Projet de loi portant 1. création de l'Autorité nationale de sécurité et 2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classific

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée (< la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou «la CNPD ») a notamment pour mission d'«être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes tes mesures réglementaires ou administratives émises sur base de la présente loi». Par courrier du 21 juin 2018, Monsieur le Premier Ministre a invité la Commission nationale à se prononcer au sujet du projet de loi n° 6961 portant

1. création de l'Autorité nationale de sécurité et
2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal. Pour rappel, par un courrier du 8 juin 2016, Monsieur le Premier Ministre avait invité la Commission nationale à se prononcer au sujet du projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par l'Autorité nationale de Sécurité, règlement à prendre en exécution de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité. La CNPD avait avisé ledit projet de règlement grand-ducal en date du 13 juillet
3. Auparavant, en 2013, la CNPD avait déjà rendu un avis relatif à un avant-projet de règlement grand-ducal pris en exécution de l'article 23 de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité.2 Amendement 21 L'article 28 nouveau projeté (remplaçant l'article 22 actuel) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité prévoit que, dans « le cadre des enquêtes de sécurité ou des enquêtes de sécurité ultérieures, l'Autorité nationale de Sécurité a accès direct, par un système informatique », à un certain nombre de bases de données d'administrations publiques énumérées par ledit article. La Commission nationale se demande s'il ne faudrait pas, à l'instar d'autres textes légaux, préciser quelles sont les données auxquelles l'ANS peut accéder. En effet, les données des bases de données étatiques auxquelles les membres des parquets et de l'administration 1 Délibération n° 639/2016 du 13 juillet 2016 https://cnpd.public.lu/fr/decisions-avis/2016/SRE.html 2 Délibération n° 274/2013 du 28 juin 2013 https://cnpd.public.lu/fr/decisions-avis/2013/sre.html CNPD 1 ••••.• • Si, Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant
4. création de l'Autorité nationale de sécurité et
5. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 1/4 judiciaire ainsi que les membres de la Police grand-ducale ont accès sont déterminés en détail par le règlement grand-ducal modifié du 22 juillet 2008 portant exédution de l'article 48-24 du Code d'instruction criminelle et de l'article 34-1 de la loi modifiée du 31 mai 1999 sur la Police et l'Inspection générale de la Police. La CNPD estime également nécessaire de prévoir de manière expresse des fichiers de journalisation qui porteront sur les accès de l'ANS, par un système informatique, aux traitements de données à caractère personnel de différentes administrations en qUestion. Rappelons à ce sujet qu'il existe des dispositions similaires prescrivant des fichiers de journalisation pour les accès à différentes bases de données étatiques par les magistrats (article 48-24 paragraphe

(4), lettre (b), du Code de procédure pénale) ou par les membres de la Police grand-ducale (article 34-1, Zie alinéa, lettre (b) de la loi modifiée du 31 mai 1999 sur la Police et l'Inspection générale de la,police)3. La version de l'article 22 telle que prévue par la version initiale non amendée du projet de loi sous avis prévoyait d'ailleurs en son paragraphe

(5): « 1.1 l'Autorité nationale de Sécurité met en oeuvre les moyens techniques permettant de garantir te caractère retraçable de l'accès. A cette fin, le système informatique par lequel l'accès direct est opéré doit être aménagé de sorte que:

1. a)le membre de l'Autorité nationale de Sécurité ne puisse consulter les traitements de données à caractère personnel visés au paragraphe ler ci-dessus que pour un motif précis en indiquant son identifiant numérique personnel, et
2. b)les informations consultées, la date et l'heure de /a consultation puissent être retracées.» A cette disposition, la CNPD aurait proposé de rajouter encore que le motif de la consultation doive pouvoir être retracé (alors que dans la version non amendée du projet de loi, il était seulement prévu que les informations consultées, la date et l'heure de la consultation doivent pourvoir être retracées) et elle aurait suggéré de prévoir un délai de conservation de 5 ans pour ces fichiers de journalisation. Elle ne partage pas la justification donnée dans la motivation de l'amendement selon laquelle la suppression de cette disposition permettrait « d'éviter un double-emploi avec la loi du jymm/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale qui s'applique entièrement au traitement des données recueillies aux fins du présent texte. » En effet, si la future loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale prévoit certains principes qui doivent être respectés en matière de traitement de données à caractère personnel, elle ne se substitue nullement aux lois spécifiques traitant des différents traitements à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Enfin, la CNPD note encore que l'article 28 paragraphe

(1)dernier alinéa projeté de la loi modifiée du 15 juin 2004 prévoit, en matière d'extraits du casier judiciaire, que « l'ANS transmet sur base trimestrielle la liste de ses demandes de délivrance et les motifs de ces 3 Article 43 de la future loi sur la Police grand-ducale [ CNPD— Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant

1. création de l'Autorité nationale de sécurité et
2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 2/4 demandes à l'autorité de contrôle spécifique prévue à l'article 17 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel ». Elle suggère d'adapter cet article au vu du projet de loi n° 7168 relative à la protection des personnes physiques à t'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Amendement 22 La CNPD constate que l'actuel article 23 de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité (ci-après aussi la loi modifiée du 15 juin 2004), devenant l'article 29 de la même loi suites aux modifications apportés par les amendements sous avis, ne prévoit dorénavant plus que le traitement de données à caractère personnel par l'Autorité nationale de Sécurité (ANS) fasse l'objet d'un règlement grand-ducal. Le projet de règlement grand-ducal avisé par la CNPD en date du 13 juillet 2016 deviendrait donc sans objet. La CNPD estime que les éléments essentiels des traitements de données à caractère personnel effectués par l'ANS devraient être déterminés par la loi et que certains détails peuvent être réglés par un règlement grand-ducal Dans ce contexte, la Commission nationale tient à souligner l'importance fondamentale du principe de légalité des traitements de données à caractère personnel qui doit être lu à la lumière de l'article 8, paragraphe 2 de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52, paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'homme, retiennent qu'un traitement de données effectué par une autorité publique peut constituer une ingérence dans le droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données. Cette ingérence ou limitation peut être justifiée à condition qu'elle : soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. En ce qui concerne la première condition, selon la jurisprudence de la Cour européenne des droits de l'Homme, une ingérence au droit au respect de la vie privée n'est « prévue par la loi », au sens de l'article 8 paragraphe

(2)de la Convention, que si elle repose sur une disposition du droit national qui présente certaines caractéristiques. La loi doit être « accessible aux personnes concernées e( prévisible quant à ses répercussions»

1. Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne — bénéficiant éventuellement d'une assistance appropriée — d'adapter son 4 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; voir également CouEDH, Kopp c. Suisse, n° 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 février 2009, para
2. Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant
3. création de l'Autorité nationale de sécurité et
4. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 3/4 comportement »
5. « Le degré de précision requis de la "loi" à cet égard dépendra du sujet en question. »6 Au niveau national, la Commission nationale tient à rappeler à cet égard l'exigence de la Cour constitutionnelle selon laquelle « dans les matières réservées par la Constitution à la loi, l'essentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc »7 . En l'espèce, la CNPD déplore en particulier qu'aucun texte légal ne fixe de durée de conservation précise pour les données à caractère personnel traitées par l'ANS. En effet. l'article 29 paragraphe

(3)projeté la loi modifiée du 15 juin 2004 dispose seulement que « les données relatives à l'enquête de sécurité sont détruites ou effacées conformément aux dispositions de la loi du jj/mrn/aaaa relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale » sans faire de référence à une disposition précise de cette loi aussi en projet. La CNPD constate aussi que le prPjet de loi ne comporte pas de dispositions relatives à des fichiers de journalisation pour ce qui est des accès aux données traitées par l'ANS, alors que les projets de règlement précédemment soumis à la CNPD pour avis comportaient des dispositions à ce sujet. Par ailleurs, la CNPD note que le texte ne précise pas qui décide quels sont les agents ayant accès aux traitement de données effectuées par l'ANS. En ce qui concerne les catégories de données traitées, le texte ne contient pas d'énumération. Cependant, l'article 31 projeté de la loi modifiée du 15 juin 2004 (article 24bis selon la numérotation des articles antérieure aux amendements) déterminera les « éléments » à prendre « en considération » lors d'une enquête. La CNPD regrette que le texte ne donne aucune précision sur l'origine des données. ll serait préférable que le texte fasse au moins une distinction entre les données que le demandeur d'une habilitation doit fournir lui-même et celles qui sont collectées à partir d'autres fichiers étatiques ou encore par d'autres moyens de recherche. Ainsi décidé à Esch-sur-Alzette en date du 16 juillet 2018 La ommission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang Membre effectif ristophe Buschmann Membre effectif CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 56 voir également CouEDH, Malone c. Royaume-Uni, n° 8691/79, 26 avril 1985, para. 66 ; CouEDH, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para. 88. 6 CouEDH, The Sunday Times c. Royaume-Uni, n° 6538/74, 26 avril 1979, para 49 ; voir également CouEHD, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para. 88. ?Arrêt 117 de la Cour constitutionnelle du 20 mars 2015 [CNPF Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 6961 portant 1. création de l'Autorité nationale de sécurité et 2 modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal 4/4