Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant cr

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1° du Code de procédure pénale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat Délibération n°56/AV24/2024 du 30 août 2024

1. Conformément à l’article 57.1.c) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d’autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement ». Par ailleurs, l'article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ».
2. Le 5 juin 2019, la CNPD a avisé le projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification: 1° du Code de procédure pénale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat (ci-après le « projet de loi »)
4. Le 11 juin 2024, la Commission de la Justice a adopté une série d’amendements relative au projet de loi (ci-après les « amendements »).
5. La Commission nationale constate avec satisfaction que les auteurs des amendements ont pris en compte certaines des remarques émises dans son avis initial. Néanmoins, comme d’autres points commentés dans l’avis initial n’ont pas été suivis, et que certaines modifications envisagées apportent des éléments nouveaux, elle s’autosaisit afin de faire part de ses observations ci-après. 1 V. Délibération n°40/2019 du 5 juin 2019 de la Commission nationale pour la protection des données, doc. pari. N°7424/
6. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1° du Code de procédure pénale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 1/6 Remarques liminaires I.
7. A titre de remarques liminaires, la CNPD souhaite souligner l’importance de la lecture combinée du présent projet de loi avec le projet de loi n°8148 relative à la rétention des données à caractère personnel et portant modification : 1° du Code de procédure pénale ; 2° de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques ; et 3° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat. En effet, le projet de loi n°8148 consacre les mesures législatives encadrant la conservation des données de trafic et de localisation par les opérateurs de télécommunications et fournisseurs de services de communications électroniques, ainsi que les mesures pouvant être ordonnées afin d’accéder aux données ainsi conservées. Le projet sous avis entend quant à lui créer une plateforme de transmission de données des opérateurs de télécommunications et fournisseurs de services de communications électroniques vers les autorités judiciaires ou le Service de renseignement de l'Etat (ci-après le « SRE ») et en précise les modalités d’utilisation. Dès lors, les dispositions desdits projets de loi sont à lire ensemble. En effet, une fois que l’accès à de telles données sera ordonné, sur base des mesures prévues par le projet de loi n°8148, les données seront ensuite transmises à l’aide de la plateforme électronique sécurisée prévue par le projet de loi sous avis. Ainsi, la plateforme sert de moyen pour donner l’accès proprement dit.
8. Dans la mesure où la plateforme électronique sécurisée est étroitement liée aux mesures autorisant l’accès aux données de trafic et de localisation conservées, la CNPD estime que la jurisprudence de la CJUE en matière de rétention des données2 devrait être prise en compte. Par exemple, la CJUE exige que les mesures législatives en matière de conservation et d'accès prévoient des garanties suffisantes contre les abus, accès illicite et l’utilisation illicites de ces données
9. Ne faudrait-il dès lors pas prévoir des garanties à l’égard de la plateforme, notamment 2 Arrêt du 8 avril 2014, Digital Rights Ireland e. a.. C-293/12 et C-594/12, EU:C:2014:238 ; arrêt du 21 décembre 2016, Tele2 Sverige et Watson e. a.. C-203/15et C-698/15, EU:C:2016:970 ; arrêt du 2 octobre 2018, Ministerio Fiscal C-207/16, EU:C:2018:788 ; arrêt du 6 octobre 2020, La Quadrature du Net e. a., C-511/18, C-512/18 et C-520/18, EU:C:2020:791 , arrêt du 6 octobre 2020, Privacy International, C-623/17, EU:C:2020:790 ; arrêt du 2 mars 2021 , Prokuratuur, C-746/18, EU:C:2021:152 : arrêt du 5 avril 2022, Commissionerof An Garda Siochâna e. a., C-140/20, EU:C:2022:258 ; arrêt du 20 septembre 2022, SpaceNet et Telekom Deutschland C-793/19 et c-794/19, EU:C:2022:702 , arrêt du 17 novembre 2022, Spetsializiranaprokuratura C-350/21, EU:C:2022:896 ; arrêt du 30 avril 2024, Procura délia Repubblica pressa il Tribunale di Bolzano, C-178/22, EU:C:2024:371 ; et arrêt du 30 avril 2024, La Quadrature du Net e. a. (Données personnelles et lutte contre la contrefaçon), C-470/21, EU:C:2024:
10. 3 Arrêt du 8 avril 2014, Digital Rights Ireland e. a., C-293/12 et C-594/12, EU:C:2014:238, point
11. CNPD Xi on x ■* Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1° du Code de procédure pénale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 2/6 en ce qui concerne l’effacement des résultats ainsi que les règles de sécurité tel que l'avait soulevée la CNPD dans son avis initial4 ?
