Avis complémentaire de la Commission nationale pour la protection des

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives Délibération n°2/2021 du 04/02/2021 Conformément à l'article 57, paragraphe

(1), lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». En date du 8 juillet 2019, la CNPD a avisé le projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives (ci-après le « projet de loi »). La Commission de la Justice a adopté lors de sa réunion du 27 mai 2020 une série d'amendements relative au projet de loi. Dans la mesure où certains de ces amendements concernent des articles qui ont été commentés par la Commission nationale dans son avis du 8 juillet 2019, la CNPD s'autosaisit pour les aviser. A titre de remarque liminaire, elle se félicite que les auteurs du projet de loi aient uniformisé la terminologie employée en ce qui concerne la désignation du fichier tenu par le Ministre ayant CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 1/32 dans ses compétences la loi sous avis (ci-après le « ministre ») conformément à l'article 15 (13 initial) du projet de loi, tel que cela avait été suggéré par la Commission nationale. Toutefois, elle aimerait revenir plus en détail sur la vérification d'honorabilité (I), sur le fichier des armes (II), sur l'attestation médicale (III), sur le registre des armes (IV), et sur l'autorité de contrôle compétente en cas d'accès par les agents de l'Administration des douanes et accises au fichier des armes (V). l. Sur la vérification d'honorabilité L'amendement n°14 insère un article 14 nouveau intitulé « Vérification d'honorabilité », en vertu duquel le ministre diligentera l'enquête administrative et sera, dans le cadre de cette mission, amené à traiter des données à caractère personnel initialement collectées et traitées par la Police grand-ducale, par le Ministère public ou par le Service de renseignement de l'Etat (ci-après le « SRE ») à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. Ces traitements initiaux sont soumis à la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Il convient de relever que les traitements de données à caractère personnel mis en œuvre dans le cadre de l'enquête administrative, telle que visée à l'article 14 nouveau du projet de loi sous avis, seront soumis au RGPD alors que la finalité poursuivie par le ministre est la délivrance d'une autorisation, d'un permis ou agrément prévus par le projet de loi sous avis. Les finalités poursuivies par le ministre seraient donc étrangères aux finalités initiales énoncées ci-avant. Ainsi, bien que les finalités du traitement, envisagé par l'article 14 du projet de loi, soient à des fins administratives, la nature même des données transmises au ministre et ensuite utilisées pour diligenter l'enquête administrative reste identiques à la nature des données traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. Dans un tel contexte, il y a lieu de s'interroger sur l'articulation des dispositions du RGPD avec celles de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. CNN] Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 2/32 1. Sur le traitement effectué par le ministre dans le cadre de l'enquête administrative A. Sur le principe de la licéité du traitement La CNPD salue le fait que l'article 14 nouveau du projet de loi sous avis, d'un point de vue de la sécurité juridique, constitue la base légale de l'enquête administrative effectuée par le ministre, conformément à l'article 6 paragraphe

(3)du RGPD. a. Sur l'article 6 paragraphe

(3)du RGPD En effet, il convient de rappeler que le traitement de données à caractère personnel collectées et traitées dans le cadre de l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement doit reposer sur une base légale conformément à l'article 6 paragraphe

(3)du RGPD, lu ensemble avec son paragraphe

(1)lettres

c)et e)1 qui dispose que « file fondement du traitement visé au paragraphe 1, points
c)et e), est défini par : a. le droit de l'Union; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. » Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou ' L'article 6, paragraphe

(1), lettres

c)et
e)dispose que : « Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : (...)
c)le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis; (...)
e)le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; (...) ». CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 3,32 relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « (...) appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal (...) ». Le considérant

(41)du RGPD énonce encore que « Norsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Toutefois et bien que la base légale instaurant l'enquête administrative précise les types de données traitées, les personnes concernées ainsi que les entités auxquelles les données peuvent être communiquées et pour quelles finalités, la Commission nationale relève que certains éléments relatifs au traitement de données ne sont pas suffisamment précisés ou ne sont pas précisés du tout (par exemple la durée de conservation des données) dans le projet de loi. b. Sur les principes dégagés par la jurisprudence de la Cour européenne des droits de l'Homme et de la Cour de justice de l'Union européenne La Commission nationale se doit de souligner l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52 paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'Homme, retiennent qu'un traitement de données effectué par une autorité publique peut constituer une ingérence dans le Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 4/32 droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données. Cette ingérence ou limitation peut être justifiée à condition qu'elle : - - soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. i. Sur la première condition Selon la jurisprudence de la Cour européenne des droits de l'Homme, une ingérence au droit au respect de la vie privée n'est « prévue par la loi », au sens de l'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme2, que si elle repose sur un article du droit national qui présente certaines caractéristiques. L'expression « prévue par la loi » implique donc selon la jurisprudence de la Cour européenne des droits de l'Homme que la législation interne doit user de termes assez clairs pour indiquer à tous de manière suffisante en quelles circonstances et sous quelles conditions elle habilite la puissance publique à recourir à des mesures affectant leurs droits protégés par la Convention

La législation interne doit être « accessible aux personnes concernées et prévisible quant à ses répercussions »
Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne — bénéficiant éventuellement d'une assistance appropriée — d'adapter son comportement »5 ainsi que « pie degré de précision requis de la "loi" à cet égard dépendra du sujet en question. »
Afin de remplir ces critères d'accessibilité et de prévisibilité de la « loi », d'une part, et ainsi limiter d'éventuels comportements arbitraires et abusifs de la part des autorités publiques, d'autre part, 2 L'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme dispose que : « ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui ». CouEDH, Fernández Martinezc. Espagne [GC], n°56030/07, para.

CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; voir également CouEDH, Kopp o Suisse, n° 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 février 2009, para.
CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 56 ; voir également CouEDH, Malone c. Royaume-Uni, n° 8691/79, 26 avril 1985, para. 66 ; CouEDH, Sfiver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
CouEDH, The Sunday Times c. Royaume-Uni, n° 6538/74, 26 avril 1979, para. 49 ; voir également CouEHD, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
CNPI1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 5/32 le droit national peut donc prévoir et encadrer plus spécifiquement les traitements de données à caractère personnel effectués par de telles autorités. Cet encadrement légal serait par ailleurs un garant du principe de sécurité juridique au profit des personnes concernées, les demandeurs d'une autorisation, permis ou agrément prévus par le projet de loi sous avis. La sécurité juridique constitue même un principe général du droit de l'Union européenne, exigeant notamment qu'une réglementation entraînant des conséquences défavorables à l'égard de particuliers soit claire et précise et son application prévisible pour les justiciables. La réglementation doit permettre aux intéressés de connaître avec exactitude l'étendue des obligations qu'elle leur impose, doit leur permettre de connaître sans ambiguïté leurs droits et leurs obligations ainsi que leur permettre de prendre leurs dispositions en conséquence'. C'est la raison pour laquelle, la Cour européenne des droits de l'homme au sein de sa jurisprudence affirme que « le droit interne doit offrir une certaine protection contre des atteintes arbitraires de la puissance publique aux droits garantis par l'article 8 paragraphe 1 »s. Par conséquent, la législation interne « doit définir l'étendue et les modalités d'exercice du pouvoir avec une netteté suffisante — compte tenu du but légitime poursuivi — pour fournir à l'individu une protection adéquate contre l'arbitraire »
La Cour de justice de l'Union européenne estime qu'en cas de limitation de la protection des données à caractère personnel ou du droit au respect de la vie privée un texte légal « doit prévoir des règles claires et précises régissant la portée et l'application de la mesure en cause et imposant un minimum d'exigences de sorte que les personnes dont les données ont été conservées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d'abus ainsi que contre tout accès et toute utilisation illicites de ces données »10 . Dès lors, dans la mesure où les traitements de données mis en œuvre par le ministre dans le cadre de l'enquête administrative constituent une ingérence dans le droit au respect de la vie privée des demandeurs d'une autorisation, d'un permis ou agrément, le projet de loi devrait encadrer plus spécifiquement de tels traitements conformément à la jurisprudence de la Cour européenne des droits de l'Homme. Or, force est de constater que le projet de loi sous avis, tel Voir p.ex. Cour EDH, Aurubis Balgaria du 31 mars 2011, C-546/09, points 42-43 ; Arrêt, Alfamicro c. Commission du 14 novembre 2017, T-831/14, points 155-
Cour EDH, Amann c. Suisse [GC], n°27798/95 para
9 Ibidem. Voir également Cour EDH, Malone c. Royaume-Uni, série A n°82, du 2 août 1984, pp. 31-32 para.66 ; Cour EDH, Fernández Martínez c. Espagne CE:ECHR:2014:0612JUD005603007, 12 juin 2014 para.117 ; Cour EDH, Liberty et autres c. Royaume-Uni, no 58243/00, du ler juillet 2008, para. 62 et 63; Cour EDH, Rotaru c. Roumanie, App. N° 28341/95, 4 mai 2000, para. 57 à 59 et Cour EDH, S et Marper c. Royaume-Uni, Requêtes n° 30562/04 et 30566/04, du 4 décembre 2008 para.
; Dimitrov-Kazakov c. Bulgarie n°11379/03, du 10 février
" Arrêt du 8 avril 2014, Digital Rights Ireland e.a. C-293/12 et C-594/12, EU :C :2014 :238, point
CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 6/32 qu'amendé n'est, par endroit, pas rédigé avec suffisamment de précision". Elle reviendra sur ce point dans les développements aux points D, E et F ci-après. Sur la seconde condition Il ressort de la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'Homme que les motifs invoqués par les autorités publiques pour justifier une limitation à l'exercice du droit à la protection des données à caractère personnel ou une ingérence dans le droit au respect de la vie privée doivent être pertinents et suffisants12 et qu'il doit être démontré qu'il n'existe pas d'autres méthodes moins intrusive
La notion de nécessité, telle qu'interprétée par la Cour de justice de l'Union européenne, implique que les mesures adoptées soient moins intrusives que d'autres options pour atteindre le même but. De plus, selon la jurisprudence de la Cour européenne des droits de l'Homme, pour répondre au critère de nécessité, l'ingérence devra également être proportionnée. Dans son « Manuel de droit européen en matière de protection des données », l'Agence des droits fondamentaux de l'Union européenne précise que « Na proportionnalité requiert qu'une mesure d'ingérence dans l'exercice des droits protégés par la Cour européenne des droits de l'Homme n'aille pas au-delà de ce qui est nécessaire pour atteindre le but légitime poursuivi. Les facteurs importants à prendre en compte lors de l'appréciation du critère de proportionnalité sont la portée de l'ingérence, notamment le nombre de personnes concernées, et les garanties ou les avertissements mis en place pour limiter sa portée ou ses effets négatifs sur les droits des individus »
Le Contrôleur européen de la protection des données indique encore qu'« [u]n examen de la proportionnalité suppose en règle générale de déterminer quelles « garanties » doivent accompagner une mesure (qui porterait par exemple sur la surveillance) afin de réduire à un niveau « acceptable »/proportionné les risques posés par la mesure envisagée au regard des droits fondamentaux et des libertés des individus concernés. »
En l'occurrence, la Commission nationale se demande à défaut de telles précisions, quelles seraient les garanties envisagées par les auteurs du projet de loi sous avis et s'il n'existerait pas de méthodes moins intrusives que le système prévu par le dispositif sous avis. 11 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619 12 Voir l'arrêt de la Cour européenne des droits de l'homme du 4décembre 2008, S. et Marper c. Royaume-Uni. 13 Voir les arrêts de la Cour de justice du 9 novembre 2010, C-92/09, Volker und Markus Schecke GbR/Land Hessen, et C93/09,Eifert/Land Hessen etBundesansalt für Landwirtschaft und Ernährung. 14 Voir page 45 du « Manuel de droit européen en matière de protection des données » de l'Agence des droits fondamentaux de l'Union européenne. " Voir page 11 des « Lignes directrices du CEPD portant sur l'évaluation du caractère proportionné des mesures limitant les droits fondamentaux à la vie privée et à la protection des données à caractère personnel ». [ CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 7/32 11 ressort du texte sous avis que le déroulement de l'enquête administrative engendrera une duplication des informations concernant les antécédents judiciaires d'une personne dans les mains de différentes autorités. En effet, la Commission nationale comprend que certaines des données contenues dans les fichiers tenus par la Police grand-ducale, par le Ministère public ou le SRE seront amenées à figurer une nouvelle fois dans un fichier tenu par le ministre. Afin d'éviter une duplication de telles données et la tenue d'une sorte de nouveau « casier bis » par le ministre pour les personnes concernées par la loi en projet, la CNPD estime qu'une méthode moins intrusive pour atteindre le même but devrait être préférée au système actuellement prévu par les auteurs du projet de loi. Elle se rallie, ainsi, à la proposition faite par le Conseil d'Etat dans son avis complémentaire du 19 décembre 202016 selon lequel il propose le mécanisme d'un avis circonstancié émis par le procureur d'État et transmis au ministre. Ce mécanisme se substituerait à la communication au ministre de renseignements par la Police grand-ducale, le Ministère public et le SRE. Un tel mécanisme permettrait d'éviter une duplication des données concernant les antécédents judiciaires d'un demandeur tout en permettant au ministre d'obtenir les informations nécessaires et pertinentes, sous forme d'un avis, afin de lui permettre d'apprécier I'« honorabilité » d'un demandeur. Un tel mécanisme présente encore l'avantage que l'enquête administrative serait confiée à une autorité répressive, le Ministère public, et non pas à une administration. En effet, une telle autorité serait plus appropriée pour mener une telle enquête eu égard à la nature des données traitées. Sur le système belge et français Il est intéressant de noter qu'une approche similaire a été adoptée en Belgique et en France. En effet, en Belgique, le gouverneur, qui est l'autorité compétente pour délivrer des agréments ou autorisation pour la détention d'une arme à feu, statue sur la demande après avoir reçu l'avis motivé du procureur du Roi et du bourgmestre compétents' ou après avis du chef de corps de la police locale". 18 Avis complémentaire du Conseil d'Etat du 19 décembre 2020, document parlementaire n°7425/08, développements sous « Amendement 14 ». 17 En ce qui concerne les agréments d'armuriers, intermédiaires, collectionneurs d'armes et de toute personne exerçant certaines activités professionnelles impliquant la détention d'armes à feu, l'article 11 paragraphe

(1)de la loi du 8 juin 2006 précitée dispose que : « [b]ette autorisation ne peut être délivrée qu'après avis, dans les trois mois de la demande, du chef de corps de la police locale de la résidence du requérant. La décision doit être motivée. (...) S'il apparaît que la détention de l'arme peut porter atteinte à l'ordre public ou que le motif légitime invoqué pour obtenir l'autorisation n'existe plus, le gouverneur compétent pour la résidence de l'intéressé peut limiter, suspendre ou retirer l'autorisation par décision motivée selon une procédure définie par le Roi et après avoir pris l'avis du procureur du Roi compétent pour cette résidence. ». 18 En ce qui conceme la délivrance d'une autorisation pour la détention d'une arme à feu par un particulier, l'article 11 paragraphe

(1)de la loi du 8 juin 2006 précitée dispose que : « [c]ette autorisation ne peut être délivrée qu'après avis, dans les trois mois de la demande, du chef de corps de la police locale de la résidence du requérant. La décision doit être motivée. (...) S'il apparaît que la détention de l'arme peut porter atteinte à l'ordre public ou que le motif légitime invoqué pour obtenir l'autorisation n'existe plus, le gouverneur compétent pour la résidence de l'intéressé peut limiter, suspendre ou retirer l'autorisation par décision motivée selon une procédure définie par le Roi et après avoir pris l'avis du procureur du Roi compétent pour cette résidence. ». [ CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 8132 En France, le préfet qui est l'autorité compétente pour délivrer les autorisations en matière d'armes19, se verra lui aussi communiquer l' « avis du service national des enquêtes administratives de sécurité » et l' « avis issu de l'enquête administrative diligentée par les services de police ou de gendarmerie » afin de délivrer lesdites autorisations. Par conséquent, afin de répondre au critère de nécessité, la CNPD recommande aux auteurs du projet de loi de s'inspirer du système mis en place par les législations belges et françaises et de suivre les suggestions émises par le Conseil d'Etat, comme mentionné ci-avant. Enfin, sous réserve que les auteurs du projet de loi maintiennent le système envisagé par le projet de loi sous avis, la Commission nationale entend faire les commentaires ci-après. B. Sur l'origine des données traitées par le ministre La Commission nationale comprend que les données collectées et traitées par le ministre dans le cadre de l'enquête administrative proviennent de fichiers tenus par la Police grand-ducale, le Ministère public et le SRE. Ces données ont été initialement collectées par les autorités précitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. L'article 14 nouveau prévoit que ces autorités communiquent au ministre de telles données dans le cadre de l'enquête administrative. La CNPD se félicite qu'une telle base légale soit prévue par le dispositif sous avis conformément aux dispositions de l'article 8 paragraphe

(1)de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Cet article dispose que « Nes données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article ler ne peuvent être traitées à des fins autres que celles y énoncées, à moins qu'un tel traitement ne soit autorisé par le droit de l'Union européenne ou par une disposition du droit luxembourgeois. ». Par ailleurs, il y a lieu de relever que cette base légale semble instaurer un régime spécial par rapport aux dispositions de la section 2, chapitre 2, de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière, et à celles prévues par l'article 9 paragraphe

