← Luxembourg

Projet de loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 26 février 2018 Personne en charge du dossier: Jean-Luc Schleich 247 - 82954 SCL : L 5376 / L 5384 — 327 / sp V/réf. 52.378 / 52.422 Doc. parl. 7168 / 7184 Objet :

  1. Projet de loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification 1) de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ; 2) de la loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (convention Europol), signée à Bruxelles, le 26 juillet 1995 ; 3) de la loi modifiée du 31 mai 1999 sur la Police et l'Inspection générale de la Police ; 4) de la loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995; - de l'Accord relatif à l'application provisoire entre certains États membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; 5) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 6) de la loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle ; 7) de la loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement ; 8) de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire ; 9) de la loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière ; 10) de la loi du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés ; 43, boulevard F.-D. Roosevelt Tél. (+352) 247-82952 scl@scl.etat.lu www.gouvernement.lu L-245o Luxembourg Fax (+352) 46 74 58 www.legilux.lu www.luxembourg.lu LE GOUVERNEMENT 3 .41 DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement 11) de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État, et 12) de la loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État.
  2. Projet de loi portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Monsieur le Président, Comme suite à mes lettres des 11 août et 12 septembre 2017, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission consultative des Droits de l'Homme sur les deux projets de loi sous rubrique. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur 43, boulevard E-D. Roosevelt L-245o Luxembourg Tél. (+352) 247-82952 Fax (+352) 46
  3. 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourg.lu Commission consultative des Droits de l'Homme du Grand-Duché de Luxembourg Avis sur

(1)le projet de loi 7168 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines lois et
(2)le projet de loi 7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 Avis 4/2018 Conformément à l'article 2
(1)de la loi du 21 novembre 2008 portant création d'une Commission consultative des Droits de l'Homme au Grand-Duché de Luxembourg (CCDH), celle-ci a été saisie par le ministère de la Justice pour donner son avis sur le projet de loi 7168 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (...) et par le service des médias et des communication du ministère d'Etat pour donner son avis sur le projet de loi 7184 porlant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (...). La CCDH a décidé de traiter dans un même avis ces deux projets de loi, ceux-ci étant intimement liés. La législation nationalel et européenne2 en matière de la protection des données est en plein changement, principalement en réaction aux profondes mutations au niveau technologique. Outre les deux projets de loi sous considération, la présentation de plusieurs textes législatifs au niveau national en témoigne .
(1)Projet de loi n° 6921 adaptant la procédure pénale aux besoins liés à la menace terroriste et portant modification
(1)du Code de procédure pénale,
(2)de la loi modifiée du 30 mai 2005 concemant la protection de la vie pnvée dans le secteur des communications électroniques,
(3)de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. Voir CCDH, avis n° 01/2016, Doc. parl. n° 6921/02.
(2)Projet de loi n° 6976 relative à l'échange de données à caractère personnel et d'informations en matière policière et portant
(1)transposition de la décision - cadre 2006/960/JAI du Conseil du 18 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'Union européenne ;
(2)mise en ceuvre de certaines dispositions de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière. Voir CCDH, avis n° 05/2016, Doc. parl. n° 6976/02.
(3)Projet de loi n° 7049 portant modification de la loi modifiée du 2 août 2002 ralative à la protection des personnes à l'égarrl du traitement des données à caractère personnel.
(4)Projet de loi n° 7151 relative au traitement des données des dossiers passagers dans le cadre de la prévention et de la répression du terrorisme et de la criminalité grave. Ce projet de loi vise à transposer de la Directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, JO L 119/132 du 4 mai
  1. La CJUE s'est prononcé en défaveur d'un accord « PNR » entre l'UE et le Canada : CJUE, avis n° 1/
  2. II faudra prendre cet avis en compte lors de la transposition de la directive. 2 Une proposition vise à aligner le régime applicable aux institutions européennes : Commission européenne, Proposition de Règlement du Parlement européen et du Conseil retatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à fa libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n's 1247/2002/CE, 10 janvier 2017, COM
(2017)8 final ; Des réflexions sont aussi en cours pour réformer les dispositions relatives aux communications électroniques Commission européenne, Proposition de Règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement « vie privée et communications électroniques »), 10 janvier 2017, COM
(2017)10 final. Cette proposition aura un impact sur la législation nationale en vigueur Loi modifiée du 30 mai 2005 concemant la protection de la vie privée dans le secteur des communications électroniques, Mém. A n° 172 du 10 août 2011, p.
  1. 1 Paquet législatif européen Les deux projets de loi sous considération dans cet avis mettent en ceuvre et transposent le paquet législatif européen « protection des données » composé du « règlement général sur la protection des données »3 (ci-après règlement général ou règlement européen) et de la « directive relative au traitement des données à caractère personnel en matière pénale »4 (ci-après directive « matière pénale » ou directive européenne). La réforme est sensée accroître la protection des droits et libertés fondamentales des citoyens européens. Le paquet vise à établir une juste balance entre la collecte, le partage et le traitement des données à caractère personnel pour des motifs légitimes et le respect des droits fondamentaux tels que protégés par la CEDH (art. 8), la CDFUE (art. 7 & 8) et les traités de l'UE (art. 16 TUE), avant tout le droit fondamental à la protection des données à caractère personnel. Paquet législatif national La directive et le règlement européens constituent deux piliers de la même réforme. Le fait d'adopter deux textes au niveau européen, pour des raisons de compétences des institutions européennes et du respect du principe de subsidiarité, ne signifie pas qu'il faille procéder nécessairement de la même manière au niveau national. Ensemble, les deux projets de rois visent à réformer en profondeur le cadre institutionnel et les dispositions matérielles en matière de protection des données, quel que soit la finalité du traitement des données. Le projet de loi n° 7184 contient une refonte de la loi organique portant création de la « Commission nationale de la protection des données » (ci-après CNPD), abrogeant dans la foulée la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (loi de 2002). Le projet de loi prévoit également l'adaptation de la législation nationale aux nouvelles règles europeennes, en particulier découlant du règlement européen, et pour partie découlant de la directive européenne. Le projet de loi n° 7168 transpose d'une part les dispositions matérielles relatives aux traitements de données à caractère personnel en matière pénale issues de la directive 3 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traltement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (...), JO L 119/1 du 4 mai
  2. Ce Règlement entre en application le 25 mai 2018 et remplace la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la fibre circulation de ces données, JO L 281/31 du 23 novembre
  3. La Loi modifiée du 2 août 2002 relative à la protection des personnes à régard du traitement des données à caractère personnel. Mém. A n° 131 du 8 août 2007 p. 2339, en est la loi de transposition. 4 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avrif 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales. d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, JO L 119/89 du 4 mai
  4. Le délai de transposition court jusqu'au 6 mai
  5. européenne et d'autre part des dispositions institutionnelles spécifiques relatives aux traitements de données dans le domaine judiciaire. Les nombreuses références croisées, en particulier dans le domaine pénal, soulignent que les deux projets de loi sont intrinsèquement liés
  6. Certaines dispositions relatives au fonctionnement de la CNPD se chevauchent entre les deux textes. Dans le projet de loi n° 7184, aucune référence aux droits fondamentaux n'a été maintenue, contrairement à la loi de 2002, qui consacre ce lien à son article premier. Le lien avec le droit fondamental de la protection des données est relégué à l'exposé des motifs et aux commentaires des articles
  7. Alors que la directive européenne, que le projet de loi n° 7168 vise à transposer, précise dans son article premier que « les États membres [...] protègent les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel », le projet de loi reste muet au sujet de l'objectif de la protection des droits fondamentaux. La CCDH estime que les deux projets législatifs doivent être interprétés à la lumière du droit fondamental à la protection des données. Elle suggère qu'une référence à ce droit fondamental soit introduite dans les deux textes
  8. Les auteurs du projet de loi n° 7168 n'ont pas souhaité introduire de dispositions particulières qui établiraient un niveau de protection plus élevé de ce qui est prévu dans la directive alors que celle-ci clarifie explicitement qu'elle « n'empêche pas les États membres de prévoir des garanties plus étendues [...] pour la protection des droits et des libertés des personnes concernées à l'égard du traitement des données à caractère personnel par les autorités compétentes »
  9. Dans l'ensemble, les auteurs du projet de loi n° 7168 ne s'écartent pas du libellé de la directive et reprennent la majorité des dispositions de la directive sans y apporter des clarifications et des adaptations nécessaires au contexte institutionnel et réglementaire national. Dans le commentaire des articles, les auteurs estiment que de nombreux points seront développés par la pratique et par les décisions des autorités compétentes. Or, ces commentaires restent trop souvent lapidaires et évasifs sur la pratique actuelle et ne donnent que peu d'indications quant à l'interprétation à donner à des dispositions clés du projet de loi. Ces imprécisions risquent d'être potentiellement au détriment de la protection du droit fondamental à la protection des données personnelles en laissant une trop grande latitude aux différents acteurs. Etant donné le caractère sensible du domaine d'activité couvert par le projet de loi n° 7168, la CCDH ne peut se satisfaire de cette situation. 5 Voir notamment Art. 3 § 15 projet de loi n° 7168 et art. 6
(2)projet de loi n°
  1. 6 Doc. parl. 7184/00 pp. 17,
  2. ' Voir également CCDH, avis n° 05/2016 relatif au projet de loi n° 6976 relative à l'échange de données à caractère personnel et d'informations en matière policière (...), 7 juillet 2016, Doc. parl. n° 6976/02, p.
