Secteur étatique

La présente notice s’adresse principalement au destinataire d’un ordre de justification ayant :

  • le statut de fonctionnaire de l’Etat ; ou bien
  • la qualité d’employé de l’Etat.

Elle s’adresse ensuite plus généralement à toute personne concernée par un ordre de justification dans la mesure où ses données y sont traitées.

Elle a pour objet de les informer sur les traitements opérés, ainsi que sur leurs droits et obligations en matière de protection des données à caractère personnel.

La présente notice est susceptible d’être modifiée ou complétée à tout moment et sans préavis. Elle est destinée à vulgariser l’accès à l’information et doit à cet effet simplifier certains sujets.

La présente notice a été établie avec soin, cependant l’exactitude ou le caractère complet de son contenu ne sauraient être garantis. Seules les dispositions légales font foi et aucun droit ne saurait résulter de la présente notice. Il appartient au destinataire de l’ordre de justification et aux personnes concernées de se tenir informé en consultant de la présente notice accessible en ligne.

Quelques définitions utiles

Personne concernée

La personne concernée est toute personne physique identifiée ou identifiable dont les données à caractère personnel font l’objet d’un traitement.

Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Données à caractère personnel

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable.

Traitement

Le traitement est toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

Responsable du traitement

Le responsable du traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données personnelles.

Sous-traitant

Le sous-traitant est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

Délégué à la protection des données (« DPO »)

Le délégué à la protection des données est la personne physique ou morale qui contrôle le respect des mesures de protection des données à caractère personnel.

Destinataire

Le destinataire est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière ne sont pas considérées comme des destinataires.

Autorité de contrôle

L’autorité de contrôle est l’autorité publique indépendante chargée de surveiller l’application du Règlement UE 2016/679 du 27 avril 2016. Elle est entre autres dotée de la mission de recevoir les réclamations des personnes concernées par un traitement de données personnelles.

Au Luxembourg, l’autorité de contrôle est la Commission nationale pour la protection des données (CNPD).

Identité des Responsables du traitement / DPO

Au niveau de l’émetteur de l’ordre de justification

Le responsable du traitement est l’administration émettrice de l’ordre de justification. Il peut être contacté à l’adresse de l’administration émettrice de l’ordre de justification. Tout courrier à l’adresse du responsable du traitement est à envoyer à l’administration émettrice, avec la mention que le courrier est destiné au Responsable du traitement.

Suite à l’émission de l’ordre de justification, toute demande d’information, d’accès aux données à caractère personnel, toute demande de rectification ou d’effacement de celles-ci, toute demande de limitation du traitement et toute demande tendant à s’opposer au traitement est à adresser au responsable du traitement de l’administration émettrice de l’ordre de justification. La demande s’opère par écrit moyennant présentation d’une pièce d’identité.

Le Délégué à la protection des données (DPO) peut être contacté à l’adresse de l’administration émettrice de l’ordre de justification. Tout courrier à l’adresse du DPO est à envoyer à l’administration émettrice, avec la mention que le courrier est destiné au Délégué à la protection des données (DPO).

Au niveau des sous-traitants

Le Centre de gestion du personnel et de l’organisation de l’Etat (CGPO) respectivement le Centre des technologies de l’information de l’Etat (CTIE) opèrent comme sous-traitants de l’émetteur de l’ordre de justification du fait des services prestés pour l’émetteur. Ces services visent notamment la gestion des carrières, la tenue du dossier personnel et la mise à disposition et la gestion des ressources informatiques au sens large de l’émetteur de l’ordre de justification.

Le responsable du traitement du CGPO peut être contacté sous l’adresse suivante:

Centre de gestion du personnel et de l’organisation de l’Etat
Responsable du traitement
63, avenue de la Liberté
L-1931 Luxembourg

 

Le Délégué à la protection des données du CGPO peut être contacté à la même adresse, avec la mention que le courrier est destiné au Délégué à la protection des données (DPO).

