LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Madame la Présidente du Conseil d'État Luxembourg r Personne en charge du dossier: Luxembourg, le 3 juillet 2019 Jean-Luc Schleich 2 247 - 82954 SCL : L 4450 / L 5583 - 807 / ak V/réf. 48.475 / 53.257 Doc. parl. 6054 / 7392 Objet :
- Projet de loi sur les associations sans but lucratif et les fondations.
- Proposition de loi portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. (Messieurs les Députés Sven Clement et Marc Goergen) Madame la Présidente, À la demande du Ministre des Communications et des Médias, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de loi et la proposition de loi sous rubrique. Veuillez agréer, Madame la Présidente, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement Jean-Lue Schleich Gestionnaire dirigeant 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.gouvernement.lu www.luxembourg.lu Avis de la Commission nationale pour la protection des données relatif:
- au projet de loi n°6054 sur les associations sans but lucratif et les fondations ;
- à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. Délibération n°41/2019 du 18 juin 2019 Conformément à l'article 57 paragraphe
(1)lettre (c) du règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après désigné « le RGPD »), chaque autorité de contrôle a pour mission de conseiller « conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données prévoit précisément que la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») exerce les missions dont elle est investie en vertu de l'article 57 du RGPD. A ce titre, la Commission nationale s'autosaisie pour aviser le projet de loi n°6054 sur les associations sans but lucratif et les fondations, ainsi que la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif.
- Le contexte de l'auto-saisine de la CNPD 1.
- L'obligation de dépôt et l'obligation de publication de documents d'une association A titre préliminaire, la CNPD rappelle que les associations sans but lucratif (ci-après : « l'association » ou « les associations ») sont obligées de par la loi à accomplir certaines formalités administratives. La loi modifiée du 9 décembre 2002 concernant le registre de commerce et des sociétés, ainsi que la comptabilité et les comptes annuels des entreprises, opère dans ce contexte une distinction entre l'obligation de dépôt de documents auprès du registre de commerce et des sociétés (ci-après: « RCS ») d'un côté et l'obligation de publication de documents au recueil électronique des sociétés et associations (ci-après : « RESA ») d'autre côté. Le Luxembourg Business Registers (« LBR »), un groupement d'intérêt économique comprenant l'Etat, la Chambre de Commerce et la Chambre des Métiers, assure sous la tutelle du ministre de la Justice la gestion du RSC, du RESA, ainsi que du Registre des bénéficiaires effectifs (« RBE »). La loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif (ciaprès : « la loi modifiée du 21 avril 1928 ») précise quels documents d'une association doivent faire l'objet d'une publication au RESA, comme par exemple l'acte constitutif. Le RESA est la plateforme électronique centrale de publication officielle au Luxembourg, qui remplace depuis le Ver juin 2016 le Mémorial C. Les documents y publiés sont accessibles par chaque internaute sans démarches supplémentaires. Avis de la Commission nationale pour la protection des données fel, nnteel.le ceee.trs Avis relatif:
- au projet de loi n°6054 sur les associations sans but lucratif et les fondations ;
- à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. 1/6 Le dépôt de documents par une association par contre consiste en la remise au RCS de documents soumis à l'obligation de dépôt de par la loi modifiée du 21 avril 1928 en vue de leur classement dans le dossier de l'association tenu par le gestionnaire du RCS. Néanmoins, en recherchant sur le portail du RCS une association précise, la majorité des documents déposés par cette dernière peuvent être téléchargés sans frais par toute personne ayant mis en place un compte utilisateur auprès du RCS. Lors de la création dudit compte, il est uniquement obligatoire d'indiquer son nom et prénom, une adresse e-mail, le nom d'utilisateur souhaité, ainsi qu'un mot de passe. 1.
