Projet de loi portant réforme de la Police grand-ducale et abrogeant la loi du 31 mai 1999 sur la Police et l'Inspection générale de la Police. 2. Pro

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou «la CNPD ») a notamment pour mission d'«être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi». Par courrier du 26 août 2016, Monsieur le Ministre de la Sécurité intérieure a invité la Commission nationale à se prononcer au sujet du projet de loi n°7044 portant réforme de l'Inspection générale de la Police et modifiant 1) la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat 2) la loi modifiée du 25 mars 2015 instituant un régime de pension spécial transitoire pour les fonctionnaires de l'Etat et des communes ainsi que pour les agents de la Société nationale des Chemins de Fer luxembourgeois 3) Le livre ler du Code de la sécurité sociale et au sujet du projet de règlement y relatif. Par courrier du 26 août 2016, Monsieur le Ministre de la Sécurité intérieure a invité la Commission nationale à se prononcer également au sujet du projet de loi n°7045 portant réforme de la Police grand-ducale et abrogeant la loi du 31 mai 1999 sur la Police et l'Inspection générale de la Police. 1) L'article 54 du projet de loi n°7045 est censé remplacer l'article 34-1 de la loi du 31 mai 1999 sur la Police et l'Inspection générale de la Police qui règle l'accès par la Police grand-ducale à un certain nombre de bases de données étatiques. En énumérant de manière limitative les bases de données auxquelles la Police grandducale a accès, l'article 54 satisfait à l'exigence constitutionnelle selon laquelle « dans les matières réservées par la Constitution à la loi, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc »

1. En application de ce principe, le Conseil d'Etat rappelle régulièrement dans ses avis que « (...) l'accès à des fichiers externes et la communication de données informatiques à des tiers constituent une ingérence dans la vie privée et partant, en vertu de l'article 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle. Dans ce cas, l'essentiel du cadrage normatif doit figurer dans la loi. Arrêt 117 de la Cour constitutionnelle du 20 mars 2015 r CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7044 portant réforme de l'Inspection générate de la Police, du projet de règlement de règlement grand-ducal relatif au fonctionnement de l'Inspection générale de la Police et au projet de loi n°7045 portant réforme de la Police grand-ducale relatif à l'échange de données à caractère personnel et d'informations en matière policière 1/5 La loi doit indiquer les bases de données auxquelles une autorité publique peut avoir accès ou dont une autorité publique peut se faire communiquer des données, tout comme les finalités de cet accès ou de cette communication. (,.,) » 2 2) En ce qui concerne l'article 54 du projet de loi n 0 7045 portant réforme de la Police grand-ducale, la Commission nationale se demande toutefois s'il est justifié que les bases de données auxquelles la Police grand-ducale a accès dans le cadre des missions de police administrative soient identiques à celles auxquelles elle a accès dans le cadre des missions de police judiciaire. En effet, les deux missions étant différentes à la base, on peut présumer que les bases de données auxquelles un officier de police judiciaire doit avoir accès ne sont pas tout-à-fait identiques à celles auxquelles un officier de police administrative doit avoir accès. De manière générale, il faut retenir que plus le nombre de personnes accédant aux différents fichiers augmente, plus les risques en termes de protection des données augmentent aussi. 3) L'alinéa 3 de l'article 54 du projet de loi n°7045 prévoit que « les données à caractère personnel des fichiers accessibles en vertu des alinéas 1 et 2 sont déterminées par règlement grand-ducal. » 11 aurait été judicieux de joindre en même temps un projet de projet de règlement grand-ducal au projet de loi sous examen, notamment au regard de l'extension du champ d'application de l'article 54 aux agents et officiers de police administrative. En l'absence d'un projet de texte, la CNPD n'est pas en mesure d'apprécier la nécessité et la proportionnalité des données accédées. 4) Si l'article 54 précité règle l'accès de la Police grand-ducale aux bases de données des administrations, le projet de loi n°7045 est muet sur les bases de données opérées par la Police elle-même. Certes, l'article 17 de la loi modifiée du 2 août 2002 prévoit que font l'objet d'un règlement grand-ducal « les traitements d'ordre général nécessaires à la prévention, à la recherche et à la constatation des infractions pénales qui sont réservés, conformément à leurs missions légales et réglementaires respectives, aux organes du corps de la police grand-ducale, de l'Inspection générale de la police et de l'administration des douanes et accises. » On peut cependant se poser la question de savoir si les éléments les plus essentiels des bases de données opérées par la Police ne devraient pas être déterminées par une loi, eu égard notamment à la jurisprudence précitée de la Cour constitutionnelle relative au cadrage normatif. Par ailleurs, la question des traitements de données à caractère personnel effectuées par la Police est actuellement régie en grande partie par le règlement grand-ducal modifiée du 2 octobre 1992 relatif à la création et à l'exploitation d'une banque de données nominatives de police générale (« règlement lngepol »). A ce titre, la CNPD Voir par exemple : Conseil d'Etat, Avis n° 6975/5 du 7 juin 2016 relatif au projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures. 2 CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7044 portant réforme de l'Inspection générale de la Police, du projet de règlement de règlement grand-ducal relatif au fonctionnement de l'Inspection générale de la Police et au projet de loi n°7045 portant réforme de la Police grand-ducale relatif à l'échange de données à caractère personnel et d'informations en matière policière 2/5 réitère ses observations formulées maintes fois à cet égard dans ses avis antérieurs3, à savoir que ce règlement ne répond plus aux exigences contemporaines en matière de protection des données et n'a pas été remplacé par un nouveau règlement sur base de l'article 17 de la loi modifiée du 2 août 2002 comme cela aurait dû être le cas. Enfin, la loi modifiée du 2 août 2002 est vouée à disparaitre prochainement avec la mise en conformité de la législation luxembourgeoise au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). 5) Parallèlement à l'article 54 du projet de loi n°7045, l'article 16 du projet de loi n°7044 portant réforme de l'Inspection générale de la Police devra remplacer l'article 77-1 de la loi du 31 mai 1999 sur la Police et l'Inspection générale de la Police qui règle l'accès par les agents de l'Inspection générale de la Police à un certain nombre de bases de données étatiques, qui sont énumérées de manière limitative au paragraphe 1 de l'article
2. L'article 16 ne précise cependant pas quelles sont les données (des bases de données y énumérées) auxquelles les agents de l'Inspection générale de la Police ont accès. A défaut de précisions, 1 faut admettre que l'accès couvre toutes les données, et cela même dans les cas où, en vertu de règlements grand-ducaux pris sur base de l'article 54 projeté de la future loi sur la Police, la Police grand-ducale n'aura accès qu'à une partie des données d'une des bases de données en question. La CNPD estime qu'un règlement grand-ducal devrait préciser les données des fichiers auxquelles les agents de l'Inspection générale de la Police auront accès, à l'instar de ce que prévoit le projet de loi n°
3. 6) L'article 16 paragraphe

