Projet de loi portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale Madame le Président, Me référant à l’article 32(2)

(2)de la loi du 16 juin 2017 sur l’organisation du Conseil d’État, j’ai l’honneur de vous soumettre les amendements suivants au projet de loi sous objet que la Commission de la Sécurité intérieure et de la Défense a adoptés dans sa réunion du 19 novembre 2020. * Les amendements se présentent comme suit : (Suppressions proposées respectivement par la Commission et le Conseil d’État : biffé propositions du Conseil d’État : italique ajouts proposés par la Commission: souligné) Amendement 1 À l’article 1er, l’article 43bis nouveau, paragraphe 1er de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale est modifié comme suit : «

(1)La Police peut, avec l’autorisation du ministre, placer sous vidéosurveillance aux fins de la prévention, de la recherche et de la constatation d’infractions pénales les lieux accessibles au public qui présentent un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens d’infractions pénales. ». Commentaire L’ajout des finalités telles qu’elles figuraient à l’article 17, paragraphe 1er, lettre (a) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel tient compte des observations du Conseil d’État à cet égard. La commission s’y rallie, reconnaissant l’importance de déterminer expressément les finalités du traitement opéré par le biais du système de vidéosurveillance, lesquelles constituent une des conditions de la licéité du traitement prévues par l’article 7 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. La suppression de la notion d’« atteintes à la sécurité des personnes ou des biens » fait suite à l’avis du Conseil d’État qui constate l’ambivalence de la terminologie utilisée. La référence aux atteintes à la sécurité des personnes ou des biens visait des atteintes au maintien de la sécurité publique, notamment dans le contexte d’infrastructures où sont organisés régulièrement des événements d’envergure nationale ou internationale, où la finalité principale de la vidéosurveillance est la prévention. La détermination explicite des finalités - la prévention, la recherche et la constatation d’infractions pénales - permet d’écarter toute ambiguïté et précise que le recours à la vidéosurveillance s’inscrit dans le cadre des missions de police administrative et de police judicaire. La prévention est une finalité de police administrative qui vise à empêcher(prévenir) des infractions pénales. La recherche et la constatation d’infractions pénales constituent des missions de police judiciaire et comprennent l’utilisation des images captées par les caméras de vidéosurveillance pour élucider des infractions pénales suivant les règles de la procédure pénale. La commission a opté pour le remplacement des termes « risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens » par la notion plus générale de « risque particulier de commission d’infractions pénales » comme critère pour l’installation de VISUPOL dans les lieux qui peuvent être placés sous vidéosurveillance. Alors que le recours à la vidéosurveillance se limitera à des lieux dans lesquels existe un risque particulier de commission d’infractions pénales qui revêtent un certain degré de gravité, l’intention n’est pas de limiter la vidéosurveillance à des catégories particulières d’infractions pénales. D’une part, il est bien admis que les images captées peuvent toujours être utilisées pour élucider, d’après les règles de la procédure pénale, des infractions autres que celles qui ont justifié la mise en place de la vidéosurveillance. L’article 3, paragraphe 2 de la loi précitée du 1er août 2018 dispose que : « Les traitements effectués, par le même ou par un autre responsable du traitement, pour l'une des finalités énoncées à l'article 1er autre que celles pour lesquelles les données ont été collectées, sont autorisés s’ils sont nécessaires et proportionnés à cette finalité, sous réserve du respect des dispositions prévues par le présent chapitre et par les chapitres IV et V. » D’autre part, du point de vue de la sécurité juridique et de la transparence en matière de protection des données, il est à éviter que la Police grand-ducale soit amenée, toujours dans le cadre de la procédure pénale, à procéder systématiquement au traitement de données pour « une autre finalité » (contraventions), si ce traitement a été expressément exclu dans le cadre de la finalité primaire (crimes ou délits). L’utilisation des termes « infractions pénales », qui englobent celles qualifiées de contraventions, ne signifie en aucun cas que l’intention est d’étendre la vidéosurveillance à des lieux où des contraventions sont commises. Amendement 2 À l’article 1er, l’article 43bis nouveau, paragraphe 2 de la même loi est modifié comme suit : «

(2)Sont considérés comme présentant un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biensd’infractions pénales, à condition que les autres moyens mis en œuvre pour en empêcher la commission se soient avérés inefficaces : 1° les lieux où sont commis, de manière répétée, les mêmes types de crimes ou de délitsdes infractions pénales revêtant un certain degré de gravité ; 2° les lieux qui par leur configuration sont de nature à favoriser la commission de certains types de crimes ou délitsd’infractions pénales revêtant un certain degré de gravité, à condition que les autres moyens mis en œuvre pour en empêcher la commission se sont avérés inefficaces ; 2 […]». Commentaire Pour le remplacement des mots « de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens » par les mots « d’infractions pénales », il est renvoyé au commentaire de l’amendement

