← Luxembourg

Loi Loimodifiée modifiéedu du 1er 1er de août2018 2018sur surla la déclaration déclaration obligatoire obligatoire de de certaines certaines maladies

Avis de Avis de la la Commission nationale pour pour la la protection des des données données relatif er au au projet de de loi n° n° 8331 portant modification de de la la loi loi modifiée modifiée du du 11er août 2018 sur la la déclaration déclaration obligatoire obligatoire de de certaines certaines maladies dans le le cadre cadre de de la la protection de de la la santé santé publique publique et et relatif relatif au au projet projet de de règlement grand-ducal grand-ducal précisant les les modalités modalités et et conditions de de mise en place du du carnet de de vaccination vaccination électronique. électronique. Délibération n°9/AV4/2024 du du 23 23 février février 2024. 2024. Délibération 1. Conformément à l'article 1. l'article 57.1.

  1. c)57. 1 .
  2. e)du du règlement règlement (UE) (UE) 2016/679 2016/679 du du Parlement Parlement européen européen et du 7 avril duConseil Conseil du du 227 avril 2016 2016relatif relatifàà la laprotection protection des des personnes personnes physiques physiques àà l'égard l'égard du du traitement traitement des des données données àà caractère caractère personnel personnel et et àà la la libre libre circulation circulation de de ces ces données, données, et et abrogeant abrogeant la la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), er auquel auquel se se réfère réfèrel'article l'article 7 de de la la loi loi du du 11er août août 2018 2018 portant portant organisation organisation de de la la Commission nationale pour la protection des données et du régime général sur la protection des nationale pour la protection des donnéeset du régimegénéralsur la protection des données, données,la la Commission Commission nationale nationalepour pour la la protection protection des des données données(ci-après (ci-aprèsla la «« Commission Commissionnationale nationale» ou la la « CNPD CNPD ») ») « conseille, conseille, conformément conformément au au droit droit de de l'État l'Ëtatmembre, membre, le le parlement parlement national, national, le gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes organismes au au sujet sujet des des mesures mesures législatives législatives et et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard relatives à la des droits et libertés des personnes physiques à du traitement ». ». du Par Par ailleurs, l'article l'article 36.4 36. 4 du du RGPD RGPD dispose dispose que que « [l]es [l]es États Étatsmembres membres consultent consultent l'autorité l'autorité de contrôle contrôle dans dans le le cadre cadre de de l'élaboration l'élaboration d'une d'une proposition proposition de de mesure mesure législative législative devant devant être adoptée par u n parlement national, ou d'une mesure réglementaire fondée sur une telle adoptée par un ou d'une mesure fondée sur une telle mesure mesure législative, législative, qui qui se se rapporte rapporte au au traitement. » Le LeComité Comitéeuropéen européen de dela la protection protection des des données données (ci-après (ci-après le le «« CEPD CEPD ») ») précise précisepar parailleurs ailleurs que que pour pourtoute toutelimitation limitationaux auxdroits droitsdes despersonnes personnesconcernées concernéesadoptée adoptéeau auniveau niveaudes desÉtats Étatsmembres, l'autorité l'autorité de de contrôle contrôle en en matière matière de de protection protection des des données données doit doit être être consultée consultée avant avant l’adoption l'adoption 1 d’une d'une telle mesure par par le le parlement national national1.. 2. Par 2. Parcourrier courrier en en date date du du 20 20 octobre octobre 2023, 2023, le le Ministère Ministèrede de la la Santé Santéa invité invitéla la Commission er nationale à e loi à se se prononcer sur sur le le projet projet dde loi n°8331 n°8331 portant portant modification de de la la loi loi modifiée modifiée du du 11er août e certaines août2018 2018sur sur la la déclaration déclarationobligatoire obligatoiredde certainesmaladies maladies dans dansle le cadre cadrede de la la protection protection de la santé publique (ci-après le « projet de loi »). Par ailleurs, ledit Ministère a saisi la santé publique (ci-après le « projet de loi »). Par ailleurs, ledit Ministère a saisi la la CNPD CNPD par par 1 1 Comité Comité européen de de la la protection protection des des données, données, Lignes Lignes directrices 10/2020 10/2020 concernant oncernant les les limitations limitations au au titre titre de de l'article l'article 23 23 du du RGPD, RGPD, Version Version 2.1, 2. 1, adoptées adoptées le le 13 13 octobre octobre 2021, 2021, point point 68 68 (ci-après (ci-après les les «« lignes lignes directrices directrices du du CEPD CEPD concernant les les limitations au au titre de de l’article l'article 23 23 du du RGPD RGPD »). »). CNPD i— _i Avis Avis de de la la Commission nationale pour pour la la protection des des données relatif relatifau au projet projet de deloi loi n° n° 8331 8331 portant portant modification modificationde de la la loi loi modifiée modifiéedu du 1er 1eraoût août2018 2018sur sur la la déclaration obligatoire obligatoire de de certaines maladies dans dans le le cadre cadre de de la la protection protection de de la la santé santé publique et et relatif relatif au au projet de de règlement règlement grand-ducal précisant précisant les les modalités modalités et et conditions onditions de u carnet de mise mise en en place place ddu carnet de de vaccination vaccinationélectronique. 1/14 1/14 courrier du du 25 25 octobre 2023 2023 afin afin d'aviser d'aviser le le projet projet de de règlement règlement grand-ducal précisant précisant les courrier modalités et et conditions de de mise mise en en place place du du carnet carnet de de vaccination électronique (ci-après (ci-après le modalités en pris est grand-ducal règlement de projet Le »). projet de de règlement règlement grand-ducal »). Le projet de règlement grand-ducal est pris en exécution exécution « projet er du futur futur article article 4bis 4ù/sdde la loi loi modifiée modifiéedu du 11er août2018 2018 sur sur la la déclaration déclarationobligatoire obligatoire de de certaines août e la du maladiesdans dansle le cadre cadre de de la la protection protection de de la la santé santépublique publique et et la la mise miseen en œuvre ouvre d’un d'uncarnet carnetde maladies 2 vaccinationélectronique électronique2(ci-après (ci-aprèsle le « futur futurarticle article4bis 46/'sde dela la loi loi modifiée modifiéedu du1er 1eraoût août2018 2018sur surla la vaccination par loi ladite de 4 déclaration obligatoire obligatoire de de certaines certaines maladies maladies »), »), tel tel qu’inséré qu'inséréaprès après l’article l'article de ladite loi déclaration l'article 2 du du projet projet de de loi loi susmentionné. l’article e la 3. Bienque que la la Commission Commissionnationale nationalene ne souhaite souhaitenullement nullement remettre remettre en en cause cause l’utilité l'utilitédde la Bien 3. mise en en place place d’un d'un carnet carnet de de vaccination sous sous forme forme électronique électronique (ci-après (ci-après le le « carnet carnet digital digital ») ») mise jaune », visant àà remplacer remplacer le le carnet carnetphysique, dit dit « carte carte jaune », et etceci ceci«« tant tantpour pourle le bénéfice bénéficedu dupatient visant que que pour pour l’amélioration l'amélioration de de l'efficacité et et de de la la transparence transparence des des campagnes nationales nationales de 3 vaccination»»3, elle souligne souligne cependant cependant que que des des garanties garanties suffisantes suffisantesau au regard regard du du respect respect des , elle vaccination principesfondamentaux fondamentauxdu du droit droitàà la la protection protection des des données donnéesàà caractère caractèrepersonnel personnel doivent doiventêtre principes ouvre. mises en œuvre. 4. Demanière manièregénérale, générale,la la CNPD CNPDse se félicite félicitedans dansce cecontexte contexteque quele le projet projetde deloi loi et etle leprojet projet De 4. de règlement règlement grand-ducal grand-ducal entendent entendent conférer conférer une une base base légale légale aux aux traitements traitements de de données de subséquente. effectués dans le cadre de la mise en place du carnet digital et de son utilisation subséquente. utilisation son de et digital carnet du place en mise la de effectués dans le cadre Elle note note que que le le carnet carnet digital digital vise, vise, entre entre autres, autres, àà améliorer améliorerla la prise prise en en charge charge du du patient patient en Elle part, d’une qualité, de santé de soins des permettant aau prestataire de de soins soins de de fournir fournir des soins de santé de qualité, d'une part, et et au u prestataire permettant patientde deprendre prendreune unedécision décisionéclairée éclairéeen enmatière matièrede devaccination, vaccination, d'autre d'autrepart, part, tout touten en octroyant patient vaccinale couverture la la possibilité possibilité àà l’Etat l'Etat de de gérer gérerles les stocks stocks des des vaccins vaccins et et suivre suivre et et évaluer évaluer la vaccinale la 4 des vaccins vaccins recommandés. recommandés. 4 Sa Sa mise mise en en place place pourrait pourrait dès dès lors lors correspondre àà une une mission mission des d’intérêt d'intérêtpublic publicconformément conformémentàà l’article l'articte 6.1.
  3. e)6. 1.