(2)de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE. l'Article R.312-2 du Code de la sécurité intérieure française. [CNPF Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 9132 En effet, ces dispositions ont respectivement pour objet d'encadrer la transmission de telles données par la Police grand-ducale à d'autres administrations dans le cadre de la vérification de l'honorab11ité20, et la communication par le SRE « [dies renseignements collectés dans le cadre de ses missions (...) aux administrations dans la mesure où ces renseignements paraissent utiles à l'accomplissement de leurs missions respectives. »21 . En tout état de cause, il convient de saluer le fait que cette base légale prévoit expressément la communication des données visées à l'article 14 nouveau par le Ministère public au ministre dans le cadre de l'enquête administrative alors qu'à ce jour aucune disposition légale ne prévoyait une telle communication. Ce d'autant plus, eu égard à la récente affaire dite du « casier bis » ou « Jucha ». Enfin, et afin de permettre aux personnes concernées de comprendre l'étendue et la portée de l'enquête administrative, ne serait-il pas préférable d'indiquer expressément à l'article 14 nouveau que les données collectées lors de l'enquête administrative proviennent des fichiers tenus par la Police grand-ducale, le Ministère public ou le SRE ? Quant aux fichiers tenus par la Police grand-ducale, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le projet de loi n°7741 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat et 3° du Code pénal, déposé le 30 décembre 2020 (ci-après le « projet de loi n°7741 »). Le projet de loi n°7741 a pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale, et plus précisément dans le fichier central. L'article 43-2 du projet de loi n°7741 prévoit que le fichier central disposera d'une partie passive (quant aux informations qui seraient transmises dans la partie passive du fichier central, il est renvoyé au projet de loi n°7741). Il y a lieu de relever que l'accès à la partie passive du fichier central sera strictement limité aux finalités énumérées au paragraphe

(19)de l'article 43-2 du projet de loi n°7741. Cette consultation ne sera, en outre, possible qu'avec l'accord du procureur général d'Etat. Dès lors et dans la mesure où la consultation à des fins de réalisation d'une enquête administrative, telle que prévue par l'article 14 nouveau du projet de loi, ne semble pas être visée par l'article 43-2 précité, il y a lieu de s'interroger sur l'articulation des dispositions prévues par le projet de loi n°7741 avec celles du projet de loi sous avis. 20 Voir document parlementaire n°6975 sur le projet de loi relative à l'échange de données à caractère personnel et d'informations en matière policière, commentaires des auteurs du projet de loi concernant les articles 26 et suivants du projet de loi. 21 Article 9 paragraphe

(2)de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE. CNID1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 10132 C. Sur le principe de limitation des finalités Conformément au principe de limitation des finalités, les données personnelles doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. Il y a lieu de relever que la transmission des données provenant de fichiers tenus par la Police grand-ducale, le Ministère public ou encore le SRE vers le ministre, à des fins d'enquête administrative, est très délicate voire risquée et doit, dès lors, être limitée à des situations exceptionnelles et strictement limités. Ainsi, l'utilisation des données à des fins autres que celles pour lesquelles ont été transmises au ministre, comporte des risques additionnels et semble a priori difficilement justifiable. Une telle utilisation ultérieure devrait en tout état de cause respecter les conditions de l'article 6 paragraphe

(4)du RGPD et faire l'objet d'une loi « du moins quant aux éléments essentiels de la matière » conformément à l'article 11, paragraphe

(3)de la Constitution22. Par conséquent, à l'instar des dispositions prévues à l'article 26 paragraphes

(2)et

(3)de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière p01icière23, ne faudrait-il pas prévoir dans le projet de loi sous avis que les données transmises au ministre, à des fins d'enquête administrative, ne peuvent être utilisées que pour la finalité pour laquelle elles ont été transmises et encadrer la transmission, le cas échéant, par le ministre à une autre administration/ à un tiers ? Par ailleurs, il est intéressant de noter que la loi allemande du 1 7 février 2020 sur les armes prévoit que les données collectées dans le contexte de la vérification de l'honorabilité ne peuvent être utilisées qu'à cette fin dans le cadre de la loi sur les armes. Le § 5 « Zuverlässigkeit »,

(5)précise que « (...) Die nach Satz 1 Nummer 2 erhobenen personenbezogenen Daten dürfen nur für den Zweck der waffenrechtlichen Zuverlässigkeitsprüfung verwendet werden ». 22 Voir en ce sens, M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.471 à 472, n°619. 23 L'article 26 paragraphes

(2)et

(3)dispose que : «

(2)Les données et informations transmises ne peuvent être utilisées par l'administration que pour la finalité pour laquelle elles ont été transmises. Elles sont effacées dès que leur conservation n'est plus nécessaire au regard de la finalité pour laquelle elles ont été transmises.

(3)La transmission ultérieure des données et informations par l'administration de l'État à une tierce personne requiert l'accord préalable écrit de la personne visée à l'article 18, paragraphe 1 er, ayant transmis les données et informations concemées. Le cas échéant, l'article 6, paragraphe 3, est applicable ». CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 11/32 D. Sur le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes L'article 10 du RGPD dispose que « Ne traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l'article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. ». Ledit article précise encore que « eut registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique ». Force est de constater que pareilles garanties ne semblent pas avoir été prévues par les auteurs du projet de loi, ou alors celles-ci ne sont pas précisées par ces derniers dans le dispositif sous avis ni dans leur commentaire de l'article 14 nouveau. Or, il est essentiel que de telles garanties soient prévues dans le projet de loi alors qu'en l'état actuel du dispositif sous avis, les personnes concernées verront une duplication de leurs données relatives à des condamnations pénales ou à des infractions aux mains de plusieurs autorités. La collecte de telles données lors de l'enquête administrative pourrait aboutir à la tenue d'une sorte de nouveau « casier bis » par le ministre. Celui-ci disposerait, le cas échéant, à l'issue de l'enquête de la copie de rapports de police, extraits de procès-verbaux, jugements, ou encore des « informations nécessaires » fournies par le SRE. En outre, il y a encore lieu de s'interroger sur la question de l'exactitude et de la mise à jour des données qui seraient transmises par le Ministère public, la Police grand-ducale ou par le SRE au ministre alors que le système envisagé ne prévoit pas un retour de ces autorités vers le ministre. Par exemple, cette question pourrait se poser dans l'hypothèse où des données transmises par la Police grand-ducale ou le SRE, et relatives à des faits concernant un requérant aboutiraient à une décision de non-lieu, un classement sans suite. La CNPD estime donc essentiel que des garanties soient prévues par les auteurs du projet de loi. La transmission d'un avis circonstancié du Ministère public à la place des transmissions actuellement prévues par le projet de loi, tel que suggéré par le Conseil d'Etat, pourrait être l'une d'entre elles. E. Sur le traitement de catégories particulières de données à caractère personnel A titre de remarque liminaire, il y lieu de souligner que si les données transmises par le SRE au ministre le sont pour des finalités administratives, il n'en reste pas moins que la nature même des CNPF Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 12/32 données ne changera pas. Dans ce contexte, il y a lieu de s'interroger sur l'applicabilité de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Dans le cadre de l'échange de données entre le SRE et le ministre, tel que prévu au paragraphe

(6)de l'article 14 nouveau du projet de loi sous avis, la CNPD comprend que, dans ce contexte, des catégories particulières de données, au sens de l'article 9 du RGPD, seraient susceptibles d'être communiquées au ministre. En effet, les auteurs du projet loi précisent que ce paragraphe a été introduit compte tenu du « contexte politique actuel au niveau des tendances extrémistes violentes », contexte qui « démontre l'importance pour les autorités de pouvoir vérifier plus en détail la personne qui soumet une autorisation d'acquérir, d'acheter, d'importer, d'exporter, de transférer, de transporter, de détenir, de porter, de vendre et de céder des armes et munitions ». Dès lors, il y a lieu de s'interroger sur le fait de savoir si des données relatives aux opinions politiques voir aux convictions religieuses ou philosophiques d'une personne sollicitant un agrément, permis ou autorisation seraient susceptibles d'être communiquées au ministre. Dans l'affirmative, il s'agira d'un traitement de catégories particulières de données. A ce titre, il est rappelé que le traitement de catégories particulières de données est, en principe, interdit par l'article 9 paragraphe

(1)du RGPD' sauf si une des conditions visées au paragraphe

(2)dudit article s'applique. La Commission nationale estime que le traitement de catégories particulières de données, lors de l'enquête administrative par le ministre, pourrait se baser sur l'article 9 paragraphe