  3. 8 Directive « matière pénale », art. 1 §
  4. 3 La CCDH regrette la transposition a minima de la directive par des dispositions vagues et estime que celle-ci pourrait porter préjudice à la sécurité juridique des justiciabies. Un cadre institutionnel et réglementaire renouvelé La réforme consacre un cadre institutionnel remanié
(1). La protection des données en matière pénale est encadrée par de nouvelles dispositions issues d'une transposition a minima de la directive européenne
(2). En dehors du domaine pénal, la plupart des règles matérielles en matière de protection des données sont fixées au niveau européen par le règlement 2016/
  1. La CCDH concentre ses remarques à quelques éléments spécifiques dans le contexte législatif luxembourgeois.
  2. Un cadre institutionnel remanié La compétence générale de la « nouvelle » CNPD constitue la règle, y compris pour les traitements effectués dans le domaine pénal (A). Une autorité spécifique est créée pour les traitements effectués par les juridictions judiciaires, répressives et administratives, dans l'exercice de leurs fonctions juridictionnelles (B). De nouvelles règles de fond de droit commun prévoient une plus grande responsabilisation des acteurs publics (C). A. Une « nouvelle » CNPD aux compétences élargies D'après le projet de loi n° 7184, la « nouvelle » CNPD aux compétences élargies voit le jour. Celle-ci s'insère dans un paysage institutionnel européen remanié dans lequel la collaboration entre institutions nationales et européennes joue un rôle prépondérant
  3. Pour faire face à ses nouvelles missions, la CNPD est en cours de renforcement (i). D'après Iarticle 6
(1)du projet de loi n° 7184, la CNPD détient une compétence générale et par défaut relative au contrôle de tout traitement de données à caractère personnel. Ses missions et ses pouvoirs découlent largement du règlement européen. Certaines dispositions du règlement nécessitent pourtant une mise en ceuvre par la législation nationale (« clauses d'ouverture ») et les commentaires de la CCDH se concentrent en priorité sur celles-là. La CNPD se voit octroyer également une nouvelle compétence pour les traitements dans le domaine pénal (ii), en vertu des projets de loi n° 7168 &
  1. Le « comité européen de la protection des données », composé par des représentants des autorités de contrôle nationales et du Contrôleur européen de la protection des données, va assurer dès mai 2018 la cohérence des mesures prises par les autorités de contrôle nationales. Ce comité remplace le groupe de travail « article 29 » qui coordonne actuellement le travail des autorités de contrôle nationales. Règlement général. articles
  2. 60-68
  3. inter alia. L'autorité de contrôle luxembourgeoise. la CNPD. est considérablement sollicité au sujet de traitements de données ayant un aspect transfrontalier et son travail sera influencé par les activités du comité européen. 4 i. Le renforcement des moyens de la CNPD D'après l'article 9 de ce projet, la « nouvelle » CNPD tire une grande partie de ses compétences et de son mandat directement du règlement européen 2016/
  4. Elle aura en particulier des nouvelles possibilités de contrôle ex post, couplées à de réels pouvoirs de sanctions pécuniaires ou non-pécuniaires. À titre d'illustration, la CNPD peut décider de sanctions financières considérables, pouvant aller jusqu'à 20 millions d'Euro ou 4 % du chiffre d'affaire annuel mondial en cas de violation des règles en matière de protection des données
  5. La CNPD peut aussi décider de prendre des mesures correctives, et elle peut ainsi entre autres ordonner l'effacement ou la destruction de données et interdire temporairement ou définitivement un traitement. 11 est à saluer que la CNPD peut aussi imposer des amendes administratives aux personnes morales de droit public et à l'Etat selon les articles 49 respectifs des deux projets de loi. II ressort de l'article 49 du projet de loi n° 7168 et du commentaire y afférant que, dans les cas d'un « faitjustifiant la sanction ou l'astreinte [...] commis intentionnellement », la sanction est à la charge du fonctionnaire ou de l'employé d'Etat responsable. Fl n'est pas clarifié comment l'intention de l'auteur sera établie et si cette détermination revient à la CNPD. La CNPD ne semble pas l'autorité adéquate pour se prononcer sur cette question. Cela risque aussi de compliquer le travail de la CNPD, d'autant plus que dans ces caslà, des garanties procédurales devraient être prévues. Ainsi, la CCDH invite les auteurs à clarifier ces dispositions. Par ailleurs, le projet de loi mérite d'être précisé sur l'accès à la justice par la CNPD, en particulier l'accès à la Cour européenne de justice en vertu de la jurisprudence Schrems. La CJUE a estimé que l'autorité de contrôle doit pouvoir saisir les tribunaux nationaux en cas de doute sur la légalité d'un acte de l'Union européenne, en particulier les décisions d'adéquation de la Commission. Les tribunaux nationaux pourront ensuite formuler une question préjudicielle pour clarifier la question
  6. La CCDH rejoint l'avis de la CNPD que le projet de loi doit être revue pour se conformer aux exigences de la jurisprudence Schrems. 10 Ces sanctions sont collectées par l'Administration de l'Enregistrement et des Dornaines et n'alimentent pas le budget de la CNPD. Voir ies précisions dans CNPD, avis de la CNPD relatif au projet de loi n° 7168 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en rnatière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines lois, Délibération n° 7149/2017 du 28 décembre 2017, Doc. parl. 7168/04, p. 14 "Voir CNPD, avis de la CNPD relatif au projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à legard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, Délibération n° 1 050/201 7 du 28 décembre 2017, pp. 7-
  7. 5 Dans le même ordre d'idées, les modalités de l'action en cessation doivent être clarifiées pour établir d'une part si la CNPD doit introduire une demande sur le fond et d'autre part quelle durée et quel effet la décision de suspension provisoire déploie
  8. Tout comme prévu dans la loi de 2002, la CNPD doit présenter un rapport annuel sur ses activités. Dans ce sens, l'article 12 du projet de loi n° 7184 met en ceuvre l'article 59 du règlement européen et l'article 59 de la directive européenne. Contrairement à la loi de 2002, l'article 12 du projet de loi n° 7184 ne prévoit plus explicitement le fait que la CCDH avise le rapport annuel de la CNPD. La CCDH en prend note et regrette de ne pas avoir été consultée préalablement sur la pertinence et les raisons de cette modification. Elle estime que la pratique actuelle aurait été compatible avec la mise en ceuvre des dispositions européennes qui envisagent la transmission à « d'autres autorités désignés par le droit de l'Etat membre ». La protection des données à caractère personnel est un droit fondamental et à ce titre, relève de la compétence générale de la CCDH. Le nombre et la complexité des traitements de données à caractère personnel s'accroissent et engendrent une augmentation du travail de la CNPD. La CCDH salue les efforts de réorganisation des services entrepris par la CNPD en vue de l'entrée en vigueur de la réforme. La CCDH note avec satisfaction que la CNPD anticipe l'évolution de ses pouvoirs d'enquete par la création d'un service de contrôle et d'investigations
  9. Le gouvernement a programmé un renforcement du budget de la CNPD dès 2016 afin de permettre le recrutement nécessaire de spécialistes. Outre un renforcement du personnel déjà en cours, le projet prévoit la création d'un quatrième poste de « Commissaire ». Au vue des implications de la réforme, en particulier de l'élargissement des compétences pour les affaires pénales et pour les affaires transfrontalières, la CCDH salue l'engagement du gouvernement à assurer un renforcement graduel des moyens humains de la CNPD. La compétence de la CNPD, en tant qu'« autorité de contrôle administrative », dans le domaine pénal Dans le domaine du « traitement des données à caractère personnel en matière pénale », en vertu des dispositions 6
(2)et 10 du projet de loi n° 7184 et les dispositions 3
(15)(a) et 40 du projet de loi n° 7168, la CNPD devient l'« autorité de contrôle administrative » « compétente pour contrôler et vérifier le respect des dispositions » relatives au domaine pénal tel que issues du projet de loi n°
  1. Cette approche permet d'harmoniser les 12 Voir CNPD, avis de la CNPD relatif au projet de loi n° 7184 portant création de Ia Commission nationale pour la protection des données et la mise en ceuvre du réglement (UE) 2016/679 du Partement européen et du Conseil du 27 avrit 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modatités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, Délibération n 1050/2017 du 28 décembre 2017, pp.
