Loi du 19 juin 2013 relative à l’identification des personnes physiques, article 10 ; V. règlement grand-ducal du 28 novembre 2013 fixant les modalité

Avis de la Commission nationale pour la protection des données relatif au projet d’amendement au projet de loi n°8310 relative à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat Délibération n°33/AV7/2026 du 23 avril 2026 1. Conformément à l’article 57.1.

1. c)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L’article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». 2. Par courrier en date du 13 octobre 2025, Monsieur le Ministre du Logement et de l’Aménagement du territoire a invité la Commission nationale à se prononcer sur le projet d'amendement au projet de loi n°8310 relatif à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l'organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat qui ont été approuvés par le Conseil de Gouvernement dans sa séance du 24 juillet 2025, respectivement dans sa séance du 3 septembre 2025 (ci-après les « amendements » et le « projet de règlement grand-ducal »). 3. Selon l’exposé des motifs, le projet de loi vise à donner une assise légale à l’Observatoire de l’habitat (ci-après l'« Observatoire ») sous l’autorité du ministre ayant le Logement dans ses attributions (ci-après le « ministre »). Le projet de loi vise notamment à préciser les missions de CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l'habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 1/12 ('Observatoire qui consistent en la collecte, la centralisation et la gestion de données concernant le logement, l’analyse des données et des informations collectées, la diffusion des données et des analyses effectuées 1 . Le projet de loi vise également à encadrer le traitement des données à caractère personnel en précisant notamment la condition de licéité relative aux traitements de données à caractère personnel entrepris dans le cadre de l'Observatoire de l’habitat 2 . Enfin, les auteurs du projet de loi entendent formaliser la collaboration entre le ministère du Logement dans ses attributions avec divers acteurs3. 4. Les amendements parlementaires visent principalement à donner suite aux oppositions formelles émises par le Conseil d’Etat dans son avis du 10 décembre 2024 4 . Le Conseil d’Etat a rendu un avis complémentaire en date du 24 février 2026 5. 5. Le projet de règlement grand-ducal vise quant à lui à définir la composition, les missions et les modalités de fonctionnement du comité d’accompagnement 6 . Selon l’exposé des motifs, le comité d’accompagnement permet de poursuivre de façon systématique les échanges au regard des méthodes scientifiques et du traitement des données sur base desquelles les chercheurs de l’Observatoire progressent dans leurs études. 6. La CNPD n'a pas pu identifier de questions relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement de données à caractère personnel dans le projet de règlement grand-ducal. Dès lors, elle n’estime pas nécessaire de rendre un avis sur le projet de règlement grand-ducal susmentionné. 7. La Commission nationale formulera ci-après ses remarques quant aux dispositions du projet de loi qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. Après quelques remarques liminaires, elle analysera successivement les différentes dispositions du projet de loi pour exprimer ses recommandations. 1 V. exposé des motifs du projet de loi, page 2. Ibid. 3 Ibid. 4 V. avis du Conseil d'Etat du 10 décembre 2024 relatif à l’Observatoire de l’habitat, doc. pari. n° 8310/03. 5 V. avis complémentaire du Conseil d'Etat du 24 février 2026, doc. pari. n° 8310/07. 6 V. article 1, alinéa 7 du projet de loi tel qu’amendé. 2 CNPD ■— — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l'Observatoire de l'habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l’habitat 2/12 I. Remarques liminaires A. Quant à la condition de licéité du traitement de données à caractère personnel 8. Le commentaire de l’article 1 er du projet de loi précise notamment que « [l]es travaux de /'Observatoire de l'habitat se concentrent sur la planification et l'évaluation des politiques relatives au logement et à l’habitat au Luxembourg » et que « [p]our mener à bien cette mission, il est crucial de collecter et d’utiliser des données pertinentes relatives notamment aux prix annoncés des logements, au potentiel foncier ou encore à l’offre de logement ». 9. Il ressort de l’exposé des motifs que les auteurs du projet de loi considèrent qu'« [i]l est évident que les traitements en question ont lieu dans un « intérêt public » ». Ils y précisent que, conformément à l’article 6.1
