Secteur communal

La personne concernée est toute personne physique identifiée ou identifiable dont les données à caractère personnel font l’objet d’un traitement.

Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable.

Le traitement est toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

Le responsable du traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données personnelles. 

Le sous-traitant est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

Le délégué à la protection des données est la personne physique ou morale qui contrôle le respect des mesures de protection des données à caractère personnel.

Le destinataire est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière ne sont pas considérées comme des destinataires.

L’autorité de contrôle est l’autorité publique indépendante chargée de surveiller l’application du Règlement UE 2016/679 du 27 avril 2016. Elle est entre autres dotée de la mission de recevoir les réclamations des personnes concernées par un traitement de données personnelles.

Au Luxembourg, l’autorité de contrôle est la Commission nationale pour la protection des données (CNPD).

Le responsable du traitement est l’organe émetteur de l’ordre de justification, à savoir :

• pour les communes : le collège des bourgmestre et échevins ou son délégué ;
• pour les syndicats de communes : le bureau du syndicat en question ;
• pour les établissements publics placés sous la surveillance des communes : le Président de l’établissement public lorsqu’il exerce des fonctions comparables à celles d’un collège échevinal, sinon l’organe désigné par la loi organique de l’établissement public en question.

Le responsable du traitement peut être contacté à l’adresse de l’organe émetteur. Tout courrier à l’adresse du responsable du traitement est à envoyer à l’organe émetteur, avec la mention que le courrier est destiné au Responsable du traitement.

Suite à l’émission de l’ordre de justification, toute demande d’information, d’accès aux données à caractère personnel, toute demande de rectification ou d’effacement de celles-ci, toute demande de limitation du traitement et toute demande tendant à s’opposer au traitement est à adresser au responsable du traitement. La demande s’opère par écrit moyennant présentation d’une pièce d’identité.

Le Délégué à la protection des données (DPO) peut être contacté à l’adresse de l’organe émetteur. Tout courrier à l’adresse du DPO est à envoyer à l’organe émetteur, avec la mention que le courrier est destiné au Délégué à la protection des données (DPO). 

Pour les communes et les syndicats intercommunaux, le Syndicat Intercommunal de Gestion Informatique (SIGI) opère comme sous-traitant de l’émetteur de l’ordre de justification du fait des services prestés pour l’émetteur. Ces services visent notamment la mise à disposition et la gestion des ressources informatiques au sens large de l’émetteur de l’ordre de justification.

Le responsable du traitement du SIGI peut être contacté sous l’adresse suivante:

Syndicat Intercommunal de Gestion informatique
Responsable du traitement
6, rue de l’étang
L-5326 Contern

Le délégué à la protection des données du SIGI peut être contacté à la même adresse, avec la mention que le courrier est destiné au Délégué à la protection des données (DPO). Il peut aussi être contacté à l’adresse mail : dpo@sigi.lu.

Pour les établissements publics placés sous la surveillance d’une commune, d’autres sous-traitants sont susceptibles d’intervenir comme prestataires de service informatiques. Il convient alors de se tourner vers ces prestataires.

Suite à l’émission d’un ordre de justification, le destinataire de l’ordre est tenu de s’expliquer sur les faits reprochés. Cette justification donne lieu à une évaluation par l’organe émetteur qui peut, sur base de cette évaluation décider, d’en saisir le Commissariat du Gouvernement chargé de l’instruction disciplinaire (CGID). Pour les employés communaux ayant une ancienneté de service de moins de dix ans, l’organe compétent (i.e. le conseil communal, l’organe délibérant du syndicat de communes ou de l’établissement public placé sous la surveillance d’une commune) peut décider de procéder à la résiliation du contrat de travail sous l’approbation du Ministre de l’Intérieur (MINT).

Dans ces cas, l’organe compétent, le MINT et le CGID opèrent comme responsables du traitement autonomes dans leurs interventions. Pour le traitement des données opéré dans le cadre d’une procédure disciplinaire, il est renvoyé à la notice légale du CGID.

Le responsable du traitement et le DPO de l’organe compétent peuvent être contactés à l’adresse de la commune, du syndicat de communes ou de l’établissement public en question.