  4. e)du duRGPD. L'article 6.3 du du RGPD RGPD prévoit prévoitdans dans ce ce contexte contexte une une contrainte contrainte particulière particulièreliée liée àà la la licéité licéitéd'un L'article de données données nécessaire nécessaire au au respect respect de de l’exécution l'exécution d'une d'une mission d’intérêt d'intérêt public public ou traitement de de l'autorité publique publique dont dont est est investi le le responsable du du traitement. Dans Dans ce e l'autorité e l'exercice dde relevant d doivent données de cas de de figure, figure, le le fondement et et notamment les les finalités finalités des des traitements de données doivent être cas spécifiquement spécifiquementprévus prévussoit soit par parle le droit droitde de l'Union l'Union européenne, européenne,soit soitpar parle le droit droitde de l’Etat l'Etatmembre auquel le le responsable du du traitement est est soumis soumis et et ce ce fondement fondement doit doit répondre répondre «« àà un un objectif auquel d'intérêtpublic public et et est est proportionné proportionnéàà l'objectif l'objectiflégitime légitimepoursuivi. » d'intérêt er 2 du 2 L’article L'article11er du projet projetde deloi loi vise viseàà remplacer remplacerl’intitulé l'intituléde de la la loi loimodifiée modifiéedu du1er 1eraoût août2018 2018sur surla ladéclaration déclarationobligatoire de certaines certainesmaladies maladiesdans dans le le cadre cadrede de la la protection protectionde de la la santé santépublique publiquepar par l’intitulé l'intitulésuivant suivant:: « Loi Loimodifiée modifiéedu du 1er 1er de août2018 2018sur surla la déclaration déclaration obligatoire obligatoire de de certaines certaines maladies maladies dans dans le lecadre cadre de de la laprotection de de la la santé santépublique publique et et la août m/'se en œuvre ouvre d’un d'un carnet carnet de de vaccination électronique ». ». mise 3 3 Voir Voir exposé exposé des des motifs motifs du du projet projet de de loi. loi. 4 4 Voir Voirexposé exposédes desmotifs motifsdu duprojet projetde deloi, loi, ainsi ainsique queles lesfinalités finalitésmentionnées mentionnéesau aufutur futurarticle article4bis 4ù/sde dela la loi loimodifiée modifiéedduu 1eraoût août2018 2018sur surla la déclaration déclarationobligatoire obligatoirede de certaines certainesmaladies, maladies,ainsi ainsique que le lecommentaire commentairedes desarticles, articles, ad ad article article2. 2. 1er ’ CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données Avis relatif relatifau au projet projet de deloi loin° n° 8331 8331 portant portantmodification modificationde dela la loi loi modifiée modifiéedu du1er 1eraoût août2018 2018sur surla la déclaration obligatoire de de certaines ortaines maladies maladies dans dans le le cadre cadre de de la la protection de de la la santé publique publiqueet etrelatif relatifau auprojet projetde derèglement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset etconditions de mise mise en en place place du du carnet carnet de de vaccination vaccinationélectronique. de 2/14 5. Par 5. Parailleurs, ailleurs, dans dansla la mesure mesureoù oùune unepartie partiedes des données donnéestraitées traitéesàà travers travers le le carnet carnetdigital sont relatives à la santé des patients en cause, celles-ci sont à qualifier de catégories sont relatives à la santédes patients en cause,celles-cisontà qualifierdecatégoriesparticulières de de données, données, dites dites «« données données sensibles sensibles », », au au sens sens de de l’article l'article 9 du du RGPD. RGPD. De De tels tels traitements requièrent requièrent une une protection protection spécifique spécifique et et sont sont soumis soumis àà des des exigences plus plus strictes. Le Le traitement traitement de de données données sensibles sensibles est, est, en en effet, effet, interdit interdit sauf sauf si si l’une l'une des des conditions conditions visées visées au au paragraphe paragraphe 22 de de l’article l'article 9 du du RGPD RGPD est est remplie. remplie. La u moyen La Commission nationale nationale estime estime que que les les traitements de de données données mis mis en en œuvre ouvre aau moyen d'un d'un carnet carnetdigital digitalpourraient pourraient relever releverdes des motifs motifs d'intérêt d'intérêtpublic publicdans dansle le domaine domainede dela la santé santépublique publique visés visés àà l'article l'article 9.2.1) 9. 2.
  5. i)du du RGPD, àà condition que que le le droit droit de de l'Union européenne ou ou le le droit droit national national prévoie e la prévoie des des « mesures mesures appropriées appropriées et et spécifiques spécifiques pour pour la la sauvegarde des des droits droits et et libertés libertés dde la ». personne concernée ». 6. En 6. En l'espèce, l'espèce, ilil convient convient de de féliciter féliciterles les auteurs auteurs du du projet projet de de loi loi et et du du projet projet de de règlement règlement grand-ducal grand-ducald’avoir d'avoirinséré insérédans dansles les textes textes respectifs respectifsdes des précisons précisonsen en matière matièrede de protection protection des données. données. Néanmoins, Néanmoins, la la CNPD CNPD tient tient àà formuler formuler des des remarques remarques sur sur certains certains points points spécifiques. spécifiques. I.l. Quant Quant au au responsable responsable du du traitement 7. La 7. LaCNPD CNPDtient tient àà rappeler rappelerque que conformément conformémentàà l’article l'article 4.7) 4.7) du du RGPD, RGPD,le le responsable responsabledu traitement est « la personne physique ou morale, l'autorité publique, le service est la physique ou l'autorité le service ou ou un un autre autre organisme qui, seul seul ou ou conjointement avec avec d'autres, détermine détermine les les finalités finalités et et les les moyens moyens du traitement; e traitement traitement; lorsque lorsque les les finalités finalitéset et les les moyens moyens de de cce traitement sont sont déterminés déterminéspar parle le droit droit de /'Union l'Unionou oule ledroit droitd'un d'unÉtat Étatmembre, le leresponsable responsable du dutraitement traitement peut peutêtre êtredésigné désignéou oules lescritères spécifiques spécifiquesapplicables applicablesàà sa sadésignation désignationpeuvent peuventêtre êtreprévus prévuspar parle ledroit droitde de /'Union l'Unionou oupar parle ledroit d'un État Etat membre. membre. » d'un 8. En 8. En ce ce qui qui concerne plus plus précisément précisément les les notions notions de de responsable du du traitement et et de de soustraitant, ilil ressort des des lignes lignes directrices du du CEPD CEPD sur sur ce ce sujet sujet que que « [l]orsque [IJorsque le le responsable responsable du traitement est est spécifiquement identifié identifié par par la la loi, loi, cette cette désignation désignation est est déterminante déterminante pour pour définir définir qui agit en tant que responsable du traitement. Cela présuppose que le législateur a désigné qui agit en tant que responsable du traitement. Cela présuppose que le législateur a désigné comme u traitement comme responsable responsable ddu traitement l’entité l'entité qui qui est est véritablement véritablement en en mesure mesure d’exercer d'exercer le le contrôle. »»55 contrôle. 9. IlIl est 9. est encore encore àà noter noter que que la la notion notion de de responsable responsabledu du traitement, traitement, voire voire de de responsabilité conjointe, sont des notions fonctionnelles en ce qu’elles visent à répartir les responsabilités en sont des notions en ce qu'elles visent à répartir les 5 u traitement 5 CEPD, CEPD,Lignes Lignesdirectrices directrices 07/2020 07/2020concernant oncernant les les notions notions de de responsable responsableddu traitement et et de de sous-traitant sous-traitant dans dans le le RGPD, RGPD, version 2.0, 2. 0, adoptées adoptées le le 7 juillet 2021, point point 23. 23. ’ CNPD >— — Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données relatif u 1er relatifau au projet projet de de loi loi n° n° 8331 8331 portant portant modification modificationde de la la loi loi modifiée modifiéeddu 1eraoût août2018 2018sur sur la déclaration obligatoire de de certaines maladies dans dans le le cadre de de la la protection protection de de la la santé publique publiqueet et relatif relatif au au projet projet de derèglement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions onditions de de mise mise en en place place du du carnet carnet de de vaccination vaccinationélectronique. 