Projet de loi relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la crim

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 19 décembre 2017 Personne en charge du dossier: Jean-Luc Schleich 'a 247 - 82954 SCL : L 5353 - 1664 / ak V/réf. 52.281 Doc. parl. 7151 Objet : Projet de loi relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave. Monsieur le Président, Comme suite à ma lettre du 20 juin 2017, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Chambre de commerce sur le projet de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (-1-352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu CHAMBRE DE COMMERCE LUXEMBOURG Objet: Luxembourg, le 13 décembre 2017 Projet de loi n°7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave. (4869CCL) Saisine : Ministre de la Sécurité intérieure (19 juin 2017) AVIS DE LA CHAMBRE DE COMMERCE Le projet de loi sous avis a pour objet de transposer en droit luxembourgeois la directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (Passenger Name Records, ci-après « PNR ») pour la prévention et la détection des infractions terroristes et des forrnes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (ci-après « Directive 2016/681 ))). Les données visées sont les informations - non vérifiées - transmises par les passagers aux transporteurs aériens qui les conservent pour leur usage commercial dans leur système de réservation et de contrôle des départs. Au titre du projet de loi sous avis, 18 catégories de données PNR ont vocation à être collectées et traitées.1 Elles sont de 2 types - les données collectées par les compagnies de transport aérien à des fins commerciales et dont l'analyse peut permettre de mettre en évidence des profils en lien avec diverses formes de criminalité grave2 qui n'auraient pas nécessairement été connus des autorités en amont. Ces données regroupent principalement les informations relatives au voyage entrepris par le passager, la date de réservation ou d'émission du billet, le mode de paiement utilisé, les dates de voyage, les adresses postale et/ou électronique du passager, son nom, son itinéraire complet, ou encore le poids et le nombre de bagages ; - les informations préalables recueillies sur les passagers (Advanced Passenger Information, ci-après « API »), qui correspondent principalement aux informations contenues dans le document d'identité fourni par le passager. L'enjeu de la Directive 2016/681 est de mettre en place entre Etats membres de l'Union européenne (ci-après « UE ») un système harmonisé de collecte, d'utilisation et de conservation les données PNR tout en garantissant le respect des droits fondamentaux, au nombre desquels la protection des données à caractère personnel. Ce système repose sur la création dans chaque Etat membre d'une unité centrale nationale appelée « Unité d'Information Passagers » (ci-après « UIP ») chargée d'analyser les données PNR transférées par les transporteurs aériens et d'assurer la coordination des ' Les données PNR visées sont référencées à l'annexe 1 du projet de loi sous avis qui transpose à l'identique l'annexe I de la Directive 2016/681. 2 Une liste de 26 infractions est dressée à l'annexe II de la Directive 2016/681, transposée à l'identique dans le projet de loi sous avis. Elle vise, entre autres, le trafic de stupéfiants, la traite des êtres humains. le terrorisme, la corruption, les enlèvements, etc. g \jundique \avis \201714869ccl_donnees-dossiers-passagers docx CHAMBREDE COMMERCE LUXEMBOURG 2 procédures et le transfert des informations entre les UIP des différents Etats membres, les autorités nationales — en particulier répressives Europol, ainsi qu'à destination de pays nonmembres de l'UE, dans les cas où le traitement des données PNR s'avèrerait positif? Le projet de loi sous avis prévoit que l'UIP luxembourgeoise sera constituée au sein de la Police grandducale. Dans un contexte de multiplication des attentats sur le sol européen, les Etats membres se sont engagés collectivement, par l'intermédiaire d'une déclaration du Conseil de l'UE, à appliquer ce système de collecte et de traitement des données PNR non seulement aux vols en provenance ou à destination d'Etats tiers (hors UE) mais aussi à tous les vols intra-UE.4 Ce choix est entériné dans le projet de loi sous avis. Enjeu majeur des négociations entre la Commission européenne, le Conseil et le Parlement européen, l'adoption de la règlementation nécessaire à la mise en place du système de traitement des données PNR a été subordonnée à l'insertion dans le dispositif de garanties de protection strictes des données à caractère personnel traitées.5 Ces garanties consistent notamment à imposer des conditions limitatives d'accès et/ou de transfert des données PNR aux différentes autorités nationales, européennes ou extraeuropéennes visées par le projet de loi, à limiter la conservation des données PNR à une durée maximale de 5 ans à compter du transfert par le transporteur aérien, à imposer une obligation de dépersonnalisation de ces données à l'expiration d'une période de 6 mois à compter dudit transfert, ou encore à désigner un délégué à la protection des données chargé de contrôler le traitement des données PNR. 3 L'évaluation des risques liés aux passagers est réalisée par l'UIP qui reçoit des données PNR de la part d'un transporteur aérien concernant un vol décollant ou atterrissant sur le territoire de son Etat. Cette évaluation d'effectue de deux façons : (

