Avis de de la la Commission nationale pour pour la la protection des des données relatif relatif au au projet de de règl

Avis de de la la Commission nationale pour pour la la protection des des données relatif relatif au au projet de de règlement grand-ducal relatif relatif àà la la plateforme plateforme de données données énergétiques Délibérationn° n° 21/AV9/2024 21/AV9/2024ddu 26 avril avril 2024 Délibération u 26 1. Conformément u 227 7 avril Conformément àà l’article l'article 57.1.

1. c)57. 1.
2. e)du du règlement règlement (UE) (UE) 2016/679 2016/679 ddu avril 2016 2016 relatif relatif àà la la protection des u traitement des des personnes personnes physiques physiques à à l'égard l'égard ddu des données données àà caractère caractère personnel personnel et e ces et àà la la libre libre circulation dde ces données, et et abrogeant la la directive 95/46/CE (règlement général général sur er la e réfère u 11er août la protection protection des des données) données)(ci-après (ci-aprèsle le « RGPD RGPD»), »), auquel auquel sse réfèrel'article l'article7 de de la la loi loi ddu août 2018 e la 2018 portant portant organisation dde la Commission nationale pour pour la la protection des des données données et et du régime régime général général sur sur la la protection protection des des données, la la Commission nationale pour pour la la protection protection des données données (ci-après (ci-après la la « Commission nationale »» ou ou la la « CNPD CNPD ») ») «« conseille, conformément au droit droit de de l'État l'État membre, membre, le le parlement parlement national, national, le le gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes au au sujet sujet des des mesures législatives législatives et etadministratives relatives relatives àà la la protection des desdroits droits et et libertés libertés des des personnes physiques àà l'égard l'égard du du traitement traitement ». Par Par ailleurs, l’article l'article 36.4 36. 4 du du RGPD RGPD dispose que que «« [l]es [IJes États États membres consultent l'autorité l'autorité ddee contrôle e l'élaboration contrôle dans dans le le cadre cadre dde l'élaboration d'une d'une proposition de de mesure mesure législative législative devant devant être adoptée par u n parlement national, ou d'une mesure réglementaire fondée sur une telle mesure adoptée par un national, ou d'une fondée sur une mesure législative, u traitement législative, qui qui se se rapporte rapporte aau traitement ». 2. Par u 3 octobre 2023, Monsieur le e l’Énergie Par courrier en en date date ddu le Ministre Ministre dde l'Énergie et et de de l'Aménagement l'Aménagement du e prononcer aau u sujet du territoire a invité invité la la Commission nationale àà sse sujet du du projet projet de de règlement règlement grand-ducal e données grand-ducalrelatif relatifà à la la plateforme plateformeinformatique informatiquedde donnéesénergétiques, énergétiques,approuvé approuvépar parle leConseil de 9 septembre 2023 de gouvernement dans dans sa sa séance séance du du 229 2023 (ci-après (ci-après le le « projet projet de derèglement règlement grandducal »). ducal»). 3. LLe e projet de de règlement règlement grand-ducal entend préciser préciser certaines mesures d'exécution d'exécution relatives relatives à à la er plateforme informatique e données ter de la informatique dde données énergétiques énergétiques prévue prévue àà l’article l'article 27 27terde la loi loi modifiée modifiée du du 11er août août2007 2007 relative à à l'organisation du du marché marché de de l’électricité. l'électricité. Les Les dispositions dudit dudit article article avaient er d’ores juillet 2022 u projet d'ores et et déjà déjàété étécommentées commentées par par la la CNPD CNPD dans dans son son avis avis du du 11erjuillet 2022 relatif relatif aau projet de 1 loi n°78761. loi n°7876 . 1 er u 11er 1 Délibération Délibération n°27/AV11/2022 n°27/AV11/2022 ddu juillet 2022 2022 de de la la Commission Commission nationale de de la la protection des des données, document document parlementaire parlementaire n°7876/04. CNPD CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection des des données relatif u projet relatif aau projet de de règlement règlement grand-ducal relatif relatif àà la la plateforme plateforme de de données données énergétiques énergétiques 1/11 1/11 4. 4. Elle e prononcera, dès Elle sse dès lors, sur sur les les dispositions du du projet projet de de règlement règlement grand-ducal ayant ayant uunn impact impact en en matière matière de de protection de de données données àà caractère caractère personnel. personnel. I.l. 5. 5. plateforme Sur les différents acteurs de la plateforme Les dispositions dispositions dde l'article 33 ddu projet dde règlement grand-ducal grand-ducal entendent entendent préciser préciser les Les e l'article u projet e règlement responsabilités e la u RGPD. responsabilités des des différents différents acteurs dde la plateforme plateforme d’un d'un point point de de vue vue ddu RGPD. L'article L'article 3.1 3. 1 du du projet projet de de règlement règlement grand-ducal dispose, en en effet, que que « [c]onformément [c]onformément àà l’article l'article er er er 27ter, 27ter, paragraphe 11er,, alinéa alinéa 11er,, de de la la loi loi modifiée modifiée du du 11er août août 2007 2007 relative relative àà l'organisation l'organisation dduu marché e l’électricité, e la e responsable de marché dde l'électricité, le le responsable dde la plateforme assure assure le le rôle rôle dde traitement traitementau ausens sensdu du[RGPD] [RGPD]pour pourl'ensemble l'ensembledes destraitements traitementsdes desdonnées donnéesénergétiques énergétiquesopérés opérés er sur , sur ou ou par par la la plateforme. plateforme. Quant Quant aux aux données donnéesénergétiques énergétiquesvisées viséesàà l'article l'article 2, 2, paragraphes paragraphes11er, point e gaz point 2°, 2°, 2, 2, point point 2°, 2°, et et 4, 4, point point 2°, 2°, les les entreprises d'électricité d'électricité et et dde gaz naturel naturel sont sont des des tiers tiers aauu sens sens du du [RGPD] [RGPD] qui qui sont sont responsables de de la la collecte de de ces ces données données auprès auprès des des personnes personnes concernées e la concernées et et pour pour leur leur importation dans dans la la plateforme. Le Le responsable responsable dde la plateforme est responsable des des traitements des des données données importées importées au au moyen des des interfaces interfaces visées visées àà l'article l'article 2, er paragraphes paragraphes11er,, point point 1°, 1°, lettre lettre b), b), et et 4, 4, point point 1°, 1°, lettre lettre a). a). Quant Quantaux auxtraitements traitements des des données données àà caractère caractèrepersonnel personnel visés visésàà l’article l'article 2, 2, paragraphe paragraphe 2, 2, point point 1°, 1 °, lettre lettre a), a), point point H., /'/'., les tes entreprises d'électricité d'électricité et et de de gaz gaz naturel y visées visées sont sont considérées considérées comme sous-traitants du du responsable responsable de la u sens la plateforme plateforme aau sens RGPD RGPD ». 