  2. 13 Voir notamment CCDH, avis n° 3/2018 sur/es rapports d'activités 2015 et 2016 de la CNPD, 13 décembre
  3. 6 règles à la fois pour ceux opérant des traitements de données et pour les citoyens. La CCDH salue l'unification du cadre institutionnel. La CNPD, en tant qu'autorité de contrôle en matière pénale, remplace l'actuelle « Autorité de contrôle spécifique 'Article 17 » établi en vertu de la loi de
  4. L'« Autorité de contrôle spécifique Article 17 » ne dispose à l'heure actuelle pas de ressources propres, ni financières ni en personnel, et le cadre réglementaire l'entourant est incomplet puisque le règlement grand-ducal prévu par la loi de 2002 n'a jamais été adopté
  5. Pour assurer le fonctionnement de l'actuelle autorité de contrôle spécifique 'Article 17, les tâches administratives sont effectuées par les membres de la CNPD dans les limites du budget de celle-ci. Le Procureur général d'Etat n'est plus représenté dans la nouvelle autorité de contrôle administratif. À l'image de l'autorité de contrôle existante, en vertu de l'article 2 du projet de loi n° 7168, la CNPD sera responsable pour le contrôle des traitements de données effectués par la Police, le Service de renseignement de l'Etat, les Douanes et l'Armée. En vertu des articles 10 et 16 du projet de loi n° 7184, la CNPD détient des missions et pouvoirs spécifiques dans ce domaine. Pour comprendre les tâches qui incomberont à la CNPD en tant qu'autorité de contrôle administrative dans le domaine pénal, il est nécessaire de lire les deux projets de loi en parallèle, en particulier les articles 11, 15, 16 du projet de loi n° 7184 et les dispositions matérielles du projet de loi n° 7168, principalement les articles ler à
  6. La CCDH relève positivement le changement de la composition de l'autorité de contrôle administrative, en ce qu'il garantit l'indépendance de la CNPD en adéquation avec les articles 41 et 42 de la directive européenne. La CCDH est confiante que ce transfert améliore les conditions de travail de l'autorité de contrôle et répond aux critiques répétées qui ont pu être formulés par le passé à l'égard de l'autorité de contrôle. Elle estime en effet que la CNPD peut fournir les moyens et conditions nécessaires pour améliorer considérablement le contrôle des traitements dans ce domaine. La CCDH salue le transfert des compétences de l'autorité de contrôle spécifique 'Article 17' vers la CNPD. B. La création d'une « autorité de contrôle judiciaire » D'après l'article 41
(1)du projet de loi n° 7168, une nouvelle « autorité de contrôle judiciaire » voit le jour. S'agissant du domaine sensible des activités juridictionnelles, il convient de s'attarder sur cette autorité qui vient compléter la CNPD, notamment pour déterminer sa place dans le paysage institutionnel et son interaction avec les principes de fonction de la justice, dont l'indépendance. 14 Nom découlant de l'article 17 de la loi de
  1. Le règlement grand-ducal prévu par cette disposition n'a jamais été adopté. L'autorité est composée du Procureur Général d'Etat (ou délégué) (présidence) et de deux membres de la CNPD. 15 Voir notamment CCDH, avis n° 04/2016, (Avis sur le rapport d'activités 2014 de le [CNPD1, p.
  2. Autorité de contrôle spécifique 'Article 17, rapport rendant compte de l'exécution de la mission de l'autorité de contrôle pendant les années 2014 et 2015, pp. 4-
  3. 7 i. Le droit applicable aux juridictions des deux ordres et l'interaction entre les deux projets de loi Pour le législateur européen, il est admis que les dispositions matérielles de la directive et du règlement s'appliquent « aux activités des juridictions et autres autorités judiciaires »
  4. Les considérants des deux instruments européens précisent de plus que le droit de l'Union européenne ou le droit national peut contenir des précisions quant au « traitement des données à caractère personnel par les juridictions et les autres autorités judiciaires, notamment pour ce qui est des données à caractère personnel figurant dans les décisions judiciaires »
  5. Contrairement à l'avis des juridictions administratives18, les règles matérielles peuvent s'appliquer aux activités juridictionnelles, y compris à celles des juridictions administratives. Ce constat n'est pas influencé par le fait que les règles contenues dans le projet de loi n° 7168 ne trouveront probablement pas application aux traitements effectués par les juridictions administratives, qui devront plutôt respecter les dispositions du règlement (UE) n° 2016/
  6. II ressort de l'article 41 du projet de loi n° 7168 ainsi que du commentaire des articles que, dans son champ d'activité, l'autorité de contrôle judiciaire contrôle et vérifie le respect de la législation pertinente en matière de protection des données, selon ce qui est pertinent en fonction de l'objet et l'auteur du traitement. Elle se réfère en particulier aux dispositions matérielles du règlement européen 2016/679 et aux dispositions de la loi de transposition
  7. À titre d'illustration, tel qu'expliqué par les auteurs du projet de loi n° 7168, le ministère public doit appliquer les dispositions du règlement (UE) n° 2016/679 lorsqu'il effectue un traitement dans le cadre d'une mission à caractère non pénal, comme par exemple en matière d'adoptions. II doit par contre appliquer le projet de loi n° 7168 pour toutes les fonctions en lien avec l'objet du projet de loi n° 7168, à savoir toutes ses activités concernant des poursuites pénales et l'exécution des peines. Dans leur avis relatif au projet de loi n° 7168, les juridictions administratives estiment que « l'activité des juridictions administratives ne tombe pas sous l'objet de la loi projetée ni dans son champ d'application »
  8. En effet, l'objet et le champ d'application du projet de loi n° 7168 (art. ler et 2) ne mentionnent ni les juridictions, ni les opérations de traitement des données qu'elles effectuent. Si les juridictions pénales peuvent être considérées comme « autorités compétentes à des fins d'enquêtes et de poursuites [...] ou d'exécution de sanctions pénales », il est moins évident pour les juridictions civiles ou administratives
  9. Les auteurs du projet de loi n° 7168 invoquent le règlement (UE) 2016/679 pour justifier l'inclusion de toutes les juridictions dans le champ de compétence de cette autorité de contrôle. II est à noter que, à part celles relatives à l'autorité de contrôle judiciaire, les dispositions relatives aux autorités de contrôle figurent dans Ie projet de loi projet de loi n°
  10. 16 Considérant 20, 63, 80, Directive ; considérant
  11. Règlement. 17 Considérant 20 Directive, considérant 20 Règlement 18 Doc. Parl. 7168/
  12. 19 Voir notamment : art. 3
(15)(b), projet de loi n°
  1. 29 Doc. Parl. 7168/01, p. 1 21 Doc. Parl. 7168/01, p.
