Avis complementaire de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant mo

Avis complementaire de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur l'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif a la surete de l'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg Deliberation n° 31/AV15/2022 du 21 juillet 2022 1. Conformement a !'article 57, paragraphe 1°r, lettre c), du reglement europeen 2016/679 du 27 avril 2016 relatif a la protection des personnes physiques a regard du traitement des donnees a caractere personnel et a la libre circulation de ces donr1ees, et abrogeant la directive 95/46/CE (ci-apres le« RGPD »), ainsi qu'a !'article 46, paragraphe 1°r, lettre c), de la directive (UE) 2016/680 du 27 avril 2016 relative a la protection des personnes physique a l'egard du traitement des donnees a caractere personnel par les autorites competentes a des fins de prevention des infractions penales, d'enquetes et de poursuites en la matiere ou d'execution de sanctions penales, et a la libre circulation de ces donnees, et abrogeant la decision-cadre 2008/977/JAI du Conseil (ci-apres la « directive 2016/680 »), chaque autorite de controle a pour mission de conseiller « conformement au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives la protection des droits et libertes des personnes physiques l'egard du traitement ». a a 2. L'article 7 de la loi du 1er aout 2018 portant organisation de la Commission nationale pour la protection des donnees et du regime general sur la protection des donnees prevoit precisement que la Commission nationale pour la protection des donnees (ci-apres la « Commission nationale » ou la« CNPD ») exerce les missions dont elle est investie en vertu de !'article 57 du RGPD, tandis que !'article 8, point 3°, de ladite loi du 1er aout 2018 se base sur !'article 46, paragraphe 1°\ lettre c), de la directive 2016/680 precitee en prevoyant que la CNPD « conseille la Chambre des deputes, le Gouvemement et d'autres institutions et organismes au sujet des mesures legislatives et administratives relatives a la protection des droits et libertes des personnes physiques a /'egard du traitement des donnees personnel/es ». 3. En date du 17 decembre 2019, la Commission nationale a avise le projet de loi N°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare (ci-apres le « projet de loi »), d'une part, et le projet de reglement grand-ducal relatif a la s0rete de !'aviation Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif a la surete de !'aviation civile et aux conditions d'acces l'aeroport de Luxembourg a 1/28 civile et aux conditions d'acces grand-ducal»}, d'autre part1. a l'aeroport de Luxembourg (ci-apres le« projet de reglement 4. En date du 20 octobre 2021, le Conseil de Gouvernement a adopte une sene d'amendements gouvernementaux relative aux projet de loi et au projet de reglement grandducal. 5. Dans la mesure ou les dispositions amendees ont ete commentees par la Commission nationale dans son avis precite et que cette derniere n'a pas ete saisie pour avis, elles'altosaisit afin de faire part de ses observations ci-apres. Remarques generales I. 1. Sur la conformite des dispositions legales du projet de reglement grand-ducal a la Constitution 6. Si le projet de loi precise le responsable du traitement, le projet de reglement grandducal semble encadrer les modalites du traitement de donnees caractere personnel qui serait mis en reuvre travers la verification des antecedents. a a Le projet de reglement grand-ducal entend notamment prevoir les elements sur lesquels porteraient les demandes de verification des antecedents ainsi que les « informations considerees et criteres de decision »2 relatifs auxdites demandes. 7. II convient de se demander si l'encadrement normatif, tel que prevu par les textes sous avis, est susceptible d'etre conforme a la Constitution. En effet, ii y a lieu de relever que !'article 11, paragraphe 3, de la Constitution erige en matiere reservee la loi les exceptions la garantie par l'Etat de la protection de la vie privee 3 • a a De plus, !'article 32, paragraphe 3, de la Constitution dispose que « [d]ans /es matieres reservees a la Joi par la Constitution, le Grand-Due ne peut prendre des reglements et arretes qu'en vertu d 'une disposition legale particuliere qui fixe l'objectif des mesures d 'execution et le cas echeant /es conditions auxquelles el/es sont soumises ». Depuis la revision du 18 octobre 2016 dudit article, « la Gour constitutionnelle considere que dans /es matieres reservees /es elements essentiels sont du domaine de la loi, tandis que /es elements 1 Voir deliberation n°59/2019 du 17 decembre 2019 de la Commission nationale pour la protection des donnees, doc. parl. N°7475/01. 2 Article 14 nouveau du projet de reglement grand-ducal. 3 Voir en ce sens M. Besch, Normes et legistique en droit public /uxembourgeois, Promoculture Larcier, 2019, n°619. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur l'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif a la surete de !'aviation civile et aux conditions d'acces l'aeroport de Luxembourg a 2/28 moins essentiels peuvent etre relegues a des reglements et arretes pris par le Grand-Due. Elle fait ainsi sienne la position du constituant, partagee par le Conseil d'Etat, qui consiste a assurer au pouvoir executif la faculte de reg/er /es details des matieres reservees, /es principes et /es points essentiels restant du domaine de la loi. D 'apres le constituant, de simples lois-cadres fixant quelques grands principes et abandonnant f'essentiel des reg/es de fond et de forme aux reglements d 'execution ne satisfont pas a ces exigences constitutionnelles. Si des elements essentiels sont du domaine de la loi, /es mesures d 'e xecution, c 'est-a-dire des elements plus techniques et de details, peuvent etre du domaine du pouvoir reglementaire grand-ducal » 4 • 8. Par ailleurs, ii resulte d'un arret n°114/14 du 28 novembre 2014, de la Gour constitutionnelle, que les elements essentiels ne doivent pas figurer exclusivement dans la loi nationale, mais peuvent resulter a titre complementaire d'une norme europeenne ou internationale. Neanmoins, la Commission nationale estime que les dispositions du reglement d'execution (UE) 2019/103 du 23 janvier 2019 modifiant le reglement (UE) 2015/1998 en ce qui concerne la clarification, !'harmonisation et la simplification ainsi que le renforcement de certaines mesures de s0rete aerienne specifiques, en ce qui concerne la verification des antecedents ne seraient pas suffisamment precises. En effet, le reglement d'execution precitee precise: en ce qui concerne la verification ordinaire des antecedents que celle-ci doit au moins «

1. a)etablir l'identite de la personne sur la base de documents ;
2. b)prendre en consideration le easierjudiciaire dans tous /es Eta ts de residence au cours des cinq dernieres annees ;
3. c)prendre en consideration /es emplois, /es etudes et /es interruptions au cours des cinq dernieres annees » 5 ; en ce qui concerne la verification renforcee des antecedents, que celle-ci doit au moins prendre en consideration les elements precites ainsi que « prendre en consideration /es informations des services de renseignement et toute autre information pertinente dont /es autorites nationales competentes disposent et estiment qu'elles peuvent presenter un interet pour apprecier /'aptitude d'une personne a exercer une fonction qui requiert une verification renforcee de ses antecedents »6 . 9. Or, ii ya lieu de relever que le pro jet de reglement grand-ducal entend notamment prevoir que des donnees soient collectees pour des finalites differentes de celles d'origines, et que l'acces, le cas echeant aux propres fichiers de la Police grand-ducale soit prevu dans le cadre de la verification des antecedents. 4 Voir M. Besch, Normes et legistique en droit public luxembourgeois, Promoculture Larcier, 2019, n°19. 5 Article 11 .1.4. du reglement d'execution (UE) 2019/103 du 23 janvier 2019. 6 Article 11.1.3., lettre
4. d)du reglement d'execution (UE) 2019/103 du 23 janvier 2019. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif a la sQrete de !'aviation civile et aux conditions d'acces l'aeroport de Luxembourg a 3/28 Des lors, ne faudrait-il pas que de tels elements soient prevus dans une loi et non dans un reglement grand-ducal ? 10. Ainsi, ii ya lieu de se demander si le projet de reglement grand-ducal est susceptible de ne pas etre conforme au dispositif constitutionnel precite. Ne faudrait-il pas veiller a une application des principes d'encadrement normatif susmentionnes s'agissant de la distinction entre ce qui doit relever, par essence, de la loi au sens stricte et ce qui peut faire l'objet d'un encadrement normatif par un texte reglementaire ? 7 2. Sur !'articulation entre les dispositions du RGPD et de la loi du 1er aoOt 2018 relative la protection des personnes physiques l'egard du traitement des donnees caractere personnel en matiere penale ainsi qu'en matiere de securite nationale a a a 11. II convient de s'interroger sur !'articulation des dispositions du RGPD et celles de la loi du 1er aoOt 2018 relative la protection des personnes physiques l'egard du traitement des donnees caractere personnel en matiere penale ainsi qu'en matiere de securite nationale alors que certains traitements de donnees a caractere personnel mis en reuvre par les textes sous avis sont susceptibles d'etre initialement soumis aux dispositions de la loi du 1er aout 2018 precitee puis soumis ulterieurement aux dispositions du RGPD. a a a 12. Cette problematique ne se pose cependant pas pour les traitements qui seraient mis en reuvre par la Police grand-ducale dans le cadre du projet de loi et du projet de reglement grandducal. En effet, ii ressort de !'article 1er, paragraphe 2, lettre a), de la loi du 1er aout 2018 relative a la protection des personnes physiques a regard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale, que les traitements effectues par la Police grand-ducale, dans le cadre de la verification des antecedents, tombent dans le champ d'application de ladite loi. 13. Cette problematique semble se poser pour les traitements de donnees a caractere personnel effectues par le ministre ainsi que par la commission, instauree par !'article 1 du projet de loi. En effet, ii ressort du commentaire des articles en ce qui concerne l'echange d'informations entre la Police grand-ducale et le ministre ayant la Police grand-ducale dans ses attributions (ci-apres le« ministre ») qu'il s'agit « d'un echange de donnees en matiere policiere en vue d'une decision administrative» , des lors, le RGPD aurait vocation a s'appliquer au ministre pour les traitements effectues dans ce cadre-la. 7 Voir en ce sens M. Besch, Normes etlegislique en droit public luxembourgeois, Promoculture Larcier, 2019, n°619. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la sOrete de !'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg 4/28 a 14. Par ailleurs, en ce qui concerne la commission instauree par !'article 1 du projet de loi, celle-ci est amenee a etre saisie par le ministre afin qu'elle emette un « avis motive a /'intention du ministre » et celle-ci pourrait « prendre en consideration toute information communiquee au ministre ayant la Police dans ses attributions». Ainsi, les traitements effectues dans ce cadre-la seraient amenes a tomber dans le champ d'application du RGPD alors que les conditions visees a !'article 1er de la loi du 1er aoOt 2018 relative a la protection des personnes physiques a regard du traitement des donnees caractere personnel en matiere penale ainsi qu'en matiere de securite nationale ne semblent pas trouver application. a 15. Ainsi, ii y a lieu de constater que des donnees initialement collectees a des fins de prevention et de detection des infractions penales, d'enquetes et de poursuite en la matiere ou d'execution de sanctions penales seraient ulterieurement soumis au RGPD dans le cadre des traitements effectues par le ministre et la commission precitee. 16. Par consequent, dans un tel contexte, ii y a lieu de s'interroger sur !'articulation des dispositions du RGPD avec celles de la loi du 1er aoOt 2018 relative a la protection des personnes physiques a regard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale. 3. Sur le principe de la liceite des traitements de donnees a caractere personnel a. Surles traitements de donnees effectues par la Police grand-ducale 17. Comme releve par la CNPD dans son avis precite, ii ya lieu de rappeler que « la Directive 2016/680 dispose que pour etre licite, le traitement doit etre necessaire a /'execution d'une mission de l'autorite competente, correspondre aux finalites pour lesquelles ii a ete mis en place, mais aussi et surtout, ii doit etre prevu soit par le droit de /'Union, soil par le droit d'un Etat membre8 • En outre, la Directive 2016/680 precise que la disposition nationale qui reglemente /edit traitement doit au moins preciser : /es objectifs du traitement, /es donnees a caractere personnel devant faire l'objet du traitement et /es finalites du traitement 9 • II ressort de cette disposition que ces trois elements constituent le seuil minimal qu'une disposition nationale reglementant un traitement tombant dans le champ d 'application de la Directive 2016/680 doit respecter. La CNPD tient renvoyer ses observations formulees cet egard dans son avis relatif au fichier central de la Police grand-ducale au regard de la legislation sur la protection des donnees emis le 13 septembre 201910 »11 . a a a 8 Article 8, paragraphe 1"'. de la Directive 2016/680. 9 Article 8, paragraphe 2, de la Directive 2016/680. 10 Deliberation n°45/2019 du 13 septembre 2019 de la Commission nationale pour la protection des donnees, doc. parl. n°7741/04. 11 Deliberation n°59/2019 du 17 decembre 2019 de la Commission nationale pour la protection des donnees. doc. parl. n°7475/01 . Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la surete de !'aviation civile et aux conditions d'acces l'aeroport de Luxembourg 5/28 a a 18. Par ailleurs, ii convient encore de relever que les dispositions du paragraphe 2 de !'article 3 de la loi du 1er aoOt 2018 relative a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale, dispose que « [/Jes traitements effectues par le meme ou par un autre responsable du traitement, pour /'une des finalites enoncees a /'article 1e, autre que eel/es pour /es donnees ont ete collectees, sont autorises s 'ils sont necessaires et proportionnes a cette finalite, sous reseNe du respect des dispositions prevues par le present chapitre et par /es chapitres IV et V ». 19. II resulte encore du commentaire des articles du projet de loi N°7168 devenu la loi du 1er aoOt 2018 precitee, quant aux dispositions ayant abouti aux dispositions precitees, que le paragraphe 2 de !'article 3 precite « prevoit /es conditions a remplir afin qu 'un responsable du traitement puisse utiliser des donnees a caractere personnel pour une finalite de /'article 1er qui n'est pas la finalite de /'article 1er pour laquelle ces donnees ont ete collectees, a savoir que (