2. e)du RGPD, « il est possible de recourir à une « mission d’intérêt public » comme base de licéité de traitement si cette mission a une base légale dans le droit de /'Union européenne ou dans le droit national. Le présent projet de loi a pour objet de préciser cette base légale ». 10. Dans son avis complémentaire sur le projet de loi portant création d’un Observatoire de la culture, le Conseil d’État avait toutefois relevé que « l'inscription explicite de la qualification d'« intérêt public » dans la loi est superfétatoire. Le caractère d’intérêt public découle en l’espèce à suffisance des missions légales confiées à /'Observatoire, conformément aux exigences de précision prescrites par le règlement (UE) 2016/679 précité. Tenant compte de ce qui précède, l'insertion proposée revêt une valeur purement déclarative, sans plus-value normative, de sorte que l'amendement sous examen est à omettre dans son intégralité »7. En l'espèce, la Commission nationale comprend que la mission d’intérêt public de l'Observatoire découle de ses missions précisées à l’article 1 er du projet de loi, de sorte qu’elle se rallie aux observations du Conseil d’Etat 8. B. Quant à la qualification des responsabilités 11. La notion de responsable du traitement joue un rôle capital dans l'application du RGPD dans la mesure où elle détermine qui est responsable du respect des différentes règles en matière de protection des données ainsi que la manière dont les personnes concernées peuvent exercer 7 V. avis complémentaire du Conseil d'Etat du 7 octobre 2025 sur le projet de loi portant création d'un Observatoire de la culture, doc. pari. n°8410/04, page 1. 8 Ibid. ' CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l'habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 3/12 leurs droits 9. Dès lors, il est important de pouvoir identifier correctement quelle entité est responsable du traitement des données. 12. Conformément à l’article 4.7) du RGPD, le responsable du traitement est « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de /'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de /'Union ou par le droit d'un État membre » 10 . L'article 4 du projet de loi désigne le ministre comme responsable du traitement des données à caractère personnel nécessaire pour autant que les données soient traitées pour remplir la mission de l’Observatoire. 13. L'article 4.8) du RGPD définit le sous-traitant comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». D’après les articles 2 et 4 du projet de loi, les centres de recherches publics régis par la loi modifiée du 3 décembre 2014 ayant pour objet l'organisation des centres de recherche publics agissent en tant que sous-traitant. 14. Si l’article 4 du projet de loi dispose notamment que « [l]es conditions de la sous-traitance sont définies dans la convention de partenariat de recherche », il convient également de souligner que la convention de partenariat de recherche devra être conforme aux dispositions de l'article 28 du RGPD. 15. En outre, l'article 32 du RGPD dispose que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. 16. La CNPD constate toutefois que le commentaire de l’article 4 du projet de loi précise qu’« [...] il est plausible que le Ministère du logement ne soit pas le seul responsable des traitements liés à 9 V. en ce sens : Comité européen de la protection des données (CEPD), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, p. 3., disponibles sous : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-andprocessor-gdpr_fr 10 Ibid., le point 22 des lignes directrices dispose notamment qu'« [a]lors que l'article 4. paragraphe 7, ne fait référence qu’au « responsable du traitement » au singulier, le comité européen de la protection des données est d'avis que le droit de /'Union ou le droit d'un État membre peut aussi désigner plus d'un responsable du traitement, voire des responsables conjoints du traitement ». CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 4/12 /'Observatoire de l'habitat mais qu’il l'est conjointement avec le Centre de recherche public » et que « [p]our satisfaire ces exigences, les conditions de la responsabilité conjointe seront définies dans la convention de partenariat de recherche entre l'Etat et le USER et seront mises à disposition des personnes concernées, ces dernières auront ainsi la possibilité de contacter soit le ministère ayant le Logement dans ses attributions soit le centre de recherche public pour obtenir ces informations ». 17. À cet égard, la notion de responsabilité conjointe, prévue à l'article 26.1 du RGPD, correspond à l'hypothèse où deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement. Ainsi, les responsables conjoints du traitement des données « définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du [RGPD], notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d'accord entre eux sauf si, et dans la mesure où, leurs obligation respectives sont définies par le droit de /'Union ou par le droit de l'État membre auquel les responsables du traitement sont soumis ». 18. Il est encore à noter que les lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD soulignent que « [l]es notions de responsable du traitement et de sous-traitant sont des concepts fonctionnels : ils visent à répartir les responsabilités en fonction des rôles réels des parties. Cela implique que le statut juridique d’un acteur en tant que « responsable du traitement » ou « sous-traitant » doit, en principe, être déterminé par ses activités réelles dans un cas particulier, plutôt que par la désignation formelle d'un acteur en tant que « responsable du traitement » ou « sous-traitant » [ . . . ] »". Ainsi, la qualification de la responsabilité repose sur une analyse factuelle plutôt que formelle 12. 