Projet de loi portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement pu

(3)lettre (

1. e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 » ou « la loi »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier en date du 25 mai 2016, Monsieur le Ministre de la Justice a invité la Commission nationale à se prononcer sur le projet de loi portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de santé » (ci-après « le projet de loi ») Le projet de loi a pour objectif d'adapter certaines dispositions du droit luxembourgeois afin d'instaurer une « unité de documentation médico-légale des violences » (projet dénommé « Opferambulanz ») dont la gestion sera confiée à l'établissement public « Laboratoire National de Santé » (ci-après « le LNS »). Cette unité a vocation à documenter d'un point de vue médicolégal les blessures physiques subies par des personnes physiques victimes d'infractions pénales intentionnelles ou non intentionnelles. La Commission nationale entend limiter ses observations aux questions soulevées par les dispositions du projet de loi sous examen traitant des aspects liés au respect de la vie privée et à la protection des données à caractère personnel. l. La responsabilité du traitement L'article 2 du projet de loi complète les missions du LNS en introduisant un article 2-1 nouveau à la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de santé », en confiant à ce dernier la gestion de l'unité de documentation médico-légale des violences. II ressort plus précisément du dossier que la documentation médico-légale des violences sera constituée par une équipe dédiée du personnel du LNS relevant du département de médecine légale. Cette équipe constituera « l'unité de documentation médico-légale des violences ». 11. La finalité du traitement de données à caractère personnel L'article 2-1 nouveau précité précise que l'unité de documentation médico-légale des violences, « a comme mission de fournir sans frais à toute personne majeure une documentation médicolégale des blessures physiques subies suite à la commission d'une infraction pénale, ainsi que 1 cf. Exposé des motifs du projet de loi, spéc. p. 2. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 1/8 toute trace en relation avec les blessures documentées. Cette documentation est réalisée indépendamment de toute plainte ou action judiciaire pénale ou civile, ». II ressort de l'exposé des motifs du projet de loi que l'unité de documentation médico-légale des violences sera en charge de constituer et de conserver un « fichier de données à caractère personnel » au sens de l'article 2 lettre (
2. h)de la loi, afin de « documenter d'un point de vue purement médico-légal les blessures physiques d'une personne ayant été causées par la commission d'une infraction pénale, peu importe s'il s'agit d'une infraction intentionnelle ou non intentionnelle. Afin de mieux circonscrire le champ d'application du projet de loi sous examen, la Commission nationale suggère de modifier la formulation du paragraphe

(1)de l'article 2-1 nouveau précité :

(1)L'établissement gère en outre l'unité de documentation médico-légale des violences qui a comme mission de fournir sans frais à toute personne majeure ayant subi des blessures physiques suite à la commission d'une infraction pénale une documentation médico-légale de leurs blessures, ainsi que toute trace en relation avec les blessures documentées. Cette documentation est réalisée indépendamment de toute plainte ou action judiciaire pénale ou civile. La CNPD suggère en outre d'apporter les précisions suivantes au paragraphe

(2)de l'article 21 nouveau précité : «

(2)L'unité de documentation médico-légale des violences prend en charge la conservation de la documentation réalisée conformément aux dispositions de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Sans préjudice des dispositions applicables du Code d'instruction criminelle, seule la personne ayant subi les blessures documentées suite à la commission d'une infraction pénale a le droit de disposer de la documentation réalisée à son égard » II précise en outre que « l'objectif de cette documentation est son utilisation ultérieure éventuelle dans le cadre d'une procédure pénale concernant les faits ayant causé les blessures physiques. Les services de l'unité médico-légale des violences se limitent à la documentation et à la conservation des preuves et, à ce stade, les prélèvements nécessaires, en fonction des blessures et de leurs causes, sont faits sans qu'il soit procédé dans l'immédiat à leur analyse médico-légale. Ces missions sont le cas échéant ordonnées par le Parquet ou le juge d'instruction au moment où les faits en cause font l'objet d'une enquête ou d'une instruction préparatoire »3. La Commission nationale note que le concept d'unité de documentation médico-légale présente un intérêt tout particulier dans le contexte de violences domestiques ou d'agressions, suite auxquelles les victimes hésitent souvent à déposer plainte auprès des autorités de police ou judiciaires. Sous réserve des précédentes observations, elle estime que le traitement de données envisagé dans le cadre du fonctionnement de l'unité de documentation médico-légale des violences répond à une finalité déterminée, explicite et légitime, conformément à l'article 4 paragraphe

(1)de la loi. 2 Cf Exposé des motifs du projet de loi, spéc. p.

