Projet de loi n°6961 portant 1 création de rAutorité nationale de sécurité et 2. Modification 1) de la loi modifiée du 15 juin 2004 relative à la clas

(1)de la loi du 21 novembre 2008 portant création d'une Commission consultative des Droits de l'Homme au Grand-Duché de Luxembourg (CCDH), celle-ci a été saisie en date du 6 août 2019 par le Premier Ministre pour donner son avis sur la version révisée du projet de loi n°6961 portant création de l'Autorité nationale de sécurité.1 La CCDH salue qu'elle ait été saisie de ce dossier et prend note du texte du projet de loi initial qui date du 2 mars 2016 et des amendements gouvernementaux du 25 juin

1. Elle prend également note des différents avis qui ont été rendus jusqu'à présent. La CCDH se félicite d'ailleurs particulièrement de l'avis de la Commission nationale pour la protection des données (CNPD) du 16 juillet 20192 et elle partage d'une manière générale les préoccupations et recommandations exprimées par celle-ci dans son avis. À titre préliminaire, la CCDH ne peut s'empêcher de faire le constat que l'approche du gouvernement à travers de nombreux projets de loi soumis au parlement, s'inspire de plus en plus souvent d'une logique répressive, sans que les différents droits impliqués ne soient toujours adéquatement mis en balance.3 La CCDH constate que le projet de loi sous avis s'inscrit dans cette même logique notamment en ce qui concerne la protection des données à caractère personnel et la liberté d'expression Il y a lieu de souligner que la CCDH ne procède pas à une analyse détaillée du projet de loi, mais qu'elle se limite à aborder les questions plus générales qui se posent d'un point de vue des droits de l'Homme. Avant de se lancer dans le vif du sujet, une brève introduction du projet de loi et de ses objectifs s'impose (II) H. Le projet de loi n°6961 renforce la sécurité des informations classifiées Selon les auteurs du projet de loi n°6961, l'évolution économique, le développement de l'informatique et l'utilisation croissante des pièces classifiées au sein des entreprises et entités privées notamment dans le cadre de leur participation aux marchés publics requièrent une mise à jour de la législation en matière d'informations classifiées 4 II ' Projet de loi n°6961 portant 1 création de rAutorité nationale de sécurité et
2. Modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité 2) du Code perle 2 Avis de la CNPD relatif au projet de loi n°6961 du 16 juillet 2018 ' A titre d'exemple on peut citer l'existence et l'utilisation de banques de données à caractère personnel, l'extension du réseau de la vidéosurveillance, le projet de loi n°7259 sur la fouille de personnes, la loi du 23 mai 2018 creant une infraction de dissimulation du visage dans certains lieux publics, le projet de loi n°6763 portant modification du Code d'instruction criminelle et de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, ou encore la version actuelle du projet de loi n°7276 sur la protection de la jeunesse ° Projet de loi n°6961, Exposé des motifs, p. 14 ll y aurait aussi une utilisation croissante des pièces classifiées au sein des entreprises et entités privées notamment dans le cadre de leur participation aux marchés publics 1 s'agirait également de se conformer aux « nombreuses évolutions du cadre juridique au niveau européen et international ». 5 En bref, le projet de loi sous avis vise à renforcer la sécurité juridique de la protection des pièces classifiées sur le territoire luxembourgeois. Pour réaliser cet objectif, le projet de loi n°6961 précise les modalités et les personnes qui sont autorisées à (dé)classifier, (dé)classer, modifier, transmettre, détruire ou accéder aux pièces dont l'utilisation est susceptible de porter atteinte à certains intérêts du Grand-Duché de Luxembourg.6 Le projet de loi prévoit ainsi un système d'habilitations de sécurité qui sera mis en œuvre principalement par l'Autorité nationale de Sécurité (ANS). D'une manière générale, les missions de l'ANS sont renforcées.' Cette dernière mènera