Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691 portant modification : 1°

(1), lettre (

1. c)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 1/40 protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») (( conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 12 novembre 2020, Madame la Ministre de la Justice a invité la Commission nationale à se prononcer sur le projet de loi portant modification : 1° du Code de procédure pénale, 2° du Nouveau Code de procédure civile, 3° de la loi du 7 juillet 1971 portant en matière répressive et administrative, institution d'experts, de traducteurs et d'interprètes assermentés et complétant les dispositions légales relatives à l'assermentation des experts, traducteurs et interprètes, 4° de la loi modifiée du 9 décembre 1976 relative à l'organisation du notariat, 5° de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs, 6° de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire, 7° de la loi modifiée du 7 novembre 1996 portant organisation des juridictions de l'ordre administratif, 8° de la loi du 30 décembre 1981 portant indemnisation en cas de détention préventive inopérante, 9° de la loi modifiée du 15 mars 1983 sur les armes et munitions, 10° de la loi modifiée du 2 mars 1984 relative à l'indemnisation de certaines victimes de dommages corporels résultant d'une infraction et à la répression de l'insolvabilité frauduleuse, 11° de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice, 12° de la loi du 31 janvier 1998 portant agrément des services d'adoption et définition des obligations leur incombant, 13° de la loi du 6 mai 1999 relative à la médiation pénale et portant modification de différentes dispositions
2. a)de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire,
3. b)du code des assurances sociales, 14° de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance, 15° de la loi modifiée du 7 juin 2012 sur les attachés de justice (ci-après le « projet de loi »). Selon l'exposé des motifs « Ilje projet de loi a pour objet de préciser les différentes procédures de « contrôle d'honorabilité » actuellement prévues dans plusieurs textes de loi relevant de la compétence du ministre de la Justice. ». Le « contrôle d'honorabilité » s'avère, par exemple, nécessaire dans le cadre du recrutement du personnel judiciaire ou encore dans le cadre de la délivrance d'une demande d'autorisation, de permis ou d'agrément en matière d'armes. Dans ce contexte, les auteurs du projet de loi précisent que « certaines administrations et services de l'Etat ont besoin de connaître des informations parfois soumises au secret d'instruction ou considérées comme sensibles au vu des nouvelles règles relatives au traitement des données » et qu' « [à] cet effet, le Ministère public doit pouvoir être saisi de demandes d'administrations ou de seivices exerçant une prérogative de puissance publique afin de se voir communiquer des informations relatives aux procédures pénales ou la délivrance de copie de pièces qui en sont issues ». Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 2/40 Comme le soulèvent les auteurs du projet de loi, le « contrôle d'honorabilité » vise à permettre aux administrations de l'Etat d'instruire « une demande en vue de l'octroi ou du refus d'une autorisation ». Ces dernières lorsqu'elles instruisent de telles demandes « doivent se baser sur des faits établis à suffisance de droit, et des rapports ou procès-verbaux établis par des officiers de police judiciaire », qui « sont une source reconnue à cette fin par la jurisprudence administrative ». Selon l'exposé des motifs, le projet de loi précise « les finalités des traitements effectués dans le cadre des différentes procédures de vérification d'antécédents, en délimitant la consultation aux données essentielles et nécessaires et en déterminant la durée de conservation des données consultées par les autorités compétentes ». Les auteurs du projet de loi indiquent encore que l'objectif du projet de loi est « de permettre à toute personnes concernée par un traitement de données à des fins de contrôle d'honorabilité, de comprendre quels sont les différents types de données consultés et pour quels types d'objectifs ». De telles vérifications des antécédents ou « contrôle d'honorabilité » ont indéniablement des répercussions sur le respect de la vie privée et la protection des données, la Commission nationale formulera ci-après ses observations quant aux problématiques soulevées à cet égard par les dispositions du projet de loi sous avis. I. Introduction 1. Sur la notion d'honorabilité En droit luxembourgeois, la notion d'honorabilité est « polysémique et fonction des matières et des finalités pour lesquelles il y est fait référence »1 . Il n'est pas rare de constater que la référence faite à la notion d'« honorabilité » se retrouve sous des formulations différentes. En effet, certaines dispositions légales nationales font état de « conditions d'honorabilités à respecter », de « garanties d'honorabilité à respecter » ou encore de conditions ou garanties de « moralité » à respecter »2. Les auteurs du projet de loi utilisent d'ailleurs également, dans l'exposé des motifs, tantôt le terme de « vérification des antécédents » tantôt celui de « contrôle d'honorabilité »3 . Tel que relevé par le Conseil d'Etat, le concept de l'honorabilité « est essentiellement utilisé pour déterminer les conditions d'accès à une profession, souvent en rapport avec des notions telles que « moralité », « honorabilité professionnelle », « bonne réputation » et « activités irréprochables ». Afin de déterminer l'honorabilité professionnelle, les lois en cause visent, à côté des antécédents judiciaires, d'autres critères, souvent définis négativement, comme l'absence de l'accumulation de dettes importantes auprès de créanciers publics ou l'usage dans le cadre de la ' V. avis complémentaire du Conseil d'Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 ». 2 V. exposé des motifs du projet de loi, page 5. 3 II s'agit des termes utilisés par les auteurs du projet de loi dans l'exposé des motifs, page 4. [ CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 3/40 demande d'autorisation de documents ou de déclarations falsifiés ou mensongers, l'absence de faillite, l'absence de condamnation pénale, etc. »4. Selon l'exposé des motifs du projet de loi, l'absence de définition commune de la notion d'honorabilité se justifie par la « diversité des matières qui recourent à une telle procédure et en conséquence les grandes différences dans les degrés d'ingérence qu'ils opèrent ». S'il peut s'avérer difficile de trouver une définition commune eu égard à la diversité des matières et des procédures de vérification des antécédents ou de « contrôle d'honorabilité » y afférents, l'emploi de termes différents implique que chaque notion a une signification qui lui est propre. Si tel ne devait pas être le cas, ne serait-il pas préférable d'utiliser la même terminologie plutôt que de continuer à utiliser par exemple les termes « moralité », « honorabilité professionnelle », « bonne réputation » ou « activités irréprochables » ? Bien qu'il soit regrettable que le projet de loi sous avis ne propose pas de définition commune de la notion d'honorabilité ou n'emploie pas la même terminologie, il y a lieu de constater que celuici encadre toutefois les enquêtes diligentées à cet égard. 2. Sur le cadre légal instauré par le projet de loi Le projet de loi instaure un cadre légal en ce qui concerne les vérifications d'antécédents ou de « contrôle d'honorabilité » devant être effectués dans le cadre des lois visées par le texte en p roj et. Les auteurs du projet de loi précisent dans l'exposé des motifs qu'un tel cadre légal s'est avéré nécessaire car « dans nombre de cas, la loi manque de définir précisément sur quels éléments portent la vérification d'antécédents ou le « contrôle d'honorabilité » ou quelles données sont prises en compte dans le cadre d'une telle procédure. En effet, les textes actuels ne permettent ainsi pas aux candidats ou requérants de savoir exactement quelles données les concernant sont consultées par les autorités compétentes ». Il ressort dudit projet de loi que les enquêtes diligentées aux fins de vérifier les antécédents peuvent être classées en trois types selon leur degré d'intrusion, quant à la vérification des antécédents judiciaires en fonction des agréments, permis, autorisations à délivrer selon le projet de loi ou des postes à pourvoir, tels que visés par le projet de loi. 4 V. avis complémentaire du Conseil d'Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 ». [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 4/40 En effet, le premier type de procédures regroupe les vérifications d'antécédents qui se basent sur la communication d'un extrait de casier judiciaire (ci-après les « procédures de vérification des antécédents de type 1 »)6. Le second type de procédures regroupe les vérifications d'antécédents qui portent sur la communication d'un extrait de casier judiciaire, sur les faits relatifs à une condamnation pénale pour crime ou délit et pour laquelle la réhabilitation n'est pas déjà atteinte au moment de l'introduction de la demande, et sur les faits susceptibles de constituer un crime ou délit ayant donné lieu à l'établissement d'un procès-verbal de police, si ces faits font l'objet d'une poursuite pénale en cours, à l'exclusion des faits ayant abouti à une décision de non-lieu ou de classement sans suites (ci-après les « procédures de vérification des antécédents de type 2 »)6. Le troisième type de procédures concerne les vérifications d'antécédents qui portent sur la communication d'un extrait de casier judiciaire, les procès-verbaux et rapports de police concernant le requérant pour des faits qui ont fait l'objet d'une condamnation pénale ou incriminés en tant crime ou délit par la loi, visés à l'article 563, point 3° du Code pénal relatif aux voies de fait et violences légères, visés à l'article 1er de la loi modifiée du 8 septembre 2003 sur la violence domestique (ci-après les « procédures de vérification des antécédents de type 3 »)7. Il y a lieu de regretter que ces trois procédures ne soient pas plus uniformisées en ce qui concerne les acteurs qui diligentent les enquêtes administratives et en ce qui concerne les modalités de transmission des informations issues de telles enquêtes. En effet, il y a lieu de relever que soit le Ministère public diligente lui-même les enquêtes administratives8 soit il communique les informations, nécessaires à l'enquête administrative, au ministre de la Justice ou ministre des Finances 1°. Un schéma identique n'est donc pas reproduit pour l'ensemble des procédures. V. articles 1 relatif du projet de loi relatif à l'article 8-1 du Code de procédure pénale, article 2-3° du projet de loi relatif à l'article 1251-3 du Nouveau Code de procédure civile et article 13 du projet de loi relatif à l'article 2 de la loi du 6 mai 1999 relative à la médiation pénale, article 3 du projet de loi relatif à l'article 1 er de la loi modifiée du 7 juillet 1971 portant en matière répressive et administrative, institution d'experts, de traducteurs et d'interprètes assermentés 6 V. article 4 du projet de loi relatif à l'article 16 de la loi modifiée du 9 décembre 1976 relative à l'organisation du notariat, article 5 du projet de loi relatif à l'article 11 paragraphe