1. L’article 43bis, paragraphe 2 définit les lieux qui sont considérés comme présentant un risque particulier de commission d’infractions pénales et ainsi susceptibles d’être placés sous vidéosurveillance. S’y ajoute la condition, jusqu’à présent exigée exclusivement pour les lieux sous le point 2°, que d’autres moyens doivent avoir été préalablement mis en œuvre pour empêcher la commission d’infractions pénales, mais qui se sont avérés inefficaces. L’ajout de cette condition, qui s’applique dorénavant à tous les lieux visés, entend tenir compte de la Commission consultative des Droits de l’Homme qui estime dans son avis du 25 février 2020 que, « Afin de se conformer au critère de la nécessité », « pour tout lieu susceptible d’être mis sous vidéosurveillance, d’autres mesures moins invasives doivent d’abord avoir été étudiées, prises ou exclues », et « Uniquement si celles-ci s’avèrent insuffisantes, le recours à la vidéosurveillance pourra être envisagé. ». Aux points 1° et 2°, le remplacement de la notion de « types de crimes ou (de) délits » répond à la suggestion du Conseil d’Etat formulée dans son avis du 10 mars
2. Cette notion est remplacée par les termes « infractions pénales revêtant un certain degré de gravité ». Les termes « revêtant un certain degré de gravité » soulignent que seuls les lieux, où sont commis de manière répétée des infractions pénales ou qui, par leur configuration, sont de nature à favoriser la commission d’infractions pénales revêtant un certain degré de gravité, sont susceptibles d’être placés sous vidéosurveillance. Il importe de préciser qu’en tout état de cause, l’analyse d’impact visée au paragraphe 3 doit contenir un certain nombre d’informations, y compris une analyse de risque des infractions pénales qui sont régulièrement commises ou susceptibles de se produire dans les lieux déterminés ; en outre, les informations supplémentaires à fournir par le directeur général de la Police prévues au paragraphe 4 doivent justifier la nécessité de la vidéosurveillance des lieux visés. Amendement 3 À l’article 1er, l’article 43bis nouveau, paragraphe 3, alinéa 1er de la même loi est modifié comme suit : «

(3)L’autorisation ministérielle est délivrée, pour chaque lieuzone de sécurité placée sous vidéosurveillance, sur base d’une analyse d’impact réalisée par le directeur général de la Police et après avis, chacun en ce qui le concerne, du procureur d’Etat et du bourgmestre territorialement compétents, le conseil communal ayant été entendu en son avis, pour une durée maximale de trois ans, renouvelable selon la même procédure. ». Commentaire Comme la mise en place des caméras nécessite l’avis du bourgmestre, en remplacement de celui du comité de prévention communal ou intercommunal, la commission estime que l’avis du conseil communal doit aussi être entendu en raison de l’impact que peut avoir la vidéosurveillance pour la commune. 3 Amendement 4 À l’article 1er, l’article 43bis nouveau, paragraphe 5, alinéa 2 de la même loi est modifié comme suit : « La prise d’image peut inclure le recours à des techniques de focalisation et à des détections automatiques de situations susceptibles à correspondre à la finalité pour laquelle la vidéosurveillance a été mise en place. Le recours à des techniques de reconnaissance faciale est exclu. ». Commentaire L’exclusion du recours à des techniques de reconnaissance faciale est consacrée de manière expresse. Il convient de préciser que la vidéosurveillance est un outil utilisé dans le cadre de la prévention, de la recherche et de la constatation d’infractions pénales et que la reconnaissance faciale est un outil qui relève surtout de la poursuite pénale. L’interdiction du recours à des techniques de reconnaissance faciale n’est donc pas à comprendre comme une interdiction générale et n’implique notamment pas que ces techniques ne puissent pas être utilisées dans le contexte de la poursuite pénale pour élucider des infractions pénales d’après les règles de la procédure pénale. Amendement 5 À l’article 1er, l’article 43bis nouveau, paragraphe 6 de la même loi est modifié comme suit : «

(6)Le système de vidéosurveillance est réalisé de telle sorte qu’il ne visualise pas les images de l’intérieur des lieux d’accès privénon accessibles au public ni, de façon spécifique, celles de leurs entrées. Si la configuration des lieux est telle que le système de vidéosurveillance visualise, de façon non spécifique, l’intérieur ou des entrées à des lieux d’accès privénon accessibles au public, le responsable du traitement doit recourir à des procédés de masquage irréversible. ». Commentaire L’ajout des mots « l’intérieur ou » à l’alinéa 2 tient compte de l’observation de la Commission nationale pour la protection des données, qui estime dans son avis du 28 février 2020 à juste titre que la disposition ne prévoit pas expressément le masquage des intérieurs des lieux non accessibles au public, lorsque la configuration des lieux est telle que les caméras de vidéosurveillance les visualisent de manière non-spécifique. Amendement 6 À l’article 1er, l’article 43bis nouveau, paragraphe 8 de la même loi est modifié comme suit : «