Le responsable du traitement du MINT peut être contacté à l’adresse suivante:

Ministère de l’Intérieur
Responsable du traitement
19, rue Beaumont
L-1219 Luxembourg

Le DPO du MINT peut être contacté à l’adresse suivante :

Ministère de l’Intérieur
Délégué à la protection des données (DPO)
19, rue Beaumont
L-1219 Luxembourg

Le responsable du traitement du CGID peut être contacté à l’adresse suivante:

Commissariat du Gouvernement chargé de l’instruction disciplinaire
Responsable du traitement
63, avenue de la Liberté
L-1931 Luxembourg

Le DPO du CGID peut être contacté à l’adresse suivante :

Commissariat du Gouvernement chargé de l’instruction disciplinaire
Délégué à la protection des données (DPO)
63, avenue de la Liberté
L-1931 Luxembourg

Suite au traitement mis en œuvre dans le cadre d’une procédure disciplinaire, d’autres autorités peuvent être amenées à traiter les données, que ce soit au niveau des autorités de décision (i.e. le Conseil de discipline) respectivement des autorités de recours (i.e. les juridictions administratives). Ces autorités sont à considérer comme responsables de traitement autonomes.

L’émetteur d’un ordre de justification ainsi que les autorités impliquées dans le traitement de l’ordre de justification sont dans certains cas appelés à transmettre ces données à d’autres entités. Cette transmission se fait en exécution d’obligations légales auxquelles ils sont tenus, ou aux fins de l’exécution d’une mission d’intérêt public.

Les autorités impliquées dans des traitements à finalité secondaire sont principalement les suivantes :

• le procureur d’Etat ou le juge d’instruction ou les autorités de police en charge du dossier pour les communications en matière de constats ou de poursuites de crimes ou de délits, ou d’exécution de mandats de perquisition et de commissions rogatoires;
• le procureur d’Etat ou les autres instances intervenant dans le traitement des demandes de placement ou d’admission et de mise en observation de personnes atteintes de troubles psychiques graves qui les rendent dangereuses pour elles-mêmes ou pour autrui;
• le CTIE intervenant dans le redressement de toute erreur constatée concernant les données à caractère personnel inscrites au RNPP;
• le chargé de dossier de l’Autorité nationale de sécurité (ANS) requérant la collaboration du responsable du traitement dans le traitement d’un dossier de demande d’habilitation d’accès à des données confidentielles;
• es archives nationales dans le cadre de leur mission légale;
• l’Administration des services médicaux (ASM), le service psychosocial du Ministère de la Fonction publique (MFP), la commission des pensions (pour le personnel des communes et des syndicats) dans le cadre de dossiers relevant du responsable du traitement et d’une des autorités en question dans la mesure où la coordination de l’activité administrative requiert une concertation de ces entités;
• le Médiateur, la Chambre des députés, d’autres autorités disciplinaires (Inspection générale de la Police (IGP) et Post), le comité GRECO de l’OCDE ou plus généralement toute autorité ou institution devant laquelle les responsables du traitement successifs sont amenés à témoigner ou à se justifier de leur action ou à échanger des bonnes pratiques.

Il va de soi que les traitements en question sont soumis au principe de minimisation.

Au niveau de l’émetteur de l’ordre de justification, les données à caractère personnel sont traitées pour les besoins de la constatation et de la documentation de manquements disciplinaires imputés au destinataire de l’ordre de justification, et pour l’évaluation et la mise en œuvre de suites disciplinaires à donner aux manquements constatés.

Les bases juridiques définissant cette finalité de traitement sont :

• Pour les fonctionnaires communaux : L’article 18bis de la loi modifiée du 24 décembre 1985 fixant le statut général des fonctionnaires communaux (ci-après le Statut général) ; et le règlement grand-ducal modifié du 11 septembre 2006 fixant les conditions et les modalités de l’ordre de justification à adresser aux fonctionnaires communaux (ci-après le Règlement grand-ducal modifié du 11 septembre 2006).
• Pour les employés communaux : L’article 1^er, paragraphe 4, du Statut général rendant applicable aux employés communaux l’article 18bis du Statut général.

