Projet de loi relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la crim

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après : « la CNPD ») a notamment pour mission d'aviser « tous les projets ou propositions de lol portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Faisant suite à la demande lui adressée par Monsieur le Ministre de la Sécurité intérieure en date du 15 juin 2017, la CNPD entend présenter ci-après ses réflexions et commentaires au sujet du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave (ci-après : « le projet de loi »). Ledit projet de loi a pour objet de transposer en droit national la directive 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (ciaprès : « la directive PNR »). Deux autres instruments européens qui constituent le « paquet sur la protection des données » s'ajoutent à la directive PNR, réformant en profondeur le droit de la protection des données au niveau de l'Union européenne. Ainsi, le Parlement européen et le Conseil ont adopté parallèlement en date du 27 avril 2016: le règlement 2016/679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après : « le RGPD ») ; la directive 2016/680 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après « la directive 2016/680 »). Suivant l'exposé des motifs, le projet de loi vise à « régler le transfert des données PNR des transporteurs aériens vers une unité centrale nationale ayant pour mission la répression et la CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave 1/8 prévention des infractions terroristes et d'autres formes graves de criminalité ainsi que le traitement ultérieur de ces donnée.s. » La Commission nationale est bien consciente que le législateur a l'obligation de transposer la directive PNR en droit national au plus tard pour le 25 mai 2018, faute de risquer un recours en manquement de la part de la Commission européenne sur base des articles 258 et 260 du traité sur le fonctionnement de l'Union européenne. De manière générale, l'intention de la CNPD n'est ainsi pas de remettre en cause en lui-même le système PNR, dont la mise en place a été décidée par le législateur européen « pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. »1 Par ailleurs, à part une restructuration des articles, le projet de loi est quasiment une copie fidèle de la directive PNR. La Commission nationale limite ainsi ses observations aux dispositions où les auteurs du projet de loi ont usé la marge de manceuvre laissée aux Etats-membres lors de la transposition en droit national d'une directive européenne. En effet, une telle directive n'instaure qu'une obligation de résultat, tout en laissant les Etats-membres de l'Union européenne libres quant aux formes et moyens à prendre pour y parvenir.2 Néanmoins, la Commission nationale tient à relever à titre préliminaire que la Cour de Justice de l'Union européenne (ci-après : « la CJUE ») a critiqué dans son arrêt «Digital Rights lreland » que la directive 2006/24 sur la conservation de données par les services de communications électroniques, directive annulée suite audit arrêt, n'avait établi aucune relation entre d'un côté les données collectées et conservées et de l'autre côté une menace à l'ordre public en n'étant pas « limitée à une consetvation pottant soit sur des données afférentes à une période temporelle et/ou une zone géographique déterminée et/ou sur un cercle de personnes données susceptibles dètre mêlées d'une manière ou d'une autre à une infraction grave, soit sur des personnes qui pourraient, pour d'autres motifs, contribuer, par la conservation de leurs données, à la prévention, à la détection ou à la poursuite d'infractions graves. »3 S'agissant du contexte spécifique des données PNR, la CJUE a par ailleurs pris position dans son avis 1/15 du 26 juillet 2017 concernant l'accord envisagé entre le Canada et l'Union européenne sur le transfert et le traitement de données des dossiers passagers. Elle a souligné que pour les passagers aériens où aucun risque en matière de terrorisme ou de criminalité transnationale grave n'a pu être identifié à leur arrivée au Canada et jusqu'à leur départ de ce pays tiers, il n'y existe pas, une fois qu'ils sont repartis, de rapport (directe ou indirecte) entre leurs données PNR et l'objectif poursuivi par l'accord envisagé qui justifierait la conservation de ces données. La CJUE a rejeté les considérations avancées par le Conseil et la Commission se basant sur la durée de vie moyenne des réseaux internationaux de criminalité grave, ainsi que sur la durée et la complexité des enquêtes portant sur ces réseaux, afin de « justifier un stockage continu des données PNR de l'ensemble des passagers aériens ' Considérant 6 de la directive PNR. 2 L'article 288 du traité sur le fonctionnement de l'Union européenne dispose que la « directive lie tout État membre destinataire quant au résultat à atteindre, touf en laissant aux instances nationales la compétence quant à la forme et aux moyens, » 3 CJUE, arrêt C-293/12 - Digital Rights lreland et Seitlinger e.a. du 8 avril 2014, paragraphe 59 voir aussi arrêt C203/15 - Tele2 Sverige du 21 décembre 2016, paragraphe