des enquêtes de sécurité sur la personne physique ou morale qui aura besoin d'une habilitation. Ces enquêtes ont pour but de déterminer si la personne physique ou morale qui veut obtenir l'habilitation présente des garanties suffisantes quant à la discrétion, la loyauté, la fiabilité et l'intégrité.8 À cette fin, l'ANS pourra recueillir des données à caractère personnel soit auprès de la personne concernée elle-même, de son entourage proche ou de certaines bases de données Par ailleurs. l'ANS pourra procéder à des inspections périodiques auprès des détenteurs de pièces classifiées Ces derniers seront en outre responsabilisés davantage et des mesures pénales sont désormais prévues pour éviter la compromission des pièces. In. Un renforcement de la sécurité de l'information au détriment des droits de l'Homme ? Aux yeux de la CCDH, il y a au moins deux aspects importants d'un point de vue des droits de l'Homme d'un côté, le projet de loi soulève des questions relatives à la liberté d'expression et de presse, y compris la protection des lanceurs d'alerte notamment au vu de l'utilité des pièces pour d'éventuels procès (A). de l'autre côté, se pose la question de la protection des données des personnes sollicitant une habilitation de sécurité (B). s Projet de loi n°
3. Exposé des motifs page 15, L'article 3 du projet de loi énumère de maniere exhaustive plusieurs motifs pour justifier une classification • il s'agit de la sécurité nationale, des états étrangers ou des organisations internationales: des relations internationales; et du potentiel scientifique ou des intérêts économiques du Luxembourg - Projet de loi n°6961, exposé des motifs, p 15 Voir les articles 15, 14 et 26 du projet de loi. 2 A. La liberté d'expression et la protection des lanceurs d'alerte La CCDH constate que le projet de loi prévoit des sanctions en cas de compromission de pièces classifiées, qui peuvent aller jusqu'à des peines d'emprisonnement de cinq ans et des amendes allant jusqu'à 250.000 euros.9 Si la CCDH peut reconnaître l'importance de la protection d'informations classifiées, elle est préoccupée par le fait qu'il n'y ait aucune exception pour les journalistes ou les lanceurs d'alerte qui auraient révélé des documents classifiés dévoilant des informations dignes de l'intérêt général La version actuelle du projet de loi ne protège ni les journalistes ni les lanceurs d'alerte, au contraire, elle aura un effet répressif et dissuasif. Or, les personnes qui signalent des informations sur des menaces ou des préjudices pour l'intérêt public, obtenues notamment dans le cadre de leurs activités professionnelles, exercent leur droit à la liberté d'expression.19 Une pénalisation totale, sans exception, telle qu'elle est prévue par le projet de loi sous avis, risque de constituer une ingérence disproportionnée dans la liberté d'expression et d'information." Il y a lieu de rappeler que le Comité des Ministres du Conseil de l'Europe a souligné que les États membres peuvent certes introduire un régime de droits plus restrictif pour des informations relatives à la sécurité nationale, la défense, le renseignement, l'ordre public ou les relations internationales de l'État, « sans pour autant laisser le lanceur d'alerte totalement privé de protection ou de défense potentielle ». 12 Selon le Parlement européen, « il devrait être possible de divulguer des informations sur des menaces graves pour l'intérêt général même lorsqu'elles font l'objet d'une protection juridique » et « des procédures spéciales devraient s'appliquer pour les informations concemant (...) les informations classifiées ayant trait à la sécurité nationale et à la défense ». 13 La CCDH renvoie dans ce contexte également à la directive de l'UE sur la protection des personnes dénonçant les infractions au droit de l'Union.14 Si cette demière exclut les informations classifiées de son champ d'application, elle permet néanmoins explicitement aux États membres d'aller au-delà du niveau de protection de la directive, g Projet de loi n°6961, article
