← Luxembourg

Projet de loi relative à rechange de données à caractère personnel et d'informations en matière policière et portant : l. transposition de la décision

LE GOUVERNEMENT DU CRAND-DUCHE DE LUXEMBOURG Ministère d'Etat Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 25 novembre 2016 Personne en charge du dossier: Jean-LucSchleich 8247-82954 SCL : L 5198 - 1749 / ak V/réf. 51.600 Doc. pari. 6976 Objet : Projet de loi relative à rechange de données à caractère personnel et d'informations en matière policière et portant : l. transposition de la décision - cadre 2006/960/JAI du Conseil du 18 décembre 2006 relative à la simplification de rechange d'informations et de renseignements entre les services répressifs des Étatsmembres de l'Union européenne ;

  1. mise en ouvre de certaines dispositions de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière. Monsieur le Président, A la demande du Ministre de la Justice, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale our la rotection des données sur le projet de loi sous rubrique. Veuillez agréer. Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement Réd. Dact. Contrôle ak ak Jl^< Exp. le par 8 NOV. 201 t,^ 43, boulevard F. -D. Roosevelt L-2450 Luxembourg Archivage Paraphes John Dann Directeur Tél. (+352) 247-82952 Fax(+352) 46 74 58 scl@scl. etat. lu www. gouvernement. lu www. legilux. lu www.luxembourg. lu LE GOUVERNEMENT DU GRAND-DUCHÉDE LUXEMBOURG Ministère d'Etat Le Ministre aux Relations avec le Parlement Monsieur le Président de la Chambre des Députés Luxembourg Luxembourg, le 25 novembre 2016 Personne en charge du dossier: Jean-LucSchleich B 247 - 82954 SCL : L 5198 - 1749 / ak Doc. pari. 6976 Objet Projet de loi relative à rechange de données à caractère personnel et d'informations en matière policière et portant : l. transposition de la décision - cadre 2006/960/JAI du Conseil du 18 décembre 2006 relative à la simplification de rechange d'informations et de renseignements entre les services répressifs des Etats membres de l'Union européenne ;
  2. mise en ouvre de certaines dispositions de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière. Monsieur le Président, A la demande du Ministre de la Justice, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale our la rotection des donnéessur le projet de loi sous rubrique. Veuillez agréer. Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement Réd. Dact. Contrôle ak ak 4a Exp. le par Archivage Paraphes 4l/ 2BNOV. 2015 ^ (k John Dann Directeur t
  3. boulevard F.-D. Roosevelt L-2450 Luxembourg Tél.(+352)247-82952 Fax(+352)4674 58 scl@scl. etat. lu www.gouvernement. lu www. legilux. lu www. luxembourg. lu Avis de la Commission nationale pour la protection des données relatif au projet deloi n°6976 relatif à rechange dedonnées à caractère personne^ et d'informations en matière policière et portant : l) transposition de la décfsion - cadre 2006/960/JAI du Conseil du 18 décembre2006relative à la simplification de rechange d'informations'et de renseignements entre les services répressifs des"États membres"de l'Union européenne ; 2) mjse en oeuvre de certaines dispositions de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à rapprofondissement~de"la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière Délibération n° 966/2016 du 17 novembre 2016 Conformément à l'article 32 paragraphe

(3)lettre (
  1. e)de la loi modifiéedu 2 août2002 relative Ll.ajîrotection des pet'sonnes à régard^u ^alternent desdonnéesà"caractere^personnerid" ap?ldésignee. \la !oimodifiéedu2_août2002»), laCommission nationale-po'ur7a"protectio'n ^(ci-après désignée « la Commission nationale » ou «la CNPD ») a notamment mtsslonïsëtre. demandéeensonavissurtouslesprojetsoupropositions de ^oiportant'creation traitement demême que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi». Par courrier du 22 mars 2016, Monsieur le Ministre de la Justice a invité la Commission natlonale à_se prononcer au sujet du projet de loi n°6976 relatif à rechange'de"données'a caractère personnel et d'informations en matière policièreet portant :