 

Le responsable du traitement du CTIE peut être contacté sous l’adresse suivante:

Centre des technologies de l’information de l’Etat
Responsable du traitement
1, rue Mercier
L-2144 Luxembourg

 

Le Délégué à la protection des données du CTIE peut être contacté à la même adresse, avec la mention que le courrier est destiné au Délégué à la protection des données (DPO).

Il est à noter que certaines administrations sous-traitent la mise à disposition et la gestion des ressources informatiques au sens large à des prestataires autres que le CTIE ou le CGPO. Il convient alors de se tourner vers ces prestataires. Ceci vise par exemple l’éducation nationale qui opère par l’intermédiaire du Centre de gestion informatique de l’éducation (CGIE), les institutions de la sécurité sociale ou plus largement les établissements publics qui ont une certaine autonomie par rapport à l’état central à ce niveau.

Au niveau du destinataire primaire

Suite à l’émission d’un ordre de justification, le destinataire de l’ordre est tenu de s’expliquer sur les faits reprochés. Cette justification donne lieu à une évaluation par l’émetteur qui peut, sur base de cette évaluation décider, d’en saisir l’autorité disciplinaire, c’est-à-dire le Ministre du ressort.

L’autorité disciplinaire peut à son tour décider d’en saisir le Commissariat du Gouvernement chargé de l’instruction disciplinaire (CGID), respectivement, pour les employés ayant une ancienneté de service de moins de dix ans, de procéder à la résiliation du contrat de travail en collaboration avec le Ministère de la Fonction publique (MFP).

Dans ces cas, l’autorité disciplinaire, le MFP et le CGID opèrent comme responsables du traitement autonomes dans leurs interventions. Pour le traitement des données opéré dans le cadre d’une procédure disciplinaire, il est renvoyé à la notice légale du CGID.

Le responsable du traitement et le DPO de l’autorité disciplinaire peuvent être contactés à l’adresse de leur siège. Il s’agit de l’adresse du Ministère du ressort dont dépend l’administration émettrice de l’ordre de justification.

 

Le responsable du traitement du MFP peut être contacté à l’adresse suivante:

Ministère de la Fonction publique
Responsable du traitement
63, avenue de la Liberté
L-1931 Luxembourg

 

Le DPO du MFP peut être contacté à l’adresse suivante :

Ministère de la Fonction publique
Délégué à la protection des données (DPO)
63, avenue de la Liberté
L-1931 Luxembourg

 

Le responsable du traitement du CGID peut être contacté à l’adresse suivante:

Commissariat du Gouvernement chargé de l’instruction disciplinaire
Responsable du traitement
63, avenue de la Liberté
L-1931 Luxembourg

 

Le DPO du CGID peut être contacté à l’adresse suivante :

Commissariat du Gouvernement chargé de l’instruction disciplinaire
Délégué à la protection des données (DPO)
63, avenue de la Liberté
L-1931 Luxembourg

Suite au traitement mis en œuvre dans le cadre d’une procédure disciplinaire, d’autres autorités peuvent être amenées à traiter les données, que ce soit au niveau des autorités de décision (i.e. le Conseil de discipline) respectivement des autorités de recours (i.e. les juridictions administratives). Ces autorités sont à considérer comme responsables de traitement autonomes.

Au niveau des autorités impliquées dans des traitements à finalité secondaire

L’émetteur d’un ordre de justification ainsi que les autorités impliquées dans le traitement de l’ordre de justification sont dans certains cas appelés à transmettre ces données à d’autres entités. Cette transmission se fait en exécution d’obligations légales auxquelles ils sont tenus, ou aux fins de l’exécution d’une mission d’intérêt public.