4. '° Proposition de directive du Parlement européen et du Conseil sur la protection des personnes qui signalent des violations du droit de l'Union, https://data.consilium.europa.eu/doc/document/PE-78-2019-INlT/fr/pdf, considérant n°22 . voir aussi l'article 10 de la Convention européenne des Droits de l'Homme ; Anna-Maja Henriksson, ministre finlandaise de la justice, communiqué de presse du 7 octobre 2019, www.consilium.europa.eu/fr/press/press-releases/2019/10/07/better-protection-of-whistle-blowers-new-eu-widerules-to-kick-in-in-2021/. CourEDH, Arrêt du 8 janvier 2013, Bucur et Toma c. Roumanie http.//hudoc.echr.coe.int/enq?i=001-115844 M Bucur était un militaire des services secrets ayant divulgué lors d'une conférence de presse des enregistrements téléphoniques non autorisés classés "ultra-secret' concernant de nombreuses personnalités , CourEDH, Arrêt de grande chambre du 12 février 2008, Guja c. Moldova, httpillhudoc.echrcoe.int/enei=001-
5. '2 Comité des Ministres du Conseil de l'Europe, Recommandation CM/Rec

(2014)7 relative à la Protection des lanceurs d'alerte, 30 avril 2014, p. 29 13 Résolution du Parlement européen du 24 octobre 2017 sur les mesures légitimes visant à protéger les lanceurs d'alerte qui divulguent, au nom de l'intérêt public, des informations confidentielles d'entreprises et d'organismes publics (2016/2224(INI)). Directive du Parlement européen et du Conseil sur la protection des personnes qui signalent des violations du droit de l'Union, https.//data.consilium.europa eu/doc/document/PE-78-2019-INIT/fr/pdf. La directive a été signée en date du 7 octobre 2019 par le Parlement européen et le Conseil européen. Elle n'a pas encore été publiée au Journal officiel de WE. Une fois publiée, elle entrera en vigueur le vingtième jour suivant celui de sa publication et les Etats membres auront 2 ans pour la mettre en oeuvre. 3 Dans ce même ordre d'idées. la CCDH souligne que le projet de loi belge sur la classification des informations, qui présente de fortes similitudes sur ce point avec le projet de loi luxembourgeois, a été critiqué par le Conseil d'État belge. Ce dernier a estimé qu'une incrimination trop large « pourrait (...) soulever des difficultés au regard des droits protégés par l'article 10 de la Convention européenne des droits de l'homme. singulièrement le droit à la liberté d'expression et d'information ».16 Le gouvernement belge a affirmé que le projet de loi sera amendé pour remédier à cette défaillance.16 Au vu de ce qui précède, la CCDH exhorte le gouvernement à revoir le texte du projet de loi en y intégrant une protection adéquate des journalistes et des lanceurs d'alerte. La CCDH rappelle dans ce contexte également l'engagement du gouvernement exprimé dans son accord de coalition qui devrait être reflété dans le présent projet de loi.17 Le projet de loi prévoit, par ailleurs, que les pièces classifiées peuvent être détruites lorsqu'elles ont perdu toute utilité administrative pour leur détenteur, sauf s'il s'agit d'une pièce d'un dossier judiciaire.18 La CCDH se demande si le projet de loi permettra d'éviter que des informations ou des preuves relatives, par exemple, à des violations des droits de l'Homme qui ne font pas encore l'objet d'un dossier judiciaire, seront détruites par leur détenteur alors qu'elles pourraient être utilisées à son encontre dans une future affaire judiciaire, ou à l'encontre de son administration ou de son entreprise. Dans ce même ordre d'idées, la CCDH se demande si le procès-verbal de la destruction d'une pièce classifiée ne devrait pas être conservé pendant au moins 10 ans, indépendamment du fait s'il s'agit d'une pièce classifiée « TRES SECRET LUX » ou « SECRET LUX » B. Le pouvoir d'enquête de l'ANS et la protection des données des personnes désireuses d'obtenir une habilitation de sécurité Comme déjà annoncé plus haut, pour pouvoir traiter des pièces classifiées, il faut avoir une habilitation de sécurité délivrée par le Premier Ministre, sur base d'une enquête de sécurité réalisée par l'ANS.