19. La CNPD constate que l’article 4 du projet de loi envisage uniquement les centres de recherches publics comme sous-traitants et non comme responsables conjoints du traitement. En l'absence de contrôle découlant de dispositions légales, les lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD soulignent notamment que « la désignation d’une partie comme responsable du traitement doit être établie en se fondant sur une appréciation des circonstances factuelles dans lesquelles s'inscrit le traitement. Toutes les circonstances factuelles pertinentes doivent être prises en considération pour déterminer si une entité donnée exerce une influence déterminante sur le traitement de données à caractère 11 Ibid., point 12 Ibid., point 52, s'agissant de la responsabilité conjointe du traitement, les lignes directrices précisent également que cette qualification, «[...] devrait être appréciée sur la base d’une analyse factuelle plutôt que formelle de l’influence réelle exercée sur les finalités et les moyens du traitement ». 12 ’ CNPD —- Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 5/12 personnel en question »13 et que « [l]a nécessité d'une appréciation factuelle signifie également que le rôle du responsable du traitement ne découle pas de la nature de l'entité qui traite les données, mais de ses activités concrètes dans un contexte précis. En d'autres termes, la même entité peut agir à la fois comme responsable du traitement pour certaines opérations de traitement et comme sous-traitant pour d'autres, et la qualité de responsable du traitement ou de soustraitant doit être appréciée au regard de chaque activité spécifique de traitement de données » 14 . 20. Aussi, le comité européen de la protection des données précise en matière de sous-traitance que « tous les prestataires de services qui traitent des données à caractère personnel dans le cadre de la prestation d'un service ne sont pas des « sous-traitants » au sens du RGPD. Le rôle de sous-traitant ne découle pas de la nature de l’entité qui traite les données, mais de ses activités concrètes dans un contexte précis. En d'autres termes, la même entité peut agir à la fois comme responsable du traitement pour certaines opérations de traitement et comme sous-traitant pour d’autres, et la qualité de responsable du traitement ou de sous-traitant doit être appréciée au regard de chaque ensemble de données ou d'opérations de traitement. La nature du service déterminera si le traitement équivaut à un traitement de données à caractère personnel pour le compte du responsable du traitement au sens du RGPD » 15 . 21. Finalement, le comité européen de la protection des données relève également que « le contrôle peut être déduit d’une compétence juridique explicite, par exemple lorsque le responsable du traitement est désigné ou lorsque les critères spécifiques applicables à sa nomination sont déterminés par le droit de /'Union ou parle droit national »16 puisque l’article 4.7) du RGPD précité dispose notamment que «[...] lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de /'Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus parle droit de /'Union ou par le droit d’un État membre». Etant donné que, les finalités et les moyens du traitement de données sont déterminés par le texte de loi en projet, la CNPD estime que, au regard du commentaire de l’article 4 du projet de loi 17 , les responsables conjoints du traitement devraient être précisés au sein de l’article 4 du projet de loi. 22. Ainsi, la Commission nationale recommande aux auteurs du projet de loi d’apporter des précisions à l’article 4 quant à la qualification des centres de recherches publics en tant que 13 Ibid., point 25. Ibid., point 26. 15 Ibid., point 82. 16 Ibid., point 22. 17 Voir point 13 de la présente décision. 14 CNPD 1— — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l'Observatoire de l'habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 6/12 responsables conjoints du traitement, afin de refléter la réalité des activités exercées par les différents acteurs. II. Quant à la collecte des données par l’Observatoire (article 6 du projet de loi) A. Sur les acteurs et les modalités d’accès ou de transmission 23. L'article 6 du projet de loi amendé dispose que : « [...] les organismes du secteur public luxembourgeois au sens de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public et les personnes morales de droit privé actives dans le domaine du logement, transmettent ou donnent accès au ministre sur sa demande les informations et les données nécessaires à l'exécution de la mission de /'Observatoire dans le contexte de la présente loi ». S’agissant des acteurs concernés par la transmission des données, il y a lieu de s'interroger sur la portée de la notion vague de « personnes morales de droit privé actives dans le domaine du logement ». Tel que préconisé par la chambre de commerce dans ses avis relatifs au projet de loi sous avis, la CNPD recommande également aux auteurs du projet de loi de préciser davantage cette désignation, afin de délimiter le périmètre des entités tenues à transmission des données au ministre et ainsi de prévenir les interprétations extensives’8. 24. En ce qui concerne les modalités de transmission des données des entités visées à l’article 6, alinéa 1, du projet de loi tel qu’amendé 19 , il y a lieu de s’interroger comment la transmission ou l’accès détenu par les différentes entités serait concrètement effectué vers le ministre. La CNPD comprend que les organismes du secteur public luxembourgeois pourront mettre à disposition les données à destination de l’Observatoire selon les modalités prévues par la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public 20. 