Projet de loi portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Madame la Présidente du Conseil d'État Luxembourg Luxembourg, le 18 juin 2019 Personne en charge du dossier: Jean-Luc Schleich 247 - 82954 SCL : L 5602 - 725 / ak V/réf. 53.323 Doc. parl. 7424 Objet : Projet de loi portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État. Madame la Présidente, Comme suite à ma lettre du 19 mars 2019, j'ai l'honneur de vous faire parvenir en annexe l'avis de la Commission nationale pour la protection des données sur le projet de loi sous rubrique. Veuillez agréer, Madame la Présidente, l'assurance de ma haute considération. Pour le Ministre aux Relations avec le Parlement Jean-Luc Schleich Gestionnaire dirigeant 43, boulevard F.-D. Roosevelt L-2450 Luxembourg Tél. (+352) 247-82952 Fax (+352) 46 74 58 scl@scl.etat.lu www.legilux.lu www.gouvernement.lu www.luxembourgiu Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat Délibération n° 40/2019 du 5 juin 2019 Conformément à l'article 57, paragraphe 1, lettre

1. c)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après : « le RGPD »), chaque autorité de contrôle a, dans le cadre du champ d'application du RGPD, pour mission de conseiller « conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 7 de la loi du 1e` août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données prévoit précisément que la Commission nationale pour la protection des données (ci-après : « la Commission nationale » ou « la CNPD ») exerce les missions dont elle est investie en vertu de l'article 57 du RGPD. Conformément à l'article 8, point 3°, de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la CNPD a, dans le cadre de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, notamment pour mission de « conseille] la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles »1 . Par courrier du 15 mars 2019, Monsieur le Ministre de la Justice a invité la Commission nationale à se prononcer au sujet du projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat (ci-après : « le projet de loi »). 11 résulte de l'exposé des motifs que le projet de loi vise à mettre en place une plateforme commune et unique de transmission électronique sécurisée servant aux autorités judiciaires ainsi qu'au Service de renseignement de l'Etat (ci-après : « la plateforme »). Selon les auteurs du projet de loi, la plateforme offre une protection accrue des données personnelles des personnes faisant l'objet de mesures de repérage, de surveillance ou de contrôle. 1 En ce qui concerne les champs d'application respectifs du RGPD et de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, voir notamment : D. Jeitz et T.A. Larsen, « Le futur régime de la protection des données dans les secteurs judiciaire et policier », Journal des tribunaux Luxembourg, n°54, 5 décembre 2017, pages 168-175 CNPDi Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 1 /14 La Commission nationale constate toutefois que le projet de loi reste muet sur les mesures techniques et organisationnelles à mettre en place pour garantir un niveau de sécurité adapté au regard de la sensibilité des données transmises via la plateforme, d'autant plus que le titre du projet de loi annonce la création d'une plateforme électronique « sécurisée ». De plus, elle regrette que le projet de règlement grand-ducal qui est censé définir le format et les modalités d'exécution suivant lesquelles les données collectées sont à transmettre respectivement aux autorités judiciaires et au Service de renseignement de l'Etat n'a pas été annexé au projet de loi. La CNPD souhaite formuler des commentaires et réflexions sur le projet de loi, en suivant pour cela l'ordre de rédaction du texte. l. Champ d'application L'article 1 du projet de loi définit le champ d'application du texte sous examen en renvoyant à plusieurs articles du Code de procédure pénale ainsi qu'a l'article 7 de la loi modifiée du 5 juillet 2016 portant organisation du Service de renseignement de l'Etat (ci-après : « la loi du 5 juillet 2016 )>). Avant de se pencher sur le moyen technique permettant aux autorités judiciaires et au Service de renseignement de l'Etat d'accéder aux données conservées par les fournisseurs de réseau de communication public ou de services de communications électroniques, la Commission nationale souhaite formuler des observations sur le principe même de la conservation et de l'accès aux données de trafic et de localisation relatives aux communications électroniques. A. L'article 43-1 du Code de procédure pénale En cas de disparition d'une personne, l'article 43-1, alinéa 1, du Code de procédure pénale permet aux officiers de police judiciaire de procéder, sur instructions du procureur d'Etat, aux actes prévus aux articles 31 à 41 du Code de procédure pénale, c'est-à-dire aux actes prévus en cas de flagrant crime ou délit, aux fins de découvrir la personne disparue. Or, contrairement à ce qui est indiqué à l'article 3, paragraphe 1, point 1°, du projet de loi, ni l'article 43-1 ni les articles 