LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Madame la Présidente du Conseil d'État Luxembourg Luxembourg, le 29 août 2019 Personne en charge du dossier: Jean-Luc Schleich lir 247 - 82954 SCL : L 5602 - 1019 / ak V/réf. 53.323 Doc. parl. 7424 Objet : Projet de loi portant création d'une plateforme commune de transmission électronique sécurisée et modification :
- du code de procédure pénale,
- de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État. Madame la Présidente, Comme suite à ma lettre du 19 mars 2019, j'ai l'honneur de vous faire parvenir en annexe l'avis de l'Autorité de contrôle judiciaire en matière de protection des données à caractère personnel sur le projet de loi sous rubrique. Veuillez agréer, Madame la Présidente, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement John Dann Directeur ° 0 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352)46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourgiu Projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification :
- du code de procédure pénale,
- de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État. Avis de l'Autorité de contrôle judiciaire en matière de protection des données à caractère personnel 20 août 2019 En date du 15 mars 2019, Monsieur le Ministre de la Justice a demandé un avis à l'Autorité de contrôle judiciaire (l'ACJ) sur le projet de loi portant création d'une plateforme commune de transmission électronique sécurisée et modification :
- du code de procédure pénale,
- de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État. Le projet de loi sous avis vise la création d'une plateforme commune et unique de transmission électronique sécuhsée servant aux autorités judiciaires, d'un côté, et au Service de renseignement de l'État, d'un autre côté. Il s'agit de mettre en place les moyens informatiques et techniques pour effectuer la transmission électronique permettant d'assurer la dissémination électronique parmi les opérateurs des éléments et informations techniques nécessaires à l'exécution des décisions d'interception et de repérage par une voie sécurisée ainsi que, dans les cas où cela est nécessaire, un retour des informations communiquées par les opérateurs aux entités qui en ont fait la demande, c'est-à-dire aux autorités judiciaires ou au Service de renseignement de l'État. La plateforme est destinée à assurer la notification sécurisée des mesures ordonnées aux opérateurs ainsi que, dans les cas où cela est nécessaire, le retour des informations communiquées par les opérateurs. L'ACJ rejoint l'opinion du législateur (cf : exposé des motifs du projet de loi) que le format unique et la limitation du contenu des notifications engendrés par l'utilisation de la plateforme commune de transmission électronique sécurisée constituent une amélioration sur le plan de la protection des données à caractère personnel, dès lors que le contenu intégral des ordonnances du juge d'instruction ne sera plus révélé à des personnes étrangères aux poursuites. De même, la transmission électronique permettra d'éviter les remises physiques des ordonnances et les déplacements des personnes chargées des transmissions et ainsi tous les risques engendrés par ce moyen physique de transport. L'ACJ n'a pas d'objection quant à l'instauration d'une plateforme sécurisée commune pour l'ensemble des mesures tendant à la localisation, au repérage et à la surveillance des communications, étant donné que les besoins techniques sont identiques pour la Justice et le Service de renseignement de l'État. Cependant il faut insister sur la stricte séparation entre les démarches des autorités judiciaires et celles du Service de renseignement de l'État et veiller au strict respect de cette séparation. 1 La plateforme se limite à la dissémination des décisions des parquets en ce qui concerne l'article 43 du code de procédure pénale et du juge d'instruction en matière de repérage en ce qui concerne les articles 67-1 et 88-1, paragraphe 1, du code de procédure pénale, ainsi que des résultats de l'exécution de ces mesures et, dans cette optique, elle constitue une amélioration sur le plan de la protection des données personnelles. S'il est vrai que l'instauration de la plateforme concerne de façon sous-jacente, dans le cadre de la lutte contre la criminalité, la conservation généralisée, indifférenciée et illimitée de l'ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits auprès des opérateurs de services de communication électronique, conservation critiquée par la Cour de Justice de l'Union européenne (CJUE) dans ses arrêts Digital Rights et Tele2 Sverige (CJUE, 8 avril 2014, Digital Rights Ltd et Seitlinger, affaires jointes C-293/12 et C-594/12, CJUE, 21 décembre 