Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n°[…] menée auprès de l’Administration
communale de Leudelange
Délibération n° 10FR/2023 du 24 juillet 2023
La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10 point 2 ;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;
Considérant ce qui suit :
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
1/9
I. Faits et procédure
Lors de sa séance de délibération du 9 décembre 2022, la Commission nationale
pour la protection des données siégeant en formation plénière a décidé d’ouvrir une
enquête auprès de l’Administration communale de Leudelange, sise à 5, Place des
Martyrs, L-3361 Leudelange (ci-après : le « contrôlé »), sur base de l’article 38 de la loi du
1er août 2018 portant organisation de la Commission nationale pour la protection des
données et du régime général sur la protection des données (ci-après : la « loi du 1er août
2018 ») et de désigner Monsieur Alain Herrmann comme chef d’enquête.
Ladite décision a précisé que l'enquête menée par la Commission nationale pour la
protection des données (ci-après : la « CNPD » ou la « Commission nationale ») avait pour
objet de contrôler l'application et le respect du règlement (UE) 2016/679 du Parlement
européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à
l’égard du traitement des données à caractère personnel et à la libre circulation de ces
données, et abrogeant la directive 95/46/CE (ci-après : le « RGPD ») et de la loi du 1er
août 2018 et des textes légaux prévoyant des dispositions spécifiques en matière de
protection des données à caractère personnel et plus précisément l'application et le
respect des articles 37.1.a) et 37.7 du RGPD.1 L’enquête avait concrètement pour objet
de contrôler le respect de l’obligation de désigner un délégué à la protection des données
(ci-après : « DPD ») et de communiquer les coordonnées à l’autorité de contrôle. Elle
faisait suite à une vérification générale que la CNPD avait effectuée auprès de toutes les
communes luxembourgeoises au cours de l’été 2022.
Le contrôlé a été informé de l'ouverture de l'enquête à son égard par courrier du chef
d'enquête en date du 3 février 2023. Dans ce courrier, le chef d’enquête a demandé au
contrôlé « de bien vouloir prendre connaissance des constats initiaux ci-dessous :
Par courrier du 11 Août 2022, la présidente de la CNPD a rappelé au Bourgmestre son
obligation de désigner un délégué à la protection des données (ci-après le « DPD »), ainsi
que son obligation de notifier la CNPD de cette désignation (PIECE 1).
1 Délibération N°[…] du 9 décembre 2022 de la Commission nationale pour la protection des données relative
à l'ouverture d'une mission d'enquête auprès de l'Administration communale de Leudelange.
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
2/9
En l'absence de réaction de la part du Bourgmestre, la présidente de la CNPD lui a
adressé un rappel daté du 23 septembre 2022 (PIECE 2).
A la date de la rédaction de ce présent courrier, et après consultation du registre des
délégués à la protection des données, les agents enquêteurs n'ont pas identifié de
désignation d'un DPD pour votre commune ».
Le contrôlé a répondu au courrier d’ouverture d’enquête par courrier du 10 mars
2023, après que la CNPD lui avait accordé un délai supplémentaire.
A l'issue de son instruction, le chef d'enquête a notifié au contrôlé en date du 31 mars
2023 une communication des griefs détaillant le manquement qu'il estimait constitué en
l'espèce par rapport aux exigences prescrites par l’article 37.1.a) du RGPD (obligation de
désigner un DPD).
Le chef d’enquête a proposé à la Commission nationale siégeant en formation
restreinte (ci-après : la « Formation Restreinte ») d’adopter une mesure correctrice.
La faculté de formuler ses observations écrites sur la communication des griefs a été
offerte au contrôlé.
Par courrier du 2 mai 2023 le contrôlé a informé le chef d’enquête qu’il n’avait pas
de remarques à formuler par rapport à la communication des griefs.
La présidente de la Formation Restreinte a informé le contrôlé par courrier en date
du 23 mai 2023 que son affaire serait inscrite à la séance de la Formation Restreinte du
4 juillet 2023 et qu’il lui était offert la possibilité d'y être entendu.
Par courriel du 27 juin 2023, le contrôlé a confirmé sa présence à ladite séance.