3/14 fonctiondes desrôles rôlesréels réelsjoués jouéspar parles lesparties. parties. Ainsi, Ainsi,elles ellesreposent reposentsur surune uneanalyse analysefactuelle factuelleplutôt plutôt fonction que queformelle. formelle.66 er 10. En l’espèce, l'espèce, le le futur futur article article 4ô/s 4b/'s de de la la loi loi modifiée modifiée du du 11er août 2018 2018 sur sur la la déclaration déclaration 10. En août obligatoire obligatoirede decertaines certainesmaladies maladiesprévoit prévoitque que« [...] [...] !’Agence l'Agencenationale nationaledes desinformations informationspartagées partagées dans le le domaine domaine de de la la santé santé tient tient àà la la disposition des des patients, des des prestataires de de soins soins et et de dans l'autorité sanitaire sanitaire un un carnet carnet de de vaccination électronique ». ». Dans Dans le le commentaire de de l'article l'article 2 du l’autorité projet justifié la projetde deloi, loi, les les auteurs auteurs expliquent, expliquent, après aprèsavoir avoirjustifié la mise miseen en place placedu ducarnet carnetdigital, digital, que quesa miseàà disposition dispositionsera seraconfiée confiéeàà l’Agence l'Agencenationale nationaledes desinformations informationspartagées partagéesdans dansle ledomaine mise de la la santé santé (ci-après (ci-après I’l' « Agence Agence eSanté eSanté »), »), car car « cette cette dernière dernière assur[e] déjà déjà la la gestion gestion dde la de e la électronique nationale nationale avec avec le le dossier dossier de de soins soins partagé. partagé. Cela Cela permettra permettra au au carnet carnet de de plateforme électronique vaccination électronique électroniquede de bénéficier, bénéficier,par par exemple, exemple, d'un d'un niveau niveau de de sécurité sécuritéélevé élevétel tel que que déjà déjà vaccination assuré dans le cadre du dossier de soins partagé. » assuré dans le du dossier de soins » 11. Le Le texte texte du du projet projet de de loi loi engendre engendre dès dèslors lors l’impression l'impression que que l’Agence l'Agence eSanté, eSanté,créée crééesur 11. base de de l’article l'article 60ter 60terdu de la la sécurité sécurité sociale et et soumise à à l’autorité l'autorité conjointe des des ministres ministres base du Code de ayant dans dans leurs leurs attributions la la Santé Santéet et la la Sécurité Sécuritésociale, sociale, agirait agiraitseule seule en en tant tantque que responsable responsable ayant du traitement des données à caractère personnel opéré dans le cadre de la mise en ouvre du du traitement des données à caractère personnel opéré dans le cadre de la mise en œuvre carnetdigital. digital. Néanmoins, Néanmoins,la la CNPD CNPDconstate constateque quedes desprécisions précisionsse se trouvent trouvent àà cet cet égard égarddans dansle le carnet 7 articles7. des sa commentaire dans son ainsi de D'après grand-ducal, ainsi que dans son commentaire des articles . D'après sa règlement grand-ducal, projet de règlement lecture, ilil en en ressort ressort la la configuration suivante suivante :: lecture, - L'Agence L'AgenceeSanté eSantésera sera responsable responsabledes des traitements traitements des des données donnéesopérés opéréspar par la la création même du du carnet carnet digital digital pour pour chaque chaque personne personne physique disposant disposant d’un d'un numéro numéro même 8 d'identification national national8 et et ceci ceci àà partir partir du du premier premier encodage par par le le prestataire prestataire dde soins. d’identification e soins. er Par ailleurs, en en vertu de de l’article l'article 11er

(4)du du projet projet de de règlement règlement grand-ducal, l’Agence l'Agence Par
(4)eSantédoit doitprocéder, procéder,dès dèsréception réceptiond’un d'uncertificat certificatde dedécès décèsou ou de dela la date datede dedécès décèspar parle le eSanté des technologies de de l'information de de l’Etat, l'Etat, àà l’archivage l'archivage des des données données du du carnet Centre des digital digital pendant pendant la la durée durée légale légale de de conservation. conservation. 6 6 Page Page 3 et et points 21 et et 52 52 desdites lignes lignes directrices. directrices. 7 7 Voir Voir par par exemple exemple le le commentaire des des articles, ad ad article article 2 :: «« Comme Comme le le carnet carnet de de vaccination électronique est est créé créé surla la plateforme électronique nationale nationale des des informations informations partagées partagées dans dans le ledomaine domaine de dela la santé santéet et que que les les prestataires prestataires sur de desoins so/nsenregistrent enregistrentles lesdonnées donnéesen enlien lienavec avecles lesvaccinations vaccinationsde deleurs leurspatients patientscomme commeils ilsle le font fontactuellement actuellementsur surla carte jaune papier, le carte jaune le présent présent projet projet de de règlement règlement grand-ducal grand-ducal entérine entérine ce ce partage partage des des responsabilités responsabilités en en instituant instituant une responsabilité conjointe conjointe entre ces ces deux deux intervenants. intervenants. IlIl en en va va de de même même pour pour les les données données concernant concernant la la gestion gestion une desstocks stoc/csde devaccins vaccinsenregistrées enregistréespar parl'autorité /'autoritésanitaire sanitaireet etqui quipeuvent peuventinclure inclureles lesdonnées donnéesàà caractère caractèrepersonnel personneldes des des prestataires prestatairesde de soins soinsàà qui qui sont sontdistribués distribuésdes desvaccins. » 8 er 8 Le Le commentaire de de l’article l'article 11er projet de de règlement règlement grand-ducal précise précise qu’ qu' «« [à] [à] terme, un un carnet carnet de de vaccination vaccination ddu u projet électroniquedevrait devraitpar parconséquent conséquentêtre êtrecréé créépour pourtoute toutepersonne personnerésidente résidenteet et toute toutepersonne personnenon-résidente non-résidenteaffiliée affiliéeàà électronique la la Caisse Caisse nationale nationale de de santé. santé. » CNPD CNPD Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données Avis relatif relatifau auprojet projet de deloi loin’ n° 8331 8331 portant portantmodification modificationde dela la loi loimodifiée modifiéedu du1er 1eraoût août2018 2018sur surla la déclaration obligatoire de de certaines ortaines maladies maladies dans dans le le cadre de de la la protection de de la la santé publique publiqueet etrelatif relatifau auprojet projet de derèglement règlementgrand-ducal grand-ducalprécisant précisantles lesmodalités modalitéset et conditions de de mise mise en en place place du du carnet carnet de de vaccination électronique. électronique. 4/14 - Pour Pour le le traitement des des données données enregistrées par par les les prestataires de de soins soins dans dans le le carnet 9 digital, digital, 9 l’article l'article 2
(1)
(1)du du projet de de règlement grand-ducal prévoit prévoit que que lesdits lesdits prestataires prestataires agissent u sens agissent comme responsables conjoints avec avec l’Agence l'Agence eSanté eSanté aau sens de de l’article l'article 26 26 du RGPD. RGPD. - 10 traitement des données données enregistrées Finalement, pour l'autorité sanitaire sanitaire1 0 sur Finalement, la sur la pour le traitement enregistrées par par l'autorité gestion des des stocks de de vaccins vaccins et et qui qui peuvent peuvent inclure des des données données àà caractère caractère personnel personnel 11 des prestataires de soins, l'article 2
(2)du projet de règlement grand-ducal prévoit des prestataires de soins, 11
(2)du de prévoit que que l’autorité u sens l'autoritésanitaire sanitaireagit agitavec avec l’Agence l'Agence eSanté eSantécomme comme responsables responsablesconjoints conjoints aau sens de l’article l'article 26 26 précité précitédu du RGPD.
  1. La
  2. La CNPD CNPD a néanmoins néanmoins des des difficultés difficultés àà relier relier les les traitements traitements précités précités opérés opérés par par les les er différents u futur différentsacteurs acteurs aux auxfinalités finalitésmentionnées mentionnéesaau futurarticle article4bis 4ib/s
(2)
(2)de dela la loi loi modifiée modifiéedu du 11eraoût août 2018 n d’autres 2018sur surla la déclaration déclarationobligatoire obligatoirede decertaines certainesmaladies. maladies.EEn d'autrestermes, termes, elle elle est est d'avis d'avisqu’il qu'il ne ne ressort ressort pas pas clairement clairement des des textes textes sous sous avis avis pour pour quelles quelles des des différentes différentesfinalités finalitéspoursuivies poursuivies l’Agence l'Agence eSanté, eSanté, l’autorité l'autorité sanitaire, ainsi ainsi que que les les prestataires de de soins soins de desanté santé sont sont àà considérer comme responsable, voire voire comme responsables conjoints des des traitements mis mis en en œuvre ouvre àà travers travers le le carnet carnetdigital.
  1. Dès
  2. Dès lors, en en prenant prenant en en compte que que la la protection des des données données àà caractère caractère personnel personnel est une matière réservée à la loi par la Constitution, d'une part, et que dans de telles une matière réservée à la loi par la Constitution, d'une part, et que dans de telles matières matières l'essentiel l'essentiel du du cadrage cadrage normatif normatif doit doit résulter résulter de de la la loi, loi, y compris compris les les fins, fins, les les conditions conditions et et les les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par 12 règlements la règlementset et arrêtés arrêtéspris prispar parle le Grand-Duc, Grand-Duc,12 la Commission Commissionnationale nationalerecommande recommandeaux auxauteurs du projet de loi de préciser dans le corps du texte qui est à qualifier de responsable, du projet de loi de préciser dans le corps du texte qui est à qualifier de responsable, voire voire de responsable(s) conjoint(s) des des traitements en en distinguant entre entre les les différentes différentes finalités finalités àà atteindre. atteindre.