25. Néanmoins, la CNPD constate que les données détenues par « les personnes morales de droit privé actives dans le domaine du logement » n’entrent pas dans le champ d’application de la loi précitée 21. Ainsi, elle recommande aux auteurs du projet de loi d’apporter des précisions sur les modalités de transmissions des données à l’Observatoire concernant les organismes du secteur public luxembourgeois ainsi que pour les personnes morales de droit privé actives dans le domaine du logement. 18 V. avis de la Chambre de commerce du 1 er février 2024, doc. pari n° 8310/02, page 2 ; V. l'avis complémentaire de la Chambre de commerce du 5 janvier 2026, doc. pari n° 8310/05, page 4. 19 V. article 6 alinéa 1 du projet de loi tel qu’amendé. Les entités concernées sont « [...] les organismes du secteur public luxembourgeois au sens de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public et les personnes morales de droit privé actives dans le domaine du logement (...) ». 20 V. chapitre 2 intitulé « Demandes de réutilisation » et au chapitre 3 intitulé « Condition de réutilisation » de la loi 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. 21 V. article 1 de la loi 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 7/12 B. Sur l’anonymisation et la pseudonymisation des données 26. La CNPD note que le commentaire de l’article 5 de la version initiale du projet de loi précise notamment qu’« [i]l y a lieu de souligner que de nombreuses données collectées et utilisées dans le cadre de /'Observatoire ne sont pas des données à caractère personnel et que les données reçues des administrations et des tiers listés à l'article 6 alinéa 2 du présent projet de loi sont des données pseudonymisées ». 27. La CNPD se félicite des amendements effectués à l’article 6 alinéa 2 du projet de loi introduisant la possibilité d’une transmission de données anonymisées à l'Observatoire. Cette disposition telle qu'amendée, précise désormais que « [l]orsqu'une étude peut être réalisée à partir de données anonymisées, /'Observatoire demande la transmission des jeux de données sous forme anonymisée ». La notion de « données anonymisées » constitue « [...] des données anonymes qui concernaient auparavant une personne identifiable, mais ne permettent plus cette identification »22 . 28. Pour des précisions supplémentaires sur les notions relatives à la pseudonymisation 23 et à l’anonymisation des données à caractère personnel, la CNPD se permet de renvoyer à ses développements précédents dans son avis relatif au projet de loi n°8251 portant création d’un Observatoire digital de la mobilité (Délibération n°96/AV42/2023 du 10 novembre 2023 : Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8251 portant création d'un Observatoire digital de la mobilité) 24. 29. Comme la CNPD comprend que les données seront traitées par l’Observatoire à des fins de recherche scientifique 25, elle renvoie à ses développements précédents dans son avis relatif au projet de loi n°8079 concernant les garanties appropriées à mettre en œuvre au regard des dispositions de l'article 89.1 du RGPD et de celles relatives à l'article 65 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime 22 V. avis 05/2014 du groupe de travail « article 29 » sur la protection des données du 10 avril 2014, point 2.2.2, page 9, disponible sous : https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_fr.pdf 23 A toutes fins utiles, la CNPD renvoie également aux lignes directrices 01/2025 du Comité européen de la protection des données (CEPD) sur la pseudonymisation, disponibles sous : https://www.edpb.europa.eu/our-worktools/documents/public-consultations/2025/guidelines-012025-pseudonymisation_en 24 V. avis de la Commission nationale pour la protection des données du 10 novembre 2023 relatif au projet de loi n°8251 portant création d'un Observatoire digital de la mobilité, doc. pari n° 8251/02, points 25 à 27 et 29, pages 6 à 8. 25 V. le considérant 159 du RGPD qui dispose notamment que « [a]ux fins du présent règlement, le traitement de données à caractère personnel à des fins de recherche scientifique devrait être interprété au sens large et couvrir, par exemple, le développement et la démonstration de technologies, la recherche fondamentale, la recherche appliquée et la recherche financée par le secteur privé ». CNPD — Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l'habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 8/12 général sur la protection des données (Délibération n°48/AV27/2023 du 16 juin 2023 : Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8079 ayant pour objet l'organisation de l’enseignement supérieur et portant modification: 1° du Code du travail ; 2° de la loi modifiée du 28 octobre 2016 relative à la reconnaissance des qualifications professionnelles ; 3° de la loi modifiée du 27 juin 2018 ayant pour objet l'organisation de ('Université du Luxembourg ; 4° de la loi du 31 juillet 2020 portant organisation d'études spécialisées en médecine à l'Université du Luxembourg)26 . 30. Parmi les mesures listées par l’article 65 précité, on peut notamment retenir l’anonymisation ou la pseudonymisation (3°) ou encore le recours à un tiers de confiance fonctionnellement indépendant du responsable du traitement pour l'anonymisation ou la pseudonymisation des données (4°). C. Sur les durées de conservation des données 31. Selon l’article 5.1.
