Projet de loi portant modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. Monsieur le Président

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 19 octobre 2016 Personne en charge du dossier: Roland Gaasch 247 - 82953 SCL : L 5268 — 1474 / ak V/réf. 51.866 Doc. parl. 7052 Objet Projet de loi portant modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. Monsieur le Président, Comme suite à ma lettre du 2 septembre 2016, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre de commerce sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352)46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu CHAMBRE DE COMMERCE LUXEMBOURG 17 e Luxembourg, le 6 octobre 2016 1841-2016 anniversaire Objet : Projet de loi n°7052 portant modification de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. (4701GKA) Saisine : Ministre des Communications et des Médias (23 août 2016) AVIS DE LA CHAMBRE DE COMMERCE Le projet de loi sous avis a pour objet de modifier la loi du 27 février 2011 sur les réseaux et les services de communications électroniques afin (

1. i)d'y intégrer l'obligation pour les entreprises fournissant des services de communications électroniques accessibles au public sous forme d'un service à prépaiement de saisir l'identité du client préalablement à la fourniture dudit service ainsi que (
2. ii)d'attribuer à l'Institut Luxembourgeois de Régulation le pouvoir de sanction relatif à la violation de certains articles du règlement (UE) n° 2015/2120 du 25 novembre 20151 et du règlement (UE) n°531/2012 du 13 juin 20122. Considérations générales Suite aux attaques terroristes récemment perpétrées au sein de l'Union européenne et organisées notamment à l'aide des cartes prépayées anonymes, le projet de loi sous avis prévoit d'interdire la vente de ces cartes sous forme anonyme afin d'identifier tout client et ainsi lutter contre la criminalité croissante, principalement en matière de terrorisme et de trafic de drogues. La Chambre de Commerce, qui souscrit entièrement aux objectifs poursuivis par le présent projet de loi, doit néanmoins émettre des réserves quant à l'efficacité de la mesure proposée. Si les entreprises fournissant des services de communications électroniques qui vendent des cartes prépayées devront désormais enregistrer l'identité de leurs clients, la transmission de la carte prépayée de l'acquéreur initial à une autre personne ne sera cependant pas soumise à un enregistrement obligatoire et ce compte tenu de la complexité, voire de l'impossibilité de la mise en ceuvre d'un tel enregistrement. En plus, il sera toujours possible de téléphoner au Grand-Duché de Luxembourg avec des cartes à prépaiement qui ont été délivrées par des opérateurs étrangers et dès lors qui n'ont pas été enregistrées. Par ailleurs, il a été démontré que des malfaiteurs communiquent souvent par le biais d'internet, notamment via les messages codés sur les réseaux sociaux. Aussi, au regard de ce qui précède, si la Chambre de Commerce adhère aux finalités poursuivies par les auteurs du projet de loi sous avis, elle souhaiterait néanmoins que ces dispositions soient complétées, par exemple par un renforcement d'actions dans le cyberespace3, afin de combattre plus efficacement la criminalité. 1 Règlement (UE) n° 2015/2120 du Parlement européen et du Conseil du 25 novembre 2015 établissant des mesures relatives à l'accès à un internet ouvert et modifiant la directive 2002/22/CE concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques et le règlement (UE) n° 531/2012 concernant l'itinérance sur les réseaux publics de communications mobiles à l'intérieur de l'Union. 2 Règlement (UE) n° 531/2012 du Parlement européen et du Conseil du 13 juin 2012 concernant l'itinérance sur les réseaux publics de communications mobiles à l'intérieur de l'Union. 