  2. l)transposition deladécision- cadre2006/960/JAIduConseil du 18décembre2006relative 1 am plification de l'échange d'informations et de renseignements entre les se'rvios'reDressif des Etats membres de l'Union européenne ; 2), m!se en. oeuvre decertaines dispositions de la décision 2008/615/JAI du Conseil du 23 iuir transfronta-lière, 'no~tammenten'vij eude 2008 relative à l'approfondissement de la coopération contre le terrorisme et la criminalité transfrontalière. Outre les^deux textes à transposer ou à mettre en ouvre, le présent avis se référera aussi à : ~ }a^écislon~cadre 2008/977/JAl du Conseil du 27 novembre 2008 relative~à~laprotection :eî:d:on. néesmatière à caractère Personnel traitées dans le cadre de la coopération policière et aire pénale qui définit, de manière générale, des règïes communes'a'tous judici les^Etats membres pour la protection des données à caractère personneitraitéesdansïe cadre de la coopération policièreet judiciaire en matière pénale" la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la Protection des personnes physiques à l'égard du traitement des données à"caractère personnel par les autorités compétentes à des fins de prévention et de'détectioTdes en infract'ons Pénales' d'enquêteset depoursuites en la matièreoud'exécutïonde'sanction's données, et abrogeant 7a~decisionv-cadre PS1a!es^et. la l!bre circulation de a ces UUW377/JAI du Conseil dont le champ d'application. A la différence de son texte prédécesseur, la décision-cadre2008/977/JAI, n'estpas limitéauxéchangesde"données entre les Etats membres de l'Union européenne, mais, au contraire, "ouvre''aussi "les situations internes à un Etat-membre et lestransferts dedonnées vers des pays"tiïrs" CNPD Avis de la Commission nationale pour la protection des données ^ relatif au projet de loi n°6976 relatif à 1'échange de données à caractère personnel et T;N^ d'informations en matière policière 1/1 2 l. A réciation énéraledu ro'et de loi 1. 1. Les données ouvant faire l'ob'et de transmissions En vertu du principe de disponibilité consacré par le projet de loi sous avis et les deuxtextes européens à mettre en ouvre, toute information disponible pour l'autorite Po^cière_d', un_Pays particïant'aux échangesde donnéesdoit aussi être disponible aux autorités policières des autres pays participants. Concrètement, les informations détenues par la Police grand-ducale et mais aussi celles qui lui so^nt"accessibles pourront, voire devront être transmises à toutes les autorités visées par les articles l et 18 du projet de loi selon les conditions fixées par celui-ci. Vu retendue importante des données pouvant être transmises, il est d'autant plus important les'traïteme'nts de données qui sont effectués, à la base, au niveau national, par la Police grand'-ducale respectent les règles relatives à la Prc)tection, d.esdonnees'_aulris queq, Lle^es Frregularitésnesoientenquelquesorte « exportées» parle biaisdeséchangesmisen Placeen vertu"du projet de loi sous avis. Or, la CNPDconstate que lalégislation nationale f'elat.ive, aux traitements de données opérés par la Police grand-ducale n'est pas conforme aux principes régïs'sant'îa protection desdonnées.Pourtantonentend permettre parle biaisdu projet de loi sous examen d'échanger des données au niveau international. En effet, la CNPD voudrait, une fois de plus, relever que le règlement grand-ducal modifiée du 2'octobre 1992 relatif à la création et à l'exploitation d'une banque de données nominatives de'poïice générale(« règlement Ingepol ») ne répond pas à toutes les exigencesj, uridlc[uesjie pr'otrection°desdonnées"découlant de la loi modifiéedu 2 août2002-,ni, cle^a_decision-cad^ 2'6'08/977/JAI précitée et qu'il aurait dû être remplacé par un nouvel règlement grand^ducal obligatoire en exécution de'l'article 17 paragraphe (
  3. l)lettre (
  4. a)de la, toi modjtiéed_u_2, août 20'02', 'soit depuis plus de 14 ans. Dansses rapports annuels, l'autorité de contrôle spécifique «"ArtÏcle"17»'a d'ailleurs régulièrement critiqué la prorogation annuelle du règlement Ingepol depuis F'adoption de la loi modifiéedu 2 août2002 ainsi que l'absence d'adoption d'un nouvel règlement grand-ducal 1. 2. Journalisation des accès et autres mesures de sécurité Pour pouvoir sanctionner desabuset desaccèsnon autoriséset pourfaciliter les recours des personnes concernées, il est primordial que les opérations de transmissions de données puissent être retracées. Le défaut de journalisation rendrait d'ailleurs difficile voire impossible le contrôle par les autorités de contrôleou les autorités judiciaires tel que prévu notamment par l'article 30 paragraphe 5. de la décision 2008/615/JAI. Des mesures garantissant la traçabilité des communications sont notamment prescrites par les articles 22 paragraphe 2. lettre
  5. f)de la décision-cadre 2008/977/JAI, 30 de la décision 2008/615/JAI et~29 paragraphe 2. lettre