3. e)du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. 32. L’article 6 alinéa 4 du projet de loi tel qu’amendé dispose que « [l]'Observatoire anonymise ou détruit les jeux de données pseudonymisées au terme d'une durée de traitement ne dépassant pas les deux ans à compter de la fin de chaque étude réalisée par /'Observatoire pour laquelle ces données ont été traitées. ». La CNPD constate que la rédaction initiale de l’alinéa 4 de l’article 6 du projet de loi disposait que « [l]’Observatoire détruit les données à caractère personnel au terme d'une durée de traitement ne dépassant pas les deux ans après leur réception. ». Le commentaire de l’amendement 5 précise que « [l]a modification de l’alinéa 4 répond à la nécessité d'adapter le point de départ de la durée de conservation des données pseudonymisées. Dans la version initiale, la durée de deux ans courait à compter de la réception des données, ce qui pouvait s'avérer inadapté, notamment dans le cadre d'études longitudinales ou d’analyses s'étalant sur plusieurs années. En effet, l'analyse des données issues d'une enquête large portant sur différents aspects du logement au Luxembourg peut facilement prendre plus de deux ans. La nouvelle rédaction précise dès lors que ce délai commence à courir à la fin de l'étude pour laquelle les données ont été traitées, 26 V. avis de la Commission nationale pour la protection des données relatif au projet de loi n°8079 ayant pour objet l’organisation de l'enseignement supérieur et portant modification : 1° du Code du travail ; 2° de la loi modifiée du 28 octobre 2016 relative à la reconnaissance des qualifications professionnelles ; 3° de la loi modifiée du 27 juin 2018 ayant pour objet l’organisation de l’Université de Luxembourg ; 4° la loi du 31 juillet 2020 portant organisation d'études spécialisées en médecine à l’Université de Luxembourg, doc. pari. n° 8079/16, points 22, 24 et 25, pages 5 à 7. " CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 9/12 assurant ainsi que les données restent disponibles le temps nécessaire à l’accomplissement des missions de /'Observatoire. » La CNPD félicite les auteurs des amendements d’avoir prévu des durées de conservation des données précises ainsi que d’avoir pris en considération le fait que les activités de recherche de ('Observatoire puissent s'étendre sur plusieurs années et d’avoir adapté en conséquence le point de départ relatif à la durée de conservation des données à caractère personnel. III. Quant aux enquêtes menées par l’Observatoire (article 7 du projet de loi) 33. Les modalités d'accès et de transmission des données du Registre National des Personnes Physiques (ci-après « RNPP ») à l’Observatoire et aux centres de recherche public sont précisées par le règlement grand-ducal du 28 novembre 2013 fixant les modalités d’application de la loi du 19 juin 2013 relative à l’identification des personnes physiques 27 . 34. La CNPD relève que l’alinéa 2de l'article 7 du projet de loi tel qu’amendé conditionne l'accès aux données du RNPP par les centres de recherches publics « sous réserve de garanties suffisantes concernant la protection des données et, en particulier, une séparation fonctionnelle entre les personnes prenant le contact avec les personnes concernées aux fins de l’enquête et les personnes effectuant l’analyse des données de ces personnes». 35. S’il y a lieu de féliciter les auteurs du projet de loi d’avoir précisé ces mesures organisationnelles, la CNPD considère toutefois que le terme « garanties suffisantes » est relativement vague et se demande si cela renvoie indirectement aux dispositions de l’article 5.1.