(3)de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs, article 6 du projet de loi relatif aux articles 76 et 77 de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire, article 7 du projet de loi relatif à l'article 90 bis de la loi modifiée du 7 novembre 1996 portant organisation des juridictions de l'ordre administratif, article 11 du projet de loi relatif aux articles 2 et 3 de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice et article 15 du projet de loi relatif à l'article 2 de la loi modifiée du 7 juin 2012 sur les attachés de justice. V. article 5 du projet de loi relatif à l'article 11 paragraphe

(2)de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs, article 9 du projet de loi relatif à l'article 16 de la loi modifiée du 15 mars 1983 sur les armes et munitions, article 12 du projet de loi relatif à l'article 3 de la loi du 31 janvier 1988 portant agrément des services d'adoption et définition des obligations leur incombant et de l'article 14 du projet de loi relatif à l'article 8bis de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance. 6 V. articles 4, 6, 7, 11, 12 et 15 du projet de loi V. articles 5, 9 et 14 du projet de loi " V. article 5 du projet de loi CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 5/40 De plus, il y a lieu de relever que lorsque le Ministère public diligente les enquêtes administratives, celui-ci rend à l'issue de celles-ci un avis, dont les éléments du contenu ne sont pas détaillés par le texte en projet. Lorsque le ministre de la Justice ou le ministre des Finances diligentent les enquêtes administratives ceux-ci se voient transmettre par le Ministère public les informations visées par le projet de loi. La CNPD y reviendra infra au point VI. du présent avis. Ainsi, nonobstant la diversité des matières, il y a lieu de regretter qu'une structure commune n'ait pu être dégagée par les auteurs du projet de loi, en ce qui concerne les entités qui diligentent les enquêtes administratives et les modalités de transmission des données issues de telles enquêtes. 3. Sur le cadre légal en France A titre de comparaison avec le système proposé par le texte sous avis, il est intéressant de noter qu'il existe un cadre légal commun, en droit français, en ce qui concerne les enquêtes administratives ayant pour objet de vérifier les antécédents d'une personne souhaitant accéder à certaines professions ou sollicitant certaines autorisations ou certains agréments. Le système français repose sur les articles L.114-1 et L.234-1 du Code de la sécurité intérieure français (ciaprès le « CSI ») qui fixent le cadre général des enquêtes administratives puis les modalités de ces enquêtes sont complétées par décrets. L'article L.114-1 du CSI dispose que « pies décisions administratives de recrutement, d'affectation, de titularisation, d'autorisation, d'agrément ou d'habilitation, prévues par des dispositions législatives ou réglementaires, concernant soit les emplois publics participant à l'exercice des missions de souveraineté de l'Etat, soit les emplois publics ou privés relevant du domaine de la sécurité ou de la défense, soit les emplois privés ou activités privées réglementées relevant des domaines des jeux, paris et courses, soit l'accès à des zones protégées en raison de l'activité qui s'y exerce, soit l'utilisation de matériels ou produits présentant un caractère dangereux, peuvent être précédées d'enquêtes administratives destinées à vérifier que le comportement des personnes physiques ou morales intéressées n'est pas incompatible avec l'exercice des fonctions ou des missions envisagées ». Les articles R.114-2 à R.114-5 du CSI énumèrent les professions ou agréments qui peuvent donner lieu aux enquêtes mentionnées à l'article L.114-1 du CSI. A titre d'exemple, il y a lieu de relever que peut donner lieu à de telles enquêtes les « personnes physiques employées pour participer à une activité privée de surveillance et de gardiennage »", le « plecrutement des membres des juridictions administratives, des magistrats de l'ordre judiciaire et des juges de proximité »12 ainsi que les décisions relatives à l'autorisation de (( pratiquer les jeux d'argent et de hasard dans les casinos autorisés »13 , les décisions relatives à l'agrément des « directeurs et des membres des comités de direction des casinos autorisés l'Article R.114-2, 10 ,

1. c)du CSI 12 Article R.114-2, 2° du CSI '3 R.114-3, 10,
2. a)du CSI Avis de la Commission nationale pour la protection des données relatif au projet de loi n07691. 6/40 ainsi que des personnes employées dans les salles de jeux des casinos »14 ou encore les autorisations ou agréments relatifs à l' « [a]cquisition, détention, fabrication, commerce, intermédiation, importation, exportation, transfert et transit de matériels de guerre, d'armes, de munitions et de leurs éléments de toute catégorie ; utilisation, exploitation, exportation et transit de matériels de guerre et matériels assimilés (..) »l5 . Les articles L.234-1, R.234-1 du CSI viennent préciser les fichiers qui seront consultés lors d'une enquête administrative visée par l'article L.114-1 du CSI, ainsi que les modalités d'accès à de tels fichiers. Il est encore intéressant de noter que ces enquêtes administratives sont diligentées par le service national des enquêtes administratives de sécurité16 (ci-après le « SNEAS ») et qu'un traitement automatisé de données à caractère personnel dénommé « Automatisation de la consultation centralisée de renseignements et de données » (ACCReD) permet au SNEAS de procéder à la consultation automatique et, le cas échéant, simultanée de traitements de données à caractère personnel pour vérifier si la personne concernée y est enregistrée17. Si les auteurs du projet de loi ont fait le choix de ne pas s'inspirer de l'approche française, c'està-dire, prévoir un cadre légal commun, la Commission nationale se demande s'il ne serait toutefois pas pertinent que les enquêtes administratives soient diligentées par une même et seule autorité à l'instar du SNEAS français et que seuls des avis rendant compte des résultats de l'enquête soient communiqués aux autorités concernées. Par ailleurs, il est recommandé aux auteurs du projet de loi de s'inspirer de certaines dispositions françaises notamment en ce qu'elles énumèrent les fichiers qui pourront être consultés lors des enquêtes administratives, ainsi que les catégories de données à caractère personnel qui seraient collectées lors de telles enquêtes pour le cas où les données issues de telles enquêtes seraient conservées18. II. Sur le principe de la licéité des traitements effectués dans le cadre des procédures de la vérification des antécédents ou de « contrôle d'honorabilité » A titre de remarque liminaire, il y a lieu de relever que les données collectées, dans le cadre des enquêtes administratives, sont initialement collectées et traitées par la Police grand-duca1e19, par " Article R.114-3, 2°,
3. a)du CSI Article R.114-5, 1° du CSI 16 V. décret n° 2017-668 du 27 avril 2017 portant création d'un service à compétence nationale dénommé « service national des enquêtes administratives de sécurité » 17 V. Décret n° 2017-1224 du 3 août 2017 portant création d'un traitement automatisé de données à caractère personnel dénommé « Automatisation de la consultation centralisée de renseignements et de données » (ACCReD) 18 V. articles R.236-1 et suivants et décret n° 2017-1224 du 3 août 2017 portant création d'un traitement automatisé de données à caractère personnel dénommé « Automatisation de la consultation centralisée de renseignements et de données » (ACCReD) 19 V. articles 9 et 14 du projet de loi. 1 CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 7/40 le Ministère public" ou par le Service de renseignement de l'Etat (ci-après le « SRE )))21 à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. Ces traitements initiaux sont soumis à la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Toutefois, il convient de relever que les traitements de données à caractère personnel mis en œuvre dans le cadre des procédures de la vérification des antécédents ou de « contrôle d'honorabilité » seront soumis au RGPD alors que la finalité poursuivie est le recrutement d'un candidat à un des postes visés par le texte sous avis, ou la délivrance d'une autorisation, d'un permis ou agrément, tels que visés par le projet de loi. Ainsi, bien que les finalités des traitements envisagés dans le cadre de la loi en projet, soient à des fins administratives, la nature même des données transmises et ensuite utilisées pour diligenter l'enquête administrative reste identiques à la nature des données traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. Dans un tel contexte, il y a lieu de s'interroger sur l'articulation des dispositions du RGPD avec celles de la loi du ier août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Cette problématique est d'ailleurs illustrée à l'article 11, paragraphe

(6), de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs, tel que modifié par l'article 5 du projet de loi. Ces dispositions font, en effet, expressément référence à la loi du ier août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. 1. Sur l'article 6 paragraphe

(3)du RGPD Il y a lieu de féliciter les auteurs du projet de loi sur le fait que, d'un point de vue de la sécurité juridique, le projet de loi instaure une base légale pour les enquêtes effectuées dans le cadre de la vérification des antécédents ou de « contrôle d'honorabilité », conformément à l'article 6, paragraphe

(3), du RGPD. En effet, le traitement de données à caractère personnel collectées et traitées dans le cadre de l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement doit reposer sur une base légale conformément à l'article 6, 20 21 V. articles 4, 6, 7, 11, 12 et 15 du projet de loi. V. articles 9 et 14 du projet de loi. CNKI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 8/40 paragraphe

(3), du RGPD, lu ensemble avec son paragraphe

(1), lettres

1. c)et e)22 , qui dispose que « Ne fondement du traitement visé au paragraphe 1, points
2. c)et e), est défini par : a. le droit de l'Union; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. » Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « (...) appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal (...) ». Le considérant

(41)du RGPD énonce encore que « Norsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues 22 L'article 6, paragraphe