Les autorités impliquées dans des traitements à finalité secondaire sont principalement les suivantes :

  • le procureur d’Etat ou le juge d’instruction ou les autorités de police en charge du dossier pour les communications en matière de constats ou de poursuites de crimes ou de délits, ou d’exécution de mandats de perquisition et de commissions rogatoires;
  • le procureur d’Etat ou les autres instances intervenant dans le traitement des demandes de placement ou d’admission et de mise en observation de personnes atteintes de troubles psychiques graves qui les rendent dangereuses pour elles-mêmes ou pour autrui;
  • le CTIE intervenant dans le redressement de toute erreur constatée concernant les données à caractère personnel inscrites au RNPP;
  • le chargé de dossier de l’Autorité nationale de sécurité (ANS) requérant la collaboration du responsable du traitement dans le traitement d’un dossier de demande d’habilitation d’accès à des données confidentielles;
  • les archives nationales dans le cadre de leur mission légale;
  • l’Administration des services médicaux (ASM), le service psychosocial, la commission des pensions dans le cadre de dossiers relevant du responsable du traitement et d’une des autorités en question dans la mesure où la coordination de l’activité administrative requiert une concertation de ces entités;
  • le Médiateur, la Chambre des députés, les autorités disciplinaires jumelles (Inspection générale de la Police (IGP) et Post), le comité GRECO de l’OCDE ou plus généralement toute autorité ou institution devant laquelle les responsables du traitement successifs sont amenés à témoigner ou à se justifier de leur action ou à échanger des bonnes pratiques.

Il va de soi que les traitements en question sont soumis au principe de minimisation.

Finalités des traitements

Finalité primaire : exécuter une mission légale

Au niveau de l’émetteur de l’ordre de justification, les données à caractère personnel sont traitées pour les besoins de la constatation et de la documentation de manquements disciplinaires imputés au destinataire de l’ordre de justification, et pour l’évaluation et la mise en œuvre de suites disciplinaires à donner aux manquements constatés.

Les bases juridiques définissant cette finalité de traitement sont :

Finalités de traitement secondaires : répondre à d’autres obligations légales et à la mission d’intérêt public des responsables du traitement

Dans le cadre ou en prolongement de la finalité primaire, les autorités impliquées dans le traitement de l’ordre de justification, respectivement les responsables du traitement successifs sont amenés à effectuer un certain nombre de traitements des données à caractère personnel pour répondre à d’autres obligations légales :

  • Ainsi, lorsqu’un responsable du traitement acquiert dans l’exercice de ses fonctions connaissance de faits susceptibles de constituer un crime ou un délit, il est tenu d’en donner avis sans délai au procureur d’Etat et de transmettre à ce magistrat tous les renseignements, procès-verbaux et actes qui y sont relatifs. Cette obligation est prévue par l’article 23-2 du Code de procédure pénale.
  • Les responsables du traitement successifs donnent également suite aux mandats de perquisition qui leur sont présentés sur ordre d’un juge d’instruction. La base habilitante permettant aux autorités judiciaires de requérir la collaboration du responsable du traitement visé se trouve dans les articles pertinents du Code de procédure pénale réglementant les perquisitions et les saisies ainsi que l’exécution de commissions rogatoires.
  • Les responsables du traitement successifs peuvent être amenés à répondre aux demandes d’information de l’Autorité nationale de sécurité (ANS). Les dispositions légales permettant à l’ANS de requérir la collaboration du responsable du traitement se trouvent à l’article 21 de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité.
  • Les responsables du traitement successifs peuvent aussi transmettre des données à caractère personnel dans le cadre d’une demande de placement ou d’admission et de mise en observation de personnes atteintes de troubles psychiques graves qui les rendent dangereuses pour elles-mêmes ou pour autrui. Ces mesures sont prises sur base de l’article 7 de la loi modifiée du 10 décembre 2009 relative à l’hospitalisation sans leur consentement de personnes atteintes de troubles mentaux.
  • Les responsables du traitement successifs sont tenus de signaler au CTIE toute erreur constatée concernant les données à caractère personnel inscrites au Registre national des personnes physiques (RNPP). Cette obligation est prévue par l’article 9 de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques.
  •  Les responsables du traitement successifs peuvent être amenés  à verser les ordres de justification aux Archives nationales conformément à ses obligations légales prévues par la loi du 17 août 2018 relative à l’archivage.