  3. Finalement,
  4. Finalement, ilil convient convient de de mentionner mentionner que que l’article l'article 26.1
  5. 1 du du RGPD RGPD dispose dispose que que les les responsables responsables conjoints conjoints du du traitement traitement définissent définissent de de manière manière transparente transparente leurs leurs obligations 9 er 9 Le Lefutur futurarticle article4bis 4b;s
(4)
(4)de dela la loi loimodifiée modifiéedu du11eraoût août2018 2018sur surla ladéclaration déclarationobligatoire obligatoirede decertaines certainesmaladies maladiesprévoit prévoit en en effet effetque que ce cesont sont les les prestataires prestatairesde de soins soins qui qui «« enregistrent enregistrentau au moment momentde dela la vaccination vaccinationet etau au plus plustard tardendéans endéans le te soixante-douze soixante-douze heures heures de de celle-ci celle-ci dans dansle le carnet carnet de devaccination vaccination électronique électronique les les données données visées visées au au paragraphe paragraphe
(3)
(3)pour pour toute toute vaccination vaccinationrecommandée recommandéepar par l’Etat. l'Etat. [...]» [...]» 10 er août 10D’après D'aprèsl'article l'article2 de del’actuelle l'actuelleloi loidu du11er août2018 2018sur surla la déclaration déclarationobligatoire obligatoirede decertaines certainesmaladies, maladies, le le directeur de de la la santé santéou ou son son délégué déléguésont sont àà désigner désignercomme comme «« autorité autoritésanitaire sanitaire». 11 11Voir Voircommentaire ommentairedes desarticles articles du du projet projetde derèglement règlementgrand-ducal, grand-ducal,ad ad article article
  1. Voir articles 31 et 37 de la Constitution luxembourgeoise. D’après la 12 Voir et 37 de la D'après la jurisprudence de de la la Cour Cour constitutionnelle, constitutionnelle, 12 l'article l'article 45, 45, paragraphe 2, de de la la Constitution exige exige en en effet effet que que dans dans ces ces matières, «« la la fixation fixation des des objectifs objectifs des desmesures mesures d’exécution d'exécution doit doit être êtreclairement clairement énoncée, énoncée, de de même même que que les les conditions auxquelles auxquelles elles elles sont, le le cas cas échéant, échéant, soumises. soumises. L'orientation L'orientation et et l'encadrement l'encadrement du du pouvoir pouvoir exécutif exécutifdoivent, doivent, en en tout tout état étatde de cause, cause, être être consistants, consistants, précis précis et et lisibles, lisibles, l’essentiel l'essentieldes des dispositions dispositionsafférentes afférentesétant étantappelé appeléàà figurer figurerdans dansla la loi loi »» (Cour (Courconstitutionnelle, constitutionnelle, 4 juin juin2021, 2021, n° n° 166, 166, Mém. n° 440 d u 10 juin 2021 u 10 Mém. A An°440du 10juin 2021 et etCour Courconstitutionnelle, constitutionnelle, 33 mars mars 2023, 2023,n° n" 177, 177, Mém. Mém. A, A, n° n° 127 127ddu 10mars mars2023). 2023). CNPD Avis Avis de de la la Commission nationale pour pour la la protection des des données relatif relatifau au projet projet de de loi loi n° n° 8331 8331 portant portant modification modificationde de la la loi loi modifiée modifiéedu du1er 1eraoût août2018 2018sur sur la déclaration obligatoire de de certaines maladies maladies dans dans le le cadre cadre de de la la protection protection de de la la santé publique et et relatif relatif au au projet projet de de règlement règlement grand-ducal précisant précisant les les modalités modalités et et conditions onditions de u carnet de mise miseen en place place ddu carnet de de vaccination vaccinationélectronique. 5/14 auxfins fins d’assurer d'assurer le le respect respect des des exigences du du RGPD, RGPD, notamment en en ce ce qui qui concerne concerne respectives aux des droits droits de de la la personne concernée. Les Les lignes lignes directrices du du CEPD CEPD àà cce l'exercice des e sujet prévoient n matière e conformité, prévoient qu’il qu'il « convient convient de de répartir répartir les les responsabilités responsabilités een matière dde conformité, ainsi ainsi qu’il qu'il résulte de de l'utilisation {'utilisation du du terme « respectives » àà l'article l'article 26, 26, paragraphe paragraphe
  3. Cela Cela n'exclut n'exclutpas résulte pas que te droit droit de de /'Union l'Union ou ou le le droit droit d'un d'un État Étatmembre membre puisse puisse déjà déjàétablir établir certaines certaines responsabilités responsabilités de de le chaque chaque responsable responsable conjoint conjoint du du traitement. traitement. Si Si tel tel est est le le cas, cas, l'accord /'accord entre entre les les responsables du traitement devrait devrait également également couvrir couvrir toute toute responsabilité responsabilité supplémentaire supplémentaire nécessaire conjoints du aux fins fins d’assurer d'assurer le le respect respect des des exigences exigences du du RGPD RGPD qui qui ne ne sont sont pas pas couvertes couvertes par par les les aux 13 dispositionslégales. légales.»»13 dispositions
  4. Les paragraphes paragraphes
(3)
(3)et et
(4)
(4)de de l’article l'article 2 du du projet projet de de règlement règlement grand-ducal précisent précisent dans
  1. Les ce contexte contexte les les modalités modalités d’exercice d'exercice des des droits droits des des personnes personnes concernées. concernées. LLa CNPD tient tient dès dès ce a CNPD lors àà rendre rendre attentifs les les auteurs du du projet projet de de règlement règlement grand-ducal qu’« qu'« [i]l [i]l ne ne s'agit s'agit que que de de lors définir, dans dans leurs leurs relations relations internes, internes, quelle quelle partie partie est est tenue tenue de de répondre répondre aux aux demandes demandes des des définir, 14 personnesconcernées. concernées. »»14 Eneffet, effet,indépendamment indépendammentdes destermes termesde del’accord l'accordentre entreresponsables responsables personnes En conjoints,la lapersonne personneconcernée concernéepeut peutcontacter contacterchacun chacundes desresponsables responsablesconjoints conjointsdu dutraitement conjoints, conformément à à l’article l'article 26.3
  2. 3 du du RGPD. RGPD. II. II. Quant aux aux données à à caractère personnel collectées collectées Quant
  3. Au titre titre du du respect respect des des principes relatifs au au traitement des des données données àà caractère caractère personnel personnel
  4. Au tels qu'ils qu'ils sont sont prévus prévus par par le le RGPD, RGPD, la la CNPD CNPD rappelle rappelle que que les les données donnéesàà caractère caractèrepersonnel personnel tels doivent être être « collectées collectées pour pour des des finalités finalités déterminées, déterminées, explicites et et légitimes, et et ne ne pas pas être doivent traitées ultérieurement ultérieurement d'une d'une manière manièreincompatible incompatible avec avecces ces finalités finalités[...] [... ] (limitation (limitation des des finalités) »» traitées et qu'elles doivent doivent être être « adéquates, pertinentes et et limitées limitées àà ce ce qui qui est est nécessaire nécessaire au au regard regard des et 15 finalités pour pour lesquelles lesquelles elles elles sont sont traitées traitées(minimisation (minimisation des des données). données). »»15 finalités er
  5. La CNPD CNPD estime que que le le futur futur article 4bis 4ù/s
(2)
(2)et et
(3)
(3)dde la loi loi modifiée modifiée du du 11er août 2018 2018 sur 17. La e la août la déclaration obligatoire de de certaines maladies maladies respecte les les exigences susmentionnées. A A des la fins juridique, elle finsde de sécurité sécuritéjuridique, elle conseille conseille uniquement uniquementaux aux auteurs auteurs du du projet projet de de loi loi de de préciser préciserplus plus en détail dans le corps du texte quelles données ou catégories de données sont visées par en détail dans le corps du données ou catégories de données sont visées par les donnéesadministratives administratives du du patient patient »» et et « donnes donnes administratives du du prestataire dde termes « données e soins vaccinateur »» prévus aux points 1° et 4° dudit paragraphe
(3). prévus aux points 1° et 4° dudit paragraphe
(3).
  1. Néanmoins, la la CNPD CNPD a des des difficultés difficultés à à saisir saisir le le déroulement déroulement concret concret de de la la création création du
  2. Néanmoins, carnet carnet digital digital et et elle elle se se pose pose des des questions questions pratiques pratiques sur sur le le traitement traitement initial initial des des données données àà caractère n effet, caractèrepersonnel personnelyy incluses. incluses. EEn effet, ilil ressort ressortd’une d'unelecture lecture combinée combinéedu du futur futurarticle article4bis 4b/'s
(4)
(4)13 13Point Point162 162 desdites desdites lignes lignes directrices. 14Point Point 165 165 desdites lignes lignes directrices, directrices, 15 15Voir Voir article 5.1.
  1. b)5. 1 .
  2. b)et et
  3. e)
  4. e)du du RGPD. RGPD. 14 CNPDl " CNPD Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données données Avis relatif relatif au au projet projet de de loi loi n° n° 8331 portant modification modification de de la la loi loi modifiée modifiée du du 1er 1er août août 2018 2018 sur sur la la déclaration obligatoire de de certaines ortaines maladies maladies dans dans le le cadre cadre de de la la protection protection de de la la santé publique publiqueet et relatif relatifau auprojet projetde derèglement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions onditions de de mise mise en en place place du du carnet carnet de de vaccination vaccinationélectronique. 6/14 er de août e certaines dela laloi loimodifiée modifiéedu du11er août2018 2018sur surla ladéclaration déclarationobligatoire obligatoiredde certainesmaladies maladieset etde del’article l'article 11
(1)
(1)du du projet projet de de règlement règlement grand-ducal que que les les prestataires de de soins soins doivent doivent enregistrer enregistrer aauu moment moment de de la la vaccination vaccination ou ou au au plus plus tard tard soixante-douze soixante-douze heures heures après aprèsles les données données des des patients patients dans dansle lecarnet carnetdigital, digital, alors alorsque quela la création créationmême mêmedu ducarnet carnet digital digitalpar parl’Agence l'Agence eSanté eSantén’intervient n'intervient er qu’à e commentaire du qu'àpartir partir du du premier premier encodage encodagepar par le le prestataire prestataire de de soins. soins. LLe commentaire de de l’article l'article 11er projet e règlement projet dde règlement grand-ducal grand-ducal précise précise dans dans ce ce contexte contexte qu’afin qu'afin que que l’Agence l'Agence eSanté eSanté ne ne crée pas « [...] indistinctement un carnet de vaccination électronique pour toute personne disposant pas «[... ] indistinctement un carnet de vaccination électronique pour toute personne disposant d'un d'un numéro numéro d’identification d'identification national national mais mais non non d'une d'une vaccination, vaccination, ililest estindiqué indiqué au au vu vu des des principes principes de minimisation du traitement des données à caractère personnel et d’efficacité administrative cfe minimisationdu traitement des donnéesà caractèrepersonnel et d'efficacitéadministrativede ne necréer créerun uncarnet carnetde devaccination vaccinationélectronique électroniquequ'à qu'àpartir partirdu dupremier premierencodage. » Or, Or, comment un un prestataire de de soins soins peut peut déjà déjàencoder encoder lors lors d’une d'une vaccination les les données données listées er au aufutur futurarticle article 4b/s 4bis
(3)
(3)de dela laloi loimodifiée modifiéedu du11eraoût août2018 2018 sur surla ladéclaration déclaration obligatoire obligatoire de decertaines certaines maladies dans le carnet digital si l’Agence ne le crée qu’à partir du premier encodage maladies dans le carnet digital si l'Agence ne le crée qu'à partir du premier encodage par par ce même mêmeprestataire prestataire ? Soit Soitle lecarnet carnetdigital digitala déjà déjàété étécréé créépar parl’Agence l'AgenceeSanté eSantéet et existe existedès dèslors lors au moment momentdu dupremier premierencodage encodagepar parle leprestataire prestatairede de soins, soins,soit soitce cedernier dernierdoit doitdemander demanderla lacréation d'un d'un carnet carnet digital digital àà l’Agence l'Agence eSanté eSanté lors lors d’une d'une vaccination vaccination et et ce ce n’est n'est que que postérieurement postérieurement qu'il qu'il peut peut y encoder encoder lesdites lesdites données. La La CNPD CNPD estime dès dès lors lors primordial que que des des clarifications àà ce sujet sujet soient soient intégrées intégrées dans dans les les deux deux projets de de textes légaux. er 19. Par 19. Par ailleurs, la la CNPD CNPD note note que que le le futur futur article 4b/s 46/s
(5)