- L'obligation spécifique de déposer une liste des membres d'une association L'auto-saisine de la CNPD intervient dans le cadre de nombreuses demandes d'information et de réclamations introduites auprès d'elle concemant le dépôt auprès du RCS d'un document spécifique contenant un certain nombre de données à caractère personnel des membres d'une association. Plus concrètement, l'article 10 de la loi modifiée du 21 avril 1928 prévoit qu'une « liste indiquant, par ordre alphabétique, les noms, prénoms, demeures et nationalités des membres de l'association, doit être déposée auprès du registre de commerce et des sociétés dans le mois de la publication des statuts » et que « toute personne pourra en prendre gratuitement connaissance. » Une association en sa qualité de responsable du traitement est de ce fait obligée sur base de l'article 10 de la loi modifiée du 21 avril 1928 de transmettre les données y mentionnées au RCS, c'est-à-dire l'association doit a priori baser ce traitement de données sur le respect d'une obligation légale à laquelle le responsable du traitement est soumis (article 6 paragraphe
(1)lettre c) du RGPD). Comme susmentionné, par la création d'un compte utilisateur et en recherchant une association déterminée, toute personne qui le souhaite peut télécharger une copie de la majorité des documents soumis au dépôt par ladite association auprès du RCS. La liste des membres d'une association fait partie de ces documents téléchargeables. Par ailleurs et indépendamment sur lequel des six critères de licéité prévus à l'article 6 paragraphe
(1)du RGPD un traitement est basé, les principes de limitation des finalités et de minimisation des données prévus par l'article 5 paragraphe
(1)lettres
- b)et
- c)du RGPD sont à respecter, ceux-ci exigeant qu'uniquement des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités légitimes sont collectées. 1.3. La problématique générale soulevée par le dépôt de la liste des membres De manière générale, la CNPD comprend la nécessité de tenir une liste des membres à des fins de gestion administrative inteme d'une association, incluant certaines données à caractère personnel comme le nom, prénom et une adresse postale / mail des différents membres. En plus, comme l'appartenance à une association peut dans certains cas et en fonction des statuts et des activités poursuivies être considérée comme relation contractuelle entre les membres et l'association elle-même, la CNPD considère que les différents membres ont le droit de connaître l'identité de leurs co-contractants. Néanmoins, en tenant compte de l'évolution de la liberté d'association depuis l'adoption de la loi modifiée du 21 avril 1928, la Commission nationale se demande en quoi consiste de nos jours la finalité d'accorder un accès à la liste des membres d'une association à des tiers. Comme susmentionné, sous condition de respecter certaines formalités administratives, des personnes étrangères à une association peuvent en effet avoir accès à la liste des membres en la téléchargeant sur le portail du RCS. D'autant plus, la simple consultation d'une liste des membres d'une association peut constituer un traitement portant sur des catégories particulières de données à caractère personnel, données dites « sensibles », dans la mesure CNPD comOrs Avis de la Commission nationale pour la protection des données Avis relatif: 1.au projet de loi n°6054 sur les associations sans but lucratif et les fondations ; 2.à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. 216 où le fait d'être membre de certaines associations peut par exemple révéler les convictions religieuses, l'appartenance syndicale, les opinions politiques, l'orientation sexuelle des membres, etc. Rappelons que le traitement de ces données est très strictement encadré par l'article 9 du RGPD. La CNPD est bien consciente que l'adoption de loi modifiée du 21 avril 1928 est largement antérieure à l'entrée en application du RGPD, ce qui explique certains conflits entre les deux textes. L'article 10 de ladite loi faisait d'ailleurs partie de la version initiale de 1928, avec la seule différence que le dépôt de la liste des membres d'une association devrait s'effectuer auprès du greffe du tribunal civil du siège de l'association et non pas auprès du RCS (non existant à l'époque). Par ailleurs, l'article 10 précité prévoyait déjà en 1928 que toute personne pourrait « prendre gratuitement connaissance » de la liste des membres d'une association. La CNPD considère que l'article 10 en question, vieux de plus de 90 ans, mérite d'être adapté aux exigences du RGPD pour tenir compte du fait que ces consultations peuvent entretemps se faire par n'importe qui, de manière électronique à partir de n'importe où, et le cas échéant en grande quantité. A ce titre, elle ne peut que partager l'avis de la Chambre des salariés à cet égard, ayant énoncé de manière pertinente dans son avis du 7 mai 2019 concemant la proposition de loi n°7392 portant modification de loi modifiée du 21 avril 1928 sur les associations et fondations sans but lucratif ce qui suit : « Vu l'origine de la disposition de l'article 10 qui date de 1928 et qu'elle ne fût jamais adaptée aux nouvelles exigences et tendances dans le domaine de la protection des données, on peut considérer que lors de l'entrée en vigueur de la disposition, celle-ci ne prévoyait pas encore les moyens modernes de mise en relation de plusieurs sources de données afin d'établir des liens et des corrélations. Combinant ceci avec la disponibilité des données en question par internet, il semble que le traitement en question devrait être repensé en prenant compte les avancées récentes dans le domaine de la protection des données. » La CNPD tient donc à développer ci-dessous son point de vue sur le projet de loi n°6054 sur les associations sans but lucratif et les fondations, ainsi que sur la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. 