Dans le cadre ou en prolongement de la finalité primaire, les autorités impliquées dans le traitement de l’ordre de justification respectivement les responsables du traitement successifs sont amenés à effectuer un certain nombre de traitements des données à caractère personnel pour répondre à d’autres obligations légales :

• Ainsi, lorsqu’un responsable du traitement acquiert dans l’exercice de ses fonctions connaissance de faits susceptibles de constituer un crime ou un délit, il est tenu d’en donner avis sans délai au procureur d’Etat et de transmettre à ce magistrat tous les renseignements, procès-verbaux et actes qui y sont relatifs. Cette obligation est prévue par l’article 23-2 du Code de procédure pénale.
• Les responsables du traitement successifs donnent également suite aux mandats de perquisition qui leur sont présentés sur ordre d’un juge d’instruction. La base habilitante permettant aux autorités judiciaires de requérir la collaboration du responsable du traitement visé se trouve dans les articles pertinents du Code de procédure pénale réglementant les perquisitions et les saisies ainsi que l’exécution de commissions rogatoires.
• Les responsables du traitement successifs peuvent être amenés à répondre aux demandes d’information de l’Autorité nationale de sécurité (ANS). Les dispositions légales permettant à l’ANS de requérir la collaboration du responsable du traitement se trouvent à l’article 21 de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité.
• Les responsables du traitement successifs peuvent aussi transmettre des données à caractère personnel dans le cadre d’une demande de placement ou d’admission et de mise en observation de personnes atteintes de troubles psychiques graves qui les rendent dangereuses pour elles-mêmes ou pour autrui. Ces mesures sont prises sur base de l’article 7 de la loi modifiée du 10 décembre 2009 relative à l’hospitalisation sans leur consentement de personnes atteintes de troubles mentaux.
• Les responsables du traitement successifs sont tenus de signaler au CTIE toute erreur constatée concernant les données à caractère personnel inscrites au Registre national des personnes physiques (RNPP). Cette obligation est prévue par l’article 9 de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques.
• Les responsables du traitement successifs peuvent être amenés à verser les ordres de justification aux Archives nationales conformément à ses obligations légales prévues par la loi du 17 août 2018 relative à l’archivage.

En prolongement de ces finalités primaires et secondaires, et dans le respect de l’obligation de minimisation, les responsables du traitement successifs traitent également les données personnelles contenues à l’ordre de justification aux fins de l’exécution d’une mission d’intérêt public dont ils sont investis en matière de sécurité, de communication ou de justification de leur action, ou en matière d’échange de bonnes pratiques ou de cohérence de l’action administrative.

Lorsque la cohérence de l’activité administrative le demande, les responsables du traitement successifs collaborent ainsi avec toute autre personne, institution ou autorité devant laquelle ils sont amenés à témoigner ou à se justifier de leur action ou à échanger des bonnes pratiques ou qui sont chargées d’une procédure parallèle tel que les procédures parallèles faisant intervenir l’ASM et le service psychosocial du MFP.

Finalement, les responsables du traitement successifs mettent en œuvre certains traitements pour assurer la sécurité de leur personnel et de leur locaux, installations et systèmes de gestion, ou pour communiquer avec les personnes concernées (téléphonie, courrier).

A titre non exhaustif on peut citer comme personnes concernées respectivement comme destinataires des données ou traitements opérés dans le cadre de la finalité primaire du traitement:

A un premier stade, sont visés : Les plaignants, les victimes, les témoins, des usagers ou des tiers intervenant ou cités dans les faits ou la procédure, des experts et traducteurs, et les agents de l’émetteur amenés à prendre connaissance de ces données ou intervenant dans le cadre de leurs missions dans la préparation et l’émission de l’ordre de justification.

Sont ensuite visés : Les autorités responsables de la transmission de l’ordre de justification et le destinataire de l’ordre de justification.

L’ordre de justification et sa réponse par l’agent donnent lieu à une retransmission au collège échevinal ou assimilé : dans ce cadre, l’organe en question et son personnel sont amenés à prendre connaissance de ces données lorsqu’ils interviennent dans le cadre de leurs missions.

