LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlernent Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 8 juin 2016 Personne en charge du dossier: Roland Gaasch le 247 - 82953 SCL : L 4880 — 799 / ya V/réf. 50.279 Doc. parl. 6593 Objet: Projet de loi portant modification :
- de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'État :
- de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l'État
- de la loi modifiée du 29 juin 2005 fixant les cadres du personnel des établissements d'enseignements d'enseignement secondaire et secondaire technique,
- de la loi modifiée du 23 juillet 1952 concernant l'organisation militaire. Monsieur le Président, Comme suite à ma lettre du ler juin 2016, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur les amendements gouvernementaux du lerjuin 2016 relatifs au projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt Tél. (+352) 247-82952 scl@scl.etat.lu www.gouvernement.lu L-2450 Luxembourg Fax (+352) 46 74 58 www.legilux.lu www.luxembourg.lu LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Mirdstee d'Etéit, ere te cifs Med as et des CornmLniutions Le Ministre des Communications et des Médias à Monsieur le Ministre de l'Education nationale, de l'Enfance et de la Jeunesse Objet Délibération n° 252/2016 du 04 mars 2016 portant avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois. TRANSMIS Veuillez trouver copie de la délibération n° 252/2016 du 04 mars 2016 portant avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois. Luxembourg, le 11 mars 2016 Pour le Ministre des Communications et des Médias, Michèle Bram Conseiller BtlIEJUX de 5 lue lege 1917 Luxemboing lel (i 352) 247-82167/63 Fax:(+352) 47 56 62 Info@inediatarn public lu M INISTÉRE f Serv;ce D'Élr'i dee: W die el deF COET I ,Miltd( ?,. Tlf Ertrée te ---,s —,.....---_—...:,...., ......_ — 9 MARS 2016 COMMISSION NATIONALE POUE LA PPOTECTION DES DONNÉES Monsieur Xavier Bettel Premier Ministre Ministre des Communications et des Médias Ministère d'Etat Service des Médias et des Communications 5, rue Large (Maison Cassal) L-1917 Luxembourg Esch-sur-Alzette, le 4 mars 2016 Concerne : Délibération n° 252/2016 du 4 mars 2016 portant avis complémentaire de la Commission nationale pour la protection des données à l'égard clu projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois Monsieur le Premier Ministre, Veuillez trouver ci-joint copie de la délibération n° 252/2016 du 4 mars 2016 portant avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois. En vous souhaitant bonne réception de la présente, je vous prie d'agréer, Monsieur le Premier Ministre, l'expression de nos sentiments très distingués. Pour la Commission nationale pour la protection des données tivse [-k-(1_, Tine A. Larsen Présidente (+352) 26 10 60 -1 1, avenue du Rock'n'RoH Tél L-4361 Esch-sur-Alzette Fax: (+352) 26 10 60 -29 www.cnpd.lu IBAN: 1.1.131 1111 2052 2570 0000 E-mait: info@cnpd.lu Code BIC: CCPLILILL Etablissernent oublic créé Par la lor du 2 août 2002 relative à la protection des personnes à l'égard du tra iternent des données à caractère personnel Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois Délibération n° 252/2016 du 4 mars 2016 Conformément à l'article 32 paragraphe
(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après : « la Commission nationale » ou la CNPD ») a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi Faisant suite à la demande lui adressée par Monsieur le Ministre de l'Education nationale, de l'Enfance et de la Jeunesse en date du 30 décembre 2015, lui demandant d'aviser les amendements gouvernementaux au sujet clu projet de loi n° 6593, la Commission nationale expose ci-après ses réflexions et commentaires au sujet des amendements en question. La CNPD a émis son premier avis relatif au projet de loi sous objet en date du 25 juillet
- De manière générale, la Commission nationale note avec satisfaction que la plupart des commentaires émis dans son précédent avis, ainsi que les remarques du Conseil d'Etat ayant trait à l'article 1 sous point 10 du projet de loi n° 6593 dans son avis du 11 novembre 20142, ont été pris en compte lors de la rédaction du nouvel article 1" sous point 11 du projet de loi amendé sous examen (portant création d'un nouvel article llbis dans la loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat). II apparaît cependant que la refonte dudit projet de loi opérée à l'occasion des amendements gouvernementaux, ayant notamment pour conséquence la création de trois fichiers de données à caractère personnel, appelle de nouveaux commentaires de la part de la Commission nationale, plus amplement détaillés ci-dessous.
