Projet de loi relative à l'échange de données à caractère personnel et d'informations en matière policière et portant : 1. transposition de la décisio

(1)de la loi du 21 novembre 2008 portant création d'une Commission consultative des Droits de l'Homme au Grand-Duché de Luxembourg(CCDH), celle-ci a été saisie par le IVIinistère de la Justice pour donner son avis sur le projet de loi relative à l'échange de données à caractère personnel et d'informations en matière policière et portant 1) transposition de la décision - cadre 2006/960/JAI du Conseil du 18 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'Union européenne et 2) mise en œuvre de certaines dispositions de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière. Remarques prélimMaires Le présent projet de loi s'inscrit parmi des initiatives similaires que le gouvernement a présentées ces dernières années dans le contexte de la lutte contre le terrorisme. II n'est pas surprenant que le gouvernement luxembourgeois propose de simplifier et d'approfondir l'échange d'informations et des données à caractère personnel entre les autorités policières des Etats membres de l'Union européenne et des Etats tiers à un moment où, suite aux attentats terroristes en France et en Belgique en 2015 et 2016, les autorités répressives en Europe sont fortement critiquées pour leur manque de coopération et d'échange d'information entre elles. La CCDH prend acte des efforts du gouvernement de protéger ses citoyens et de lutter contre les activités terroristes. Ces efforts dolvent inclure une coopération améliorée et plus efficace entre les autorités chargées de l'enquête et les forces de police tout en respectant les droits de l'Homme garantis par la législation nationale, la Convention européenne des droits de l'homme et la jurisprudence de la Cour européenne des droits de l'homme. Cependant, ii y a lieu de souligner qu'il s'agit ici de deux textes européens qui datent déjà de 2008 respectivement de 2006 et dont la mise en ceuvre a certes été envisagée depuis de nombreuses annéesl, mais qui ne semble pas avoir été une priorité du gouvernement jusqu ici. Dans ce contexte, on peut se demander si le moment choisi pour la transposition est vraiment opportun. La CCDH regrette d'ailleurs de constater que le projet de loi ne prévoit pas de dispositions relatives à la protection des données alors qu'il s'agit d'un texte pouvant avoir un impact significatif sur les personnes concernées. Elle ne comprend pas l'argumentation du gouvernement qui se limite à faire référence à la réforme européenne de la protection des données, et plus précisément à la directive relative aux 1 La mise en ceuvre de la Décision-cadre 2006/9601JAI du Conseil du 18 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'Union européenne figure dans le chapitre intitulée « Réflexions en cours » des quatre derniers rapports d'activité du Ministère de la Justice (2012-2015) 1 transferts de données à des fins policières et judiciaires2 qui vient d'être adoptée tout récemment et dont on ne sait pas quand et comment elle sera transposée en droit national. Entretemps, la loi luxembourgeoise ne prévoirait pas de protection particulière en cas d'échange des informations et des données à caractère personnel en matière policière, ce qui serait, aux yeux de la CCDH, inacceptable. Bien qu'il existe un intérêt légitime du gouvernement luxembourgeois de vouloir contribuer à une coopération plus étroite en matière pénale afin de renforcer la lutte contre le terrorisme, la CCDH rappelle que cette coopération doit incontestablement aller de pair avec le droit au respect de la vie privée et le droit à la protection des données à caractère personnel. Le présent avis n'entend pas vouloir commenter chaque article, mais il met en exergue des observations générales sur certaines parties du projet de loi qui aux yeux de la CCDH soulèvent d'importantes questions quant au respect des droits de l'Homme. B) Analvse du proiet de loi 1) Champ d'application du projet de loi En ce qui concerne le champ d'application du projet de loi, la CCDH entend attirer l'attention du législateur sur les points suivants Le projet de loi sous examen a pour objet de réglementer