5. a)ce traitement de donnees a caractere personnel soit prevu par une disposition legate nationale ou europeenne, et que (
6. b)cet autre traitement de donnees a caractere personnel soit necessaire et proportionne a cette finalite ». 20. Ainsi, ii resulte de ce qui precede que les dispositions sous avis devraient preciser les modalites du traitement de donnees a caractere personnel qui serait mis en rewre dans le cadre des demandes de verifications des antecedents par la Police grand-ducale. 21 . Or, certaines precisions meriteraient d'etre apportees notamment en ce qui concerne les categories de donnees a caractere personnel qui seraient collectees ainsi que des precisions quanta l'origine de telles donnees. Des lors, ii s'avere indispensable que des dispositions legales prevoient expressement de telles precisions. La CNPD y reviendra infra dans son avis. b. Sur les traitements de donnees effectues par le ministre et la commission 22. L'article 6 du RGPD definit les differentes conditions de liceite pour lesquelles un traitement est possible. En d'autres termes, le responsable du traitement doit prealablement et pour chaque traitement de donnees personnelles, detenniner la condition de liceite y applicable. Sur ce point-la, la CNPD se pennet de reiterer ses observations fonnulees au point 1 de son avis du 17 decembre 2019 relatif au projetde loi n°7475 12• 12 Deliberation n°59/2019 du 17 decembre 2019 de la Commission nationale pour la protection des donnees, doc. parl. n°7475/01 . Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la s0rete de !'aviation civile et aux conditions d'acces l'aeroport de Luxembourg 6/28 a a c. Sur !'article 8 de la loi du 1er aoOt 2018 relative a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale a 23. L'article 8, paragraphe 1er, de la loi du 1er aoOt 2018 relative la protection des personnes physiques a regard du traitement des donnees a caractere personnel en matiere penale ainsi qu' en matiere de securite nationale, dispose que « [/]es donnees a caractere personnel collectees par Jes autorites competentes pour Jes finalites enoncees a /'article 1er ne peuvent etre traitees a des fins autres que celles y enoncees, amoins qu'un tel traitement ne soit autorise par le droit de /'Union europeenne ou par une disposition du droit Juxembourgeois. ». 24. La Commission nationale comprend que tant le ministre que la commission pourraient avoir acces « la totalite des informations accessibles la Police dans le cadre de la verification des antecedents »13 pour le ministre et « a toute information communiquee au ministre »14 pour la commission. a a a Ainsi, le ministre et la commission pourraient notamment etre amenes traiter des donnees qui proviennent du Service de renseignement de l'Etat (ci-apres le « SRE ») et de la Cellule de renseignement financier (ci-apres la « CRF ») ainsi que des donnees qui proviennent de fichiers detenus par la Police grand-ducale. 25. Conformement aux dispositions legales precitees, si les auteurs du projet de loi considerent que les donnees traitees par le ministre et la commission seraient amenees etre traitees pour des finalites ulterieures differentes alors cela devrait etre reflete plus clairement dans le texte sous avis. En effet, de telles donnees seraient alors initialement collectees par les autorites precitees des fins de prevention et de detection des infractions penales, d'enq uetes et de poursuites en la matiere ou d'execution de sanctions penales, puis seraient dans le cadre des textes sous avis traitees, le cas echeant, pour des finalites ulterieures differentes. a a d. Sur les dispositions du Chapitre 2, section 2, de la loi du 22 fevrier 2018 relative l'echange de donnees caractere personnel et d'informations en matiere policiere a a 26. II ya lieu d'attirer !'attention des auteurs du projet de loi et du projet de reglement grandducal sur !'article 8, paragraphe 3, de la loi du 1er aoOt 2018 relative la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale qui dispose que « p]orsque le droit de /'Union europeenne ou une disposition du droit luxembourgeois applicable a l'autorite competente qui transmet Jes a 13 Commentaire de l'amendement gouvernemental du projet de loi. 14 Article 1er, paragraphe 3, alinea 5, du projet de loi. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif a la s0rete de !'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg 7/28 donnees soumet leur traitement a des conditions specifiques, l'autorite competente qui transmet /es donnees informe le destinataire de ces donnees a caractere personnel de ces conditions et de /'obligation de /es respecter». 