- Les fichiers de données à caractère personnel créés II ressort du commentaire des articles du projet de loi sous objet, ainsi que du texte du projet d'article 1 lbis paragraphe 1' qui serait inséré dans la loi modifiée du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat, que la refonte de ladite loi, ainsi que l'opérationnalisation de l'unité de sécurité du centre socio-éducatif de l'Etat, rendent nécessaire la création de trois fichiers de données à caractère personnel au sens de l'article 2 lettre (h ) de la loi du 2 août
- Dans le projet d'article llbis paragraphe l", ces trois fichiers de données à caractère personnel sont dénommés comme suit: ' Document parlementaire n° 6593/
- Document parlementaire n° 6593/07, pp. 12-
- 2 Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois 1/7 le « dossier personnel pour chaque pensionnaire » ; le « registre de l'unité de sécurité » ; et le « registre spécial pour les fouilles corporelles ». Les paragraphes
(2),
(3)et
(5)du projet d'article 1 lbis paragraphe le` font référence tantôt à ces fichiers, tantôt à d'autres libellés ou dénominations, à savoir : le « dossier individuel », les « dossiers individuels des pensionnaires », les « dossiers individuels des pensionnaires du centre » ou les « dossiers personnels des pensionnaires placés au centre »; le « registre des entrées et sorties journalières des personnes ayant accès à l'unité de sécurité » ; et le « registre spécial des fouilles corporelles ». La Commission nationale comprend cependant que ces dénominations font référence respectivement au « dossier personnel pour chaque pensionnaire », au « registre de l'unité de sécurité », et au « registre spécial pour les fouilles corporelles ». Dans un souci, d'une part, de cohérence entre les différents paragraphes du projet de loi sous objet, et d'autre part, d'utilisation de la terminologie de la loi du 2 août 2002, à savoir la notion de « fichier de données à caractère personnel » de l'article 2 lettre (h) de ladite loi, la CNPD propose de remplacer les diverses dénominations précitées par les termes suivants : le « fichier individuel des pensionnaires » ; le « fichier de l'unité de sécurité » ; et le « fichier spécial des fouilles corporelles ». 2. Les responsables de traitement Les responsables de traitement des fichiers évoqués ci-avant sont indiqués dans le projet d'article llbis paragraphe
(2). Ce paragraphe prévoit en effet que le Procureur général d'Etat est considéré comme le responsable du traitement en ce qui concerne « le traitement des données à caractère judiciaire au sens de l'article 8 de la loi du 2 août 2002 », tandis que le directeur du centre est considéré comme le responsable du traitement en ce qui concerne « le traitement des données à caractère administratif dans le cadre de l'hébergement et de l'encadrement du pensionnaire ». Le commentaire des articles du projet de loi sous objet explique en effet que « de par leur origine les données ont un caractère mixte, dans la mesure où les données saisies dans le cadre de la protection de la jeunesse revêtent un caractère judiciaire, tandis que les données saisies dans le carde de la gestion du centre et celles émanant du pensionnaire lui-même admettent un caractère administratif »3 . Comme l'indiquent les auteurs du projet de loi4 , les données relatives à la protection de la jeunesse constituent en effet des données judiciaires au sens de l'article 8 de la loi du 2 août
- Les travaux parlementaires de la loi du 2 août 2002 précisent à ce sujet « qu'aucun traitement de données judiciaires n'est « réservé » à l'Etat, mais que les traitements de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peuvent être effectuées qu'en exécution d'une disposition légale. Cette disposition intègre, bien Commentaire des amendements gouvernementaux au projet de loi n°6593, p.