(1), lettres

1. c)et
2. e)dispose que : « Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : (...)
3. c)le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis; (...)
4. e)le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; (...) ». CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 9/40 en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Bien que la base légale, instaurant les différentes procédures de vérification des antécédents ou de « contrôle d'honorabilité », précise les types de données traitées, les personnes concernées ainsi que les entités auxquelles les données peuvent être communiquées et pour quelles finalités, la Commission nationale relève que certains éléments relatifs au traitement de données ne sont pas suffisamment précisés ou ne sont pas précisés du tout (par exemple la durée de conservation des données) dans le projet de loi. En outre, les entités qui diligentent les enquêtes, telles que prévues par le projet de loi, serontelles amenées à tenir un registre qui regroupera l'ensemble des données issues de telles enquêtes ? Le ministre de la Justice ou le ministre des Finances tiendront-ils un registre dans lequel figureraient les données issues des enquêtes administratives ? Qu'en est-il du Ministère public, tiendra-t-il lui aussi un registre spécifique « enquêtes administratives » ou est-ce que le traitement de données y relatif fera, le cas échéant, partie de la banque de données « JU-CHA » ? Si tel devait être le cas, la Commission nationale estime essentiel que la création de tels registres soit prévue par le présent projet de loi. Les dispositions légales portant création desdits registres devront contenir les éléments cités ci-dessus. Sur ce point, il est par ailleurs renvoyé aux dispositions légales françaises qui encadrent les registres de données issues des enquêtes administratives23. Si de tels fichiers devaient exister, il est recommandé aux auteurs du projet de loi de s'inspirer du système français. 2. Sur les principes dégagés par la jurisprudence de la Cour européenne des droits de l'Homme et de la Cour de justice de l'Union européenne La Commission nationale se doit de souligner l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52 paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'Homme, retiennent qu'un 23 V. articles R.236-1 à R.236-10 du CSI relatifs au traitement de données à caractère personnel dénommé « Enquêtes administratives liées à la sécurité publique » [ CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 10/40 traitement de données effectué par une autorité publique peut constituer une ingérence dans le droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données. Cette ingérence ou limitation peut être justifiée à condition qu'elle : soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante (A) ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité (B) ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. Il y a plus précisément lieu d'examiner si les deux premières conditions sont remplies en l'espèce. A. Sur la première condition Selon la jurisprudence de la Cour européenne des droits de l'Homme, une ingérence au droit au respect de la vie privée n'est « prévue par la loi », au sens de l'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme24, que si elle repose sur un article du droit national qui présente certaines caractéristiques. L'expression « prévue par la loi » implique donc selon la jurisprudence de la Cour européenne des droits de l'Homme que la législation interne doit user de termes assez clairs pour indiquer à tous de manière suffisante en quelles circonstances et sous quelles conditions elle habilite la puissance publique à recourir à des mesures affectant les droits protégés par la Convention

1. La législation interne doit être « accessible aux personnes concernées et prévisible quant à ses répercussions »
2. Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne — bénéficiant éventuellement d'une assistance appropriée — d'adapter son comportement »27 ainsi que « degré de précision requis de la "loi" à cet égard dépendra du sujet en question. »
3. Afin de remplir ces critères d'accessibilité et de prévisibilité de la « loi », d'une part, et ainsi limiter d'éventuels comportements arbitraires et abusifs de la part des autorités publiques, d'autre part, le droit national peut donc prévoir et encadrer plus spécifiquement les traitements de données à 24 L'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme dispose que : « ne peut y aV. ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui ». 26 CouEDH, Fernàndez Martinezc. Espagne [GC], n°56030/07, para.

1. 26 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; V. également CouEDH, Kopp c. Suisse, n° 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 février 2009, para.
2. 27 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 56 ; V. également CouEDH, Malone c. Royaume-Uni, n° 8691/79, 26 avril 1985, para. 66 ; CouEDH, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
3. 28 CouEDH, The Sunday Times c. Royaume-Uni, n° 6538/74, 26 avril 1979, para. 49 ; V. également CouEHD, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
4. [C N P Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
5. 11/40 caractère personnel effectués par de telles autorités. Cet encadrement légal serait par ailleurs un garant du principe de sécurité juridique au profit des personnes concernées, des candidats aux postes visés par le texte en projet, ou des demandeurs d'une autorisation, permis ou agrément prévus par le projet de loi sous avis. La sécurité juridique constitue un principe général du droit de l'Union européenne, exigeant notamment qu'une réglementation entraînant des conséquences défavorables à l'égard de particuliers soit claire et précise et son application prévisible pour les justiciables. La réglementation doit permettre aux intéressés de connaître avec exactitude l'étendue des obligations qu'elle leur impose, doit leur permettre de connaître sans ambiguïté leurs droits et leurs obligations ainsi que leur permettre de prendre leurs dispositions en conséquence'. C'est la raison pour laquelle, la Cour européenne des droits de l'homme au sein de sa jurisprudence affirme que « le droit interne doit offrir une certaine protection contre des atteintes arbitraires de la puissance publique aux droits garantis par l'article 8 paragraphe 1 »
6. Par conséquent, la législation interne « doit définir l'étendue et les modalités d'exercice du pouvoir avec une netteté suffisante — compte tenu du but légitime poursuivi — pour fournir à l'individu une protection adéquate contre l'arbitraire »3'. La Cour de justice de l'Union européenne estime qu'en cas de limitation de la protection des données à caractère personnel ou du droit au respect de la vie privée, un texte légal « doit prévoir des règles claires et précises régissant la portée et l'application de la mesure en cause et imposant un minimum d'exigences de sorte que les personnes dont les données ont été conservées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d'abus ainsi que contre tout accès et toute utilisation illicites de ces données »32 . Dès lors, dans la mesure où les traitements de données mis en œuvre dans le cadre des enquêtes administratives, visées par le projet de loi sous avis, constituent une ingérence dans le droit au respect de la vie privée des candidats ou demandeurs d'une autorisation, d'un permis ou agrément, tels que visés par le projet de loi sous avis, celui-ci devrait encadrer plus spécifiquement de tels traitements conformément à la jurisprudence de la Cour européenne des droits de l'Homme. Or, force est de constater que le projet de loi sous avis, tel qu'amendé n'est, par endroit, pas rédigé avec suffisamment de précision
7. La CNPD reviendra plus particulièrement sur ce point dans ses développements sous les points IV. et V. ci-après. V. p.ex. Cour EDH, Aurubis Balgaria du 31 mars 2011, C-546/09, points 42-43 ; Arrêt, Alfamicro c. Commission du 14 novembre 2017, T-831/14, points 155-
8. " Cour EDH, Amann c. Suisse [GC], n°27798/95 para
9. " Ibidem. V. également Cour EDH, Malone c. Royaume-Uni, série A n°82, du 2 août 1984, pp. 31-32, para.66 ; Cour EDH, Fernández Martínez c. Espagne CE:ECHR:2014:0612JUD005603007, 12 juin 2014 para.117 ; Cour EDH, Liberty et autres c. Royaume-Uni, no 58243/00, du ler juillet 2008, para. 62 et 63; Cour EDH, Rotaru c. Roumanie, App. N° 28341/95, 4 mai 2000, para. 57 à 59 et Cour EDH, S et Marper c. Royaume-Uni, Requêtes n° 30562/04 et 30566/04, du 4 décembre 2008 para.
10. ; Dimitrov-Kazakov c. Bulgarie n°11379/03, du 10 février
11. 32 Arrêt du 8 avril 2014, Digital Rights Ireland e.a. C-293/12 et C-594/12, EU :C :2014 :238, point
12. 33 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619 29 [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
13. 12/40 B. Sur la seconde condition Il ressort de la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'Homme que les motifs invoqués par les autorités publiques pour justifier une limitation à l'exercice du droit à la protection des données à caractère personnel ou une ingérence dans le droit au respect de la vie privée doivent être pertinents et suffisants' et qu'il doit être démontré qu'il n'existe pas d'autres méthodes moins intrusives
14. La notion de nécessité, telle qu'interprétée par la Cour de justice de l'Union européenne, implique que les mesures adoptées soient moins intrusives que d'autres options pour atteindre le même but. De plus, selon la jurisprudence de la Cour européenne des droits de l'Homme, pour répondre au critère de nécessité, l'ingérence devra également être proportionnée. Dans son « Manuel de droit européen en matière de protection des données », l'Agence des droits fondamentaux de l'Union européenne précise que « fila proportionnalité requiert qu'une mesure d'ingérence dans l'exercice des droits protégés par la Cour européenne des droits de l'Homme n'aille pas au-delà de ce qui est nécessaire pour atteindre le but légitime poursuivi. Les facteurs importants à prendre en compte lors de l'appréciation du critère de proportionnalité sont la portée de l'ingérence, notamment le nombre de personnes concernées, et les garanties ou les avertissements mis en place pour limiter sa portée ou ses effets négatifs sur les droits des individus »
15. Le Contrôleur européen de la protection des données indique encore qu'« [u]n examen de la proportionnalité suppose en règle générale de déterminer quelles « garanties » doivent accompagner une mesure (qui porterait par exemple sur la surveillance) afin de réduire à un niveau « acceptable »/proportionné les risques posés par la mesure envisagée au regard des droits fondamentaux et des libertés des individus concernés. »3' . En l'occurrence, à défaut de telles précisions dans le projet de loi, quelles seraient les garanties envisagées par les auteurs du projet de loi sous avis ? N'existerait-il pas de méthodes moins intrusives que le système prévu par le texte en projet ? En ce qui concerne plus particulièrement les enquêtes administratives qui ne porteraient pas uniquement sur la communication d'un extrait de casier judiciaire, il y a lieu de s'interroger sur les conséquences qu'un tel mécanisme est susceptible d'engendrer pour les personnes concernées. La duplication des informations concernant les antécédents judiciaires d'une personne concernée dans les mains de différentes autorités pourrait être l'une d'entre elles. En effet, la CNPD se demande si à l'issue des enquêtes administratives diligentées par le ministre de la Justice ou le ministre des Finances, des données contenues dans les fichiers tenus par la Police grand-ducale, par le Ministère public ou le SRE seraient amenées à figurer une nouvelle fois dans un fichier V. l'arrêt de la Cour européenne des droits de l'homme du 4décembre 2008, S. et Marper c. Royaume-Uni. V. les arrêts de la Cour de justice du 9 novembre 2010, C-92/09, Volker und Markus Schecke GbR/Land Hessen, et C93/09,Eifert/Land Hessen etBundesansalt für Landwirtschaft und Ernährung. 36 V. page 45 du « Manuel de droit européen en matière de protection des données » de l'Agence des droits fondamentaux de l'Union européenne. " V. page 11 des « Lignes directrices du CEPD portant sur l'évaluation du caractère proportionné des mesures limitant les droits fondamentaux à la vie privée et à la protection des données à caractère personnel ». 34 35 CNPCI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
16. 13/40 tenu par le ministre de la Justice ou le ministre des Finances. Afin d'éviter une duplication de telles données et la tenue d'une sorte de nouveau « casier bis » par le ministre de la Justice ou le ministre des Finances, une méthode moins intrusive pour atteindre le même but devrait être préférée au système actuellement prévu par le projet de loi. Ainsi, il y a lieu d'attirer l'attention des auteurs du projet de loi sur la proposition faite par le Conseil d'Etat, dans son avis complémentaire du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions38, concernant la vérification d'honorabilité visée à l'article 14 du projet de loi précité. A la place de la procédure de vérification d'honorabilité instaurée par ledit projet de loi, le Conseil d'Etat propose le mécanisme d'un « avis circonstancié du procureur d'État se référant tant aux antécédents judiciaires qu'à l'ensemble des procès-verbaux et rapports pertinents auxquels le procureur d'Etat peut avoir accès, et encore à des informations qui lui sont transmises par la Police grand-ducale ». Ce système permettrait d'éviter une duplication des données concernant les antécédents judiciaires de la personne concernée tout en permettant au ministre de la Justice ou au ministre des Finances d'obtenir les informations nécessaires et pertinentes, sous forme d'un avis du Ministère public, afin de lui permettre d'apprécier leur « honorabilité ». Un tel mécanisme présenterait encore l'avantage que l'enquête administrative serait confiée à une autorité répressive, le Ministère public, et non pas à une/des administration(s). En effet, une telle autorité serait plus appropriée pour mener une telle enquête eu égard à la nature des données traitées. Par ailleurs, il y a lieu de relever que ce mécanisme d'avis du Ministère public est d'ores et déjà prévu pour certaines des procédures de vérification des antécédents visées par le texte en projet". La Commission nationale estime qu'il serait préférable de transposer ce système à l'ensemble des procédures de vérification des antécédents prévues par le projet de loi. Ill. Sur l'origine des données
17. L'article 8, paragraphe