1. i)par la mise en corrélation des données PNR avec les données figurant dans les banques de données pertinentes nationales et internationales afin de déceler des personnes déjà connues des services compétents, ainsi que (
2. ii)par la comparaison des données PNR par rapport à des critères préétablis afin d'identifier des personnes auparavant inconnues dont l'analyse des données indique qu'elles devraient être soumises à un examen plus approfondi par les autorités compétentes. Toute correspondance positive obtenue par des moyens automatisés fait l'objet d'un réexamen individuel par une personne physique avant d'être transférée par l'UIP vers tout autre service ou autorité compétent. Outre le transfert d'informations entre Etats membres de l'Union européenne, le projet de loi contient des dispositions spécifiques relatives à l'accès aux données PNR par Europol (article 20), et au transfert de données vers des pays non membres de l'UE (articles 21 à 24). 4 La Directive 2016/681 impose aux Etats membres l'application du système de collecte et de traitement des données PNR aux vols en provenance et à destination des Etats tiers. L'extension de ce système aux vols intra-UE est une simple possibilité laissée aux Etats membres qui se sont cependant engagés à la transposer de manière collective. Cet engagement découle de la Déclaration du Conseil n°7829/16 ADD 1, dossier 2011/0023 (COD) du 18 avril 2016. 5 Communiqué de presse du Parlement européen du 10 décembre 2015, disponible en ligne : http://wm.europa rteuropa.eu/news/fr/press-roorn/201512071PR06435/pnr-la-commission-des-libertes-civiles-soutient-l-accord-parlementconseil. L'intégralité de la procédure législative est disponible en ligne : http://www.europarl.europa.eu/oeil/popups/fiche procedure.do?lanq=fr&reference=2011/0023(COD). Les blocages survenus au cours de la procédure ont été largement relayés dans les médias. Cf notamment les articles : « Speicherung von Fluggastdaten gebremst » (Tageblatt, 24 avril 2013), et « Le Parlement européen bloque toujours sur le PNR » (www.euractiv.fr, 9 mars 2016). gljuridiqueavis \2017\4869ccl_donnees-dossers-passagers.docx CHAMBREDE COMMERCE LUXEMBOURG 3 Résumé synthétique Incertitudes quant au contenu et aux modalités de l'obligation de transfert des données PNR par les transporteurs aériens Le transfert des données PNR par les transporteurs aériens est à la base du système de traitement des données PNR mis en place par le projet de loi sous avis. Soucieuse que cette obligation n'engendre pas d'incertitude juridique pour les transporteurs aériens, la Chambre de Commerce souhaite mettre en évidence plusieurs points sur lesquels lui semble particulièrement important de faire évoluer le projet de loi sous avis. Tout d'abord, la Chambre de Commerce regrette que l'article 5 du projet de loi sous avis ne reflète pas de manière suffisamment explicite le principe fondamental du système mis en place en vertu duquel les données PNR visées par l'obligation de transfert sont exclusivement les données recueillies par les transporteurs dans le cours normal de leurs activités de transport aérien au jour du transfert. Elle constate ensuite que l'obligation systématique de transfert des données d'un vol par le transporteur aérien devrait être destiné aux UIP de chaque Etat membre sur le territoire duquel le vol décollera ou atterrira, et non pas uniquement à l'UIP luxembourgeoise, comme le prévoit le projet de loi sous avis. De manière plus générale, la Chambre de Commerce s'interroge quant aux limites du système envisagé au sein duquel le traitement des données PNR sera, selon sa compréhension, limité à un contrôle national, transmis aux autres autorités compétentes uniquement en cas de correspondance positive. La Chambre de Commerce suggère également de limiter les transferts de données PNR à deux par vol, conformément aux obligations imposées par la Directive 2016/681. La Chambre de Commerce s'interroge ensuite sur la signification exacte de deux dispositions spécifiques du projet de loi, à savoir la notion de transfert des données PNR « par tout autre moyen approprié » en cas de défaillance technique (article 7, paragraphe 2), ainsi que la notion de données correspondant aux « informations grands voyageurs » (annexe 1, point h). Quant à la communication de données entre UIP en cas d'identification La Chambre de Commerce suggère que l'article 16 du projet de loi sous avis soit modifié