  2. Les juridictions administratives utilisent le terme de juridictions « non-pénales ». 8 À l'image de la CNPD, l'autorité de contrôle judiciaire navigue constamment entre le projet de loi n° 7184 et le projet de loi n°
  3. Ce double rattachement se reflète dans la définition des missions de l'autorité de contrôle judiciaire : Celles-ci sont définies, par renvoi, à l'article 57 pour ce qui est de l'application du règlement européen 2016/679 et à l'article 43
(1)du projet de loi n° 7168 pour le domaine pénal. Pour assurer une plus grande lisibilité et cohérence, la CCDH suggère que les dispositions institutionnelles relatives à l'autorité de contrôle judiciaire soient insérées dans le projet de loi n°
  1. A minima, la CCDH suggère qu'un renvoi à l'autorité de contrôle judiciaire soit inséré dans l'article 7 du projet de loi n° 7184 et que les juridictions soient introdultes dans les dispositions relatives à l'objet, au champ d'application et aux définitions du projet de loi n°
  2. Le champ d'activité de l'autorité de contrôle judiciaire La législation européenne précise que « [Ija compétence des autorités de contrôle ne devrait pas s'étendre au traitement de données à caractère personnel effectué par les juridictions dans l'exercice de leur fonction juridictionnelle, afin de préserver Pindépendance du pouvoirjudiciaire dans l'accomplissement de ses missions judiciaires, y compris lorsqu'il prend des décisions »
  3. Le règlement (UE) n° 2016/679 conçoit la possibilité de création d'« organes spécifiques au sein de l'appareil judiciaire » qui pourraient « garantir le respect des règles sensibiliser [...] les membres du pouvoirs judiciaire et traiter les réclamations [...] »
  4. En vertu de l'article 7 du projet de loi n° 7184, les « opérations de traitement des données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice des fonctions juridictionnelles » sont exclues du contrôle de la CNPD, que ce soit en tant qu'autorité de contrôle administrative ou que ce soit dans ses compétences découlant du règlement (UE) 2016/
  5. Cette disposition reste muette au sujet de la compétence de l'autorité de contrôle judiciaire créée par l'article 41 du projet de loi n°
  6. L'article 41
(2)du projet de loi n° 7168, relatif à la compétence de la nouvelle autorité de contrôle judiciaire, précise que « [plar dérogation à l'article 4024, les opérations de traitement des données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice des fonctions juridictionnelles, que ce soit pour les finalités visées à l'article l er de la présente loi ou pour celles visées par le règlement (UE) n° 2016/679, sont soumises au contrôle de l'autorité de contrôle judiciaire ». Au sujet de l'exception de la compétence de l'autorité de contrôle administrative (dans le contexte luxembourgeois il s'agit de la CNPD), la directive précise dans ses considérants qu'« convient que cette exception soit limitée aux activités judiciaires dans le cadre d'affaires portées devant les juridictions et qu'elle 22 Considérant 20, Règlement (UE) n° 2016/679; Considérant 80, Directive. 23 Considérant 20, Règlement (UE) n° 2016/
  1. 24 D'après l'article 40 du projet de loi n° 7168, la CNPD, dans ses fonctions en matière pénale, est désigné pour « contrÔler et vérifier les dispositions » de la législation issue du projet de loi n°
  2. 9 ne s'applique pas aux autres activités auxquelles les juges pourraient être associés conformément au droit d'un État membre »
  3. 11 en découle que la compétence de l'autorité de contrôle judiciaire se définit strictement par dérogation à la compétence générale de la CNPD. 11 convient ainsi de préciser ce qui est entendu par « l'exercice des fonctions juridictionnelles » pour déterminer le champ d'activité de cette autorité. Les auteurs du projet de loi n° 7168 ont adopté une approche restrictive de la définition des activités juridictionnelles. Ainsi, pour les juridictions, lorsqu'elles traitent des don nées à caractère personnel dans l'exercice de leurs fonctions juridictionnelles, ce sera l'autorité de contrôle judiciaire qui est compétente. Pour tous les autres traitements de données à caractère personnel, tombant dans le champ d'application de la future loi transposant la directive (UE) n° 2016/680 ou relevant du champ d'application du règlement (UE) n° 2016/679, la CNPD sera compétente. Dans leur avis, les juridictions administratives semblent se prononcer en faveur d'une extension de la notion d'activités juridictionnelles et notent notamment que la Belgique a fait le choix d'inclure toutes les missions du ministère public dans la définition de « dans l'exercice de leur fonction juridictionnel »26 . L'autorité de contrôle judiciaire permet d'assurer le respect du droit fondamental à la protection des données tout en garantissant l'indépendance de la justice. Les activités non-juridictionnelles tombent néanmoins dans le champ de compétence de la CNPD. De plus, la CNPD est compétente pour le domaine pénal non-juridictionnel. Dans cette optique, le mandat et les missions de la CNPD ne mettent pas en cause l'indépendance de la justice, en particulier l'indépendance du parquet. De plus, contrairement aux moyens et l'expertise de la CNPD, il n'est pas certain que l'autorité de contrôle judiciaire disposera de moyens suffisants pour assurer un contrôle adéquat. La CCDH estime que l'approche restrictive par rapport au champ de compétence de cette autorité de contrôle judiciaire semble indiquée. Le mandat et le fonctionnement de l'autorité de contrôle judiciaire et l'indépendance de la justice L'autorité de contrôle judiciaire proposée est composée de six membres, à savoir des représentants de différentes juridictions judiciaires, administratives et du ministère public et d'un représentant de la CNPD. Le secrétariat est assuré par du personnel de l'administration judiciaire. a. Le mandat de l'autorité de contrôle judiciaire et l'indépendance de ses membres Eu égard au mandat proposé de l'autorité de contrôle judiciaire, la composition, essentiellement par des magistrats, peut soulever des interrogations sur leur 25 Directive, considérant
  4. 25 Doc. parl. 7168/01 p.