(1), de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale La Commission nationale comprend que les données collectées et traitées par le ministre de la Justice, le ministre des Finances ou encore le procureur d'Etat général dans le cadre des procédures de vérification des antécédents ou de « contrôle d'honorabilité », proviennent de fichiers tenus par la Police grand-ducale, le Ministère publie' et le SRE

1. " V. avis complémentaire du Conseil d'Etat du 19 décembre 2020, document parlementaire n°7425/08, développements sous « Amendement '14 ». 29 V. articles 4, 6, 7, 11, 12 et 15 du projet de loi 40 Articles 9 et 14 du projet de loi 41Articles 1, 2-3°, 3, 4, 5, 6, 7, 11, 13 et 15 42 Articles 9 et 14 du projet de loi CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
2. 14/40 Il y a lieu de constater que ces données ont été initialement collectées par les autorités précitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales et seront dans le cadre du projet de loi traitées pour des finalités ultérieures différentes. La CNPD se félicite qu'une telle base légale soit prévue par le dispositif sous avis conformément aux dispositions de l'article 8, paragraphe

(1), de la loi du ier août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Cet article dispose que « Illes données à caractère personnel collectées par les autorités compétentes pour les finalités énoncées à l'article l er ne peuvent être traitées à des fins autres que celles y énoncées, à moins qu'un tel traitement ne soit autorisé par le droit de l'Union européenne ou par une disposition du droit luxembourgeois. ». Néanmoins, il y a lieu de relever que la base légale, sous avis, semble instaurer un régime spécial par rapport aux dispositions du Chapitre 2, section 2, de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière, et à celles prévues par l'article 9 paragraphe

(2)de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE. En effet, ces dispositions ont respectivement pour objet d'encadrer la transmission de telles données par la Police grand-ducale à d'autres administrations dans le cadre de la vérification de l'honorabilité43, et la communication par le SRE « [d]es renseignements collectés dans le cadre de ses missions (...) aux administrations dans la mesure où ces renseignements paraissent utiles à l'accomplissement de leurs missions respectives. »". Il convient de saluer le fait que le projet de loi prévoit expressément : - la communication des données par le Ministère public au ministre de la Justice ou au ministre des Finances dans le cadre des procédures de vérification des antécédents ou de « contrôle d'honorabilité » alors qu'à ce jour aucune disposition légale ne prévoyait une telle communication ; et le traitement de telles données par le Ministère public à des fins d'enquêtes administratives, telles que prévues par le dispositif sous avis. Enfin, et afin de permettre aux personnes concernées de comprendre l'étendue et la portée de l'enquête administrative, ne serait-il pas préférable d'indiquer dans le projet de loi que les 43 V. document parlementaire n°6975 sur le projet de loi relative à l'échange de données à caractère personnel et d'informations en matière policière, commentaires des auteurs du projet de loi concernant les articles 26 et suivants du projet de loi. 44 V. Article 9 paragraphe

(2)de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE. [ CNP11 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°

1. 15/40 données collectées lors des enquêtes administratives proviennent de fichiers tenus par la Police grand-ducale, le Ministère public ou le SRE ? Sur ce point les auteurs du projet de loi pourraient s'inspirer de la législation française'. Quant aux fichiers tenus par la Police grand-ducale, il convient de relever que le projet de loi n°7741 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE et 3° du Code pénal, a été déposé le 30 décembre
2. Ledit projet de loi a notamment pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grandducale, et plus précisément dans le fichier central. Une attention particulière devrait être portée sur l'accès à la partie passive du fichier central. Son accès est, en effet, strictement limité aux finalités énumérées au paragraphe

(19)de l'article 432 du projet de loi n°7741 (les enquêtes administratives n'y sont pas visées) et est soumis à l'accord du procureur général d'Etat. Dès lors, les auteurs du projet de loi devraient s'assurer de la bonne cohérence et articulation entre les deux textes en projet.

1. La base de données dite « JU-CHA » Il y a lieu de relever que la base de données dite « JU-CHA » est encadrée actuellement par la seule loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Dans son avis du 31 juillet 2020 sur l'application « JU-CHA », l'autorité de contrôle judiciaire précise qu'« pjl ne fait aucun doute que les traitements de données effectués par les autorités compétentes en matière pénale ainsi qu'en matière de sécurité nationale constituent une ingérence dans le droit au respect de la vie privée et le droit à la protection des données et que les dispositions pénales, en particulier le Code pénal et le Code de procédure pénale, constituent une base légale suffisante pour la collecte de données à caractère personnel dans l'exécution des missions essentielles du ministère public et des juridictions judiciaires ». Selon l'autorité de contrôle judiciaire l'application « JU-CHA » constituerait un traitement de données distinct en « allant au-delà des traitements de données basés sur les procédures pénales » car celle-ci faciliterait « l'exploitation et la mise en relation d'informations sur base de procédures judiciaires distinctes » et permettrait « des rapprochements entre ces différents traitements de données ayant des finalités connexes ». Les conditions et les modalités de ce traitement de données ne sont pas prévues par la loi. Conformément aux développements sous le point II. du présent avis, de telles précisions devraient être prévues par la loi afin de conférer une plus grande sécurité juridique aux 45 V. nos développements sous le point 1.3 du présent avis Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
2. 16/40 justiciables. Le Conseil d'Etat a d'ailleurs justement relevé, dans son avis complémentaire précité relatif au projet de loi n°7425, que la problématique du « contrôle de l'honorabilité » « renvoie à celle de la base légale des bases de données dites « Jucha ». Si la tenue de ces fichiers devait recevoir une base légale, on pourrait envisager un système dans lequel le procureur d'État est invité à émettre un avis sur la dangerosité du demandeur, y compris au regard d'informations tirées de procès-verbaux et rapports dont il est saisi »
3. Ainsi, dans l'hypothèse où le ministre de la Justice entendrait légiférer sur ce point, et compte tenu de l'interaction entre l'application « JU-CHA » et les dispositions sous avis, les auteurs du projet de loi devront veiller à ce que le texte s'articule avec le projet sous avis. lv. Sur le traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûretés connexes Aux fins de vérifier l'honorabilité, le projet de loi prévoit que les traitements effectués porteront sur les données à caractère personnel relatives aux condamnations pénales et aux infractions et plus précisément sur les données relatives au casier judiciaire

(2)et sur les faits susceptibles de constituer un crime ou un délit ou relatifs à une condamnation pénale pour crime ou délit

(3). Or, il convient de rappeler que ces données ne peuvent être traitées que dans le respect des conditions visées à l'article 10 du RGPD

(1).