2016, Tele2 Sverige AB, affaires jointes C-203/15 et C-698/15), toujours est-il que l'ACJ considère qu'il s'agit là d'un volet qui n'est pas à aviser dans le cadre du présent projet de loi, la plateforme visée par le projet de loi sous avis ne constituant qu'un instrument technique de transmission. Ce volet relatif à la rétention des données de télécommunications à des fins de poursuites pénales fait l'objet du projet de loi No 6763 portant modification du code d'instruction criminelle (actuellement code de procédure pénale) déposé et de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. Quant à la terminologie d' « opérateur », il y a lieu d'observer que le texte proposé emploie, dans le cadre des définitions, uniquement le mot « opérateur » comme étant «une entreprise notifiée conformément à la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques, qui fournit ou est autorisée à fournir un réseau de communications public ou une ressource associée », tout en utilisant dans la suite les termes « opérateurs de télécommunications et fournisseurs d'un service de télécommunications » et « opérateur des postes et télécommunications ». Il conviendra d'utiliser une terminologie uniformisée dans les différents articles et l'ACJ suggère d'employer toujours le terme « opérateur », sinon d'utiliser le terme d' « opérateurs de télécommunications publics et privés ». Ce dernier terme permettrait d'ailleurs une réponse à la question de savoir si loi ne s'applique qu'a la surveillance et au contrôle des télécommunications et à la correspondance postale, ou si elle s'applique également aux autres mesures prévues par l'article 88-1, paragraphe 1, du code de procédure pénale, à savoir la sonorisation et la fixation d'images de certains lieux ou véhicules ainsi que la captation de données informatiques, la terminologie limitant la transmission des données par le biais de la plateforme aux télécommunications et à la correspondance postale excluant, par ce biais, les sonorisations, fixation par images ou captation de données informatiques, précitées. L'ACJ considère, en effet, que le projet de loi sous avis ne saurait viser la sonorisation et la fixation d'images de certains lieux ou véhicules, ainsi que la captation de données informatiques, étant donné que les moyens techniques relatifs 2 à ces mesures ne sont pas compatibles avec une transmission par la plateforme créée par le projet de loi sous avis. Quant aux articles du projet de loi, l'ACJ constate d'abord que la numérotation des paragraphes de l'article 3 du projet de loi est erronée dans la mesure où le texte reprend les numéros
(1)et
(2)à trois reprises ce qui prête à confusion. Dans l'exposé des motifs du projet de loi, la numérotation a été redressée et l'ACJ se tiendra à cette numérotation. Les articles Ad article 2, point 1° et article 3
(1)point 10 Il y a lieu de procéder à un redressement de texte sinon la formulation employée est inadéquate. Ainsi, concernant l'article 2, point 10 du projet, il faut constater que l'article 43-1 du code de procédure pénale ne prévoit en l'état pas de mesure de repérage expresse, mais opère un renvoi aux articles 31 à 41 du même code qui ne prévoient pas non plus une mesure de repérage. Pour que l'article 43-1 du code de procédure pénale soit donc en phase avec les termes de l'article 3, point 1° du projet, il convient de compléter son libellé par un renvoi aux mesures prévues par l'article 67-1 du même code. Le texte adapté pourrait être de la teneur suivante : Art.43-1 Lorsque la disparition d'un mineur ou d'un majeur protégé vient d'intervenir ou d'être constatée, les officiers de police judiciaire peuvent, sur instructions du procureur d'Etat, procéder aux actes prévus par les articles 31 à 41 et à ceux de l'article 67-1 du présent code aux fins de découvrir la personne disparue. La mesure du repérage et de la localisation sous l'égide du procureur serait donc strictement limitée à la situation d'une disparition, et serait en phase avec les termes de l'article 3, paragraphe
(1), point 1° du projet. Ad article 3
(1): Le projet de loi se limite à indiquer la création d'une plateforme commune de communication électronique sécurisée. Or, l'article 28 de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale précise les mesures de sécurité techniques et organisationnelles à mettre en œuvre dans le cadre de la sécurité du traitement des données personnelles. Une référence à cet article permettrait de préciser les mesures à prendre pour la transmission électronique sécurisée. Ad article 3
(3): Il convient d'ajouter que les autorités judiciaires et le service de renseignement restent responsables de traitement des données qu'ils traitent conformément aux 3 dispositions de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Ad article 3