1. Les modalités de l'enquête de sécurité La période de temps que l'enquête peut couvrir varie en fonction du niveau de l'habilitation de sécurité. Il s'agit d'au moins cinq ans pour le niveau « SECRET LUX » et d'au moins dix ans pour « TRES SECRET LUX » — à l'exclusion de la période pendant laquelle la personne concernée était mineure. Il serait donc théoriquement possible que " Conseil d'Etat belge. Avis 66 143/2 du 20 juin
2. page 10, http.//www.raadvst-consetat be/dbx/avis/66143.pdt 16 Belga, Didier Reynders prêt à modifier le texte sur les informations classifiées qui inquiète les journalistes. RTBF, 6 septembre https//www.rtbf.be/info/belgiquefdeta:t didier-reynders-pret-a-modifier-le-texte-sur-les-informations-classifiees-qui-inquiete2019, les-tournalistes?id=
3. '7 Accord de coalition 2018-
4. p. 27 « La proposifion de directive relative à la création d'une législation européenne uniforme visant à protéger les lanceurs d'alerte (« whistleblowers ») sera appuyée et le nécessaire sera fait en vue d'une transposition rapide de cette directive en droit luxembourgeois La législation nationale couvrira le champ d'application défini par la jurisprudence nationale en la matiére ainsi que par celle de la Cour européenne des droits de l'Homme (CEDH) » '8 Projet de loi n°6961, article 10 4 l'enquête porte par exemple sur une période de vingt-deux ans pour une personne âgée de quarante ans. La CCDH se demande dans ce contexte qui et pour quels motifs décidera de l'envergure concrète de l'enquête. Elle exhorte le gouvernement à fixer une limite vers le haut pour éviter une ingérence excessive dans le droit à la vie privée de la personne ciblée par l'enquête Pour réaliser l'enquête, l'ANS peut, d'un côté, questionner la personne concernée qui doit avoir donné son consentement au préalable. Or, son consentement n'est pas requis dans le cadre d'une enquête ultérieure effectuée pour vérifier si les garanties de sécurité requises sont toujours réunies ou s'il y a lieu de lui retirer l'habilitation.19 La CCDH estime que le consentement devrait être demandé avant toute enquête, peu importe si elle est faite avant ou après l'octroi de l'habilitation Elle s'interroge d'ailleurs sur la liberté de ce consentement, étant donné que le refus entraînera forcément le refus de la délivrance ou du renouvellement de l'habilitation, avec toutes les conséquences que cela implique. De l'autre côté, le projet de loi permet aussi à l'ANS d'enquêter sur les personnes majeures de « l'entourage proche » de la personne concernée, sous condition d'avoir obtenu leur consentement. La CCDH estime qu'il n'est pas clair si une telle enquête portera uniquement sur des informations que cette tierce personne pourra fournir sur la personne concernée ou si l'enquête portera sur la tierce personne elle-même. Par ailleurs, au vu de la notion vague de « l'entourage proche » et vu que l'ANS devra informer la personne de l'entourage sur les raisons et la portée de l'enquête — divulguant ainsi à un tiers des informations relatives à la personne concernée — cette enquête devra être assortie de garanties nécessaires pour la personne concernée. Entre autres, cette dernière doit avoir un droit d'accès aux informations la concernant et un droit à la rectification des informations. Dans le même ordre d'idées, la CCDH invite le gouvernement à solliciter non seulement le consentement de la personne de l'entourage proche, mais aussi celui de la personne concernée. Par ailleurs, l'article 3 1 donne un accès direct aux « renseignements et éléments » figurant dans certaines banques de données à l'ANS,2° y compris la partie recherche de fa banque de données nominatives de police générale. Sur ce point, la CCDH se rallie à l'avis de la CNPD et regrette que la journalisation des consultations ait été retirée du projet de loi. Il devrait en effet être prévu que l'identifiant, le motif, les informations consultées, la date et l'heure de la consultation puissent être retracés. De plus, les consultations devraient être enregistrées pour une durée minimale de cinq ans.21 D'une manière générale, la CCDH estime que la procédure d'enquête n'est pas suffisamment précise. Elle se demande entre autres quelles informations peuvent être recueillies auprès des personnes concernées elles-mêmes et quelles autres informations '9 Projet de loi n°
5. articles 15 et 27

(2). 29 Registre national des personnes physiques , Répertoire général des personnes morales , Fichier relatif aux affiliations des salanés des indépendants et des employés gérés par le CCSS . Fichier des étrangers , Fichier des demandeurs de visa ; Fichier des autorisations d'établissement Fichier des véhicules routiers et de leurs propriétaires et détenteurs , Fichier des armes prohibées et la partie recherche de la banque de données nominatives de police générale 2 ' Avis de la CNPD du 16 juillet 2019 relatif au projet de loi n°6961, délibération n°444/2018, p. 2 5 peuvent être recueillies auprès de leur entourage proche, auprès de leur employeur ou auprès des banques de données. De même, le projet de loi devrait définir quelles personnes de l'ANS auront accès à quelles données, de quelle manière et pour combien de temps

1. Les critères et éléments à prendre en compte Le projet de loi énumère les éléments sur lesquels l'enquête peut p0rter22 et l'article 31 fournit des précisions par rapport aux critères d'appréciation il liste, entre autres, la situation sociale et professionnelle actuelle et passée, les problèmes d'addiction pouvant altérer le discernement, les maladies mentales ou toute autre maladie pouvant altérer le discernement, ou encore le parcours scolaire comme des éléments à prendre en compte pour évaluer si la personne est fiable, loyale, discrète et intègre. La CCDH s'interroge sur la justification de ces critères dont certains ont une connotation discriminatoire. Elle estime que certains critères, qui sont d'ailleurs vagues et ouverts à interprétation,23 entrent en conflit notamment avec les droits des personnes en situation de handicap et/ou les droits sociaux économiques des personnes concernées. La CCDH exhorte le gouvernement à prévoir des garanties suffisantes pour éviter que l'évaluation ne soit pas basée sur une approche discriminatoire et arbitraire.