1. Sur le respect des dispositions de l'article 10 du RGPD L'article 10 du RGPD dispose que « file traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l'article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. ». Ledit article précise encore que « Ajout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique ». A défaut de précision dans le texte sous avis ou par les auteurs du projet de loi dans le commentaire des articles, la Commission nationale se demande quelle seraient les garanties qui seraient prévues ? Eu égard à la nature des données qui seraient collectées ainsi qu'au niveau de risque lié à la perte de confidentialité de telles données et de leur impact potentiel sur les personnes concernées, il est essentiel que de telles garanties soient prévues dans le projet de loi. " V. avis complémentaire du Conseil d'Etat du 19 décembre 2020, document parlementaire n°7425/08, développements sous « Amendement 14 ». CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
2. 17/40 De telles garanties devraient être plus particulièrement prévues pour les procédures de vérification des antécédents de type 2 et 3 alors que celles-ci ne se basent pas uniquement sur l'extrait de casier judiciaire et sont les plus intrusives d'un point de vue de la vie privée des personnes concernées. En effet, celles-ci verront leurs données, relatives à des condamnations pénales ou à des faits susceptibles de constituer des infractions pénales, être consultées ou communiquées au ministre de la Justice, ou au ministre des Finances pour des finalités étrangères à celles pour lesquelles ces données ont été collectées initialement'''. Or, il conviendrait d'éviter une duplication de telles données dans les mains de plusieurs autoritée, ou d'éviter une multiplicité des accès à de telles données, alors que cela fait courir un risque accru d'accès illégitime à de telles données. Dès lors, comme indiqué précédemment, il serait préférable de mettre en œuvre un système de vérification des antécédents ou de « contrôle d'honorabilité » se basant sur un avis circonstancié du procureur d'Etat, tel que cela ressort des articles 4, 7, 11, 12 et 15 du projet de loi. La CNPD estime donc essentiel que des garanties soient prévues par les auteurs du projet de loi. La transmission d'un avis circonstancié du Ministère public à la place des transmissions actuellement prévues par le projet de loi, tel que suggéré par le Conseil d'Etat dans son avis complémentaire du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions49, pourrait être l'une d'entre elles.
3. Sur le traitement de données relatives au casier judiciaire Dans l'ordre juridique luxembourgeois, la communication des informations relatives à des décisions de justice se fait par la délivrance d'extraits de casier judiciaire conformément à la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire. Cette loi porte création de plusieurs bulletins avec une ventilation des inscriptions se trouvant sur les bulletins respectifs. S'il apparaît que le traitement d'un extrait de casier judiciaire national ou étranger est un dénominateur commun à l'ensemble des procédures de vérification des antécédents prévues par le projet de loi, des nuances sont, cependant, à distinguer entre les procédures de vérification des antécédents de type 1 (A), de type 2 (B) et de type 3 (C). 47 11 est renvoyé à nos observations formulées au point II. et III. du présent avis. 48 Ces derniers disposeraient, le cas échéant, à l'issue des procédures de vérification des antécédents de la copie de rapports de police, extraits de procès-verbaux, jugements, extraits de casier judiciaire, ou encore pour certains cas des « informations nécessaires » fournies par le SRE. 49 V. document parlementaire n°7425/08, développements sous « Amendement 14 » CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
4. . 18/40 A. Sur les procédures de vérification des antécédents de type 1 a. Sur la communication du bulletin N°2 du casier judiciaire Aux fins de la nomination d'expert, traducteur et d'interprète assermentés, en matière répressive et administrative50, ou de délivrance d'agrément de médiateur51, ou d'agrément de facilitateur de justice restaurative52, le ministre de la Justice sollicitera, pour chacune de ces procédures, que le requérant fournisse un bulletin N°2 de son casier judiciaire. En effet, le projet de loi précise que le ministre de la Justice « conformément à l'article 8 paragraphe l er, de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire peut prendre connaissance des inscriptions au bulletin numéro 2 du casierjudiciaire du requérant pour vérifier que les antécédents judiciaires de ce dernier ne sont pas incompatibles avec l'exercice des fonctions » des experts, traducteurs, interprètes, médiateur ou facilitateur de justice restaurative. Cependant, il y a lieu de s'interroger sur la pertinence du renvoi à l'article 8 paragraphe

(1)de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire53. Cet article renvoie également au règlement grand-ducal du 23 juillet 2016 fixant la liste des administrations et personnes morales de droit public pouvant demander un bulletin N°2 ou N°3 du casier judiciaire avec l'accord écrit ou électronique de la personne concernée (ci-après le « règlement grand-ducal du 23 juillet 2016 »). En effet, si la volonté des auteurs du projet de loi est de permettre au ministre de la Justice d'obtenir la communication du bulletin N°2 par le Ministère public alors cela devrait être reflété clairement dans le projet de loi. En outre, de telles précisions constitueraient une base légale suffisante afin de permettre au ministre de la Justice d'obtenir le bulletin N°2 du requérant. Dans un tel cas, l'accord du requérant apparaîtrait superfétatoire alors que la communication d'un tel bulletin disposerait, alors, d'une base légale. " V. article 3 du projet de loi relatif à l'article 1er de la loi modifiée du 7 juillet 1971 portant en matière répressive et administrative, institution d'experts, de traducteurs et d'interprètes assermentés. 51 V. article 2-3° du projet de loi relatif à l'article 1251-3 du Nouveau Code de procédure civile et article 13 du projet de loi relatif à l'article 2 de la loi du 6 mai 1999 relative à la médiation pénale 52 V. article 1 du projet de loi relatif à l'article 8-1 du Code de procédure pénale " L'article 8, paragraphe

(1)de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire dispose que « Ale bulletin N° 2 d'une personne physique ou morale est délivré sur demande : 1) aux administrations de l'Etat, administrations communales et personnes morales de droit public saisies, dans le cadre de leurs missions légales, d'une demande présentée par la personne physique ou morale concernée, laquelle a donné son accord de manière écrite ou électronique afin que le bulletin N° 2 soit délivré directement à l'administration ou à la personne morale de droit public. La liste des administrations et personnes morales de droit public et les motifs d'une demande de délivrance sont fixés par règlement grand-ducal ». CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°

1. 19/40 En tout état de cause, si les auteurs du projet de loi devaient maintenir de telles dispositions, celles-ci s'avéreraient superfétatoires en ce qui concerne l'article 1 du projet de loi au regard des dispositions du règlement grand-ducal du 23 juillet
2. b. Sur la communication d'un extrait de casier judiciaire étranger Le projet de loi dispose que « si le requérant est ressortissant d'un autre Etat membre de l'Union européenne ou d'un Etat tiers, le ministre de la Justice peut lui demander la remise d'un extrait du casier judiciaire ou d'un document similaire délivré par l'autorité publique compétente du ou des pays dont il a la nationalité ». Il est encore précisé que sous condition de l'accord du requérant, le « ministre peut également adresser une demande motivée au procureur général d'Etat en vue de l'obtention d'un extrait du casier judiciaire de l'autorité compétente de l'Etat membre dont le requérant a la nationalité ». La Commission nationale se félicite que de telles dispositions soient prévues et comprend que celles-ci s'appliqueraient conformément aux dispositions légales européennes' ou internationales en vigueur en la matière. Il est renvoyé aux observations formulées au point a., ci-avant, en ce qui concerne la problématique d'une double base légale quant à la communication d'un extrait de casier judiciaire. B. Sur les procédures de vérification des antécédents de type 2 Il y a lieu de relever que le procureur d'Etat général peut prendre connaissance56 ou communiquer le « casier judiciaire » au ministre de la Justice57 dans le cadre des procédures aux fins de recrutement visées par : l'article 16 de la loi modifiée du 9 décembre 1976 relative à l'organisation du notariat" ; l'article 11 paragraphe

(3)de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs59 : les articles 76 et 77 de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire" ; l'article 90 bis de la loi modifiée du 7 novembre 1996 portant organisation des juridictions de l'ordre administratif61 ; 54 L'article 1'' point 7) du règlement grand-ducal du 23 juillet 2016 dispose que : « Ne bulletin N° 2 peut être délivré sur demande et avec l'accord exprès de façon écrite ou électronique de la personne concernée : (...) au ministre ayant la Justice dans ses attributions pour l'instruction des : demandes relatives aux experts, traducteurs et interprètes assermentés (...) » " V. le système informatisé d'échange d'informations sur les casiers judiciaires (le « système ECRIS ») " V. articles 4, 6, 7, 11 et 15 du projet de loi 57 V. article 5 du projet de loi " Article 4 du projet de loi " Article 5 du projet de loi (en ce qui concerne l'autorisation d'exercer un emploi en relation avec des jeux de hasard) "Article 6 du projet de loi 61 Article 7 du projet de loi [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°

1. 20/40 - les articles 2 et 3 de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice62 ; et l'article 2 de la loi modifiée du 7 juin 2012 sur les attachés de justice
2. Ces articles prévoient que le procureur général d'Etat peut prendre connaissance du « casier judiciaire » ou que le ministre de la Justice peut demander au Ministère public la communication du (< casier judiciaire » et si « le requérant est ressortissant d'un Etat membre de l'Union européenne ou d'un Etat tiers, le Ministère public peut lui demander la remise d'un extrait de casier judiciaire ou d'un document similaire délivré par l'autorité publique compétente du ou des pays dont il a la nationalité ». La Commission nationale se félicite que de telles précisions soient apportées par les auteurs du projet de loi. Cependant, quant à la délivrance d'un extrait de casier judiciaire luxembourgeois, il y a lieu de regretter que le numéro de bulletin du casier judiciaire ne soit pas précisé par le texte en projet. Afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou réglementaire'', il est essentiel que les auteurs du projet de loi précisent le numéro de bulletin du casier judiciaire qui serait visé par les dispositions précitées. En ce qui concerne l'article 11, paragraphe

(3), de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs, tel que modifié par le projet de loi, la Commission nationale déduit des dispositions de l'article ier point 7) du règlement grand-ducal du 23 juillet 201665 qu'il s'agirait du bulletin N°

