Avis de de la la Commission Commission nationale pour la la protection protection des données relatif relatif au au projet de de règlement règlement grand-ducal concernant la la coopération coopération interadministrative entre le Ministère de de la la Mobilité Mobilité et et des Travaux interadministrative publics et et ('Administration l'Administration de de l'enregistrement, l'enregistrement, des domaines et et de de la TVA Délibération Délibération n° n° 1/AV1/2024 du du 19 19 janvier 2024 2024 1. Conformément 1. Conformément à l’article l'article 57.1.
- c)57. 1.
- e)du du règlement (UE) (UE) 2016/679 du du Parlement européen et du du Conseil du du 27 27 avril 2016 2016 relatif relatif à la la protection protection des des personnes physiques à l'égard l'égard du du traitement traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant des données à caractère personnel et à la libre circulation de ces données, et abrogeant la la directive directive 95/46/CE 95/46/CE (règlement (règlement général général sur sur la la protection protection des des données) données) (ci-après (ci-après le le «« RGPD RGPD »), »), er auquel se se réfère réfère l’article l'article 7 de de la la loi loi du du 11er août août 2018 2018 portant organisation organisation de de la la Commission Commission nationale nationale pour pour la la protection des des données données et et du du régime régime général général sur sur la la protection des des données, données, la Commission nationale pour la protection des données (ci-après la « Commission nationale nationale pour la des données (ci-après la nationale » ou la la « CNPD CNPD ») ») « conseille, conseille, conformément conformément au au droit droit de de l'État l'État membre, membre, le le parlement national, le gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes organismes au au sujet sujet des des mesures mesures législatives législatives et et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement traitement». du ». L’article L'article 36.4 du du RGPD RGPD dispose dispose que que « [l]es ///es États Étatsmembres membres consultent consultent l'autorité l'autorité de de contrôle contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par par un un parlement parlement national, national, ou ou d'une d'une mesure mesure réglementaire réglementaire fondée fondée sur sur une une telle telle mesure mesure législative, législative, qui qui se se rapporte rapporte au au traitement. »» 2. Par 2. Par courrier reçu reçu le le 9 octobre 2023, le le Ministère Ministère des des Finances Finances a invité invité la la Commission Commission nationale nationale àà se se prononcer prononcer sur sur le le projet projet de de règlement règlement grand-ducal grand-ducal concernant concernant la la coopération coopération interadministrative entre entre le le Ministère Ministère de de la la Mobilité Mobilité et et des des Travaux Travaux publics publics et et l'Administration de l'enregistrement, des domaines et de la TVA (ci-après le « projet de règlement l'enregistrement, des domaines et de la TVA (ci-après le « projet de règlement grand-ducal grand-ducal »). »). 3. Selon 3. Selon l’exposé l'exposé des des motifs, le le projet projet de de règlement règlement grand-ducal grand-ducal porte porte exécution exécution de de l'article l'article 14.2 14. 2 de de la la loi loi modifiée modifiée du du 19 19 décembre décembre 2008 2008 ayant ayant pour pour objet objet la la coopération coopération interadministrative interadministrative et judiciaire et le renforcement des moyens de l'Administration des contributions et judiciaire et le renforcement des moyens de l'Administration des contributions directes, directes, de l'Administration e l'Administration l'Administrationde de l'enregistrement l'enregistrementet etdes des domaines domaineset etdde l'Administrationdes desdouanes douaneset et accises et et portant portant modification modification de de -- la la loi loi modifiée modifiée du du 12 12 février février 1979 1979 concernant concernant la la taxe taxe sur sur la la valeur ajoutée Abgabenordnung ») ajoutée ; la la loi loi générale généraledes des impôts impôts (« (« Abgabenordnung ») ; -- la la loi loi modifiée modifiéedu du 17 17 avril avril 1964 1964 portant réorganisation de de l'Administration des des contributions directes ;; -- la la loi loi modifiée modifiée du du 20 20 mars mars 1970 1970 portant portant réorganisation réorganisation de de l'Administration l'Administration de de l'enregistrement l'enregistrement et et des des domaines domaines ;; -- la la loi " CNPD — Avis de Avis de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif relatifau auprojet