1. CNPI51 Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave 2/8 après leur depart du Canada aux fins d'un accès éventuel auxdites données, indépendamment d'un lien quelconque avec la lutte contre le terrorisme et la criminalité transnationale grave. »4 La CJUE a néanmoins aussi relevé que, dans des cas particuliers, l'identification d'éléments objectifs permettant de considérer que certains passagers aériens pourraient, même après leur départ du Canada, présenter un risque en termes de lutte contre le terrorisme et la criminalité transnationale grave, la conservation de leurs données PNR paraissait admissible au-delà de leur séjour au Canada.5 Sur base des considérations ci-dessus, la CNPD doute que le système tel que prévu par la directive PNR, fixant une durée de conservation des toutes les données PNR pendant une durée de 5 ans (même si les données sont dépersonnalisées après six mois), indépendamment du fait si le passager est soupçonné d'avoir participé à un acte du terrorisme et de la criminalité grave ou non, garantit que la conservation et l'utilisation des données PNR soient limitées au strict nécessaire. Des inquiétudes quant à la proportionnalité entre le respect des droits des personnes concernées et les intérêts de poursuite des autorités compétentes subsistent. II est fort probable que la CJUE sera saisi de recours en annulation de la directive PNR à l'instar de la directive 2006/24 sur la conservation de données par les services de communications électroniques. — Quant au champ d'application Tout d'abord, la CNPD tient à féliciter les auteurs du projet de loi d'avoir anticipé le dépôt à la Chambre des députés du projet de loi portant transposition de la directive 2016/680 et d'y faire référence aux endroits où la directive PNR renvoie encore à la décision-cadre 2008/977, décision qui sera abrogée à partir du 6 mai 2018 par ladite directive. Dans son article 2, la directive PNR laisse le choix aux Etats-membres de collecter les données PNR, en sus des vols en provenance ou à destination d'un pays tiers, aussi pour l'ensemble ou seulement une partie des vols intra-UE. Dans l'exposé des motifs, les auteurs du projet de loi se réfèrent à une déclaration commune du 4 décembre 2015, par laquelle les ministres européens de la Justice et des Affaires intérieures se sont engagés à faire usage de cette faculté pour justifier la collecte des données PNR pour tous les vols à partir ou en provenance d'un Etat-membre vers le territoire luxembourgeois. Ainsi, la Commission nationale prend note que les auteurs du projet de loi ont opté, à l'instar de leurs homologues belges, français ou allemands, d'inclure les vols intra-UE dans le champ d'application du projet de loi afin de maximiser l'efficacité du système PNR. Par ailleurs, la CNPD approuve la décision des auteurs du projet de loi de ne pas avoir étendu le système PNR aux agences ou organisateurs de voyages, ainsi qu'aux d'opérateurs économiques autres que les transporteurs ou auprès de transporteurs autres que les transporteurs aériens. Comme un tel élargissement du champ d'application du système PNR menacerait de manière encore plus importante les droits fondamentaux des personnes concernées, 11 paraît Avis 1/15 de la CJUE du 26 juillet 2017 concernant l'accord envisagé entre le Canada et l'Union européenne sur le transfert et le traitement de données des dossiers passagers, paragraphe
2. 5 Avis 1/15 de la CJUE, précité, paragraphe
3. CNPIE; Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave 3/8 raisonnable d'attendre l'évaluation de la Commission européenne de tous les éléments de la directive PNR. Cette évaluation aura lieu au plus tard le 25 mai 2020, c'est-à-dire deux ans après le délai de transposition de la directive PNR, et elle portera notamment sur la nécessité, la proportionnalité, et l'efficacité d'inclure lesdits opérateurs économiques dans le champ d'application de la directive PNR. Finalement, la CNPD se demande si l'obligation de transmettre à l'Unité d'informations passagers (ci-après : « l'UIP ») les données PNR de tous les passagers de vols à destination ou en provenance du Luxembourg s'impose aussi aux taxis aériens privés. A priori, 11 paraît qu'une compagnie aérienne privée offrant des vols du et vers le Grand-duché correspond à la définition d'un « transporteur aérien »8, si elle possède une licence d'exploitation en cours de validité octroyée par la Direction de l'Aviation Civile et si elle assure un transport aérien de personnes. - Quant aux bases de données et critères d'évaluation Sur base de l'article 10 du projet de loi, transposant l'article 6, paragraphe

