effectués à partir des données collectées par les compteurs intelligents, la CNPD avait notamment souligné l'importance de déterminer le ou les responsables du traitement ainsi que les finalités pour lesquelles les données sont traitées, tout comme une durée de conservation proportionnée. Force est de constater que ces remarques restent valables pour le texte actuellement sous examen (Cf. points 10, 12 et 24 du présent avis). La Commission nationale se demande par ailleurs comment le projet de loi s'articule avec les lois précitéesdu 1eraoût2007 ainsi qu'avec les textes pris en leur exécution. Se pose égalementla question d'un risque de chevauchement et de contradiction entre la loi en projet et les différents textes existants. II. Sur l'installation des appareils de mesure Selon la compréhension de la CNPD, le projet de loi prévoit le déploiement de trois différents types d'appareils de mesure, à savoir : les compteurs visés au point 1° de l'article 2. 1 qui sont installés par le gestionnaire de réseau au point de raccordement de chaque client final ; les compteurs individuels visés au point 2° de l'article 2. 1 qui sont installés dans les immeubles collectifs par le propriétaire ou, dans le cas d'une copropriété, par le syndic au point de raccordement des unités privatives. Ces compteurs individuels sont installés si les occupants des unités privatives n'ont pas de lien contractuel direct avec le fournisseur d'énergieet ne sont, par conséquent, pas des clients finals ; les répartiteurs de frais de chauffage visés à l'article 5 qui sont installés dans les immeubles collectifs par le propriétaire ou, dans le cas d'une copropriété, par le syndic si l'installation de compteurs individuels n'est pas techniquement réalisable ou économiquement justifiée. A la connaissance de la CNPD les contrats d'énergie et les compteurs liés sont en principe signés et affectés au nom du locataire ou de l'occupant final y compris en cas de copropriété. Nous ignorons si des cas de figure exceptionnels seraient à ce jour encore susceptibles d'exister sur le territoire du Grand-Duché de Luxembourg, en particulier depuis l'installation et le déploiement 3 Délibérationn° 566/2013du 13 déombre2013 de la Commission nationalepour la protection des données, consultable sur httDS://cnDd. Dublic. lu/fr/decisions-avis/201 S/comDtaae-energie-aaz. html CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlement grandducal oncernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles 3/11 des compteurs intelligents et, par conséquent, que l'ensemble des cas de figure visés ci-avant sous la liste du point 8 du présent avis soient vraisemblablement susceptibles de refléter la réalité de la situation juridique nationale. 9. Si le projet de loi indique bien qui est responsable de l'instaltation des différents appareils de mesure, il reste cependant muet quant aux différents traitements de données qui seront effectués en application du texte. Ainsi, le projet de loi ne fournit ni d'indication sur la personne qui procède au relevé des différents appareils de mesure ni sur celle étant à considérer comme responsable des différentstraitements qui en résultent. 10. En ce qui concerne l'installation des compteurs par les gestionnaires de réseau, il ressort de l'alinéa 3 de l'article 3. 1 du projet de loi que ces gestionnaires doivent fournir aux clients finals des informations « en ce qui concerne la collecte et le traitement des données à caractère personnel conformément à la législation en matière de protection des données et de la vie privée ». La CNPD suppose que cette disposition fait référenceà l'obligation de transparence incombant au responsable du traitement en vertu des articles 12 et suivants du RGPD de sorte qu'il est possible d'en déduire que les gestionnaires de réseau sont à considérer comme responsables du traitement. Pour des raisons de sécuritéjuridique, il serait toutefois préférable que le projet de loi détermine expressément qui est le responsable du traitement. En effet, la notion de responsable du traitementjoue un rôle important dans l'application du RGPD dans la mesure où elle détermine qui est responsable des différentes règles en matière de protection des données,telles que la sécuritédu traitement, ainsique la manièredont les personnes concernées peuvent exercer leurs droits4. En l'absence de clarté sur la désignation du responsable de traitement se pose notamment ta question de l'attribution de la responsabilité de la mise en place des mesures techniques et organisationnelles telle que prévu par l'article 24 du RGPD. 11. Dans ce contexte, il est à noter que l'obligation