Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7126 relative aux sanctions administratives communales modifiant 1) le Code pénal, 2) le Code de procédure pénale, et 3) la loi communale modifiée du 13 décembre 1988 Délibération n° 490/2018 du 7 décembre 2018 Conformément à l'article 57, paragraphe ler, lettre (
- e)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Faisant suite à la demande lui adressée par Monsieur le Ministre de l'Intérieur en date du 2 mai 2018, la Commission nationale entend présenter ci-après ses réflexions et commentaires au sujet du projet de loi relative aux sanctions administratives communales modifiant 1) le Code pénal, 2) le Code de procédure pénale, et 3) la loi communale modifiée du 13 décembre 1988, déposé à la Chambre des Députés comme projet de loi n° 7126 en date du 4 avril 2017 (ci-après « le projet de loi »). L'objectif principal du projet de loi est de faire « face au besoin des communes de disposer d'un instrument leur permettant de lutter contre la petite délinquance, les actes de vandalisme et autres incivilités que le droit pénal et les organes répressifs ne permettent plus d'endiguer efficacement (...) »1 . Pour sa part, la Commission nationale entend limiter ses observations aux questions soulevées par les dispositions du projet de loi sous examen traitant des aspects liés au respect de la vie privée et à la protection des données à caractère personnel.
- l)Article 7 du projet de loi : accès du fonctionnaire sanctionnateur au registre national des personnes physiques Selon l'article 7 du projet de loi, le fonctionnaire sanctionnateur a accès « aux données pertinentes à cette fin » du registre national des personnes physiques dans le cadre de l'exercice de ses compétences. La CNPD partage l'avis du législateur que le fonctionnaire sanctionnateur devrait avoir accès uniquement aux données pertinentes dans le cadre de l'exercice de ses 1 cf. Exposé des motifs, page 1, cinquième paragraphe. CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7126 relative aux sanctions administratives communales modifiant 1) le Code pénal, 2) le Code de procédure pénale, et 3) la loi communale modifiée du 13 décembre 1/4 compétences, c'est-à-dire aux données mentionnées dans le fichier des sanctions administratives communales, et non pas aux autres données comprises dans le registre national des personnes physiques (comme, par exemple, les données concernant la famille de la personne concernée). II) Articles 18 et 19 et l'article 10 du projet de loi : Registres des sanctions administratives communales Les articles 18 et 19 du projet prévoient la création de trois fichiers présentant des différences relatives au créateur du fichier. L'article 18 du projet de loi prévoit que le fonctionnaire sanctionnateur tient un « fichier des infractions dont les constats lui sont transmis » et l'article 19 du projet de loi prévoit que les communes et la Police grand-ducale tiennent un « fichier des sanctions administratives ». Selon l'article 18 du projet de loi, le fichier du fonctionnaire sanctionnateur contient
- i)le nom, prénom, date de naissance, résidence habituelle et, le cas échéant, le numéro d'identification des personnes qui font l'objet du constat,
- ii)la nature des faits commis, et iii) les sanctions infligées. Selon l'article 19 du projet de loi, le fichier de la Police grand-ducale contient
- i)le nom, prénom, date de naissance, résidence habituelle et, le cas échéant, le numéro d'identification des personnes qui font l'objet du constat, et
- ii)la nature des faits commis. Et le fichier des communes contient
- i)le nom, prénom, date de naissance, résidence habituelle et, le cas échéant, le numéro d'identification des personnes qui font l'objet du constat,
- ii)la nature des faits commis, et iii) la date de transmission du constat au fonctionnaire sanctionnateur. ll en résulte que le fichier du fonctionnaire sanctionnateur est le seul fichier à contenir à la fois l'infraction et la sanction infligée. Par contre, l'article 10 du projet de loi prévoit que le fonctionnaire sanctionnateur transmet une copie de la décision à la commune concernée. La CNPD se demande si la copie de la décision envoyée à la commune va être liée au fichier de la commune ? Dans un cas pareil, il y aurait de fait création d'un casier judiciaire communal. Plus généralement, la Commission nationale constate un parallélisme entre le casier judiciaire prévu par la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire et le fichier du fonctionnaire sanctionnateur (et, le cas échéant, le fichier de la commune). La CNPD s'interroge sur les modalités de fonctionnement du fichier du fonctionnaire sanctionnateur (et, le cas échéant, le fichier de la commune) qui s'apparente à un casier judiciaire au niveau communal. En effet, il existe des règles très spécifiques en relation avec l'inscription et la radiation des décisions de condamnations des ordres judiciaires dans le casier judiciaire mais le projet de loi reste muet sur les modalités de fonctionnement des fichiers en question. Selon l'article 5 paragraphe
(1)lettre (
- e)du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Le projet de loi ne fait pas mention d'une durée de conservation limitée de l'inscription CNP1 Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7126 relative aux sanctions administratives communales modifiant 1) le Code pénal, 2) le Code de procédure pénale, et 3) la loi communale modifiée du 13 décembre 2/4 d'une infraction dans ces fichiers. La CNPD tient à rappeler qu'une limitation de la conservation des données inscrites dans le fichier du fonctionnaire sanctionnateur (et, le cas échéant, le fichier de la commune) est indispensable. Au surplus, la Commission nationale se demande qui va fixer cette durée de conservation (le Ministre, les communes ou le fonctionnaire sanctionnateur) et qui va être responsable pour la radiation des données après l'écoulement du temps de conservation des données? En outre, il existe des règles spécifiques en relation avec l'accès aux données traitées dans le casier judiciaire prévu par la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire. Le projet de loi semble limiter l'accès au fichier du fonctionnaire sanctionnateur au fonctionnaire sanctionnateur lui-même mais en ce qui concerne le fichier de la commune, le projet de loi ne prévoit aucune limitation d'accès au niveau de la commune. La CNPD recommande vivement d'inscrire
- i)un accès restreint à ce fichier dans le projet de loi, et
- ii)des précisions concernant le droit d'accès de la personne concernée au fichier du fonctionnaire sanctionnateur (et, le cas échéant, au fichier de la commune). Contrairement à l'avis complémentaire du Conseil d'Etat du 23 octobre 2018, la CNPD approuve la précision des données pertinentes prévues dans les articles 18 et 19 du projet de loi. Le principe de sécurité juridique est ainsi renforcé et le RGPD prévoit expressément la possibilité de telles précisions dans le droit national. Ainsi, l'article 6, paragraphe
(3)du RGPD prévoit que « (... ) cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX [du RGPD] (... ) ». Le Considérant
(45)du RGPD précise par ailleurs aussi que « (...) ce droit [national] pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. » Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. CNPD Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7126 relative aux sanctions administratives communales modifiant 1) le Code pénal, 2) le Code de procédure pénale, et 3) la loi communale modifiée du 13 décembre 3/4 Ainsi décidé à Esch-sur-Alzette en date du 7 décembre 2018. La Commission nationale pour la protection des données, / e Ine)-) Tine A. Larsen Présidente [ CNPF Thierry Lallemang Commissaire C ristophe Buschmann Commissaire Josiane P Membre suppléant Avis de la Commission nationale pour la protection des données à l'égard du projet de loi n° 7126 relative aux sanctions administratives communales modifiant 1) le Code pénal, 2) le Code de procédure pénale, et 3) la loi communale modifiée du 13 décembre 4/4