(2)du RGPD. Cet article dispose que « [l]e traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ». A défaut de précision des « mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée », le projet de loi sous avis ne semble pas offrir un fondement juridique suffisant pour traiter ces catégories de données particulières. " L'article 9 paragraphe

(1)dispose que : « file traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits ». [ CNP1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 13132 Afin de rendre licite un tel traitement de données par le ministre, la Commission nationale estime indispensable que de telles mesures soient définies dans le projet de loi sous avis. Il conviendrait également de préciser expressément que des catégories particulières de données pourraient être collectées alors que cela ne résulte pas de la lecture du paragraphe

(6)de l'article 14 nouveau du projet de loi. Ainsi, il est suggéré que les auteurs du projet de loi s'inspirent des dispositions françaises visées à l'article R.312-85 point VI du Code de la sécurité intérieure intitulé « données et informations issues de l'enquête administrative ». Cet article dispose que « Mar dérogation, sont autorisés, en cas de nécessité absolue pour les seules fins et dans le respect des conditions applicables à ce traitement, la collecte, la conservation et le traitement de données strictement nécessaires, adéquates et non excessives qui figurent dans l'enquête administrative mentionnée au V et relatives : 1° Aux opinions politiques, aux convictions religieuses, à l'appartenance syndicale ou à la santé de la personne faisant l'objet de cette enquête administrative ; 2° A la prétendue origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses, à l'appartenance syndicale, à la vie sexuelle ou l'orientation sexuelle d'une personne autre que celle faisant l'objet de l'enquête administrative mentionnée au V, sous réserve que ces données se rapportent à une procédure dans laquelle la personne faisant l'objet de l'enquête administrative est mise en cause. ». F. Sur le principe de minimisation des données Outre le fait que les dispositions des articles 9 et 10 du RGPD devront être respectées, le principe de minimisation devra également être respecté lors de la mise en œuvre du traitement visé à l'article 14 nouveau. Conformément à ce principe, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. La minimisation des données signifie que le responsable du traitement doit uniquement traiter les données qui sont nécessaires (et non seulement utiles) à la réalisation des finalités. S'il y a lieu de féliciter les auteurs du projet de loi pour avoir délimité les faits sur lesquels l'enquête administrative portera, des précisions quant aux données qui seront effectivement communiquées au ministre, lors de l'enquête administrative, mériteraient d'être apportées. En l'absence de telles précisions, la Commission nationale n'est pas en mesure d'apprécier si le principe de minimisation des données serait respecté et tient à soulever les points ci-après. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 14/32 a. Sur les données transmises par la Police grand-ducale et le Ministère public au ministre i. Sur les données qui portent sur des faits n'ayant pas donné lieu à une décision de justice - Ad paragraphes

(2)et

(3)de l'article 14 nouveau Le paragraphe

(2)de l'article 14 nouveau du projet de loi dispose que les informations relatives aux faits, visés au paragraphe

(3)de l'article précité, sont communiquées au ministre « sous forme de l'intégralité ou d'extraits de procès-verbaux ou rapports de police, jugements, arrêts, ordonnances, ou tout autre document ou acte de procédure contenant les informations concernées ». Le texte précise encore que « les faits auxquels se rapportent les informations fournies par le Ministère public et la Police grand-ducale ne peuvent avoir été commis plus de cinq ans avant l'introduction de la demande en obtention d'une autorisation, d'un permis ou d'un agrément prévus par la présente loi, sauf si ces faits ont fait l'objet d'une condamnation pénale ou font l'objet d'une poursuite pénale en cours, auquel cas le délai de cinq ans est porté à 10 ans ». S'il y a lieu de féliciter les auteurs du projet de loi pour ces précisions, le texte ne précise pas avec suffisamment de clarté : quelles seraient les données transmises par la Police grand-ducale au ministre, et sous quelles formes celles-ci seraient transmises ; et quelles seraient les données transmises par le Ministère public au ministre, et sous quelles formes celles-ci seraient transmises. De telles précisions sont importantes alors que le ministre serait susceptible de recevoir plusieurs documents relatifs à des mêmes faits par la Police grand-ducale et le Ministère public. Or, pareille situation ne serait pas conforme au principe de minimisation des données. En outre, la formulation « tout autre document ou acte de procédure contenant les informations concernées » est trop vague, de sorte qu'il n'est pas possible de comprendre à sa lecture quelles seraient les informations communiquées. Une telle formulation est source d'incertitudes et d'insécurité juridique' et des précisions mériteraient d'être apportées par les auteurs du projet de loi. 25 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; Voir entre autres CourEDH, Zakharov e. Russie [GCL n"47413/061, § 228-229, 4 décembre 2015. CNP1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 15/32 Par ailleurs, il est encore regrettable que les auteurs du projet de loi n'aient pas précisé quelles étaient les situations pour lesquelles il serait justifié de communiquer au ministre l'intégralité ou seulement un extrait des informations visées au dernier alinéa du paragraphe

(2)article 14 nouveau du projet de loi alors que de telles explications sont apportées par les auteurs du projet de loi en ce qui concerne le paragraphe

(5)de l'article précité. En tout état de cause, des explications quant à la nécessité d'obtenir de telles informations devraient être fournies par les auteurs du projet de loi. - Ad paragraphe

(4)de l'article 14 nouveau Dans l'hypothèse où une enquête préliminaire ou une instruction préparatoire est en cours, seules les données visées au paragraphe

(4)de l'article 14 précité pourront être transmises au ministre. La Commission nationale se félicite de telles précisions. En outre, et comme relevé par le Conseil d'Etat dans son avis complémentaire précité, quelle serait la portée du secret de l'instruction par rapport aux règles de la procédure administrative non contentieuse et contentieuse ? Sur les données qui portent sur des faits ayant donné lieu à une décision de justice Il y a lieu de constater que le paragraphe

(5)de l'article 14 nouveau prévoit que sur demande « le procureur d'Etat communique au Ministre copie des décisions judiciaires qui figurent le cas échéant sur le bulletin n°2 du casier judiciaire de la personne concernée, délivré au Ministre conformément à l'article 15, paragraphe 4 ». Les auteurs du projet de loi précisent que « lorsque l'extrait n°2 du casierjudiciaire du demandeur renseigne sur plusieurs condamnations pour des faits graves, parfois avec des peines d'emprisonnement fermes (...) la communication des jugements ou arrêts en cause n'est pas nécessaire, alors que la demande peut alors être refusée sur base du seul casier judiciaire. Cependant, lorsque l'extrait ne renseigne, par exemple, qu'une seule condamnation pour des coups et blessures volontaires, avec comme seule peine une amende, parfois même peu élevée, l'analyse des faits in concreto s'impose et la communication d'une copie du jugement ou de l'arrêt est alors nécessaire ». CNP1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 16132 La CNPD considère au vu des justifications des auteurs du projet de loi que le principe de minimisation des données pourrait être respecté dans de tels cas, alors que la communication de telles décisions ne serait pas systématique. Néanmoins, il y a lieu de relever que l'alinéa 2 du paragraphe

(2)de l'article 14 nouveau prévoit que les informations, concernant les faits visés au paragraphe

(3), pourront être communiquées au ministre sous forme de l'intégralité ou d'extraits de « jugements, arrêts, ordonnances ». Les auteurs du projet de loi ne justifient pas dans leur commentaire de l'article la nécessité et l'utilité d'une telle communication alors que le ministre peut, d'ores et déjà, avoir accès, le cas échéant, aux décisions qui figurent sur le bulletin n°2 de la personne concernée. Ces dispositions visent-elles la possibilité pour le ministre d'obtenir des décisions qui ne seraient pas encore définitives ou non encore inscrites au bulletin n°2 ? Si tel devait être le cas, la Commission nationale partage les réserves émises par le Conseil d'Etat ainsi que le Parquet général dans leur avis respectif sur la transmission de décisions non définitives'. Ne faudrait-il pas prévoir à l'instar de l'alinéa 2 du paragraphe

(4)que le ministre a la possibilité de tenir en suspens une demande d'autorisation, d'agrément ou de permis pour les cas où une décision ne serait pas définitive ? En tout état de cause, ce système ne devrait pas permettre au ministre d'obtenir la communication de décisions de justice qui n'apparaîtraient plus sur l'extrait de casier judiciaire pour les cas où une réhabilitation pénale aurait été accordée. b. Sur l'échange de données entre le SRE et le ministre i. Remarques liminaires Les auteurs du projet de loi précisent dans leur commentaire du paragraphe

(6)de l'article 14 nouveau que ce paragraphe prévoit la base légale qui permettrait au Service Armes & Gardiennage et au SRE d'échanger des informations qui seraient nécessaires à l'accomplissement de leurs missions respectives. Cependant, il y a lieu de constater que l'échange de données, tel que prévu par le paragraphe