(3)de la directive PNR, deux méthodes s'offrent à l'UIP pour évaluer des passagers avant leur arrivée ou leur départ prévu du Grand-duché afin d'identifier des personnes « suspectes » pour lesquelles un examen plus approfondi apparaît nécessaire: - une comparaison des données PNR aux banques de données gérées par les services compétents ou qui leur sont accessibles dans l'exercice de leurs missions ; - une comparaison des données PNR à des critères préétablis. Le Contrôleur européen de la protection des données (ci-après « le CEPD ») avait noté dans ce contexte qu'une évaluation sur base de critères inconnus en constante évolution suscite d'importantes inquiétudes en matière de transparence et de proportionnalité.7 De même, il a soulevé le caractère controverse, excessif et disproportionné d'un système permettant une confrontation systématique des données PNR à un nombre illimité de bases de données non définies.8 Dans le même contexte, l'avocat général Mengozzi avait relevé dans ses conclusions présentées le 8 septembre 2016 sur le projet d'accord entre le Canada et l'Union européenne sur le transfert et le traitement de données des dossiers passagers le manque de précisions dans l'accord en cause concernant les bases de données et les critères d'évaluation dont la détermination restait de ce fait à l'entière discrétion des autorités canadiennes. II avait souligné qu'un encadrement précis des critères d'évaluation devrait « permettre, dans une large mesure, d'aboutir à des résultats ciblant des individus à régard desquels pourraient peser un « soupçon raisonnable » de participation à des infractions terroristes ou de criminalité Article 2, lettre a) du projet de loi «transporteur aérien» : toute entreprise de transport aérien possédant une licence d'exploitation en cours de validité ou l'équivalent lui permettant d'assurer le transport aérien de personnes 7 Avis 2011/C 181/02 du 22 juin 2011 du Contrôleur européen de la protection des données sur la proposition de directive du Parlement européen et du Conseil relative à l'utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, paragraphe

1. 8 Deuxième avis n°5/2015 du CEPD sur la proposition de directive du Parlement européen et du Conseil relative à l'utilisation des données des dossiers passagers pour la prévention et la détection cies infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, paragraphe
2. Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre cle la prévention et de la répression du terrorisme et de la criminalité grave 4/8 transnationale grave. »g La CJUE a repris la position de l'avocat général dans son avis 1/15 tout en précisant que les bases de données avec lesquelles les données PNR seraient recoupées devraient être fiables, actuelles et limitées à des bases de données exploitées par le Canada en rapport avec la lutte contre le terrorisme et la criminalité transnationale grave.1° En prenant en compte les commentaires ci-dessus, la Commission nationale est d'avis que le projet de loi en son état actuel ne définit pas avec exactitude les banques de données en cause. Le commentaire des articles quant à lui mentionne uniquement à titre d'exernple le « Schengen Information System ou Interpol ». Or, la Commission nationale se demande si toutes les bases de données prévues à l'article 54 du projet de loi n°7045 portant réforme de la Police grand-ducale et abrogeant la loi du 31 mai 1999 sur la Police et l'Inspection générale de la Police sont visées ? Qu'en est-il de l'accès aux bases de données par le personnel détaché de l'Administration des Douanes et Accises et du Service de Renseignement de l'Etat qui peuvent être membre de l'UIP ? Par ailleurs, la CNPD constate que l'article 10 du projet de loi ne contient pas de liste exhaustive énumérant les critères d'évaluation, mais prévoit uniquement que les critères doivent « être ciblés, proportionnés et spécifiques et ne sont en aucun cas fondés sur l'origine raciale ou ethnique d'une personne, ses opinions politiques, sa religion ou ses convictions philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle. » Le commentaire des articles quant à lui énumère seulement des exemples de critères tel le mode de paiement, le poids du bagage ou l'itinéraire choisi. La Commission nationale tient à souligner dans ce contexte l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8, paragraphe 2 de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52, paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'homme, retiennent qu'un traitement de données effectué par une autorité publique peut constituer une ingérence dans le droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données. Cette ingérence ou limitation peut être justifiée à condition qu'elle : soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. L'article 6, paragraphe