1. cf Exposé des motifs du projet de loi, spéc. p.
2. [ CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 2/8
3. Les données traitées Le projet de loi est silencieux sur ce point. La Commission nationale note toutefois que l'unité de documentation médico-légale des violences permettra de renseigner, dans la perspective d'enquêtes ou de poursuites judiciaires ultérieures, des éléments qui ne sont pas systématiquement recueillis dans une optique thérapeutique. La CNPD s'interroge toutefois, en l'absence de précisions dans l'exposé des motifs ou du commentaire des articles du projet de loi, quant à la teneur exacte des informations collectées. Elle rappelle à ce titre qu'en application de l'article 4.

(1).b) de la loi modifiée du 2 août 2002 les principes de nécessité et de minimisation des données doivent être respectés lors du traitement des données. ll ressort du dossier que certaines catégories de données à caractère personnel seront systématiquement collectées par les membres de l'unité de documentation médico-légale des violences, notamment les données d'identification des victimes (données nominatives et coordonnées, pseudonymes), des informations concernant les violences constatées sur ces dernières, parmi lesquelles pourraient figurer des catégories particulières de données définies à l'article 6 de la loi modifiée du 2 août 2002 (données relatives à la santé et à la vie sexuelle), ainsi que des prélèvements biologiques. La CNPD s'interroge sur l'éventuelle collecte de l'image des personnes (photographies) et sur les conditions de collecte de ces images. Par ailleurs, il ressort du dossier qu'un procédé de pseudonymisation réversible sera mis en ceuvre, afin de permettre un retour vers l'identité des personnes concernées et une prise de contact avec ces dernières. L'exposé des motifs précise en effet que « l'identité de la victime est pseudonymisée, c.-à-dire que l'identité est constatée lors du premier contact, mais tout traitement ultérieur de la documentation et des données personnelles de la victime se fait à l'aide d'un système ne révélant pas l'identité de la victime, comme un système de code barre par exemple. est en effet indispensable que l'identité de la victime ait été constatée, notamment afin de permettre au Laboratoire National de Santé lors de tout contact ultérieur de s'assurer qu'il s'agit effectivement de la victime en cause. »

1. En l'absence de précisions dans le dossier, la CNPD n'est pas en mesure d'apprécier les modalités de pseudonymisation des données et de réidentification des personnes (établissement éventuel d'une table de correspondance, utilisation d'un algorithme de chiffrement ou d'une fonction de hachage...) attestant de garanties appropriées pour le respect de la vie privée. Elle recommande, en présence de données sensibles figurant dans le fichier de l'unité de documentation médico-légale des violences, la mise en place d'une gestion séparée entre les données d'identification nécessaires pour recontacter les personnes concernées, d'une part, et les données détaillées concernant les violences, d'autre part, reposant notamment sur la création de deux bases de données distinctes respectant un principe de cloisonnement et sur la définition d'habilitations d'accès différenciées selon le profil et les missions du personnel du LNS. 4 cf Exposé des motifs du projet de loi, spéc. p.
2. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 3/8 La durée de conservation des données IV. En application de l'article 4 paragraphe

(1)lettre (d) de la loi du 2 août 2002, les données à caractère personnel traités au sein de l'unité de documentation médico-légale des violences devraient être en principe conservées sous une forme permettant l'identification des personnes concernées pendant une période n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles les données ont été collectées. II ressort du dossier que « la documentation sera conservée par le Laboratoire National de Santé pour une durée maximale de dix ans, ce qui correspond à la durée de prescription de l'action publique pour crimes »