6. 6. de saluer les les efforts des des auteurs du du projet projet de de règlement règlement grand-ducal pour pour dde telles IlIl convient d e saluer e telles er précisions alors alors que que la la Commission nationale avait avait dans dans son son avis avis du du 11er juillet 2022 2022 relatif relatif aauu précisions projet e loi projet de de loi loi n°7876 n°7876 soulevé soulevé que que «« tant tant les les dispositions dispositions légales légales prévues prévues par par le le projet projet dde loi que les u projet /es explications fournies fournies par par les les auteurs auteurs ddu projet de de loi loi ne ne permettent pas pas de de déterminer déterminer clairement clairement les les rôles rôles respectifs respectifs du du gestionnaire gestionnaire de de réseau réseau de de transport transport et et des des entreprises 2 d’électricité e vue e la . d'électricité ou ou de de gaz gazd'un d'un point point dde vue dde la protection protection des des données données »»2. 1) 1) Remarques Remarques liminaires 7. 7. er Cependant, ilil y a lieu e relever août lieu dde relever que que l’article l'article 27ter 27ter de de la la loi loi modifiée modifiée du du 11er août 2007 2007 relative relative à l’organisation u marché e l’électricité e réseau l'organisation ddu marché dde l'électricité précise précise d’ores d'ores et et déjà déjà que que le le gestionnaire dde réseau ddee transport e données transport est est le le responsable responsabledu du traitement traitement pour pourles les traitements traitements dde donnéesàà caractère caractèrepersonnel personnel effectuéssur sur la la plateforme. plateforme. Or, Or, le le Conseil Conseil d’Etat d'Etatrappelle rappelle que que «« les /es dispositions dispositionsqui qui n'ont n'ont d'autre effectués 2 er juillet 2 Délibération Délibérationn°27/AV11/2022 n°27/AV11/2022du du11CT juillet 2022 2022de de la la Commission Commissionnationale nationalede de la la protection protectiondes des données, données,document parlementaire parlementaire n°7876/04, n°7876/04, sous sous point point I,l, B, B, page page 8. CNPD Avis Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données données relatif relatif au au projet de de règlement grand-ducal relatif relatif àà la la plateforme de de données données énergétiques énergétiques 2/11 2/11 objet e rappeler n la objet que que dde rappeler une une disposition hiérarchiquement hiérarchiquement supérieure, soit soit een la reproduisant, reproduisant, soit soit 3 een n la . la paraphrasant, paraphrasant, n’ont n'ontpas pasleur leurplace placedans dansles leslois loiset etrèglements règlements»»3. 88.. E n outre, l’article En l'article 3.2 3. 2 du du texte texte sous sous avis avis dispose dispose que que « [Je [IJe responsable du du traitement procède à une uneanalyse analysed'impact d'impactrelative relativeàà la la protection protection des desdonnées donnéesconformément conformémentàà l’article l'article35 35du du RGPD RGPD ». LLa a Commission nationale se e telles dispositions ne se demande si si dde ne sont sont pas pas superfétatoires alors que le responsable du traitement doit, en tout état de cause, respecter que le responsable du traitement doit, en tout état de cause, respecter les les obligations obligations qui qui lui lui incombent en en vertu du du RGPD. RGPD. Parmi Parmi celles-ci figure figure notamment la la conduite d'une d'une analyse analyse d'impact d'impact conformément àà l'article 35 35 du du RGPD RGPD lorsque le le responsable du du traitement identifie identifie des traitements susceptibles « d’engendrer d'engendrer un un risque élevé élevé pour pour les les droits droits et et libertés libertés des des personnes personnes physiques physiquesconcernées concernées». 2) e la 2) Sur Sur le le rôle rôle des des différents différents acteurs acteurs dde la plateforme plateforme 9. Les e règlement grand-ducal précisent Les auteurs du du projet projet dde précisent dans dans leur leur commentaire des des articles que si e réseau e transport est e toutes si le le gestionnaire dde réseau dde est responsable du du traitement « dde toutes les les opérations opérées e la opéréessur sur et et par par la la plateforme, plateforme, ilil n’est, n'est, conformément àà l'alinéa l'alinéa 22 dde la disposition précitée, précitée, pas responsable d e la collecte des données énergétiques auprès des personnes concernées responsable de la des données énergétiques auprès des concernées et et par 4 conséquent e la e ces conséquentpas pasresponsable responsabledde la qualité qualitédde ces données données»»4.. 10 10.. Comme relevé u projet e texte e réseau e transport relevé par parles les auteurs ddu projet dde texte sous sous avis, le le gestionnaire dde réseau dde transport serait e gaz serait le le destinataire des des données données collectées par par les les entreprises d’électricité d'électricité et et dde gaz naturel. naturel. Le gestionnaire de e transport traiterait de réseau réseau dde traiterait ensuite ensuite les les données données reçues reçues pour pour effectuer des traitements dde e données données via via la la plateforme plateforme informatique. informatique. IlIl convient dès e distinguer dès lors dde distinguer :: - Les e gaz Les traitements effectués effectués par par les les entreprises d’électricité d'électricité et et dde gaz naturel, lors lors de l’importation e données l'importation dde données sur sur la la plateforme. Les Les entreprises d’électricité d'électricité et et de de gaz naturel seraient dans c e contexte à qualifier de responsables d e traitement ;; et naturel seraient dans ce à qualifier de responsables de - Les e réseau Les traitements effectués, avec avec les les données données reçues, par par le le gestionnaire dde de e tels de transport sur sur la la plateforme informatique, informatique, qui qui serait serait pour pour dde tels traitements traitements àà qualifier e responsable qualifierdde responsable du du traitement. 11. 11. Par Par conséquent, conséquent, dans dans le le cadre cadre de de leurs leurs traitements traitements de de données données respectifs, respectifs, tant tant le le gestionnaire de e gaz e respecter de réseau réseau de de transport que que les les entreprises d’électricité d'électricité et et dde gaz naturel sont sont tenus tenus dde respecter les n tant les principes principes et et obligations qui qui leur leur incombent en en vertu du du RGPD. RGPD. E En tant que que responsables de 3 juillet 2021, 3 Avis Avis60.516 60.516du duConseil Conseild'État d'Étatdu du16 16juillet 2021,page page8. 4 4 V. V. projet projetde deloi, loi, commentaire commentairedes desarticles, articles, Ad Ad article article 3, pages pages11 11 àà 12. 