de fournir des informations relatives au traitement des données personnelles, lors de l'installation des compteurs, n'est énoncée que pour les gestionnaires de réseau, et non pas pour les propriétaires ou les syndics dans le cas d'une copropriété,lors de l'installation de compteurs individuelset tels que mentionnésà l'article 3.2 du projet de loi. Cette façon de procéder soulève des interrogations, étant donné que les propriétaires et syndics pourraient alors être considérés comme responsables du traitement en ce qui concerne les données collectées par les compteurs individuels et les répartiteurs de chauffage si l'on s'en tient littéralement au texte du projet de loi et aux cas de figure tels 4 V. en ce sens: Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 oncernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : https://edpb. europa. eu/oyr-work-tools/our-documents/auidelines/auidelJnes-072020-conceDts-ontroller-andDrocessor-adpr fr CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaudesanitaire et au projet de règlementgrandducal oncernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles 4/11 qu'énoncés au deuxième et au troisième tirets du point 8 du présent avis. Comme exposé préalablement, la CNPD se demande si ces cas exceptionnels sont encore susceptibles de refléter la réalité de la situation juridique nationale actuelle. A supposer de telles exceptions existantes, la CNPDtient à rappeler que les propriétaireset les syndics auraient égalementune obligation de transparence vis-à-vis des personnes concernées en application des articles 12 et suivants du RGPD. 12. Le texte sous examen reste par ailleurs muet quant aux catégories de données collectées, les finalités poursuivies, la durée de conservation ou encore les destinataires auxquels les données peuvent être communiquées. Ce manque de précision est d'autant plus regrettable alors que les données collectées par les différents appareils de mesure sont susceptibles de fournir une vue très détaillée sur les habitudes personnelles de consommation des personnes concernées5. Plus particulièrement, en l'absence de déterminationclaire des finalités, il y a un risque accru que le propriétaire utilise les données collectées relatives à la consommation d'énergie des occupants - lorsque ces derniers ne seraient pas directement liés contractuellement avec le fournisseur d'énergie si tant est qu'une telle situation juridique exceptionnelle soit susceptible d'exister au Luxembourg- à desfinalitésqui ne sont pas compatibles avec l'objectifpoursuivi par la directive que le projet de loi entend transposer. Pour rappel, celui-ci a trait à la répartition des coûts de l'énergiebaséesur les consommations réelles et la mise à disposition régulièredes informations sur la consommation d'énergie réelle pour que les occupants puissent réaliser des économies d'énergie par changement comportemental. Ainsi, le principe de limitation des finalités consacré à l'article 5. 1.
2. b)du RGPD s'oppose en principe à ce que le propriétaire puisse se baser sur ces données à d'autres fins que celles liées à la simple information en termes d'efficacité énergétique des occupants. III. Sur la mise à disposition des informations relatives à la consommation et à la facturation 13. Aux termes de l'article 2. 3 du projet de loi, « [l]es fournisseurs ainsi que les propriétaires ou, en cas de copropriété, les syndics sont soumis à des obligations de mise à disposition des données et informations relatives à la facturation et la consommation conformément aux dispositions de l'article 11 ». Pour ce qui est des compteurs installés par les gestionnaires de réseau, l'obligation de mise à disposition des données incombe au fournisseur et non pas au gestionnaire de réseau, ce qui semble supposer une transmission de données entre le gestionnaire de réseau et le 5 Cf. point 5 du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlement grandducal oncernant le comptage divisionnaireet la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles 5/11 fournisseur. Il est regrettable que le projet de loi n'indique pas clairement quelles donnéessont transmises et pour quelles finalités. 14. L'article 11 du projet de loi précise les obligations de mise à disposition d'informations visées à l'article 2. 3. L'article 11. 1 s'applique à la relation entre le fournisseur et le client final et ne soulève pas d'observations particulières de la part de la CNPD quant à la protection des données. À titre indicatif, la CNPD tient seulement à mentionner que l'article 7. 1 . 