En prolongement de ces finalités primaires et secondaires, et dans le respect de l’obligation de minimisation, les responsables du traitement successifs traitent également les données personnelles contenues à l’ordre de justification aux fins de l’exécution d’une mission d’intérêt public dont ils sont investis en matière de sécurité, de communication ou de justification de leur action, ou en matière d’échange de bonnes pratiques ou de cohérence de l’action administrative.

Lorsque la cohérence de l’activité administrative le demande, les responsables du traitement successifs collaborent ainsi avec toute autre personne, institution ou autorité devant laquelle ils sont amenés à témoigner ou à se justifier de leur action ou à échanger des bonnes pratiques ou qui sont chargées d’une procédure parallèle tel que les procédures parallèles faisant intervenir l’Administration des services médicaux (ASM) et le service psychosocial du MFP.

Finalement, les responsables du traitement successifs mettent en œuvre certains traitements pour assurer la sécurité de leur personnel et de leur locaux, installations et systèmes de gestion, ou pour communiquer avec les personnes concernées (téléphonie, courrier).

Personnes concernées / Destinataires et leurs obligations

Personnes concernées/ Destinataires

A titre non exhaustif on peut citer comme personnes concernées respectivement comme destinataires des données ou traitements opérés dans le cadre de la finalité primaire du traitement:

A un premier stade, sont visés : Les plaignants, les victimes, les témoins, des usagers ou des tiers intervenant ou cités dans les faits ou la procédure, des experts et traducteurs, et les agents de l’émetteur amenés à prendre connaissance de ces données ou intervenant dans le cadre de leurs missions dans la préparation et l’émission de l’ordre de justification.

Sont ensuite visés : Les autorités responsables de la transmission de l’ordre de justification et le destinataire de l’ordre de justification.

Si l’ordre de justification et sa réponse par l’agent donnent lieu à une transmission à l’autorité disciplinaire : l’autorité disciplinaire et le personnel amené à prendre connaissance de ces données intervenant dans le cadre de ses missions sur ordre ou pour le compte de l’autorité disciplinaire.

Si l’ordre de justification et sa réponse par l’agent donnent lieu à des poursuites disciplinaires sont en outre visés : le personnel du CGID ou d’autres agents intervenant dans les faits ou dans la procédure ou amenés à prendre connaissance de ces données dans le cadre de leurs missions, la victime, des usagers ou des tiers intervenant ou cités dans les faits ou la procédure, des experts et traducteurs, les avocats des parties, les représentants ou délégués du personnel, les membres et le secrétaire du conseil de discipline, le délégué du gouvernement ou assimilé intervenant devant le conseil de discipline, le personnel et les membres des juridictions administratives ayant à connaître d'un recours, ainsi que toute autre personne ou autorité concourant à l’instruction ou à la prise de décision ou à l’application des décisions clôturant la procédure disciplinaire ou intervenant dans le traitement d’un recours. Si l’affaire est aiguillée vers le conseil de discipline, et qu’il n’est pas statué à huis clos, le public de l’audience est susceptible de recevoir oralement communication des données à caractère personnel contenues dans le dossier disciplinaire.