l'échange de données à caractère personnel et d'informations en matière policière au niveau national et international. Le destinataire principal de ce texte est donc la Police grand-ducale. Or, les auteurs du projet de loi ne précisent pas, ni dans les dispositions ni dans le commentaire, qui au sein de la Police grand-ducale pourra effectuer de tels échanges. On peut dès lors présumer qu'il s'agit de tout officier de police judiciaire ou agent de police judiciaire de la Police grand-ducale.Or, la CCDH estime qu'il faudrait limiter le nombre de personnes ayant accès aux données à caractère personnel et pouvant en faire le transfert au strict nécessaire. Dans leur jurisprudence respective, la Cour européenne des droits de l'homme (CEDH) et la Cour de justice de l'Union européenne (CJUE) insistent sur l'importance d'établir des garanties suffisantes pour protéger les données à caractère personnel contre les risques d'abus ainsi que tout accès et toute utilisatIon illicite de ces données en soulignant qu'une telle protection pourralt être assurée en limitant le nombre de personnes ayant accès à ces données. Ensuite, 11 y a aussi lieu de souligner l'importance d'une loi claire, compréhensible et lisible pour le destinataire. Or, les nombreux renvois et références à d'autres articles du 2 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la rnatière ou d'execution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAIdu Conseil 2 projet de loi ainsi qu'aux différentes dispositions des deux textes européens ne contribuent pas à la lisibilité du texte. La CCDH souligne que pour des raisons de sécurité juridique, la loi doit être lisible et compréhensible afin de faciliter sa mise en œuvre par la Police grand-ducale et aussi de permettre à tout justiciable de comprendre ses droits et obligations. Vu le caractère technique et la complexité du présent projet de loi, la CCDH considère extrêmement important pour la Police grand-ducale d'attribuer cette tâche à des policiers spécialement formés et expérimentés et ayant des connaissances suffisantes en matière de protection des données. La CCDH insiste de nouveau à ce que le législateur limite le nombre de personnes ayant accès aux données à caractère personnel. , Le projet de loi sous avis va plus loin que la simple transposition et mise en ceuvre de deux décisions-(cadre) européennes. Ainsi, le texte sous avis ne tient pas seulement à réglementer l'échange et le transfert de données à caractère personnel entre la Police grand-ducale et les autorités policières d'autres Etats membres cle l'Union européenne, mais les auteurs de ce texte exploitent ce projet de loi pour également régler la coopération avec des Etats tiers et pour enfin réglementer l'échange de données au niveau national.

1. a)Echange au niveau national Dans l'exposé des motifs, les auteurs du projet de loi expliquent avoir profité du présent texte pour réglementer l'échange de données policières au niveau national et plus précisément pour déterrniner « si et sous quelles conditions les officiers de police judiciaire et les agents de police judiciaire de la Pofice grand-ducale peuvent échanger des données et informations entre eux, respectivement avec les agents publics qui disposent de la qualité diofficier de police judiciaire en application d'une loi spéciale La CCDH accueille favorablement la tentative ciu législateur de combler la lacune législative qui existe à l'heure actuelle. Le traitement des données de police est actuellement régi par le règlement grand-ducal du 2 octobre 1992 relatif à la création et à l'exploitation d'une banque de données nominatives de police générale. La loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel requiert dans son article 17 l'adoption d'un règlement grand-ducal qui déterminera « responsable du traitement, la condition de légitimité du traitement, la ou les finalités du traitement, la ou les catégories de personnes concernées et les données ou les catégories de données s'y rapportant, lorigine de ces données, Ies tiers ou les catégories de tiers auxquels ces données peuvent être communiquées et les mesures à prendre pour assurer la sécurité du traitement ». Or, ce règlement n'a toujours pas été adopté et l'exploitation de la base de données de la Police grand-ducale continue à être basée sur le règlement précité du 2 octobre 1992. 