(4)points 1° et 2° »: Le commentaire de l'article ad article 3
(4)précise bien que l'objectif est de ne plus transmettre en entier ainsi que le veut la pratique actuelle, les décisions ordonnant les mesures de repérage, de contrôle ou de surveillance des télécommunications mais uniquement les éléments techniques nécessaires à l'exécution de ces mesures. Il s'agit de préserver le secret de l'instruction et d'assurer la protection des données des personnes contre lesquelles de telles mesures sont ordonnées. Le mot terme des « éléments et informations techniques nécessaires » risque d'être trop vague imprécis. Les « éléments nécessaires » devraient être précisés en rapport avec les données traitées conformément aux articles 43-1, 67-1 et 88-1, paragraphe 1, du code de procédure pénale et avec l'article 7, paragraphe 3, alinéa 1, de la loi du 5 juillet 2016 relative au Service de renseignement. Ad article 3
(5)et Ad article 4
(2)alinéa 3 et 4 : La journalisation des opérations effectuées avec la mise en place des log-files permettra la vérification de la légalité des opérations effectuées. L'ACJ considère que la durée de garde de 12 mois de ces log-files, à compter du jour où la mesure aura été exécutée, est insuffisante dès lors que l'effacement des log-files après 12 mois est susceptible de rendre impossibles les poursuites judiciaires relatives à des violations du secret professionnel. Or, tant les articles 67-1 et 88-4 du code de procédure pénale que l'article 7 de la loi du 5 juillet 2016 sanctionnent une violation du secret professionnel conformément à l'article 458 du code pénal. Il s'agit d'un délit, de sorte que sa prescription est de 5 ans. L'ACJ est partant d'avis que le délai de conservation des logs-files devrait être porté de 12 mois à 5 ans. Ad article 3
(6): Il peut être regretté que le projet de loi ne comporte pas en même temps un projet du règlement grand-ducal visé à cet article. Ad article 4 Les articles 67-1, paragraphe 2 et 88-4 paragraphe 1 alinéa 1 sont reformulés afin d'aligner la terminologie à celle utilisée à l'article 3.
(4)du présent projet de loi. Il s'agit, ainsi qu'il a été précisé dans le commentaire de l'article 3
(4)du présent projet de loi, de ne plus communiquer l'intégralité de l'ordonnance d'instruction laquelle reprend les noms et identités des personnes visées et les motifs spécifiques de l'espèce justifiant ces mesures, mais de se limiter aux éléments et informations 4 techniques nécessaires à l'exécution de la mesure visée. Il est fait référence aux observations ci-avant formulées dans le cadre de l'article 3
(4)quant à l'imprécision du terme de « nécessaire ». Il faut en effet éviter qu'une appréciation personnelle de chaque juge d'instruction pris individuellement aboutisse à des différences de pratiques. Par ailleurs on constate que l'article 67-1, paragraphe 2, du code de procédure pénale vise « l'exécution de la réquisition » alors que l'article 88-4, paragraphe 1, alinéa ler' du même code vise « l'exécution de la mesure ». L'article 67-1, paragraphe 1, du code de procédure pénale, dans sa teneur actuelle, prévoit que le juge d'instruction peut requérir au besoin le concours technique de l'opérateur. En l'espèce l'article 67-1, paragraphe 2, se réfère à la décision du juge d'instruction laquelle est prise par voie d'ordonnance au même titre que celle prise dans le cadre des articles 88-1 et suivants du code de procédure pénale. Il y a donc lieu d'aligner les terminologies utilisées, le juge d'instruction ne délivrant pas de réquisition dans le cadre des mesures d'instruction visées. Ad article 4
(1)alinéa ler : Les termes « y compris par voie électronique sécurisée au travers de la plateforme visée à l'article 3 de la loi », laissent le choix de la transmission analogue ou d'autres transmissions par rapport à la transmission électronique des éléments et informations techniques nécessaires dans le cadre de l'application des articles 43-1, 67-1 et suivants et 88-1 et suivants du code de procédure pénale. Or, si l'on peut comprendre que pour des raisons d'urgence, par exemple dans le cas d'une prise d'otages ou d'une infraction à caractère terroriste, d'autres moyens de transmission des réquisitions que par l'intermédiaire de la plateforme électronique doivent rester possibles, pour le cas notamment où des problèmes techniques surgissent au niveau de la plateforme, toujours est-il que la transmission électronique devrait avoir la priorité et tout autre moyen de transmission un caractère subsidiaire. Luxembourg, le 20 août 2019 Pour l'Autorité de contrôle'ludiciaire, Le Président de la Cour Supérieure de Justice,