Les autorités impliquées dans des traitements à finalité secondaire soit pour répondre à une mission d’intérêt public, soit pour répondre à une obligation légale sont, principalement:

  • le procureur d’Etat ou le juge d’instruction ou les autorités de police en charge du dossier pour les communications en matière de constats ou de poursuites de crimes ou de délits ou d’exécution de mandats de perquisition et de commissions rogatoires;
  • le procureur d’Etat ou les autres instances intervenant dans le traitement des demandes de placement ou d’admission et mise en observation de personnes atteintes de troubles psychiques graves qui les rendent dangereuses pour elles-mêmes ou pour autrui;
  • le CTIE et les autorités communales intervenant dans le redressement de toute erreur constatée concernant les données à caractère personnel inscrites au RNPP;
  • le chargé de dossier de l’ANS requérant la collaboration du responsable du traitement dans le traitement d’un dossier de demande d’habilitation d’accès à des données confidentielles;
  • les archives nationales dans le cadre de leur mission légale;
  • l’ASM, le service psychosocial, la commission des pensions dans le cadre de dossiers relevant du responsable du traitement et d’une des autorités en question et où la coordination de l’activité administrative requiert une concertation de ces entités;
  • le Médiateur, la Chambre des députés, les autorités disciplinaires jumelles (Inspection générale de la Police (IGP) et Post), le comité GRECO de l’OCDE ou plus généralement toute autorité ou institution devant laquelle les responsables du traitement successifs sont amenés à témoigner ou à se justifier de son action ou à échanger des bonnes pratiques.

Il va de soi que les traitements en question sont soumis au principe de minimisation. 

Obligations des destinataires et détenteurs de données

Un ordre de justification est un document complexe contenant les données à caractère personnel de différentes personnes. Pour assurer un traitement respectueux des droits des différentes parties prenantes, il est tenu confidentiel par nature. Le caractère confidentiel de l’ordre de justification est prévu par les dispositions afférentes du Statut général doublées au niveau pénal par les dispositions générales en matière de secret professionnel du Code pénal.

La nécessité de reconnaître un caractère confidentiel aux informations contenues dans l’ordre de justification découle non seulement de la nécessité de traiter le manquement documenté dans un cadre serein et objectif garant d’un procès équitable, mais plus encore par les droits et intérêts des différentes parties prenantes.

Il en est ainsi tant pour la partie poursuivante soucieuse de son image et du maintien de la confiance du public dans le service public qu’elle preste, que pour l’agent amené à se justifier soucieux de ne pas être exposé au mépris public hypothéquant sa présomption d’innocence, que pour les tiers, tels les témoins qui ont un intérêt et un droit propre à la protection de leurs données à caractère personnel qu’ils ont été amenés à confier en application d’une obligation légale à déposer.

A cela s’ajoute qu’aux termes des dispositions afférentes du Statut général, la publicité des manquements susceptibles de poursuites est susceptible d’affecter la capacité de l’agent poursuivi d’exercer ses fonctions, de générer un scandale ou compromettre les intérêts du service public, ce qui constitue un élément constitutif sinon aggravant des faits à instruire.

Ceci explique pourquoi l’ordre de justification reste la propriété des responsables du traitement successifs.

L’ordre de justification, la réponse de l’agent et les pièces qui s’y rapportent sont transmis à l’agent demandé à se justifier à titre personnel et confidentiel et ne peuvent être copiés, reproduits ou divulgués à un tiers, sauf à l’avocat de l’agent concerné et uniquement pour les stricts besoins de la défense de l’agent concerné dans le seul cadre de la procédure en cours.

Lorsque les besoins de l’instruction nécessitent l’audition ou la confrontation de témoins et experts ou traducteurs avec des données à caractère personnel consignées dans le dossier, ceci est fait dans la plus stricte nécessité de l’instruction. Les destinataires et détenteurs de ces informations sont soumis au secret des informations communiquées et s’abstiennent de révéler à quiconque leur déposition ou prise de position et expertise.

Les autres personnes concourant au traitement de l’ordre de justification sont également tenues de préserver la confidentialité des données dont elles auraient eu à prendre connaissance dans le cadre de leur concours à la procédure.