Si l’ordre de justification et sa réponse par l’agent donnent lieu à des poursuites disciplinaires sont en outre visés : le personnel du CGID ou d’autres agents intervenant dans les faits ou dans la procédure ou amenés à prendre connaissance de ces données dans le cadre de leurs missions, la victime, des usagers ou des tiers intervenant ou cités dans les faits ou la procédure, des experts et traducteurs, les avocats des parties, les représentants ou délégués du personnel, les membres et le secrétaire du conseil de discipline, le délégué choisi par le collège échevinal, le bureau du syndicat ou le Président de l’établissement public pour le représenter au niveau du conseil de discipline, le personnel et les membres des juridictions administratives ayant à connaître d'un recours, ainsi que toute autre personne ou autorité concourant à l’instruction ou à la prise de décision ou à l’application des décisions clôturant la procédure disciplinaire ou intervenant dans le traitement d’un recours. Si l’affaire est aiguillée vers le conseil de discipline, et qu’il n’est pas statué à huis clos, le public de l’audience est susceptible de recevoir oralement communication des données à caractère personnel contenues dans le dossier disciplinaire.

Les autorités impliquées dans des traitements à finalité secondaire soit pour répondre à une mission d’intérêt public, soit pour répondre à une obligation légale sont, principalement:

• le procureur d’Etat ou le juge d’instruction ou les autorités de police en charge du dossier pour les communications en matière de constats ou de poursuites de crimes ou de délits ou d’exécution de mandats de perquisition et de commissions rogatoires;
• le procureur d’Etat ou les autres instances intervenant dans le traitement des demandes de placement ou d’admission et mise en observation de personnes atteintes de troubles psychiques graves qui les rendent dangereuses pour elles-mêmes ou pour autrui;
• le CTIE et les autorités communales intervenant dans le redressement de toute erreur constatée concernant les données à caractère personnel inscrites au RNPP;
• le chargé de dossier de l’ANS requérant la collaboration du responsable du traitement dans le traitement d’un dossier de demande d’habilitation d’accès à des données confidentielles;
• les archives nationales dans le cadre de leur mission légale;
• l’ASM, le service psychosocial, la commission des pensions dans le cadre de dossiers relevant du responsable du traitement et d’une des autorités en question et où la coordination de l’activité administrative requiert une concertation de ces entités;
• le Médiateur, la Chambre des députés, d’autres autorités disciplinaires (Inspection générale de la Police (IGP) et Post), le comité GRECO de l’OCDE ou plus généralement toute autorité ou institution devant laquelle les responsables du traitement successifs sont amenés à témoigner ou à se justifier de son action ou à échanger des bonnes pratiques.

Il va de soi que les traitements en question sont soumis au principe de minimisation. 

Un ordre de justification est un document complexe contenant les données à caractère personnel de différentes personnes. Pour assurer un traitement respectueux des droits des différentes parties prenantes, il est tenu confidentiel par nature. Le caractère confidentiel de l’ordre de justification est prévu par les dispositions afférentes du Statut général doublées au niveau pénal par les dispositions générales en matière de secret professionnel du Code pénal.

La nécessité de reconnaître un caractère confidentiel aux informations contenues dans l’ordre de justification découle non seulement de la nécessité de traiter le manquement documenté dans un cadre serein et objectif garant d’un procès équitable, mais plus encore par les droits et intérêts des différentes parties prenantes.

Il en est ainsi tant pour la partie poursuivante soucieuse de son image et du maintien de la confiance du public dans le service public qu’elle preste, que pour l’agent amené à se justifier soucieux de ne pas être exposé au mépris public hypothéquant sa présomption d’innocence, que pour les tiers, tels les témoins qui ont un intérêt et un droit propre à la protection de leurs données à caractère personnel qu’ils ont été amenés à confier en application d’une obligation légale à déposer.

A cela s’ajoute qu’aux termes des dispositions afférentes du Statut général, la publicité des manquements susceptibles de poursuites est susceptible d’affecter la capacité de l’agent poursuivi d’exercer ses fonctions, de générer un scandale ou compromettre les intérêts du service public, ce qui constitue un élément constitutif sinon aggravant des faits à instruire.