(3)du projet de projet de loi n°7044 permet à certains agents de l'Inspection générale de la Police d'avoir « accès aux traitements des données à Par exemple : point 1.1. de l'avis du 17 novembre 2016 relatif au projet de loi n°6976 relatif à l'échange de données à caractère personnel et d'informations en matière policière https ://cnpd . publ ic .1u/fr/dec isions-av is/2016/Echange-de-donnees-en-matiere-pol iciere/9662016-echange-donnees-police.pdf point 3 de l'avis du 30 juillet 2015 relatif au projet de loi n° 6759 portant approbation du „Memorandum of Understanding between the Government of the Grand-Duchy of Luxembourg and the United States of America for the exchange of terrorism screening information", signé à Luxembourg le 20 juin 2012 et au projet de loi n° 6762 portant approbation de l'Accord entre le Gouvernement de Luxembourg et le Gouvernement des Etats-Unis d'Amérique aux fins du renforcement de la coopération en matière de prévention et de lutte contre le crime grave, signé à Luxembourg le 3 février 2012 https://cnpd.publ ic.1u/fr/dec isions-avis/2015/echange-usa1 ux/366 2015 Deliberation Ministere-Justice avis-PL-6759 6762.pdf avis du 25 juillet 2013 relatif au projet de loi n°6566 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière https://cnpd .publ ic. lu/fr/dec isions-avis/2013/securiteroutiere/385 2013 Deliberation Ministre-du-Developpement-durable-et-desinfrastructures avis PL 6566 securite routiere.pdf [ CNP15 . Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7044 portant réforme de l'Inspection générale de la Police, du projet de règlement de règlement grand-ducal relatif au fonctionnement de l'Inspection générale de la Police et au projet de loi n°7045 portant réforme de la Police grand-ducale relatif à l'échange de données à caractère personnel et d'informations en matière policière 3/5 caractère personnel autorisés sur base de l'article 17 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel et dont le responsable du traitement est le Directeur général de la Police, de même qu'aux fichiers de la Police autorisés sur base de l'article 12 de la même loi.» Eu égard aux principes énoncés au point 1) du présent avis, conviendrait de déterminer de manière plus précise les bases de données de la Police grand-ducale auxquelles l'Inspection générale de la Police aura accès sur base de cette disposition. Par ailleurs, comme cela a déjà été mentionné au point 4) du présent avis, la loi modifiée du 2 août 2002 à laquelle il est fait référence dans l'article 16 paragraphe