(6)de l'article précité, entre le ministre et le SRE dans le cadre de l'exécution de ses missions " Voir avis du parquet général, document parlementaire N°7425/02, page 18, commentaires sous le point 22) et avis du Conseil d'Etat, document parlementaire n°7425/04, page 23, commentaires relatifs à l'article 50. CNPE1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 10 transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 17132 telles que visées à l'article 3, paragraphe

(2)de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE est déjà prévu par les dispositions des articles 9 et 10 de la loi précitée'. La Commission nationale se demande, dès lors, comment s'articulent les présentes dispositions avec les dispositions visées aux articles 9 et 10 de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE. Sur les données communiquées par le SRE au ministre Il y a lieu de relever que le paragraphe

(6)de l'article 14 nouveau du projet de loi dispose que « le Ministre et le Service de renseignement de l'Etat échangent (...) les informations qui sont nécessaires (...) ». Dans leur commentaire du paragraphe

(6)de l'article 14 nouveau, les auteurs du projet de loi précisent qu'il est important de « disposer de toutes les informations connues sur une personne afin de ne pas courir le risque de donner une autorisation en matière d'armes à un potentiel extrémiste à propension violente, voire un terroriste en puissance ». Or, eu égard à la nature des données qui seraient communiquées, il est impératif que des précisions soient apportées par les auteurs du projet de loi quant aux catégories de données qui seraient communiquées par le SRE au ministre afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou règlementaire

En l'absence de telles précisions, la CNPD n'est pas en mesure d'apprécier si un tel traitement de données est susceptible de respecter le principe de minimisation des données. Sur ce point, il est suggéré aux auteurs du projet de loi de s'inspirer des dispositions légales de la loi allemande du 17 février 2020 (« Waffengesetz ») qui précise les infractions sur lesquelles porte la vérification de la « Zuverlässigkeit » effectuée par l'équivalent du SRE a11emand
27 L'article 9, paragraphe

(2)dispose que « [I]e SRE communique dans les meilleurs délais les renseignements collectés dans le cadre de ses missions aux autorités judiciaires, aux services de la police grand-ducale et aux administrations dans la mesure où ces renseignements paraissent utiles à l'accomplissement de leurs missions respectives », l'article 10, paragraphe

(2)dispose que « [d]ens le cadre de l'exercice de sa mission, le SRE a accès direct, par un système informatique, aux traitements de données à caractère personnel suivants: (...) g) le fichier des armes prohibées du ministre ayant la Justice dans ses attributions ». 28 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; Voir entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre 2015. 28 Le paragraphe

(5)paragraphe

(5)intitulé « Zuverlässigkeit », point

(5), 4., de la loi allemande du 17 février 2020 dispose que «

(5)Die zuständige Behörde hat im Rahmen der Zuverlässigkeitsprüfung folgende Erkundigungen einzuholen: (...) 4. die Auskunft der für den Wohnsitz der betroffenen Person zuständigen Verfassungs- schutzbehörde, ob Tatsachen bekannt sind, die Bedenken gegen die Zuverlässigkeit nach Absatz 2 Nummer 2 und 3 begründen; liegt der Wohnsitz der betroffenen Person augerhalb des CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 18/32 c. Sur la transmission de données par les juridictions pénales d'un Etat membre au ministre En ce qui concerne le paragraphe

(8)de l'article 14 nouveau, les auteurs du projet de loi sous avis précisent dans leur commentaire y afférent qu'il ne s'agit pas de « dispositions nouvellement proposées par les présents amendements » mais qu'il s'agit en substance de la reprise du paragraphe

(4)de l'article 57 initial du projet de loi. Or, il y a lieu de relever que si ce paragraphe est une reprise fidèle du paragraphe

(4)de l'article 57 initial du projet de loi, la CNPD est d'avis que l'apposition du terme « [p]our les besoins de l'appréciation de l'honorabilité » au début du paragraphe

(8)de l'article 14 nouveau change le sens des dispositions initiales. Cela laisse, en effet, supposer que les condamnations à l'étranger sont à prendre compte lors de la vérification de l'honorabilité. Si tel devait être le cas, l'origine des données devrait être précisée, de même que les catégories de données prises en compte par le ministre dans le cadre de la vérification d'honorabilité devraient être précisées. S'il devait s'agir de la communication des extraits de casiers judiciaires provenant d'un autre Etat membre de l'Union européenne, d'un pays associé à l'espace Schengen ou de l'Espace économique européen, alors cela devrait être reflété dans le dispositif. 2. Sur la mise en place d'un système de suivi en ce qui concerne la vérification de l'honorabilité L'article 5 paragraphe

(2)de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes (ci-après la « directive ») prévoit un système de suivi « qui fonctionne de manière continue ou périodique visant à garantir que les conditions d'octroi d'une autorisation fixées par le droit national sont remplies pour toute la durée de l'autorisation ». Un tel système Geltungsbereichs dieses Gesetzes, ist das Bundesamt für Verfassungsschutz für die Erteilung der Auskunft zuständig. Die nach Satz 1 Nummer 2 erhobenen personenbezogenen Daten dürfen nur für den Zweck der waffenrechtlichen Zuverlässigkeitsprüfung verwendet werden. Erlangt die für die Auskunft nach Satz 1 Nummer 4 zuständige Verfassungsschutzbehörde im Nachhinein für die Beurteilung der Zuverlässigkeit nach Absatz 2 Nummer 2 und 3 bedeutsame Erkenntnisse, teilt sie dies der zuständigen Behörde unverzüglich mit (Nachbericht). Zu diesem Zweck speichert sie Name, Vorname, Geburtsdatum, Geburtsname, Geburtsort, Wohnort und Staatsangehörigkeit der betroffenen Person sowie Aktenfundstelle in den gemeinsamen Dateien nach § 6 des Bundesverfassungsschutzgesetzes. Lehnt die zuständige Behörde einen Antrag ab oder nimmt sie eine erteilte Erlaubnis zurück oder widerruft diese, so hat sie die zum Nachbericht verptlichtete Verfassungsschutzbehörde hiervon unverzüglich in Kenntnis zu setzen. Die zum Nachbericht verptlichtete Verfassungsschutzbehörde hat in den Fällen des Satzes 5 die nach Satz 4 gespeicherten Daten unverzüglich zu löschen. ». CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 19132 qui n'était pas transposé dans le projet de loi initial semble être transposé suite aux amendements sous avis. En effet, la CNPD comprend qu'un système de suivi quant à la condition d'honorabilité serait instauré, tel que cela ressort des dispositions des paragraphes

(4), alinéa 3, et

(6)de l'article 14 nouveau ainsi qu'à l'article 51 (49 initial) du projet de loi. Elle entend préciser les points suivants quant à ces dispositions. Par ailleurs, à défaut de précision dans le projet de loi sous avis, il y a lieu de s'interroger sur la mise en place pratique du système de suivi envisagé. En effet, dans la mesure où le Ministère public, la Police grand-ducale et le SRE ont accès au fichier des armee, tenu par le ministre, ces derniers consulteront ils ledit fichier de façon proactive et de manière régulière afin de faire remonter au ministre des informations susceptibles de remettre en cause « l'honorabilité » d'un titulaire d'une autorisation, agrément ou permis en cours de validité ? A. Ad paragraphe

(4)alinéa 3 de l'article 14 nouveau du projet de loi L'alinéa 3 du paragraphe

(4)de l'article susvisé précise que les données visées à l'alinéa 1 du paragraphe

(4)de l'article précité peuvent être communiquées par le procureur d'Etat général au m in istre « lorsqu'il dispose d'informations susceptibles de mettre en doute l'honorabilité » d'un titulaire d'une autorisation, d'un permis ou d'un agrément en cours de validité. Les dispositions de l'alinéa 1 du paragraphe

(4)de l'article 14 nouveau du projet de loi énumèrent les données pouvant être communiquées dans le cas où une enquête préliminaire ou une instruction préparatoire est en cours pour les faits visés au paragraphe

