Projet de loi adaptant la procédure pénale aux besoins liés à la menace terroriste et portant modification 1) du Code de procédure pénale; 2) de la lo

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès « la loi du 2 août 2002 »), la Commission nationale pour la protection des données a notamment pour mission d'aviser « tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier du 7 avril 2017, Monsieur le Ministre de la Justice a fait parvenir à la CNPD des amendements concernant le projet de loi n° 6921 adaptant la procédure pénale aux besoins liés à la menace terroriste portant 1) modification du Code de procédure pénale, 2) modification de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, 3) modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. Pour rappel, la Commission nationale a rendu un premier avis relatif au projet de loi n° 6921 en date du 12 février 2016 (délibération n° 147/2016), ainsi que deux avis relatifs à de précédents amendements gouvernementaux (délibération n° 803/2016 du 14 septembre 2016 et délibération n° 279/2017 du 30 mars 2017). 1) article 48-13 du Code de procédure pénale La CNPD peut approuver la modification projetée de l'articie 48-13 dans la mesure où elle clarifie la portée des mesures pouvant être effectuées sur la base de cet article. 2) article 48-26 projeté du Code de procédure pénale L'article 48-26 paragraphe

(1)projeté du Code de procédure pénale prévoit désormais que l'enquête sous pseudonyme est effectuée par des officiers de police judiciaire sur décision du procureur d'Etat ou du juge d'instruction. — [ CNPD Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6921 adaptant la procédure pénale aux besoins liés à la menace terroriste portant 1) modification du Code de procédure pénale, 2) modification de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, 3) modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. 1/4 En ce qui concerne le cas de figure d'une enquête sous pseudonyme effectuée en dehors d'une instruction judiciaire, la CNPD suggère de recourir à une procédure similaire à celle prévue par l'article 24-1 du Code de procédure pénale en matière de perquisition et de repérage de données de télécommunications afin de garantir un contrôle judiciaire préalable de l'enquête sous pseudonyme qui semble être très intrusive dans la vie privée. Selon le paragraphe

(3), la décision d'opérer l'enquête sous pseudonyme doit être écrite et contenir un certain nombre de mentions. Par dérogation, selon le paragraphe

(4), la décision peut être orale en cas d'urgence. La CNPD aimerait rendre attentif au caractère vague de la notion de l'urgence (tout comme elle l'avait fait dans son premier avis du 12 février 2016 à propos de la condition de l'«extrême urgence» ayant figuré dans la version initiale de l'article 48-27 projeté du Code de procédure pénale). Enfin, la CNPD note que, dans le point 2. de l'article 48-26 paragraphe

(1)projeté du Code de procédure pénale, il est désormais expressément exclu qu'on ait recours, de manière délibérée, aux noms de personnes réellement existantes pour ce qui est des pseudonymes à utiliser (sauf accord des personnes concernées). Elle s'interroge cependant sur la portée de cette interdiction puisque le point

1. du même article permet de « participer sous un pseudonyme aux échanges électroniques » sans poser les mêmes conditions que le point
2. 3) article 48-27 projeté du Code de procédure pénale La CNPD note avec satisfaction que la mesure ne va pas pouvoir être effectuée par des officiers de police judiciaire autres que ceux énumérés à l'article 10 du Code d'instruction criminelle. Pour le reste, elle se permet de renvoyer aux développements exposés dans ses précédents avis et plus particulièrement au point 4) de l'avis du 30 mars 2017 (délibération n°279/2017). 4) articles 88-1 à 88-4 projetés du Code de procédure pénale 4.1.) Les amendements sous avis introduisent la possibilité d'ordonner une fixation d'images à l'intérieur de maisons ou de véhicules notamment. La sonorisation tout comme la fixation d'images sont prévues par le même tiret de l'article 88-1 paragraphe

(1)projeté. La CNPD se demande si cela signifie que les deux mesures sont toujours ordonnées simultanément ou s'il est à la discrétion des agents effectuant la mesure de choisir la forme de la surveillance opérée. Comme elle l'a déjà souligné à propos de la captation de données informatiques1, la CNPD plaide en faveur d'une obligation à charge du juge d'instruction décidant de la mesure de préciser, dans l'ordonnance, la nature des données à capter ou enregistrer. De telles précisions permettent de mieux adapter les mesures effectuées aux besoins de l'instruction et, par-là, de mieux respecter le principe de proportionnalité. 4.2.) A l'article 88-2 paragraphe

(2)lettre a), la fixation d'images n'est pas mentionnée parmi les mesures possibles exclusivement dans le contexte d'infractions ayant trait au terrorisme tels qu'énumérées à l'article 88-2 paragraphe