3 Evidemment, ledit règlement grand-ducal ne répond plus au niveau de protection de données tel qu'exigé en 2016 et comme le note d'ailleurs à juste titre l'Autorité de contrôle3 dans son rapport annuel de 2013, « 11 est par ailleurs discutable que (...) le système de traitement envisagé dans le règlement grand-ducal de 1992 réponde à ta réalité du traitement des données opéré actuellement par la police grand-ducale ». En effet, dans le cadre de son travail, l'Autorité de contrôle a constaté de sérieuses lacunes en ce qui concerne le système du traitement des données et son inadéquation avec les règles relatives à la protection des données4. La CCDH regrette de constater que les recommandations de l'Autorité de contrôle n'ont pas encore été mises en ceuvre. Elle note toutefois que dans sa réponse à une question orale du député Gilles Roth du 10 mai 2016, le gouvernement a annoncé la réforme dudit règlement grandducal dans les mois à venir. A été souligné que le but de cette réforme en était de retravailler les banques de données de la Police grand-ducale et ceci dans le sens d'assurer une meilleure protection des données, notamment en prévoyant de mieux encadrer leur exploitation et de garantir les droits des personnes concernées. Or, le projet de loi ne vise pas seulement les échanges de données et d'informations au niveau de la Police grand-ducale, mais il cherche aussi à réglementer la transmission aux administrations de l'Etat dans la mesure où celles-ci en ont besoin dans l'exécution de leurs missions de service. La transmission est possible sur demande ou de façon spontanée, si des raisons factuelles donnent lieu de croire que cette transmission est utile à l'exécution des missions de service public dont elles sont en charge. La CCDH estime que les dispositions réglementant ce type cle transfert vers les administrations étatiques sont formulées de manière trop vague et que le projet de loi 3 En ce qui conceme les traitements de données effectués par la Police, le service de renseignement de l'Etat, les Douanes et l'Armée, la loi modifiée du 2 août 2002 prévoit, en son article 17, une autorité de contrôle spécifique chargée de les contrôler et de les surveiller. Cette autorité de contrôle est composée du Procureur Général d'Etat, ou de son délégué qui la préside, et de deux membres de la Commission nationale pour la protection des données (CNPD). 4 Dans son rapport pour les années 2014 et 2015, l'Autorité de contrôle note que « dans ses entrevues avec les responsables de la police grand-ducale, lautorité de contrôle a rappelé, une nouvelle fois l'inadéquation du système de traitement des données figurant dans le journal des incidents avec les règles sur la protection des données. Les rapports dressés tous les jours par les agents portant sur leurs activités et sur les constats effectués sont enregistrés dans une banque de données globale ouverte à tous les agents sur lansemble du territoire, Lautonté de contrôle a suggéré une série de pistes de réflexions pour réorganiser ce mécanisme : élimination des données une fois un rapport ou un procèsverbal établi et transmis aux parquets, limitation de laccès daprès des critères du lieu daffectation des agents, de leur fonction ou grade. Lautorité de contrôle na pas été informée que des suites auraient été réservées à ces réflexions. Au cours de l'exercice écoulé, l'autorité de contrôle a encore appris que des agents de police détachés auprès dautres administrations ou services de l'Etat ont continué de bénéficier de laccès aux systèmes de traitement des données de la police en dépit du fait qu'ils naxercent plus des fonctions dagents de police (...) » Question n°190 du 10 mai 2016 de Monsieur Gilles Roth relative au rapport d'activités de l'autorité de contrôle instituée par l'article 17, paragraphe 2, de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel pour les années 2014 et 2015, adressée à Madame la Secrétaire d'Etat à la Sécurité intérieure et à Madame la Secrétaire d'Etat à la Défense, disponible sur http://visilux.chd.lu/ArchivePaqe/video/1718/sequence/75081.html 