(3)est vouée à disparaitre prochainement avec la mise en conformité de la législation luxembourgeoise au règlement (UE) 2016/

1. Enfin, comme relevé au même point 4), les traitements de données effectués à l'heure actuelle par la Police sont régis en partie par le règlement grand-ducal modifiée du 2 octobre 1992 relatif à la création et à l'exploitation d'une banque de données nominatives de police générale (« règlement lngepol ») qui n'a pas été remplacé par un nouveau règlement sur base de l'article 17 de la loi modifiée du 2 août
2. 7) En ce qui concerne la terminologie utilisée, l'article 16 paragraphe

(3)du projet de loi n°7044 évoque l'accès « aux fichiers de la Police autorisés sur base de l'article 12 » de la loi modifiée du 2 août

1. La Commission nationale tient à remarquer que l'article 12 de la loi modifiée du 2 août 2002 ne prévoit pas l'autorisation de traitements de données à caractère personnel par la CNPD, mais la notification de traitements de données par le responsable du traitement à la CNPD (et la détermination des traitements concernées), les traitements soumis à autorisation quant à eux étant réglés par l'article 14 de la même loi. Rappelons à ce titre que les traitements soumis à notification en vertu de l'article 12 précité font l'objet d'une publication par la CNPD4, mais - à la différence des traitements soumis à autorisation préalable en vertu de l'article 14 — ne font pas l'objet d'un contrôle de licéité préalable par la CNPD. II n'est dès lors pas approprié d'utiliser le terme « autorisés » lorsqu'il est fait référence à l'article 12 de la loi modifiée du 2 août
2. 8) L'article 54 alinéa 4 lettre (b) du projet de loi n°7045 et l'article 16 paragraphe

(4)lettre (b) du projet de projet de loi n°7044 régissent les fichiers de journalisation des accès des agents de la Police grand-ducale, respectivement de l'Inspection générale de la Police aux bases de données des administrations. La CNPD estime que le motif de la consultation devrait également être indiqué par l'agent au moment de la consultation et conservé, alors que les informations relatives aux agents ayant procédé à la consultation et les informations consultées, la date et l'heure de la consultation seules ne permettent pas forcément de retracer le motif de la consultation. 4 Dans le régistre prévu à l'article 15 de la loi modifiée du 2 août 2002, registre consultable sur internet https://cnpd.public.1u/fr/reqistre/index.html CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7044 portant réforme de l'Inspection générale de Ia Police, du projet de règlement de règlement grand-ducal relatif au fonctionnement de l'Inspection générale de la Police et au projet de loi n°7045 portant réforme de la Police grand-ducale relatif à l'échange de données à caractère personnel et d'informations en matière policière 4/5 En ce qui concerne le délai de conservation, la CNPD est d'avis qu'il devrait être porté de trois ans à cinq ans. En effet, la prescription des infractions à la législation sur la protection des données (qui sont de nature correctionnelle) est de cinq ans. Or l'effacement des fichiers de journalisation après trois ans risque de rendre impossibles les poursuites judiciaires relatives à des infractions qui ne seraient pas encore prescrites. La CNPD n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 24 mars 2017. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNPD Thierry Lallemang Membre effectif hristophe Buschmann Membre effectif Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7044 portant réforme de l'Inspection générale de la Police, du projet de règlement de règlement grand-ducal relatif au fonctionnement de l'Inspection générale de la Police et au projet de loi n°7045 portant réforme de la Police grand-ducale relatif à l'échange de données à caractère personnel et d'informations en matière policière 5/5