(8)Le traitement des données à caractère personnel dans le cadre du présent article est effectué conformément aux dispositions de la loi du 1erer août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. 4 La Police grand-ducale, représentée par son directeur général, a la qualité de responsable du traitement. Un règlement grand-ducal détermine les mesures techniques et organisationnelles à mettre en œuvre par le responsable du traitement pour assurer la sécurité du traitement en application de l’article 28 de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et règle les modalités d’exercice du droit d’accès prévu par la loi précitéeà l’article 13 de la même loi. ». Commentaire À la lumière des travaux d’élaboration d’une base légale spécifique relative aux traitements de données à caractère personnel effectués par la Police grand-ducale, la désignation du responsable du traitement est supprimée du présent projet de loi. À l’heure actuelle, la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ne contient pas de précisions relatives à la désignation du responsable du traitement ; toutefois, sa désignation dans le seul contexte du traitement des données à caractère personnel dans le cadre de la vidéosurveillance n’est pas justifiée. Il convient de prévoir une disposition générale s’appliquant à tous les traitements de données à caractère personnel effectués par la Police grand-ducale, dont elle est le responsable du traitement. Une telle disposition doit s’intégrer dans les futures dispositions relatives à tous les traitements et fichiers de la Police, dont les travaux sont actuellement en cours. Dans son avis complémentaire, le Conseil d’État propose d’ailleurs d’insérer la disposition désignant le responsable du traitement sous un article distinct dans la loi précitée du 18 juillet 2018 de façon à garantir son application à l’ensemble des traitements de données à caractère personnel effectués par la Police. À l’alinéa 3, devenant l’alinéa 2, la référence à la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est supprimée. L’alinéa 1er précise déjà de manière non-équivoque que les traitements de données à caractère personnel opérés dans le cadre de la vidéosurveillance sont effectués conformément aux dispositions de la loi précitée du 1er août 2018. Une deuxième référence à la même loi dans le contexte des mesures techniques et organisationnelles à mettre en œuvre par le responsable du traitement pour assurer la sécurité du traitement, ainsi que des modalités d’exercice du droit d’accès à prévoir par un règlement grand-ducal, est donc superfétatoire et la suppression permet d’alléger le texte. Amendement 7 À l’article 1er, l’article 43bis nouveau de la même loi est modifié comme suit : - le paragraphe 9 est complété comme suit : «

(9)Les données visées au paragraphe 5, alinéa 1er, sont effacées de manière définitive au plus tard deux mois après leur enregistrement. Ce délai ne s’applique pas si les données sont utilisées dans le cadre d’une enquête préliminaire ou d’une instruction judiciaire ou dans le cadre prévu au paragraphe 11. » ; - il est ajouté un paragraphe 11 nouveau avec la teneur suivante : «

(11)Le traitement de données à caractère personnel aux fins de la prévention, de la recherche et de la constatation d’infractions pénales peut être utilisé par la Police à des fins d’analyses de déroulement des opérations, y compris l’examen d’incidents ayant comme objectif l’amélioration 5 des plans et procédures d’intervention, ainsi qu’à des fins de formation interne. L’autorisation est délivrée par le directeur général de la Police, après avis du délégué à la protection des données de la Police, suite à une demande motivée du directeur central de la police administrative ou du directeur central des ressources et compétences. ». Commentaire Dans le cadre d’interventions d’envergure qui peuvent se dérouler dans des lieux sous vidéosurveillance, il est utile pour la Police de se servir des images enregistrées pour effectuer l’analyse du déroulement de l’intervention, ainsi que pour des fins de formation interne, dans le but d’améliorer les plans et procédures des interventions futures du même type. Le cadre légal actuel ne le permet pas, alors que les traitements effectués notamment dans le cadre de la formation et de l’élaboration des plans d’intervention internes relèvent du domaine de l’administratif interne et tombent dès lors sous le champ du règlement 2016/679 (RGPD). L’article 8

(1)de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale prévoit que les données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article 1er ne peuvent être traitées à des fins autres que celles y énoncées que si un tel traitement est autorisé par le droit de l’Union européenne ou par une disposition du droit luxembourgeois. Le paragraphe 11 constitue cette base légale qui permet le traitement de ces données pour ces autres finalités considérées licites et légitimes. L’autorisation de visionner les images enregistrées par les caméras de vidéosurveillance aux finalités mentionnées dans le paragraphe 11 est délivrée par le directeur général de la Police, après avis du délégué à la protection des données de la Police et sur demande motivée du directeur central de la police administrative ou du directeur central des ressources et compétences. * Copie de la présente est adressée pour information à Monsieur Xavier Bettel, Premier Ministre, Ministre d’État, à Monsieur Marc Hansen, Ministre aux Relations avec le Parlement et à Monsieur Henri Kox, Ministre de la Sécurité intérieure. Veuillez agréer, Madame le Président, l’expression de ma considération très distinguée. Fernand Etgen Président de la Chambre des Députés Annexe : Texte coordonné 6 7498 Projet de loi portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale La loi modifiée du 18 juillet 2018 sur la Police grand-ducale est modifiée comme suit : Art. 1er. À la suite de l’article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, il est ajouté un article 43bis nouveau, qui prend la teneur suivante : « Art. 43bis.

(1)La Police peut, avec l’autorisation du ministre, placer sous vidéosurveillance aux fins de la prévention, de la recherche et de la constatation d’infractions pénales les lieux accessibles au public qui présentent un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens d’infractions pénales.