4. f)du RGPD et de l’article 32 du RGPD ? En tout état de cause, la CNPD précise que le RGPD est un règlement d'application directe dont les règles « doivent être respectées de toute manière sans que ceci ne doive être prévu par une disposition légale »28 . 27 Loi du 19 juin 2013 relative à l’identification des personnes physiques, article 10 ; V. règlement grand-ducal du 28 novembre 2013 fixant les modalités d’application de la loi du 19 juin 2013 relative à l’identification des personnes physiques, Chapitre 4 intitulé « Les modalités d’accès et de transmission des données du registre national ». 2B V. avis du Conseil d’Etat du 30 novembre 2021 portant modification 1° de la loi du 13 mars 2018 portant création d'un Observatoire national de la qualité scolaire ; 2° de l’article 6 de la loi modifiée du 18 mars 2013 relative aux traitements de données à caractère personnel concernant les élèves, et portant abrogation de l’article 13 de la loi modifiée du 4 juillet 2008 sur la jeunesse, doc. pari. n° 7893/03, page 2 ; V. avis du Conseil d'Etat du 10 décembre 2024 relatif au projet de loi portant création d’un Observatoire de la culture, doc. pari. n° 8410/02, page 2. CNPD —4 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 10/12 Enfin, la CNPD relève au sein des dispositions de l’alinéa 3 de l’article 7 du projet de loi, tel qu’amendé, que les données à caractère personnel recueillies dans le cadre des enquêtes ne peuvent être utilisées qu’à des fins de recherche scientifique dans l’intérêt public et dans le cadre de la mission de l’Observatoire et ne peuvent « donner lieu à une utilisation administrative, judiciaire, fiscale ou de contrôle des répondants ». Ainsi, la Commission nationale salue que les auteurs du projet de loi aient précisé de manière explicite et limitative les finalités du traitement de données recueillies dans le cadre des enquêtes. IV. Quant aux recherches scientifiques menées par les organismes du secteur public (article 8 du projet de loi) 36. Tout d'abord, il est à noter que l'article 8 du projet de loi tel qu'amendé prévoit un échange des données à caractère personnel entre le ministre et les organismes du secteur public au sens de la loi du 29 novembre 2021 sur les données ouvertes et la réutilisation des informations du secteur public. Le commentaire de l'article 8 du projet de loi précise notamment que, parmi ces organismes du secteur public « [s]eront principalement concernés d'autres Observatoires de l'Etat mais également des instituts de recherche et des établissements universitaires ». 37. Or, la CNPD comprend que la finalité de l’échange de données est d'assurer une utilisation secondaire des données par les organismes du secteur public à des fins de recherche scientifique. Le terme « échange » peut se définir comme constituant une communication réciproque29 . Dès lors, la Commission nationale s’interroge sur le fait qu'il s’agisse vraiment d’un échange de données ou s’il s’agirait en réalité d'un transfert de données à sens unique de l’Observatoire vers les autres organismes du secteur public ? De ce fait, cela amène à s'interroger si ces recherches scientifiques seraient réalisées conjointement par l’Observatoire et les autres organismes du secteur public ou si elles seraient seulement réalisées par les autres organismes du secteur public ? Ainsi, la Commission nationale recommande aux auteurs du projet de loi d’apporter des précisions en ce sens. 38. Enfin, la CNPD se félicite que les auteurs du projet de loi aient prévu au sein de l’alinéa 2 de l’article 8 du projet de loi, tel qu’amendé, que les données traitées par les autres organismes du secteur public « [...] ne peuvent pas être traitées dans le cadre d'un autre projet de recherche et sont anonymisées au plus tard trois mois après la fin du projet de recherche ». 29 V. la définition du terme « échange », disponible sous : https://dictionnaire.lerobert.com/definition/echange CNPD k— — i Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l'habitat et au projet de règlement grand-ducal déterminant la composition, l’organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 11/12 Ainsi adopté à Belvaux en date du 23 avril 2026. La Commission nationale pour la protection des données CNPD b— Avis de la Commission nationale pour la protection des données relatif au projet de loi n°8310 relatif à l’Observatoire de l’habitat et au projet de règlement grand-ducal déterminant la composition, l'organisation et le fonctionnement du Comité d'accompagnement de l’Observatoire de l'habitat 12/12