2. Quant au proiet de loi n°6054 sur les associations sans but lucratif et les fondations Déjà en date du 10 juin 2009, l'ancien Ministre de la Justice, Monsieur Luc Frieden, avait déposé le projet de loi n°6054 sur les associations sans but lucratif et les fondations (ci-après: « le projet de loi n°6054 »), prévoyant de réformer tout le système légal applicable en la matière en abrogeant la loi modifiée du 21 avril 1928. Or, le projet de loi n'a pas connu de suites pendant 5 ans et ce n'est que le 13 décembre 2018 qu'il a été renvoyé de nouveau à la Commission de la Justice de la Chambre des députés. A ce stade, la Commission nationale n'entend pas commenter le projet de loi n°6054 dans son ensemble, alors que ledit projet de loi fera encore l'objet d'amendements ultérieurs et qu'elle sera saisie pour avis le moment venu. Néanmoins, elle tient d'ores et déjà à se prononcer sur l'article 9 du projet de loi n°6054 qui prévoit que le conseil d'administration tient au siège de l'association un registre des membres comprenant « les nom, prénoms et l'adresse privée ou professionnelle précise des membres, ou lorsqu'il s'agit d'une personne morale, la dénomination sociale, la forme juridique, l'adresse du siège social ainsi que le numéro d'immatriculation au registre de commerce et des sociétés. » Cet article en projet ne prévoit donc plus la publication des données des membres d'une association accessibles à tout le monde. En effet, il ressort du paragraphe
(3)de l'article 9 du projet de loi n°6054 , CNPD mmlleterd DrIDNetel mm• Avis de la Commission nationale pour la protection des données Avis relatif:
- au projet de loi n°6054 sur les associations sans but lucratif et les fondations ;
- à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. 316 qu'uniquement les membres de l'association ont la possibilité de consulter au siège de l'association, entre autres, le registre précité des membres. Par ailleurs, ledit paragraphe précise que les « documents et pièces » y mentionnés, dont le registre des membres, « ne pourront pas être déplacés ». Selon le commentaire des articles, l'article 9 vise précisément à « remplacer l'obligation de déposer une liste des membres au registre de commerce et des sociétés, telle qu'elle résulte de l'article 10 de la loi de 1928, par l'obligation de tenir un registre des membres au siège de l'association. j...] Grâce à l'institution de pareil registre, tous les membres de l'association pourront désormais en consulter le contenu à tout moment au siège de l'association en vue de connaître avec précision l'identité des membres de l'association. lls n'auront plus besoin de consulter la liste déposée au registre de commerce et des sociétés en vue d'obtenir cette information. » Les seules données à caractère personnel relatives aux membres et accessibles à des tiers par la publication des statuts au RESA concement uniquement les membres-fondateur d'une association. En effet, selon l'article 3 paragraphe
(1)point 4 du projet de loi n°6054, les statuts doivent mentionner les nom, prénoms et l'adresse privée ou professionnelle précise des membres-fondateur de l'association. La Commission nationale ne peut que saluer le projet de loi n° n°6054 en ce qu'il supprime l'obligation de dépôt de la liste des membres d'une association auprès du RCS, consultable par des tiers dans les conditions susmentionnées sous les points 1.
- et 1.
- du présent avis, et qu'il la remplace par la tenue d'une telle liste au sein du siège de l'association consultable uniquement par ses membres. Comme l'a constaté la Chambre des salariés dans son avis précité du 7 mai 2019 : «il s'agit de rétablir, du fait du développement fulgurant des réseaux électroniques, l'équilibre entre les données qui sont vraiment indispensables pour l'intérêt général et l'ordre public, à savoir l'identité des membres composant le conseil d'administration d'une asbl et la protection des données des membres qui la composent et, par-là, leur vie privée afin d'éviter toute curiosité malsaine susceptible de leur porter préjudice. » Un dernier doute subsiste cependant en ce qui concerne l'obligation imposée à chaque association de tenir un registre des membres à son siège, alors que les auteurs énoncent dans l'exposé des motifs du projet de loi n°6054 que ledit registre « peut être consulté par tous les membres (et les tiers). » Or, la CNPD avait compris que cette obligation de tenir un registre des membres au siège de l'association avait précisément comme but de ne plus le rendre accessible au public en général ou à des « tiers », c'est-à-dire à des personnes extérieures à l'association. A titre de comparaison, la loi belge modifiée du 27 juin 1921 sur les associations sans but lucratif, les fondations, les partis politiques européens et les fondations politiques européennes limite strictement l'accès aux données des membres d'une association. Le texte belge précise en effet qu'en dehors des membres de l'association, cette demière doit uniquement, « en cas de requête orale ou écrite, accorder immédiatement l'accès au registre des membres aux autorités, administrations et services, y compris les parquets, les greffes et les membres des cours, des tribunaux et de toutes les juridictions et les fonctionnaires légalement habilités à cet effet [...]. » Ainsi, à l'instar du texte belge, la CNPD suggère aux auteurs du projet de loi de limiter précisément dans le corps du texte quels sont les destinataires potentiels du registre des membres.