(2)Sont considérés comme présentant un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biensd’infractions pénales, à condition que les autres moyens mis en œuvre pour en empêcher la commission se soient avérés inefficaces : 1° les lieux où sont commis, de manière répétée, les mêmes types de crimes ou de délitsdes infractions pénales revêtant un certain degré de gravité ; 2° les lieux qui par leur configuration sont de nature à favoriser la commission de certains types de crimes ou délitsd’infractions pénales revêtant un certain degré de gravité, à condition que les autres moyens mis en œuvre pour en empêcher la commission se sont avérés inefficaces ; 3° les alentours et abords des infrastructures où sont organisés régulièrement des évènements d’envergure nationale ou internationale ; 4° les abords, les entrées et l’intérieur de l’enceinte du stade national de football et de rugby ; 5° les lieux qui par leur nature rassemblent un grand nombre de personnes.

(3)L’autorisation ministérielle est délivrée, pour chaque lieuzone de sécurité placée sous vidéosurveillance, sur base d’une analyse d’impact réalisée par le directeur général de la Police et après avis, chacun en ce qui le concerne, du procureur d’Etat et du bourgmestre territorialement compétents, le conseil communal ayant été entendu en son avis, pour une durée maximale de trois ans, renouvelable selon la même procédure. L’autorisation ministérielle est publiée au Journal officiel du Grand-Duché de Luxembourg.

(4)En dehors de l’analyse d’impact, le directeur général de la Police communique au ministre les informations suivantes : 1° la justification de la nécessité de la vidéosurveillance au regard des critères définis au paragraphe 2 et des finalités poursuivies ; 2° la délimitation des lieux à surveiller ; 3° le nombre, le type, l’emplacement et le champ de vision des caméras ; 4° une évaluation du nombre de personnes concernées par la vidéosurveillance ; 5° le caractère permanent ou non de la vidéosurveillance. 7

(5)Le système de vidéosurveillance prend en images les personnes circulant dans le champ de vision des caméras et enregistre ces images, ainsi que le jour et l’heure auxquellesauxquels les images ont été prises sur un outil informatique. La prise d’image peut inclure le recours à des techniques de focalisation et à des détections automatiques de situations susceptibles à correspondre à la finalité pour laquelle la vidéosurveillance a été mise en place. Le recours à des techniques de reconnaissance faciale est exclu. 6) Le système de vidéosurveillance est réalisé de telle sorte qu’il ne visualise pas les images de l’intérieur des lieux d’accès privénon accessibles au public ni, de façon spécifique, celles de leurs entrées. Si la configuration des lieux est telle que le système de vidéosurveillance visualise, de façon non spécifique, l’intérieur ou des entrées à des lieux d’accès privénon accessibles au public, le responsable du traitement doit recourir à des procédés de masquage irréversible.

(7)Le public est informé de manière claire et permanente de l’existence du système de vidéosurveillance.

(8)Le traitement des données à caractère personnel dans le cadre du présent article est effectué conformément aux dispositions de la loi du 1erer août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. La Police grand-ducale, représentée par son directeur général, a la qualité de responsable du traitement. Un règlement grand-ducal détermine les mesures techniques et organisationnelles à mettre en œuvre par le responsable du traitement pour assurer la sécurité du traitement en application de l’article 28 de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et règle les modalités d’exercice du droit d’accès prévu par la loi précitéeà l’article 13 de la même loi.

(9)Les données visées au paragraphe 5, alinéa 1er, sont effacées de manière définitive au plus tard deux mois après leur enregistrement. Ce délai ne s’applique pas si les données sont utilisées dans le cadre d’une enquête préliminaire ou d’une instruction judiciaire ou dans le cadre prévu au paragraphe 11.

(10)Le directeur général de la Police désigne les membres de la Police qui sont habilités à visionner en temps réel les images des caméras de vidéosurveillance. Le visionnage des images enregistrées par les membres de la Police n’est autorisé que lorsqu’il est nécessaire pour l’exercice d’une mission précise.

(11)Le traitement de données à caractère personnel aux fins de la prévention, de la recherche et de la constatation d’infractions pénales peut être utilisé par la Police à des fins d’analyses de déroulement des opérations, y compris l’examen d’incidents ayant comme objectif l’amélioration des plans et procédures d’intervention, ainsi qu’à des fins de formation interne. 8 L’autorisation est délivrée par le directeur général de la Police, après avis du délégué à la protection des données de la Police, suite à une demande motivée du directeur central de la police administrative ou du directeur central des ressources et compétences. ». Art. 2. Le maintien de la vidéosurveillance dans les lieux désignés comme zones de sécurité avant l’entrée en vigueur de la présente loi doit être autorisé conformément à l’article 43bis de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale dans un délai maximal de douze mois suivant l’entrée en vigueur de la présente loi. 9 Luxembourg, le 18 décembre 2020 Personne de contact : Mme Marianne Weycker Service des Commissions Tél : +352 466 966 326 Fax : +352 466 966 308 Courriel : mweycker@chd.lu Madame le Président du Conseil d’État 5, rue Sigefroi L-2536 Luxembourg Concerne: 7498 Projet de loi portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale Madame le Président, Me référant à l’article 32