4° du projet de règlement grand- ducal prévoit en guise des informations minimales devant figurer dans la facture ou dans les documents fournis en même temps un simple renvoi à des coordonnées génériques et non ciblées d'associations de défense de clients finals, d'agences de l'énergie ou d'organismes en matière similaires. Or le point 9. 3 de la recommandation (UE) 2019/1660 de la Commission européennedu 25 septembre 2019 relative à la mise en ouvre des nouvelles dispositions de la directive 2012/27/UE relative à l'efficacité énergétique en matière de mesure et de facturation6 (ci-après la « recommandation (UE) 2019/1660 ») mentionne l'intérêt pour les États membres transposant la nouvelle annexe Vit bis d'indiquer « /es éventuels services de médiation ou de règlement extrajudiciaire des litiges qui sont juridiquement compétents pour traiter les plaintes et tes litiges relatifs au comptage, au comptage divisionnaire, à la facturation et à la répartition des coûte » afin que les fournisseurs ou autres acteurs puissent aussi inclure ces données sur les factures. 15. Les paragraphes 2 et 3 de l'article 11 s'appliquent aux situations où les occupants ne sont pas des clients finals. A supposer, comme exposé préalablement, qu'une telle situation juridique soit encore existante sur le territoire national, ces dispositions prévoientque le propriétaireou, en cas de copropriété, le syndic communique une note d'évaluation contenant des informations relatives à la facturation ou à la consommation établies sur base de la consommation réelle ou des relevés des répartiteurs des frais de chauffage ainsi qu'une note d'information sur la consommation en chaleur, froid et eau chaude sanitaire aux occupants des unités privatives. 16. Àcet égard, il est à noter que la directive indique qu'il appartient aux Étatsmembres de décider qui doit être chargé de fournir les informations aux utilisateurs finals sans contrat direct ou individuel avec un fournisseur d'énergie7. La recommandation (UE) 2019/1660 précise en son point 7.2 que « /es entités les mieux placées pour informer les utilisateurs finals varieront selon tes circonstances nationales et les situations de location particulières. Les candidats potentiels 6 Disponiblesous : httDS://eur-lex.euroDa.eu/eli/reco/2019/1660 7 Article 10ib/s. 3 de la directive 2012/27/UE relative à ('efficacité énergétique telle que modifiée par la directive 2018/2002 du Parlement européenet du Conseil du 11 décembre2018. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlementgrandducal concernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles 6/11 peuvent être les propriétaires de l'immeuble, ses gestionnaires, une société de gestion ou un prestataire de services délégués, des associations de propriétaires, etc. ». Au vu des risques qui peuvent se poser pour la protection de la vie privée8, la Commission nationale considère que les situations dans lesquelles cette charge incombe aux propriétaires - à supposer que ces dernières reflètent en pratique la réalité du contexte juridique au niveau national - devraient rester exceptionnelles. 17. En ce qui concerne la note d'information visée à l'article 11.3 du projet de loi, les informations minimales devant y figurer sont énuméréesà l'article 7.2 du projet de règlement grand-ducal, dont notamment la comparaison de la consommation énergétique actuelle avec « la consommation de l'unité privative pour la même période au cours de /'année précédente (... ) ». Il en résulte que cette comparaison est susceptible de contenir des informations se rapportant à un tiers, à savoir l'occupant précédentde l'unité privative. La CNPD émet des doutes quant à la conformité de cette disposition à la directive 2012/27/UE telle que modifiéepar la directive (UE) 2018/2002. Selon le point 3.
3. c)de l'annexeVII bis de cette directive, les Étatsmembres veillent à ce que les utilisateurs finals disposent de « lacomparaison de la consommation énergétique actuelle de l'utilisateur final avec sa consommation pour la même période au cours de l'année précédente (... ). » La recommandation (UE) 2019/1660, dans son point 9. 3. 1., est formelle : « Compte tenu des exigences en termes de protection des données et de vie privée (voir également le point 7. 5), cette exigence doit être interprétée comme s'appliquantuniquementauxinformationsrelatives à l'énergieconsomméepar l'occupantactuel, à savoir le même utilisateur final que celui qui doit pouvoir accéderaux informations ». Partant, l'article 7. 2. 3°
4. a)du projet de règlement grand-ducal risque d'être contraire tant à la directive 2012/27/UEtelle que modifiéeparla directive(UE) 2018/2002qu'au principede minimisationdes données consacré à l'article 5. 1.