  5. Elles invoquent les difficultés exposées par l'affaire Procola en l'appliquant à l'autorité de contrôle judiciaire. 10 indépendance. L'autorité de contrôle est ainsi composée de six membres : un représentant de la Cour supérieure de Justice, un représentant des autres juridictions de l'ordre judiciaire, un représentant des juridictions de l'ordre administratif, un représentant du Parquet général, un représentant du Parquet, ainsi qu'un représentant de la CNPD. La CCDH relève que la participation d'un membre de la CNPD permet de garantir la coordination adéquate entre l'autorité de contrôle judiciaire et les institutions européennes. De même, la représentation de la CNPD permet d'assurer l'harmonisation de la jurisprudence des deux autorités de contrôle. De l'avis des juridictions administratives, les missions de l'autorité de contrôle judiciaire, définies à l'article 43 du projet de loi n° 7168, sont bien plus vastes que simplement de recevoir des plaintes et pose à leurs yeux des questions d'impartialité objective et subjective
  6. En effet, parmi les activités qui peuvent soulever ces questions, l'autorité de contrôle judiciaire est notamment appelé à conseiller « la Chambre des Députés, le Gouvernement et d'autres institutions [...] au sujet des mesures législatives et administratives [...] » et à favoriser « la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement ». La CCDH s'interroge sur la capacité de l'autorité de contrôle judiciaire à exercer adéquatement ces missions étant donné les obligations de réserve auxquelles les magistrats sont tenues par le principe de la séparation des pouvoirs et le principe de l'indépendance de la justice. De l'avis de la CCDH, il convient d'adopter une approche différenciée, en limitant le mandat de l'autorité de contrôle judiciaire au traitement des réclamations et au contrôle des traitements. La CCDH suggère que la CNPD soit investie des autres missions, en particulier relatives aux prises de position par rapport aux réformes législatives et réglementaires et par rapport à la sensibilisation du grand public. En effet, de l'avis de la CCDH, celles-ci n'empiètent pas sur l'exercice des fonctions juridictionnelles et peuvent être exercées par une autre autorité de contrôle. b. Le risque de l'intervention dans des procédures juridictionnelles Le contrôle exercé par une autorité de tontrôle extérieure pose ainsi des questions d'indépendance de la justice dans ses activités juridictionnelles par la possibilité d'ingérence dans des procédures juridictionnelles en cours et il convient d'œuvrer avec prudence dans ce domaine. L'article 45
(2)du projet de loi n° 7168 prévoit qu'en principe, « les réciamations contre des opérations de traitement de données à caractère personnel [...] sont traitées comme incident de procédure devant la juridiction qui est compétente pour statuer le litige ». En application de l'article 45
(3)du projet de loi n° 7168, l'autorité de contrôle judiciaire n'intervient que dans un second temps, quand une réclamation n'a pas pu être soulevée devant la juridiction compétente. Dans leur avis, les juridictions administratives s'interrogent sur les hypothèses dans lesquelles l'autorité de contrôle judiciaire pourrait 27 Cette disposition reprend largement les articles 46 de la directive et renvoie à l'article 57 du règlement pour les aspects dans le champ d'application du règlement général. 11 être saisie d'une réclamation28. Le commentaire spécifie que « la formulation ... qui ne peuvent être traitées vise une impossibilité légale ou procédurale empêchant la personne concernée de soulever la réclamation dans le cadre du litige devant la juridiction compétente. Ce cas peut se présenter par exemple si le problème en matière de traitement de données à caractère personnel n'est apparu qu'après la fin du litige. A contrario, cela signifie que si la personne concernée aurait dû ou aurait pu valablement invoquer la réclamation [...] dans le cadre du litige mais qu'elle ne l'a pas fait, en raison d'un oubli par exemple, elle ne saurait être admise à saisir ultérieurement l'autorité de contrôle judiciaire. » De l'avis de la CCIDH, une réclamation auprès de l'autorité de contrôle judiciaire ne pourra pas mettre en cause la décision prise par la juridiction compétente pour le litige auquel la réclamation se réfère, même en cas de violation et invocation de la responsabilité de l'Etat. La CCDH estime qu'il serait adéquat de prévoir un mécanisme de réclamations pour les cas qui n'ont pas pu être traités comme incident de procédure. En l'absence de toute autre hypothèse exposée ou évidente dans le commentaire des articles, les auteurs limitent de facto l'accès à l'autorité de contrôle judiciaire aux cas dans lesquels les faits à la base de la réclamation ne se manifestent qu'après la fin de la procédure principale. La CCDH soutient que la saisine de l'autorité de contrôle judiciaire soit possible dans tous les cas et que la notion de « ne peuvent être traitées » devra être interprétée de façon souple. iv. Recours contre les décisions de l'autorité de contrôle judiciaire L'article 46
(1)du projet de loi n° 7168 distingue entre les décisions de l'autorité de contrôle judiciaire prises en application de la loi de transposition de la directive et celles prises en application du règlement européen. La directive précise qu'« en tout état de cause, le respect des règles de la présente directive par les juridictions et autres autorités judiciaires indépendantes fait toujours Pobjet d'un contrôle indépendant conformément à Particle 8, paragraphe 3, de la Charte »
  1. Dans le cas d'une décision relative à un traitement en matière pénale, la décision devra être attaquée devant la chambre du conseil de la cour d'appel. Dans tous les autres cas, le recours est à déposer devant le Tribunal administratif. Les auteurs du projet de loi n° 7168 argumentent qu'il faut « respecter les sphères de compétences [des] deux ordres juridictionnels [Fordre judiciaire et l'ordre administratifi ». Les auteurs du projet de loi n° 7168 reconnaissent, dans le commentaire à l'article 41, que le ministère public peut être amené à appliquer le règlement européen (UE) n° 2016/679 « effectue un traitement dans le cadre d'une mission à caractère non pénal, par exemple en matière d'adoption ». À titre de comparaison, en ce qui concerne les décisions de la CNPD, quel que soit le domaine du traitement, un recours est ouvert devant le Tribunal administratif, en application de l'article 54 du projet de loi n°
  2. Les auteurs de ce projet retiennent cette solution en arguant que la CNPD est une « autorité administrative indépendante » 28 29 Doc. Parl. 7168/01, p.
  3. Directive, considérant 80 in fine. 12 qui adopte des « actes administratifs », attaquables par conséquent devant les juridictions administratives. Cet article 54 ne fait pas de distinction entre le champ d'application de la loi de transposition et celui du règlement européen précité. La CCDH estime que l'autorité de contrôle judiciaire est comparable à la CNPD en ce qu'elle est une « autorité administrative indépendante » « au sein des ordres juridictionnels » qui adopte des actes administratifs. Ses décisions relatives à des réclamations peuvent, à ce titre, faire l'objet d'un recours juridictionnel. La CCDH s'interroge par conséquent sur la pertinence de la distinction des voies de recours en fonction du texte d'application en ce qui concerne les recours contre les décisions de l'autorité de contrôle judiciaire. C. La responsabilisation des acteurs au cœur de la réforme de la protection des données Une pierre angulaire de la réforme européenne est la responsabilisation des acteurs, notamment par le renforcement du rôle des responsables du traitement et, le cas échéant, la désignation de délégués à la protection des données et les obligations autour de la mise en place de traitements de données, dont l'obligation d'effectuer une analyse d'impact relative à la protection des données dans certains cas à risque et l'obligation d'établir une documentation exhaustive relative aux traitements effectués. Ces règles se combinent avec l'augmentation des pouvoirs de contrôle et de sanctions des autorités de contrôle. Les nouvelles règles, beaucoup plus précises et protectrices des droits des personnes concernées représentent une grande avancée dans la protection du droit fondamental de la protection des données à caractère personnel. Vu la centralité du responsable du traitement et du délégué à la protection des données, la CCDH félicite la CNPD et les autorités d'avoir organisé ? des journées d'informations et la documentation pertinente pour préparer les acteurs à ces nouvelles fonctions. La plupart des nouvelles obligations et règles découlent directement du règlement européen (UE) n° 2016/679 ou sont reflétées de façon quasi-identique dans la loi de transposition de la directive. Ces dispositions n'appellent pas à de plus amples développements de la part de la CCDH. La CCDH constate que les deux projets de loi limitent fortement le nombre d'infractions pénales. Certaines des infractions pénales contenues dans la loi de 2002 devraient cependant être contenu dans le nouveau dispositif législatif. La CCDH partage l'avis de la CNPD que les violations intentionnelles des dispositions sur la protection des données personnelles devraient être sanctionnées. Elle estime que l'usage abusif de données par des personnes physiques à des fins privées et la collecte frauduleuse ainsi que la revente de ces données obtenues illégalement devraient être sanctionnésn. 30 CNPD, avis de la CNPD relatif au projet de loi n° 7168 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines rois, Délibération n° 7149/2017 du 28 décembre 2017, Doc. parl. 7168/04, pp. 7, 14-
  4. 13 La CCDH relève que chaque organisme public qui enregistre, utilise ou traite des données à caractère personnel doit disposer d'un « délégué à la protection des données ». La CCDH relève que, en matière pénale, les auteurs du projet de loi n° 7168 envisagent la possibilité ouverte par l'article 32
(3)de désigner « un seul délégué à la protection des données [...] pour plusieurs autorités compétentes ». Le commentaire relatif à cette disposition énonce de façon hypothétique les cas de figures envisagés, notamment pour les parquets, la police et l'administration pénitentiaire. Alors que la réforme est sensée entrer en vigueur en mai 2018, les auteurs n'indiquent pas quels options le gouvernement envisage de retenir pour la désignation et le recrutement du ou des délégués alors que cette fonction constitue un élément clé dans le nouveau système de protection des données. Malgré l'importance pour l'efficacité du contrôle interne, aucune précision n'est fournie quant aux qualifications que les personnes devront avoir pour devenir le délégué. La CCDH se réjouit que les auteurs soulignent que les juridictions doivent également désigner un délégué à la protection des données en leur sein. La CCDH note pourtant avec regret les imprécisions quant aux modalités de désignation du ou des délégués en matière pénale.