(2)de la loi du 16 juin 2017 sur l’organisation du Conseil d’État, j’ai l’honneur de vous soumettre les amendements suivants au projet de loi sous objet que la Commission de la Sécurité intérieure et de la Défense a adoptés dans sa réunion du 19 novembre 2020. * Les amendements se présentent comme suit : (Suppressions proposées respectivement par la Commission et le Conseil d’État : biffé propositions du Conseil d’État : italique ajouts proposés par la Commission: souligné) Amendement 1 À l’article 1er, l’article 43bis nouveau, paragraphe 1er de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale est modifié comme suit : «

(1)La Police peut, avec l’autorisation du ministre, placer sous vidéosurveillance aux fins de la prévention, de la recherche et de la constatation d’infractions pénales les lieux accessibles au public qui présentent un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens d’infractions pénales. ». Commentaire L’ajout des finalités telles qu’elles figuraient à l’article 17, paragraphe 1er, lettre (a) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel tient compte des observations du Conseil d’État à cet égard. La commission s’y rallie, reconnaissant l’importance de déterminer expressément les finalités du traitement opéré par le biais du système de vidéosurveillance, lesquelles constituent une des conditions de la licéité du traitement prévues par l’article 7 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. La suppression de la notion d’« atteintes à la sécurité des personnes ou des biens » fait suite à l’avis du Conseil d’État qui constate l’ambivalence de la terminologie utilisée. La référence aux atteintes à la sécurité des personnes ou des biens visait des atteintes au maintien de la sécurité publique, notamment dans le contexte d’infrastructures où sont organisés régulièrement des événements d’envergure nationale ou internationale, où la finalité principale de la vidéosurveillance est la prévention. La détermination explicite des finalités - la prévention, la recherche et la constatation d’infractions pénales - permet d’écarter toute ambiguïté et précise que le recours à la vidéosurveillance s’inscrit dans le cadre des missions de police administrative et de police judicaire. La prévention est une finalité de police administrative qui vise à empêcher(prévenir) des infractions pénales. La recherche et la constatation d’infractions pénales constituent des missions de police judiciaire et comprennent l’utilisation des images captées par les caméras de vidéosurveillance pour élucider des infractions pénales suivant les règles de la procédure pénale. La commission a opté pour le remplacement des termes « risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens » par la notion plus générale de « risque particulier de commission d’infractions pénales » comme critère pour l’installation de VISUPOL dans les lieux qui peuvent être placés sous vidéosurveillance. Alors que le recours à la vidéosurveillance se limitera à des lieux dans lesquels existe un risque particulier de commission d’infractions pénales qui revêtent un certain degré de gravité, l’intention n’est pas de limiter la vidéosurveillance à des catégories particulières d’infractions pénales. D’une part, il est bien admis que les images captées peuvent toujours être utilisées pour élucider, d’après les règles de la procédure pénale, des infractions autres que celles qui ont justifié la mise en place de la vidéosurveillance. L’article 3, paragraphe 2 de la loi précitée du 1er août 2018 dispose que : « Les traitements effectués, par le même ou par un autre responsable du traitement, pour l'une des finalités énoncées à l'article 1er autre que celles pour lesquelles les données ont été collectées, sont autorisés s’ils sont nécessaires et proportionnés à cette finalité, sous réserve du respect des dispositions prévues par le présent chapitre et par les chapitres IV et V. » D’autre part, du point de vue de la sécurité juridique et de la transparence en matière de protection des données, il est à éviter que la Police grand-ducale soit amenée, toujours dans le cadre de la procédure pénale, à procéder systématiquement au traitement de données pour « une autre finalité » (contraventions), si ce traitement a été expressément exclu dans le cadre de la finalité primaire (crimes ou délits). L’utilisation des termes « infractions pénales », qui englobent celles qualifiées de contraventions, ne signifie en aucun cas que l’intention est d’étendre la vidéosurveillance à des lieux où des contraventions sont commises. Amendement 2 À l’article 1er, l’article 43bis nouveau, paragraphe 2 de la même loi est modifié comme suit : «

(2)Sont considérés comme présentant un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biensd’infractions pénales, à condition que les autres moyens mis en œuvre pour en empêcher la commission se soient avérés inefficaces : 1° les lieux où sont commis, de manière répétée, les mêmes types de crimes ou de délitsdes infractions pénales revêtant un certain degré de gravité ; 2° les lieux qui par leur configuration sont de nature à favoriser la commission de certains types de crimes ou délitsd’infractions pénales revêtant un certain degré de gravité, à condition que les autres moyens mis en œuvre pour en empêcher la commission se sont avérés inefficaces ; 2 […]». Commentaire Pour le remplacement des mots « de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens » par les mots « d’infractions pénales », il est renvoyé au commentaire de l’amendement