Ceci explique pourquoi l’ordre de justification reste la propriété des responsables du traitement successifs.

L’ordre de justification, la réponse de l’agent et les pièces qui s’y rapportent sont transmis à l’agent demandé à se justifier à titre personnel et confidentiel et ne peuvent être copiés, reproduits ou divulgués à un tiers, sauf à l’avocat de l’agent concerné et uniquement pour les stricts besoins de la défense de l’agent concerné dans le seul cadre de la procédure en cours.

Lorsque les besoins de l’instruction nécessitent l’audition ou la confrontation de témoins et experts ou traducteurs avec des données à caractère personnel consignées dans le dossier, ceci est fait dans la plus stricte nécessité de l’instruction. Les destinataires et détenteurs de ces informations sont soumis au secret des informations communiquées et s’abstiennent de révéler à quiconque leur déposition ou prise de position et expertise.

Les autres personnes concourant au traitement de l’ordre de justification sont également tenues de préserver la confidentialité des données dont elles auraient eu à prendre connaissance dans le cadre de leur concours à la procédure.

De manière générale, tous les destinataires et détenteurs de données protégées doivent veiller à la sécurité des données et traiter les données conformément à la loi. Lorsqu’aucune mission d’intérêt public liée à la finalité du traitement ne justifie encore le traitement des données, il incombe à tout destinataire ou détenteur de restituer spontanément et de façon à s’en dessaisir définitivement, l’original ainsi que toute copie ou reproduction du dossier ou de pièces du dossier détenues à l’émetteur.

Les personnes comparaissant ou intervenant dans le traitement de l’ordre de justification ne sont pas autorisées à enregistrer l’audition ou à fixer autrement la parole ou l’image des personnes concourant à l’instruction ou intervenant dans l’instruction. Cette interdiction vaut également pour toute autre personne telle l’avocat ou le représentant ou délégué du personnel ou le traducteur qui assiste les personnes appelées à comparaître ou intervenant dans le traitement au sens large de l’ordre de justification. 

En principe, l’ordre de justification peut contenir toute sorte de données transmises à l’émetteur de l’ordre de justification par des plaignants ou témoins des manquements reprochés au destinataire de l’ordre, y compris des données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou biométriques, des données concernant la santé ou la vie sexuelle ou l’orientation sexuelle ou des condamnations pénales des personnes poursuivies ou de tierces personnes; voire des données d’identification, des données bancaires et financières, des données relatives au statut administratif du destinataire de l’ordre ou de tierces personnes, des données physiques, des données relatives aux habitudes de vie, aux loisirs, aux caractéristiques de leur logement, des données relatives à leur éducation et leurs qualifications ou leur emploi, leur carrière et leur traitement, y compris des enregistrements d’images et de son.

L’ordre de justification est généralement émis sur base d’informations et de constats transmis à l’émetteur de l’ordre de justification par les plaignants ou témoins des faits à la base de l’ordre de justification. À ce titre, l’émetteur n’a qu’une maîtrise partielle des faits appelés à former le contenu de l’ordre de justification.

Les données fournies par les plaignants ou témoins sont complétées par des données rassemblées par l’émetteur de l’ordre de justification ou par l’instruction, les instances de décision ou de recours saisies consécutivement du traitement de l’ordre de justification et des pièces qui sont à la base. 

Les données contenues dans et associées à l’ordre de justification sont versées au dossier personnel du destinataire. Le dossier personnel peut être tenu sous forme papier ou électronique. La copie électronique des pièces est stockée sur les serveurs des responsables du traitement successifs ou de leurs sous-traitants.

Les données sont communiquées aux personnes appelées à concourir ou à intervenir dans la procédure, respectivement aux personnes habilitées à en recevoir communication. Elles sont détruites lorsque aucun traitement ne légitime leur conservation.

Les données ne sont pas utilisées pour des opérations de profilage.