  1. Un régime spécifique en matière pénale issu d'une transposition a minima de la directive En transposant la Directive 2016/680, tous les traitements des données au sein des Etats membres en matière de prévention et de détection d'infractions pénales, d'enquêtes et de poursuites ou d'exécution de sanctions pénales sont couverts par les mêmes règles. La CCDH relève que la transposition de la directive permet d'unifier le cadre législatif et d'assurer une protection plus cohérente des données personnelles. La distinction entre un traitement « transfrontalier » et un traitement « national » est abandonnée et constitue l'une des avancées structurelles de la réforme31 ouvrant la voie à une approche cohérente quelle que soit ? la destination, nationale ou internationale, des données collectées. Toutefois, certaines dispositions nécessitent, de l'avis de la CCDH, des clarifications et des améliorations, en particulier celles relatives aux conditions de collecte (quelles autorités opèrent des bases de données ?), de traitement (à quelles fins et avec quels moyens ces bases de données sont-elles opérées ?), de conservation (combien de temps et dans quels conditions ces données sont-elles conservées ?) et de transferts des données (quelles garanties sont exigées en cas de transfert vers un pays tiers ?). la CCDH souligne que, dans le contexte luxembourgeois, il est tout à fait possible d'identifier les autorités compétentes avec une relative précision et elle regrette que les auteurs aient choisi de ne pas expliquer outre mesure les modalités de mise en ceuvre de ce projet de loi par les principales autorités compétentes, à savoir la police grand-ducale et les parquets. La CCDH rappelle que chaque base de données opérée par les autorités compétentes en matière pénale nécessite une base légale. Cela vaut en particulier pour le « journal Projet de loi n° 7168, art. ier et
  2. Contrairement à la décision-cadre de 2008 qui ne concernait que les traitements transfrontaliers. 31 14 des incidents » de la Police grand-ducale, mais aussi celles utilisées par les parquets et l'Administrations des douanes et accises
  3. A. Qu'est-ce qu'un délai « approprié » conservation ? et la « nécessité » de L'article 5 prévoit les délais de conservation et d'examen, en indiquant que « gje responsable du traitement fixe des délais appropriés pour l'effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver les données à caractère personnel. Les délais sont à fixer eu égard à la finalité du traitement ». La CCDH note avec regret que la formulation ne donne aucune indication sur la notion des « délais appropriés » et sur la fréquence de l'analyse de la « nécessité de conserver les données à caractère personnel ». Elle note que ces délais sont laissés entièrement à la libre appréciation du responsable du traitement. Les auteurs du projet avancent lapidairement que « Morce est de constater que les délais de conservation de données à caractère personnel sont intimement liés, voire conditionnés, par la ou les finalités pour lesquelles les données sont traitées, de sorte qu'il n'est pas possible de fixer, dans la loi elle-même, des délais y afférents. ». Le commentaire renvoie au responsable du traitement respectif, qui « doit donc établir des règles afin d'assurer que les principes prévus par l'article 4 soient respectées (sic) », Le commentaire admet que des règles puissent exister puisqu'il enjoint les responsables du traitement d'en établir. La CCDH regrette que les modalités d'adoption de ces règles ne soient pas plus amplement expliquées. La CCDH exhorte le gouvernement à préciser,les délais de conservation à l'aune des finalités du traitement, notamment à la lumière des différentes finalités indiqués à l'article ier et à la lumière des principes encadrant les traitements tel que énoncés à l'article 4
(1)
  1. Elle estime en outre qu'il est possible de moduler ces délais en fonction de l'autorité étant responsable du traitement. La CCDH rappelle que les conditions relatives à une ingérence dans le droit à la vie privée doivent figurer dans la législation afin de trouver ce « juste équilibre » entre l'objet de la législation et ce droit fondamental. A minima, la législation peut prévoir des critères pour fixer les délais de conservation. La CCDH estime qu'il conviendra de rechercher des solutions différenciées selon les catégories de personnes concernées, tels que définies à l'article 6, en particulier pour les personnes qui ne sont pas suspectées d'avoir commis ou d'être sur le point de commettre une infraction pénale. Une solution imaginable serait la pseudonymisation, permettant ainsi de garder la possibilité, en cas de nécessité, de 32 Voir également CNPD, avis de la CNPD relatif au projet de loi n° 7168 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines lois, Délibération n° 1049/2017 du 28 décembre 2017, p.
  2. Doc. parl. 7168/
  3. 33 Voir également CNPD, avis de la CNPD relatif au projet de loi n° 7168 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines lois, Délibération n° 1049/2017 du 28 décembre 2017, p.
  4. Doc. parl. 7168/
  5. Voir également Cour constitutionnelle, arrét 117 du 20 mars
  6. 15 consulter les données à caractère personnel tout en préservant dans une grande mesure les droits fondamentaux des personnes concernées. B. Quelles « garanties appropriées » pour le traitement de données sensibles ? L'article 10 autorise, sous certaines conditions, le traitement de données qui révèlent « l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique ». Les auteurs reconnaissent le caractère « sensible » de ces données. Cependant, ils s'abstiennent de donner des précisions, ne serait-ce qu'à titre d'illustration, quant aux circonstances remplissant les conditions de « nécessité absolue ». lls n'indiquent pas non plus quelles « garanties appropriées » sont à mettre en place pour encadrer ces traitements. La CCDH invite le gouvernement de préciser et de définir les cas « de nécessité absolue » dans lesquels, des données sensibles peuvent être traités « sous réserve de garanties appropriées ». La CCDH s'interroge sur deux des trois hypothèses prévues à l'article 10 dans lesquelles ces traitements sont autorisés. D'abord, d'après l'article 10 (a), la législation européenne ou le droit national peuvent les autoriser. Les auteurs n'indiquent pas quelles dispositions nationales, dans l'état actuel du droit, pourraient être à la base d'une telle autorisation. La CCDH invite les auteurs à préciser les bases juridiques d'un traitement autorisé au titre de l'article 10 du projet de loi n°
  7. Ensuite, d'après l'article 10 (b), un traitement de ces données sensibles est autorisé lorsqu'il porte sur « des données manifestement rendues publiques par la personne concernée ». Aucune explication n'est fournie sur ce qu'est une donnée « manifestement rendue publique ». Pour remplir ce critère, à titre d'exemple, suffit-il d'afficher son orientation sexuelle en public pour que cette donnée ait été rendue publique ? La CCDH souhaite que la notion « données manifestement rendues publiques » soit définie avec plus de précision. C. Les transferts vers l'étranger La CCDH relève positivement que les transferts de données vers les pays-tiers en matière pénale sont également clarifiés, notamment en application de l'article 35 du projet de loi n°
  8. D'emblée, il est à regretter que l'article premier du projet de loi n° 7168, relatif à l'objet de la loi, omet de mentionner les transferts de données en matière pénale vers des pays tiers. Un renvoi vers la législation pertinente en matière de transferts vers les pays de l'UE aurait été aussi accueilli favorablement. D'après l'article 35, les transferts de données vers des pays tiers sont permis s'ils sont nécessaires à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuite, ou d'exécution de sanctions pénales. Trois cas de figure se présentent 16 Le transfert peut se fonder sur une décision d'adéquation de la Commission européenne, sur l'existence de « garanties appropriées » du pays tiers et dans d'autres cas quand la situation l'exige. La CCDH concentre ses commentaires aux deux derniers cas de figure. i. En l'absence de décision d'adéquation : « garanties appropriées » En l'absence d'une décision d'adéquation de la Commission34, un transfert de données vers un pays tiers est possible lorsqu'il y existe des « garanties appropriées » assurant le respect des droits fondamentaux. Ces garanties devront être offertes par un instrument juridiquement contraignant, tel qu'une convention internationale, ou sur base d'une analyse par le responsable du traitement. II est regrettable que l'article 37 ne précise pas la notion de « garanties appropriées » à apporter par le pays tiers. Le commentaire se borne à indiquer que cette disposition est applicable « en l'absence d'une décision d'adéquation »