(3)de l'article 14 précité. Cependant, il y a lieu de relever que le texte sous avis reste muet quant aux informations qui concerneraient des faits qui ne font pas l'objet d'une enquête préliminaire ou d'une instruction préparatoire. Par ailleurs, la Commission nationale se demande comment le ministre obtient les « informations susceptibles de mettre en doute l'honorabilité » relatives à un titulaire d'une autorisation, d'un permis ou d'un agrément en cours de validité ? Est-ce que l'obtention de telles informations se fait par l'intermédiaire du Ministère public via la procédure visée à l'article 51 du projet de loi sous avis ? Qu'en est-il de la Police grand-ducale ou du SRE si ces derniers devaient disposer 3° Conformément à l'article 48-24 du Code de procédure pénale, à l'article 43 de la loi du 18 juillet 2018 sur la Police grand-ducale et à l'article 10 de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat, les parquets, la Police grand-ducale et le SRE ont respectivement accès au fichier des anries Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 20/32 d'informations susceptibles de mettre en doute l'honorabilité d'un titulaire d'une autorisation, permis ou agrément en cours de validité ? Des précisions à ce sujet mériteraient d'être indiquées par les auteurs du projet de loi. B. Ad paragraphe

(6)de l'article 14 nouveau du projet de loi L'article 14 nouveau paragraphe

(6)du projet de loi prévoit un échange entre le ministre et le SRE des informations nécessaires à l'appréciation de l'honorabilité. Il y a cependant lieu de constater que cette vérification de l'honorabilité n'est pas encadrée temporellement. La CNPD recommande de préciser, à l'instar de la loi allemande du 17 février 2020, les modalités d'un tel échange notamment dans l'hypothèse où le SRE obtiendrait des informations, concernant un titulaire d'une autorisation, d'un permis ou d'un agrément en cours, qui seraient susceptibles d'avoir des conséquences sur son honorabilité. C. Ad article 51 (49 initial) du projet de loi L'amendement n°51 est une reformulation complète de l'article 51 (49 initial) du projet de loi. Cet article intitulé « Information du Ministre par le Ministère public » vise l'obtention d'informations par le Service Armes & Gardiennage de la part du Parquet de Luxembourg et non de la Police grandducale comme cela était prévu initialement dans l'article 49 du projet de loi. La transmission d'informations intervient si le « procureur général d'Etat et le procureur d'Etat compétent estiment que la transmission du procès-verbal ou du rapport est opportune ». Bien que cela ne ressorte pas expressément du dispositif sous avis, la CNPD comprend que ce dispositif s'inscrit dans la mise en place d'un système de suivi afin que le ministre s'assure que le titulaire d'un agrément, d'une autorisation ou d'un permis en cours, délivré sur base du projet de loi, remplisse toujours la condition d'honorabilité visée à l'article 14 nouveau du projet de loi. Si les dispositions de cet article ne devaient pas viser une telle hypothèse, quelle serait, dès lors, la finalité et la nécessité d'une telle communication ? Dans la mesure où cet article semble être le pendant de l'article 14 du projet de loi sous avis, il conviendrait de préciser que les informations concernant un fait commis par un titulaire d'une autorisation, d'un agrément ou permis ne puissent concerner que les faits visés au paragraphe

(3)de l'article

En effet, la formulation actuelle « si le procureur général d'Etat et le procureur d'Etat compétent estiment que la transmission du procès-verbal ou du rapport est opportune » apparaît trop vague CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 21/32 aux yeux de la CNPD, dans la mesure où elle pourrait être interprétée comme élargissant les faits pouvant faire l'objet d'une vérification d'honorabilité. Par ailleurs, ne faudrait-il pas également prévoir la communication de telles informations sous forme d'avis circonstancié du procureur général d'Etat ou du procureur d'Etat compétent plutôt que la transmission de procès-verbaux ou de rapports ?
Sur la durée de conservation des données obtenues dans le cadre de la vérification de l'honorabilité Selon l'article 5 paragraphe

(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. La Commission nationale regrette que les auteurs du projet de loi n'aient pas indiqué les durées de conservation des données traitées dans le cadre de l'enquête administrative et dans le cadre du système de suivi. En l'absence de précisions des auteurs du projet de loi sur ce point, la CNPD n'est pas en mesure d'apprécier si, en l'occurrence, le principe de durée de conservation limitée des données est respecté. Or, la Commission nationale estime essentiel que des précisions à ce sujet soient apportées et ce d'autant plus eu égard à la nature des données à caractère personnel en cause. Ainsi, la durée de conservation devrait être définie dans le projet de loi ou celui-ci devrait a minima préciser les critères qui seraient pris en compte afin de déterminer quelle est la durée de conservation proportionnée pour chaque catégorie de données à caractère personnel qui serait collectée par le ministre. A titre d'exemple, il est suggéré aux auteurs du projet de loi de s'inspirer des dispositions françaises qui fixent une durée de conservation pour les données issues de l'enquête administrative. L'article R312-88 du Code de la sécurité intérieure française dispose que : « /yes données à caractère personnel et informations mentionnées au d du 10 du I et aux V et VI de R. 312-85 [les données issues de l'enquête administrative] sont conservées pendant une durée maximale d'un an à compter de la notification des décisions mentionnées au IV du même article ou, en cas de recours contentieux dirigé contre ces décisions, jusqu'à ce qu'II ait été définitivement statué sur le litige ». Enfin, il y a également lieu de constater que le dispositif sous avis ne prévoit aucune disposition relative à la mise à jour des données obtenues par le ministre dans le cadre de la vérification CNPDI Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 10 transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 22/32 d'honorabilité. Or, compte tenu des données collectées, il convient d'attirer l'attention des auteurs du projet de loi sur le fait qu'il existe un risque important que des données relatives à une personne dont l'affaire a été classée sans suite ou qui a entretemps été acquittée d'une infraction dont elle a été accusée se trouvent toujours dans les dossiers de l'administration, sans une mise à jour ou rectification afférente. 4. Sur le droit des personnes concernées Selon l'article 5 paragraphe

(1)lettre (a) du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (principe de licéité, loyauté, transparence), ce qui implique notamment que le ministre devra respecter les dispositions de l'article 13 du RGPD pour ce qui de la collecte de données directement auprès de la personne concernée, sinon celles de l'article 14 du RGPD, lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée ellemême, c'est-à-dire celles collectées indirectement auprès du Ministère public, de la Police grandducale ou du SRE. En vertu de ces articles, le responsable du traitement fournit à la personne concernée des informations au sujet du traitement la concernant, notamment pour garantir un traitement équitable et transparent. Dès lors, dans la mesure où le ministre, dans le cadre de l'enquête administrative, ne collecte pas directement les données auprès des personnes concernées celui-ci doit fournir l'ensemble des informations visées à l'article 14 du RGPD. Ces informations devront être fournies à la personne concernée au plus tard un mois après que le ministre ait obtenu les données. Enfin, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que sans dérogation explicite dans le projet de loi, ces droits sont tous applicables intégralement. Or, de telles dérogations pourraient s'avérer opportunes lorsque les informations obtenues dans le cadre de la vérification d'honorabilité concernent des enquêtes ou instructions pénales en cours. A toutes fins utiles, il y a lieu de préciser que la législation française en matière d'armes prévoit, à l'article R.312-90 du Code de la sécurité intérieure, une restriction des droits des personnes concernées. Cet article dispose notamment que : « files droits d'information, d'accès, de rectification et à la limitation des données mentionnés aux articles 13 à 16 et 18 du IRGPDI et aux articles 104 à 106 de la loi du 6 janvier 1978 précitée s'exercent auprès du service central des armes ou du préfet territorialement compétent, en fonction de leurs attributions respectives. Afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ou d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ou de protéger la sécurité publique, les droits d'accès, de rectification et à la limitation peuvent faire l'objet de restrictions en [ CNPI5- Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 23/32 application de l'article 52 et des 2° et 3° du 11 et du Ill de l'article 107 de la loi du 6 janvier 1978 précitée. ». 5. Sur l'autorité de contrôle compétente Il y a lieu de s'interroger sur le fait de savoir quelle est l'autorité de contrôle compétente pour contrôler et surveiller le respect des dispositions légales prévues par l'article 14 nouveau du projet de loi, en l'absence de précision dans le projet de loi sous avis. En effet, il existe un doute sur le point de savoir si les données, collectées initialement pour les besoins de la prévention, de la recherche, de la constatation et de la poursuite des infractions, puis transmises par la Police grand-ducale, le Ministère public et le SRE au ministre afin de lui permettre de vérifier l'honorabilité d'un demandeur de permis, autorisation ou agrément visés par le projet de loi relève de la compétence de l'autorité de contrôle judiciaire' ou de celle de la Commission nationale. Il y a lieu de rappeler que le paragraphe

(2)de l'article 40 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale dispose que « les opérations de traitement de données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles, que ce soit pour les finalités visées à l'article 1 er de la présente loi ou pour celles visées par le [RGPD], sont soumises au contrôle de l'autorité de contrôle judiciaire ». Les auteurs du projet de loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale estiment que « pour déterminer la compétence d'une des deux autorités de contrôle [CNPD ou autorité de contrôle judiciaire], la question déterminante ne sera plus la finalité de la donnée concernée, mais celle de savoir si l'autorité compétente particiPe à la prise ou à l'exécution d'une décision juridictionnelle, ce qui n'est pas le cas pour la Police »