1. Si tel devait être le cas, alors cela devrait être expressément indiqué dans le dispositif sous avis. Quant à la délivrance d'extrait de casier judiciaire pour les ressortissants d'un autre Etat membre de l'Union européenne ou d'un Etat tiers, la CNPD comprend que c'est le demandeur qui fournira directement ledit document. Contrairement à la procédure de vérification des antécédents type 1, les dispositions relatives à la procédure de vérification des antécédents type 2 ne précisent pas que, le cas échéant, le ministre de la Justice peut « adresser une demande motivée au procureur général d'Etat en vue Article 11 du projet de loi Article 15 du projet de loi 64 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre 2015 65 L'article 1er point 7) du règlement grand-ducal du 23 juillet 2016 dispose que « le bulletin N°2 peut être délivré sur demande et avec l'accord exprès de façon écrite ou électronique de la personne concernée au ministre ayant la Justice dans ses attributions pour l'instruction des demandes relatives aux jeux de hasard » 62 63 [ CNPCI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
2. 21/40 de l'obtention d'un extrait du casier judiciaire de l'autorité compétente de l'Etat membre dont le requérant a la nationalité ». Il y a dès lors lieu de s'interroger sur les raisons de telles différences et si une uniformisation de l'ensemble des trois procédures sur ce point ne serait pas opportune. C. Sur les procédures de vérification des antécédents de type 3 Ces procédures visent les procédures de vérification des antécédents ou de « contrôle d'honorabilité » relatives aux agréments des services d'adoption66, aux autorisations d'exploiter des jeux de hasard', aux autorisations relatives aux activités privées de gardiennage et de surveillance", et aux autorisations, permis ou agréments prévus par la loi modifiée du 15 mars 1983 sur les armes et munit10n
3. a. Sur la communication du bulletin N°1 du casier judiciaire En ce qui concerne les demandes relatives aux agréments des services d'adoption, le projet de loi prévoit que le bulletin N°1, tel que visé par la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire, pourra être consulté, le cas échéant, par le procureur d'Etat. Or, le bulletin N°1 du casier judiciaire renseigne le relevé intégral des inscriptions applicables à la même personne et ne peut être délivré qu'aux autorités énumérées à l'article 6 de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire. Ce bulletin est, par exemple, délivré aux autorités judiciaires dans le cadre d'une procédure pénale. Les auteurs du projet de loi justifient un telle communication compte tenu de « l'obligation de l'Etat de garantir en toutes circonstances le bien-être et les droits de l'enfant, la procédure de vérification des antécédents judiciaires est destinée à renseigner le ministre de la Justice sur le sérieux, l'intégrité et l'aptitude comportementale des responsables du service d'adoption, demandeur d'un agrément. L'avis du procureur d'Etat doit ainsi permettre une appréciation fondée sur des éléments objectifs et aussi complets que possible à travers la consultation du bulletin numéro 1 du casier judiciaire, renseignant toutes les infractions de la personne requérante »70 . Sans préjuger le bienfondé d'une telle communication, une telle dérogation devrait néanmoins être justifiée plus amplement par les auteurs du projet de loi. Il est, en effet, difficile d'apprécier si une telle communication respecterait le principe de minimisation des données en l'absence de Article 12 du projet de loi Article 5 du projet de loi (en ce qui concerne l'autorisation d'exploiter des jeux de hasard) 68 Article 14 du projet de loi 69 Article 9 du projet de loi " V. « Ad article 12 » du projet de loi 66 67 CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
4. 22/40 précision des critères sur lesquels se baseraient le ministre de la Justice pour délivrer ou refuser un tel agrément. b. Sur la communication du bulletin N°2 du casier judiciaire En qui concerne les autorisations d'exploiter des jeux de hasard'', le projet de loi sous avis prévoit que, pour obtenir l'autorisation d'exploiter des jeux de hasard, le Ministère public « peut également prendre connaissance des inscriptions du casier judiciaire » afin de vérifier que le « comportement de la personne requérante, agissant comme représentant d'une personne morale ou à titre individuel n'est pas incompatible avec l'exploitation de jeux de hasard »
5. Le dispositif sous avis ne précise cependant pas le numéro de bulletin du casier judiciaire qui serait consulté. Néanmoins, la Commission nationale déduit des dispositions de l'article 1, point 7) du règlement grand-ducal du 23 juillet 2016'3 que le bulletin n°2 du casier judiciaire serait collecté aux fins de délivrance des autorisations relatives aux jeux de hasard. Si tel devait être le cas, alors cela devrait être reflété dans le dispositif sous avis afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou réglementaire'. En ce qui concerne les autorisations relatives aux activités privées de gardiennage et de surveillance75, et aux autorisations, permis ou agréments prévus par la loi modifiée du 15 mars 1983 sur les armes et munitions76, les textes sous avis, qui sont rédigés à l'identique, ne visent pas expressément la communication du bulletin N°2 du casier judiciaire. En effet, les dispositions sous avis disposent que « le procureur général d'Etat communique au Ministre copie des décisions judiciaires qui figurent le cas échéant sur le bulletin N°2 du casier judiciaire ». S'il ressort du projet de loi n°7425 sur les armes et munitions, notamment de l'article 15 paragraphe

(4)dudit projet de loi, que le bulletin N°2 serait collecté, cela n'est pas prévu par la loi modifiée du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance. 71V. article 5 du projet de loi relatif à l'article 11 paragraphe

(2)de la loi modifiée du 20 avril 1997 sur les jeux de hasard et les paris sportifs 22 V. article 11 paragraphe

(1)de la loi modifiée du 20 avril 1997 sur les jeux de hasard et les paris sportifs, tel que modifié par l'article 5 du projet de loi " L'article 1", point 7) du règlement grand-ducal du 23 juillet 2016 dispose que « le bulletin N°2 peut être délivré sur demande et avec l'accord exprès de façon écrite ou électronique de la personne concernée au ministre ayant la Justice dans ses attributions pour l'instruction des demandes relatives aux jeux de hasard ». " En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre 2015 " V. article 14 du projet de loi 26 V. article 9 du projet de loi CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. -6 23/40 Cependant, la Commission nationale déduit des dispositions de l'article 1, point 7) du règlement grand-ducal du 23 juillet 201677 que le bulletin n°2 du casier judiciaire serait collecté pour les autorisations relatives aux activités privées de gardiennage et de surveillance. Dès lors, afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou réglementaire, des précisions à ce sujet mériteraient d'être apportées par les auteurs du projet de loi en ce qui concerne les autorisations relatives aux activités privées de gardiennage et de surveillance. c. Sur la communication d'un extrait de casier judiciaire étranger En ce qui concerne la communication d'un extrait de casier judiciaire étranger, il y a lieu de relever que les procédures relatives aux agréments de services d'adoption ou aux autorisations d'exploiter des jeux de hasard prévoit qu'« en cas de besoin le procureur d'Etat peut demander l'obtention du casier judiciaire de l'autorité compétente de l'Etat membre » dont la personne concernée a la nationalité. Il y a lieu de s'interroger sur l'utilisation de la formulation « en cas de besoin » alors que ce terme est vague et ne permet pas de comprendre quelles seraient les situations où la communication d'un extrait de casier judiciaire s'avérerait nécessaire ou non. Dès lors, afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou réglementaire, la CNPD estime que des précisions sur ce point soient apportées. De plus, dans un souci de cohérence du projet de loi dans son ensemble, celles-ci devraient être rédigées de manière similaire à celles visées par les procédures visées sous les points IV.2. points A. et B. du présent avis. Par ailleurs, il y a lieu de relever qu'une autre formulation est utilisée pour les procédures de vérification des antécédents relatives aux fins de délivrance d'autorisations relatives aux activités privées de gardiennage et de surveillance°, et d'autorisations, permis ou agréments prévus par la loi modifiée du 15 mars 1983 sur les armes et munitions81. En effet, les articles 9 et 14 du projet de loi précisent que les condamnations prononcées à l'étranger ou par une juridiction pénale d'un autre Etat membre de l'Union européenne, d'un pays associé à l'espace Schengen ou de l'Espace économique européen sont à prendre en compte 77 L'article 1er, point 7) du règlement grand-ducal du 23 juillet 2016 dispose que « le bulletin N°2 peut être délivré sur demande et avec l'accord exprès de façon écrite ou électronique de la personne concemée au ministre ayant la Justice dans ses attributions pour l'instruction des demandes en matière d'armes prohibées et de gardiennage». 78 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06], § 228-229, 4 décembre 2015 79 ibidem 80 V. article 14 du projet de loi 91 V. article 9 du projet de loi [CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 24/40 lors de la vérification de l'honorabilité. Sur ce point, il est renvoyé aux observations formulées par la CNPD dans son avis complémentaire du 4 février 2021 sur le projet de loi N°7425 sur les armes et munitions82. Par ailleurs, la Commission nationale s'interroge sur les raisons pour lesquelles des formulations différentes sont employées par les auteurs du projet de loi en ce qui concerne la communication d'un extrait de casier judiciaire étranger. Les disparités entre chacune desdites dispositions sont source d'illisibilité et d'insécurité juridique pour les personnes concernées. 3. Sur le traitement de données relatives à des faits susceptibles de constituer un crime ou un délit, ou relatifs à une condamnation pénale pour crime ou délit Outre la prise de connaissance d'un extrait de casier judiciaire, il y a lieu de relever que les procédures de vérification des antécédents de type 2 et 3 sont plus intrusives que celles de type 1, basées uniquement sur la communication d'un extrait de casier judiciaire. En effet, les procédures de type 2 et 3 se basent également sur les faits : susceptibles de constituer un crime ou un délit qui font l'objet d'un procès-verbal ou d'un rapport de police (B) ; relatifs à une condamnation pénale pour crime ou délit (C). Sans préjuger de l'appréciation in concreto qui serait effectuée en la matière, il y a lieu de regretter que ni le projet de loi sous avis, ni les commentaires des articles ne précisent quels critères ou quel degré de gravité des antécédents sont pris en compte par le ministre de la Justice, le ministre des Finances ou le Ministère public pour apprécier l'honorabilité des personnes concernées. Si les auteurs du projet de loi justifient de telles intrusions alors que ces éléments sont notamment destinées à « vérifier que le comportement du candidat n'est pas incompatible avec l'exercice des fonctions et missions de notaire » ou qu'« Ni est important que les juges et les parquetiers puissent (...) procéder à la vérification des antécédents du personnel dans le cadre de leur recrutement, eu égard à la sensibilité des informations portées à la connaissance du personnel de l'administration judiciaire et de l'honnêteté requise pour les traiter avec la confidentialité de mise » ou parce qu' « [el tant qu'officiers publics il doit être garanti que les huissiers de justice exercent leur fonction avec l'intégrité nécessaire. Cette appréciation doit se faire en tenant compte des antécédents judiciaires » ou encore que la vérification des antécédents judiciaires est « destinée à renseigner le ministre de la Justice sur le sérieux, l'intégrité et l'aptitude comportementale des responsables du service d'adoption. ». Celles-ci ne sont pas formulées avec suffisamment de précisions. Or, en l'absence de telles précisions, il est difficile d'apprécier si le principe de minimisation des données serait respecté. Il y a lieu de rappeler qu'en vertu de ce principe, seules peuvent être 82 V. avis complémentaire de la CNPD du 04/02/2021, délibération n°2/2021, les développements formulés sous le point l. 1. F. c. [ CNPF.] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 25/40 traitées les données à caractère personnel qui sont strictement nécessaires à la réalisation des finalités poursuivies. A. Remarques liminaires Il y a lieu de relever que les articles 4, 5, 6, 7, 9, 11, 12, 14 et 15 du projet de loi précisent que la vérification des antécédents portera sur des faits susceptibles de constituer un crime ou un délit. Seuls les articles 9, 12 et 14 du projet de loi précisent qu'outre les faits susceptibles de constituer un crime ou un délit, la vérification portera sur les faits « visés à l'article 563, point 3° du Code pénal relatif aux voies de fait et de violences légères », « visés à l'article l er de la loi modifiée du 8 septembre 2003 sur la violence domestique ». Il est encore intéressant de noter que les auteurs du projet de loi précisent dans leur commentaire de l'article 5 relatif aux autorisations d'exploitation des jeux de hasard et d'exercer un emploi en relation avec des jeux de hasard, que seules certaines infractions semblent particulièrement pertinentes pour refuser de telles autorisations, notamment « lorsqu'il s'agit d'une infraction pénale en lien avec le blanchiment d'argent, le vol, les cas de fraude, etc. ». Dès lors, ne serait-il pas possible, à l'instar des articles 9, 12 et 14 du projet de loi, d'indiquer avec plus de précision sur quels crimes ou délits portent de telles vérifications ? B. Sur les faits susceptibles de constituer un crime ou un délit qui font l'objet d'un procès-verbal ou d'un rapport de police Il y a lieu de relever que les procédures de vérification des antécédents de type 283 ne portent que sur les faits susceptibles de constituer un crime ou un délit qui font l'objet d'un procès-verbal ou d'un rapport de police, si ces faits font l'objet d'une poursuite pénale en cours, à l'exclusion des faits ayant abouti à une décision de non-lieu ou de classement sans suites. La Commission nationale se demande si, a contrario, en l'absence de précision sur ce point, les procédures de vérification des antécédents de type 384 incluent les faits ayant abouti à une décision de non-lieu ou de classement sans suites. Cela mériterait d'être clarifié par les auteurs du projet de loi. En ce qui concerne le traitement de données relatives à de tels faits, il y a particulièrement lieu d'attirer l'attention des auteurs du projet de loi sur le fait qu'« un procès-verbal ou un rapport ne " V. les procédures visées aux articles 4, 5 (volet autorisation d'exercer un emploi), 6, 7, 11 et 15 du projet de loi m V. les procédures visées aux articles 5, 9, 12 et 14 du projet de loi [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 26/40 sont pas l'équivalent d'une décision de justice ayant retenu une personne dans les liens de la prévention et que le principe de la présomption d'innocence doit prévaloir. »85. En ce qui concerne les faits qui font l'objet d'une poursuite pénale en cours, les auteurs du projet de loi devraient porter une attention particulière au secret de l'instruction. A ce titre, il y a lieu de relever que seuls les articles 5, 9 et 14 du projet de loi précisent que lorsque les faits sont couverts par le secret de l'instruction seules les données énumérées par ces articles peuvent être communiquées. Il y a lieu de constater que pareilles précisions ne sont pas apportées par les articles 4, 6, 7, 11, 12 et 15 du projet de loi. Or, bien qu'il s'agisse de procédures lors desquelles une enquête administrative soit diligentée par le procureur d'Etat général et qu'un avis de ce dernier soit émis à l'issue de celles-ci, ne faudrait-il pas prévoir des dispositions spécifiques visant à restreindre le contenu d'un tel avis lorsque des faits sont couverts par le secret de l'instruction ? En l'absence des raisons justifiant de telles différences entre les articles précités sur ce point, la CNPD est d'avis qu'une uniformisation des dispositions à ce sujet serait opportune. En outre, et comme relevé par le Conseil d'Etat dans son avis complémentaire relatif au projet de loi N°7425 sur les armes et munitions86, quelle serait la portée du secret de l'instruction par rapport aux règles de la procédure administrative non contentieuse et contentieuse ? C. Sur les faits relatifs à une condamnation pénale pour crime ou délit Il y a lieu de relever que les procédures de vérifications de type 2 excluent les faits relatifs à une condamnation pénale pour crime ou délit pour laquelle la réhabilitation a été atteinte (