31 à 41 du Code de procédure pénale ne semblent prévoir de « procédure de localisation ». A toutes fins utiles, la Commission nationale se permet de renvoyer à un arrêt de la Cour d'appel du 26 février 2008 selon lequel « le repérage est depuis l'entrée en vigueur de l'article 67-1 réservé à la compétence exclusive du juge d'instruction » de sorte que l'article 67-1 « n'autorise pas les officiers de police judiciaire, agissant en vertu des pouvoirs qui leur sont spécialement conférés au titre des crimes et des délits flagrants, à opérer un tel repérage au titre des articles 33 et 31 du [Code d'instruction criminelle (actuellement Code de procédure pénale)] » 2. Par ailleurs, la loi du 24 juillet 2010 portant modification des articles 5 et 9 de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications 2 Cour d'appel, cinquième chambre, 26 février 2008, arrêt 106/08 V CNPD 100, C140.01,e, mg. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 2/14 électroniques et de l'article 67-1 du Code d'instruction criminelle (ci-après : « la loi du 24 juillet 2010 ») a modifié, suite à la recommandation formulée par la Commission nationale dans son avis du 26 avril 2010, le paragraphe 2 des articles 5 et 9 de la loi modifiée du 30 mai 2005 « pour en assurer la cohérence avec l'article 67-1 du Code d'instruction criminelle aux termes duquel le repérage des communications n'est possible que s'il est ordonné par le juge d'instruction »4. La CNPD se pose dès lors la question de savoir dans quelle mesure le projet de loi est susceptible de s'appliquer aux mesures ordonnées sur base de l'article 43-1 du Code de procédure pénale, respectivement quelle est précisément la « procédure de localisation prévue par l'article 43-1 du Code de procédure pénale ». B. Les articles 67-1 et 88-1 du Code de procédure pénale L'article 67-1 du Code de procédure pénale autorise le juge d'instruction de faire procéder au repérage des données d'appel de moyens de télécommunications à partir desquels ou vers lesquels des appels sont adressés ou ont été adressés ainsi qu'à la localisation de l'origine ou de la destination de télécommunications. L'article 88-1 du Code de procédure pénale, quant à lui, prévoit notamment la possibilité pour le juge d'instruction d'ordonner la surveillance et le contrôle des télécommunications ainsi que de la correspondance postale. Dans le cadre des mesures prévues aux articles 67-1 et 88-1 du Code de procédure pénale, les autorités judiciaires peuvent être amenées à accéder aux données de trafic ou de localisation que les fournisseurs de service ou les opérateurs sont obligées de conserver en vertu des articles 5 et 9 de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques (ci-après : « la loi modifiée du 30 mai 2005 »). L'obligation de conservation des données de trafic et de localisation relatives aux communications électroniques a été introduite dans notre législation nationale par la loi modifiée du 30 mai 2005, cela sur base de l'article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (ci-après : « la directive 2002/58/CE »). L'article 15, paragraphe 1, de la directive 2002/58/CE permet une telle mesure lorsqu'une telle limitation des principes prévus aux articles 5,6,8 et 9 constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique notamment pour sauvegarder la sûreté de l'Etat ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales. Par la suite, la loi du 24 juillet 2010 a transposé la directive 2006/24/CE du Parlement européen et du Conseil du 15 mars 2006 sur la conservation de données générées ou traitées dans le 3 Délibération n°85/2010 du 26 avril 2010, point l. B. 2. : https://cnpd.publiciu/dam-assets/fr/decisions- avis/2010/retention-donnes/avis CNPD projet loi 6113.pdf 4 Projet de loi n°6113/8, p. 2 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 3114 cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, et modifiant la directive 2002/58/CE (ci-après : « la directive 2006/24/CE ») en modifiant la loi modifiée du 30 mai 2005. Or, par arrêt du 8 avril 2014, la Cour de justice de l'Union européenne (ci-après : « la CJUE ») a déclaré invalide la directive 2006/24/CE en ce que le législateur de l'Union a excédé les limites qu'impose le respect du principe de proportionnalité au regard des articles 7 (respect de la vie privée et familiale), 8 (protection des données à caractère personnel) et 52, paragraphe 1 (portée et interprétation des droits et des principes), de la Charte des droits fondamentaux de l'Union eur0péenne5. La CJUE critique notamment que : • la directive 2006/24/CE « couvre de manière généralisée toute personne et tous les moyens de communication électronique ainsi que l'ensemble des données relatives au trafic sans qu'aucune différenciation, limitation ni exception soient opérées de fonction de l'objectif de lutte contre les infractions graves »6 ; • la directive 2006/24/CE « ne prévoit aucun critère objectif permettant de délimiter l'accès des autorités nationales compétentes aux données et