1. Le point de départ du délai précité n'est cependant pas précisé. Une durée de conservation limitée de données à caractère personnel constitue une garantie supplémentaire pour éviter d'éventuels détournements de finalité. La Commission nationale estime que, passé le délai susmentionné de dix ans à compter de la date de commission des violences, les données conservées au sein de l'unité de documentation médico-légale des violences devront être supprimées. Elle considère, s'agissant d'une matière dont l'essentiel du cadrage normatif doit figurer dans la loi 6, que le délai précité devrait être mentionné dans le projet de loi sous examen. L'information et les droits des personnes V. A. Le droit à l'information A défaut de précisions dans le projet de loi, la Commission nationale préconise que le responsable de traitement procède à une information générale, claire et complète, conformément à l'article 26 de la loi modifiée du 2 août
2. Elle recommande notamment, outre l'information par publication du projet de loi, une information des personnes dans les livrets d'accueil des hôpitaux ou de l'unité de documentation médico-légale des violences. Elle estime que cette information devrait porter notamment sur les droits dont disposent les personnes concernées. B. Le droit d'accès L'article 2 paragraphe 2 du projet de loi dispose que : « Sans préjudice des dispositions applicables du Code d'instruction criminelle, seule la personne concernée a le droit de disposer de la documentation réalisée à son égard ». A cet égard, la CNPD relève les précisions utiles de l'exposé des motifs selon lequel : La documentation est conservée par le Laboratoire National de Santé mais la victime garde le contrôle et la maîtrise sur la documentation. Ce pouvoir de contrôle de la victime s'entend bien sûr sans préjudice des pouvoirs des autorités répressives si les faits en cause font finalement l'objet d'une enquête ou d'une instruction préparatoire »
3. cf Exposé des motifs du projet de loi, spéc. p.
4. Avis du Conseil d'Etat du 7 juin 2016 concernant le projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures, avis 6975/
5. 7 cf Exposé des motifs, spéc. p.
6. [CNPI3— momm Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 4/8 Elle note en outre que « le droit de la victime de disposer de la documentation qui la concerne est bien sûr conditionné par une enquête ou une instruction préparatoire en cours. Dans ce cas, les dispositions du Code d'instruction criminelle relatives par exemple aux perquisitions et saisies prévalent. Si donc, par exemple, les autorités judiciaires prennent connaissance de la commission d'une infraction par un autre biais que la victime elle-même et un juge d'instruction décerne un mandat de perquisition-saisie, la documentation relative à cette infraction sera saisie et la victime ne saurait s'y opposer sur base de son droit de disposer de cette documentation »
7. La Commission nationale prend acte de ces modalités d'exercice du droit d'accès. Elle estime ces dernières compatibles avec les exceptions au droit d'accès prévu par l'article 29 paragraphe