De manière générale, tous les destinataires et détenteurs de données protégées doivent veiller à la sécurité des données et traiter les données conformément à la loi. Lorsqu’aucune mission d’intérêt public liée à la finalité du traitement ne justifie encore le traitement des données, il incombe à tout destinataire ou détenteur de restituer spontanément et de façon à s’en dessaisir définitivement, l’original ainsi que toute copie ou reproduction du dossier ou de pièces du dossier détenues à l’émetteur.

Les personnes comparaissant ou intervenant dans le traitement de l’ordre de justification ne sont pas autorisées à enregistrer l’audition ou à fixer autrement la parole ou l’image des personnes concourant à l’instruction ou intervenant dans l’instruction. Cette interdiction vaut également pour toute autre personne telle l’avocat ou le représentant ou délégué du personnel ou le traducteur qui assiste les personnes appelées à comparaître ou intervenant dans le traitement au sens large de l’ordre de justification.

Catégories de données / Sources /Durée de conservation

Catégories de données

En principe, l’ordre de justification peut contenir toute sorte de données transmises à l’émetteur de l’ordre de justification par des plaignants ou témoins des manquements reprochés au destinataire de l’ordre, y compris des données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou biométriques, des données concernant la santé ou la vie sexuelle ou l’orientation sexuelle ou des condamnations pénales des personnes poursuivies ou de tierces personnes; voire des données d’identification, des données bancaires et financières, des données relatives au statut administratif du destinataire de l’ordre ou de tierces personnes, des données physiques, des données relatives aux habitudes de vie, aux loisirs, aux caractéristiques de leur logement, des données relatives à leur éducation et leurs qualifications ou leur emploi, leur carrière et leur traitement, y compris des enregistrements d’images et de son.

Sources

L’ordre de justification est généralement émis sur base d’informations et de constats transmis à l’émetteur de l’ordre de justification par les plaignants ou témoins des faits à la base de l’ordre de justification. À ce titre, l’émetteur n’a qu’une maîtrise partielle des faits appelés à former le contenu de l’ordre de justification.

Les données fournies par les plaignants ou témoins sont complétées par des données rassemblées par l’émetteur de l’ordre de justification ou par l’instruction, les instances de décision ou de recours saisies consécutivement du traitement de l’ordre de justification et des pièces qui sont à la base.

Opérations effectuées avec les données / Transfert des données vers des pays tiers

Les données contenues dans et associées à l’ordre de justification sont versées au dossier personnel du destinataire. Le dossier personnel peut être tenu sous forme papier ou électronique. La copie électronique des pièces est stockée sur les serveurs des responsables du traitement successifs ou de leurs sous-traitants.

Les données sont communiquées aux personnes appelées à concourir ou à intervenir dans la procédure, respectivement aux personnes habilitées à en recevoir communication. Elles sont détruites lorsque aucun traitement ne légitime leur conservation.

Les données ne sont pas utilisées pour des opérations de profilage.

Le cas échéant, les données contenues dans et associées à l’ordre de justification sont susceptibles d’être transférées vers des pays hors UE pour les besoins de l’instruction. L’exemple type étant celui de la mise à disposition du dossier disciplinaire le visant à un agent diplomatique en poste hors UE, respectivement la saisie d’un dossier sur base d’une commission rogatoire d’un pays hors UE.

Devoir de minimisation

Les responsables du traitement successifs et leurs sous-traitants veillent à la stricte limitation des traitements appliqués aux données par rapport à la finalité du traitement, le tout dans le respect des droits des tiers et des obligations supérieures en matière de droits de la défense et de droit à un procès équitable consignées par les principes généraux de droit.

Le plaignant et l’émetteur de l’ordre de justification ne fournissent que les données à caractère personnel strictement nécessaires au traitement envisagé. Ils s’assurent de la légalité de la détention des données à caractère personnel qu’ils transmettent. De cette manière, ils veillent plus particulièrement au respect des droits des tiers dont ils traitent les données à caractère personnel.