  6. f)de la directive 2016/680. Selon le commentaire des articles, l'article 3 paragraphe 3 régissant les demandes à formuler en vue d'une communication des données est censé garantir la traçabilité. Cependant, le projet de loi sous avis ne réglemente pas la duréede conservation des demandes detransmissions de iCNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n°6976 relatifà rechangede donnéesà caractèrepersonnel et d'informations en matière policière 2/1 2 dlnnées'-nlce"_es_destransmisslons e"es-mêmes. Ilestdoncpossibleque,déjàpeude 1 après une transmission, aucune trace de cette transmission des données ne subsiste. paLameurs'_, en. cas de commun'cation électronique des données, aucune conservation de . log.. ^est_prévue' en dehors dej'hypothèsede transmissions se~faisant"pa7le "biais de systèmes européens tels que Europol, SISÏI etc. . Anouvea^. etant.,c!onnéque le règlementgrand-ducal à prendresurbasede l-article 17de la de2.002.. fait_défaut' rien n'est. Prévu en droit national de sorte que le prisent'projet de'lol devra contenir des dispositions spécifiques à cesujet. . l:^commisslon nationale constate que'. de manière plus générale, le projet de loi necontient pas^d-exigences particulières relatives à la sécurité et la confidentialité des données éch'aneee r, ^vu le caractère extrêmement sensible des données en jeu, elle estime"nicess7rr e'de"D'rTvo'îr de tellesmesures dans la loi. En-effet leLartic,les, ?, de. ladécision - cadre 2006/960/JAI et 29 paragraphe (
  7. l)de de la dec:is'.on. 2008/615/JAIexigent de te"es mesures de sécurité"du-drorti noatiSnal. vOr,7eudrc'iî natlo.naLfaîdéfaut en rabsence derèglement grand-ducal prissur la base'del'articTe'17 deul'a parai"eurs'_letexte nepréciserien. surlesmodalitésetconditionsdesmoyensdetransmission (quelles communications peuvent ou doivent être effectuées pai-'écr'it,' co,mmïcations peuvent êto effectuées par fax, par e-mail etc. ?) mais évoque, ensonïide ?Lseulement tous les canauxde cooPération policière auxquels'participe"le"L'uxembour'g.'VO>r detelles précisionsseraient nécessaires pour déterminer les mesures desécurité'adaptée?.' l. 3. Voies de recours et droit d'être indemnisé Les_.textes eur,OPéens applicables exigent l'existence de recours devant l'autorité de contrôle compétente1 et/ou2 de recours juridictionnels3. La»comrr"ss'.on_nationale se demande que"es pourraient être les recours juridictionnels applicables auxcommunications de donnéesrégiespar la loi projetée. En-ce qL concerne la Possibilité de " pose^des recours devant l'autorité de contrôle, on peut également se questions sur Ja compétence de ('autorité de contrôle prévue'à"raIrticleT7ÏI'aL Foi modlfiée. _du 2 août 2002. Si la compétence de cette autorité est"mentionnée danS Te commen}a"'e desarticles- Ie texte du projet de loi ne révoque pas. Lasimple communTcation donnxees-de_la police ërand;ducale vers les autorités de police d'autres payso'u leséchanges ent''e. clifférentes. Llnitésde la policegrand-ducale nesemble pasposerprobîeme" E'n'rev'an'c^ s'^neî, r.ans.mission-est'en vertu desarticles5 Paragraphe
(2)ou20 paragraphe
(2)"-'aut'orisée . par-'.eHlrocureurd'Etat ou. lejuge d'instruction en ce qui concerne les données provenanTd'une enquête en cours, respectivement d'une instruction préparatoire encours, lesc"hoses''sonïmoi'ns 20CO^/';Amee;t52esdea^cUedlo^'°" 2008/615'JA'' 25 parasraphe 3 de la dédsion-cadre ^^£^^l^S^^^^sleKe d'u"desd9ux^s derecourses« »coL'9°7^Ameentt5'rd ea^^ede2^6^'°" 2°°8/615/JA1' 'CNPD 25 para9raphe 3 de la décisl°"-cadre Avis de la Commission nationale pour la protection des données relatif au projet de loi n°6976 relatif à ('échangede donnéesà caractèrepersonnel et d'informations en matière policière 3/1 2 et de la Commission consultative claires. La CNPD partage aussi les soucis du Parquet général4 de-1'Homme5 relatives à la compétence de l'autorité de contrôle pour les des ' "Droits" t7ansmissions de données de la Police grand-ducale vers des administrations. En ce qui concerne la portée du droit d'accès indirect prévu par l'article 17 Pt'ecité^i^f_aut mentïonner'queta personneconcernéenepeut passevoirconfirmer - par l'autoritédecontrôle j''une"v7olationdeses droits a effectivement eu lieu. En effet, auxtermes de l'article 17 de loïmodîfiéedu 2 août2002, l'autorité decontrôle « procèdeauxvérificationset investigations utiles, fait opérer les rectifications nécessaires et informe la personne concemee ^uele ïraitem'ent en question ne contient aucune donnée contraire aux conventions, à la loi et à ses règlements d'exécution.» Ceci n'exclut pas, maiscomplique un éventuel recoursen responsabilitéde lavictime qui veut être indemniser En effet, une personne hésitera à intenter une action en responsabilité si elle ne sait même pas si une violation de la loi a effectivement eu lieu ou non. Mentionnons que le droit à une réparation est prévu par les articles^ 56^ la ^directive 2016/680, 31 de la décision 2008/615/JAI et 19 de la décision-cadre 2008/977/JAI