(5)de de la la loi loi modifiée modifiée du du 11er août août 2018 sur la déclaration obligatoire de certaines maladies prévoit que les données des personnes sur la déclaration obligatoire de certaines maladies prévoit que les données des personnes 16 vaccinées u carnet vaccinéescontre contre la laCOVID-19 COVID-1916sont sont transférées transféréesaau carnet digital. digital. Elle Elle comprend que que ce cetransfert transfert se justifie, notamment afin que les personnes continuent à bénéficier d’une preuve de vaccination sejustifie, notamment afin que les personnes continuent à bénéficierd'une preuve devaccination en e demandes en cas cas de de dommages dommages ou ou dde demandes de de suivi suivi d’effets d'effets indésirables indésirableset et leur leur permet permet de de garder garder 17 trace de de leur leur vaccination vaccination contre contre la la COVID-19. COVID-19.17 trace Dans Dans ce ce contexte, la la Commission nationale se se demande demande si si les les personnes personnes concernées ont ont aussi la la possibilité possibilité de de demander demander que que des des informations informations sur sur d’éventuelles d'éventuelles anciennes anciennes vaccinations contenues sur jaune sont e même sur leur leur carte carte jaune sont dde même transférées transférées vers vers le le carnet carnet digital. digital. er 20. Finalement, comme le 20. le futur futur article article 46/s 4bis
(4)
(4)de de la la loi loi modifiée modifiée du du 11er août août 2018 2018 sur sur la la déclaration e certaines déclaration obligatoire obligatoire dde certaines maladies maladies prévoit prévoit que que le le patient patient doit doit consentir consentir àà l’enregistrement l'enregistrementdes desdonnées donnéesrelatives relativesaux auxfutures futuresvaccinations vaccinationsautres autresque quecelles cellesrecommandées recommandées par par l’Etat, l'Etat, la la CNPD CNPD tient tient àà insister insister que que toutes les les conditions d'un d'un consentement valide valide au au sens sens du 16 u 117 7 juillet juillet 2020 16Traitées Traitéessur surbase basede del’article l'article10 10
(2),
(2), point point3°, 3°, point pointb) b)de dela laloi loimodifiée modifiéeddu 2020portant portantintroduction introductiond’une d'une série sériede de mesures mesures de de lutte lutte contre contre la la pandémie pandémieCovid-
  1. 17 17Voir Voircommentaire ommentairedes des articles articles du duprojet projet de deloi, loi, ad adarticle article
  2. CNPD Avis Avis de de la la Commission nationale pour pour la la protection des des données relatif relatif au au projet de de loi loi n° n° 8331 portant portant modification de de la la loi loi modifiée modifiée du du 1er 1er août août 2018 2018 sur sur la la déclaration déclarationobligatoire obligatoirede decertaines ortainesmaladies maladiesdans dansle le cadre cadrede de la laprotection protectionde dela la santé publique u projet publique et et relatif relatif aau projet de de règlement règlement grand-ducal précisant précisant les les modalités modalités et et conditions onditions de de mise mise en en place place du du carnet de de vaccination électronique. électronique. 7/14 RGPD sont sont àà respecter, respecter, notamment que que le le consentement doit doit être être libre, libre, spécifique, éclairé éclairé et RGPD 18 18 univoque. univoque. Quantàà l’accès l'accèsaux aux données donnéesàà caractère caractèrepersonnel III. Quant
  4. D’après D'aprèsl'article l'article 3.1
  5. 1 du du projet projet de de règlement règlement grand-ducal, grand-ducal, le le carnet carnet digital digital est est accessible par par le le patient, le le prestataire prestataire de de soins, ainsi ainsi que que l’autorité l'autorité sanitaire sanitaire via via la la plateforme électronique électronique d’échange visée à e la d'échange et et de de partage partage de de données données de de santé santé visée à l’article l'article 60fer 60ter du du Code Code dde la sécurité sécurité sociale. De De même, ilil y est est indiqué indiquéque que le le prestataire de de soins soins peut peut « également également accéder accéder au au carnet de vaccination depuis depuis un un programme informatique conforme aux aux dispositions dispositions de de l’article l'article 11, 11, de paragraphe e son paragraphe
(2)
(2)et et de de l’article l'article 12, 12, àà l’exception l'exception dde son paragraphe paragraphe
(2),
(2), alinéa alinéa 4, 4, point point (b), (b), du du règlement e mise règlementgrand-ducal grand-ducalmodifié modifiédu du66 décembre décembre2019 2019précisant précisantles les modalités modalitéset etconditions conditionsdde mise en place place du du dossier dossier de de soins soins partagé. partagé.»» D’après D'après le le commentaire commentaire de de l’article l'article 3 du du projet projet de en règlementgrand-ducal, grand-ducal,('Agence l'AgenceeSanté eSantédoit doits'assurer s'assurerdans dansun untel tel cas casde defigure figureque quela laconnexion règlement envisagéegarantit garantit uun niveau de de sécurité sécuritéapproprié appropriéet et que que la la procédure procéduresur sur l'interopérabilité l'interopérabititédu envisagée n niveau programme informatique informatique visée visée àà l'article l'article 12 12 du du règlement règlement grand-ducal grand-ducal du du 6 décembre décembre 2019 programme précisantles les modalités modalités et et conditions de de mise mise en en place place du du dossier dossier de desoins soins partagé partagé est est àà appliquer. appliquer. précisant La CNPD CNPD rend rend attentif attentif les les auteurs auteurs du du projet projet de de règlement règlement grand-ducal grand-ducal aau fait que que le le règlement règlement La u fait grand-ducal précité précitédu du 6 décembre décembre2019 2019 prévoit prévoit les les modalités modalités de de sécurité sécuritéet et d’interopérabilité d'interopérabilité grand-ducal dans ses ses articles articles 10 10 et et 11 11 et et non non dans dans ses ses articles articles 11 11 et et 12 12 comme comme mentionné mentionné actuellement actuellement par par dans l'article e règlement t'article 3.1 3. 1 du du projet projet dde règlementgrand-ducal. 22. En ce ce qui qui concerne l’accès l'accès aux aux données données contenues dans dans le le carnet carnet digital digital et et sous sous réserve 22. En de ses ses commentaires au au point point 12 12 du du présent présent avis, la la CNPD CNPD constate que que le le futur futur article article 4bis 46/s
(6),
(6), de er deuxièmealinéa alinéa de de la la loi loi modifiée modifiée du du 11er août 2018 2018 sur sur la la déclaration déclaration obligatoire obligatoire de de certaines deuxième août prévoit que que l'autorité l'autorité sanitaire sanitaire peut peut accéder accéderàà des des données données pseudonymisées pseudonymisées pour pour toutes toutes maladies prévoit les huit huit finalités finalités énoncées énoncées aau
(2)dudit dudit article, tandis tandis qu'un qu'un accès accès aux aux données les u paragraphe
(2)nominatives nominatives n’est n'est limitativement limitativement prévu prévuque que pour pourtrois trois des des huit huit finalités. La CNPD CNPD se se permet dès dès lors lors de de rappeler rappeler qu'en qu'en pratique, pratique, la la pseudonymisation consiste consiste àà La remplacer remplacer les les données donnéesdirectement directementidentifiantes identifiantes(telle (telle que que le le nom, nom, prénom prénom ou ou l’adresse l'adresse exacte) d'un jeu de d'un jeu de données donnéespar par des des données donnéesindirectement indirectementidentifiantes identifiantescomme comme par par exemple exemple un un alias ou un un numéro numéro séquentiel. La La pseudonymisation permet permet ainsi ainsi de de traiter traiter les les données ou d'individus sans sans pouvoir pouvoir identifier identifier ceux-ci ceux-ci de de façon façon directe. Contrairement àà l’anonymisation, l'anonymisation, la d’individus pseudonymisation pseudonymisation est est une une opération opération réversible. IlIl est est dès dès lors lors possible possible d’identifier d'identifier indirectement indirectement une une personne personne si si l’on l'on dispose dispose d'informations supplémentaires. supplémentaires. Le considérant considérant
(26)
(26)du du RGPD RGPD précise précise dans dans ce ce contexte que que les les « données données àà caractère caractère personnel personnel Le qui qui ont ont fait fait l'objet l'objet d'une d'une pseudonymisation et et qui qui pourraient être être attribuées attribuées àà une une personne personne 18 18Voir Voirdéfinition définitiondu duconsentement consentementàà l’article l'article 4 point point11 1 1 du duRGPD, RGPD,ainsi ainsique que les les conditions conditionsapplicables applicablesau auconsentement prévues prévuesàà l’article l'article77 du duRGPD. RGPD. CNPD _ Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données Avis relatif relatif au au projet projet de de loi loi n° n° 8331 portant modification modification de de la la loi loi modifiée modifiée du du 1er 1eraoût août 2018 2018 sur sur la la déclaration obligatoire de de certaines maladies maladies dans dans le le cadre de de la la protection protection de de la la santé santé publique publiqueet et relatif relatifau auprojet projetde derèglement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions onditions de mise mise en en place place du ducarnet carnet de de vaccination vaccination électronique. de 8/14 8/14 physique par par le le recours recours àà des des informations informations supplémentaires devraient devraient être être considérées considérées comme comme des informations concernant une personne physique identifiable. Pour déterminer des concernant une physique identifiable. Pour déterminer si si une une personne physique n considération physique est est identifiable, ilil convient convient de de prendre een considération l'ensemble l'ensemble des des moyens moyens raisonnablement susceptibles d'être d'êtreutilisés utilisés parle parle responsable du du traitement ou ou par par toute toute autre autre personne pour pour identifier identifier la la personne physique directement directement ou ou indirectement, indirectement, tels tels que que le le ciblage. ciblage. Pour Pour établir établir si si des des moyens moyens sont sont raisonnablement raisonnablement susceptibles susceptibles d'être d'être utilisés utilisés pour identifier identifier une une personne personne physique, ilil convient convient de de prendre prendre en en considération considération l'ensemble l'ensemble des des facteurs objectifs, objectifs, tels tels que que le le coût coût de de l'identification l'identification et et le le temps temps nécessaire nécessaireàà celle-ci, celle-ci, en en tenant tenant compte des destechnologies technologies disponibles disponiblesau au moment moment du du traitement traitement et et de del'évolution révolutionde de celles-ci. »
  1. La
  2. La CNPD CNPD se se pose pose dès dès lors lors la la question qui qui sera sera en en charge charge de de la la pseudonymisation des données, et préalablement à quelle action. Alors que les données ne données, et préalablement à quelle action. Alors que les données ne peuvent peuvent en en principe principe être pseudonymisées qu'après qu'après leur leur enregistrement dans dans le le carnet carnet digital, digital, ilil ne ne ressort ressort pas pas des des textes textes sous avis à qui incomberait la tâche d e la pseudonymisation. Elle pourrait être effectuée par sous avis qui incomberait la tâche de la pseudonymisation. Elle pourrait être effectuée par un un « tiers e confiance », tiers dde », qui qui doit doit être être compris comme une une personne physique ou ou morale morale habilitée habilitée à e sécurité à effectuer effectuer des des opérations opérations dde sécurité juridique juridique dont dont des des services services de de pseudonymisation pseudonymisation ou d'anonymisation e compétence d'anonymisationet et qui quiprésente présentedes desgaranties garantiesd'indépendance, d'indépendance,dde compétenceet et ne nese setrouvant pas n situation pas een situation de de conflit conflit d'intérêts d'intérêts au au regard regard des des données données qu'il qu'il traite traite dans dans le le cadre cadre de de ses diverses activités. diverses
  3. Elle
  4. Elle se se demande demande de de même même comment en en pratique ilil sera sera garanti garanti que que l’autorité l'autorité sanitaire sanitaire aura aura accès accès àà des des données données nominatives pour pour certaines finalités, finalités, tandis tandis qu’elle qu'elle pourra pourra uniquement uniquement accéder accéder àà des des données données pseudonymisées pseudonymisées pour pour d'autres d'autres finalités finalités et et qui qui devra devra s’assurer s'assurer que que cette limitation limitation soit soit respectée. respectée.