3 Dans ce contexte, des mesures devraient être mises en place afin de pouvoir mieux encadrer les recherches et poursuites d'infractions sur les sites non référencés du darkweb où la logistique des réseaux de malfaiteurs trouve en partie à s'organiser. GMURIDIQUE\Avis\201614701GKA_communications électroniques.doc CHAMBRE DE COMMERCE -2- LUXEMBOURG 17 e 1841-2016 anniversaire 1. Quant à l'obliqation d'identification des clients L'article 1er du projet de loi sous avis propose d'insérer la définition d'un service à prépaiement à l'article 2 de la loi du 27 février 2011 précitée. Ensuite, le projet de loi sous avis prévoit, en son article 2, l'obligation pour les entreprises fournissant des services de communications électroniques accessibles au public sous forme d'un service à prépaiement de saisir l'identité du client préalablement à la fourniture dudit service. Dans ce contexte, si les entreprises fournissant des services de communications électroniques identifient également les clients d'un service à post paiement (les abonnées), et ce en vertu de la loi du 27 février 2011 précitée aux fins de facturation et/ou d'établissement d'un annuaire téléphonique ainsi qu'en vertu du règlement grand-ducal du 21 décembre 20044 afin de les mettre à disposition de l'Institut Luxembourgeois de Régulation, il ne semble cependant pas exister d'obligation légale expresse imposant aux entreprises fournissant des services de communications électroniques de collecter les données personnelles des clients d'un service à post paiement aux fins de leur identification. Par conséquent, le projet de loi sous avis impose aux entreprises fournissant des services de communications électroniques des obligations supérieures en matière des services prépayés qu'en matière des services post payés. II semble également possible que les entreprises fournissant des services de communications électroniques réservent un traitement différencié aux deux types de clients. La Chambre de Commerce s'interroge dès lors si l'obligation d'identification des clients ne devrait pas être étendue à tous les services de communications électroniques, y compris les services à post paiement. 2. Quant aux données personnelles collectées aux fins d'identification L'article 2 du projet de loi sous avis énumère les données personnelles que doivent collecter les entreprises fournissant des services de communications électroniques afin de procéder au contrôle sommaire de la véracité des informations fournies par le client. Les professionnels doivent ainsi collecter, inter allia, une copie de la carte d'identité ou de l'attestation de dépôt d'une demande de protection internationale du client. Cependant, force est de constater qu'une copie des pièces précitées n'est exigée qu'en ce qui concerne les clients d'un service à prépaiement alors que ce moyen semblerait utile afin de pouvoir procéder à des vérifications d'identité a posteriori, notamment via la photo d'identité, de tous les clients. La Chambre de Commerce demande à ce qu'une copie de la carte d'identité ou de l'attestation de dépôt d'une demande de protection internationale soit obligatoirement recueillie pour tous les services de communications électroniques, y compris les services à post paiement. 4 Règlement grand-ducal du 21 décembre 2004 déterminant les services de communications électroniques et les services postaux ainsi que la nature, le format et les modalités de mise à disposition des données dans le cadre de l'article 41 de la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. GAJURIDIQUE\Avis\201614701GKA_communications électroniques.doc CHAMBRE DE COMMERCE -3- LUXEMBOURG 17 e 1841-2016 anniversaire 3. Quant à la conservation des données personnelles collectées Le projet de loi sous avis prévoit l'obligation pour toute entreprise fournissant des services de communications électroniques de conserver les données collectées aux fins d'identification des clients d'un service à prépaiement pendant la totalité de la durée de fourniture du service ainsi que pendant une période de trois ans à compter du jour de la désactivation du numéro d'appel. Les dispositions du projet de loi sous avis ne prévoient aucune autre précision et/ou condition relative à la conservation des données collectées. D'un côté, la Chambre de Commerce relève qu'étant donné l'absence semblerait-il d'obligation d'identification des clients d'un service à post paiement, la conservation des données collectées aux fins d'identification, telle que prévue par le projet de loi sous avis, concerne uniquement les données collectées auprès des clients d'un service à prépaiement. D'un autre côté, la Chambre de Commerce s'interroge quant à la conformité de ladite disposition avec l'arrêt de la Cour de Justice de l'Union européenne rendu dans l'affaire Digital Rights5 et déclarant la Directive 2006/24/CE du 15 mars 