En date du 10 novembre 2023, la CNPD a adopté un avis sur le projet de loi n° 8251 portant création d'un Observatoire digital de la mobilité (ci-après : « l’Observatoire ») sous l’autorité du ministre ayant les Transports dans ses attributions.
Selon les auteurs du projet de loi, l’Observatoire aura comme mission de fournir les données nécessaires à la planification des infrastructures et offres de mobilité afin de les adapter à l’évolution des besoins de la population et des entreprises.
Dans son avis, la CNPD s’interroge tout d’abord si le projet de loi ne pourrait pas prévoir la réalisation des missions de l’Observatoire sans traitant des données à caractère personnel, c’est-à-dire en effectuant les études de mobilité nécessaires pour atteindre les finalités poursuivies sur des données anonymisées rendant impossible toute ré-identification d’une personne physique, et non pas sur des données pseudonymisées permettant de retrouver l’identité d’un individu déterminé en disposant d’informations supplémentaires. Cette distinction est importante : alors que le RGPD s’applique aux données pseudonymisées, les données anonymisées quant à elles ne rentrent pas dans le champ d’application du règlement.
Ensuite, la CNPD doute dans son avis que tous les traitements de données à caractère personnel prévus dans le projet de loi respectent les principes constitutionnels de nécessité et de proportionnalité, c’est-à-dire s’il y a vraiment un juste équilibre entre les objectifs poursuivis par le projet de loi et les moyens déployés en vue de les réaliser. Elle estime qu’il faut plus particulièrement tenir compte de ce que le projet de loi prévoit que l’Observatoire aurait accès à toute une série de données à caractère personnel, comme par exemple le lieu de résidence, la situation professionnelle, le sexe, la composition de ménage ou encore la fourchette de revenu, qui sont détenues par différentes administrations publiques telles que l’Administration des contributions directes ou l’Inspection générale de la sécurité sociale. D’autant plus, même des entités privées seraient obligées à accorder un accès à leurs données à l’Observatoire, comme les données concernant les déplacements des téléphones portables détenues par les opérateurs de téléphonie mobile. Dans ce dernier cas, la Commission nationale rappelle que les opérateurs de télécommunications font l’objet d’une réglementation spécifique, et plus concrètement de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. Au cas où les auteurs du projet visent les données de trafic, ainsi que les données de localisation, ces dernières peuvent uniquement être mises à disposition aux autorités judiciaires dans des conditions restrictives et ne pourraient dès lors être communiquées à l’Observatoire que si ces données ont été anonymisées au préalable.
Par ailleurs, afin de comprendre les flux de véhicules à travers les réseaux de transport au Luxembourg, le projet de loi prévoit que l’Observatoire peut effectuer des comptages permettant la reconnaissance d’un véhicule à plusieurs endroits dudit réseau et ceci pendant 24 heures.
Après avoir rappelé que la plaque d’immatriculation est une donnée à caractère personnel permettant indirectement d’identifier le détenteur du véhicule, la CNPD se demande par quels moyens le ministre effectuerait les comptages précités et si l’atteinte de cette finalité obligerait le ministre à installer des caméras permettant d’enregistrer les plaques d’immatriculation partout dans le pays.
Par ailleurs, la Commission nationale est d’avis que les explications des auteurs du projet de loi sur l’utilité et surtout la nécessité de collecter la plaque d’immatriculation et de pouvoir la suivre à travers le pays pendant 24 heures ne sont pas convaincantes. En d’autres termes, elle doute que la collecte de la plaque d’immatriculation est vraiment nécessaire au regard de la finalité de comprendre le flux des véhicules à travers les réseaux de transport et que des moyens moins attentatoires à la vie privée des personnes concernées existent. Plus concrètement, elle considère que le système de comptage permanent et automatique des routes aux Luxembourg, sans collecte de données à caractère personnel, pourrait être amélioré et développé afin d’avoir une vue précise sur le flux des véhicules à l’intérieur du pays, tout comme aux frontières.