  5. La
  6. LaCNPD CNPDconstate constate avec avec satisfaction satisfactionque que l'article l'articte 4.1
  7. 1 du du projet projet de de règlement règlementgrand-ducal prévoit journalisation des n enregistrement prévoit un un système système de de journalisation des accès, accès, c'est-à-dire c'est-à-dire uun enregistrement des des données données d’identification e la u carnet d'identificationdde la personne personne qui qui a consulté consultéou ou enregistré enregistréune une ou ou plusieurs plusieurs données donnéesaau digital, digital, ainsi ainsi que que le le contexte contexte de de son son intervention. intervention. Selon Selon ledit ledit article, article, les les « données données de journalisation suivent suivent le le même même cycle cycle de de vie vie que que les les données données auxquelles elles elles se se rapportent rapportent », », c'est-à-dire que la durée de conservation des logs est la même que celle des données du carnet c'est-à-dire que la durée de des logs est la même que celle des données du 19 er digital. Comme e la août digital.19 Comme le le futur futur article article 4b/s 4bis
(8)
(8)dde la loi loi modifiée modifiéedu du 11er août 2018 2018 sur sur la la déclaration obligatoire de certaines maladies prévoit que les données contenues dans le carnet obligatoire de certaines maladies prévoit que les donnéescontenues dans le carnetdigital digital sont sauvegardées pendant pendant trente ans ans suite suite àà leur leur encodage par par le le prestataire de de soins, ilil en en ressort ressort que les données de journalisation seraient conservées aussi pendant trente ans. que les données de seraient aussi pendant ans. 26. Néanmoins, e journalisation peuvent être 26. Néanmoins, alors alors que que les les fichiers fichiers dde être considérés considérés comme un un élément servant à remplir l'obligation de sécurité découlant de l'article 32 du RGPD en évitant élément servant à de sécurité découlant de 32 du RGPD en des des accès accès non-autorisés non-autorisés aux aux données données àà caractère caractère personnel, personnel, les les données données de de ces ces fichiers permettant permettant d’identifier d'identifier des des personnes personnes ne ne doivent, doivent, comme comme toutes toutes les les données données àà caractère caractère 19 19Voir Voircommentaire ommentaire des desarticles articlesdu duprojet projet de derèglement règlementgrand-ducal, grand-ducal,ad ad article article4. CNPDl CNPD Avis de Avis de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif u 1er relatifau au projet projet de de loi loi n° n° 8331 8331 portant portant modification modificationde de la la loi loi modifiée modifiéeddu 1eraoût août2018 2018sur sur la déclaration obligatoire de de certaines maladies maladies dans dans le le cadre cadre de de la la protection protection de de la la santé publique publiqueet et relatif relatif au au projet projet de de règlement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions de demise mise en en place place du du carnet carnet de de vaccination vaccinationélectronique. 9/14 personnel, pas pas être être conservées sous sous une une forme forme permettant permettant l'identification des des personnes personnes personnel, concernées pendant pendant une une durée durée excédant excédant celle celle nécessaire nécessaire aau regard des des finalités finalités pour pour lesquelles lesquelles concernées u regard elles sont sont traitées traitéesconformément conformémentàà l’article l'article 5.1.
  1. e)5. 1.
  2. e)ddu elles u RGPD. 27. Les Lesfichiers fichiersde dejournalisation peuventaussi aussiavoir avoircomme commefinalité finalitéd'assurer d'assurerle ledroit droitd’accès d'accès 27. journalisation peuvent de la la personne concernée concernée àà des des données données àà caractère caractère personnel personnel la la concernant, et et plus plus de particulièrement particulièrementaux aux données donnéesrelatives relatives aux aux destinataires destinataires des des données donnéesconformément conformémentàà l'article 15. 1.
  3. e)du du RGPD. RGPD. E En particulier, ils ils peuvent avoir avoir comme finalité finalité de de permettre permettre de de retracer retracer qui a 15.1.
  4. c)n particulier, accès à à des des données à à caractère personnel. personnel. eu accès Pour Pour ce ce type type de de fichiers fichiers de de journalisation, un un des des critères critères àà prendre en en considération est est en en effet la durée durée de de conservation conservation des des données donnéesauxquelles auxquelles les les données donnéesdes des fichiers fichiers de de journalisation la journalisation se rapportent,c’est-à-dire c'est-à-direles lesdonnées donnéesdont dontles lescommunications communicationsàà d’autres d'autrespersonnes personnessont sontretracées rapportent, par journalisation en parles les fichiers fichiers de de journalisation en question. Or, Or, la la Cour Cour de de justice de de l’Union l'Union européenne européenne a estimé estimé que que «« la la durée durée de de conservation des données données de de base base peut peut constituer constituer un un paramètre utile utile sans sans toutefois toutefois être être déterminant déterminant ». ». Par elle a décidé décidé qu’ qu' « une une réglementation limitant limitant la la conservation conservation de de l'information l'information sur sur les les ailleurs, elle destinataires ou les catégories de destinataires des données et le contenu des données destinataires ou les catégories de destinataires des données et le contenu des données une durée durée d’un d'un an an et et limitant limitant corrélativement l'accès /'accès à à cette cette information, information, alors alors que transmises àà une tes données de base sont conservées beaucoup plus longtemps, ne saurait constituer un juste les données de base sont beaucoup plus longtemps, ne saurait un juste équilibre équilibre des des intérêts intérêts et et obligations obligations en en cause, cause, àà moins moins qu’il qu'il ne ne soit soit démontré démontré qu'une qu'une conservation conservation p/us longue de de cette cette information information constituerait une une charge charge excessive excessive pour pour le le responsable responsable du plus longue traitement». 20 traitement ».20 28. Sur base base de de ce ce qui qui précède, précède, la la CNPD CNPD se se permet permet de de rappeler rappeler sa sa recommandation recommandation de 28. Sur les fichiers fichiers de de journalisation pendant pendant une une période période de de cinq cinq ans, ans, alors alors que que ce ce délai conserver les correspond correspond également également au au délai délai de de prescription prescription en en matière matière délictuelle délictuelle (comme (comme par par exemple exemple la la violation du du secret secret professionnel sanctionnée sanctionnée par par l'article 458 458 du du Code Code pénal), pénal), sauf sauf lorsqu'une lorsqu'une procédure procédurede de contrôle contrôle est est en en cours. 29. Finalement, 29. Finalement, elle elle constate constate que que le le commentaire commentaire des des articles articles du du projet projet de de loi loi prévoit prévoitce ce qui suit:: « Concernant Concernant les les données données pseudonymisées pseudonymisées et et notamment notamment dans dans le le cadre cadre du du suivi suivi et et de suit l'évaluationde dela la couverture couverturevaccinale vaccinalede del’effectivité l'effectivitédes desvaccins vaccinsrecommandés recommandéspar parl’Etat, l'Etat, l'accès /'accès l’évaluation devrait devrait permettre un un croisement avec avec d’autres d'autres sources sources de de données, données, par par exemple sociosociodémographique, afin afin d’obtenir d'obtenir les les résultats résultats les les plus plus pertinents permettant de de prendre les les mesures mesures qui qui s’imposeraient s'imposeraient en en vue vue de de protéger protéger les les populations les les plus plus vulnérables. » Sans Sans précisions précisions supplémentaires, la la Commission Commission nationale nationale se se demande demande dès dès lors lors quelles quelles sont sont ces ces «« autres supplémentaires, sources de de données données», », d'une d'une part, part, et et si si des des croisements croisements avec avec des des données données àà caractère caractère sources personnel contenues dans d’autres fichiers étatiques sont prévues, d’autre part. dans d'autres fichiers étatiques sont d'autre part. 20 20CJUE, CJUE, arrêt arrêt du du 7 mai mai 2009, C-553/07, EU:C:2009:293, EU:C:2009:293, points points 58 58 et et 66. 66. CNPDl ’ CNPD] Avis Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données données relatif u 1er relatif au au projet projet de de loi loi n° n° 8331 portant modification modification de de la la loi loi modifiée modifiée ddu 1er août août 2018 2018 sur sur la la déclaration obligatoire de de certaines ortaines maladies dans dans le le cadre cadre de de la la protection protection de de la la santé publique publiqueet et relatif relatifau au projet projet de de règlement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions onditions de de mise mise en en place place du du carnet carnet de de vaccination vaccinationélectronique. 10/14 10/14 IV. IV. Quant Quant au au droit d’opposition d'opposition er 30. IlIl ressort 30. ressort du du futur futur article article 4ô/s 4bis