2. Les délais de conservation des données personnelles et le droit d'accès La CCDH regrette que les délais pour la conservation des données personnelles ne soient pas précisés dans le projet de loi. Les délais et les modalités pour leur destruction devraient être déterminés par la loi et la CCDH estime que la journalisation des consultations des données devrait également figurer dans la fiche prévue à l'article 29

(3)du projet de loi qui sera conservée après la destruction. Finalement, la CCDH s'interroge sur l'accès aux données voire aux dossiers par les personnes concernées. L'article 32

(3)prévoit que la personne qui s'est vue refuser ou retirer l'habilitation peut demander par voie écrite au Premier Ministre d'accéder au dossier. La CCDH se demande si les personnes qui ont reçu l'habilitation auront également un droit d'accès et un droit de rectification de leurs données. Il en va de même de l'accès aux données par les personnes de l'entourage proche. 22 Projet de loi n°6961, article 26 II s'agit de l'État civil à solvabilité, la situation sociale et professionnelle actuelle et passée, la fiabilité, la réputation, la vulnérabilité à l'égard de pressions. et les renseignements professionnels de la part du chef de l'administration ou de l'organe de gestion de l'entité privée du demandeur d'une habilitation. Quelle est la définition de « maladies mentales ou toute autre maladie pouvant altérer le discemement » ou de « problèmes » d'addiction "«) 6 IV. Conclusions et recommandations • La CCDH exhorte le gouvernement à prévoir une protection adéquate des journalistes et des lanceurs d'alerte qui dévoilent des informations classifiées tout en révélant par exemple des menaces ou atteintes à l'intérêt général. • La CCDH incite le gouvernement à préciser davantage les modalités de l'enquête de sécurité, les données à caractère personnel à recueillir, et la manière dont celles-ci peuvent être recueillies et traitées. • Préoccupée par le fait que les critères d'évaluation sont vagues et sources potentielles de discriminations, la CCDH recommande de revoir ces derniers afin d'éviter que l'évaluation soit faite d'une manière discriminatoire et arbitraire. • Pour éviter une ingérence excessive dans la vie privée, la CCDH recommande de fixer une limite pour la période de temps qui peut être couverte par les enquêtes de sécurité. • La CCDH estime que rien ne s'oppose à ce que le consentement soit également demandé avant la réalisation d'une enquête ultérieure. De même, dans le cas d'une enquête visant une personne de l'entourage proche de la personne concernée, le consentement de cette dernière devrait également être sollicité. • En ce qui concerne les consultations des bases de données, la CCDH recommande de réintroduire un mécanisme de journalisation relatif à l'identifiant, le motif, les informations consultées, et la date et l'heure des consultations. Celles-ci devraient être enregistrées pour une durée minimale de 5 ans. • La CCDH recommande au gouvernement de préciser les délais pour la conservation des données personnelles recueillies et de garantir un accès aux données adéquat aux personnes visées par les enquêtes, indépendamment de l'issue de leur dossier. 7