12. CNPD CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection des des données relatif relatif au au projet de de règlement grand-ducal relatif relatif àà la la plateforme de de données données énergétiques énergétiques 3/11 traitement, ils ils doivent doivent notamment notamment respecter respecter les les principes principes visés visés àà l’article l'article 55 du du RGPD, RGPD, dont dont le le traitement, principe d'exactitude. E n vertu dde e cce e principe, les En les données données personnelles doivent doivent être être exactes, et si jour. si nécessaire, tenues àà jour. 12. 12. La CNPD CNPD se se permet permet dès dès lors lors de de rappeler rappeler ses ses observations observations formulées formulées dans dans son son avis avis relatif relatif aau La u projet e qu’elle projet de de loi loi n°7876, n°7876, en en cce qu'elle avait avaitrelevé relevé que que «« les /es dispositions dispositions sous sous avis avis ne ne devraient devraientpas pas décharger n vertu décharger le le ou ou les les responsables du du traitement des des obligations qui qui leur leur incombent een vertu du du RGPD. e transport devait RGPD. Ainsi, si si le le gestionnaire de de réseau réseau dde devait être être le le responsable responsable du du traitement traitement alors e l'article u projet e loi a/orsles tesdispositions dispositionsdde l'article27ter.1. 27ter.1. ddu projetdde loine nedevraient devraientpas pasexclure excluresa saresponsabilité responsabilité 5 quant . quantàà la la « véracité véracitéet etl’exactitude l'exactitudedes desdonnées données» qui quiseraient seraientutilisées utiliséesvia viala laplateforme plateforme »»5. E n outre, En outre, elle elle avait avait également égalementrappelé rappelé que que « la la détermination déterminationdu du responsable responsable du du traitement traitement est primordiale primordiale alors alors que que c'est c'est sur sur ce ce dernier dernier que que pèse pèse le le respect respect de de l’ensemble {'ensemble des des principes énoncés 4 du énoncés àà l’article l'article 55 du du RGPD. RGPD. L’article L'article 224 du RGPD RGPD dispose dispose encore encore àà ce ce sujet sujet que que « le responsable n œuvre responsable du du traitement traitement met met een ouvre des des mesures mesures techniques techniques et et organisationnelles appropriées pour s'assurer et être e n mesure d e démontrer que le traitement appropriées pour s'assurer et être en mesure de démontrer que le traitement est est effectué effectué 6 conformément conformément au au présent présent règlement règlement »»6.. Par Par conséquent, conséquent, les les dispositions dispositions précitées précitéesne ne sauraient sauraient exonérer exonérer le le gestionnaire gestionnaire de de réseau réseau de transport transportde de ses ses obligations, obligations, en en tant tant que queresponsable responsabledu dutraitement, traitement, dans dansle le cadre cadredes destraitements effectués effectuéssur sur la la plateforme plateforme visée viséepar par le le texte texte sous sous avis. Par e règlement Par ailleurs, ailleurs, ilil convient convient d’attirer d'attirer l'attention l'attention des des auteurs auteurs du du projet projet dde règlement grand-ducal grand-ducal sur l’article G P D en [l]e responsable du l'article 19 19 du du R RGPD en vertu duquel « [l]e du traitement notifie notifie àà chaque chaque destinataire destinataire auquel u tout auquel les les données données àà caractère caractère personnel ont ont été été communiquées toute rectification rectification oou effacement e données u traitement effacement dde données àà caractère caractère personnel personnel ou ou toute toute limitation limitation ddu traitement effectué effectué conformément à l'article 16, à l'article 17, paragraphe 1, et à l'article 18, à moins qu'une conformément à l'article 16, à l'article 17, paragraphe 1, et à l'article 18, à moins qu'une telle communication e révèle communication sse révèle impossible impossible ou ou exige exige des des efforts efforts disproportionnés disproportionnés». ». Ainsi, Ainsi, lors lors des traitements traitements relatifs relatifs à à l’importation l'importation des des données donnéessur sur la la plateforme, plateforme, les les entreprises entreprises d’électricité d'électricitéet de n tant de gaz gaz naturel, naturel, een tant que que responsables responsables de de traitement, traitement, devraient devraient notamment notamment notifier notifier aauu gestionnaire e réseau e transport, n tant gestionnaire dde réseau dde transport, een tant que que destinataire, destinataire, «« toute toute rectification rectification ou ou tout effacement e données effacementdde donnéesàà caractère caractèrepersonnel personnel ». 13. 13. L’article e règlement L'article 3.1 3. 1 alinéa alinéa 22 du du projet projet dde règlement grand-ducal grand-ducal dispose dispose que que « [qjuant [q]uant aux aux données données er énergétiques énergétiquesvisées viséesàà l’article l'article2, 2, paragraphes paragraphes11er,, point point2°, 2°, 2, 2, point point2° 2° et et 4, 4, point point2°, 2°, les lesentreprises 5 er u 11er juillet 2022 5 Délibération Délibérationn°27/AV11/2022 n°27/AV11/2022ddu juillet 2022de dela laCommission Commissionnationale nationalepour pourla laprotection protectiondes desdonnées, données,document parlementaire pariementaire n°7876/04, n°7876/04, sous point point I,l, B, page page 9. u 11er juillet 2022 6 Délibération Délibérationn°27/AV11/2022 n°27/AV11/2022ddu "juillet 2022de dela laCommission Commissionnationale nationalepour pourla laprotection protectiondes desdonnées, données,document parlementaire parlementaire n°7876/04, n°7876/04, sous sous point point I,l, B, B, page page 9 6 CNPD CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatif au au projet projet de de règlement grand-ducal relatif relatif àà la la plateforme de de données données énergétiques énergétiques 4/11 4/11 d’électricité e gaz u sens u [RGPD] e la d'électhcité et et dde gaz naturel naturel sont sont des des tiers tiers aau sens ddu [RGPD] qui qui sont sont responsables responsables dde la collecte e ces collecte dde ces données données auprès auprès des des personnes personnes concernées concernées et et pour pour leur leur importation importation dans dans la plateforme plateforme ». 14. 14. Au sujet e ces u texte sous Au sujet dde ces dispositions, les les auteurs ddu sous avis avis précisent précisent que que les les entreprises entreprises d'électricité e gaz d'électricité et et dde gaz naturel naturel collectent les les données données visées visées par par les les dispositions précitées précitées et « assurent u moment assurentle le rôle rôlede de responsable responsablede detraitement traitementaau moment de de la la collecte collecte auprès auprèsdes despersonnes concernées u moyen n place concernées et et les les importent dans dans la la plateforme aau moyen d'interfaces d'interfaces mis mis een place par par le le responsable e la responsable dde la plateforme. Ils Ils agissent agissent ainsi ainsi comme des des « tiers tiers » au au sens sens du du [RGPD] [RGPD] précité, 7 et e leurs . etsont sontresponsables responsablesdde leurspropres proprestraitements traitements »»7. E n vertu dde e ces En ces dispositions, la la Commission nationale nationale comprend que que ces ces dernières dernières seraient seraient donc à o m m e des e traitement à considérer considérer ccomme des responsables responsables dde traitement en en ce ce qui qui concerne concerne l’importation l'importation des données u point 0 supra. données sur sur la la plateforme, comme mentionné aau point 110 supra. 