Lors de cette séance le chef d’enquête, […], et le contrôlé, représenté par […], ont
exposé leurs observations orales à l’appui de leur observations écrites et ont répondu aux
questions posées par la Formation Restreinte. Le contrôlé a eu la parole en dernier.
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
3/9
II. En droit
II.1. Sur les motifs de la décision
Sur le manquement lié à l’obligation de désigner un DPD et de communiquer les
coordonnées de celui-ci à la CNPD
1. Sur les principes
Conformément à l’article 37.1.a) du RGPD, tout responsable du traitement ou sous-
traitant doit désigner un DPD si le « traitement est effectué par une autorité publique ou
un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction
juridictionnelle ».
Sur base de l’article 37.7 du RGPD, tout responsable du traitement ou sous-traitant
est par ailleurs obligé de communiquer les coordonnées du DPD à l'autorité de contrôle,
c’est-à-dire en l’espèce à la CNPD.
Dans ses lignes directrices concernant les DPD,2 le Groupe de Travail Article 29 a
précisé les dispositions pertinentes du RGPD en la matière afin d’aider les responsables
du traitement et les sous-traitants à respecter la législation, mais aussi d’assister les DPD
dans leur rôle.
A noter que le Comité européen pour la protection des données, qui a succédé au
Groupe de Travail Article 29 le 25 mai 2018, a repris et réapprouvé les documents adoptés
par ledit Groupe entre le 25 mai 2016 et le 25 mai 2018, comme précisément les lignes
directrices précitées.3
2. En l’espèce
Le chef d’enquête a acté dans sa communication des griefs qu’à « la date
d’ouverture d’enquête, et après consultation du registre des délégués à la protection des
2 Les lignes directrices concernant les DPD ont été adoptées par le groupe de travail « Article 29 » le
13 décembre 2016. La version révisée (WP 243 rev. 01) a été adoptée le 5 avril 2017.
3 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
4/9
données, les agents enquêteurs n’ont pas identifié de désignation d’un DPD pour
l’Administration communale de Leudelange ».
Par ailleurs, il a constaté que le contrôlé « a désigné un DPD le 10 mars 2023, soit
après l’ouverture d’enquête ».
Dès lors, il a retenu que « les conditions de l’article 37, paragraphe (1) point a) du
RGPD n’ont pas été respectées ».4
La Formation Restreinte tient tout d’abord à souligner que le contrôlé est une
administration communale luxembourgeoise et de ce fait, un organisme public obligé de
désigner un DPD au plus tard pour le 25 mai 2018, date d’entrée en application du RGPD.
Elle constate ensuite que le contrôlé avait répondu le 10 mars 2023 au courrier du
chef d’enquête du 3 février 2023 l’informant de l'ouverture de l'enquête à son égard. En
annexe de ce courrier du 10 mars 2023 se trouvaient un extrait des délibérations du
Collège des bourgmestre et échevins du 10 mars 2023, ainsi que le formulaire de
déclaration du DPD à la CNPD, signé et daté au même jour, selon lesquels le
Commissariat du gouvernement à la protection des données auprès de l’État avait été
désigné comme DPD du contrôlé.
La Formation Restreinte ne peut dès lors que se rallier au constat du chef d’enquête
qu’à la date d’ouverture d’enquête, c’est-à-dire le 9 décembre 2022, le contrôlé n’avait pas
encore désigné un DPD, malgré les courriers de rappel de la CNPD du 11 août 2022 et
du 23 septembre 2022.
Au vu de ce qui précède, elle conclut qu’au début de l’enquête, le contrôlé a manqué
à son obligation découlant de l'article 37.1.a) du RGPD.
Par ailleurs, la Formation Restreinte constate qu’à la date de l’ouverture de
l’enquête, le contrôlé n’avait pas communiqué les coordonnées de son DPD à la CNPD
conformément à l’article 37.7 du RGPD. Dès lors, comme le contrôle du respect dudit
article figurait dans le périmètre de l’enquête en cause (cf. point 2 de la présente décision),
4 Communication des griefs, points 16 à 18.
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
5/9
elle considère que le contrôlé a aussi manqué à son obligation découlant de l’article 37.7
du RGPD.
