Henri Becker Conseiller à la Cour d'appel Cour Supérieure de Justice du Grand-Duché de Luxembourg Cité Judiciaire — bâtiment CR L — 2080 Luxembourg Luxembourg, le 8 janvier 2020 r Déposé au greffe de !a Cour le 8 -01- 2020 reffier en chef Conc. : Avis / projet de loi portant modification de la loi modifiée du 14 août 2000 relative au commerce électronique Brm.- Retransmis à Monsieur Jean-Claude WIWINIUS, Président de la Cour Supérieure de justice comme suite à son transmis du 11 décembre 2019 Le soussigné maintient sa position telle qu'elle résulte de son avis du 15 octobre
- Henri BECKER conseiller AVIS DU TRIBUNAL D'ARRONDISSEMENT DE ET A LUXEMBOURG Les amendements parlementaires au projet de loi n° 7427 portant modification de la loi modifiée du 14 août 2000 relative au commerce électronique a été soumis pour avis au tribunal d'arrondissement de et à Luxembourg par Madame le procureur général d'Etat suivant courrier du 10 décembre
- Le projet de loi sous avis tend à mettre la législation luxembourgeoise en conformité avec le Règlement (UE) n° 910/2014 du Parlement et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE (Règlement eIDAS). Les amendements parlementaires au projet de loi sous avis suscitent les remarques suivantes de la part du tribunal d'arrondissement de et Luxembourg: Le tribunal n'a pas d'objection à formuler quant au nouvel intitulé proposé. Le tribunal constate encore que les amendements parlementaires ne tiennent pas compte de la proposition formulée par le tribunal dans son premier avis daté au 15 octobre 2019, suivant lequel il avait estimé que dans un souci de meilleure compréhension du texte, le tribunal d'arrondissement de et à Luxembourg est d'avis qu'à l'article « ler : Définitions », il est préférable de reprendre textuellement les définitions résultant du Règlement eIDAS, plutôt que de se limiter à se référer à ce texte par la mention « au sens du règlement européen eIDAS ». Le tribunal maintient cette proposition. Pour le tribunal d'arrondissement de et à Luxembourg, le 14 janvier 2020 Projet de loi n° 7427 portant modification de la loi modifiée du 14 août 2000 relative au commerce économique. Avis Conjoint du Parquet Général et des Parquets de Luxembourg et de Diekirch (16.01.2020) Le présent projet de loi a vocation à modifier la loi modifiée du 14 août 2000 relative au commerce électronique, afin de mettre en œuvre le règlement (LTE) n°910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1993/93/CE (ci-après le « Règlement eLDAS »). S'agissant d'un règlement européen, il est d'application directe et ne nécessite en principe pas de transposition en droit national. Ceci étant dit, l'article 16 du Règlement eIDAS confère la mission aux Etats membres de •fixer les sanctions applicables aux violations des dispositions du Règlement eIDAS1 . Comme le Parquet général et les Parquets de Luxembourg et de Diekirch sont chargés de requérir, en leur qualité de partie poursuivante à différents stades de la procédure pénale, l'application de la loi modifiée du 14 août 2000, ils analyseront essentiellement les dispositions pénales prévues par le projet de loi. C'est le nouvel article 40 de la loi sous revue (point 27 du projet de loi suite aux amendements gouvernementaux) qui centralise les sanctions pénales. Dans un souci de lisibilité des développements qui vont suivre, cet article est reproduit ci-après « Art.
- Des prestataires de services de confiance
(1)Sont punis d'une amende de 251 euros jusqu'à 25 000 euros ceux qui offrent des services de confiance en violation des dispositions de l'article 21, paragraphe 2, alinéa 2, du règlement (UE") n°910/2014 ou sans être inscrits sur les listes de confiance visées à l'article 22, paragraphe l er , du même règlement: Article 16 Règlement elDAS. « Sanctions — Les Etats membres fixent le régirne des sanctions applicables aux violations du présent règlement. Les sanctions prévues sont effectives, proportionnées et dissuasives » 1
(2)Est punie d'une amende de 251 euros à 25 000 eur(,s, d'une peine d'emprisonnement de huit jours à six mois ou d'une de ces peines seulement, toute personne qui ne s'est pas conformée aux dispositions légales visées :
- a)à l'article 26 paragraphe ler,
- b)à l'article 26 paragraphe 2,
- c)à l'article 20, paragraphe ler du règlement (UE) n°910/2014,
- d)à l'article 24, paragraphe ler du règlement (UE) n°910/2014,
- e)à l'article 24, paragraphe 2 du règlement (UE) n°910/2014.
