Avis complémentaire de la CNPD sur le projet de loi 6054 (ASBL et fondations)

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6054 sur les associations sans but lucratif et les fondations Délibérationn°49/AV28/2023du 16juin 2023 1. Conformément à l'article 57. 1.

1. e)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 36. 4 du RGPD dispose que « [l]es Étatsmembres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » 2. En date du 10 juin 2009, l'ancien ministre de la Justice, Monsieur Luc Frieden, avait déposé le projet de loi n° 6054 sur les associationssans but lucratifet les fondations(ci-aprèsle « projet de loi ») qui vise à réformer les règles applicables en la matière, notamment en abrogeant la loi modifiéedu 21 avril 1928 sur les associations et les fondations sans but lucratif. Or, le projet de loi n'avait pas connu de suites pendantcinq ans et ce n'étaitque le 13 décembre2018qu'il a été renvoyé de nouveau à ta Commission de la Justice de la Chambre des députés. 3. Le 18 juin 2019, la Commission nationale s'était autosaisie pour rendre son avis sur le projet de loi, tout en précisant qu'elle n'entendait pas commenter l'ensemble du projet de loi qui ferait encore l'objet d'amendements ultérieurs pour lesquels elle serait saisie le moment venu1. Cette autosaisine intervenait dans le cadre de nombreuses demandes d'information et réclamations introduites auprès de la CNPD concernant l'obligation des associations sans but lucratif (ci-après 1 Délibération n°41/2019 du 18juin 2019 de la Commission nationale pour la protection des données, doc. pari. n° 6054/07. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6054 sur les associations sans but lucratif et les fondations 1/5 les « associations ») de déposer et de publier la liste de leurs membres. Dans cet avis, la Commission nationale saluait le projet de loi en ce qu'il supprime l'obligation de dépôt de la liste des membres d'une association auprès du registre de commerce et des sociétés (ci-après le « RCS »), consultable par des tiers dans le recueil électroniquedes sociétéset associations (ciaprès le « RESA »). 4. Des amendements gouvernementaux ont été déposés le 26 juillet 2021 sans que l'avis de la CNPD ait été demandé. Par courrier en date du 15 mai 2023, Madame la Ministre de la Justice a invité la Commission nationale à se prononcer sur les amendements parlementaires déclarés recevables par la Conférence des Présidents en date du 1 1 mai 2023. 5. Au vu du stade avancé du processus législatif- le Conseil d'Etat a rendu son avis complémentaire le 26 mai 2023- le présent avis se limitera à soulever sommairement les points les plus importants en matièrede protection des donnéesà caractèrepersonnel, sans prétendreà l'exhaustivité. La Commission nationale se basera sur le texte coordonné du projet de loi tel qu'annexé aux amendements parlementaires. l. Remarques liminaires 6. Comme sous le régime actuel, le projet de loi prévoit l'obligation pour les associations et fondations de déposercertains documents contenant des donnéesà caractèrepersonnel, telles que les nom et prénom, date et lieu de naissance ainsi que l'adresse privée ou professionnelle, auprès du RCS. Par la suite, ces documents sont publiés au RESA où ils peuvent être consultés par des tiers. 7. Ces traitements, et tout particulièrementla mise à disposition de donnéesà caractèrepersonnel à des tiers2, constituent une ingérence dans le droit au respect de la vie privée et le droit à la protection des donnéesà caractèrepersonnel. Unetelle ingérencepeutêtrejustifiée,notamment à condition qu'elle soit nécessaire et proportionnée à l'objectif légitime poursuivi. Par ailleurs, l'article 5. 1.