5. e)du RGPD. 18. De même, l'article 7. 2. 3°
6. b)du projet de règlement grand-ducal est susceptible de ne pas respecter l'esprit du texte européen de référence tout en soulevant des problématiques liées à la protection des données personnelles. Ledit article prévoit une possibilité de comparaison de consommation de l'utilisateur de l'unité privative avec « la consommation d'un utilisateur final de référence déterminée sur base de la consommation moyenne des unités privatives de l'immeuble bâti concerné ». À supposer qu'un immeuble bâti de taille restreinte soit concerné, par exemple un immeuble qui comporterait deux unités privatives, et que la moyenne de consommation de cet immeuble soit ensuite transmise à l'utilisateur final, alors ce dernier pourrait aisémenten déduire, 8 Cf. point 5 du présentavis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlement grandducal oncernant le comptage divisionnaireet la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975 portant statut de la copropriété des immeubles 7/11 de manière indirecte, la consommation du/des autre(
7. s)occupant(
8. s)de la seconde unité privative concernée. 19. L'article 11.3, alinéas 2 et 3, du projet de loi sous examen prévoit, quant à lui, la procédure à suivre pour la transmission de la note d'information en cas de copropriété.Ainsi en pareil cas, le syndic transmet cette dernière aux copropriétaires qui eux-mêmes la feront suivre auprès des locataires des unités privatives concernées, en d'autres termes les occupants. Comme soulevé au point 16 ci-avant, la CNPD est d'avis que les cas dans lesquels il incombe auxpropriétairesde fournirles informationsauxutilisateursfinalssanscontrat directou individuel avec un fournisseur d'énergie - à supposer que cette dernière situation reflète en pratique la réalité du contexte juridique au niveau national - doivent, dans la mesure du possible, rester un cas d'exception. En l'absence de toute précisiondes finalitésdu traitement par le projet de loi, il existe par ailleurs un risque accru de réutilisationdes donnéesde consommation des locataires par le propriétaire pour des finalités incompatibles avec celles prévues par la directive (UE) 2018/20229. 20. En outre, la CNPD se demande si le fait de prévoir que le syndic transmette la note d'information aux copropriétaires qui, quant à eux, la feront suivre auprès des occupants ne serait pas susceptible de rentrer en contradiction avec les termes de l'article 2. 3 du projet de loi. Tout en renvoyant à l'article 11 , l'article 2.3 du projet de loi précisequ'en cas de copropriété,il appartient aux syndics, et non aux copropriétaires, de mettre à disposition les données et informations relatives à la facturation et à la consommation. Aux yeux de la Commission nationale, le projet de loi présente une certaine ambiguïté quant à la personne chargée, en cas de copropriété,de la communication des données de consommation aux locataires et, par conséquent, quant à la déterminationdu responsabledetraitement et desobligationsqui découlentdecette qualification. Afin de limiter le nombre d'acteurs ayant accès aux données de consommation et d'éviter toute potentielle discordancedu texte, la CNPDse demandeainsi s'il ne seraitpas plutôtenvisageable de prévoir uniformément dans le texte que le syndic transmette lui-même directement la note d'information auprès de l'occupant final concerné, comme cela est d'ailleurs aussi le cas pour la note d'évaluationvisée par l'article 11.2 du projet de loi. 21. D'après le tableau de concordance du projet de loi, l'article 11. 4, alinéa 1er, du projet de loi transpose l'article 106/s. 2.
9. d)de la version consolidée de la directive 2012/27/UE qui prévoit ! Cf. point 12 du présent avis. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlementgrandducal oncernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaudesanitaire et modifiant le règlement grand-ducal du 13juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles 8/11 que « [l]es Etats membres promeuvent la cybersécuritéetgarantissent la protection des données et de la vie privée des utilisateurs finals conformément aux dispositions applicables du droit de l'Union ». La recommandation (UE) 2019/1660 précise, quant à elle, en son point 7.5 intitulé « Disponibilitédesdonnéeset vie privée », dernierparagraphe,que « [s]i cette disposition [i. e. l'article 10b/s. 2.
10. d)précité] n'ajoute aucune obligation spécifique au-delà de celles déjà applicables au titre du droit de l'Union (comme le règlement général sur la protection des données), elle souligne que la cybersécurité, le respect de la vie privée et la protection des données sont des questions qui s'appliquent aussi au contexte des mesures, du comptage divisionnaire, de la lecture à distance et de la facturation de l'énergiethermique ». 