15. 15. Cependant, les les auteurs du du projet projet de de règlement règlement grand-ducal indiquent indiquent encore encore que que les les entreprises entreprises d’électricité e gaz u sens u RGPD n étant d'électricité et et dde gaz naturel naturel agissent agissent comme des des « tiers tiers » aau sens ddu RGPD tout tout een «« responsables e rappeler u RGPD responsables de de leurs leurs propres propres traitements traitements ». ». IlIl convient convient dde rappeler que que l'article l'article 4 ddu définit u morale, n service définitun un tiers tiers comme comme «« une une personne personne physique physiqueoou morale, une uneautorité autoritépublique, publique, uun serviceou uun n organisme organisme autre autre que que la la personne personne concernée, concernée, le le responsable responsabledu du traitement, traitement, le le sous-traitant sous-traitantet les personnes qui, placées sous l'autorité directe du responsable du traitement /es personnes qui, placées sous l'autorité directe du responsable du traitement ou ou du du soussoustraitant, sont sont autorisées autorisées àà traiter traiter les les données données àà caractère caractère personnel ». ». Or, Or, l’utilisation l'utilisation du du terme « tiers tiers »» ne ne semble pas pas la la qualification appropriée appropriée alors alors qu’il qu'il ressort des dispositions u commentaire e gaz dispositionssous sous avis avis et et ddu commentaire des des articles articles que que les les entreprises entreprises d’électricité d'électricitéet et dde naturel sont sont à à considérer considérer comme responsables des des traitements visés visés aux aux articles 2.1.2°, 2. 1.2°, 2.2.2° 2. 2. 2° et 2.4.2°. L’emploi du terme « tiers », combiné avec la notion d e responsable du traitement et 2.4.2°. L'emploi du terme tiers », combinéavec la notion de responsable du traitementdans la ê m e disposition, est n e confusion dans la m même est susceptible de de créer créer uune dans l’esprit l'esprit du du lecteur lecteur quant quant àà la la qualification juridique desdites qualificationjuridique desditesentités. IlIl est e remplacer les est suggéré suggéré dde les dispositions actuelles précitées précitées du du projet projet de de règlement grandducal par les dispositions suivantes : « [q]uant aux données énergétiques ducal par les : [q]uant aux données énergétiques visées visées àà l'article l'article 2, er paragraphes 11er,, point point 2°, 2°, 2, 2, point point 2° 2° et et 4, 4, point point 2°, 2°, les les entreprises d’électricité d'électhcité et et de de gaz gaz naturel naturel sont u [RGPD]à sont des des tiers tiers au au sens sens ddu [RGPDJà qualifier qualifier de de responsable resRonsable du du traitement en en ce ce qui concerne qui sont responsables d e la collecte d e ces données auprès des personnes qui sont de la de ces données auprès des personnes concernées concernéeset et pour pourleur leur importation importation dans dansla la plateforme plateforme ». 7 7 V. V. projet projetde de loi, loi, commentaire commentaire des desarticles, articles, Ad Ad article article 3, 3, pages pages11 11 àà 12. 12. CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif relatif au au projet projet de de règlement règlement grand-ducal relatif relatif à la la plateforme de de données énergétiques énergétiques 5/11 5/11 Pour le le surplus, la la CNPD CNPD sse de renvoyer àà l’ensemble l'ensemble de de ses ses développements qu’elle qu'elle Pour e permet d e renvoyer avait formulés formulés àà ce ce sujet sujet concernant concernant le le projet projet de de loi loiN°7876 78768.8. avait II. II. Sur les les mesures mesures de de sécurité sécurité Sur 16. 16. Conformément àà l’article l'article 5.1.
3. f)5. 1.
4. f)du du RGPD, RGPD, les les données données àà caractère caractère personnel personnel doivent doivent être Conformément «« traitées e façon traitées dde façon àà garantir garantir une une sécurité sécurité appropriée appropriée des des données données àà caractère caractère personnel, yy compris la u illicite la protection contre contre le le traitement non non autorisé autorisé oou illicite et et contre la la perte, la la destruction destruction ou e mesures ou les les dégâts dégâts d'origine d'origine accidentelle, àà l'aide l'aide dde mesures techniques ou ou organisationnelles organisationnelles appropriées appropriées (intégrité (intégrité et et confidentialité) ». 17. 17. L'article 2 du L'article 332 du RGPD RGPD dispose dispose encore que que « le le responsable du du traitement et et le le sous-traitant sous-traitant mettent een ouvre les les mesures mesures techniques techniques et et organisationnelles organisationnellesappropriées appropriéesafin afin dde garantirun mettent n œuvre e garantir niveau e sécurité niveau dde sécuritéadapté adaptéau au risque risque ». ». Pareilles Pareilles mesures mesures doivent doivent être êtremises mises en en œuvre ouvre afin afin d'éviter accès non-autorisés aux aux données, des des fuites dde données ou des des modifications modifications notamment des accès e données non désirées. 18. 18. IlIl y a lieu e rappeler e gestion des lieu dde rappeler qu’il qu'il est est vivement recommandé de de définir définirune une politique dde des accès, accès, afin u le u sein e l’entité afin de de pouvoir pouvoir identifier identifier dès dès le le début début la la personne personne oou le service, aau sein dde l'entité concernée, et à à quelles données données précises précises cette cette personne ou ou ce ce service aurait aurait accès. 19. 19. En est nécessaire nécessaire de de prévoir prévoir uun système de de journalisation des des accès. accès. Sur Sur cce E n outre, ilil est n système e point, la CNPD recommande que les données d e journalisation soient conservées pendant un CNPD que les données de soient pendant un délai délai de cinq cinq ans ans àà partir partir de de leur leur enregistrement, enregistrement, délai délai après après lequel elles elles sont sont effacées, sauf sauf lorsqu'elles lorsqu'elles font e contrôle. font l'objet l'objet d'une d'une procédure procédure dde contrôle. 20. 20. souligner l’importance l'importance d’effectuer d'effectuer proactivement des des contrôles een interne. IlIl convient encore dde e souligner n interne. A A cet cet effet, effet, ilil convient convient conformément conformément à à l’article l'article 32.1.
5. d)32. 1.