27. Ainsi, ii convient de constater que la transmission d'informations directement disponibles ou directement accessibles par la Police grand-ducale au ministre ou a la commission, visee au paragraphe 3, article 1er du projet de loi, est soumise aux conditions posees par le Chapitre 2, section 2, de la loi du 22 fevrier 2018 relative a l'echange de donnees a caractere personnel et d'informations en matiere policiere. L'article 24 de ladite loi dispose notamment qu'une telle transmission est soumise aux conditions cumulatives suivantes: « 1) elle doit etre necessaire a /'execution d 'une mission de service public dont /'administration destinataire de la transmission est chargee en vertu de la /oi; 2) /es raisons pour lesquelles /es donnees et informations transmises sont considerees comme etant necessaires a /'execution de la mission de /'administration destinataire doivent faire partie de la documentation visee a /'article 25, paragraphe 2 ; 3) el/e ne peut comporter que /es donnees et informations qui sont necessaires, pertinentes et proportionnelles eu egard a la mission concemee de /'administration destinataire; 4) lorsqu'il s'agit de donnees et d 'infonnations qui proviennent d 'une enquete ou d 'une instruction preparatoire en cours, l'autorisation ecrite visee a /'article 20, paragraphe 2, est requise prealablement a la transmission ; 5) lorsqu'il s'agit de donnees et d'infonnations qui ont ete communiquees aux personnes visees a /'article 18, paragraphe 1er, au prealable par une entite visee a /'article 1er, /'accord ecrit de cette entite est requis prealablement a la transmission ; 6) aucun des motifs vises a /'article 7, paragraphe 1er, ne s 'y oppose». 28. Les auteurs du projet de loi et du projet de reglement grand-ducal devront, des lors, veiller a la bonne articulation entre les dispositions sous avis et celles visees par la loi du 22 fevrier 2018 precitee, mais qui est anterieure a la loi du 1er aoOt 2018 relative a la protection des personnes physiques a regard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale. II. Ad amendement gouvememental relatif au projet de loi 29. Cet amendement gouvernemental a pour objet d'amender !'article unique du pro jet de loi. Les auteurs du projet de loi precisent dans le commentaire de l'amendement que ces nouvelles dispositions ont notamment pour objet d'apporter des clarifications quant a la verification des antecedents et« en particulier en ce qui concerne /es roles respectifs du ministre ayant la Police dans ses attributions et de cette derniere dans ce contexte ». Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la surete de !'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg 8/28 a 30. Ainsi, un nouveau paragraphe 3 est introduit a !'article 1er du projet de loi. Celui-ci traite « exclusivement [de] la verification des antecedents». Les auteurs du projet de loi precisent que dans ce nouveau paragraphe 3, « ii est propose d'inserer un alinea 1er qui precise que la verification des antecedents est executee au vu de la base reglementaire europeenne en tant que mesure de prevention contre /es menaces pour la securite publique. Le gouvemement propose cet amendement au vu de l'avis du 17 decembre 2019 de la Commission nationale pour la protection des donnees (CNPD), qui a re/eve la question du regime de protection des donnees. Ceci clarifie notamment la finalite du traitement et que /es donnees traitees tombent sous le champ d 'application de la loi du 1er ao0t 2018 relative a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel en matiere penale ainsi qu 'en matiere de securite nationale ». II ya lieu de feliciter les auteurs du projet de loi pour avoir apporte de telles precisions. 1. Surles responsables des traitements de donnees a caractere personnel 31. Comme souleve dans son avis du 17 decembre 2019 precite, la CNPD avait estime que des precisions devaient etre apportees quanta la determination du responsable du traitement et de l'eventuel sous-traitant, voire meme d'une responsabilite conjointe dans le cadre du traitement des demandes de verification des antecedents. Les auteurs du projet de loi precisent a ce sujet, dans le commentaire des amendements, que « [q]uant a /'interrogation de la CNPD surle responsable du traitement, ii y lieu de remarquer que le ministre ayant la Police dans ses attributions prend la decision finale sans avoir acces a la totalite des informations accessibles a la Police dans le cadre de la verification des antecedents. Par consequent, ii devient evident qu'il ya une separation de la responsabi/ite du traitement pour /es traitements respectifs ». lls precisent encore que l'alinea 2 du paragraphe 3 de !'article 1er du projet de loi « attribue le pouvoir de decision pour /es verifications des antecedents au ministre ayant la Police dans ses attributions. Cette decision se base sur /'a vis de la Police qui peut etre complemente par l'avis de la commission». 32. II resulte de ce qui precede que le ministre serait, des lors, a considerer comme responsable du traitement des traitements de donnees effectues dans le cadre de la decision finale, alors que la Police grand-ducale serait a qualifier de responsable du traitement des traitements de donnees effectues dans le cadre de la verification-meme des antecedents. 33. Cependant, bien que les auteurs du projet de loi repondent dans le commentaire de l'amendement aux interrogations soulevees par la CNPD, cela n'est toutefois pas reflete Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la surete de !'