Le cas échéant, les données contenues dans et associées à l’ordre de justification sont susceptibles d’être transférées vers des pays hors UE pour les besoins de l’instruction. L’exemple type étant celui de la saisie d’un dossier sur base d’une commission rogatoire d’un pays hors UE.

Les responsables du traitement successifs et leurs sous-traitants veillent à la stricte limitation des traitements appliqués aux données par rapport à la finalité du traitement, le tout dans le respect des droits des tiers et des obligations supérieures en matière de droits de la défense et de droit à un procès équitable consignées par les principes généraux de droit.

Le plaignant et l’émetteur de l’ordre de justification ne fournissent que les données à caractère personnel strictement nécessaires au traitement envisagé. Ils s’assurent de la légalité de la détention des données à caractère personnel qu’ils transmettent. De cette manière, ils veillent plus particulièrement au respect des droits des tiers dont ils traitent les données à caractère personnel.

La durée de conservation des données de l’ordre de justification, de la réponse de l’agent et des pièces qui sont à la base (le tout formant par la suite le Dossier) dépend du traitement qui est réservé à l’ordre de justification :

1. Si la réponse est jugée satisfaisante et que les faits sont pardonnés par l’autorité disciplinaire, le Dossier n’a plus lieu d’être conservé. Le pardon doit être explicite et provenir de l’autorité disciplinaire.
2. Si la réponse est jugée satisfaisante et qu’il n’y a pas de pardon explicite comme sub 1) ci-dessus parce que l’organe émetteur de l’ordre de justification veut s’aménager la possibilité de revenir sur les faits en cas de récidive, ou s’il y a un pardon mais que ce pardon ne provient pas de l’autorité disciplinaire (i.e. du collège échevinal ou assimilé) mais d’une instance subalterne, le Dossier doit être versé au dossier personnel de l’agent où il est gardé jusqu’à ce que les faits ne soient plus susceptibles de poursuites pour être prescrits en application des règles de l’article 88 du Statut général.
   
   En général, le Dossier doit alors être gardé pendant trois ans. Ce délai peut être rallongé si les faits sont susceptibles de constituer en même temps un délit ou un crime qui ne se prescrivent à ce titre qu’au bout de la prescription de 5 ou 10 ans applicable en matière pénale (cf article 88 du Statut général).
   
   Le Dossier n’a plus lieu d’être conservé lorsque l’agent quitte le service suite à sa démission ou équivalent pendant le délai de garde.
3. Si la réponse ne donne pas satisfaction ou si les faits sont jugés graves (cf article 4 du Règlement grand-ducal modifié du 11 septembre 2006), le Dossier est transmis à l’autorité disciplinaire (i.e. au collège échevinal ou assimilé) qui décide de donner des suites disciplinaires. En cas de suites disciplinaires, la durée de conservation du Dossier dépend de l’issue de la procédure disciplinaire: destruction en cas de classement sans suite, conservation pendant 3 ans depuis la date de la sanction en cas de prononcé d’une sanction mineure de l’article 67 du Statut général, conservation pendant toute la durée de la carrière plus 6 mois en cas de sanction plus grave ou sanction mineure suivie dans les 3 ans de la date de la sanction mineure d’une autre sanction (cf article 67 du Statut général). Il est à ce propos renvoyé à la notice légale pertinente du CGID. 

Les responsables du traitement successifs respectivement leurs sous-traitants mettent en place les mesures techniques et organisationnelles et les politiques appropriées pour s’assurer et être en mesure de démontrer que le traitement des données est effectué conformément à la réglementation applicable en matière de protection des données à caractère personnel.

En outre, le personnel des responsables du traitement successifs et de leurs sous-traitants est soumis à une obligation de confidentialité. Il a accès aux données à caractère personnel uniquement dans la mesure où l’exercice de ses fonctions le requiert. Le personnel des responsables du traitement successifs et de leurs sous-traitants est formé et a reçu une documentation pour le sensibiliser et améliorer ses compétences et connaissances en matière de protection des données à caractère personnel.

Le destinataire de l’ordre de justification est informé du traitement de ses données lors de la notification de l’ordre de justification.