Ils précisent encore que « lorsque pour un traitement de données à caractère personnel déterminée — relevant du champ d'application du présent projet de loi — la question de la compétence d'une des deux autorités de contrôle se pose, il faudrait en principe retenir la compétence de la Commission nationale pour la protection des données, sauf si le traitement de Autorité de contrôle de judiciaire telle que visée par l'article 40 de la loi du 1 er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. 32 Voir document parlementaire n°7168, « Ad article 41 », page
31 CNPF] Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 10 transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 24/32 données à caractère personnel concerné est effectué par une juridiction dans l'exercice de ses fonctions juridictionnelles ou par le ministère public, soit dans l'exercice de ses fonctions juridictionnelles, soit en amont ou en aval de sa participation à la prise d'une décision juridictionnelle »
En l'espèce, le ministère de la Justice n'est pas une des autorités visées par l'article 40 de la loi de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et ne rendra pas une décision juridictionnelle à l'issue de l'enquête administrative mais une décision purement administrative (par exemple délivrance d'une autorisation pour le port d'armes). Dès lors, le traitement de données effectué par le ministre dans le cadre de l'enquête administrative, visée par l'article 14 nouveau du projet de loi, pourrait tomber dans le champ de compétence de la Commission nationale. Il est intéressant de noter que cette solution a été retenue en ce qui concerne l'autorité compétente pour surveiller et contrôler les dispositions de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière'. Dans un souci de sécurité juridique et de lever tout équivoque sur ce point, les auteurs du projet de loi devrait compléter le dispositif sous avis en conséquence. A toutes fins utiles, il y a lieu de relever que la compétence de la CNPD en ce qui concerne les traitements de données effectués par le ministre dans le cadre du projet de loi sous avis ne préjuge en rien de la compétence de l'autorité de contrôle judiciaire en ce qui concerne la communication de données par le Ministère public au ministre en application de l'article 14 nouveau du projet de loi.
Remarques finales Il y a lieu de relever que dans son avis complémentaire du 19 décembre 2020 le Conseil d'Etat35 propose d'omettre la notion d'honorabilité au profit du critère de dangerosité. En effet, le Conseil d'Etat estime que le critère de l'honorabilité est « difficilement transposable à la vérification de l'aptitude d'une personne à détenir ou à manier une arme ». La haute autorité se demande encore n Voir document parlementaire n°7168, « Ad article 41 », page
Articles 25, paragraphe

(1), et 28 de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière. 35 Voir document parlementaire n°7425/08, commentaires relatifs à l'amendement 14, page

CNP61 Avis complémentaire de la Commission nationale pour la protection des données — relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 25/32 si « le seul motif pour refuser une autorisation, un permis ou un agrément ne devrait pas consister dans la dangerosité du demandeur. En effet, le critère d'« honorabilité » apparaît uniquement dans les réglementations relatives à l'accès à une profession et à l'exercice de celle-ci. » Cependant, comme relevé par le Conseil d'Etat le projet de loi se réfère « au concept d'« honorabilité » dans le cadre de deux appréciations différentes, celle des armuriers et courtiers, sous l'acception de l'honorabilité dite professionnelle, et celle des particuliers, sous la forme de l'honorabilité personnelle ». La CNPD se rallie à l'avis du Conseil d'Etat uniquement en ce qu'il n'est pas pertinent d'utiliser la notion d'« honorabilité » pour apprécier si un particulier dispose de l'aptitude requise pour détenir ou manier une arme. Néanmoins, la référence à la notion d' « honorabilité » pourrait apparaître pertinente en qui concerne les agréments qui seraient délivrés par le ministre aux armuriers ou courtiers, lesdits agréments étant un prérequis à l'accès de telles professions. A ce titre, il est précisé qu'en France la notion d' « honorabilité » est utilisée pour toute personne souhaitant « exercer l'activité qui consiste, à titre principal ou accessoire, soit en la fabrication, le commerce, l'échange, la location, la location-vente, le prêt, la modification, la réparation ou la transformation, soit en la négociation ou l'organisation d'opérations en vue de l'achat, de la vente, de la fourniture ou du transfert d'armes, de munitions ou de leurs éléments »
Cependant, cette notion n'est pas reprise pour les personnes souhaitant acquérir ou détenir une arme. En effet, l'article L.312-3-1 du Code de la sécurité intérieure français dispose que « N'autorité administrative peut interdire l'acquisition et la détention des armes, munitions et de leurs éléments des catégories A, B et C aux personnes dont le comportement laisse craindre une utilisation dangereuse pour elles-mêmes ou pour autrui ». La Commission nationale reviendra plus en détail sur la référence faite à la notion d'honorabilité dans la législation luxembourgeoise dans son avis sur le projet de loi n°7691, qui vise à harmoniser et préciser les différentes procédures de « contrôle d'honorabilité » actuellement prévues dans plusieurs textes de lois. Par ailleurs, comme relevé par le Conseil d'Etat, il faudra veiller à prendre en compte les avis formulés à l'encontre du projet de loi sous avis alors que le projet de loi n°7691 entend modifier l'article 16 de la loi modifiée du 15 mars 1983 sur les armes et munitions, qui sera abrogé par le projet de loi sous avis. Or, le dispositif proposé est identique à celui prévu par l'article 14 nouveau du projet de loi. 3° Article L.313-2 du Code de la sécurité intérieure français CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 26132 II. Sur le fichier des armes L'amendement n°15 vise à modifier l'article 13 initial du projet de loi concernant le fichier des armes tenu par le ministre. La Commission nationale accueille favorablement les amendements apportés par les auteurs du projet de loi aux paragraphes

(1),

(2)et

(4)de l'article 15 (13 initial) du projet de loi sous avis qui tiennent compte des remarques formulées par la Commission nationale dans son avis du 8 juillet 2019 et par le Conseil d'Etat dans son avis du 12 juillet 2019. Néanmoins, il est regrettable que les auteurs du projet de loi n'aient pas précisé quelles catégories de données seraient traitées et pour quelles finalités, tel que cela avait été soulevé par la CNPD dans son avis précité, alors qu'il ressort désormais du paragraphe

(1)de l'article précité que le traitement de données effectué par le ministre poursuit plusieurs finalités. Par ailleurs, si les données collectées et traitées dans le cadre de l'enquête administrative sont amenées à figurer dans ce fichier alors cela devrait ressortir clairement de cet article. A titre d'exemple, il est suggéré aux auteurs du projet de loi de prendre exemple sur la structure de l'article R.312-85 du Code de la sécurité intérieure français qui précise les différentes catégories de données à caractère personnel pouvant être collectées par le ministre de l'intérieur (service central des armes) dans le cadre de la mise en œuvre du traitement automatisé de données à caractère personnel dénommé « système d'information sur les armes » pour les finalités précisées à l'article R.312-84 du Code de la sécurité intérieure. Ainsi, cet article regroupe six grandes catégories différentes à savoir : Les données d'identification des acquéreurs et détenteurs d'armes et de leurs éléments ; Les données d'identification des armes et éléments d'armes ; Les données d'identification des personnes se livrant à la fabrication, au commerce ou à l'intermédiation d'armes ; Les données relatives à la délivrance des titres d'acquisition, de détention, de port, de fabrication, de commerce et d'intermédiation des armes, des munitions et de leurs éléments ; Les données et informations issues de l'enquête administrative ; Les catégories particulières de données qui seraient en cas de nécessité absolue collectées. CNPIl Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 27/32 1. Ad paragraphe

(3)de l'article 15 (13 initial) du projet de loi Ce paragraphe prévoit l'accès à certaines autorités nationales aux informations visées au paragraphe

(2)de l'article 15 (13 initial) du projet de loi. Il s'agirait donc d'un accès restreint au fichier des armes puisque la CNPD comprend que figurent également dans ce fichier l'ensemble des « documents gérés aux fins de l'exécution de la présente loi ». Or, un accès général au fichier des armes prohibées au sens de la loi modifiée du 15 mars 1983 sur les armes et munitions (fichier des armes au sens du projet de loi) est prévue pour : - les parquets conformément aux dispositions de l'article 48-24 du Code de procédure pénale ; - la Police grand-ducale conformément à l'article 43 de la loi du 18 juillet 2018 sur la Police grand-ducale ; et - le SRE conformément à l'article 10 de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat. Dès lors et tel que relevé par le Conseil d'Etat dans son avis en date du 12 juillet 2019, les auteurs du projet de loi devraient préciser dans quelle mesure les dispositions du paragraphe