- Idem, en particulier la note de bas de page
- Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois 2/7 évidemment, les données relatives à la protection de la jeunesse »
- La CNPD note qu'en I 'occurrence, le traitement de données judiciaires serait effectué en exécution de l'article llbis paragraphe
(2). Les auteurs du projet de loi concluent que, eu égard à la définition de la notion de responsable de traitement fournie par la loi modifiée du 2 août 2002 (...), on se trouve nécessairement en présence de deux responsables de traitement »6, en l'espèce le Procureur général d'Etat et le directeur du centre. Dès lors, la Commission nationale comprend, à la lecture du projet d'article llbis paragraphe
(2), que le Procureur général d'Etat d'une part, et le directeur du Centre d'autre part, doivent étre considérés comme responsables conjoints de traitement, chacun pour ce qui concerne sa propre compétence. Or, i I est indiqué à trois reprises au paragraphe 1 du même article llbis, que les trois fichiers de données à caractère personnels visés sont créés « auprès le directeur du centre », La CNPD est à se demander si une telle formulation ne pourrait pas prêter à confusion, en laissant penser à la lecture du premier paragraphe que le directeur du centre devrait être considéré comme seul responsable de traitement. Dans ce contexte, les termes « auprès le directeur du centre » pourraient être supprimés. 3. Les finalités du traitement La CNPD note avec satisfaction que les finalités des traitements de données à caractère personnel ont bien été précisées dans le projet d'article llbis paragraphe
(1). II s'agit des finalités suivantes : pour le « dossier personnel pour chaque pensionnaire » (fichier individuel des pensionnaires), « documenter l'hébergement et l'encadrement de chaque pensionnaire placé dans les unités du centre » ; pour le « registre de l'unité de sécurité » (fichier de l'unité de sécurité), « aux fins de surveillance et du maintien de la sécurité de l'unité » ; pour le « registre spécial pour les fouilles corporelles » (fichier spécial des fouilles corporelles), « documenter la fouille corporelle entreprise ». II ressort en outre des commentaires des articles que les données figurant dans le fichier individuel des pensionnaires comprennent « les données prescrites par les règles des Nations Unies pour la protection des mineurs privés de liberté », en particulier par la règle 21. 4. Les catégories de données traitées La CNPD constate avec satisfaction que le projet d'article 1 lbis paragraphe
(1)énumère de façon détaillée les catégories de données traitées. En ce qui concerne la collecte et l'utilisation des données personnelles dans le cadre du fichier individuel des pensionnaires, la Commission nationale se réfère à son précédent avis relatif au projet de loi sous objet
- Document parlementaire 4735/00, p.
- Commentaire des amendements gouvernementaux au projet de loi n° 6593, p.
- ' I dern, p.
- Délibération n° 386/2013 du 25 juillet 2013, document parlementaire n° 6593/01, pp. 2-
- [ CNPl5— Avis complérnentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois 3I7 En particulier, compte tenu de la finalité d'authentification inhérente à la prise de photographie, ainsi que des explications fourn ies dans le commentaire de la première version du projet de loi, la collecte et le traitement d'une photographie d'identité paraissent légitimes et proportionnés aux yeux de la CNPD. Par ailleurs, la Commission nationale note que la collecte de la confession du pensionnaire s'opère désormais de façon facultative. Cette précision répond partiellement au problème exprimé dans son précédent avis, selon lequel le traitement des données relatives à la confession n'est légitime et proportionné qu'à la condition que le consentement du pensionnaire soit libre. Afin d'enlever toute ambiguïté à ce sujet, il serait bienvenu de préciser dans le texte de l'article de loi que la collecte de cette donnée ne peut s'opérer que moyennant le consentement exprès de la personne concernée conformément à l'article 6 paragraphe
(2)lettre (a) de la loi modifiée du 2 août 2002. En outre, le consentement doit être informé, ce qui implique que par exemple, une notice d'information devra clairement expliquer au pensionnaire quelle est la finalité de la collecte de cette information, que la collecte de données relatives à sa confession est facultative, et que le fait de refuser de répondre à une question relative à ses convictions religieuses ou philosophiques n'entraîne en aucun cas de conséquences négatives. Enfin, en ce qui concerne les documents relatifs à la santé physique et mentale du pensionnaire, la Commission nationale se réfère à son précédent avis. En particulier, l'accès au dossier médical par le directeur du centre peut constituer une dérogation au secret médical qui serait en l'espèce prévue dans un texte légal, à savoir le projet d'article llbis paragraphe
(1). Les catégories de données traitées dans le cadre du fichier de l'unité de sécurité, ainsi que du fichier spécial des fouilles corporelles, n'appellent quant à elles pas de commentaire particulier.