  2. Sanctions La CNPD regrette que le projet de loi ne prévoie pas de sanctions pénales en cas de violations des règles édictées par le projet de loi. Mentionnons qu'en vertu des articles 24 de la décision-cadre 2008/977/JAI et 57 déjà directive"2016/680, les Etats membres de l'Union européenne sont tenus de prévoir des sanctions effectives afin d'assurer le respect des règles y énoncées. Dessanctions pénalessemblent d'autant plus nécessairesque la loi modifiéedu 2 août2002 (com'prenant dessanctions pénales)- quicouvreégalementlamatièrepoliciere- vadisParartre sous sa forme actuelle en raison de la mise en conformité de la législation kjxembourgeoise au règlement (UE) 2016/679 du Parlement européen et du Conseil du 2^7 avril'2oÏ6"relatif à la protection des personnes physiques à l'égard du traitement des données a'caractere'personnel et à la libre'circulation de ces données (Règlement général sur la protection desdonnées), et abrogeant la directive 95/46/CE.
  3. Echan es de données avec les institutions or ânes et a ences de l'Union euro éenne Encequi concerne plus particulièrement les échanges avec les institutions, <:)t'ganes, eta§ences de rùn'ion européenne, il serait, dans un but de transparence, préférableque les institutions concernées soient nommément désignées en se référant aux textes européens respectifs.
  4. Les transferts de donnéesvers des a s tiers
  5. 1 Lecham d'à lication 4 Avis du 28 avril 2016, page 5 5 Avis du 7 juillet 2016, pages 5 et 7 CNPD Avis de la Commission nationale pour la protection des données relatifau projet de loi n°6976 relatifà rechangede donnéesà caractèrepersonnel et d'informations en matière policière 4/1 2 L'article 1erdu projet qui prévoit, en principe, la possibilitéde latransmission dedonnéesà des pays tiers se réfère a priori au chapitre premier en son intégralité (et non seulement à la Dremier section de ce chapitre). Maisvu les dispositions clfrl'article 15, il semble clair que la consultation et la comparaison automatisées de profils ADN, la consultation automatisée de données dactyloscopiquesetta consultation automatisée de données relatives à l'immatriculation des'véhicules" soient réservées aux échanges de données entre Etats-membres liés par la décision 2008/6i5 /JÂI En vertu de l'article 11 du projet de loi, la communication spontanée (sans demande) de données est réservée à la coopération avec les autorités policières des autres Etats membres de l'Union européenne et des pays associés à ('espace Schengen ainsi qu'avec les ïnstitutïons" organes et agences de ('Union européenne. ~ ' --. -. -. -.. -, Une approche plus restrictive en matière de transmissions spontanées vers des paystiers est certainement de mise, surtout quand il ne s'agit pas de prévenir desinfractions précises mais plutôt des « troubles à l'ordre public » (termes utilisés par ('article 11 du projet de loi)X des pays ?n. _pe, ut_ce, l?er1clantse demander SI ii n'ya Pas d'échange de données spontané tiers dans l'hypothèse où la Police luxembourgeoise a connaissance d'infractions graves, '"par avec exemple de nature terroriste, qui sont sur le point de se produire sur-le territoire d'un"Etat tiers. Desinformations decegenreseraient-elles alorstransmises en dehorsdetout cadreFégal'ou" a-t-il d'autres textes légaux qui s'appliquent? LaCNPDestimequ'il seraitpréférablequeletexteprécisedemanièreplusexplicitequelstypes d'échanges de données ne peuvent être effectués qu'entre pays membres de-l;Un'ïon européenne et les pays associés à l'espace Schengen et quels types'd'échanges peuvent être effectués également avec des pays tiers. Le projet de loi ne précise pas de manière expresse s'il s'applique uniquement aux relations avec des Etats ayant conclu un accord ou traité bilatéral ou multilatéral réglant l'échange'de données en matière policière. A défaut de précision, il faut admettre qu'un tel accord n'est' requis. Si la future loi s'applique en dehors d'accords avec les pays destinataires des données, il est d'autant plus important que les règles de la loi sont strictes et protectrices des droits des citoyens. En effet, une fois la transmission des données vers le pays tiers effectuée, celle-ci échappe au champ d'application de la décision - cadre 2006/960/JAI et de la décision 2008/615/JAIetd'autrestextesdel'Union quigarantissent lesdroitsdespersonnesconcernées dans les pays recevant des données de la part des autorités luxembourgeoises.
