En date du 29 mars 2024, la Commission nationale a adopté un avis sur le projet de loi n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement.
Le projet de loi vis à remplacer la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d’hébergement, qui impose aux exploitants d’un établissement d’hébergement d’établir des fiches reprenant des informations des personnes hébergées et de les transmettre à certaines autorités à des fins sécuritaires et statistiques. En effet, le Luxembourg est tenu en vertu de la Convention d’application de l’Accord de Schengen de prendre des mesures pour assurer que les étrangers, qui sont hébergés dans un établissement d’hébergement touristique, remplissent et signent une fiche de déclaration et justifient de leur identité. En outre, le Luxembourg doit fournir à l’office statistique de la Commission européenne (EUROSTAT) des statistiques sur la fréquentation des établissements d’hébergement.
Dans son avis, la Commission nationale a d’abord rappelé que la notion de responsable du traitement joue un rôle important en matière de protection des données, notant qu’en l’espèce, l’exploitant agit en tant que responsable du traitement pour la collecte et la transmission subséquente des données. En effet, les données des fiches d’hébergements de tous les voyageurs doivent être transmises par les exploitants à la Police grand-ducale et au STATEC. Ainsi, la CNPD a salué que le projet de loi prévoit une réduction de la durée de conservation des fiches d’hébergement auprès des exploitants et a rappelé qu’en vertu du principe de limitation de la conservation, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées ou traitées.
Cependant, la Commission nationale a constaté que la centralisation des données personnelles auprès de la Police grand-ducale constitue une spécificité par rapport aux autres pays et compte tenu du fait que le projet de loi prévoit la possibilité de procéder à une réquisition des fiches d’hébergement auprès de l’exploitant, elle s’est interrogée sur la nécessité de la transmission automatique des données à la Police grand-ducale. À cet égard, la CNPD tient à rappeler que, conformément à la jurisprudence constante de la Cour de justice de l’Union européenne, les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire. Par conséquent, la Commission nationale s’est ralliée aux observations du Conseil d’Etat selon lesquelles une transmission systématique et généralisée des fiches d’hébergement de l’ensemble des voyageurs qui sont hébergés sur le territoire du Grand-Duché à la Police grand-ducale constitue une ingérence disproportionnée au droit à la protection de la vie privée et au droit à la protection des données à caractère personnel des personnes concernées.
Finalement, la CNPD a recommandé de limiter la granularité des données transmises au STATEC pour éviter tout risque de réidentification des individus et a suggéré de substituer le code postal et l'année de naissance par le pays ou la zone géographique et par des groupes d'âge