Durée de conservation

La durée de conservation des données de l’ordre de justification, de la réponse de l’agent et des pièces qui sont à la base (le tout formant par la suite le Dossier) dépend du traitement qui est réservé à l’ordre de justification :

  1. Si la réponse est jugée satisfaisante et que les faits sont pardonnés par l’autorité disciplinaire, le Dossier n’a plus lieu d’être conservé. Le pardon doit être explicite et provenir de l’autorité disciplinaire.
  2. Si la réponse est jugée satisfaisante et qu’il n’y a pas de pardon explicite comme sub 1) ci-dessus parce que le chef d’administration veut s’aménager la possibilité de revenir sur les faits en cas de récidive, ou s’il y a un pardon mais que ce pardon ne provient pas de l’autorité disciplinaire (i.e. du Ministre) mais du chef d’administration comme dans la situation décrite par l’article 4 du Règlement grand-ducal du 5 mars 2004, le Dossier doit être versé au dossier personnel de l’agent où il est gardé jusqu’à ce que les faits ne soient plus susceptibles de poursuites pour être prescrits en application des règles de l’article 74 du Statut général.
    En général, le Dossier doit alors être gardé pendant trois ans. Ce délai peut être rallongé si les faits sont susceptibles de constituer en même temps un délit ou un crime qui ne se prescrivent à ce titre qu’au bout de la prescription de 5 ou 10 ans applicable en matière pénale (cf article 74 du Statut général).
    Le Dossier n’a plus lieu d’être conservé lorsque l’agent fait l’objet d’un changement d’administration pendant le délai de garde.
  3.  Si la réponse ne donne pas satisfaction ou si les faits sont jugés graves (cf article 4 du Règlement grand-ducal du 5 mars 2004), le Dossier est transmis par le chef d’administration à l’autorité disciplinaire (i.e. le Ministre) sur base de l’article 9-3 du Statut général. Il appartient alors au Ministre de décider s’il veut donner les suites disciplinaires demandées. Si le Ministre n’y donne aucune suite: les délais de conservation prévus aux hypothèses 1) ou 2) ci-dessus sont de rigueur selon le cas. Si le Ministre décide d’y donner des suites disciplinaires, la durée de conservation du Dossier dépend de l’issue de la procédure disciplinaire: destruction en cas de classement sans suite, conservation pendant 3 ans depuis la date de la sanction en cas de prononcé d’une sanction mineure de l’article 54 du Statut général, conservation pendant toute la durée de la carrière plus 6 mois en cas de sanction plus grave ou sanction mineure suivie dans les 3 ans de la date de la sanction mineure d’une autre sanction (cf article 54 du Statut général). Il est à ce propos renvoyé à la notice légale pertinente du CGID.
Mesures de sécurité

Les responsables du traitement successifs respectivement leurs sous-traitants mettent en place les mesures techniques et organisationnelles et les politiques appropriées pour s’assurer et être en mesure de démontrer que le traitement des données est effectué conformément à la réglementation applicable en matière de protection des données à caractère personnel.

En outre, le personnel des responsables du traitement successifs et de leurs sous-traitants est soumis à une obligation de confidentialité. Il a accès aux données à caractère personnel uniquement dans la mesure où l’exercice de ses fonctions le requiert. Le personnel des responsables du traitement successifs et de leurs sous-traitants est formé et a reçu une documentation pour le sensibiliser et améliorer ses compétences et connaissances en matière de protection des données à caractère personnel.

Droits des personnes concernées

Droit à l’information

Le destinataire de l’ordre de justification est informé du traitement de ses données lors de la notification de l’ordre de justification.

Le destinataire de l’ordre de justification et les autres personnes concernées ont droit à être informés d’une violation de données à caractère personnel si celle-ci est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Droit d’accès

Les personnes dont les données à caractère personnel sont traitées dans le cadre de l’émission d’un ordre de justification ont un droit d’accès à leurs données à caractère personnel. Le droit d’accès s’opère dans le respect des droits des tiers et des obligations de confidentialité qui entourent par ailleurs la communication de ces informations.