leur utilisation ultérieure à des fins de prévention, de détection ou de poursuites pénales concernant des infractions pouvant, au regard de l'ampleur et de la gravité de l'ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, être considérées comme suffisamment graves pourjustifier une telle ingérence »7 ; • en ce qui concerne les règles visant la sécurité et la protection des données conservées, la directive 2006/24/CE « ne prévoit pas des garanties suffisantes, telles que requises par l'article 8 de la Charte, permettant d'assurer une protection efficace des données conservées contre les risques d'abus ainsi que contre tout accès et toute utilisation illicites de ces données »8 . Suite à l'arrêt précité, le Ministre de la Justice a sollicité l'avis de la CNPD sur la conformité de la loi modifiée du 30 mai 2005 et des articles 67-1, 88-2 et 88-4 du Code d'instruction criminelle avec les exigences posées par l'arrêt de la CJUE du 8 avril 2014. Dans son avis du 13 mai 2014, la Commission nationale a recommandé de modifier les dispositions nationales afin de les rendre conformes aux exigences posées par ledit arrêt9. La CNPD a réitéré ces 5 CJUE, 8 avril 2014, Digital Rights Ltd, affaires jointes 0-293/12 et C-594/12 6 Ibid., point 57 7 Ibid., point 60 8 Ibid., point 66 9 Délibération n°214/2014 du 13 mai 2014 : https://cnpd.public.luklam-assets/frldecisionsavis/2014Norratsdatenspeicherung/214-2014-Deliberation-Ministere-Justice-avis-loi-modifiee-30-mai2005-arret-CJUE-8-avril-2014-affaires-jointes-C-293-12-et-C-594-12-conservation-donnees.pdf [ CNPF ”Jltel ces noi.tre Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 4/14 observations dans son avis relatif au projet de loi n°6763 portant modification du Code d'instruction criminelle et de la loi modifiée du 30 mai 200510. Par la suite, l'arrêt de la CJUE du 21 décembre 201611 a encore une fois mis en avant la nécessité de modifier les dispositions nationales en statuant que : • l'article 15, paragraphe 1, de la directive 2002/58/CE « doit être interprété en ce sens qu'il s'oppose à une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l'ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs inscrits concernant tous les moyens de communication électronique » ; • l'article 15, paragraphe 1, de la directive 2002/58/CE « doit être interprété en ce sens qu'il s'oppose à une réglementation nationale régissant la protection et la sécurité des données relatives au trafic et des données de localisation, en particulier l'accès des autorités nationales compétentes aux données conservées, sans limiter, dans le cadre de la lutte contre la criminalité, cet accès aux seules fins de lutte contre la criminalité grave, sans soumettre ledit accès à un contrôle préalable par une juridiction ou une autorité administrative indépendante, et sans exiger que les données en cause soient conservées sur le territoire de l'Union ». La CNPD estime dès lors qu'il y a lieu de de modifier et d'adapter le cadre législatif national afin d'assurer qu'il soit conforme à la jurisprudence de la CJUE. Cette remarque vaut également pour l'article 7 de la loi du 5 juillet 2016 pour autant que le Service de renseignement de l'Etat puisse être amené à accéder aux données de trafic et de localisation conservées en vertu des articles 5 et 9 de la loi modifiée du 30 mai 2005. En ce qui concerne le renvoi à l'article 88-1, paragraphe 1, du Code de procédure pénale, il serait opportun de clarifier si le projet de loi ne s'applique qu'à la surveillance et du contrôle des télécommunications ainsi que de la correspondance postale, ou également aux autres mesures prévues par cette disposition, à savoir la sonorisation et la fixation d'images de certains lieux ou véhicules ainsi que la captation de données informatiques. 11. Définitions L'article 2, point 4°, du projet de loi fournit une définition de la notion d'« opérateur » en renvoyant à la définition prévue par la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques selon laquelle l' « opérateur » est une entreprise notifiée qui fournit ou est autorisée à fournir un réseau de communications public ou une ressource associée. 10 Délibération n°228/2015 du 19 juin 2015 : https://cnpd.public.lu/dam-assets/fr/decisionsavis12015/communications-electroniques/228 2015 Ministere-Justice avis-proiet-loi-modif-loicommunications-electroniques.pdf 11 CJUE, 21 décembre 2016, Tele2 Sverige AB, affaires jointes C-203/15 et C-698/15 [ CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 5/1 4 Ainsi, la notion d'« opérateur » est utilisée à l'article 3 du projet de loi tandis que les articles 4 et 5 emploient les notions d'« opérateurs de télécommunications » et de « fournisseurs d'un service de télécommunications », respectivement d'« opérateur des postes et télécommunications » . La Commission nationale s'interroge pourquoi le projet de loi utilise des terminologies différentes. Dans l'hypothèse où l'intention des auteurs du projet de loi serait d'utiliser les mêmes termes que ceux actuellement utilisés aux articles 67-1 du Code de procédure pénale et 7 de la loi du 5 juillet 2016, la Commission nationale se permet de renvoyer à son avis relatif au projet de loi n°6921 dans lequel elle a recommandé que la terminologie utilisée dans le Code d'instruction criminelle soit alignée sur celle d'ores et déjà utilisée dans la législation européenne et nationale'. En effet, la loi modifiée du 30 mai 2005, qui transpose plusieurs directives européennes, fait état d'opérateurs (de réseau) et de fournisseurs de services (de communications électroniques). La CNPD suggère dès lors d'utiliser une terminologie uniformisée dans les différents textes. 