4 ne contient pas assez de garanties pour éviter des abus. 11 sernble difficile à apprécier la nécessité et le caractère adéquat de ces transferts. La CCDH regrette que les auteurs ne précisent pas non plus qui au sein des administrations aura accès à ces informations et sous quelles conditions. Par ailleurs, elle estime qu'une disposition législative devrait se suffire à elle-mêrne sans devoir recourir aux commentaires et aux exemples y donnés pour expliquer quelles situations pourraient être visées. Finalement, 11 se pose la question de savoir qui contrôlera ces transferts vers les administrations étatiques. Dans son avis, le Parquet général note qu « 11existe à tout le moins un doute sur le point de savoir si l'échange de données et dinformations cettes collectées pour les besoins de la prévention, de Ia recherche, de la constatation et de la poursuite des infractions, mais transmises par des officiers ou agents de police judiciaire à des administrations publiques dans la finalité différente de permettre à celles-ci d'exécuter leurs missions de service public (qui sont, par hypothèse, étrangères à la prévention, recherche, constatation ou poursuite d'infractions) relève de la compétence de l'autorité de contrôle de ratticle 17 ». La CCDH invite le législateur à clarifter cette question dans le projet de loi. Au niveau international, 11 stagit de réglementer l'échange transfrontalier d'informations et de données policières entre, d'un côté, la Police grand-ducale, et, de l'autre, les autorités policières des autres Etats membres de l'Union européenne et des pays associés à l'espace Schengen, les institutions, organes et agences de l'UE si cela relève de leur mandat (principalement Europol & Eurojust), mais aussi les autorités policières des Etats tiers de même qu'avec interpol.
2. b)Echanpe avec les Etats membres de l'Union européenne L'objectif principal du projet cie loi sous avis est de transposer la décision - cadre 2006/960/JA1 de 2006 et de mettre en œuvre certaines dispositions de la décision 2008/615/JA1 de 2008. Comme déjà mentionné plus haut, dans le cadre de son travail de contrôle, l'Autorité de contrôle spécifique a constaté de sérieuses lacunes en ce qui concerne le système du traitement des données et a souligné son inadéquation avec les règles relatives à la protection des données. Dans ce contexte, la CCDH se montre préoccupée par la volonté du gouvernement d'approfondir l'échange de données et d'informations avec les autorités d'autres pays sans d'abord modifier la législation existante afin d'assurer une meilleure protection des données. Par ailleurs, la CCDH considère inacceptable qu'un projet de loi qui concerne les droits fondamentaux des citoyens, notamment le droit à la vie privée et le droit à la protection des données, ne contienne pas de dispositions sur la protection des données. Cette lacune ne peut pas être justifiée avec l'adoption de « futures dispositions » d'une « future » loi transposant une « future » directive relative aux transferts de données à des fins policières et judiciaires. Vu que la directive 20161680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursultes en la rnatière ou d'exécution de sanctions pénales, et à la libre circulation de ces données vient d'être adoptée, la CCDH recommande au législateur d'attendre l'élaboration du projet de loi transposant cette directive avant d'adopter le présent texte. Finalement, la CCDH tient à souligner qu'il y a différents textes qui régissent la matière et qui sont tous intrinsèquement liés ( fe règlement grand-ducal du 2 octobre 1992 relatif àla création et à l'exploitation d'une banque de données nominatives de police générale qui devra être modifié, la foi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, la future loi qui visera fa transposition de Ia directive 20161680 relative aux transferts de données à des fins policières et judiciaires, ìe présent projet de foi et encore bien d'autres textes légaux ). Dans un but de clarlé, de lisibilité et par conséquent de sécurité juridique, la CCH estime qu'il y a lieu de veiller à la coordination des différentes dispositions légales éparses existantes et en projet.