6. d)du du RGPD RGPD de de mettre mettre en en œuvre ouvre une une procédure procédure « visant visant àà tester, àà analyser analyser et et àà évaluer évaluer régulièrement régulièrement l'efficacité l'efficacité des des mesures mesures techniques et et organisationnelles pour pour assurer assurer la la sécurité sécuritédu du traitement ». ». 21. 21. En u projet e loi En outre, tel tel que que relevé par parle le Conseil d’État d'Étatdans dans son son avis avis relatif relatif aau projet dde loi n°8089 n°8089 prévoyant prévoyant notamment notamment la la création création d’une d'une plateforme plateforme sécurisée sécurisée permettant le le stockage d’actes d'actes administratifs, administratifs, « le RGPD impose au responsable du traitement d e mettre en œuvre et de documenter te RGPD impose au responsable du traitement de mettre en ouvre et de documenter toutes «« les e garantir /esmesures mesurestechniques techniqueset etorganisationnelles organisationnellesappropriées appropriéesafin afindde garantirun un niveau niveaude desécurité sécurité 8 er u 11er juillet 2022 8 Délibération Délibérationn°27/AV11/2022 n°27/AV11/2022ddu juillet 2022de dela laCommission Commissionnationale nationalepour pourla laprotection protectiondes desdonnées, données,document parlementaire n°7876/04, sous point point I,l, B B.. CNPD CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif u projet relatif aau projet de de règlement règlement grand-ducal relatif relatif àà la la plateforme plateforme de de données données énergétiques énergétiques 6/11 adapté u risque adaptéaau risque », », notamment notammentcompte compte tenu tenu de de l'état l'étatdes desconnaissances connaissancessachant sachantque quel'évolution révolution permanente des n la des meilleures meilleures techniques et et pratiques een la matière matière nécessite nécessite des des adaptations adaptations en 9 continu . Selon u responsable continu »»9. Selonle leConseil Conseil d’État, d'État,cette cette exigence exigencedevrait devrait s’imposer s'imposeraau responsable du dutraitement traitement qui devrait mettre en œuvre des mesures au-delà des minima prévus dans u n règlement qui devrait mettre en ouvre des mesures au-delàdes minima prévus dans un règlementgrand10 ducal10. ducal . -«s?t 22. 22. Par e qui Parailleurs, ailleurs, la la CNPD CNPDestime estimeprimordial, primordial, en en cce qui concerne concernel’accès l'accèset et la la gestion gestionde de la la plateforme plateforme informatique informatique de de données données énergétiques, que que de de telles mesures de de sécurité sécurité soient soient mises mises en en œuvre ouvre par u traitement par le le responsable responsableddu traitement afin afin d’assurer d'assurerla la confidentialité confidentialitéet et la la sécurité sécuritédes des données. 23. Elle Elle se se félicite félicite que que de de telles mesures soient soient prévues prévues àà l’article l'article 2 et et soient soient également également précisées précisées et détaillées e règlement détaillées aux aux paragraphes paragraphes 2 et et 3 de de l’article l'article 4 du du projet projet dde règlement grand-ducal. Toutefois, Toutefois, certaines des e la des dispositions appellent les les remarques suivantes dde la CNPD. CNPD. 1) d article 1) A Ad article 22 24. L'article L'article 2.2.1°.
7. a)2. 2. 1°.
8. a)du du projet de de règlement règlement grand-ducal prévoit prévoit notamment les les modalités modalités des moyens d'identification aux fins d’attribution d’un identifiant unique pour accéder à aux fins d'attribution d'un identifiant unique pour accéder à la la plateforme plateforme sous e l’utilisateur sous avis. Les Les moyens moyens d’identification d'identification consistent en en la la vérification vérification de de l’identité l'identité dde l'utilisateur de la la plateforme : - «à à distance distancepar par une une vérification vérificationdigitale digitale » ;; oouu - « aux aux guichets guichets physiques physiques des des entreprises d’électricité d'électricité et et de de gaz gaznaturel naturel par par le le biais d'une vérification de l'identité ». biais d'une vérification d e l'identité 25. 25. Quant e l’identité e la Quant àà la la vérification dde l'identité de de l’utilisateur l'utilisateur dde la plateforme par par les les moyens moyens susvisés, il 11 convient de préciser que les dispositions des articles 24 et 32 du RGPD seront convient de préciser que les dispositions des articles 2411 et 32 du RGPD seront àà respecter, en 12 sus e l’ensemble . sus dde l'ensembledes desprincipes principesénoncés énoncésàà l’article l'article 5 du du RGPD RGPD12. 9 Avis 61.218 u Conseil 2 mars 9 Avis 61.218ddu Conseild’État d'Étatdu du112 mars2024, 2024,page page9. 9. u Conseil u 12 10Avis Avis61.218 61.218ddu Conseild’État d'Étatddu 12mars mars2024, 2024,page page9. 10 11 Voir point u présent 11Voir point30 30paragraphes paragraphes33 et et 4 ddu présentavis. u RGPD 12L’article L'articte 5 ddu RGPD dispose dispose que que «« 1. 1. Les Lesdonnées données àà caractère caractère personnel personnel doivent doivent être être : 12 a. a. b. b. c. e. traitées traitées de de manière manière licite, licite, loyale et et transparente au au regard regard de de la la personne personne concernée concernée (licéité, (licéité, loyauté, loyauté, transparence) transparence) :; collectées pour pour des des finalités finalités déterminées, explicites et et légitimes, légitimes, et et ne ne pas pas être être traitées traitées ultérieurement d'une d'une manière manière incompatible avec avec ces ces finalités; finalités; le le traitement ultérieur ultérieur àà des des fins fins archivistiques archivistiques dans dans l'intérêt l'intérêtpublic, àà des fins u historique fîns de de recherche recherche scientifique oou historique ou ou àà des des fins fins statistiques n'est n'est pas pas considéré, considéré, conformément àà l'article l'article 89, 89, paragraphe 1, 1, comme incompatible incompatible avec avec les les finalités finalités initiales initiales (limitation (limitation des des finalités) ;; adéquates, pertinentes et et limitées limitées àà ce ce qui qui est est nécessaire au au regard regard des des finalités finalités pour pour lesquelles lesquelles elles elles sont sont traitées traitées (minimisation (minimisationdes desdonnées) données) ;; CNPD CNPD Avis de de la la Commission nationale pour pour la la protection des des données relatif relatifau auprojet projetde de règlement règlementgrand-ducal grand-ducalrelatif relatifàà la la plateforme plateforme de de données donnéesénergétiques énergétiques 7/11 7/11 26. 