- Quant à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif En date du 18 décembre 2018, la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif (ci-après: « la proposition de loi n°7392 ») a été déposée par les députés Sven Clément et Marc Goergen. [: CNPD Cye.K.L.• Dame% Avis de la Commission nationale pour la protection des données Avis relatif: 1.au projet de loi n°6054 sur les associations sans but lucratif et les fondations ;
- à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. 416 Ladite proposition de loi a été déclarée recevable et renvoyée en Commission de la Justice en date du 29 janvier
- Suite à l'entrée en application du RGPD le 25 mai 2018, les auteurs de la proposition de loi s'interrogent précisément « sur la nécessité et la finalité de la publication de données à caractère personnelle accessible par internet de chaque membre d'une association sans but lucratif. » Par son article unique, la proposition de loi n°7392 vise à modifier l'article 10 de la loi modifiée du 21 avril 1928 en remplaçant l'obligation de déposer une liste des membres au RCS par la tenue d'une « liste indiquant, par ordre alphabétique, les noms, prénoms, demeures et nationalités des membres de l'association ». Similairement au projet de loi n°6054, la proposition de loi prévoit que ladite liste doit être tenue par les administrateurs au siège de l'association et que chaque membre de l'association pourra en prendre gratuitement connaissance. De manière générale, la Commission nationale salue également la proposition de loi n°7392 prévoyant de remplacer l'obligation de dépôt de la liste des membres d'une association auprès du RCS, consultable par des tiers dans les conditions susmentionnées sous les point 1.
- et 1.
- du présent avis, par la tenue d'une telle liste au sein du siège de l'association consultable uniquement par ses membres. Au regard des principes prévus à l'article 5 du RGPD, la CNPD s'interroge cependant sur la finalité et la nécessité de collecter et de traiter la nationalité des membres d'une association. A ce titre, elle a une nette préférence pour le texte du projet de loi n°6054 qui ne prévoit pas l'obligation de mentionner la nationalité.
- Conclusion Selon les principes de limitation des finalités, ainsi que de minimisation des données, les données à caractère personnel traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire pour atteindre les finalités légitimes qui ont été déterminées lors de la collecte des données à caractère personnel (article 5 paragraphe
(1)lettres
- b)et
- c)du RGPD). En fonction des finalités spécifiques ainsi déterminées et à l'égard du principe de nécessité et de proportionnalité, le responsable du traitement doit ainsi déterminer quelles données à caractère personnel peuvent être utilisées pour atteindre les différentes finalités. Le considérant 39 du RGPD précise à cet égard que les « données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d'autres moyens. » Alors que la CNPD estime qu'il est raisonnable de tenir une liste des membres d'une association à des fins de gestion administrative interne et consultable précisément par lesdits membres, elle s'interroge sur la finalité poursuivie par le fait de rendre accessible cette liste à des tiers. Ainsi, la Commission nationale est d'avis qu'il existe actuellement une contradiction entre l'article 10 de loi modifiée du 21 avril 1928 et le respect de la vie privée des membres d'une association, ainsi que la protection de leurs données à caractère personnel au regard du RGPD et pour cette raison, elle salue les deux initiatives législatives. Par ailleurs, comme le montre les réclamations et demandes d'informations reçues par la CNPD, les associations se retrouvent momentanément dans une situation juridique incertaine, entre l'obligation de déposer la liste des leurs membres auprès du RCS, résultant d'une loi nationale vieille de 90 ans, d'un côté et le respect des dispositions du RGPD, norme législative supérieure, d'autre côté. Afin de parer à cette insécurité juridique et d'assurer la conformité du cadre légal luxembourgeois au RGPD, la CNDP estime donc nécessaire de procéder rapidement à la modification de l'article 10 de la loi modifiée du 21 avril 1928. En effet, la CJUE exige des Etats membres de l'Union européenne de mettre en conformité leurs législations et leurs réglementations nationales existantes avec les règlements européens, en jugeant que « la Avis de la Commission nationale pour la protection des données Avis relatif: 1.au projet de loi n°6054 sur les associations sans but lucratif et les fondations ; 2. à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. 5/6 primauté et l'effet direct des dispositions du droit communautaire ne dispensent pas les États membres de l'obligation d'éliminer de leur ordre juridique interne les dispositions incompatibles avec le droit communautaire; en effet, leur maintien engendre une situation de fait ambiguë, en laissant les sujets de droit concernés dans un état d'incertitude quant aux possibilités qui leur sont réservées de faire appel au droit communautaire.» Ainsi décidé à Esch-sur-Alzette en date du 18 juin 2019. La Commission nationale pour la protection des données e1/4I Tine A. Larsen Présidente CNPD rt.• e HOtteltle Thierry Lallemang Commissaire Ch stophe Buschmann 11arc Lemmer ommissaire I Commissaire Avis de la Commission nationale pour la protection des données Avis relatif: 1. au projet de loi n°6054 sur les associations sans but lucratif et les fondations ; 2. à la proposition de loi n°7392 portant modification de la loi modifiée du 21 avril 1928 sur les associations et les fondations sans but lucratif. 6/6