  9. La CCDH invite les auteurs à préciser la notion de « garanties appropriées » dans le contexte du transfert de données en matière pénale. La CCDH estime que la notion de « garanties appropriées » devra être interprétée à la lumière des critères utilisées par la Commission européenne pour l'adoption d'une décision d'adéquation, à savoir que le pays tiers présente, du moins dans le cas d'espèce, une protection équivalente à celle assurée par la directive. Un transfert peut être décidé, en pratique, sur la base d'un accord bilatéral ou multilatéral. II ne ressort pas clairement quelles garanties ces accords doivent fournir pour permettre de constituer une base juridique suffisante pour un transfert. De plus, l'article 62 du projet de loi n° 7168 prévoit que les accords conclus avant le 6 mai 2016 restent en vigueur dès lors qu'ils étaient en conformité avec la législation en vigueur lors de leur conclusion. II est regrettable qu'au minimum les accords les plus importants n'aient pas été explicitement et à titre indicatif, identifiés dans les commentaires. Dans l'immédiat, les accords bilatéraux conclus par le Luxembourg ne sont pas affectés par l'adoption du projet de loi n°
  10. Or, il n'est pas certain que ces accords respectent les nouvelles normes en matière de protection des données alors qu'ils constituent une base pour d'éventuels transferts. 34 La Commission européenne adopte une décision constatant que « le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation intemationale en question assure un niveau de protection adéquat ». Art. 36 projet de loi n° 7168, art. 36 Directive européenne. Dans ce cas, le transfert de données à caractère personnel ne nécessite pas d'autorisation spécifique. La seule décision de ce type, entérinant le « US-EU Umbrella Agreement », n'est pas sans soulever des interrogations. Une affaire pendante devant la Cour suprême des Etats-Unis, le « Microsoft Warrant Case », pourrait rompre à nouveau le fragile équilibre trouvé entre l'Union européenne et les Etats-Unis. Dans cette affaire, les autorités américaines réclament le droit d'accéder, par des actes de procédure pénale interne, et donc sans passer par une demande aux autorités étrangères du pays de stockage, aux données stockées à l'étranger d'entreprises ayant une activité aux Etats-Unis. La protection des données stockées en Europe par des entreprises américaines pourrait ne plus être assuré par la législation européenne et national. 35 Le texte complet du commentaire à l'article 37 se lit ainsi : « Cet article prévoit les dispositions qui sont applicables lorsqu'une autorité compétente envisage de transférer des données à caractère personnel à un pays tiers en l'absence d'une décision d'adéquation adoptée par la Commission européenne à l'égard de ce pays tiers en application de l'article 36 de la directive (UE) n° 2016/680 ». Projet de loi n° 7168 p.
  11. 17 La CCDH invite les autorités à renégocier dans les meilleurs délais les accords relatifs aux transferts de données en matière pénale afin d'y introduire des clauses relatives aux « garanties appropriées ». Dans l'absence d'accord bilatéral, le responsable du traitement peut estimer après analyse qu'un pays tiers présente des « garanties appropriées ». Ni la disposition ni le commentaire comportent des éléments précisant les critères à utiliser. Etant donné que, par défaut, 11 ne peut pas être admis que la législation du pays tiers établisse un niveau correspondant de protection des données, 1 est important de mitiger les risques pour l'exercice effectif des droits fondamentaux des personnes concernées
  12. La CCDH prie les auteurs de clarifier les critères d'appréciation pour établir qu'un pays tiers présente des garanties appropriées. La CCDH suggère que l'analyse du responsable du traitement relatif à un pays tiers soit transmis d'office à l'autorité de contrôle. En l'absence de « garanties appropriées » Dans certains cas limitativement énumérés à l'article 38 du projet de loi n° 7168, les autorités peuvent décider de transférer des données à caractère personnel même en absence d'une décision d'adéquation et en l'absence de « garanties appropriées ». Par définition, en absence de ces deux éléments, il ne peut pas être présumé que la protection des droits fondamentaux soit assurée de manière adéquate par les autorités du pays tiers. Ce d'autant plus que l'article 38
(2)admet, lors d'une pesée des intérêts, que les libertés et droits fondamentaux de la personne concernée puissent être violés. 11 convient donc d'accroître le contrôle du respect des droits fondamentaux au niveau national. 11 est regrettable que les auteurs ne précisent aucun des cas de figure énoncé à l'article 38. La CCDH estime notamment qu'il conviendrait de donner des indications quant aux possibilités de transferts dans des « cas particuliers » liés aux fins de « prévention et de détection des infractions pénales, d'enquêtes et de poursuites » en cas d'absence de « garanties appropriées ». À cet égard, la CCDH déplore que ni le texte ni le commentaire ne contiennent des indications quant à l'interprétation à donner aux « cas particuliers » visés à l'article 38
(1)(d), par exemple s'il convient de réserver cette disposition aux infractions graves, liées par exemple au terrorisme ou à la criminalité organisée. La CCDH s'interroge également sur la portée du cas de figure d'une « menace grave et immédiate pour la sécurité publique d'un État membre ou d'un État tiers, nécessité à des fins de prévention et de détection d'infractions pénales » tel que prévu à l'article 38
(1)(c). À titre d'illustration, il ne ressort ni du texte ni du commentaire quelle autorité, nationale, d'un autre Etat membre de l'UE ou étrangère, détermine l'existence d'une telle menace. 11 n'est pas précisé qu'un transfert puisse se faire en cas de menace pour la sécurité publique nationale. 36 Voir également CCDH, avis n° 05/2016 relatif ati projet de loi n° 6976 retative à léchange de données à caractère personnel et d'informations en matière poUcière (.. ), 7 juillet 2016, Doc. parl. n 6976/02, p. 2. 18 En cas de transfert sur la base de l'article 38, il pourrait être indiqué que l'autorité de contrôle soit informée d'office (au lieu et place du « sur demande »). L'information d'office de l'autorité de contrôle permet de suivre ces transferts et de les limiter strictement aux cas prévus à l'article 38
(1). Etant donné le risque systémique pour le respect des droits fondamentaux des personnes concernées, la CCDH estime que les cas de transferts « en l'absence de ‘garanties appropriées » doivent être limités à un strict minimum et que ces transferts doivent faire l'objet d'un niveau élevé de contrôle, en particulier de la part de l'autorité de contrôle. D. Conséquence de la classification des différentes catégories de personnes ? La CCDH accueille favorablement les distinctions opérées par l'article 6 du projet de loi n° 7168 entre les différentes catégories de personnes concernées qui sont susceptibles d'apparaître dans le cadre d'une enquête pénale. Or, à défaut de précision, ni dans le texte ni dans les commentaires, elle s'interroge sur la portée de cette catégorisation, notamment dans l'optique d'un niveau de protection plus élevé des données à caractère personnel des témoins. E. Quels sont les raisons de limiter le droit d'accès ? L'une des avancées de la directive, tel que transcrit aux articles 12 à 16 du projet de loi n° 7168, consiste à consentir un droit d'accès aux données aux personnes concernées. 11 s'agit ici d'un important changement : alors que jusqu'ici la personne concernée n'avait qu'un accès indirect à ces données en passant par l'autorité de contrôle, l'autorité de contrôle spécifique Article 17, elle obtient un accès direct à celles-ci. Or, si elle n'arrive pas à faire valoir ses droits de cette manière, elle peut toujours dans une deuxième étape s'adresser à la CNPD. Compte tenu de la matière particulière, les articles 13
(3)et 15