(3)de l'article 15 (13 initial) du projet de loi s'articulent avec de telles dispositions. En l'absence de précision sur ce point ainsi qu'aux modalités de l'accès prévu au paragraphe

(3)de l'article 15 (13 initial) du projet de loi, la Commission nationale peut difficilement apprécier sa conformité au RGPD et déplore que de telles précisions n'aient pas été apportées. En outre, celle-ci s'interroge sur la possibilité que d'autres administrations, outres celles compétentes pour « la prévention, la recherche et la constatation des infractions pénales », aient accès aux données issues de l'enquête administrative. Ce point devrait être clarifié par les auteurs du projet de loi. Pour le surplus en ce qui concerne ce paragraphe, la Commission nationale réitère ses observations formulées à ce sujet dans son avis du 8 juillet 2019. Enfin, en ce qui concerne la suppression de la première phrase du dernier alinéa du paragraphe

(3)de l'article 15 (13 initial du projet de loi), la CNPD regrette une telle suppression alors que la phrase prévoyait que « les données à caractère personnel devaient être effacées du fichier à l'issue des périodes visées à l'alinéa 2 ». Elle rappelle à ce titre qu'au-delà de la durée de conservation des données déterminée par le responsable du traitement, les données doivent être supprimées ou anonymisées. [ CNP6- Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 28/32 2. Ad paragraphe

(5)de l'article 15 (13 initial) du projet de loi Les dispositions nouvelles du paragraphe

(5)de l'article 15 (13 initial) du projet de loi énumèrent les catégories de données « pouvant faire l'objet d'un échange » entre le ministre et les autorités nationales et étrangères dans la mesure où « ces échanges ont comme finalité l'exécution de la présente loi et de ses règlements d'exécution ou d'une des dispositions légales visées aux points 10 et 2° ». Il y a lieu de relever que la formulation actuelle du texte en ce qui concerne les finalités des échanges est rédigée de manière trop vague et n'est pas conforme au principe de précision et de prévisibilité auquel doit répondre un texte de loi conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme37. De plus, si la Commission nationale se félicite que les catégories de données sur lesquelles portent les échanges soient énumérées dans le projet de loi, il conviendrait néanmoins de préciser quelles catégories de données seraient susceptibles d'être communiquées à quelle autorité et pour quelle finalité. En l'absence de telles précisions, la CNPD n'est pas en mesure d'apprécier si les échanges de données visés par le paragraphe

(5)de l'article 15 (13 initial) respectent les principes de minimisation des données et de limitation des finalités. Par ailleurs, faut-il prévoir un échange de données entre le ministre et les autorités nationales compétentes pour « la prévention, la recherche et la constatation des infractions pénales » alors que cela semble être déjà prévu par le paragraphe

(3)de l'article 15 du projet de loi sous examen (voir nos développements sous le point 3) i. du présent avis). Enfin, en ce qui concerne les échanges de données avec des autorités étrangères, la Commission nationale réitère ses observations formulées dans son avis du 8 juillet

En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; Voir entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre
CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 29132 Ill. Sur l'attestation médicale L'amendement n°16 modifie l'article 14 initial du projet de loi relatif à l'attestation médicale devant être communiquée par le requérant dans le cadre de sa demande de permis, agrément ou autorisation. La Commission nationale salue les précisions apportées au paragraphe

(1)de l'article 16 (14 initial) du projet de loi. Néanmoins, la CNPD regrette que le paragraphe

(4)de l'article 16 (14 initial) du projet de loi ne précise pas les catégories de données à caractère médical et psychologique qui seraient obtenues par le ministre après que celui-ci ait octroyé un permis ou une autorisation à un requérant, de même qu'elle déplore que l'origine de telles données ne soient pas précisées. S'agit-il d'informations qui seraient obtenues dans le cadre de la procédure visée à l'article 51 du projet de loi et notamment en ce qui concerne les cas visés à l'article 71 du code pénal ? Est-ce que de telles informations sont obtenues par le ministre auprès des médecins qui auraient délivré l'attestation médicale visée au paragraphe

(1)de l'article 16 (14 initial) du projet de loi ? Des précisions quant à l'origine des données mériteraient donc d'être indiquées par les auteurs du projet de loi. Ce d'autant plus que de telles données constituent des catégories particulières de données dites « données sensibles » au sens de l'article 9 du RGPD. Il est rappelé que pour le traitement de données à caractère personnel envisagé, le droit luxembourgeois doit prévoir « des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée ». Or, la formulation actuelle ne permet pas à la Commission nationale d'apprécier si tel est le cas. IV. Sur le registre des armes L'amendement n°21 vise à modifier l'article 19 initial du projet de loi relatif au registre des armes. La Commission nationale salue que le paragraphe

(3)de l'article 21 (19 initial) du projet de loi prévoit désormais que le registre des armes est remis au ministre en cas de cessation de l'activité de l'armurier. Néanmoins, la CNPD regrette que la durée de conservation dudit registre par l'armurier, qui permettait d'assurer une certaine prévisibilité juridique, ait été supprimée. En outre, il y a lieu de relever que le dispositif ne prévoit pas non plus la durée de conservation du registre précité par le ministre en cas de remise par l'armurier si celui-ci cesse son activité. En l'absence de telles précisions la Commission nationale n'est pas en mesure d'apprécier si le principe de limitation de la conservation est respecté. CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 30/32 Il y a lieu de constater que le paragraphe

(4)de l'article 21 (19 initial) du projet de loi a également été amendé par les auteurs du projet. Le dispositif ne prévoit plus « une connexion électronique » mais un « système de transmission de données et informations par une voie électronique ». Bien que la CNPD se félicite que le terme « connexion électronique » ait été supprimé, elle regrette le manque de précisions du dispositif et réitère sur ce point ses observations formulées dans son avis du 8 juillet

V. Sur l'autorité de contrôle compétente en cas d'accès par les agents de l'Administration des douanes et accises au fichier des armes L'amendement n°55 vise à modifier l'article 52 initial du projet de loi. La CNPD salue que les auteurs du projet de loi aient supprimé la référence faite au fichier des armes prohibées suite à sa recommandation formulée dans son avis du 8 juillet
Les modifications apportées au paragraphe

(6)de l'article 54 (52 initial) du projet de loi consistent en une reformulation de l'autorité de contrôle compétente en matière de protection des données en ce qui concerne le contrôle des dispositions de l'article précité. A ce titre, compte tenu des observations émise par le Conseil d'Etat dans son avis du 12 juillet 2019, il y a lieu de relever que l'Administration des douanes et accises, en règle générale, est chargée de missions à finalité fiscale mais est également chargée de certaines missions à finalité policière, comme par exemple en matière de drogues où certains douaniers disposent de la qualité d'officier de police judiciaire. Pour les missions fiscales, le traitement de données à caractère personnel doit donc être fait suivant les dispositions du RGPD, tandis que les dispositions de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale s'appliquent au traitement de données à caractère personnel relevant des missions p01icières38. En vertu du paragraphe

(3)de l'article 54 (52 initial) du projet de loi, les fonctionnaires de l'Administration des douanes et accises ont la qualité d'officiers de police judiciaire dans l'exercice de leurs fonctions prévues au présent article. Dès lors, la formulation initiale du paragraphe

(6)(paragraphe

(7)initial) était exacte. Cependant, les modifications apportées au paragraphe

(6)font désormais référence à la loi dur' août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, il est dès lors 38 Document parlementaire 7168/00, page 34, paragraphe

CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 31/32 recommandé de se référer à la formulation qui avait été initialement employée par les auteurs du projet de loi. En tout état de cause, la CNPD ne considère pas que l'autorité de contrôle visée à l'article 40 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale pourrait être compétente alors que celle-ci n'est compétente que pour « les opérations de traitement de données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles ». Or, tel n'est pas le cas en l'espèce. Ainsi décidé à Belvaux en date du 4 février
La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annernarie Larsen Date:2021.02.08 16:5435 +01'00' Tine A. Larsen Présidente CNP1 Thierry Digitally signed by Thierry Lailemang Date: 2021.02.08 La Ilema ng 17:15:40 +0100' Thierry Lallemang Commissaire CHRISTOPHE NICOLAS BUSCHMANN Digitally signed by CHRISTOPHE NICOLAS BUSCHMANN :2021.02.08 1D7a:t3e6:47 +01'00' Christophe Buschmann Commissaire signed by Marc Ernest Digitally Marc Ernest Jean- Jean-Pierre Pierre Lemmer Lemmer D ua : t5e5: 20092 10.0120.008 : + Marc Lemmer Commissaire Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7425 portant : 1° transposition de la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 9 1/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes ; 2° modification du Code pénal, et 3° abrogation de la loi du 20 avril 1881 concernant le transport et le commerce des matières explosives 32/32

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.