(3)du RGPD, qui sera applicable à partir du 25 mai 2018 dans tous les Etats membres de l'Union européenne, prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le g Conclusions de l'avocat général M. Paolo Mengozzi présentées le 8 septembre 2016 concernant l'accord envisagé entre le Canada et l'Union européenne sur le transfert et le traitement de données des dossiers passagers, paragraphes 253 et 256. l° Avis 1/15 de la CJUE, précité, paragraphe 172 CNPI31 Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave 518 responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être prévus soit par le droit de l'Union européenne, soit par le droit de l'État membre auquel le responsable du traitement est soumis. Suivant ledit article, ces bases légales devraient contenir des dispositions spécifiques concernant, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Au niveau national, la Commission nationale tient à rappeler à cet égard l'exigence de la Cour constitutionnelle selon laquefle « dans les matières réservées par la Constitution à la loi, ressentiel du cadrage normatif doit résulter de la loi, y compris les fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc. »" Le Conseil d'Etat rappelle lui aussi régulièrement dans ses avis que « (.. )l'accès à des fichiers externes et la communication de données informatiques à des tiers constituent une ingérence dans la vie privée et partant, en vertu de 11, paragraphe 3, de la Constitution, une matière réservée à la loi formelle. Dans ce cas, l'essentiel du cadrage normatif doit figurer dans la La loi doit indiquer les bases de données auxquelles une autorité publique peut avoir accès ou dont une autorité publique peut .se faire communiquer des données, tout comme les finalités de cet accès ou de cette communication (...). » 12 Dans l'optique de la CNPD, le projet de loi devrait identifier et énumérer expressément dans le corps du texte les différentes banques de données gérées par les services compétents ou qui leur sont accessibles dans l'exercice de leurs missions. Un règlement grand-ducal pourra alors prévoir une liste exhaustive des critères d'évaluation prédéterminés qui pourrait au besoin être complétée ou modifiée si nécessaire. Le groupe de travail européen « article 29 » a rappelé dans ce contexte l'importance fondamentale de l'existence de critères spécifiques, nécessaires, justifiés et qui sont révisés régulièrement.13 La CNPD estime ainsi qu'en l'état actuel, le texte du projet de loi ne respecte pas les exigences de précision et de prévisibilité auxquelles doit répondre un texte légal et ne peut pas être considéré comme étant conforme à l'article 4 de la loi modifiée du 2 août 2002, ni à l'article 8 de la Convention européenne des droits de l'homme, à l'article 52 de la Charte des droits fondamentaux de l'Union européenne, ainsi qu'à l'article 6, paragraphe

(3)du RGPD. - Quant aux différentes catéoories de données PNR L'annexe 1 du projet de loi reprend mot par mot la liste des données PNR prévue à l'annexe 1 de la directive PNR. De même, la liste des données PNR que les transporteurs aériens seraient appelés à transférer en application de l'accord prévu entre le Canada et l'Union Européenne contient pour l'essentiel les mêmes dix-neuf catégories de données. A ce titre, 11 Arrêt 117 de la Cour constitutionnelle du 20 mars 2015 12 Voir par exemple : Conseil d'Etat, Avis n° 6975/5 du 7 juin 2016 relatif au projet de loi portant modification de la loi du 24 juillet 2014 concernant l'aide financière de l'Etat pour études supérieures. 13 Opinion 10/2011 du groupe de travail "article 29" sur la Proposition de la directive PNR, p. 5 Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave _J 6/8 dans les conclusions précitées, l'avocat général IVIengozzi avait éprouvé des doutes sérieux quant au libellé suffisamment clair et précis de certaines catégories de données PNR contenues dans ledit accord. II avait notamment critiqué que parmi les différentes catégories, il y en avait qui étaient « formulées de manière très, voire excessivement, ouverte, sans qu'une personne raisonnablement informée puisse déterminer soit la nature, soit la portée des données à caractère personnel que ces catégories sont susceptibles de contenir. »14 L'avocat général s'était surtout référé à la rubrique relative aux informations disponibles sur les « grands voyageurs ». La même critique avait été soulevée par le CEPD dans son avis de 2011 concernant le champ « remarques générales ».15 Dans l'avis 1/15 précité concernant le projet d'accord PNR entre le Canada et l'Union européenne, la Grande Chambre de la CJUE a repris les observations de l'avocat général quant au manque de clarté et de précision de certaines données PNR à transférer. Entreautres, la CJUE avait estimé que les rubriques « grands-voyageurs » et « remarques générales » « n'encadrent pas de manière suffisamment claire et précise la portée de l'ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte. » 16 Dans le souci de respecter le principe de légalité, la Commission nationale se rallie aux avis de la CJUE et du CEPD et recommande aux auteurs du projet de loi de décrire de manière plus précise et concise les deux catégories de données PNR susmentionnées. - Quant à la conservation des données D'aprés le considérant 26 de la directive PNR, le droit national des Etats-membres de l'Union européenne devrait prévoir des durées de conservation spécifiques, si des données PNR ont été transmises à une autorité compétente dans le cadre d'enquêtes ou de poursuites pénales spécifiques. Or, l'article 25, alinéa 2 du projet de loi, prévoyant une obligation d'effacement des données PNR à l'issue de cinq ans, ne s'impose pas si des « données PNR spécifiques ont été transférées à un service compétent et sont utilisées dans le cadre de cas spécifiques à des fins de prévention, de détection d'infractions terroristes ou de formes graves de criminalité ou d'enquêtes ou de poursuites en la matière ». Ainsi, ledit article ne contient pas en lui-même de durée de conservation spécifique à respecter par les services compétents en cas de transfert de données par l'UIP. Dès lors, la Commission nationale recommande aux auteurs du projet de loi d'inclure dans le corps du texte une telle durée de conservation. - Quant au droit à l'information des personnes concernées S'agissant du droit des passagers aériens d'être informés du traitement des données à caractère personnel les concernant, la directive PNR ne prévoit qu'en son considérant