(7)
(7)de de la la loi loi modifiée modifiée du du 11er août août 2018 2018 sur sur la la déclaration obligatoire de de certaines maladies maladies que que ni ni les les patients, ni ni les les prestataires de de soins soins ne ne peuvent peuvent s’opposer à l’enregistrement de leurs données dans le carnet digital, d’une part, et qu’ils s'opposer à l'enregistrement de leurs données dans le carnet digital, d'une part, et qu'ils sont informés informés de de cette cette limitation limitation avant avant le le premier premier enregistrement enregistrement de de leurs leurs données, données, d'autre d'autre part. part. er L’article 1
(2)du projet d e règlement grand-ducal énonce dans c e contexte qu’il revient L'article 1er
(2)du projet de règlement énonce dans ce qu'il revient au prestataire d e soins u patient, avant de soins de de fournir fournir aau avant la la création création de de son son carnet carnet digital, «« l'information l'information relative au traitement des données à caractère personnel et notamment à la limitation relative au traitement des données à caractère personnel et notamment à la limitation du du droit droit d’opposition d'opposition ». ». Le e l’article Lecommentaire commentairedde l'article2 du duprojet projetde deloi loi quant quantàà lui lui contient contientdes desjustifications justificationssur surla lanécessité nécessité de de limiter limiter le le droit droit d’opposition d'opposition des des personnes concernées concernées « afin afin de de pouvoir pouvoir réaliser réaliser les les finalités de de santé santépublique publique pour pour lesquelles lesquelles le le carnet carnet de de vaccination vaccination électronique électroniqueest est mis mis en en place place et et en particulier particulier en en vue vue de de déterminer déterminer le le taux taux de de couverture vaccinale ainsi ainsi que que pour pour assurer assurer la la traçabilité et gérer les stocks de vaccins distribués par l’Etat ». Il y est précisé aussi que c'est traçabilité et gérer les stocks de vaccins distribués par l'Etat ». Il y est préciséaussi que «« dans e la dans l’intérêt l'intérêtdde la santé santépublique publique de de limiter limiter le le droit droit individuel individuel des des personnes personnes àà s'opposer s'opposer àà l’enregistrement l'enregistrement de de leurs leurs données données àà caractère caractère personnel » et et qu’une qu'une telle telle «« mesure mesure s’avère s'avère nécessaire nécessaire et et proportionné car car sans sans cette dernière dernière le le bénéfice bénéfice du du carnet carnet [digital] [digital] ne ne pourra pourra être être réalisé». ». réalisé 31. La 31. La CNPD CNPD tient tient tout tout d’abord d'abord àà souligner souligner que que par par principe, toute personne personne concernée concernée dispose du droit de s'opposer « à tout moment, pour des raisons tenant à sa situation particulière, du droit de à tout pour des raisons tenant à sa particulière, à l'article 6, a un un traitement des des données données àà caractère caractère personnel la la concernant concernant fondé fondésur surl'article 6, paragraphe paragraphe 1, 1, point point
  1. e)
  2. e)ou ou f), f), yy compris compris un un profilage profilage fondé fondésur sur ces ces dispositions dispositions »» conformément conformémentàà l’article l'article 21 21 du du RGPD. RGPD. Dans Dans ce ce cas, « le le responsable du du traitement ne ne traite traite plus plus les les données données àà caractère personnel, àà moins moins qu'il qu'il ne ne démontre démontre qu'il qu'il existe existe des des motifs motifs légitimes légitimes et et impérieux impérieux pour pour le le traitement qui qui prévalent prévalent sur sur les les intérêts intérêts et et les les droits droits et et libertés libertés de dela la personne concernée, ou ou pour 21 la la constatation, constatation, l'exercice l'exerciceou ou la la défense défensede dedroits droitsen en justice. justice. »»21 32. Des 32. Des limitations limitations àà la la portée portée dudit dudit droit droit peuvent peuvent être être prévues prévues par par le le droit droit de de l’Union l'Union européenne ou ou le le droit droit d’un d'un Etat Etat membre par par voie voie de de mesure législative législative sur sur base base de de l’article l'article 23 er du du RGPD. RGPD. Or, Or, ledit ledit article article prévoit prévoit en en son son paragraphe 11erque que les les droits droits de de la la personne concernée concernée peuvent peuvent être être limités limités lorsqu'une lorsqu'une telle telle limitation limitation respecte respecte l'essence l'essence des des libertés libertés et et droits 21 21Voir Voirarticle article21.1, 21. 1, deuxième deuxièmephrase phrasedu du RGPD. CNPDl CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatif au au projet projet de de loi loi n° n° 8331 8331 portant portant modification modificationde de la la loi loi modifiée modifiéedu du1er 1eraoût août2018 2018sur sur la déclaration obligatoire de de certaines maladies maladies dans dans le le cadre cadre de de la la protection protection de de la la santé publique publique et et relatif relatifau au projet projet de de règlement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions onditions de de mise mise en en place place du du carnet carnetde de vaccination vaccinationélectronique. 11/14 11/14 fondamentaux et et qu'elle qu'elle constitue constitue une une mesure mesure nécessaire nécessaire et et proportionnée proportionnée dans dans une une société société fondamentaux pour garantir garantir les les objectifs objectifs énumérés énumérésdans dans ce ce paragraphe. paragraphe. démocratique pour Par e soulever que Par ailleurs, ilil y a lieu lieu dde que lorsqu’une lorsqu'une telle restriction aux aux droits droits des des personnes est prévue par par une une mesure législative, elle elle doit doit contenir contenir des des dispositions spécifiques spécifiques relatives relatives aux prévue 22 informations énumérées énuméréesau au paragraphe paragraphe 2 de de l’article l'article 23 23 du du RGPD. RGPD. 22 informations 33. donc lieu lieu de de vérifier vérifier la la conformité conformité de de la la limitation du du droit droit d’opposition d'opposition prévue prévue par par le le 33. IlIl y a donc er futur article article 4b/s 46/s
(7)
(7)dde la loi loi modifiée modifiée du du 11CTaoût août 2018 2018 sur sur la la déclaration obligatoire dde certaines futur e la e certaines maladies maladies avec avec les les exigences exigences précitées précitées de de l’article l'article 23 23 du du RGPD. RGPD. 34. Le CEPD CEPD a clarifié clarifié que que la la Cour Cour dde de l'Union l'Union européenne européenne et et la la Cour Cour européenne européenne 34. Le e justice de des droits droits de de l'homme exigent exigent que que « les /es mesures législatives législatives qui qui visent visent àà limiter limiter l’étendue retendue des des des droits droits des des personnes concernées concernées ou ou des des obligations obligations du du responsable du du traitement traitement soient 23 prévisiblespour pourles les personnes personnesconcernées.» concernées.»23 De même, même,l'analyse l'analyseet et le le constat constatdde nécessitéet prévisibles De e nécessité de de proportionnalité d'une d'une limitation sur sur base base d'une d'une mesure mesure législative législative devraient devraient être être effectués effectués par par le le législateur avant avant qu’il qu'il décide décide de de prévoir prévoir une une restriction. restriction. 24 24 Par Par ailleurs, «« [l]e [l]e lien lien entre entre les les limitations limitations prévues prévues et et l'objectif l'objectif poursuivi poursuivi devrait devrait être être clairement clairement 25 indiquédans dansla la mesure mesurelégislative.» législative.»25.Ce lien doit doit donc doncyy être êtreexpressément expressémentprécisé. précisé. indiqué .Ce lien 35. La CNPD CNPD note note que que d'après d'après les les auteurs du du projet projet de de loi loi et et leur leur commentaire des des articles, articles, 35. La la mesure mesure de de limitation limitation du du droit droit d'opposition d'opposition des des personnes personnes concernées concernées constitue constitue une une mesure mesure la nécessaire et et proportionnée afin afin de de garantir garantir la la réalisation réalisation des des finalités finalités de de santé santé publique pour pour nécessaire le carnet carnet digital digital est est mis mis en en place, en en particulier la la détermination du du taux taux de de couverture couverture lesquelles le vaccinale, ainsi ainsi que que la la traçabilité traçabilitéet et la la gestion gestion des des stocks stocks de de vaccins vaccins distribués distribuéspar par l'Etat. t'Etat. Elle Elle vaccinale, dès lors lors que que ladite ladite limitation pourrait pourrait viser viser àà garantir garantir un un objectif objectif important important d’intérêt d'intérêt comprend dès publicdans dansle le domaine domainede dela la santé santépublique publiqueconformément conformémentàà l’article l'article23.1.