1. L’article 43bis, paragraphe 2 définit les lieux qui sont considérés comme présentant un risque particulier de commission d’infractions pénales et ainsi susceptibles d’être placés sous vidéosurveillance. S’y ajoute la condition, jusqu’à présent exigée exclusivement pour les lieux sous le point 2°, que d’autres moyens doivent avoir été préalablement mis en œuvre pour empêcher la commission d’infractions pénales, mais qui se sont avérés inefficaces. L’ajout de cette condition, qui s’applique dorénavant à tous les lieux visés, entend tenir compte de la Commission consultative des Droits de l’Homme qui estime dans son avis du 25 février 2020 que, « Afin de se conformer au critère de la nécessité », « pour tout lieu susceptible d’être mis sous vidéosurveillance, d’autres mesures moins invasives doivent d’abord avoir été étudiées, prises ou exclues », et « Uniquement si celles-ci s’avèrent insuffisantes, le recours à la vidéosurveillance pourra être envisagé. ». Aux points 1° et 2°, le remplacement de la notion de « types de crimes ou (de) délits » répond à la suggestion du Conseil d’Etat formulée dans son avis du 10 mars
2. Cette notion est remplacée par les termes « infractions pénales revêtant un certain degré de gravité ». Les termes « revêtant un certain degré de gravité » soulignent que seuls les lieux, où sont commis de manière répétée des infractions pénales ou qui, par leur configuration, sont de nature à favoriser la commission d’infractions pénales revêtant un certain degré de gravité, sont susceptibles d’être placés sous vidéosurveillance. Il importe de préciser qu’en tout état de cause, l’analyse d’impact visée au paragraphe 3 doit contenir un certain nombre d’informations, y compris une analyse de risque des infractions pénales qui sont régulièrement commises ou susceptibles de se produire dans les lieux déterminés ; en outre, les informations supplémentaires à fournir par le directeur général de la Police prévues au paragraphe 4 doivent justifier la nécessité de la vidéosurveillance des lieux visés. Amendement 3 À l’article 1er, l’article 43bis nouveau, paragraphe 3, alinéa 1er de la même loi est modifié comme suit : «

(3)L’autorisation ministérielle est délivrée, pour chaque lieuzone de sécurité placée sous vidéosurveillance, sur base d’une analyse d’impact réalisée par le directeur général de la Police et après avis, chacun en ce qui le concerne, du procureur d’Etat et du bourgmestre territorialement compétents, le conseil communal ayant été entendu en son avis, pour une durée maximale de trois ans, renouvelable selon la même procédure. ». Commentaire Comme la mise en place des caméras nécessite l’avis du bourgmestre, en remplacement de celui du comité de prévention communal ou intercommunal, la commission estime que l’avis du conseil communal doit aussi être entendu en raison de l’impact que peut avoir la vidéosurveillance pour la commune. 3 Amendement 4 À l’article 1er, l’article 43bis nouveau, paragraphe 5, alinéa 2 de la même loi est modifié comme suit : « La prise d’image peut inclure le recours à des techniques de focalisation et à des détections automatiques de situations susceptibles à correspondre à la finalité pour laquelle la vidéosurveillance a été mise en place. Le recours à des techniques de reconnaissance faciale est exclu. ». Commentaire L’exclusion du recours à des techniques de reconnaissance faciale est consacrée de manière expresse. Il convient de préciser que la vidéosurveillance est un outil utilisé dans le cadre de la prévention, de la recherche et de la constatation d’infractions pénales et que la reconnaissance faciale est un outil qui relève surtout de la poursuite pénale. L’interdiction du recours à des techniques de reconnaissance faciale n’est donc pas à comprendre comme une interdiction générale et n’implique notamment pas que ces techniques ne puissent pas être utilisées dans le contexte de la poursuite pénale pour élucider des infractions pénales d’après les règles de la procédure pénale. Amendement 5 À l’article 1er, l’article 43bis nouveau, paragraphe 6 de la même loi est modifié comme suit : «

(6)Le système de vidéosurveillance est réalisé de telle sorte qu’il ne visualise pas les images de l’intérieur des lieux d’accès privénon accessibles au public ni, de façon spécifique, celles de leurs entrées. Si la configuration des lieux est telle que le système de vidéosurveillance visualise, de façon non spécifique, l’intérieur ou des entrées à des lieux d’accès privénon accessibles au public, le responsable du traitement doit recourir à des procédés de masquage irréversible. ». Commentaire L’ajout des mots « l’intérieur ou » à l’alinéa 2 tient compte de l’observation de la Commission nationale pour la protection des données, qui estime dans son avis du 28 février 2020 à juste titre que la disposition ne prévoit pas expressément le masquage des intérieurs des lieux non accessibles au public, lorsque la configuration des lieux est telle que les caméras de vidéosurveillance les visualisent de manière non-spécifique. Amendement 6 À l’article 1er, l’article 43bis nouveau, paragraphe 8 de la même loi est modifié comme suit : «