26. En qui concerne concerne plus plus particulièrement particulièrementla la vérification vérificationdde l'identité dde l'utilisateur «« àà distance distance E n cce e qui e l'identité e l’utilisateur parune une vérification vérification digitale digitale », », les les auteurs auteurs du du projet projet de de règlement règlement grand-ducal grand-ducal précisent précisent àà cce par e sujet qu' « elle elle se se fait fait par par exemple exemple par par l’accès /'accès àà une une application bancaire bancaire ou ou àà la la plateforme plateforme qu’ myguichet. lu ». ». IlIl y a lieu lieu de de regretter regretter que que les les modalités modalités pratiques pratiques dde tels accès accès ne ne soient soient pas pas myguichet.lu e tels plus détaillées détaillées dans dans le le commentaire des des articles, de de sorte sorte que que la la CNPD CNPD ne ne peut peut pas pas réellement réellement plus analyser e poseraient analyserquelles quelles seraient seraientles leséventuelles éventuellesquestions questionsqui quisse poseraienten en termes termes de deprotection protectiondes données. données. Par ailleurs, en en l’absence l'absence de de précisions précisions quant quant àà l'emploi remploi du du terme « digital digital », », la la Commission Commission Par nationale tient tient àà attirer attirer l'attention l'attention des des auteurs auteurs du du projet projet dde règlement grand-ducal grand-ducal sur sur les nationale e règlement conséquencesde de l'éventuel l'éventuel recours recours àà la la reconnaissance reconnaissancefaciale. faciale.Si Si tel tel devait devaitêtre êtrele le cas, cas, elle elle se conséquences permet dde soulignerqu’un qu'un tel tel traitement traitement de de données donnéesserait serait àà qualifier qualifierdde traitement dde permet e souligner e traitement e données biométriques. Les Les dispositions dispositions dde l'article 99 du du RGPD RGPD devraient devraient donc donc être être respectées. respectées. Elle Elle biométriques. e l’article rappelle que que de de tels tels traitements sont sont een principe interdits interdits àà moins moins que que l'une l'une des des conditions conditions de rappelle n principe l'article9.2 du du RGPD RGPDsoit soitremplie remplieet etque que« les tesprincipes principesgénéraux générauxet etles lesautres autresrègles règlesdu du[RGPD], [RGPD], l’article 13 en particulier en c e concerne les conditions de licéité d u traitement » doivent être respectés. en en ce les conditions de licéité du »13 être respectés. Notons par par ailleurs ailleurs que que le le législateur législateurluxembourgeois luxembourgeois n'a n'a pas pas prévu prévu dde dispositions nationales nationales Notons e dispositions spécifiquesconcernant concernantles les données donnéesbiométriques biométriquessur surbase basedde l'article9.4 du du RGPD. spécifiques e l'article 2) Ad Ad article article 4.2 2) 27. 27. Ainsi, s’il e féliciter u texte e prévoir Ainsi, s'il yy a lieu lieu dde féliciter les les auteurs auteurs ddu texte sous sous avis avis dde prévoir «« un un stockage stockage encrypté encrypté et /so/ésur sur la la plateforme » des des données données dde visées àà l'article l'article 27ter.3.b), 27ter. 3.b), de de la la loi loi modifiée modifiée isolé e comptage visées er du 11er août 2007 2007 relative à à l'organisation ddu marché de de l’électricité, l'électricité, dont dont des des données données issues issues des du août u marché compteurs intelligents, ne faudrait-il pas ne faudrait-il pas également également prévoir prévoir un un tel tel encryptage encryptage de de données données lors lors ddee leur importation sur sur la la plateforme par par les les entreprises d'électricité d'électricité et et dde gaz naturel naturel ? EEn effet, la la leur e gaz n effet, d. exactes exacteset, et, si sinécessaire, nécessaire,tenues tenuesàà jour; jour; toutes toutesles lesmesures mesuresraisonnables raisonnablesdoivent doiventêtre êtreprises prisespour pourque queles lesdonnées données d. à caractère caractèrepersonnel personnelqui quisont sontinexactes, inexactes, eu euégard égardaux auxfinalités finalitéspour pourlesquelles lesquelleselles ellessont sonttraitées, traitées,soient soienteffacées effacées à ou rectifiées rectifiéessans sanstarder tarder(exactitude) (exactitude) ; ou e. conservées conservéessous sousune une forme forme permettant permettantl'identification l'identificationdes despersonnes personnesconcernées concernéespendant pendantune une durée duréen'excédant n'excédant e. pas u regard pas celle celle nécessaire nécessaire aau regard des desfinalités finalités pour pour lesquelles lesquelles elles elles sont sont traitées; traitées; les les données données àà caractère caractère personnel personnel peuvent peuvent être être conservées conservées pour pour des des durées durées plus plus longues longues dans dans la la mesure mesure où où elles elles seront seront traitées traitées exclusivement exclusivement àà des des fins fins archivistiques dans dans l'intérêt l'intérét public, public, àà des des fins fins de de recherche recherche scientifique ou ou historique ou ou àà des des fins statistiques statistiques conformément conformément àà l'article l'article89, 89, paragraphe paragraphe1, 1, pour pour autant autant que que soient soient mises mises en en œuvre ouvre les les mesures mesures techniques techniqueset etorganisationnelles organisationnellesappropriées appropriéesrequises requisesparle parleprésent présentrèglement règlementafin afinde degarantir garantirles lesdroits droitset etlibertés libertés de dela la personne personneconcernée concernée(limitation (limitationde dela laconservation) ; f. f. traitées traitéesde de façon façonàà garantir garantirune une sécurité sécuritéappropriée appropriéedes des données donnéesàà caractère caractèrepersonnel, personnel, yy compris comprisla la protection contre le le traitement traitementnon non autorisé autoriséou ou illicite illicite et et contre contre la la perte, perte, la la destruction destruction ou ou les les dégâts dégâtsd'origine d'origineaccidentelle, accidentelle, àà contre l'aide l'aidede demesures mesurestechniques techniquesou ou organisationnelles organisationnellesappropriées appropriées(intégrité (intégritéet etconfidentialité) confidentialité)». 13 13V V.. considérant considérant51 51 du du RGPD. RGPD. CNPD Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatifau auprojet projetde derèglement règlementgrand-ducal grand-ducalrelatif relatifàà la la plateforme plateformede dedonnées donnéesénergétiques énergétiques 8/11 er CNPD e ses juillet 2022 e qui CNPD avait avait fait fait part part dde ses vives vives préoccupations préoccupations dans dans son son avis avis du du 11er juillet 2022 en en cce concerne l’utilisation e telles l'utilisation dde telles données données pour pour des des finalités finalités différentes différentes de de celles celles pour pour lesquelles lesquelles 14 collectées1 elles auraient été 4. elles auraient été collectées . 28. E n outre, concernant la e gestion des En la politique dde des accès, accès, l'article l'article 4.2.1° 4. 2. 