Concrètement, cela veut dire que dans un document complexe qui contient des données de plusieurs personnes, chaque personne n’a qu’un droit d’accès limité aux informations se rapportant à sa propre personne, ou encore qu’une information soumise au secret de l’instruction en matière pénale ne peut être levée que sur accord du procureur d’Etat.

Au cas où l’ordre de justification est classé au dossier personnel, le Statut général garantit un accès aux données personnelles contenues dans l’ordre de justification à travers la réglementation définissant le droit d’accès au dossier personnel.

Si l’ordre de justification donne lieu à des poursuites disciplinaires, le droit d’accès aux données à caractère personnel contenues dans l’ordre de justification est également garanti. Il est renvoyé à ce propos à la notice légale du CGID applicable en la matière.

 

 

Droit de rectification

Les responsables du traitement successifs veillent à l’exactitude et la tenue à jour des données à caractère personnel. Ils rectifient les données inexactes ou incomplètes sur demande écrite de la personne concernée, accompagnée d’une copie d’une pièce d’identité.

Les responsables du traitement successifs signalent spontanément au Centre des technologies de l'information de l'Etat toutes les erreurs dont ils auraient connaissance lors de la notification de l’ordre de justification par comparaison de l’adresse que l’agent a déclaré comme sa résidence et des données renseignées dans le registre national des personnes physiques.

Droit à l’effacement

La personne dont les données à caractère personnel sont traitées a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel les concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais. Aucune demande d’effacement n’est cependant acceptée pour un traitement de données à caractère personnel qui continue à être nécessaire: 

  • pour l’exécution de la finalité de traitement qui justifie le traitement des données  ; 
  • pour le respect d’une obligation légale auquel le responsable du traitement est soumis ; 
  • à des fins archivistiques, de recherche historique ou à des fins statistiques ; 
  • à la constatation, à l’exercice ou à la défense de droits en justice.
Droit de limitation

La personne dont les données à caractère personnel sont traitées peut revendiquer la limitation du traitement de ses données :

  1. lorsqu’elle conteste l'exactitude des données à caractère personnel. La limitation du traitement peut être demandée pour la durée permettant au responsable du traitement de vérifier l'exactitude des données à caractère personnel;
  2. lorsque le traitement est illicite et qu’elle s'oppose à leur effacement et exige à la place la limitation de leur utilisation ;
  3. lorsque le responsable du traitement n'a plus besoin des données à caractère personnel aux fins du traitement mais que celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice;
  4. lorsqu’elle a exercé son droit d’opposition. La limitation du traitement peut alors être demandée pendant le traitement de sa demande d’opposition où il est vérifié si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.

Lorsque la demande de limitation a été acceptée, les données à caractère personnel ne peuvent, à l'exception de la conservation, être traitées qu'avec le consentement de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne physique ou morale, ou encore pour des motifs importants d'intérêt public de l'Union européenne ou de l’Etat luxembourgeois.

La personne concernée qui a obtenu la limitation du traitement de ses données à caractère personnel est informée par le responsable du traitement avant la levée de la limitation du traitement.

Les demandes d’exercice des droits précités sont à adresser au responsable du traitement.

Droit d’opposition

La personne dont les données à caractère personnel sont traitées a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement de ses données à caractère personnel la concernant et qui est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.

Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.

Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, ils sont soumis à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière. Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l'identification des personnes concernées, il convient de procéder de cette manière.

 

 

Droit de réclamation

La personne dont les données à caractère personnel sont traitées et qui n’a pas obtenu satisfaction à sa demande formulée auprès du responsable du traitement ou du délégué à la protection des données peut adresser une réclamation à l’autorité de contrôle à l’adresse suivante:

Commission nationale pour la protection des données (CNPD)
1, avenue du Rock’n’Roll
L-4361 Esch-sur-Alzette
Formulaire de plainte

Dernière mise à jour