  7. A réciation Le fait pour les pays européens de mettre en place un échange de données facilité selon le principe de disponibilité témoigne d'une relation de confiance particulière entre les Etats- 6 Latransmission (spontanéeousurdemande)dedonnéesà caractèrepersonnelenrapportavecdes personnes. Présentant un dan9er P°ur ''ordre public est également prévue par l'artide 14 de la décision ^?-?^
  8. 1^{Al'. _m,ais .u^"?ueTent dansle contexteparticulier des manifestations de grande envergure à c!imerlst?n.tr?nsfrontalière- En revanche. l'article 7 de la décision- cadre2006/960/JAI (que l'artrcfe'lT -^o£t ^,e :15>Lesî:censé trans.p9s^r^ n'imPose une communication spontanée dedonnées quedans le contexte ù'«.infractions visées à l'article 2, paragraphe 2, de la décision - cadre 2002/584/JAh) d'arrêteuropéen). ;CNPD Avis de la Commission nationale pour la protection des données ~v '"S: relatifau projet de loi n°6976 relatifà rechangede donnéesà caractèrepersonnel et ^ïiï d'informations en matière policière 5/1 2 membres de l'Union européenne, pays qui ont tous un niveau de droits de l'homme et de protection des données élevé, les standards en matière de droits de rhomme et de^"'°,t^t!on des'données étant sanctionnés notamment par la jurisprudence de la Cour dejustice de l'Union européenne. On peut donc s'étonnerque le présent projet de loi assimile les Etat-tiers aux Etats membres de l'Union européenne sur bon nombre de points. Certes, l'article 7 paragraphe (l) (tout comme l'article 20 paragraphe
(2)) exclura transmission des~donnees'<="s'/7 ex/ste^es élémentsqui indiquent que les donnéesà caractèrepersonnel et Informations demandées sont disproportionnées ou sans objet au regard des finalités pour lesquelles elles ont été demandées». Or, il se pose la question de savoir ce qui se passe si les données demandées ne sont pas disproportionnées en soi, mais que, vu l'absence de législation aYant un niveau, adé^ljat_de proïection des données dans le paystiers requérant il y a un risque sérieuxque le traitement qu'i'en'sera fait ne respectera pas les principes les plus élémentairesen matièrede protection des données. On peut aussi s'étonner du fait que, l'article 7 du projet de loi n'exclut pas expressément la transm'ission de données aux fins de la recherche ou de la poursuite d'infraction politiques. A tit're'd'exemple d'une telle disposition, on peut citer l'article 4 de la loi modifiée du 8 août 2ÔÔO''surl'entraide judiciaire internationale en matière pénale qui exclut l'entraide s si la 'demande d'entraide a trait à des infractions susceptibles d'être qualifiées par la loi luxembourgeoise soit d'infractions politiques, soit d'infractions connexes à des infractions politiques ». Dans ce contexte, il faudrait également que l'article 3 paragraphe
(3)du projet de loi exige des autorités'demanderesses de données d'indiquer l'infraction qui est à la base de la demande. Certes, le formulaire « Annexe B » joint au projet de loi et à la décision - cadre 2006/960/JAj comporte une rubrique à ce sujet, " mais on peut supposer que ce formulaire ne sera utilisé qu'entre les pays membres de l'Union européenne et non dans les rapports avec les pays tiers. La CNPD note aussi que l'article 3 paragraphe
(3)du projet de loi n'exige pas de manière expresse une description des faits à la base de la demande Or une telle description est nécessaire pour pouvoir déceler si une infraction politique est « déguisée» en infraction de droit commun parl'autorité de l'Etat requérant. A titre d'exemple, on peut songer aux Etats qui accusent des opposants politiques de terrorisme.