22. À la lecture de l'article 11.4, alinéa 1er, du projet de loi, force est d'abord de constater que seule la mention d'un espace personnel « sécurisé» sur Internet est prévue sans aucune autre indication complémentaire à cet effet, notamment en ce qui concerne la personne ou l'entité chargéede sa mise en placeou en ce qui concerne les mesures desécurité.La CNPDcomprend ensuite qu'en renvoyant au paragraphe 2, les auteurs du projet de loi entendent également conférer la possibilité d'opter pour ce moyen de communication électronique aux occupants des unités privatives recevant les informations de consommation par le propriétaire ou le syndic. Se pose dès lors la question de savoir dans les cas où les occupants ne seraient pas directement liéscontractuellement avec le fournisseurd'énergie- à supposercette situationjuridique encore existante au niveau national - s'il appartient au syndic, voire au propriétaire, de mettre en place une telle plateforme en ligne, ce qui constituerait une charge considérable. Dans les commentaires de l'articte 11 du projet de loi, il est indiqué que la formulation « par le biais d'un espace personnel sécurisé sur Internet » a été empruntée au Code de l'énergie français, et plus spécifiquement à l'article L741-2 de ce dernier. Or ce même article règle la mise à disposition des factures sur un support durable autre que le papier, notamment par le biais d'un espace sécurisé en ligne. Celle-ci est assurée par le fournisseur dans le cadre d'un contrat d'abonnementà un réseaude chaleuret de froid auprèsde son abonnéqui doit lui-mêmeen être également informé. Cette relation contractuelle telle que visée par le texte français est donc distincte de celle dans laquelle l'occupant qui, n'étant pas le client final, reçoit les informations relatives à sa consommation de la part du syndic ou du propriétaire - à supposer cette situation exceptionnelle encore existante au niveau national - d'où l'interrogation de la CNPD quant au renvoi, dans l'article, 11. 4, alinéa 1er, au paragraphe 2 de l'article 11. 23. De plus, la Commission nationale s'interroge sur retendue des informations visées parcet espace et a fortiori le type de donnéespersonnelles concernées.A la lecture de l'article 11.4 du projet de loi, il semble que la note d'informationtelle que mentionnée par l'article 11.3 ne soit pas incluse. CNPD Avis de la Commission nationale pour la protection des données relatifau projet de projet de loi n° 8250 concernant le comptage divisionnaireet la répartition des coûtsde chaleur, defroid et d'eauchaudesanitaireet au projet de règlementgrandducal oncernant le comptage divisionnaireet la répartitiondes coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975 portant statut de la copropriété des immeubles 9/11 Dès lors, la facture et la note d'évaluation seraient-elles bien les seules concernées par cet espace sécurisé ? La CNPD est d'avis que la mise à disposition des informations en ligne mériterait plus de précision par les auteurs du projet de loi. 24. Quand bien même aucune obligation spécifique en matière de protection des données ne serait ajoutée par la directive à transposer, la recommandation (DE) 2019/1660 rappelle tout de même l'importance du respect des dispositions déjà en vigueur comme le RGPD. Or, il semble que le projet de loi ne satisfaitpas aux exigencesliéesà l'application des règlesdu RGPD,en particulieraux prescriptions de l'article 6.3. En l'espèce, te traitement des donnéesde consommation serait nécessaireau respect d'une obligation légalecrééepar le projet de loi sous avis, conformément à t'article 6. 1.
11. e)du RGPD. L'article 6. 3 du RGPD qui concerne spécifiquement ce fondement prévoit que « /es finalités du traitement sont définiesdans cette base juridique » et que des dispositions spécifiques peuvent être incluses « pour adapter l'application des règles du présentrèglement, entre autres: les conditionsgénéralesrégissantla licéitédu traitement par le responsable du traitement ; les types de donnéesqui font l'objet du traitement; les personnes concernées; les entitésauxquelles les donnéesà caractèrepersonnel peuvent être communiquéeset les finalitéspour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; [...] ». La CNPD regrette que le projet de loi ne contienne pas de telles dispositions10. 25. La Commission nationale note finalement que certaines législations d'autres Étatsmembres en matière énergétique insistent particulièrement sur l'importance de la protection des données, comme le décretbelge wallon du 15 octobre 2020 relatif à l'organisation du marchéde l'énergie thermique et aux réseaux d'énergie thermique1 1 qui prévoit une section 2 entièrement dédiée à la protection de la vie privée. Cette dernière qualifie notamment les différents acteurs en cause en fonction des traitements et rappelle l'importance du respect des finalités retenues et de la durée de conservation limitée. 10 Cf. points 6, 10et 12 du présent avis. 11 httDS://wallex. wallonie. be/e!i/loi-decreV2020/10/15/2020204339 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlement grandducal concernant le comptage divisionnaire et la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécutionde la loi du 16 mai 1975 portant statut de la copropriétédes immeubles 10/11 Ainsi adopté à Belvaux en date du 23 février 2024. PourJa,Commission nationale pour la protection des données 7S^-^Tine A. Larsen Présidente CNPD Thierry Lallemang Commissaire Marc Lemmer Alain Herrmann Commissaire Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8250 concernant le comptage divisionnaire et la répartition des coûts de chaleur, de froid et d'eau chaude sanitaire et au projet de règlement grandducal oncernant le comptage divisionnaireet la répartition des coûts de chaleur, froid et eau chaude sanitaire et modifiant le règlement grand-ducal du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975 portant statut de la copropriété des immeubles 11/11