projet de de règlement règlementgrand-ducal grand-ducalconcernant concernantla la coopération coopérationinteradministrative interadministrativeentre le le Ministère Ministère de de la la Mobilité Mobilité et et des des Travaux Travaux publics publics et et l’Administration l'Administration de de l'enregistrement, l'enregistrement, des des la TVA TVA domaines et de la 1/3 modifiée du du 27 27 novembre novembre 1933 1933 concernant concernant le le recouvrement recouvrement des des contributions contributions directes directes et et des des modifiée cotisations d'assurance d'assurance sociale sociale (ci-après (ci-après la la «« loi loi modifiée modifiée du du 19 19 décembre décembre 2008 2008 »). »). cotisations 4. Le second second paragraphe paragraphe de de l’article l'article 114 fut inséré inséré dans dans la la loi loi modifiée modifiée du du 19 19 décembre décembre 2008 2008 4. Le 4 fut 1 parune uneloi loi du du 20 20juillet 2022 qui qui aa fait faitl’objet l'ôbjetde dedeux deux avis avis de dela laCNPD CNPD1.. Cette Cette disposition disposition concerne concerne par juillet 2022 la transmission par le Ministère des Transports d'informations sur les véhicules immatriculés la transmission par le Ministère des Transports d’informations sur les véhicules immatriculés àà l'Administration de de l’enregistrement, l'enregistrement, des des domaines domaines et et dde la TVA TVA (ci-après (ci-après I’l' «« AED AED ») ») en en vue vue de de l’Administration e la la vérification de l'exacte perception de la TVA. Conformément à l'alinéa 2 de l'article 14. 2 précité, la vérification de l’exacte perception de la TVA. Conformément à l’alinéa 2 de l’article 14.2 précité, le projet projet de de règlement règlement grand-ducal grand-ducal entend entend préciser préciser les les modalités modalités de de la la communication communication des des le données entre le Ministère des Transports et l'AED. données entre le Ministère des Transports et l’AED. I.l. Quant l’article l'article 1.1 1. 1 du du projet projet de dej^fllement Quant règlement grand-ducal 5. Laseule précision apportée par par l’article l'article 1.1 1. 1 du du projetée projet de règlement grand-ducal par par rapport rapport 5. La à l'article 14. 2 de la loi modifiée du 19 décembre 2008 est que la transmission des données à l’article 14.2 de la loi modifiée du 19 décembre 2008 est que la transmission des données s'effectue« parle parle biais biaisd’un d'un système systèmeinformatique informatique ». s’effectue 6. Dans son son avis avis du du 12 12 décembre décembre 2023, 2023, le le Conseil Conseil d’État d'État propose propose de de compléter compléter ce ce libellé libellé 6. Dans par les les termes « sécurisé sécurisémoyennant moyennant une une authentification authentification forte forte ». ». Cette Cette proposition proposition du du Conseil Conseil par termes « 2 d'État rejoint les observations formulées par la CNPD dans son avis 4 mars 20222 relatif au projet d’État rejoint les observations formulées par la CNPD dans son avis 4 mars 2022 relatif au projet de loi loi n° n° 7872 7872 qui qui allait allait devenir devenir la la loi loi du du 20 20 juillet 2022. 2022. Dans Dans ledit ledit avis, avis, la la CNPD CNPD soulignait soulignait de notamment l’importance l'importance de de garantir garantir une une sécurité sécurité appropriée appropriée des des données données personnelles, personnelles, notamment conformémentaux aux articles articles 5.1.
- f)5. 1 .
- f)et et 32 32 du du RGPD. conformément II. II. l'article 1.2 1. 2 du projet de règlement grand-ducal arand-ducal Quant à l’article 7. La CNPD CNPD note note une une certaine certaine incohérence incohérence dans dans la la terminologie terminologie employée employée dans dans le le projet projet de de 7. La règlement grand-ducal, grand-ducal, créant créant des des incertitudes incertitudes quant quant aux aux modalités modalités pratiques pratiques de de la la mise mise à règlement disposition des des données. Ainsi, l’article l'article 1.2 1. 2 du du projet de de règlement grand-ducal évoque uunn accès de de l’[AED] l'[AED] aux aux informations stockées dans dans les les bases bases de de données données électroniques visées visées « accès er au paragraphe 11er», que l’article l'article 1.1 1. 1 du du projet de de règlement grand-ducal, grand-ducal, tout tout comme comme au », tandis que l'article 14.2 14. 2 de de la la loi loi modifiée modifiée du du 19 19 décembre décembre 2008, 2008, prévoit prévoit qu’il qu'il appartient appartient au au Ministère Ministère ddes l’article es Transports de de transmettre transmettre àà l’AED l'AED les les données données énumérées énuméréesaux aux points points 1° 1° et et 2° 2° de de l’article l'article 14.2 14.2 Transports précité. 