(2)lettre a) points

1. et
2. Si la sonorisation et la I Cf le point 7.
3. de l'avis n° 147/2016 du 12 février 2016 et le point 5.3.) de Pavis n° 279/2017 du 30 mars 2017 Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6921 adaptant la procédure pénale aux besoins liés à la menace terroriste portant 1) modification du Code de procédure pénale, 2) modification de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, 3) modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. 2/4 fixation d'images sont considérées comme deux mesures distinctes pouvant être ordonnées séparément, alors la fixation d'images pourrait être mise en place pour tous faits emportant une peine criminelle ou une peine correctionnelle dont le maximum est égal ou supérieur à deux ans d'emprisonnement. Aux yeux de la CNPD, une utilisation aussi large de la fixation d'images parait disproportionnée. Elle suggère dès lors de rajouter la fixation d'images aux mesures ne pouvant être effectuées que dans le contexte d'infractions ayant trait au terrorisme (au même titre que la sonorisation et la captation de données informatiques). 4.3.) De même, en ce qui concerne l'information des personnes concernées habitant le même logement que la personne directement visée par la mesure, l'article 88-4 paragraphe

(6)ne mentionne que l'hypothèse de la sonorisation et non celle la fixation d'images. La CNPD suggère d'y rajouter la fixation d'images (tout comme, en fonction des circonstances, la captation de données informatiques2 ). 4.4.) En ce qui concerne les mesures de sécurité, l'article 88-4 paragraphe

(3)alinéa 3 prévoit désormais que « les moyens appropriés sont utilisés pour garantir l'intégrité et la confidentialité des télécommunications, correspondances postales, images, conversations ou données enregistrées ou interceptées ». La CNPD trouve cette formulation des « moyens appropriés » particulièrement vague compte tenu de l'ampleur des risques en matière de sécurité non seulement après l'obtention des données par les autorités judiciaires mais aussi et surtout en amont, au stade de collecte des données3, et elle continue de plaider pour l'insertion de plus de précisions dans ce contexte4. 4.5.) Un nouvel article 88-4 paragraphe

(1)alinéas 2 et 3 prévoit ce qui suit : « Le juge d'instruction peut ordonner, directement ou par l'intermédiaire du Service de police judiciaire, aux personnes dont il présume qu'elles ont une connaissance particulière du service de télécommunications qui fait l'objet d'une mesure de surveillance ou des services qui permettent de protéger ou de crypter les données qui sont stockées, traitées ou transmises par un système informatique, de fournir des informations sur le fonctionnement de ce système et sur la manière d'accéder au contenu de la télécommunication qui est ou a été transmise, dans une forme compréhensible, peut ordonner aux personnes visées à l'alinéa qui précède de rendre accessible le contenu de la télécommunication, dans la forme qu'il aura demandée. Ces personnes sont tenues d'y donner suite, dans la mesure de leurs moyens. » La CNPD s'interroge sur la portée de ce ces deux alinéas. Est-ce que, par exemple, un professeur en informatique, un fonctionnaire de la CNPD ou un membre d'une ONG militant pour la sécurité informatique et le cryptage de données pourraient, en quelque sorte, être réquisitionnés, sous peine d'amende5, pour assister les autorités judiciaires dans l'application des futurs articles 88-1 à 88-4 du Code de procédure pénale En revanche, si la mesure vise uniquement les entreprises du secteur des télécommunications comme le suggère le commentaire des amendements, pourquoi ne pas le préciser dans le texte de l'article ? Cfle point 7.6.1. de l'avis n° 147/2016 du 12 février 2016 et le point 5.4.) de l'avis n° 279/2017 du 30 mars 2017 Cf le point 7.3. de l'avis n° 147/2016 du 12 février 2016 4 Cf le point 5.2.) de l'avis n° 279/2017 du 30 mars 2017 Les amendes étant prévues article 88-4 paragraphe

(1)alinéa dernier CNPD Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6921 adaptant la procédure pénale aux besoins liés à la menace terroriste portant 1) modification du Code de procédure pénale, 2) modification de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, 3) modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. 3/4 La CNPD note également que les mesures prévues aux article 88-4 paragraphe

(1)alinéas 2 et 3 projetées ne sont pas réservées de manière exclusive à l'instruction de faits ayant trait au terrorisme tels qu'énumérées à l'article 88-2 paragraphe

(2)lettre a) points

1. et
2. 4.6.) Enfin, la CNPD constate que désormais, davantage de conditions prévues aux articles 881 à 88-4 projetés du Code de procédure pénale sont prescrites à peine de nullité. Cependant, tel n'est toujours pas le cas pour toutes les conditions et, en particulier, pour les différentes conditions prévues aux articles 88-2 paragraphes

(1)à

(3)qui sont justement censées garantir que les mesures extrêmement intrusives des articles 88-1 à 88-4 projetés ne peuvent être opérées qu'en cas de nécessité absolue. 5) article 10 bis proieté de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques La CNPD approuve la suppression de la mention de l'accès au fichier de l'Institut luxembourgeois de régulation accordé au central des secours d'urgence 112 ainsi qu'à la centrale du service d'incendie et de sauvetage de la Ville de Luxembourg. Cette suppression reprend une suggestion que la CNPD a formulée dans son avis initial et qui a été reprise par le Conseil d'Etat dans son avis du 7 février

1. Pour le surplus la CNPD n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 10 mai
2. La Commission nationale pour la protection des données , Tine A. Larsen Présidente CNP15- Thierry Lallemang Membre effectif C' stophe Buschmann Mem bre effectif Troisième avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 6921 adaptant la procédure pénale aux besoins liés à la menace terroriste portant 1) modification du Code de procédure pénale, 2) modification de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, 3) modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. 4/4