1° du du projet de de règlement grand-ducal dispose u e « [cjhaque e la dispose qque [c]haque utilisateur dde la plateforme a accès accès àà ce ce journal afin afin de pouvoir n lien pouvoirretracer retracerles les accès accèset et traitements traitements een lien avec avec les les données donnéesles les concernant concernant ». IlIl convient e préciser e journal, qui convient dde préciser que que l'accès l'accès àà cce qui concerne la la traçabilité traçabilité des des accès accès aux traitements d e données de données effectués effectués via via la la plateforme, devrait devrait en en premier premier lieu lieu pouvoir pouvoir être être effectué par e pouvoir par le le responsable responsable du du traitement traitement de de la la plateforme plateforme afin afin dde pouvoir détecter détecteret, et, dans dans la la mesure mesure du possible, possible, prévenir prévenirque que la la confidentialité, confidentialité,l'intégralité l'intégralitéou ou la la disponibilité disponibilitédes des données donnéestraitées traitées via via la la plateforme e journal journal permet u responsable plateforme ne ne soient soient compromises. compromises. L’accès L'accès àà cce permet ainsi ainsi aau responsable du traitement de 4 et de respecter son son obligation de de sécurité sécurité qui qui lui lui incombe incombe en en vertu des des articles articles 224 et 32 du R RGPD. du GPD. Toutefois, la e demande quelles seraient la Commission nationale nationale sse seraient les les raisons raisons d’un d'un tel tel accès accès par les e la o m m e «« toute les utilisateurs utilisateurs dde la plateforme plateforme qui qui sont sont définis définis ccomme toute personne personne disposant disposant d’un d'un accès accès individualisé e l'article e la individualisé sur sur la la plateforme en en vertu dde l'article 27ter, 27ter, paragraphe paragraphe 55 àà 7, dde la loi loi modifiée modifiée du du er 15 11eraoût e l’électricité août2007 2007relative relative àà l'organisation l'organisationdu du marché marchédde l'électricité»»15.. IlIl y a lieu e regretter que u projet e règlement lieu dde que les les auteurs ddu projet dde règlement grand-ducal n’aient n'aient pas pas précisé dans dans le le commentaire des des articles articles les les justifications d’un d'un tel accès accès pour pour chacun des des utilisateurs utilisateurs de 16 la e gaz , les la plateforme, plateforme, àà savoir savoir les les entreprises entreprises d’électricité d'électricitéet et dde gaz naturel naturel16, les utilisateurs utilisateurs du du réseau 17 et u e le et des des preneurs preneurs de de raccordement raccordement17 ainsi ainsi qque le ministre, le le régulateur, régulateur, Commissaire du Gouvernement à l'Institut à l’Energie national de ou Gouvernement o u à l'institut national d e la statistique et des études économiques économiques1188.. l'Energie statistique Des e sujet Des précisions précisionsàà cce sujet devraient devraient être être apportées. E n outre, si En si la la volonté volonté des des auteurs auteurs du du texte texte sous sous examen est est de de prévoir prévoir que que cet cet accès accès permettrait permettrait aux u réseau e raccordement auxutilisateurs utilisateurs ddu réseauet et des des preneurs preneurs dde raccordement de deconstater constatertout tout accès accèsillicite illicite àà leurs leurs données, alors alors une une telle telle volonté devrait devrait être être reflétée reflétée dans dans le le projet de de règlement règlement grand-ducal. Si cela e telles cela devait devait être être le le cas, la la CNPD CNPD pourrait accueillir accueillir favorablement dde telles dispositions, qui permettraient auxdites personnes e se personnes concernées concernées dde se prémunir prémunir contre contre d'éventuels traitements traitements illicites e leurs illicites dde leurs données donnéesàà caractère caractèrepersonnel. 14 er juillet 2022 14 Délibération Délibération n°27/AV11/2022 n°27/AV11/2022 du du 11er juillet 2022 de de la la Commission Commission nationale nationale pour pour la la protection protection des des données, document 1 àà 23. documentparlementaire parlementaire n°7876/04, n°7876/04, sous sous point point I,l, C, C, pages pages 10 10 àà 13, 13, et et point point3, 3, pages pages221 15V V.. article article 11 du duprojet projet de derèglement règlementgrand-ducal. 16 er août 16V V.. article article27ter.5 27ter. 5 de de la la loi loi modifiée modifiéedu du11er août2007 2007relative relative àà l’organisation l'organisationdu dumarché marchéde de l’électricité. l'électricité. 17 er août 17V V.. article article 27ter.6 27ter. 6 de de la la loi loi modifiée modifiée du du 11er août2007 2007 relative relative àà l’organisation l'organisation du du marché marché de de l’électricité. l'électricité. 18 er août 18V. V. article article 27ter.7 de de la la loi loi modifiée modifiéedu du11er août2007 2007relative relative àà l’organisation l'organisationdu dumarché marchéde de l’électricité. l'électricité. 15 CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif u projet de relatif aau de règlement règlement grand-ducal relatif relatif àà la la plateforme de de données données énergétiques énergétiques 9/11 9/11 Enfin, e la e la Enfin, compte tenu dde la multiplicité des des utilisateurs dde la plateforme, le le responsable responsable du du traitement traitement devrait devrait veiller à à éviter éviter que que des des personnes accèdent accèdent àà des des données données qui qui ne ne les les concernent pas et/ou que que des des utilisateurs accèdent accèdent àà des des données données pour pour lesquelles ces ces derniers ne ne devraient pas avoir accès. avoir 3) 3) Ad Ad article article 4.3 29. 29. Enfin, l’article l'article 4.3 4. 3 du du projet projet dde règlementgrand-ducal grand-ducaldispose dispose que que les les entreprises entreprises d’électricité d'électricitéet Enfin, e règlement de de gaz gaz naturel «« mettent en en œuvre ouvre les les mesures techniques et et organisationnelles de de sécurité appropriéesafin afin dde garantirun un niveau niveau de de sécurité sécuritéadapté adaptéaux auxrisques risques liés liésàà leurs leurs activités activités ». appropriées e garantir IlIl convient d e rappeler que de que les les obligations visées visées aux aux articles 24 24 et et 32 32 du du RGPD RGPD leur leur incombent incombent en u traitement en tant tant que que responsable responsable ddu traitement pour pour leurs leurs propres propres traitements traitements de de données. 30. 30. D e m ê m e lorsque celles-ci agissent e réseau De même agissent en en tant tant que que sous-traitants du du gestionnaire dde réseau ddee transport, u respect transport, alors alors elles elles doivent doiventégalement égalementveiller veiller aau respect des des mesures mesures de de sécurité sécuritétechniques techniques et organisationnelles conformément aux aux articles 32.1 32. 1 et et 28.3.