(1)lettre (

1. d)de la loi modifiée du 2 août 2002. Cet article prévoit en effet, pour ce qui concerne certains traitements mis en ceuvre pour des besoins de sécurité publique ou de prévention, de recherche, de constatation et de poursuite d'infractions pénales, que le responsable du traitement peut limiter ou différer l'exercice du droit d'accès d'une personne concernée. Sur les destinataires vl. Peuvent être destinataires des données : les médecins légistes de l'unité de documentation médico-légale des violences au sein - du LNS ; les médecins et autres professionnels de santé consultés par les médecins légistes dans le cadre de l'unité de documentation médico-légale des violences ; le Parquet ou le juge d'instruction en cas d'enquête ou d'instruction préparatoire. La Commission nationale en prend acte. Elle note que le législateur entend autoriser, dans certaines situations, un partage d'informations entre professionnels de santé participant à la constitution de la documentation médico-légale des violences, ainsi qu'une communication de ces informations par les médecins aux autorités de police et aux autorités judiciaires.
2. a)L'échange d'informations entre professionnels de santé participant à la constitution de la documentation médico-légale des violences : le « secret partagé » La CNPD note que l'unité de documentation médico-légale des violences est censée fonctionner selon un mode décentralisé, reposant sur une collaboration étroite entre ladite unité et les hôpitaux. En effet, l'exposé des motifs précise qu'« il est ainsi prévu que les médecin-légistes de l'unité de documentation médico-légale des violences se rendent en principe à l'hôpital pour éviter la disparition de preuves médico-légales dans le cadre des soins médicaux, et également afin d'éviter aux victimes de devoir d'abord se déplacer à l'hôpital pour éviter la disparition de preuves médico-légale des violences dans le cadre de soins médicaux, et également afin d'éviter aux victimes de devoir d'abord se déplacer à l'hôpital pour les soins médicaux et ensuite au Laboratoire National de Santé pour la documentation de leurs blessures. En outre, ce fonctionnement décentralisé vise à favoriser, si nécessaire, une consultation mutuelle entre les médecins et les médecin-légistes afin que chacun puisse accomplir sa mission dans son 8 qf Commentaire des articles, spéc. p. 7. CNPD1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 5/8 domaine de compétence qui lui est propre. Néanmoins, rien n'empêche une victime n'ayant par exemple subi que des blessures légères de se rendre directement au Laboratoire National de Santé à Dudelange sans passer auparavant par un hôpital. » Pour ce faire, l'article 2 du projet de loi ajoute un article 2-1 nouveau à la loi du 7 août 2012 portant création du LNS qui pose les conditions d'un partage d'inforrnations entre les médecins hospitaliers et les médecins-légistes de l'unité de documentation médico-légale des violences, en aménageant les conditions applicables au secret professionnel, selon le concept du « secret médical partagé ». Cet article dispose en effet que : « Le secret professionnel prévu à l'article 458 du Code pénal ne s'oppose pas à l'échange d'informations effectué entre, d'une part, le personnel employé au sein de l'unité de documentation médico-légale des violences et, d'autre part, les médecins et autres professionnels de santé qui sont consultés par les médecins légistes dans le cadre de cette unité ». La Commission nationale relève en outre que « L'approche générale est celle d'une coopération entre les médecin-légistes de l'unité de documentation médico-légale des violences et d'autres médecins généralistes ou spécialistes. Dans le cadre de lésions corporelles qui pourraient par exemple provenir d'un viol, il est très bien imaginable que le gynécologue et le médecin-légiste sont appelés, dans l'intérêt de la victime, à se consulter mutuellement afin que chacun puisse accomplir sa mission dans le domaine de compétence qui est le sien. Afin d'assurer que cela est possible malgré les secrets professionnels tant du gynécologue que du médecin-légiste, le paragraphe sous examen propose de préciser que l'article 458 du Code pénal ne s'oppose pas à un échange d'informations à cette fin. II ne s'agit donc nullement d'une obligation d'échanger des informations mais d'une possibilité, et il appartiendra aux différents médecins et aux médecins-légistes d'apprécier en âme et conscience si un échange d'informations sur la patiente/victime est dans l'intérêt de cette dernière »9. Sur le principe, la CNPD estime que l'article 2-1 nouveau de la loi du 7 août 2012 portant création du LNS est de nature à permettre un échange bilatéral de données nécessaires entre professionnels de santé intervenant dans la prise en charge des victimes de violences tout en assurant la confidentialité des données contenues dans la documentation médico-légale des violences. La Commission nationale souligne que les échanges d'informations doivent être opérés dans certaines limites. Elle note avec satisfaction les précisions du commentaire des articles selon lequel « il est clair que, lorsqu'un échange d'informations a eu lieu, le secret professionnel auquel est tenu le destinataire des informations s'applique également à ces informations »1°. A cet égard, il convient de rappeler que les faits couverts par le secret professionnel sont non seulement les faits confiés au médecin, mais également ceux découverts par ce dernier dans l'exercice de la professionn. En définitive, la CNPD souligne qu'une certaine vigilance devra être mise en ceuvre par les professionnels de santé concernés quant aux informations à partager, quant au but de l'échange et surtout quant aux limites de l'échange. 9 cf Commentaire des articles, spéc. p. 7. 1° Ibidem. 11 Dean SPIELMANN et Alphonse SPIELMANN in Droit pénal général luxembourgeois, éd. Bruyalnt, 2002, p. 210. ' CNPE [ Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 6/8
3. b)La communication d'informations au Parquet rendue « facultative L'article ler du projet de loi, qui vise à modifier le paragraphe 6 de l'article 23 du code d'instruction criminelle, tend à créer, au profit des médecins contribuant à la constitution de la documentation médico-légale des violences, une dispense d'obligation de dénoncer des faits constitutifs d'infractions au Parquet. Le législateur assure ainsi une certaine effectivité au concept d'unité de documentation médico-légale des violences en laissant la possibilité aux victimes de « faire documenter leurs blessures sans pour autant mettre en marche nécessairement la machine répressive judicaire »12 . Plus précisément l'article ler du projet de loi entend ajouter à l'article 23 du Code d'instruction criminelle un paragraphe 6 nouveau visant à dispenser, d'une part, les membres du personnel du LNS travaillant dans l'unité de documentation médico-légale des violences d'informer le Procureur d'Etat lorsqu'ils acquièrent la connaissance d'une infraction pénale et, d'autre part, de dispenser également les médecins et autres professionnels de santé consultés dans le cadre de l'unité de documentation médico-légale des violences de la même obligation d'information. Le paragraphe 6 nouveau précité précise en outre expressément que la dispense d'obligation d'information ne s'applique pas aux faits commis à l'égard de mineurs, compte tenu de la protection particulière dont ces personnes particulièrement vulnérables font habituellement l'objet. II ressort du commentaire des articles que, sans être obligés de dénoncer, les professionnels visés au paragraphe 6 nouveau de l'article 23 du Code d'instruction criminelle conservent un « droit de dénoncer » des faits susceptibles d'être qualifiés d « infraction pénale » dans des circonstances qu'ils jugeraient particulièrement graves. La Commission nationale note avec satisfaction le rappel souligné par les rédacteurs du projet de loi dans le Commentaire des articles selon lequel le droit susmentionné des professionnels de santé de dénoncer des faits au Parquet s'exerce « sans préjudice quant à leurs obligations découlant du secret professionnel ou médical en application notamment de Particle 458 du Code pénal »13 . II appartiendra ainsi aux médecins concernés d'apprécier si une communication d'informations au Parquet est ou non dans l'intérêt de la victime. vII. La sécurité L'article 2 paragraphe