Le destinataire de l’ordre de justification et les autres personnes concernées ont droit à être informés d’une violation de données à caractère personnel si celle-ci est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Les personnes dont les données à caractère personnel sont traitées dans le cadre de l’émission d’un ordre de justification ont un droit d’accès à leurs données à caractère personnel. Le droit d’accès s’opère dans le respect des droits des tiers et des obligations de confidentialité qui entourent par ailleurs la communication de ces informations.

Concrètement, cela veut dire que dans un document complexe qui contient des données de plusieurs personnes, chaque personne n’a qu’un droit d’accès limité aux informations se rapportant à sa propre personne, ou encore qu’une information soumise au secret de l’instruction en matière pénale ne peut être levée que sur accord du procureur d’Etat.

Au cas où l’ordre de justification est classé au dossier personnel, le Statut général garantit un accès aux données personnelles contenues dans l’ordre de justification à travers la réglementation définissant le droit d’accès au dossier personnel.

Si l’ordre de justification donne lieu à des poursuites disciplinaires, le droit d’accès aux données à caractère personnel contenues dans l’ordre de justification est également garanti. Il est renvoyé à ce propos à la notice légale du CGID applicable en la matière. 

Les responsables du traitement successifs veillent à l’exactitude et la tenue à jour des données à caractère personnel. Ils rectifient les données inexactes ou incomplètes sur demande écrite de la personne concernée, accompagnée d’une copie d’une pièce d’identité.

Les responsables du traitement successifs signalent spontanément au Centre des technologies de l'information de l'Etat toutes les erreurs dont ils auraient connaissance lors de la notification de l’ordre de justification par comparaison de l’adresse que l’agent a déclaré comme sa résidence et des données renseignées dans le registre national des personnes physiques.

La personne dont les données à caractère personnel sont traitées a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant, et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais. Aucune demande d’effacement n’est cependant acceptée pour un traitement de données à caractère personnel qui continue à être nécessaire: 

• pour l’exécution de la finalité de traitement qui justifie le traitement des données  ; 
• pour le respect d’une obligation légale auquel le responsable du traitement est soumis ; 
• à des fins archivistiques, de recherche historique ou à des fins statistiques ; 
• à la constatation, à l’exercice ou à la défense de droits en justice.

La personne dont les données à caractère personnel sont traitées peut revendiquer la limitation du traitement de ses données :

1. lorsqu’elle conteste l'exactitude des données à caractère personnel. La limitation du traitement peut être demandée pour la durée permettant au responsable du traitement de vérifier l'exactitude des données à caractère personnel;
2. lorsque le traitement est illicite et qu’elle s'oppose à leur effacement et exige à la place la limitation de leur utilisation ;
3. lorsque le responsable du traitement n'a plus besoin des données à caractère personnel aux fins du traitement mais que celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice;
4. lorsqu’elle a exercé son droit d’opposition. La limitation du traitement peut alors être demandée pendant le traitement de sa demande d’opposition où il est vérifié si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.

Lorsque la demande de limitation a été acceptée, les données à caractère personnel ne peuvent, à l'exception de la conservation, être traitées qu'avec le consentement de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne physique ou morale, ou encore pour des motifs importants d'intérêt public de l'Union européenne ou de l’Etat luxembourgeois.

La personne concernée qui a obtenu la limitation du traitement de ses données à caractère personnel est informée par le responsable du traitement avant la levée de la limitation du traitement.

Les demandes d’exercice des droits précités sont à adresser au responsable du traitement.

La personne dont les données à caractère personnel sont traitées a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement de ses données à caractère personnel la concernant et qui est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.

Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.

Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, ils sont soumis à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière. Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l'identification des personnes concernées, il convient de procéder de cette manière. 

La personne dont les données à caractère personnel sont traitées et qui n’a pas obtenu satisfaction à sa demande formulée auprès du responsable du traitement ou du délégué à la protection des données peut adresser une réclamation à l’autorité de contrôle à l’adresse suivante:

Commission nationale pour la protection des données (CNPD)
1, avenue du Rock’n’Roll
L-4361 Esch-sur-Alzette
Formulaire de plainte