1 Délibération Délibérationn°2/AV2/2022 n°2/AV2/2022du du 44 mars mars 2022 2022de dela la Commission Commissionnationale nationalepour pourla la protection protectiondes desdonnées, données,doc. doc. pari. pari. n" 7872/05 7872/05 ;: Délibération Délibération n°16/AV8/2022 n°16/AV8/2022 du du 13 13 mai mai 2022 2022 de de la la Commission Commission nationale nationale pour pour la la protection protection des des n° données,doc. doc. pari. pari. n° n" 7872/07. données, 2 2 Délibération Délibérationn°2/AV2/2022 n°2/AV2/2022du du 44 mars mars 2022 2022de dela la Commission Commissionnationale nationalepour pourla la protection protectiondes des données, données,doc. doc. pari. pari. n° 7872/05, 7872/05, p. p. 8. n° 1 CNPD - -J Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données Avis relatifau auprojet projet de derèglement règlementgrand-ducal grand-ducalconcernant concernantla la coopération coopérationinteradministrative interadministrativeentre relatif le Ministère de de la la Mobilité Mobilité et et des des Travaux publics et et l’Administration l'Administration de de l’enregistrement, l'enregistrement, des le domaines et et de de la la TVA TVA 2/3 8. L article 1.2 8. L'article 1. 2 du du projet projet de derèglement règlement grand-ducal, grand-ducal, en en ce cequ’il qu'il semble semble prévoir prévoir un unaccès accès direct direct de l’AED aux données détenues par le Ministère des Transports, risque de n e pas être conforme de l'AED aux données détenues par le Ministère des Transports, risque de ne pas être conforme à à la la loi loi modifiée modifiée du du 19 19 décembre décembre 2008 2008 qui, qui, quant quant àà elle, elle, ne ne prévoit prévoit qu’une qu'une transmission transmission de de données. Par ailleurs, il est fait référence à des « bases de données électroniques visées au données. Par ailleurs, il est fait référence à des « foases de données électroniques visées au er er paragraphe paragraphe 11er» alors alors que que le le paragraphe paragraphe 11erne ne mentionne pas pas de de telles telles bases bases de de données données mais ne fait que renvoyer aux données énumérées à l’article 14.2 de la loi modifiée du ne fait que renvoyer aux données énumérées l'article 14. 2 de la loi modifiée du 19 19 décembre 2008. 2008. 9. La 9. La Commission Commission nationale nationale note note favorablement favorablement que que l’article l'article 1.2 1. 2 du du projet projet de de règlement règlement grand-ducal grand-ducal précise précise limitativement limitativement les les catégories catégories de de personnes personnes ayant ayant le le droit droit d’accéder d'accéder àà ces ces données. n effet, données. EEn effet, en en vertu du du principe principe de de sécurité sécurité et et de de confidentialité confidentialité consacré consacré aux aux articles articles 5.1.
- f)5. 1.
- f)et et 32 32 du du RGPD, RGPD, seules seules les les personnes habilitées habilitées devraient devraient avoir avoir accès accès aux aux données données dont elles ont besoin dans le cadre de leurs activités. Il est toutefois à regretter que elles ont besoin dans te cadre de leurs activités. Il est toutefois à regretter que le le projet projet de de règlement de journalisation des accès, tel que suggéré règlement grand-ducal grand-ducal ne ne prévoie prévoiepas pas de de système système de journalisation des accès, tel que suggéré 3 par . par la la CNPD CNPDdans dans son son avis avis du du 4 mars mars 2022 20223. Ainsi janvier 2024. Ainsi adopté adopté àà Belvaux Belvaux en en date date du du 19 19janvier 2024. La LaCommission Commissionnationale nationalepour pourla la protection protection des des données ^^' Larsen Tine A. Larsen Présidente Thierry Lallemang Lallemang Commissaire Commissaire w/^- Lemmer Marc arc Lemmer / p Commissaire Alain Herrmann Alain Commissaire °2/AV2/2022 du 3 Deiibél'at_ionnn°2/AV2/2022 du44 mars mars2022 2022de dela laCommission Commissionnationale nationalepour pourla laprotection protectiondes desdonnées, données,doc. doc. pari. n° 7872/05, p. 8. CNPD ' - 1- ' "" " ~"~ -.. --, Avis Avis de de la la Commission nationale nationale pour pour la la protection des des données données relatif relatif au au projet projet de de règlement règlement grand-ducal grand-ducal concernant concernant la la coopération coopération interadministrative interadministrative entre entre le le Ministère Ministèrede dela la Mobilité Mobilitéet et des desTravaux Travauxpublics publicset et l'Administration l'Administrationde del'enregistrement, l'enregistrement, des des domaines et de la TVA 3/3