  1. e)23. 1.
  2. e)du duRGPD. RGPD. public Or, la la Commission Commission nationale nationale constate constate que que les les explications explications àà cce sujet dans dans le le commentaire commentaire des Or, e sujet articles du du projet projet de de loi loi ne ne sont sont pas pas suffisantes, car car elles elles ne ne se se trouvent pas pas dans dans le le projet projet de de loi loi articles lui-même et et ne ne permettront pas pas àà la la personne concernée concernée de de comprendre le le lien lien entre la la limitation limitation lui-même du e la du droit droit d’opposition d'opposition et et la la sauvegarde des des intérêts intérêts publics publics dans dans le le domaine domaine dde la santé santé publique publique 22 finalités du 22IIII s'agit s'agit des des finalités du traitement ;; des des catégories de de données données à caractère caractère personnel; de de l'étendue retendue des des limitations limitations introduites;; des des garanties garanties destinées destinées àà prévenir prévenir les les abus abus oou l'accès ou ou le le transfert transfert illicites; illicites; la la détermination détermination du introduites u l'accès responsable responsable du du traitement; traitement; les les durées durées de de conservation conservation et et les les garanties garanties applicables applicables;; les les risques risques pour pour les les droits droits et libertés libertés des des personnes concernées et et le le droit droit des des personnes concernées oncernées d’être d'être informées informées de de la la limitation, limitation, àà moins moins que cela cela risque risque de de nuire nuire à à la la finalité finalitéde de la la limitation. 23 23Lignes Lignes directrices du du CEPD CEPD concernant les les limitations limitations au au titre titre de de l'article l'article 23 23 du du RGPD, RGPD, point point 17. 17. 24Lignes Lignes directrices du du CEPD CEPD concernant les les limitations limitations au au titre titre de de l'article l'article 23 23 du du RGPD, RGPD, point point 40. 25 25Lignes Lignes directrices du du CEPD CEPD concernant les les limitations au au titre titre de de l’article l'article 23 23 du du RGPD, RGPD, point point 21. 24 CNPD " CNPD Avis de Avis de la la Commission Commission nationale nationalepour pour la la protection protection des des données données relatif relatif au au projet projet de de loi loi n° n° 8331 portant portant modification modification de de la la loi loi modifiée modifiée du du 1er 1er août août 2018 2018 sur sur la la déclaration obligatoire de de certaines maladies dans dans le le cadre cadre de de la la protection de de la la santé publique publique et et relatif relatifau au projet projet de derèglement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions de mise mise en enplace place du du carnet carnet de de vaccination vaccination électronique. de 12/14 12/14 une n particulier, unefois foisle letexte texteadopté. adopté.EEn particulier,ilil y a lieu lieude depréciser préciserdans dansle letexte textedu duprojet projetde deloi loi comment la limitation du droit d’opposition contribuerait à garantir la santé publique. Conformément la limitation du droit d'opposition contribuerait à garantir la santé publique. Conformément au considérant e la considérant8 du du RGPD, RGPD, la la raison raison dde la limitation limitation devrait devrait en en effet effet être êtrecompréhensible compréhensiblepour pour les les personnes personnes auxquelles auxquellescette cette limitation limitation s'applique. 26 36. E n ce , ilil s'agit En ce qui qui concerne les les finalités finalités du du traitement traitement26, s'agit de de préciser préciser pourquoi pourquoi le le droit d’opposition d'opposition de de la la personne personne concernée concernée est est limité limité (et (et pas pas les les finalités finalités du du traitement traitement opéré opéré en général). général). La La disposition sous sous revue doit doit être être compréhensible pour pour les les personnes auxquelles elle elle s'applique, e comment s'applique, ce ce qui qui implique implique une une compréhension compréhension claire claire dde comment et et quand quand la la limitation limitation s'applique. s'applique. De De même, même, l'article l'article 23.2.
  3. g)23.2.
  4. g)du du RGPD RGPDexige exigeque que la la mesure mesure législative législativetienne tienne compte compte des des risques que les limitations font peser sur les droits et libertés de la personne concernée. Il s'agit que les limitations font peser sur les droits et libertés de la personne concernée. Il s'agit d’une d'une précision précisiontextuelle textuelle législative législativetrès très importante, importante, qui qui contribue contribueàà l'évaluation l'évaluationde de la la nécessité nécessitéet et de de la proportionnalité des des limitations. limitations. proportionnalité Des Des précisions précisionssur sur ces ces deux deux points points devraient devraient dès dèslors lors être être intégrées intégréesdans dans le le corps corps du du texte texte du projet projet de de loi. loi. 37. Finalement, 37. Finalement, le le CEPD CEPD est est d’avis d'avis qu’« qu'« une une exclusion générale générale des des droits droits des des personnes personnes concernées à l'égard de l’ensemble ou de certaines opérations d e traitement de données concernées à l'égard de l'ensemble ou de certaines opérations de de données ou ou à l’égard l'égardde decertains certainsresponsables responsablesdu dutraitement traitementne nerespecterait respecteraitpas pasl'essence /'essencedu dudroit droitfondamental 27 à la protection des données à caractère personnel tel qu'il est consacré parla Charte à la des données à caractère tel qu'il est consacré parla Charte ». ». 27 L’homologue e la L'homologue français français dde la CNPD, CNPD, la la Commission Commission nationale nationale de de l'informatique l'informatique et et des des libertés (CNIL), a également estimé que « [l]es limitations prévues par le droit doivent (CNIL), également estimé que « [l]es limitations prévues par le droit doivent donc donc être proportionnées et et ne ne pas pas aboutir aboutir àà remettre en en cause cause de de façon façon générale généraleles les droits droits garantis garantis par par le le RGPD. À cet égard, devraient ainsi être proscrites : RGPD. A cet égard, devraient ainsi être proscrites : - l'exclusion, l'exclusion, pour pour un un même même traitement, de de l’ensemble l'ensemble des des droits droits prévus prévus par par le le RGPD RGPD - tout tout comme comme l’exclusion l'exclusion générale généraledu du droit droit d’opposition d'opposition pour pour tous tous les les traitements traitements mis mis en 28 œuvre ouvre par par une une collectivité collectivité publique. »»28 38. La 38. La Commission nationale ne ne peut peut que que se se rallier rallier àà ces ces constats. Dès Dès lors, ilil est est primordial primordial que tous les autres droits conférés aux personnes concernées par les articles 12 à 20 22 du que tous les droits conférés aux concernées par les articles 12 à 20 et et22 RGPD RGPD soient soient pleinement respectés respectés par par les les différents différents responsables du du traitement en en cause, c’estc'est26 26Prévu Prévupar parl'article l'article23.2. 23.2. point pointa)
  5. a)du du RGPD. 27Lignes Lignes directrices directrices du du CEPD CEPD concernant les les limitations limitations au au titre titre de de l’article l'article 23 23 du du RGPD, RGPD, point point 14. 14. 28 er 28 Article Article de de la la CNIL CNIL «« Droit Droit d'opposition d'opposition :: les les conditions conditions de de dérogation dérogation en en vertu vertu de de l’article l'article 23 23 du du RGPD RGPD » du du 11erjuin juin 27 2023, disponible sous :: «« https://www.cnil.fr/fr/droit-dopposition-les-conditions-de-deroqation-en-vertu-de-larticle-23httDS://www. cnil. fr/fr/droit-doDpositJon-les-onditions-de-deroaation-en-vertu-de-larticle-23du-rqpd. CNPD i— -J Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatif au au projet projet de de loi loi n° n° 8331 8331 portant portant modification modificationde de la la loi loi modifiée modifiéedu du 1er 1eraoût août2018 2018sur sur la la déclaration obligatoire de de certaines ortaines maladies maladies dans dans le le cadre cadre de de la la protection de de la la santé publique publique et et relatif relatif au au projet projet de de règlement règlementgrand-ducal grand-ducalprécisant précisantles les modalités modalitéset et conditions onditions de de mise mise en en place place du du carnet carnet de de vaccination vaccinationélectronique. 13/14 13/14 à-direpar par l’Agence l'Agence eSanté, eSanté,l’autorité l'autoritésanitaire, sanitaire, ainsi ainsi que que les les différents différentsprestataires prestataires de de soins soins de à-dire santé. Par Parailleurs, ailleurs, la la limitation limitation du du droit droit d’opposition d'opposition ne ne peut peut uniquement uniquement viser viser les les traitements traitements de santé. données àà caractère caractère personnel personnel mis mis en en œuvre ouvre àà travers le le carnet carnet digital digital et et en en aucun aucun cas cas d'autres d'autres données traitements opérés opéréspar par lesdits lesdits responsables responsables du du traitement. traitements Ainsi adopté adoptéàà Belvaux Belvauxen en date date du du 23 23 février février2024. Ainsi La Commission nationale pour la protection des données rw^ Tine A. Larsen Thierry Lallemang Marc Lemmer Présidente Commissaire Commissaire CNPD Herrmann Alain Herrmann Commissaire Commissaire Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatif au au projet de de loi loi n° n° 8331 portant portant modification modification de de la la loi loi modifiée modifiée du du 1er 1er août août 2018 2018 sur sur la la déclaration obligatoire de de certaines ortaines maladies maladies dans dans le le cadre cadre de de la la protection de de la la santé publique et et relatif relatif au au projet de de règlement règlement grand-ducal précisant précisant les les modalités modalités et et conditions onditions de mise mise en enplace place du du carnet carnet de de vaccination vaccination électronique. de 14/14 14/14

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.