9. c)28. 3. C) du du RGPD. RGPD. Sur e préciser e données Sur ce ce point, ilil convient dde préciser que que « [t]out [tjout traitement dde données àà caractère caractère personnel personnel effectué n sous-traitant doit u un juridique établi effectué par par uun doit être être régi régi par par un un contrat contrat oou un autre autre acte acte juridique établi par par écrit (... ). L'accord L'accord dde ne devrait devrait toutefois pas pas simplement reproduire reproduire les les dispositions dduu (...). e traitement ne RGPD RGPD;; ilil devrait devrait inclure inclure des des informations informations plus plus spécifiques spécifiqueset et concrètes concrètessur sur la la manière manièredont dont les les conditions e sécurité e données conditions seront seront remplies remplies et et sur sur le le niveau niveau dde sécuritérequis requis pour pour le le traitement traitement dde données àà 19 caractèrepersonnel personnelqui qui fait faitl'objet l'objetdudit auditaccord accord »»19.. caractère IlIl y a lieu e souligner lieu dde souligner également également que que «« le le responsable du du traitement doit doit toujours toujours stipuler stipuler certains certains éléments e sous-traitance, e qui e sécurité, éléments dans dans l’accord l'accord dde sous-traitance, tels tels que, que, en en cce qui concerne concerne l'exigence l'exigence dde sécurité, l’instruction 2 du l'instruction de de prendre toutes toutes les les mesures requises conformément àà l’article l'article 332 du RGPD. RGPD. L'accord L'accorddoit doit également égalementindiquer indiquer que que le le sous-traitant sous-traitant doit doit aider aider le le responsable responsable du du traitement traitement àà garantir n tout e cause, garantirle le respect respectde del’article l'article 32, 32, par parexemple. exemple. EEn tout état étatdde cause, le le responsable responsabledu dutraitement reste reste responsable de de la la mise mise en en œuvre ouvre des des mesures techniques et et organisationnelles organisationnelles appropriées u règlement appropriées pour pour s'assurer s'assurer que que le le traitement est est effectué effectué conformément aau règlement (article (article 24) 24) 20 et être êtreen en mesure mesure dde le démontrer démontrer»»20. et e le . 19 u 7 juillet juillet 2021 19V V.. Comité Comitéeuropéen européende dela laprotection protectiondes desdonnées données(EDPB), (EDPB),Lignes Lignesdirectrices directrices07/2020 07/2020ddu 2021 sur surles tesnotions de responsable du traitement et de sous-traitant, page 4, disponibles sous de du et de sous-traitant, page https://www.edpb. europa.eu/system/files/2023-10/edpb quidelines guidelines 202007 202007 controllerprocessor controllerprocessor final final fr.pdf. fr. pdf. https://www.edpb.europa.eu/system/filesZ2023-10/edpb 20 u7 20V V.. Comité européen européen de de la la protection protection des des données données (EDPB), Lignes Lignes directrices 07/2020 ddu 7 juillet 2021 sur sur les tes notions notions de u traitement et para. 41, page de responsable ddu et de de sous-traitant, sous-traitant, page 18, 18, disponibles sous sous https://www, edpb. eyroBa,. e_y/svstem/files/2023-10/edpb quidelines 202007 controllerprocessor controllerprocessor final fr.pdf. fr. pdf. https://www.edpb.europa.eu/system/files/2023-10/edpb CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection des des données relatif relatif au au projet projet de de règlement règlement grand-ducal relatif relatif àà la la plateforme plateforme de de données données énergétiques énergétiques 10/11 10/11 relatif aux aux activités de de traitement « doit doit inclure inclure ou mentionner des informations informations Enfin, le contrat relatif relatives relatives aux aux mesures mesures de de sécurité sécurité àà adopter, l'obligation l'obligation faite faite au au sous-traitant sous-traitant d'obtenir d'obtenir le le consentement du responsable du traitement avant d'apporter des modifications et le réexamen du du avant d'apporter des et le régulier régulier des des mesures de de sécurité sécurité afin afin de de s’assurer s'assurer de de leur leur adéquation adéquation au au regard des des risques, risques, lesquels lesquels peuvent peuvent évoluer évoluer au au fil fil du du temps. temps. Le Le degré degré de de détail détail des des informations informations relatives relatives aux aux mesures mesures de de sécurité sécurité à à inclure inclure dans dans le le contrat contrat doit doit permettre permettre au au responsable responsable du du traitement d'apprécier d'apprécier le le caractère caractère approprié approprié des des mesures conformément àà l’article l'article 32, paragraphe 1, 1, du RGPD. En En outre, la la description est est également également nécessaire nécessaire pour pour permettre au au responsable du traitement de de se se conformer conformer àà son son obligation de de rendre rendre des des comptes en en vertu de de l'article 5, 5, paragraphe RGPD en ce paragraphe2, et et de de l’article l'article 24 24 du duRGPDen ce qui qui concerne concerne les les mesures mesures de de sécurité sécuritéimposées imposées 21 au sous-traitant »»21. . III. III. 31. 31. Remarques finales Remarques La La Commission Commission nationale nationale se se permet permet de de réitérer réitérer ses ses observations observations en en ce ce qui qui concerne concerne ses interrogations «« quant quant aux aux motivations motivations qui qui justifieraient qu'une qu'une entreprise privée privée gérerait gérerait une une telle telle plateforme plateforme dans dans l’intérêt l'intérêt public, public, plutôt plutôt que que le le ministre ministre ayant ayant l’énergie l'énergie dans dans ses ses attributions attributions ou encore encore l'institut l'Institut Luxembourgeois Luxembourgeois de de Régulation Régulation (ci-après (ci-après «« l'ILR l'ILR») ») ? » et et renvoie renvoie àà ses 22 développements formulés formulés dans dans son son avis avis précité précité22.. Ainsi Ainsi adopté adoptéà à Belvaux Belvaux en en date date du du 26 26 avril avril 2024. La LaCommission Commission nationale nationale pour pourla la protection protection des des données données <M 7^" Tine A. Larsen Thierry Lallemang Marc Lemmer Alain Herrmann Herrmann Présidente Commissaire Commissaire Commissaire Commissaire 21 21 V. V. Comité Comité européen de de la la protection des des données données (EDPB), Lignes Lignes directrices 07/2020 du du 7 juillet 2021 sur sur les les notions notions de para. de responsable du du traitement et et de de sous-traitant, sous-traitant, para. 126, 126, page page 42, disponibles sous https://www.edpb. europa.eu/system/files/2023-10/edpb quidelines guidelines 202007 202007 controllerprocessor controllerprocessor final final fr.pdf. fr. pdf. https://www.edpb.europa.eu/svstem/files/2023-10/edpb 22 er juillet 2022 22 Délibération Délibérationn°27/AV11/2022 n°27/AV11/2022 du du 11er juillet 2022 de de la la Commission Commission nationale nationale pour pour la la protection protection des des données, document parlementaire parlementaire n’7876/04, n°7876/04, sous point point I,l, pages pages 2 àà 3. 3. CNPD CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection des des données relatif u projet de relatif aau de règlement grand-ducal relatif relatif àà la la plateforme plateforme de de données données énergétiques énergétiques 11/11 11/11