20166 invalide aux motifs qu'elle porterait une atteinte excessive à la vie privée des utilisateurs des services de communications électroniques et qu'elle serait dès lors contraire à la Charte des droits fondamentaux de l'Union européenne. La Cour de Justice de l'Union européenne a basé sa décision notamment sur les éléments suivants : - - l'obligation de conservation des données s'applique de manière générale sans exiger le moindre lien, même indirect, entre la personne dont les données sont conservées et un risque d'infraction, aucun lien entre la durée de conservation des données et la nature de l'infraction n'est établi, aucune limitation à l'utilisation des données conservées ni aucun critère objectif concernant leur accès n'est fixé. II ressort de l'exposé des motifs ainsi que du commentaire des articles que les auteurs de projet de loi sous avis entendent utiliser les données personnelles collectées dans le cadre d'une enquête ou d'une procédure judiciaire afin de lutter contre la criminalité, et ce notamment en matière de terrorisme. S'il est vrai que les données à conserver en vertu de la Directive 2006/24/CE du 15 mars 2004 précitée sont plus sensibles7 que celles à conserver en vertu du projet de loi sous avis, les deux textes poursuivent néanmoins les objectifs similaires liés à la conservation de données personnelles dans le domaine des communications électroniques en vue de la prévention, de la recherche, de la détection et de la poursuite d'infractions pénales. La Chambre de Commerce se demande dès lors si l'obligation de conservation des données collectées ne devrait pas être étendue à tous les services de communications électroniques, y compris les services à post paiement et suggère par 5 Arrêt de la CJUE du 8 avril 2014, « Digital Rights », affaires jointes C-293/12 et C-594/12. Directive 2006/24/CE du Parlement européen et du Conseil du 15 mars 2006 sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, et modifiant la directive 2002/58/CE. 7 Les données concernées permettent notamment de savoir avec quelle personne et par quel moyen un abonné ou un utilisateur inscrit a communiqué, de déterminer le temps de la communication ainsi que l'endroit à partir duquel celle-ci a eu lieu et de connaître la fréquence des communications de l'abonné ou de l'utilisateur inscrit avec certaines personnes pendant une période donnée. GAJURIDIQUE\Avisl2016\4701GKA__communications électroniques.doc CHAMBRE DE COMMERCE -4- LUXEMBOURG 17 e 1841-2016 anniversaire ailleurs d'adapter le libellé de l'article 2 paragraphe 2 du projet de loi sous avis aux exigences exprimées par la Cour de Justice de l'Union européenne dans son arrêt Digital Rights, telles qu'énumérées ci-dessus. 4. Quant à l'identification des clients existants La Chambre de Commerce note encore que le projet de loi sous avis entend interdire, à partir du 1er décembre 2016, toute fourniture d'un service à prépaiement aux clients dont l'identité n'a pas été enregistrée à cette date. II en ressort que les entreprises concernées devront désactiver le service à tout utilisateur d'un service à prépaiement non encore identifié à cette date. La Chambre de Commerce se demande à cet égard si les entreprises fournissant des services de communications électroniques disposeront d'un délai suffisant afin de contacter et d'identifier tous les clients en question compte tenu du nombre de cartes prépayées en circulation au Grand-Duché de Luxembourg. Commentaire des articles Concernant l'article j er Compte tenu des observations de la Chambre de Commerce liées à l'élargissement de l'obligation d'identification à tous les services de communications électroniques, elle propose de supprimer l'article 1er du projet de loi sous avis. Concernant l'article 2 Vu les remarques de la Chambre de Commerce qui précèdent, elle suggère de remplacer les références au(
3. x)« service(
4. s)à prépaiement » par les références au(
5. x)« service(
6. s)de communications électroniques » dans l'intégralité du texte de l'article 2 du projet de loi sous avis. Concernant l'article 3 A l'occasion de la modification de la loi du 27 février 2011 précitée, la Chambre de Commerce propose d'ajouter à l'article 83 paragraphe 1er de fadite loi le mot « amende » après les mots « par l'Institut d'une » afin de lui donner le libellé suivant : « Art.83.