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg a 9/28 expressement dans le texte sous avis. En effet, l'alinea 2, paragraphe 3, de !'article 1er dispose que « [l]e ministre ayant la Police dans ses attributions prend /es decisions relatives a la verification des antecedents sur avis de la Police et sur avis de la commission instauree a l'alinea 4 en cas de saisine ». L'alinea 3 dudit paragraphe dispose quant a lui que « [/]a Police est responsable pour la verification des antecedents. A eel effet, elle emet un avis motive base sur une evaluation de la fiabilite du requerant, qu'elle transmet au ministre ayant la Police dans ses attributions ». 34. Des lors, la CNPD reitere ses observations formulees, dans son avis du 17 decembre 2019 precite, en ce qu'elle avait recommande aux auteurs du projet de loi de« preciser dans le corps du texte du projet de loi qui a la qualite de responsable du traitement et, le cas echea nt, de sous-traitant, en matiere de verifications des antecedents». 35. Par ailleurs, ii convient de rappeler ace titre que !'article 2, paragraphe 1er, point 8°) de la loi du 1er aoQt 2018 relative a la protection des personnes physiques a l'egard du traitement des donnees a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale, dispose que « lorsque /es finalites et /es moyens de ce traitement sont determines par le droit de /'Union europeenne ou le droit luxembourgeois, le responsable du traitement ou /es criteres specifiques applicables a sa designation peuvent etre prevus par le droit de !'Union europeenne ou le droit luxembourgeois ». 2. Sur la consultation du registre special 36. L'alinea 3 du paragraphe 3 de !'article 1er du projet de loi dispose que « [/Jorsque le requerant est age de moins de vingt-trois ans au moment de /'introduction de la demande, la Police est autorisee a consulter le registre special prevu par /'article 15 de la loi modifiee du 10 aoOt 1992 relative a la protection de lajeunesse ». L'acces au registre special seraitjustifie, selon les auteurs du projet de loi, afin « de garantir au mieux la securite aeroportuaire ». 37. L'article 15 de la loi modifiee du 10 aoQt 1992 relative a la protection de la jeunesse dispose que les decisions et condamnations figurant sur le registre special« peuvent egalement etre portees a la connaissance des autorites administratives dans /es cas ou ces renseignements sont indispensables pour !'application d'une disposition legate ou reglementaire, ainsi que des tiers leses, s'ils le demandent ». 38. Sans prejuger de !'appreciation in concreto qui serait faite par la Police grand-ducal dans le cadre d'une verification des antecedents, ii y a lieu de rappeler que selon le principe de minimisation des donnees, seules les donnees a caractere personnel necessaires a la realisation des finalites doivent etre traitees, compte tenu du risque que le traitement fait peser pour la vie privee des perso nnes co ncernees. Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la surete de !'aviation civile et aux conditions d'acces l'aeroport de Luxembourg a a 10/28 39. En outre, ii y a lieu de relever que le considerant 50 de la directive 2016/680 enonce qu' « [i]I importe en particulier que le responsable du traitement soit tenu de mettre en reuvre des mesures appropriees et effectives et soit a meme de demontrer que Jes activites de traitement respectent la presente directive. Ces mesures devraient tenir compte de la nature, de la portee, du contexte et des finalites du traitement ainsi que du risque que ceux-ci presentent pour Jes droits et Jibertes des personnes physiques. Les mesures prises par le responsable du traitement devraient comprendre l'etablissement et la mise en reuvre de garanties specifiques destinees au traitement de donnees a caractere personnel relatives aux personnes physiques vulnerables tel/es que Jes enfants ». Des lors, de telles garanties devraient etre mises en reuvre lors du traitement de telles donr1ees par la Police grand-ducale. 40. Par ailleurs, ii y a lieu d'attirer !'attention des auteurs du projet de loi sur le projet de loi N°7991 portant introduction d'un droit penal pour mineurs et portant modification d'autres lois, qui prevoit notamment !'abrogation de la loi modifiee du 10 ao0t 1992 relative la protection de la jeunesse. a L'article 60 du projet de loi precite prevoit de nouvelles dispositions quant au registre special. Le paragraphe 4 dudit article enumere les autorites, sur autorisation du procureur general d'Etat, qui pourraient prendre connaissance des informations contenues dans le registre special. Or, ii ya lieu de relever que ces nouvelles dispositions ne prevoient pas que la Police grand-ducale puisse prendre connaissance des informations figurant sur le registre special. a 41. Ainsi, afin de veiller une meilleure coherence entre les deux textes, ne faudrait-il pas prevoirexpressement la consultation par la Police grand-ducale du registre special vise !'article 60 du projet de loi N°7991 ? a 3. Sur l'avis emis par la Police grand-ducale dans le cadre de la verification des antecedents 42. L'alinea 3 du paragraphe 3 de !'article 18 ' du projet de loi dispose que dans le cadre de la verification des antecedents, la Police grand-ducale « emet un avis motive base sur une evaluation de la fiabilite du requerant, qu'elle transmet au ministre ayant la Police dans ses attributions ». 