1. a)contrairement à la procédure de type 3 qui, en l'absence de précision, ne semble pas l'exclure (b). Par ailleurs, à titre de remarque générale, il y a lieu de s'interroger sur l'apport de la communication de données relatives à des faits concernant une condamnation pénale pour crime ou délit alors que le projet de loi prévoit d'ores et déjà la communication d'un extrait de casier judiciaire, voir pour certains des articles du projet de loi la communication de la décision figurant, le cas échéant, au casier judiciaire87. En effet, est-il pertinent de communiquer des décisions qui ne seraient pas encore définitives ou non encore inscrites au casier judiciaire de la personne concernée ? V. avis complémentaire du Conseil d'Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 ». 86 V. avis complémentaire du Conseil d'Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 ». 87 V. articles 9 et 14 du projet de loi 85 [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 27/40 a. Sur les procédures de vérification des antécédents de type 2 Les procédures visées par les articles repris sous le petit
2. a)excluent les faits relatifs à une condamnation pénale pour crime ou délit et pour laquelle la réhabilitation n'est pas déjà atteinte au moment de l'introduction de la demande de candidature. Malgré ces précisions, le projet de loi n'indique pas les raisons pour lesquelles les données relatives à une condamnation pénale pour crime ou délit sont nécessaires et pertinentes afin de vérifier l'honorabilité de la personne concernée. Ces précisions sont essentielles alors que la communication d'un extrait de casier judiciaire permet d'ores et déjà de renseigner sur les condamnations prononcées à l'encontre d'un requérant. Afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou règlementaire88, il est essentiel que les auteurs du projet de loi précisent les catégories de données qui seraient visées par les dispositions précitées. S'agit-il seulement de décisions judiciaires ou de tous documents se rapportant à une condamnation pénale pour crime ou délit ? b. Sur les procédures de vérification des antécédents de type 3 Contrairement aux procédures visées sous le petit
3. a)précité, les procédures visées par les articles 5, 9, 12 et 14 ne précisent pas si les faits relatifs à une condamnation pénale, pour laquelle la réhabilitation aurait été atteinte, sont exclus par lesdites procédures. Seule une limitation dans le temps pour ces faits est précisée par lesdits articles. En effet, les articles disposent tous que « Wes faits ne peuvent avoir été commis plus de cinq ans avant l'introduction de la demande du requérant, sauf si ces faits ont fait l'objet d'une condamnation pénale, auquel cas le délai de cinq ans est porté à dix ans, ou lorsque ces faits font l'objet d'une procédure pénale en cours ». Des justifications devraient être apportées par les auteurs du projet de loi quant aux raisons pour lesquelles les données relatives à une condamnation pénale pour crime ou délit sont nécessaires et pertinentes afin de vérifier l'honorabilité de la personne concernée. En outre, il y a lieu de constater que les articles 9 et 14 du projet de loi prévoient que sur demande « le procureur d'Etat communique au Ministre copie des décisions judiciaires qui figurent le cas échéant sur le bulletin N°2 du casier judiciaire de la personne concernée ». Sur ce point, il est renvoyé aux développements de la Commission nationale dans son avis complémentaire relatif au projet de loi N°742589. En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/061, § 228-229, 4 décembre 2015 89 V. avis complémentaire de la CNPD du 04/02//2021, délibération n°2/2021, point I. F. a. ii., page 16 88 [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 28/40 Dès lors, et afin de respecter le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou réglementaire", il est essentiel que les auteurs du projet de loi précisent les catégories de données qui seraient visées par les dispositions précitées. Par ailleurs, la CNPD se demande si de telles dispositions sont nécessaires en ce qui concerne l'ensemble des autorisations visées par les articles 5 et 8 de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance ? Ces dispositions ne seraient-elles pas nécessaires uniquement pour les cas où le personnel engagé serait amené à solliciter un permis de port d'armes ? En outre, cela n'est-il pas d'ores et déjà prévu par l'article 11 de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance ? Les auteurs du projet de loi relèvent d'ailleurs que « les mêmes conditions que ceux de la loi sur les armes et munitions s'appliquent donc pour le port d'armes en matière de gardiennage »91. V. Sur le traitement de catégories particulières de données à caractère personnel Il ressort des articles 9 et 14 du projet de loi que des catégories particulières de données au sens de l'article 9 du RGPD seraient amenées à être traitées par le ministre de la Justice. En effet, des données relatives à la santé des requérants et plus précisément à leur « santé mentale » seraient amenées à être collectées par le ministre de la justice dans le cadre de la vérification de leur honorabilité. En ce qui concerne la collecte de telles données par le ministre de la Justice dans le cadre de l'article 9 du projet de loi, il est renvoyé à la délibération n°42/2019 du 8 juillet 2019 de la CNPD92. La CNPD comprend encore que des données qui révèlent les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne sollicitant un agrément, permis ou autorisation, tels que visés par les articles précités, seraient susceptibles d'être échangées entre le ministre de la Justice et le SRE. Les auteurs du projet de loi précisent, à ce sujet, que l'échange de données entre le SRE et le ministre de la Justice a été introduit compte tenu du « contexte politique actuel au niveau des tendances extrémistes violentes », contexte qui « démontre l'importance pour les autorités de pouvoir vérifier plus en détail la personne qui soumet une autorisation d'acquérir, d'acheter, d'importer, d'exporter, de transférer, de transporter, de détenir, de porter, de vendre et de céder des armes et munitions ». 90 En ce sens, V. M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.469, n°619; V. entre autres CourEDH, Zakharov e. Russie [GCL n"47413/061, § 228-229, 4 décembre 2015 9' V. commentaires des auteurs du projet de loi « Ad article 14 » 92 Avis de la CNPD sur le projet de loi n°7425 sur les armes et munitions, délibération rexx, v. les observations formulées sous le point IV. « Sur le traitement de données relatives aux infractions pénales et à la santé » page 10. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 29/40 Par ailleurs, dans le cadre du contrôle de l'honorabilité, tel que visé aux articles 4, 5, 6, 7, 11, 12 et 15 du projet de loi, il n'est pas exclu que d'autres catégories particulières de données, telles que des données relatives à l'origine raciale ou ethnique, des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, pourront être traitées. Or, il y a lieu de rappeler que conformément à l'article 9 paragraphe