afin que, en cas d'identification d'une personne sur base du traitement de ses données PNR, la communication de données soit adressée aux UIP de tous les Etats membres de l'UE, et non pas seulement aux UIP des Etats membres concernés. Quant au régime de sanctions Au vu de la vocation générale du projet de loi n°7168 relative à la protection des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale,6 la Chambre de Commerce regrette que la formulation de l'article 37 du projet sous avis concernant les sanctions des violations de certaines dispositions visant la protection des 6 Le projet de loi n°7168 a été déposé à la Chambre des députés le 10 août 2017 11 est avisé en parallèle par la Chambre de Commerce. Ojuridique avis \201714869ccLdonnees-dossiers-passagers docx CHAMBRE DE COMMERCE 4 LUXEMBOURG données personnelles dans le domaine précis de la sécurité nationale laisse planer un doute quant à la volonté ou non des auteurs d'instaurer d'ores et déjà des exceptions à la loi générale. La Chambre de Commerce s'interroge sur l'opportunité d'adopter un texte de nature à porter atteinte à un régime de protection unifié et cohérent tel qu'il a vocation à être régi par le projet de loi n°7168. La Chambre de Commerce s'interroge également quant à la légalité de certaines peines visées par le projet d'article 37 in fine. La Chambre de Commerce dénonce enfin le caractère manifestement disproportionné de l'amende pouvant aller jusqu'à 50.000 € par vol pour lequel un transporteur aérien ne remplirait pas son obligation de transfert de données PNR. Des propositions de modifications sont par conséquent intégrées dans le corps du présent avis. Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d'approuver le projet de loi sous rubrique sous réserve de la prise en compte des commentaires formulés dans le présent avis. Appréciation du projet de loi : Compétitivité de l'économie luxembourgeoise lmpact financier sur les entreprises Transposition de directive Simplification administrative lmpact sur les finances publiques Développement durable Légende : ++ 0 -n.a • n.a. + _7 + très favorable favorable neutre défavorable très défavorable non applicable ' La Chambre de Commerce constate que l'imprécision des postes référencés dans la fiche financière ne lui permet pas de se prononcer sur les coûts réels de mise en place et de fonctionnement du système de traitement des données PNR pour l'Etat. nuridique\avis1201714869ccl_donnees-dossiers-passagers docx CHAMBRE DE COMMERCE LUXEMBOURG 5 Considérations générales La Chambre de Commerce note que plusieurs dispositions du projet de loi sous avis8 mentionnent « la loi du jjimm/aaaa relative à la protection des personnes physiques à l'égard des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale »9 (ci-après « projet de loi n°7168 »). L'article 37, paragraphe 2 du projet de loi sous avis, qui porte sur les sanctions pénales en matière de traitement des données personnelles, se réfère expressément aux sanctions prévues à l'article 49 du projet de loi n°7168, dont le paragraphe 3 fait lui-même référence à la « loi du jj/mm/aaaa portant création de la Commission nationale pour la protection des données et au régime général sur la protection des données. » (ci-après « projet de loi n°7184 »).1° Aucun de ces deux projets de loi n'ayant encore été adopté, la Chambre de Commerce — qui les avise en parallèle au présent avis — attire l'attention du législateur sur la nécessité de coordonner l'entrée en vigueur du projet de loi sous avis avec les deux autres projets de loi auxquels il fait référence. La Chambre de Commerce note ensuite une incertitude au niveau de la dénomination de l « UIP » dans le texte du projet de loi sous avis. Elle est qualifiée d « Unité d'information passagers » aux articles 2, point g), dans l'intitulé du chapitre 2, et à l'article 3, point c), alors que l'article 3 mentionne une « Unité d'informations passagers ». A cet égard, la Chambre de Commerce note que la version française de la Directive 2016/681 utilise les deux formes, mais que les versions espagnole et italienne utilisent la dénomination au singulier." La Chambre de Commerce suggère que ces occurrences soient uniformisées dans le projet de loi sous avis. Quant aux implications financières de l'adoption du projet de loi sous avis, la Chambre de Commerce regrette que la mise en place du système de transfert des données PNR entraîne des coûts supplémentaires à charges des opérateurs du secteur. En ce qui concerne l'impact du projet de loi sous avis sur les finances de l'Etat, la Chambre de Commerce regrette que la fiche financière ne contienne aucune donnée précise concernant la mise en place effective du système de traitement des données PNR. Elle II s'agit notamment des articles 21, 28, 31 et 33 du projet de loi sous avis. Projet de loi n°7168 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, qui transpose en droit national la directive (UE) n°2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données. 