(3)Est punie d'une amende de 251 euros à 500 000 euros et d'une peine d'emprisonnement de huit jours à cinq ans ou d'une de ces peines seulement, toute personne qui ne s'est pas conformée aux dispositions légales visées :
- a)à l'article 17, paragraphe 4
- b)à l'article 19, paragraphe 2, du règlement (UE) n0910/2014 ;
- c)à l'article 24, paragraphe 3 du règlement (UE) n°910/2014 ;
- d)à l'article 24, paragraphe 4 du règlement ((JE) n0910/2014. » Il se pose la question de savoir si la sécurité juridique conférée par le nouvel article 40 dans sa rédaction actuelle est suffisante. Les auteurs du présent avis seraient enclins à répondre par la négative à cette question. En effet, l'article fait à plusieurs endroits un simple renvoi à certaines dispositions du Règlement eIDAS. Or, les dispositions du Règlement eIDAS - notamment lorsqu'il s'agit de définir les obligations de certains intervenants - sont souvent rédigées de manière assez générale. Cela ne constitue pas un défaut de rédaction du Règlement eIDAS. C'était au contraire la volonté expresse de ses rédacteurs que la formulation des dispositions du Règlement eIDAS soit assez souple de manière à pouvoir prendre en compte l'évolution technologique2. Cette souplesse dans la rédaction du Règlement eIDAS est cependant difficilement conciliable avec la technique légistique d'un simple renvoi lorsqu'il s'agit de définir les infractions que la loi nationale entend punir : Un texte intentionnellement vague sur certains points n'est pas susceptible de servir de définition à des infractions pénales dont l'objet devra être circonscrit 2 Considérants du Règlement eIDAS : «
(26)Vu la rapidité de l'évolution technologique, le présent règlement devrait consacrer une approche qui soit ouverte aux innovations.
(27)Le présent règlement devrait être neutre du point de vue de la technologie. Les effets juridiques qu'il confère devraient pouvoir être obtenus par tout moyen technique, pour autant que les exigences posées par le présent règlement soient satisfaites » avec rigueur et dont les contours devront être visibles et compréhensibles pour les justiciables concernés. Un exemple perrnettra de mieux illustrer les propos ci-dessus: L'article 40 alinéa
(3)d) prévoit dans sa rédaction actuelle une peine d'amende de 251 euros à 500.000 euros et une peine d'ernprisonnement de huit jours à cinq ans ou une de ces peines seulement pour « toute personne qui ne s'est pas confOrmée aux dispositions légales visées : (...) à l'article 24 paragraphe 4 du règlement (UE) n°910/2014». L'article 24 paragraphe 4 du Règlement eIDAS, quant à lui, est conçu comme suit : « 4. En ce qui concerne le paragraphe 33, les prestataires de services de confiance qualifiés qui délivrent des certificats qualifiés fournissent à toute partie utilisatrice des informations sur la validité ou le statut de révocation des certificats qualifiés qu'ils ont délivrés. Ces informations sont disponibles, au moins par certificat, à tout moment et au-delà de la période de validité du certificat, sous une fOrtne automatisée qui est fiable, gratuite et efficace. » (nous soulignons). A prendre donc le renvoi opéré par l'article 40 alinéa
(3)d) au pied de la lettre (et l'on gardera à l'esprit que le droit pénal est d'interprétation stricte), serait ainsi puni d'une peine d'emprisonnement pouvant aller jusqu'à cinq ans, tout prestataire de services de confiance qualifiés qui, tout en fournissant les informations auxquelles il est tenu, le ferait cependant de manière « inefficace » ou « non-fiable », voire le ferait d'une manière qui ne serait pas suffisamment « automatisée ». Il n'est pas difficile de prévoir les très sérieux problèmes d'interprétation auxquels seront confrontés les organes de poursuite et les tribunaux lorsque ces derniers seront appelés à appliquer ces dispositions : Admettons qu'une information erronée ait été fournie par un prestataire de services de confiance à une partie utilisatrice. Est-ce qu'une seule erreur suffira à faire considérer le service comme étant « inefficace » ou « non-fiable », et de ce fait, faire courir au prestataire le risque d'une sanction pénale? Si non, quel sera le seuil ?A contrario, si le prestataire de services de confiance intercale un opérateur hurnain précisément dans l'optique de valider des informations avant envoi aux utilisateurs se posera immédiatement la question de savoir si le procédé est encore suffisamment « automatisé » aux yeux de la loi, et, s'il ne l'est pas, il faudrait sanctionner le prestataire pour ce manquement. 11 en faut conclure que dans leur rédaction actuelle, une partie des infractions prévues à l'article 40 ne sont pas définies avec suffisamment de précision dans leurs éléments constitutifs pour assurer la sécurité juridique à laquelle doit pouvoir prétendre le citoyen. Il conviendra dès lors de vérifier si sur certains points, les dispositions du Règlement elDAS ne devraient pas être précisées par la loi nationale, ou si, au contraire, la liste des renvois vers 3 Le paragraphe 3 précédent parie essentiellement de la révocation d'un certificat par son émetteur. ces dispositions ne devrait pas être raccourcie pour n'y reprendre que les manquements qui y sont définis de manière suffisamment précise pour pouvoir faire l'objet d'une sanction. Pour le Parquet Général Marc SCHILTZ Avocat général Pour le Parquet de Diekirch Ernest: Procure Pour le Parquet de Luxembourg Claude EISCHEN