2. e)du RGPD consacre le principe de minimisation des données selon lequel les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Il en résulte que les auteurs du projet de loi devront s'assurerque les traitements envisagéspar le texte sousavis constituent les mesures les moins intrusives dans les droits et libertés des personnes concernées pour atteindre l'objectif légitime poursuivi et que seules sont traitées les données nécessaires au regard des finalités poursuivies. 2 V. notamment : CJUE, arrêt du 22 novembre 2022, WM et Sovim SA contre Luxembourg Business Registers, affaires jointes C-37/20 et C-601/20, point 39 et jurisprudence y citée. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatifau projet de loi n" 6054sur les associationssans but lucratifet les fondations 2/5 II. Quant au registre desjnembres des associations 8. L'article 9 du projet de loi remplace l'obligation de déposer une liste des membres au RCS par l'obligation de tenir un registre des membres au siège de l'association, ce qui a été salué par la CNPD dans son avis du 18 juin 2019. Il y a toutefois lieu d'attirer l'attention des auteurs sur des incohérences entre le texte coordonné du projet de loi et le texte des amendements proprement dits : tandis que le projet de loi initial prévoyait que « [t]out membre peut consulter au siège de l'association le registre des membres [...] », les textes coordonnés annexés aux amendements gouvernementaux et aux amendements parlementaires disposent que « [t]out membre peut demanderune copie ou consulterau siègede l'association le registre des membres [.. .] »3 sans toutefois que cette modification ait été introduite par un amendement proprement dit. Il s'en suit que les documents parlementaires ne contiennent pas d'explications de la part des auteurs qui justifieraient l'introduction de la possibilitéde demanderune copie du registre des membres. 9. Il résulte du commentaire des articles4 que la consultation du registre des membres permettra aux membres d'une association de connaître avec précision l'identité des autres membres de l'association, ce que la Commission nationale a considéré comme étant une finalité légitime5. Il se pose toutefois la question de savoir s'il est nécessaire de prévoir, en plus, le droit d'en prendre copie, sachant que cela augmente le risque d'un traitement ultérieur incompatible des données personnelles figurant dans le registre des membres. À cet égard, il est intéressant de noter que la loi du 22 juillet 2022 portant modification : 1° de la loi électorale modifiée du 18 février 2003 ; 2° de la loi modifiée du 27 juillet 1991 sur les médias électroniques a supprimé, pour des raisons liées à la protection des données personnelles, le droit des citoyens de demander, dans le cadre de l'inspection des listes électorales, 10. la délivrance d'une copie de ces listes6. Dans son avis initial7, la CNPD avait encore soulevé la question des personnes pouvant consulter le registre des membres, étant donné qu'il résulte de t'exposé des motifs que ledit registre « peut être consulté par tous les membres (et les tiers) ». Elle comprend que le nouveau paragraphe 4 de l'article 9 a pour objet de garantir l'accès des autorités publiques au registre des membres dans le cadre des mesures de lutte contre le blanchimentet le financement du terrorisme et que le registre ne sera pas accessible au public en général,ce qui est à saluer. 3 Soulignements ajoutés par la Commission nationale. 4 Doc. pari. n° 6054/00, p. 28. 5 Délibération n°41/2019 du 18juin 2019 de la Commission nationale pour la protection des données, doc. pari. n° 6054/07, p. 2. 6 Voir aussi délibération n°28/AV12/2022 du 1erjuillet 2022 de la Commission nationale pour la protection des données, doc. pari. n° 7877/17. 7 Délibérationn°41/2019du 18juin 2019de la Commission nationale pour la protection des données,doc. pari. n° 6054/07, p. 4. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6054 sur les associations sans but lucratif et les fondations 3/5 III. Quant au contrôle d'honorabilité 11. Le projet de loi tel qu'amendé prévoit un contrôle d'honorabilité pour certaines catégories de personnes, et plus particulièrement pour les membres du conseil d'administration d'une association sollicitant la reconnaissance du statut d'utilité publique8 ainsi que les fondateurs et les membres du conseil d'administration d'une fondation9. Ainsi, le projet de loi sous avis instaure une vérification des antécédentsde ces personnes sur base des inscriptions au bulletin 2 du casier judiciaire. 12. Il est à noter que ni l'instruction des demandes en vue de la reconnaissance du statut d'utilité publique en faveur des associations ni l'instruction des demandes en vue de la création d'une fondation ne figurent parmi les cas de figure dans lesquelles le ministre de la Justice peut, en vertu du règlement grand-ducal modifié du 23 juillet 2016 fixant la liste des administrations et personnes morales de droit public pouvantdemanderun bulletin 2 ou 3 du casierjudiciaire avec l'accord écrit ou électronique de la personne concernée (ci-après le « règlement grand-ducal modifié du 23 juillet 2016 »), se voir délivrer le bulletin 2. 13. La CNPD se demande dès lors s'il est l'intention des auteurs d'adapter le règlement grand-ducal modifié du 23 juillet 2016 afin d'inclure les cas de figure visés par le projet de loi sous avis ou si, par contre, la volonté des auteurs est de permettre au ministre de la Justice d'obtenir la communication du bulletin 2 indépendamment des conditions posées par la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire et le règlement grand-ducal modifié du 23 juillet 2016. Danscette dernière hypothèse, cela devrait être reflétéclairement dans le projet de loi afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal1 0. Pour le surplus, le Commission nationale se permet de renvoyer à son avis du 10 février 2021 relatif au projet de loi n° 7691 qui traite plus en détail des procédures de contrôle d'honorabilité". 8 Article 34 du projet de loi. 9 Article 41 du projet de loi. 10V. en ce sens M. Besch, Normes et légistiqueen droit public luxembourgeois, Promoculture Larcier, 2019, n°619. V. entre autres CourEDH, arrêt du 4 décembre 2015, Zakharov v. Russie, §§ 228 à 229 ; CourEDH, arrêt du 24 avril 2018, Benedik v. Slovenia, §§ 122 à 125 ; CJUE, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité),C-439/19, EU:C:2021:504,point 105 etjurisprudencecitée. 11 Délibérationn°3/AV3/2021 du 10 février2021 de la Commission nationale pour la protection des données, doc. pari. n° 7691/03. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6054 sur les associations sans but lucratif et les fondations 4/5 Ainsi adopté à Belvaux en date du 16 juin 2023. La Commission nationale pour la protection des données %<^j Tine A. Larsen Présidente CNPD % - Thierry Lallemang Marc Lemmer Alain Herrmann Commissaire Commissaire Commissaire Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6054 sur les associations sans but lucratif et les fondations 5/5