  2. L'utilisation à des fins autres L'utilisation des données à des fins autres pour lesquelles elles ont ététransmises se_heurte au principe definalitésqui est un des principes de basede la protection desdonnées Etelle est d'autant plus problématique dans l'hypothèsed'unetransmission desdonnéesauxautoritésde pays n'ayant pas les mêmes standards en matière de protection des données ou de droits de l'homme que l'Union européenne. Si la décision - cadre 2006/960/JAI et la décision 2008/615/JAI ne prohibent pas cette utilisation, elles l'encadrent néanmoins (dans les échangesde données entre pays membres de l'Union européenne). Or, les pays non-membres de l'Union européenne n'étantpas liéparcestextes, il y a un danger qu'ils agissent comme bon leur semble sur cette question. [CNPD Avis de la Commission nationale pour la protection desdonnées relatif au projet de loi n°6976 relatif à rechange de données à caractère personnel et d'informationsen matière policière 6/1 2 Par ailleurs, le formulaire « Annexe A » joint au projet de loi et à la décision - cadre 2006/960/JAI permet aux autorités de l'Etat communiquant les données d'exclure cette utilisation
  3. Or, on peut présumer que ce formulaire n'est pas utilisé dans les échangesde donnéesentre le Luxembourg et des pays tiers. Et le texte du projet de loi lui-même n'exige pas des autorités luxembourgeoises de fournir des précisions à ce sujet en cas de transfert~de'données vers "un pays tiers.
  5. Transfert ultérieur dans un autre a s Vu les risques inhérents aux transferts de données vers des pays tiers, il faudrait exclure que les donnéestransmises par le Luxembourg à un paystiers puissent êtretransmises parcelui-ci à un autre Etat. Or, le texte sous avis ne prévoit rien à ce sujet. Il serait préférableque toute communication de données à un pays tiers contienne impérativement une mention excluant expressément une communication ultérieure à un autre Etat. Il est à noter que pour la transmission (beaucoup moins sensible) de donnéesdu Luxembourg vers un autre pays membre de l'Union européenne, une telle communication ultérieure - même à l'intérieur de l'Union européenne - est encadrée légalement et nécessiterait le cas échéant l'accord des autorités luxembourgeoises ayant effectué la première transmission de données.8
  7. Incidence de la directive 2016/680 La directive 2016/680 consacre, aux articles 35 à 40, des règles très précises relatives aux transferts de données vers des pays tiers. Le CNPD comprend que la transposition de la directive 2016/680 en son intégralité est complexe et prendra du temps. Cependant, il conviendrait, dans la mesure du possible, en tenir compte dès à présent pour le présent projet de loi. En particulier, en cas de transfert de donnéesvers un pays n'ayant pas un niveau de protection des données adéquat, il serait indiqué d'exiger des garanties appropriées telles que prévues par l'article 37 de la directive qui permet un transfert vers un pays tiers si « a)desgarzntjes appropriées en ce qui concerne la protection des données à caractère personnel so.it hi. rn'es dans un instrument juridiquement contraignant; ou 7 Extrait du formulaire « Annexe A » tnfoR MUw» InuNUtdswtin ^<ictton <toto dé«*Wo*t<«l»: 3MOWBWAI* W<»n»a»w « nmt^ri»i^^ teiml» t a L'utiisatioftde*tnîwmaS&ns ou<$6Srtnseigitmwntstoumi» n'wtaul<irfsé?.<!lu"aw!<mpotfrIwnuetto»ceux^a<mt«*cofwnunxiuésw)pçw^«wnfruftdanywB»K»iAdfsK^ .énwx pow la séeari» puWxiue; a esté9»te»n<>ftt autorisée * tfau(»es ftw. $ou>rtsefw <%»co»»â<><»wsuwan»» (f»cua«i<ï;,. :.:. : Voire notamment l'article 3 paragraphe
  8. de la décision - cadre 2006/960/JAI et l'article 27 de la décision 2008/615/JAI CNPD ': ' -^ Avis de la Commission nationale pour la protection des données relatif au Pr°Jst de loi n°6976 relatif à rechange de données à caractère personnel et d'informations en matière policière 7/1 2 b) le responsable du traitement a évalué toutes les circonstances du transfert et estime qu'il existe des garanties appropriées au regard de la protection des données à caractère personnel. »
  10. Conclusion A ce stade, la CNPD se demande s'il ne faudrait pas exclure du projet de loi tout transfert de données vers un pays tiers à part ceux effectués en vertu d'accords bilatéraux ou multilatéraux.