12. En outre, elle se permet de réitérer également sa préoccupation soulevée dans son avis initial5, à savoir que la non communication de l'ordonnance elle-même aux opérateurs de télécommunications et fournisseurs de services de communications électroniques risque de porter atteinte au droit de ces derniers de former un recours contre les décisions ordonnant les mesures de conservations et d'accès. II. Ad Amendement 1
13. La CNPD se félicite du choix des auteurs des amendements d'omettre la notion d'« opérateur » en faveur de la notion « opérateurs de télécommunications et fournisseurs de services de communications électroniques » prévue dans la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques. Tel que soulevé dans son avis initial, l’utilisation d’une terminologie uniformisée dans les dispositions traitant d’un même sujet est cruciale pour assurer la cohérence et la compréhension des textes. III. Ad Amendement 2
14. La Commission nationale se félicite des modifications apportées par l’amendement 2, en particulier en ce qui concerne l’adaptation des finalités de la plateforme électronique sécurisée ainsi que la prolongation à 5 ans du délai de conservation des fichiers de journalisation des accès.
15. Elle prend par ailleurs note de la décision, sur base du premier avis du Conseil d’Etat6, de supprimer la désignation du Centre des technologies de l’information de l'État (ci-après le « CTIE ») en tant que sous-traitant. A cet égard, il importe de soulever que la répartition des rôles à l'égard des différents devoirs et obligations découlant du RGPD ou de toute autre disposition en matière de protection des données est essentielle. Il est ainsi indispensable que les acteurs impliqués connaissent leurs rôles, devoirs et obligations respectifs, nonobstant le fait que leur détermination découle ou non d’un texte légal. La Commission nationale comprend du fonctionnement de la plateforme et des traitements y relatifs, que le CTIE agit en tant que sous-traitant pour les autres acteurs impliqués. Ce rôle découle par ailleurs directement de la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l'État. Les autres acteurs impliqués, à savoir le SRE, les autorités 4 Délibération n°40/2019 du 5 juin 201 9 de la Commission nationale pour la protection des données, doc. pari 7427/01, points III.D et E. 5 Délibération n°40/2019 du 5 juin 2019 de la Commission nationale pour la protection des données, doc. pari 7427/01, point III.B. 6 Avis du Conseil d'Etat du 10 décembre 2019, doc. pari. 7424/3, p.
16. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1” du Code de procédure pénale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 3/6 judiciaires ainsi que les opérateurs de télécommunications et fournisseurs de services de communications électroniques, seront, toujours d'après la compréhension de la CNPD, à considérer comme responsables du traitement. En effet, chacun de ces acteurs effectue des traitements avec des finalités propres en relation avec la plateforme électrique sécurisée. Dès lors, ils sont à qualifier de responsables du traitement pour leurs traitements de données respectifs. IV. Ad Amendement 3
17. L’amendement 3 entend premièrement introduire une mesure de repérage à l’article 43-1 du Code de procédure pénale et deuxièmement rendre le recours à la plateforme électronique sécurisée obligatoire. Vu les interrogations soulevées par la CNPD dans son avis initial 7, elle note avec satisfaction ce dernier changement. Il importe néanmoins de soulever quelques observations sur l’introduction de la mesure de repérage à l’article 43-1 du Code de procédure pénale.
18. La Commission nationale ne peut que soutenir les observations du Conseil d'État8 par rapport à ce troisième amendement. De plus, elle constate que l'amendement ne concerne pas la mise en place de ou la transmission d'informations par la plateforme électronique sécurisée, mais plutôt l'introduction d'une nouvelle mesure de conservation de ou d'accès aux données de trafic et de localisation. Ainsi, il est indispensable que la disposition sous examen respecte la jurisprudence de ta CJUE en matière de rétention des données 9, notamment en ce qui concerne les exigences de la Cour vis-à-vis d'une telle disposition législative. La CNPD se demande par ailleurs s'il n'aurait pas été plus cohérent d'inclure une telle disposition dans le projet de loi n’8148 qui traite exclusivement de ces mesures de conservation et d’accès.
19. Etant donné que son avis sur le projet de loi n°8148 détaille les exigences de la CJUE en matière de conservation et d'accès aux données de trafic et de localisation, la CNPD se limite. 7 V. Délibération n‘40/2019 du 5 juin 2019 de la Commission nationale pour la protection des données, doc. pari. W7424/01, point IV. 8 Avis du Conseil d'Etat du 10 décembre 2019, doc. pari. 7424/3, p.