(29)que les États membres devraient veiller à ce que les passagers reçoivent des informations précises, aisément accessibles el facilement compréhensibles sur la collecte des données PNR, le transfert de celles-ci à l'UIP, ainsi que sur leurs droits en tant que personnes concernées. Conclusions de l'avocat général M. Paolo Mengozzi, précitées, paragraphe

1. Avis 2011/C 181/02 du 22 juin 2011 du Contrôleur européen de la protection des données, précité, paragraphe
2. 16 Avis 1/15 de la CJUE précité, paragraphe
3. 14 15 CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave 7/8 En vertu de l'article 30 du projet de loi, l'UIP a l'obligation de mettre à la disposition du public, par les moyens de communication appropriés, un certain nombre d'informations, comme par exemple ses coordonnées, celles du délégué à la protection des données, ou encore les finalités du traitement envisagé. Le corollaire de cette disposition figure à l'article 13 du projet de loi transposant la directive 2016/
4. Or, ledit article contient en son paragraphe

(2), en sus des informations prévues à l'article 30 du projet de loi, d'autres indications à communiquer à la personne concernée. II s'agit notamment de la durée de conservation des données à caractère personnel et le cas échéant, des catégories de destinataires des données à caractère personnel, y compris dans les pays tiers ou au sein d'organisations internationales. Dès lors, dans un souci de concordance entre les deux textes, la Commission nationale suggère aux auteurs du projet de loi d'inclure les deux indications susmentionnées dans les informations que l'UIP doit transmettre au public. Par ailleurs, la CJUE a mentionné dans son avis 1/15 précité que l'accord PNR prévu entre le Canada et l'Union européenne devrait préciser que l'autorité canadienne compétente a l'obligation d'informer individuellement les passagers aériens, dont les données PNR ont été utilisées et conservées, ainsi que ceux dont les données ont été communiquées à d'autres autorités publiques, d'une telle utilisation et d'une telle communication, et ceci à partir du moment où cette information n'est plus susceptible de compromettre les enquêtes conduites par les autorités publiques visées par l'accord envisagé.17 La Commission nationale partage la position de la CJUE et recommande dès lors aux auteurs du projet de loi de prévoir dans le texte sous examen une disposition selon laquelle l'UIP est obligée d'informer les personnes concernées dont les données PNR ont été utilisées ou transférées, tout en y incluant la possibilité d'un retard ou d'une limitation du droit à l'information des personnes concernées conformément à l'article 13, paragraphe

(3)du projet de loi transposant la directive 2016/

1. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 23 novembre
2. La -COmmission nationale pour la protection des données ( (in ,tne 1 ‘i eni, Tine A. Larsen Présidente 17 Thierry Lallemang Membre effectif ophe Buschmann Membre effectif Avis 1/15 de Ia CJUE précité, paragraphes 223 à
3. CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave 818