(8)Le traitement des données à caractère personnel dans le cadre du présent article est effectué conformément aux dispositions de la loi du 1erer août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. 4 La Police grand-ducale, représentée par son directeur général, a la qualité de responsable du traitement. Un règlement grand-ducal détermine les mesures techniques et organisationnelles à mettre en œuvre par le responsable du traitement pour assurer la sécurité du traitement en application de l’article 28 de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et règle les modalités d’exercice du droit d’accès prévu par la loi précitéeà l’article 13 de la même loi. ». Commentaire À la lumière des travaux d’élaboration d’une base légale spécifique relative aux traitements de données à caractère personnel effectués par la Police grand-ducale, la désignation du responsable du traitement est supprimée du présent projet de loi. À l’heure actuelle, la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ne contient pas de précisions relatives à la désignation du responsable du traitement ; toutefois, sa désignation dans le seul contexte du traitement des données à caractère personnel dans le cadre de la vidéosurveillance n’est pas justifiée. Il convient de prévoir une disposition générale s’appliquant à tous les traitements de données à caractère personnel effectués par la Police grand-ducale, dont elle est le responsable du traitement. Une telle disposition doit s’intégrer dans les futures dispositions relatives à tous les traitements et fichiers de la Police, dont les travaux sont actuellement en cours. Dans son avis complémentaire, le Conseil d’État propose d’ailleurs d’insérer la disposition désignant le responsable du traitement sous un article distinct dans la loi précitée du 18 juillet 2018 de façon à garantir son application à l’ensemble des traitements de données à caractère personnel effectués par la Police. À l’alinéa 3, devenant l’alinéa 2, la référence à la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale est supprimée. L’alinéa 1er précise déjà de manière non-équivoque que les traitements de données à caractère personnel opérés dans le cadre de la vidéosurveillance sont effectués conformément aux dispositions de la loi précitée du 1er août 2018. Une deuxième référence à la même loi dans le contexte des mesures techniques et organisationnelles à mettre en œuvre par le responsable du traitement pour assurer la sécurité du traitement, ainsi que des modalités d’exercice du droit d’accès à prévoir par un règlement grand-ducal, est donc superfétatoire et la suppression permet d’alléger le texte. Amendement 7 À l’article 1er, l’article 43bis nouveau de la même loi est modifié comme suit : - le paragraphe 9 est complété comme suit : «

(9)Les données visées au paragraphe 5, alinéa 1er, sont effacées de manière définitive au plus tard deux mois après leur enregistrement. Ce délai ne s’applique pas si les données sont utilisées dans le cadre d’une enquête préliminaire ou d’une instruction judiciaire ou dans le cadre prévu au paragraphe 11. » ; - il est ajouté un paragraphe 11 nouveau avec la teneur suivante : «

(11)Le traitement de données à caractère personnel aux fins de la prévention, de la recherche et de la constatation d’infractions pénales peut être utilisé par la Police à des fins d’analyses de déroulement des opérations, y compris l’examen d’incidents ayant comme objectif l’amélioration 5 des plans et procédures d’intervention, ainsi qu’à des fins de formation interne. L’autorisation est délivrée par le directeur général de la Police, après avis du délégué à la protection des données de la Police, suite à une demande motivée du directeur central de la police administrative ou du directeur central des ressources et compétences. ». Commentaire Dans le cadre d’interventions d’envergure qui peuvent se dérouler dans des lieux sous vidéosurveillance, il est utile pour la Police de se servir des images enregistrées pour effectuer l’analyse du déroulement de l’intervention, ainsi que pour des fins de formation interne, dans le but d’améliorer les plans et procédures des interventions futures du même type. Le cadre légal actuel ne le permet pas, alors que les traitements effectués notamment dans le cadre de la formation et de l’élaboration des plans d’intervention internes relèvent du domaine de l’administratif interne et tombent dès lors sous le champ du règlement 2016/679 (RGPD). L’article 8

(1)de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale prévoit que les données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article 1er ne peuvent être traitées à des fins autres que celles y énoncées que si un tel traitement est autorisé par le droit de l’Union européenne ou par une disposition du droit luxembourgeois. Le paragraphe 11 constitue cette base légale qui permet le traitement de ces données pour ces autres finalités considérées licites et légitimes. L’autorisation de visionner les images enregistrées par les caméras de vidéosurveillance aux finalités mentionnées dans le paragraphe 11 est délivrée par le directeur général de la Police, après avis du délégué à la protection des données de la Police et sur demande motivée du directeur central de la police administrative ou du directeur central des ressources et compétences. * Copie de la présente est adressée pour information à Monsieur Xavier Bettel, Premier Ministre, Ministre d’État, à Monsieur Marc Hansen, Ministre aux Relations avec le Parlement et à Monsieur Henri Kox, Ministre de la Sécurité intérieure. Veuillez agréer, Madame le Président, l’expression de ma considération très distinguée. Fernand Etgen Président de la Chambre des Députés Annexe : Texte coordonné 6 7498 Projet de loi portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale La loi modifiée du 18 juillet 2018 sur la Police grand-ducale est modifiée comme suit : Art. 1er. À la suite de l’article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, il est ajouté un article 43bis nouveau, qui prend la teneur suivante : « Art. 43bis.