- I..origine des données Tout comme le projet de loi initial, le projet de loi tel qu'amendé ne spécifie pas l'origine des données. Le commentaire des articles précise cependant que « les données saisies dans le cadre de la protection de la jeunesse revêtent un caractère judiciaire, tandis que les données saisies dans le cadre de la gestion du centre et celles émanant du pensionnaire lui-même admettent un caractère administratif» 9 On peut en déduire que les données à caractère personnel figurant dans les trois fichiers précités peuvent présenter des origines différentes, sans que le texte de l'article en projet, ni le commentaire de l'article ne le précisent. En particulier, on ne comprend pas avec exactitude si les données sont transmises au centre par les autorités judiciaires compétentes en matière de droit de la jeunesse, si elles peuvent provenir également d'autres sources, notamment d'autres fichiers publics ou étatiques, et/ou si elles sont collectées directement auprès des pensionnaires par le personnel du centre.
- Les personnes ayant accès aux données Le paragraphe
(3)du projet d'article llbis prévoit désormais les personnes qui peuvent avoir accès aux fichiers précités. La CNPD se félicite de cette précision. II y a cependant lieu de constater qu'à l'exception de l'accès au fichier des fouilles corporelles, le texte de ce paragraphe
(3)ne prévoit pas toujours quelles sont précisément les finalités 9 Commentaire des amendements gouvernementaux au projet de loi n° 6593, p. 30. Avis complémentaire de la Commission nationale pour la protection des données à régard clu projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois 4/7 relatives à I 'exercice de ces différents acces. Ces finalités ressortent néanmoins du commentaire des articles. Par ailleurs, le texte ne prévoit pas ce qu'il entend par « accès direct ». Si cela recouvre le cas d'une communication des données, la question de la manière dont cette communication a lieu et comment elle est sécurisée peut également être posée. Quoi qu'il en soit, il pourrait être utile de clarifier ce que l'on doit entendre par « accès direct », sinon de supprimer le mot direct » si cette précision n'apparaît pas nécessaire. Dans un souci de clarté juridique, sur base du texte du paragraphe
(3)ainsi que des finalités ressortant du commentaire des articlesm, et en reprenant les dénominations des fichiers évoquées plus haut, ia CNPD propose à titre d'exemple le libellé suivant : Peuvent avoir un accès au fichier individuel des pensionnaires, à l'exception des données visées aux alinéas 2 et 3 • les membres du personnel socio-éducatif, du personnel psycho-social et du personnel médical du centre, afin d'assurer l'encadrement des pensionnaires pendant leur placement au centre, le procureur général d'Etat, le procureur d'Etat, les juges de la jeunesse, le directeur et son délégué, aux fins de décision et de gestion en rapport avec le placement des pensionnaires au centre, ainsi que dans l'exercice de leurs missions légales. Peuvent avoir un accès au dossier médical du pensionnaire, figurant dans le fichier individuel des pensionnaires : le personnel médical du centre, aux fins de médecine préventive, de diagnostics médicaux, de radministration de soins ou de traitements, le directeur du centre auquel est confié la garde du pensionnaire mineur et son délégué afin de pouvoir agir dans l'intérêt de la personne concernée lorsque sa santé est menacée, et afin de préserver le bien-être physique et mental de la personne concernée et des pensionnaires du centre. Peuvent avoir un accès aux données figurant au point 8 de la notice individuelle du fichier individuel des pensionnaires, le directeur du centre auquel est confiée la garde du pensionnaire mineur et son délégué afin de pouvoir agir dans l'intérêt de la personne concernée lorsque sa santé est menacée, et afin de préserver le bien-être physique et mental de la personne concernée et des pensionnaires du centre. Peuvent avoir un accès au fichier de l'unité de sécurité : les membres du personnel de garde de l'unité de sécurité afin de contrôler toutes les entrées et les sorties dans l'unité de sécurité, le procureur général d'Etat, le procureur d'Etat, les juges de la jeunesse, le directeur et son délégué, aux fins de décision et de gestion en rapport avec le placement des pensionnaires au centre, ainsi que dans l'exercice de leurs missions légales. Peuvent avoir un accès au fichier spécial des fouilles corporelles : les membres du personnel de garde de l'unité de sécurité, les membres du personnel du centre autorisés à pratiquer les fouilles corporelles et le médecin requis pour réaliser la fouille intime, pour les seuls besoins de la saisine des données nécessaires pour documenter la fouille corporelle à réaliser, Idem, pp. 31-32. Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois 5/7 le procureur général d'Etat, le procureur d'Etat, les juges de la jeunesse, le directeur et son délégué, aux fins de décision et de gestion en rapport avec le placement des pensionnaires au centre, ainsi que dans l'exercice de leurs missions légales. Les personnes visées au paragraphe 3 ci-avant ayant reçu connaissance des données à caractère personnel visées par le présent article sont tenues au respect du secret professionnel par rapport à des tiers, sous peine des sanctions prévues par l'article 458 du Code pénal», 7. Le traçage des accès aux données La Commission nationale note avec satisfaction que les auteurs du projet de loi sous objet ont tenu compte de sa remarque concernant le traçage des accès aux données dans son avis du 25 juillet 2013, dans le paragraphe
(4)du projet d'article llbis. lls expliquent s'être inspirés du projet de loi de l'article 4 du règlement grand-ducal du 26 septembre 2008 portant création des traitements de données à caractère personnel nécessaires à l'exécution de la loi du 29 août 2008 sur la libre circulation des personnes et l'immigration et déterminant les données à caractère personnel auxquelles le ministre ayant l'immigration dans ses attributions peut accéder aux fins d'effectuer les contrôles prévus par la loi ". 8. La durée de conservation des données Le paragraphe
(5)du projet d'article 1 lbis spécifie les durées de conservation des données figurant dans les différents fichiers précités. Les auteurs du projet de loi expliquent avoir voulu régler par cette disposition la question de la durée cle conservation des données, soulevée par la CNPD dans son avis du 25 juillet 201312. En particulier, ils expliquent qu « il est veillé à ce que la durée de conservation des données n'excède pas Ja durée qui est nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ». La Commission nationale constate qu'au regard des explications fournies dans le commentaire des articles, les données seront en effet conservées pour une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées, conformément à l'article 4 paragraphe
(1)lettre (
- d)de la loi modifiée du 2 août 2002. 9. Articulation entre les différents paragraphes : pr000sition d'une nouvelle structure de l'article llbis Dans un souci d'une meilleure lisibilité du texte, la Commission nationale est à se demander s'il ne serait pas plus opportun d'adopter une même structure rédactionnelle pour ce qui concerne les trois fichiers créés. Au sein de cette structure, il pourrait être précisé, pour chaque fichier, ses finalités, les catégories de données contenues dans le fichier, le cas échéant l'origine des données, la durée de conservation des données et les personnes ayant accès aux données issues de ce fichier. On pourrait par exemple prévoir trois paragraphes distincts pour chaque fichier, qui auraient à chaque fois la structure suivante : ll est créé un fichier (...) [cf. point 1 de cet avis], 11 Idem, 12 Idem, p. 33. p. 34. Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n° 6593 portant modification de a loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois 6/7 Ce fichier a pour finalité(
- s)(...) et contient les données à caractère personnel suivantes : (...) [cf. points 3 et 4]. Ces données proviennent de (,..) [cf. point 5]. Peuvent avoir accès au fichier (...)[cf. point 6]. La durée de conservation de ces données est de (...) [cf. point 8]». Ensuite, on pourrait prévoir deux paragraphes séparés qui s'appliqueraient aux trois paragraphes précédents, l'un concernant les responsables de traitement [paragraphe 2 actuel du projet de loi, point 2 de cet avis], et l'autre relatif au traçage des accès aux données [paragraphe 4 du projet de loi, point 7 de cet avis]. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 4 mars 2016. La Commission nationale pour la protection des données 6/4 L•e q/.1e,y/ Tine A. Larsen Présidente Thierry Lallemang Membre effectif Georges W ntz Mernbre effectif Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de loi n` 6593 portant modification de la loi du 16 juin 2004 portant réorganisation du centre socio-éducatif de l'Etat et de diverses autres lois 7/7