II. 2. Sur les mesures correctrices
1. Sur les principes
Conformément à l’article 12 de la loi du 1er août 2018, la Commission nationale
dispose des pouvoirs prévus à l’article 58.2 du RGPD:
« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations
de traitement envisagées sont susceptibles de violer les dispositions du présent
règlement;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux
demandes présentées par la personne concernée en vue d'exercer ses droits en
application du présent règlement;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations
de traitement en conformité avec les dispositions du présent règlement, le cas échéant,
de manière spécifique et dans un délai déterminé;
e) ordonner au responsable du traitement de communiquer à la personne concernée
une violation de données à caractère personnel;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du
traitement;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
6/9
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites;
i) imposer une amende administrative en application de l'article 83, en complément ou
à la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans
un pays tiers ou à une organisation internationale ».
Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer des
amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre de
l’État ou des communes.
La Formation Restreinte tient à préciser que les faits pris en compte dans le cadre
de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.
Néanmoins, les démarches effectuées par le contrôlé pour se mettre en conformité
avec le RGPD en cours de la procédure d’enquête ou pour remédier aux manquements
relevés par le chef d’enquête dans la communication des griefs, sont prises en compte par
la Formation Restreinte dans le cadre des éventuelles mesures correctrices à prononcer.
2. En l’espèce
Dans la communication des griefs le chef d’enquête « propose à la Formation
Restreinte de prononcer un rappel à l’ordre à l’encontre du Contrôlé selon lequel il doit
respecter la législation applicable en matière de désignation d’un délégué à la protection
des données »5.
Quant à la mesure correctrice proposée par le chef d’enquête et par référence au
point 21 de la présente décision, la Formation Restreinte prend en compte les démarches
5 Communication des griefs, point 25.
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
7/9
effectuées par le contrôlé afin de se conformer aux dispositions des articles 37.1.a) et 37.7
du RGPD, telles que détaillées dans son courrier du 10 mars 2023.
Plus particulièrement, elle prend note qu’en date du 10 mars 2023 le contrôlé avait
envoyé à la CNPD, l’extrait des délibérations du Collège des bourgmestre et échevins
relatif à la séance du 10 mars 2023, ainsi que le formulaire de déclaration du DPD, signé
et daté au même jour, et selon lesquels le Commissariat du gouvernement à la protection
des données auprès de l’État avait été désigné comme DPD du contrôlé.
Néanmoins, en date de l’ouverture de l’enquête, le contrôlé n’avait ni désigné un
DPD, ni communiqué ses coordonnées à la CNPD.
Pour ces raisons, la Formation Restreinte estime qu'il y a lieu de prononcer la
mesure correctrice proposée par le chef d'enquête à cet égard et reprise au point 22 de la
présente décision et de rappeler à l’ordre le contrôlé pour avoir violé les articles 37.1.a) et
37.7 du RGPD.
Finalement, aux termes de l'article 52 de la loi du 1er août 2018 la « CNPD peut
ordonner, aux frais de la personne sanctionnée, la publication intégrale ou par extraits de
ses décisions à l'exception des décisions relatives au prononcé d'astreintes, et sous
réserve que :
1° les voies de recours contre la décision sont épuisées ; et
2° la publication ne risque pas de causer un préjudice disproportionné aux parties en
cause ».
La Formation Restreinte considère que la publication de la présente décision ne risque
pas de causer un préjudice disproportionné au contrôlé, mais qu'elle se justifie au regard
de l'intérêt du public à connaître les résultats de la vérification générale que la CNPD avait
effectuée auprès de toutes les communes luxembourgeoises au cours de l’été 2022.
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
8/9
Compte tenu des développements qui précèdent, la Commission nationale
siégeant en formation restreinte, après en avoir délibéré, décide :
- de retenir les manquements aux articles 37.1.a) et 37.7 du RGPD ;
- de prononcer à l'encontre de l’Administration communale de Leudelange un rappel
à l’ordre pour avoir violé les articles 37.1.a) et 37.7 du RGPD ;
- de publier la décision sur le site Internet de la Commission nationale dès que les
voies de recours sont épuisées.
Belvaux, le 24 juillet 2023,
La Commission nationale pour la protection des données siégeant en formation restreinte,
Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans
les trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal
administratif et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un
des Ordres des avocats.
________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Administration communale de Leudelange
9/9