(1)La Police peut, avec l’autorisation du ministre, placer sous vidéosurveillance aux fins de la prévention, de la recherche et de la constatation d’infractions pénales les lieux accessibles au public qui présentent un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biens d’infractions pénales.

(2)Sont considérés comme présentant un risque particulier de commission de crimes ou délits ou d’atteintes à la sécurité des personnes ou des biensd’infractions pénales, à condition que les autres moyens mis en œuvre pour en empêcher la commission se soient avérés inefficaces : 1° les lieux où sont commis, de manière répétée, les mêmes types de crimes ou de délitsdes infractions pénales revêtant un certain degré de gravité ; 2° les lieux qui par leur configuration sont de nature à favoriser la commission de certains types de crimes ou délitsd’infractions pénales revêtant un certain degré de gravité, à condition que les autres moyens mis en œuvre pour en empêcher la commission se sont avérés inefficaces ; 3° les alentours et abords des infrastructures où sont organisés régulièrement des évènements d’envergure nationale ou internationale ; 4° les abords, les entrées et l’intérieur de l’enceinte du stade national de football et de rugby ; 5° les lieux qui par leur nature rassemblent un grand nombre de personnes.

(3)L’autorisation ministérielle est délivrée, pour chaque lieuzone de sécurité placée sous vidéosurveillance, sur base d’une analyse d’impact réalisée par le directeur général de la Police et après avis, chacun en ce qui le concerne, du procureur d’Etat et du bourgmestre territorialement compétents, le conseil communal ayant été entendu en son avis, pour une durée maximale de trois ans, renouvelable selon la même procédure. L’autorisation ministérielle est publiée au Journal officiel du Grand-Duché de Luxembourg.

(4)En dehors de l’analyse d’impact, le directeur général de la Police communique au ministre les informations suivantes : 1° la justification de la nécessité de la vidéosurveillance au regard des critères définis au paragraphe 2 et des finalités poursuivies ; 2° la délimitation des lieux à surveiller ; 3° le nombre, le type, l’emplacement et le champ de vision des caméras ; 4° une évaluation du nombre de personnes concernées par la vidéosurveillance ; 5° le caractère permanent ou non de la vidéosurveillance. 7

(5)Le système de vidéosurveillance prend en images les personnes circulant dans le champ de vision des caméras et enregistre ces images, ainsi que le jour et l’heure auxquellesauxquels les images ont été prises sur un outil informatique. La prise d’image peut inclure le recours à des techniques de focalisation et à des détections automatiques de situations susceptibles à correspondre à la finalité pour laquelle la vidéosurveillance a été mise en place. Le recours à des techniques de reconnaissance faciale est exclu. 6) Le système de vidéosurveillance est réalisé de telle sorte qu’il ne visualise pas les images de l’intérieur des lieux d’accès privénon accessibles au public ni, de façon spécifique, celles de leurs entrées. Si la configuration des lieux est telle que le système de vidéosurveillance visualise, de façon non spécifique, l’intérieur ou des entrées à des lieux d’accès privénon accessibles au public, le responsable du traitement doit recourir à des procédés de masquage irréversible.

(7)Le public est informé de manière claire et permanente de l’existence du système de vidéosurveillance.

(8)Le traitement des données à caractère personnel dans le cadre du présent article est effectué conformément aux dispositions de la loi du 1erer août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. La Police grand-ducale, représentée par son directeur général, a la qualité de responsable du traitement. Un règlement grand-ducal détermine les mesures techniques et organisationnelles à mettre en œuvre par le responsable du traitement pour assurer la sécurité du traitement en application de l’article 28 de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale et règle les modalités d’exercice du droit d’accès prévu par la loi précitéeà l’article 13 de la même loi.

(9)Les données visées au paragraphe 5, alinéa 1er, sont effacées de manière définitive au plus tard deux mois après leur enregistrement. Ce délai ne s’applique pas si les données sont utilisées dans le cadre d’une enquête préliminaire ou d’une instruction judiciaire ou dans le cadre prévu au paragraphe 11.

(10)Le directeur général de la Police désigne les membres de la Police qui sont habilités à visionner en temps réel les images des caméras de vidéosurveillance. Le visionnage des images enregistrées par les membres de la Police n’est autorisé que lorsqu’il est nécessaire pour l’exercice d’une mission précise.

(11)Le traitement de données à caractère personnel aux fins de la prévention, de la recherche et de la constatation d’infractions pénales peut être utilisé par la Police à des fins d’analyses de déroulement des opérations, y compris l’examen d’incidents ayant comme objectif l’amélioration des plans et procédures d’intervention, ainsi qu’à des fins de formation interne. 8 L’autorisation est délivrée par le directeur général de la Police, après avis du délégué à la protection des données de la Police, suite à une demande motivée du directeur central de la police administrative ou du directeur central des ressources et compétences. ». Art. 2. Le maintien de la vidéosurveillance dans les lieux désignés comme zones de sécurité avant l’entrée en vigueur de la présente loi doit être autorisé conformément à l’article 43bis de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale dans un délai maximal de douze mois suivant l’entrée en vigueur de la présente loi. 9