8 9 1° Projet de loi n°7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de rEtat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. " Les versions espagnole « Unidad de información sobre los Pasajeros » et italienne « Unità d'informazione sui passeggeri » utilisent la formule au singulier. g: \juridiqueavis12017\4869ccl_donnees-dossiers-passagers docx CHAMBRE DE COMMERCE 6 LUXEMBOURG constate tout particulièrement que l'imprécision des postes référencés dans la fiche financière ne lui permet pas de se prononcer sur les coûts réels de mise en place et de fonctionnement du système de traitement des données PNR pour l'Etat. Commentaire des articles Concernant l'article 5 L'article 5 du projet de loi sous avis impose aux transporteurs aériens une obligation de transfert des données PNR de tous les vols à destination et en provenance du Luxembourg. Avant tout, la Chambre de Commerce salue le choix des rédacteurs du projet de loi sous avis de s'en tenir dans un premier temps à imposer le système de collecte de données PNR aux seuls transporteurs aériens et elle prend bonne note de leur intention d'initier une réflexion sur l'extension de ce système à d'autres opérateurs économiques tels que les agents de voyages ou encore les opérateurs de voyages. La Chambre de Commerce note également que, comme l'indiquent les rédacteurs du projet de loi sous avis dans leur commentaire, l'article 5 n'a pas pour objectif d'imposer aux transporteurs aériens de recueillir des données supplémentaires auprès des passagers, mais bien uniquement de se limiter aux données qu'ils recueillent et traitent déjà pour leur propre usage commercial. A cet égard, la Directive 2016/681 prévoit que : « les transporteurs aériens transfèrent [...] les données PNR [...] pour autant qu'lls aient déià recueilli de telles données dans le cours normal de leurs activités, vers la base de données de l'UIP [.. .1. »12 Cependant, l'article sous avis fait simplement référence aux données « dont ils disposent », terme générique susceptible d'être source d'interprétations divergentes et, par conséquent, d'insécurité juridique. Fidèle à l'application du principe selon lequel il appartient au législateur de transposer « toute la directive, rien que la directive », la Chambre de Commerce invite les auteurs à compléter comme suit l'article 5 du projet de loi sous avis afin de ne pas simplifier à outrance le texte de base et d'assurer la sécurité juridique du système mis en place : « Art. 5. [...] les transporteurs aériens transfèrent les données PNR de tous les passagers de vols à destination ou en provenance du Luxembourg pour autant quils aient déià recueilli de telles données dans le cours normal de leurs activités de transport aérien dent-ils-disposent ». La Chambre de Commerce s'interroge également sur la conformité du système mis en place par le projet de loi sous avis concernant sur la détermination des UIP réceptrices des données PNR pour chaque vol. 12 Article 8, paragraphe 1 de la Directive 2016/681. Ojuridique1avis1201714869ccl_donnees-dossiers-passagers docx CHAMBRE DE COMMERCE LUXEMBOURG 7 En effet, alors que la Directive 2016/681 prévoit l'information des UIP de chaque Etat membre sur le territoire duquel le vol décollera ou atterrira,13 le projet de loi sous avis prévoit le transfert des données à la seule UIP luxembourgeoise. Dans ces conditions, la Chambre de Commerce s'interroge sur l'étendue exacte des obligations pesant sur les transporteurs aériens et suggère de compléter l'article 5 du projet de loi sous avis en conséquence : « Art. 5. Sans préjudice des obligations imposées en vertu de la loi modifiée du 29 août 2008 sur la libre circulation des personnes et l'immigration, les transporteurs aériens transfèrent à4! aux UIP des Etat membres sur le territoire desquels le vol décollera ou atterrira, par la méthode push, les données PNR de tous les passagers de vols à destination ou en provenance du Luxembourg pour autant qu'ils aient déjà recueilli de telles données dans le cours normal de leurs activités de transport aérien elent-ils-dispesent ». Concernant l'article 6 L'article 6 du projet de loi sous avis détermine les échéances auxquelles les transporteurs aériens ont l'obligation de transférer les données PNR. Alors que l'article 8, paragraphe 3 de la Directive 2016/681 prévoit que « Les transporteurs aériens transfèrent les données PNR [...]
3. a)24 à 48 heures avant l'heure de départ programmée du vol ; et
4. b)immédiatement après la clôture du vol [...]. », le projet de loi sous avis prévoit d'imposer aux transporteurs non pas 2 mais 3 transferts de données par vol, à savoir : 48 heures avant le départ, 24 heures avant le départ, et immédiatement après la clôture du vol. Afin de s'en tenir aux obligations fixées par la Directive 2016/681, la Chambre de Commerce suggère que le projet de loi sous avis soit modifié comme suit : «