  11. Les échan es de données avec les a ents des administrations a ant la ualité d'officier de olice "udiciaire. Les échanges de données avec les agents des administrations ayant la qualité d'officier de police judiciaire peuvent être effectués dans les deux sens, c'est-à-dire de la Police grandducale à destination des agents des administrations ayant la qualité d'officier de police judiciaire et vice-versa. Pour ce qui concerne les transmissions de données en direction des agents des administrations ayant la qualité d'officier de police judiciaire, l'article 18 paragraphe (l) donne une base égale à la transmission de données accessibles à la Police en vertu l'article 34-1 de la loi modifiée du 31 mai 1999 sur la Police et l'Inspection généralede la police, transmission des données qui s'avère parfois nécessaire à l'acquittement des missions des agents des administrations ayant la qualité d'officier de police judiciaire En ce qui concerne la transmission de données dans le sens inverse, c'est-à-dire à destination de la Police grand-ducale, il est compréhensible que certaines données doivent parfois pouvoir être transmises des agents des administrations ayant la qualité d'officier de police judiciaire vers la Police grand-ducale, notamment en ce qui concerne les procès-verbaux constatant des infractions. Le texte permet cependant rechange de toutes données disponibles ou accessibles au sens de l'article 18 paragraphe
(3). Cela signifierait concrètement que les officiers et agents de police judiciaire de la Police grand-ducale pourraient, le cas échéant, avoir accès aux bases de données et d'informations de dossiers des administrations dont relèvent les agents publics en question sans avoir recours à une perquisition et donc sans les garanties qui s'y attachent (décision d'un juge d'instruction sauf crime ou délit fragrant, voies de recours). Par ailleurs, selon l'article 22 du projet de loi, les données ainsi transmises pourraient être utilisées comme preuve. Il serait préférable que le texte de loi, soit les lois régissant lesdites administrations délimitent, de manière très précise, les données pouvant être transmises des agents des administrations ayant la qualité d'officier de police judiciaire aux officiers et agents de police judiciaire de la Police grand-ducale. La CNPD note aussi que le texte soumis pour avis ne clarifie pas si les agents publics ayant la qualité d'officier de police judiciaire sont tenus de donner suite à une demande de transmission de la part de la Police grand-ducale ou s'ils peuvent apprécier eux-mêmes l'utilité d'une telle transmission et le cas échéant la refuser. En ce qui concerne les principes de proportionnalité et de finalité, il est renvoyé aux développements exposés ci-dessous dans la partie relative aux échanges des données avec les administrations. ICNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°6976 relatif à rechange de données à caractère personnel et d'informations en matière policière 8/1 2
  1. Leséchan esdesdonnéesavec les administrations
  3. Etendue des échan es de données 5'l'lad^, Senssaux ue"es la police rand-ducale a accès e' -enant d. autres i=SS PLS^r"atiqueests'm"alrepourlesdonnéesissuesduresistre"»t'°""despersonnes CNPD Avisde la Commission nationalepourla protection desdonnées relatifauprojetdeloi"°6976_relatifà rechangededonnéesà caractèrepersonnelet en matière policière 9/1 2 ^S^S;'^, S^^S£^^=^, £^ ses attributions
  6. Les données d'ori ine olicière ou'udiciaire classement sans suite. Ainsiunepersonnerisquerait desubi, ^ne^. condamnation^a^min^ati»e> surbased'un AaSSP'orïnoeu Seu^mecesZt baTavant"que justice pris décision. la n-ait une ^te^T^^s^^^?5SS3î; ^Ëê5â;^-:5s2ï5£S? ^=^^^=^^^^ï^^ données auprès de l'administration. rectification afférente.