43. II ressort de !'article 15 nouveau du projet reglement grand-ducal que « le ministre ayant la Police grand-ducale dans ses attributions aura acces a [un systeme informatique centralise pour la gestion des demandes de verification des antecedents] pour consulter J'avis de la Police grand-duca/e et sur demande, pour consulter l'entierete d 'un dossier concerne ». Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la s0rete de !'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg a 11 /28 Ainsi, ii y a lieu de s'interroger sur !'articulation des dispositions precitees avec les precisions apportees par les auteurs du projet de loi, dans le commentaire de l'amendement gouvernemental, dans la mesure ou ces derniers precisent que « le ministre ayant la Police dans ses attributions prend la decision finale sans avoir acces ala totalite des informations accessibles a la Police dans le cadre de la verification des antecedents». Des tors, en !'absence de precisions, quels seraient les elements qui justifieraient que le ministre puisse avoir acces a la totalite des informations accessibles a la Police grand-ducale dans le cadre de la verification des antecedents ? 44. Afin de respecter le principe de previsibilite et de precision auquel doit reponclre tout texte legal ou reglementaire 15 , les criteres precisant dans quelles conditions le ministre aurait, le cas echeant, acces aux informations accessibles par la Police grand-ducale devraient etre refletes clairement dans les dispositions du projet de loi et du projet de reglement grand-ducal. De meme, ne faudrait-il pas preciser quel serait le contenu de « l'avis motive » emis par la Police grandducale et transmis au ministre dans le cadre de la verification des antecedents ? 45. En tout etat de cause, ne serait-il pas preferable de prevoir que la Police grand-ducale communique au ministre un avis circonstancie se referant qu'aux elements pertinents auxquels la Police grand-ducal aurait acces? Un tel systeme permettrait, en effet, d'eviter une duplication des donnees concernant les antecedents judiciaires de la personne concernee, entre les mains du ministre, tout en permettant au ministre d'obtenir les informations necessaires et pertinentes, afin de lui permettre de prendre une decision. 4. Sur la creation d'une commission instauree par l'article 1er du projet de loi 46. II ressort du projet de loi qu'en cas d'avis negatif de la Police grand-ducale dans le cadre de la verification des antecedents renforcee, le ministre se verra communiquer un avis par la commission visee a l'alinea 4 du paragraphe 3 de l'article 1er du projet de loi. L'alinea 4 du paragraphe 3 de !'article 1er du projet de loi prevoit la creation d'une commission qui serait chargee « d'emettre un avis a /'intention du ministre ayant la Police dans ses attributions en cas de saisine parce demier. Cette commission s'inspire du modele de la commission prevue dans le projet de loi n°6961 ». L'alinea 5 du paragraphe 3 de !'article 1er du projet de loi dispose que lorsqu'elle est saisie par le ministre, la commission pourrait « prendre en consideration toute information communiquee au ministre ayant la Police dans ses attributions ». 15 En ce sens, V. M. Besch, Normes etlegistique en droit public luxembourgeois, Promoculture Larcier, 2019, n°619; V. entre autres CourEDH, Zakharov e . Russie [GCL n"47413/06], § 228-229, 4 decembre 2015 Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif la s0rete de !'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg a 12/28 II est precise dans le commentaire de l'amendement qu' « au vu de la nature sensible des informations discutees, ii est propose que tout membre de la commission soit en possession d'une habilitation de securite co"espondant au moins au niveau «secret»» et qu' « [a] l'instar du projet de Joi n°6961 precite, l'alinea 6 prevoit /es modalites d'acces au dossier en cas d 'une decision negative, ceci afin de permettre au requerant de suivre /es elements ayant mene au refus ». 47. II ya lieu de feliciter les auteurs du projet de loi pour avoir prevu que les membres de cette commission soient en possession d'une habilitation de securite correspondant au moins au niveau «secret». Neanmoins, ii y a lieu de regretter que le contenu de l'avis emis par cette commission ne soit pas detaille par le projet de loi. Comme indique ci-avant, ii est preferable qu'un avis circonstancie soit communique au ministre. 