20. 8 Arrêt du 8 avril 2014, Digital Rights Ireland e. a., C-293/12 et C-594/12, EU:C:2014:238 ; arrêt du 21 décembre 2016, Tete2 Sverige et Watson e. a., C-203/15et C-698/15, EU:C:2016;970 ; arrêt du 2 octobre 2018, Ministerio Fiscal C-207/16, EU:C:2018:788 ; arrêt du 6 octobre 2020, La Quadrature du Net e. a., C-511/18, C-512/18 et C-520/18, EU:C:2020:791 . arrêt du 6 octobre 2020, Privacy International, C-623/17, EU:C:2020:790 ; arrêt du 2 mars 2021 , Prokuratuur, C-746/18, EU:C:2021:152 : arrêt du 5 avril 2022, Commissioner of An Garda Siochâna e. a., C-140/20, EU:C:2022:258 ; arrêt du 20 septembre 2022, SpaceNet et Telekom Deutschland C-793/19 et c-794/19, EU:C:2022:702 , arrêt du 17 novembre 2022, Spetsializiranaprokuratura C-350/21, EU:C:2022:896 ; arrêt du 30 avril 2024, Procura délia Repubblica pressa il Tribunale di Bolzano, C-178/22, EU:C:2024:371 ; et arrêt du 30 avril 2024, La Quadrature du Net e. a. (Données personnelles et lutte contre la contrefaçon), C-470/21, EU:C:2024:
21. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n’7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1* du Code de procédure pénale ; 2° de la foi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 4/6 dans le cadre du présent projet de loi, à soulever plusieurs interrogations, et renvoie, en ce qui concerne les exigences de la CJUE, à son avis précité
23. A la lecture des changements apportés à l’article 43-1 du Code de procédure pénale, il n’est pas clair si l’article consacre une mesure de conservation de données ou une mesure d'accès aux données.
24. Il convient de rappeler que le projet de loi n°8148 introduit un changement de paradigme en ce qui concerne la conservation des données de trafic et de localisation. Le régime actuel consacre le principe d'une conservation généralisée et indifférenciée des données de trafic et de localisation pour 6 mois. En prenant en compte les arrêts de la CJUE, le projet de loi n°8148 interdit cette conservation généralisée et indifférenciée dans tous les cas et la remplace par plusieurs mesures plus restrictives tant en ce qui concerne la conservation des données que l’accès aux données ainsi conservées. Dès lors, il sera désormais nécessaire de décider pour des motifs précis et par une mesure spécifique la conservation des données de trafic et de localisation. Une telle mesure pourra être, par exemple, la conservation ciblée future des données ou encore la conservation rapide (quick freeze) de données dont les opérateurs de télécommunications et fournisseurs de services de communications électroniques disposent encore afin de prévenir leur effacement. La conservation généralisée et indifférenciée ne sera possible que dans des situations de sauvegarde de la sécurité nationale
26. Ainsi, si les amendements visent à introduire une mesure d’accès aux données conservées suivant le régime actuel, il y a lieu de soulever que ce régime a vocation à disparaître avec le projet de loi n°
27. Une fois ce régime changé, la disposition sera vidée de son sens car il n’existera à priori plus de données auxquelles il pourra y être accédé. Dès lors, ne faudrait-il pas introduire une mesure de conservation ciblée ou rapide, voire renvoyer expressément à la mesure de conservation déjà prévue par le projet de loi n°8148 sur base de laquelle les données à accéder ont été conservées ? En tout état de cause, pareille mesure devra répondre aux exigences de la CJUE.
28. En revanche, si les amendements visent à introduire une mesure de conservation des données de trafic et de localisation, il y a lieu de se demander sur base de quelle mesure les données seront par la suite accédées par les autorités. 10 Délibération n°28/AV12/2024 de la Commission nationale de la protection des données du 16 mai 2024, doc. pari, n’8148/
29. 11 La CJUE admet encore la conservation généralisée et indifférenciée des données d’identification et des adresses IP. De plus amples informations sur toutes les exceptions du principe de non conservation ainsi que des exigences de la CJUE peuvent être trouvées dans ravis de la CNPD sur le projet de loi n°
30. CNRD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de foi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1° du Code de procédure pénale ; 2° de la foi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de FEtat 5/6
31. En tout état de cause, il convient de constater que les exigences de la CJUE à l’égard des mesures de conservation ciblée ou rapide ne sont pas respectées. La disposition dans sa rédaction actuelle semble dès lors non conforme à la jurisprudence de la CJUE. Ainsi adopté à Belvaux en date du 30 août
32. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7424 portant création d'une plateforme commune de transmission électronique sécurisée et modification : 1° du Code de procédure pénale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de FEtat 6/6