(2)précité du projet de loi dispose que « l'unité de documentation médico-légale des violences prend en charge la conservation de la documentation réalisée conformément aux dispositions de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. » II en résulte, en application des articles 22 et 23 de la loi modifiée du 2 août 2002, une obligation pour le LNS d'adopter les mesures techniques et organisationnelles nécessaires afin d'assurer la sécurité des données, notamment un système de traçage des accès aux données. Elle estime qu'il conviendrait de rajouter une disposition, à l'instar d'autres lois ou règlements grand-ducaux, qui pourrait avoir la teneur suivante « Le système informatique par lequel Paccès au fichier est opéré doit être aménagé de sorte que l'accès aux fichiers soit sécurisé 12 cf Commentaire des articles, spéc. p.

1. 13 cf. Commentaire des articles, spéc. p.
2. [, CNPD ' Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 7/8 moyennant une authentification forte, que les informations relatives à la personne ayant procédé à la consultation, les informations consultées, la date, l'heure et /a référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif précis de la consultation puissent être retracés. Les données de journalisation doivent être conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. ». La Commission nationale recommande en outre que des mesures de sécurité à l'état de l'art soient mises en ceuvre, afin de garantir la confidentialité des données particulièrement « sensibles » contenues dans le traitement de l'unité de documentation médico-légale des violences. En dernier lieu, la CNPD note avec satisfaction qu'une gestion stricte des habilitations d'accès aux données est mise en place au sein du LNS, afin de limiter l'accès à la documentation médico-légale des violences aux membres du personnel du LNS strictement habilités et nommément désignés par le chef du département de médecine légale du LNS14 . Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 14octobre
3. ommission nationale pour la protection des donné s Tine A. Larsen Présidente Thierry Lallemang Membre effectif François Thill Membre suppléant 14 cf. Exposé des motifs du projet de loi, spéc. p.
4. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6995 portant modification de l'article 23 du Code d'instruction criminelle et de la loi du 7 août 2012 portant création de l'établissement public « Laboratoire national de Santé » 8/8