48. Par ailleurs, afin de respecter le principe de previsibilite et de precision auquel doit repondre tout texte legal ou reglementaire 16, le contenu d'un tel avis devrait etre reflete clairement dans les dispositions du projet de loi. 49. Entin, ii ressort du commentaire de l'amendement gouvernemental que « [l)'alinea 5 attribue /es droits d 'acces necessaires a la commission, qui a notamment acces a toute information communiquee au ministre ayant la Police dans ses attributions dans le cadre de la demande. Par consequent toute demande d 'autorisation adressee au Procureur d'Etat dans ce contexte inclut /'indication que ladite commission est aussi destinataire des informations concernees ». II y a lieu de s'interroger sur l'autorisation du Procureur d'Etat visee dans le commentaire de l'amendement gouvernemental, est-ce que celle-ci est celle visee a !'article 24 de la loi du 22 fevrier 2018 relative a l'echange de donnees a caractere personnel et d'informations en matiere policiere ? 17 16 Ence sens, V. M. Besch, Normes et /egistique en droit public luxembourgeois, Promoculture Larcier, 2019, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 decembre 2015 a 17 a L'article 24 de la loi du 22 fevrier 2018 relative l'echange de donnees caractere personne et d'informations en matiere policiere dispose que « {/]a transmission visee a l'artide 23, qui peut avoir lieu sur demande ou de fa9on spontanee, est soumise aux conditions cumu/atives suivantes : ) elle doit etre necessaire a /'execution d'une mission de service public dont /'administration destinataire de la 1 transmission est chargee en vertu de la loi ; /es raisons pour lesquelles /es donnees et informations transmises sont considerees comme etant necessaires a 2) /'execution de la mission de /'administration destinataire doivent faire partie de la documentation visee al'artide 25, paragraphe 2 ; ) elle ne peut comporter que /es donnees et informations qui sont necessaires, pertinentes et proportionnelles eu 3 egard ala mission concemee de /'administration destinataire ; ) lorsqu'il s'agit de donnees et d'informations qui proviennent d'une enquete ou d'une instruction preparatoire en 4 cours, l 'autorisation ecrite visee l'artide 20, paragraphe 2, est requise prealablement ta transmission ; a a Avis de la Commission nationale pour la protection des donnees relatif au projet de loi n°7475 portant modification de la loi modifiee du 26 juillet 2002 sur la police et sur !'exploitation de l'aeroport de Luxembourg ainsi que sur la construction d'une nouvelle aerogare ; au projet de reglement grand-ducal relatif a la surete de !'aviation civile et aux conditions d'acces a l'aeroport de Luxembourg 13/28 5. Remarques finales 50. II ya lieu de relever que l'alinea 3 du paragraphe 3 de !'article 1er du projet de loi dispose que « [l]a Police est responsable pour la verification des antecedents. A cet effet, elle emet un avis motive base surune evaluation de la fiabilite du requerant, qu'elle transmet au ministre ayant la Police dans ses attributions. L 'analyse de la fiabilite du requerant consiste dans une evaluation globale de la situation individuelle ». Or, !'utilisation des termes « fiabilite du requerant » ou « evaluation globale de la situation individuelle » sont generaux et imprecis et pourraient etre susceptibles d'accentuer le risque de confusion dans !'esprit du lecteur au sujet de ce que pourrait recouvrir la verification des antecedents. Ce d'autant plus alors que les articles du projet de reglement grand-ducal ont pour objet de detailler de telles verifications et ne reprennent pas des terminologies similaires. Ainsi, ii y a lieu de s'interroger sur la coherence et !'articulation de telles dispositions avec celles du projet de reglement grand-ducal. 51. Par ailleurs, la Commission nationale renvoie a ses considerations developpees aux paragraphes 17 a 21 du present avis en ce qui concerne les elements qui devraient figurer dans le projet de loi et dans le projet de reglement grand-ducal. Ill. Ad amendements gouvemementaux relatifs au projet de reglement grand-ducal 1. Sur le« Laissez-passer joumalier » 52. L'amendement 1 du projet de reglement grand-ducal a pour objet de modifier !'article 6 du projet de reglement grand-ducal intitule « Le Laissez-passer journalier ». II y a lieu de constater que les dispositions relatives a la remise d'un document d'identite demeurent inchangees 18. 53. Des lors, la CNPD se permet de reiterer ses observations formulees dans son avis du 17 decembre 2019 precitee, dans lequel celle-ci avait estime qu' « au vu du principe de minimisation des donnees, ii apparaft excessif de conserver le document pendant le temps de presence de la personne en cause dans la zone aeroportuaire, a/ors que tux-Airport n 'est pas en mesure de verifier si le document d'identite est, le cas echeant, falsifie, et qu'il serait suffisant, apres verification de l'identite de la personne a /'aide de la piece d 'identite, d'ajouter le numero du lorsqu'il s'agit de donnees et d'informations qui ont ete communiquees aux personnes visees a /'artide 18, 5) paragraphe 16 ' , au prealable par une entite visee a/'artide 16 ', /'accord ecrit de cette entite est requis prealablement a la transmission ; 6) aucun des motifs vises a /'artide 7, paragraphe 16 ', ne s'y oppose ». 18 Article 6, paragraphe