(3)du projet de loi n° 7168 prévoient que les responsables du traitement peuvent limiter le droit d'accès si cette limitation « constitue une mesure nécessaire et proportionnée dans une société démocratique » pour « pour éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires, éviter de nuire à la poursuite d'infractions pénales, protéger la sécurité publique et la sûreté de l'État, protéger les droits et libertés d'autrui ». De façon délibéré, les auteurs n'utilisent pas la faculté consentie par la directive de préciser les catégories de traitements dont l'accès est susceptible d'être limité par application des dispositions susmentionnées. Les auteurs estiment qu'« grande multitude de cas d'espèces imaginables rendrait une transposition aléatoire » et s' i nterrogent, sans préciser d'avantage, sur la notion de « catégories de traitement ». Cependant, il n'y a aucune indication, ne serait-ce que dans les commentaires aux articles, sur les modalités de ces limitations ou sur les cas d'espèces qui soulèveraient des difficultés d'application. Les auteurs ne clarifient pas quels « problèmes » une plus grande précision engendre réellement. Au vu de ces imprécisions, la CCDH s'interroge sur la validité des limitations des droits des personnes concernées — sont-elles « prévues par la loi », sont-elles 19 « nécessaires dans une société démocratique » ? En l'absence de plus amples explications, elle exhorte les auteurs à introduire plus de précisions dans le texte législatif37. F. Quel horizon pour la mise en conformité ? L'article 63
(1)prévoit que tous les fichiers relevant du champ d'application de la loi de transposition soient mis « au plus tard » en conformité avec celle-ci en mai 2018. II découle du principe d'interprétation conforme et de l'article 63
(2)du projet de loi n 7168 que depuis mai 2016, les systèmes de traitements de données à caractère personnel automatisés doivent être compatibles avec la directive et avec la nouvelle législation. L'article 63
(2)admet une dérogation jusqu'en mai 2023 pour de tels systèmes installés avant mai 2016 « à titre exceptionnel et lorsque cela exige des efforts disproportionnés » pour les obligations de « journalisation » découlant de l'article 25. L'article 63
(3)permet au gouvernement de prendre une décision « dans des circonstances exceptionnelles » portant extension du délai de mise en conformité « torsque, à défaut de cela, de graves difficultés se posent pour le fonctionnement du système de traitement automatisé en question ». 11 peut être admis que les systèmes concernés par ces dérogations ne sont pas conformes aux obligations de journalisation. Partant, une présomption de violation d'un élément constitutif du droit fondamental à la protection des données s'établit. Cette potentielle violation est couverte par une exception limitée dans le temps et justifiée par des contraintes de moyens. II est regrettable que les auteurs du texte n'aient pas indiqué quels systèmes sont potentiellement concernés par cette dérogation. S'agissant d'une dérogation à un droit fondamental, il serait indiqué de mentionner limitativement les systèmes qui bénéficient d'une telle dérogation. La CCDH souhaite que le gouvernement énumère de façon exhaustive les systèmes concernés par l'article 63
(2)et
(3). La mise en conformité doit intervenir « au plus tard » en 2023 ou à une date ultérieure ne dépassant pas mai 2026. Cela veut dire que les efforts doivent être en cours dès 2018 avec l'entrée en vigueur de la législation. Dans cette optique, il est à déplorer que les auteurs n'aient pas esquissé les efforts nécessaires pour une mise en conformité intervenant le plus tôt possible sans exiger des « efforts disproportionnés ». Les auteurs s'abstiennent de tout commentaire sur les « circonstances exceptionnelles » et les « graves difficultés » qui, à titre d'illustration, pourraient justifier l'extension du délat de mise en conformité. La CCDH exhorte/invite le gouvernement à indiquer les efforts qu'il compte mettre en ceuvre pour lever les dérogations dans les délais les plus courts possibles. La dérogation prévue à l'articie 63
(2)et
(3)ne prévoit pas une pesée des intérêts, entre l'utilisation d'un système de traitement automatisé non-conforme et le droit fondamental à la protection des données. 37 Voir également les développements de la CNPD, avis de la CNPD relatif au projet de loi n° 7168 relatif à la protection des personnes physiques à l'égard du traiternent des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines lois, Délibération n° 7149/2017 du 28 décembre 2017, pp. 4-
  1. Doc. parl. 7168/
  2. 20 La disposition ne mentionne pas explicitement l'intervention de l'autorité de contrôle. Or, celle-ci pourrait évaluer le plan de mise en conformité et juger de la pertinence des « efforts disproportionnés », des « circonstances exceptionnelles » et des « graves difficultés » invoqués par les autorités pour justifier une non-conformité. La CCDH suggère de donner un mandat explicite à l'autorité de contrôle de suivre les efforts de mise en conformité.
  3. Conclusions Dans l'ensemble, la CCDH salue la réforme du cadre institutionnel tel que contenue dans le projet de loi n°
  4. La CCDH salue les efforts de réorganisation et de renforcement de la CNPD en vue de l'unification du cadre institutionnel et de l'élargissement de ses missions et ses moyens. Vu la centralité du responsable du traitement et du délégué à la protection des données, la CCDH félicite la CNPD et les autorités d'organiser des journées d'informations et la documentation pertinente pour préparer les acteurs à ces nouvelles fonctions. Ce renforcement institutionnel répond à un renforcement de la protection des données personnelles par l'application des nouvelles dispositions européennes dont la CCDH se réjouit également. Même si le projet de loi n° 7168 constitue un certain progrès par rapport à la situation existante, la CCDH regrette la transposition a minima de la directive par des dispositions vagues dans le projet de loi n° 7168 et estime que celle-ci pourrait porter préjudice à la sécurité juridique des justiciables. La CCDH salue que les règles en matière de protection des données s'appliqueront aux institutions juridictionnelles et qu'une autorité de contrôle voit le jour pour veiller à respect de ces normes. Cependant, la CCDH s'interroge sur le mandat donné à l'autorité de contrôle judiciaire, en particulier à la lumière des principes de la séparation des pouvoirs et les principes de l'indépendance de la justice.
  5. Recommandations • • • • • La CCDH exhorte le gouvernement à apporter les précisions nécessaires au projet de loi n°
  6. La CCDH incite ainsi le gouvernement à préciser les notions de « délais appropriés » de conservation de données et la « nécessité de conserver les données à caractère personnel ». La CCDH invite le gouvernement à définir les cas « de nécessité absolue », « sous réserve de garanties appropriées », dans lesquels des données sensibles peuvent être traités. La CCDH souhaite que la notion « données manifestement rendues publiques » soit définie avec plus de précision dans le domaine des données sensibles. La CCDH invite les auteurs à préciser la notion de « garanties appropriées » dans le contexte du transfert de données en matière pénale vers des pays tiers. Elle estime que celle-ci devra être interprétée à la lumière des critères utilisées par la Commission européenne pour l'adoption d'une décision d'adéquation. 21 • • • • • • • • • Etant donné le risque systémique pour le respect des droits fondamentaux des personnes concernées, la CCDH estime que les cas de transferts vers des pays tiers « en l'absence de 'garanties appropriées' » doivent être limités à un strict minimum et que ces transferts doivent faire l'objet d'un niveau élevé de contrôle, en particulier de la part de l'autorité de contrôle. La CCDH estime que le gouvernement doit donner des indications quant aux possibilités de transferts dans des « cas particuliers » liés aux fins de « prévention et de détection des infractions pénales, dénquêtes et de poursuites [...] » et dans les cas d'une « menace grave et immédiate pour la sécurité publique d'un État membre ou d'un État tiers, nécessité à des fins de prévention et de détection d'infractions pénales ». La CCDH s'interroge sur la portée de la catégorisation des personnes visées par des traitements de données, notamment dans l'optique d'un niveau de protection plus élevé des données à caractère personnel des témoins. La CCDH s'interroge sur la validité des limitations de l'accès aux données par les personnes concernées et elle exhorte les auteurs à introduire plus de précisions dans le texte législatif et de fournir plus d'amples explications. La CCDH prie le gouvernement d'indiquer les efforts qu'il compte mettre en ceuvre pour lever les dérogations dans les délais les plus courts possibles. La CCDH suggère de donner un mandat explicite à l'autorité de contrôle de suivre les efforts de mise en conformité des bases de données concernées par les dispositions transitoires. La CCDH suggère de limiter le mandat de l'autorité de contrôle judiciaire au traitement des réclamations et d'investir la CNPD avec les autres missions. La CCDH soutient que la saisine de l'autorité de contrôle judiciaire soit organisée de façon souple. La CCDH s'interroge sur la pertinence de la distinction des voies de recours relatives aux décisions de l'autorité de contrôle judiciaire en fonction du domaine concerné.

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.