3. c)Echange avec les Etats tiers : Les auteurs ont jugé opportun de saisir l'occasion du projet de loi sous examen pour déterminer égalernent les dispositions applicables aux échanges entre la Police grandducale et les Polices des Etats tiers, alors que de telles dispositions font encore défaut en droit luxembourgeois à l'heure actuelle. On peut assumer qu'il existe un certain niveau de protection des données au sein de l'Union européenne, qui peut être plus ou moins élevé selon l'Etat membre : íl y a dès lors lieu de souligner que la décision cadre 2006/960/JA1 et la décision 2008/615/JA1 prévoient toutes les deux la mise en place, par les Etats membres, d'un certain nombre d'instruments permettant de garantir un niveau élevé de protection des données à caractère personnel. Or, la CCDH doute que le niveau de protection dans les pays tiers rejoigne celui prévu au niveau européen. 11 se pose néanmoins la question de savoir si et comment on peut garantir ce même niveau de protection de données dans des Etats tiers. C'est pourquoi la CCDH se demande s'il ne faudrait pas mettre en place des garanties supplémentaires ou limiter davantage les données qu'on échange avec les Etats tiers. Elle tient à souligner qu'une coopération policière plus étroite en matière pénale doit incontestablement aller de pair avec le respect des droits fondamentaux, en particulier du droit au respect de la vie privée et du droit à la protection des données à caractère personnel. 6 2) Contrôle ex post par l'autorité de contrôle de l'articie 17 En ce qui concerne les traitements de données effectués par la Police, la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel prévoit en son article 17 qu'une autorité de contrôle spécifique est chargée de les contrôler et de les surveiller. La CCDH recommande aux auteurs d'ajouter un renvoi formel à l'article 17 dans le projet de loi afin d'éviter toute confusion et de préciser que les échanges des données et d'informations visées par le présent texte relèvent de la compétence de rautorité cie contrôle de rarticle 17. Elle rappelle par ailleurs le besoin de clarifier la question de la compétence de cette autorité en ce qui concerne le contrôle des transferts effectués par la Police grandducale aux administrations cle rEtat. La CCDH tient encore à souligner que cette autorité de contrôle se compose de 2 membres de la Commission nationale de la protection des données et du procureur général d'Etat. Elle ne dispose pas de son propre budget et dans ses rapports annuels, elle souligne régulièrement le manque de moyens financiers et en personnel. Par ailleurs, cette autorité ne semble pas avoir de vrai pouvoir de sanction en cas de violation cJe la loi et 11 n'est pas non plus garanti que les recommandations qu'elle fait doivent être suivies (voir rapport annuel 2014-2015). La CCDH se pose donc la question de savoir si le gouvernement se donne vraiment les moyens nécessaires pour assurer la protection des données à caractère personnel et garantir un contrôle efficace du respect des dispositions du présent projet de loi. C) Recommandations 1. La CCDH recommande d'introduire dans le projet de loi des dispositions relatives à la protection des données, La CCDH recommande au gouvernement d'attendre la transposition de la 2. directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à régard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil avant d'adopter le présent projet de loi. 3. La CCDH insiste sur rimportance de limiter le nornbre cie personnes ayant accès aux données à caractère personnel et pouvant en faire le transfert au strict nécessaire. Elle considère que cette tâche devrait être attribuée à des policiers spécialement formés et expérimentés et ayant des connaissances suffisantes en matière de protection des données. 7 4. La CCDH estime que les dispositions régrèmentant la transmission des données à caractère personnel et d'informations aux administrations de l'Etat sont formulées de manière trop vague et que le projet de loi ne contient pas assez de garanties pour éviter des abus. La CCDH recommande par ailleurs de clarifier la question de savoir qui contrôlera ces transmissions. 5. La CCDH estime que dans le cadre de l'échange avec la Police des Etats tiers, 11 y a lieu de veiller à un niveau de protection des données au moins comparable au standard qui existe en Europe. 6. La CCDH insiste que des ressources financières et humaines appropriées doivent être garanties à l'autorité de contrôle de l'article 17. 7. Finalement, la CCDH rappelle que la coopération plus étroite en matière pénale et la lutte contre le terrorisme doivent incontestablement aller de pair avec le droit au respect de la vie privée et le droit à la protection des données à caractère personnel. Adopté le 7 juillet 2016 8