111. Plateforme commune de transmission électronique sécurisée A titre liminaire, la Commission nationale constate que la numérotation des paragraphes de l'article 3 du projet de loi semble erronée. Dans la suite de cet avis, elle utilisera une numérotation continue des paragraphes. A. Quant à la qualification de responsable du traitement et de sous-traitant L'article 3, paragraphe 2, du projet de loi dispose que la plateforme est hébergée auprès du Centre des technologies de l'information de l'Etat (ci-après : « le CTIE ») qui en assure la gestion opérationnelle. Le paragraphe 3 du même article poursuit que le CTIE a la qualité de sous-traitant sans toutefois préciser quelle(
2. s)autorité(
3. s)est/sont à considérer comme responsable du traitement. Dans le commentaire des articles, les auteurs du projet de loi indiquent que « Nes autorités judiciaires et le Service de renseignement de l'Etat sont responsables du traitement pour chaque donnée à caractère personnel qui les concerne ». La Commission nationale estime que cette formulation peut prêter à confusion. En effet, la loi du ier août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (ci-après : « la loi du ier août 2018 »), transposant la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités 12 Délibération n°147/2016 du 12 février 2016, point 1 . https://cnpd.public.1u/dam-assets/fddecisions- avis/2016/lutte-terrorisme/147-2016-PL6921.pdf [ CNPII ta?. 1.1,14,4”, Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 6114 compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, définit le responsabje du traitement comme « l'autorité compétente qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel ». La personne concernée, par contre, désigne la personne physique identifiée ou identifiable à laquelle les données à caractère personnel se rapportent". Il ne paraît dès lors pas approprié de prévoir que les autorités judiciaires et le Service de renseignement de l'Etat sont responsables du traitement pour les données qui les « concernent ». La CNPD comprend que chaque organisme est responsable pour la partie du traitement de données qui le concerne. Le sous-traitant, quant à lui, est défini comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement »14 . L'article 21 de la loi du 1er août 2018 traite plus particulièrement des relations entre le responsable du traitement et le sous-traitant. La détermination du responsable du traitement revêt une importance particulière dans la mesure où il incombe notamment au responsable du traitement d'assurer le respect des principes énumérés à l'article 3 de la loi du 1er août 2018 et d'assurer les droits des personnes concernées conformément aux articles 11 et suivants de la loi du 1er août 2018. La Commission nationale préconise partant que le projet de loi détermine clairement quelle(
4. s)autorité(
5. s)agi(ssen)t en tant que responsable du traitement. L'article 20 de la loi du 1er août 2018 prévoit d'ailleurs la possibilité que plusieurs autorités compétentes agissent comme responsables conjoints du traitement. B. Quant aux éléments transmis aux opérateurs Il ressort de l'article 3, paragraphe 4, du projet de loi et du commentaire y afférent que les opérateurs ne se voient plus communiquer les décisions ordonnant les mesures de repérage, de contrôle ou de surveillance, mais uniquement les éléments et informations techniques nécessaires à l'exécution des mesures. La Commission nationale regrette que le projet de loi ne précise pas davantage quels éléments et informations techniques seront transmis par les autorités judiciaires et le Service de renseignement de l'Etat. Par ailleurs, la Commission nationale se demande si le fait de ne plus communiquer l'ordonnance elle-même ne porte pas indûment atteinte au droit des opérateurs de former, le cas échéant, un recours contre les décisions ordonnant les mesures de repérage, de contrôle ou de surveillance. 13 14 Article 2, paragraphe 1, point 1°, de la loi du 1er août 2018 Article 2, paragraphe 1, point 9°, de la loi du 1er août 2018 [ CNPET: Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1. du code de procédure pénale, 2. de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 7/14 C. Quant aux fichiers de iournalisation des accès Selon l'article 3, paragraphe 5, du projet de loi, « Nes informations relatives aux transmissions visées au paragraphe