  9. Conclusion adau^lTet^suf'ma'lïtés"ainsi'ïeïes conditionsdecescommunicationsdedonnées. libertés fondamentales. CNPD Avis de la Commission nationale pour ta protection des données relatifauprojet deloi n°6976 relatifà rechange dedonnéesà caractère personnel et d'informations en matière policiers 10, 12 On peut également citer l'avis du Conseil d'Etat sur le projet de loi n°6977 sur la nationalité luxembourgeoise qui, concernant l'article 104, paragraphe 2 d udit projet dit ce qui suit : « Or, étant donné qu'il s'agit d'une ingérence dans la vie privée des personnes, elle doit, en vertu de l'article 11
(3)de la Constitution, être fixéepar une loi. Une telle exception ne saurait dès lors être reléguée à un règlementgrand-ducal, sauf à spécifier, en application de l'article 32
(3)de la Constitution, dans la loi les fins, les conditions et les modalités suivant lesquels de tels règlements peuvent être pris. » 5. 2. La nécessité et la ro ortionnalité des transmissions L'article21 paragraphe (
  1. l)prévoit, en matière pénale, que les échanges de données se limitent aux éléments «jugés pertinents et nécessaires pour assurer avec succès la prévention, la recherche ou la constatation d'une infraction pénale ou la manifestation de la vérité dans le cadre d'une enquête ou d'une instruction préparatoire^. Par contre, pour ce qui est de la communication de données à des administrations, l'article 21 paragraphe (
  2. l)se borne à exiger que les données soient «utiles à l'exécution des missions de service publies des administrations de l'Etat visées à l'article 18 paragraphe 2» La CNPD se demande pourquoi les auteurs du projet de loi font cette différence de formulation (nécessité d'un côté et utilité de l'autre) et si cette différence pourra donner lieu à des interprétations a contrario défavorables à la protection des données (de sorte qu'en matière de communication de données à des administrations, la transmission ne devrait pas forcément être nécessaire.) En ce qui concerne le principe de proportionnalité, l'article 20 paragraphe
(3)s'y réfère en excluant les échanges s'«/7 existe des éléments qui indiquent que les données à caractère personnel et informations demandéessont disproportionnées (... ) au regard des finalités pour lesquelles elles ont été demandées». Cette disposition n'est cependant applicable qu'aux échanges de données provenant d'une enquête en cours ou d'une instruction préparatoire en cours, et non par exemple si une ordonnance de renvoi ou un jugement sur le fond est déjà intervenu, voire si les données ne proviennent pas du tout d'une enquête ou d'une instruction. En matière d'échanges internationaux par contre, cette condition est applicable à tout échange de données
  1. Là encore, la CNPD se demande si ces différences sont voulues et si elles pourront donner lieu à des interprétations a contrario imprévues.
  3. Le rinci e de finalité et l'utilisation à des fins autres La transmission de données policières vers des administrations est très délicate voire dangereuss est doit dès lors être limitée à des situations exceptionnelles et strictement limités. C23 ld'3, aucL'n2 trsnsmission de données de ce genre ne devrait avoir lieu sans détermination précisa des raisons de cette transmission. Cr, au regard du texte de loi projeté, ni les demandes de transmission, ni la transmission (s^cntanés ou sur demande) elle-même ne doivent forcément contenir des informations ;-2;;-tives zux fins de la transmission. La CNPD estime que le texte devrait exiger que les demandes de transmissions de données et les transmissions de données elles-mêmes 9 En vertu de l'article 5 paragraphe
(3)renvoyantà l'article 20 paragraphe
(3)et de article 7 CNPD Avis de la Commis-iion nationale pour la protection des données relatif au projet de loi n°6976 relatif à rechange de données à caractère personnel et d'informations en matière policière Il/ 12 contiennent detelles précisions, comme parexemple l-information^ue^^nsmi^n^e^ de la demande ^^d^'ouj ^ctuéra ux'fms>de''l'instruction d-autonsation^po^deter;ti^ ^a^lercduuune;l persan "nominativement désignée dans la demande de transmission de e elle-même1 0. données et la transmission de données Parailleurs,1-utilisationdesdonnées^desfinsautresqueoNe^spo^ur;e^u^le^^0^ ^n^^p^ue3 àL'l:articie"art, de~21'paragraphe
(2)-comporte des risques additicn.e^ at semble a priori difficilement justifiable. Ainsi décidéà Esch-sur-Alzette en date du 17 novembre 2016. La Commission nationale pour la protection des données . <^v ^u Tine A. Larsen Présidente Thierry Lallemang Membre effectif François Thill Membre suppléant 10D'ailleurs, en matière d'échangesinternationaux, au moins uneindication sommsire dssfinsde la transmission dedonnées est requise dans la demande en vertu de l'article 3 paragraphe
(3). ;CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°6976 relatif à rechange dedonnéesà caractère personnel et d'informations en matière policière 12: 12

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.