(1)du RGPD « jlje traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits », sauf si l'une des conditions visées au paragraphe

(2)dudit article s'applique. La Commission nationale est d'avis que le traitement de catégories particulières de données, lors des enquêtes administratives qui seraient diligentées par le ministre de la Justice, le ministre des Finances ou le Ministère public, pourrait se baser sur l'article 9 paragraphe

(2), lettre g) du RGPD, à condition de toutefois en respecter les conditions. Cet article dispose que « [11 . e traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ». Or, force est de constater que le projet de loi ne semble pas prévoir les « mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ». Dès lors, le texte sous projet, ne semble pas offrir un fondement juridique suffisant pour traiter ces catégories de données particulières. Afin de rendre licite de tels traitements de données, il est donc indispensable que de telles mesures soient définies dans le projet de loi sous avis. Il conviendrait également de préciser expressément que des catégories particulières de données pourraient être collectées alors que cela ne résulte pas expressément de la lecture des articles 4, 5, 6, 7, 9, 11, 12, 14 et 15 du projet de loi. Ainsi, il est suggéré que les auteurs du projet de loi s'inspirent de la législation française, en matière d'armes, et plus précisément de l'article R.31285 point VI du CSI intitulé « données et informations issues de l'enquête administrative ». Sur ce [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 30/40 point, il est renvoyé à l'avis complémentaire de la Commission nationale sur les amendements du projet de loi N°7425 sur les armes et munitions93. Par ailleurs, il y a lieu de s'interroger sur la nécessité de tels traitements de données en ce qui concerne l'ensemble des autorisations visées par les articles 5 et 8 de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance ? Ces dispositions ne seraientelles pas nécessaires uniquement pour les cas où le personnel serait amené à solliciter un permis de port d'armes ? Or, à ce titre, il ressort, d'ores et déjà, de l'article 16, paragraphe

(2), nouveau du projet de loi n°7425 que « [s]i le permis de port d'armes est demandé pour un agent de gardiennage au sens de la loi modifiée du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance, l'attestation médicale peut être délivrée par un des médecins visés aux points 1° et 2°, ou par le médecin du travail compétent, après avis favorable d'un des médecins visés aux points 1° et 2°. ». Les auteurs du projet de loi devraient veiller dès lors, à la bonne articulation entre les dispositions sous avis et les dispositions de l'article 16, paragraphe

(2), nouveau du projet de loi n°7425 sur les armes et munitions. \il. Sur les modalités de transmission des données issues des procédures de vérification des antécédents judiciaires ou de « contrôle d'honorabilité » Il y a lieu de relever que les modalités de transmission des données issues des procédures de vérification des antécédents ne sont pas suffisamment précisées ou ne sont pas précisées du tout par le projet de loi. Il convient encore de relever le manque d'uniformisation entre les différentes dispositions sous avis sur ce point. Ainsi, il ressort des procédures de vérification des antécédents visées aux articles 4, 7, 11, 12 et 15 du projet de loi, que les données issues de l'enquête administrative seraient transmises via l'avis du procureur général d'Etat. Ces avis sont transmis aux autorités compétentes pour la nomination d'un notaire" ou d'un huissier de justice95, le recrutement du personnel de l'administration judiciaire", des juridictions de l'ordre administratif97 et des attachés de justice" ou la délivrance d'un agrément en matière des services d'adoption

1. Il y a lieu de relever que 93 Avis de la CNPD sur le projet de loi n°7425 sur les armes et munitions, délibération n°2/2021 du 04/02/2021, v. les observations formulées sous le point IV. « Sur le traitement de données relatives aux infractions pénales et à la santé » page 10 »4 Article 4 du projet de loi 95 Article 11 du projet de loi 9» Article 6 du projet de loi 97 Article 7 du projet de loi 95 Article 15 du projet de loi 99 Article 12 du projet de loi CNPll Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
2. 31/40 seules des données pertinentes et nécessaires devraient être transmises via cet avis afin de permettre aux autorités compétentes d'apprécier l'honorabilité des candidats ou requérants. Pour les procédures visées aux articles 9 et 14 du projet de loi, les données seraient communiquées par la Police grand-ducale, le Ministère public ou le SRE au ministre de la Justice « sous forme de l'intégralité ou d'extraits de procès-verbaux ou rapports de police, jugements, arrêts, ordonnances, ou tout autre document ou acte de procédure contenant les informations concernées ». Sur ce point, il est renvoyé aux observations formulées par la Commission nationale dans son avis complémentaire sur les amendements du projet de loi N°7425 sur les armes et muniti0ns
3. Aucune précision ne sont cependant apportées en ce qui concerne les modalités de transmission des données collectées lors des enquêtes visées aux articles 5 et 6 du projet de loi. La CNPD estime essentiel que des précisions sur ces points soient apportées par les auteurs du projet de loi et rappelle que seules les données nécessaires et pertinentes ne peuvent être communiquées. En tout état de cause, comme évoqué tout au long du présent avis, il serait préférable que les auteurs du projet de loi optent pour un système qui se baserait sur la communication d'un avis circonstancié du procureur d'Etat général. vll. Sur la mise en place d'un système de suivi en ce qui concerne la vérification de l'honorabilité La CNPD comprend qu'un système de suivi quant à la condition de l'honorabilité serait mis en place, tel que cela ressort des articles 3, 9 et 14 du projet de loi. En ce qui concerne les articles 9 et 14 du projet de loi dans la mesure où ceux-ci sont rédigés à l'identique, la Commission nationale renvoie sur ce point à ses observations formulées dans son avis complémentaire sur les amendements du projet de loi N°7425 sur les armes et munitions" L'article 3 du projet de loi relatif à la désignation, en matière répressive et administrative, des experts, traducteurs et des interprètes assermentés, prévoit que le ministre de la Justice « pourra révoquer » les experts, traducteurs ou interprètes assermentés « en cas de manquement à leurs obligations ou à l'éthique professionnelle ou pour d'autres motifs graves. La révocation ne pourra intervenir que sur avis du procureur général d'Etat et après que l'intéressé aura été admis à présenter ses explications ». 100 V. avis complémentaire de la CNPD sur les amendements du projet de loi N°7425, délibération n°2/2021 du 04/02/2021, v. les observations formulées sous le point IV. « Sur le traitement de données relatives aux infractions pénales et à la santé » page 10 101 Avis complémentaire de la CNPD sur le projet de loi n°7425 sur les armes et munitions, délibération n°2/2021 du 04/02/2021, v. les observations formulées sous le point 1.2., page 19 CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
4. 32/40 Les auteurs du projet de loi ne précisent pas le fonctionnement d'un tel système. Il y a, dès lors, lieu de s'interroger sur le système de suivi qui serait le cas échéant mis en place. Le procureur général d'Etat consultera-t-il la base de données dite « JU-CHA » de façon proactive et régulière afin de faire remonter, en cas d'incident, au ministre de la Justice des informations susceptibles d'entraîner la révocation des personnes concernées ? Par ailleurs, il convient de noter que de telles dispositions ne sont pas prévues pour les autres procédures de vérification des antécédents, si tel devait être le cas alors cela devrait être reflété dans le projet de loi sous avis. VIII. Sur le principe d'exactitude des données Conformément à l'article 5, paragraphe

(1), lettre d) du RGPD, les données à caractère personnel doivent être « exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». Or, il y a lieu de constater que le dispositif sous avis ne prévoit aucune disposition relative à la mise à jour des données obtenues dans le cadre des enquêtes administratives. Or, compte tenu des données collectées, il convient d'attirer l'attention des auteurs du projet de loi sur le fait qu'il existe un risque important que des données relatives à une personne dont l'affaire a été classée sans suite ou qui a entretemps été acquittée d'une infraction dont elle a été accusée se trouvent toujours dans les dossiers de l'administration, sans une mise à jour ou rectification afférente. IX. Sur le principe de limitation des finalités Conformément au principe de limitation des finalités, les données personnelles doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. En ce qui concerne les procédures qui ne seraient pas diligentées par le Ministère public, il y a lieu de relever que la transmission des données provenant de fichiers tenus par la Police grandducale, le Ministère public ou encore le SRE vers le ministre de la Justice ou le ministre des Finances à des fins d'enquête administrative est très délicate voire risquée et doit, dès lors, être limitée à des situations exceptionnelles et strictement limitées. Ainsi, l'utilisation des données à des fins autres que celles pour lesquelles elles ont été transmises aux ministres, comporte des risques additionnels et semble a priori difficilement justifiable. Une telle utilisation ultérieure devrait en tout état de cause respecter les conditions de l'article 6, [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 33/40 paragraphe

(4), du RGPD et faire l'objet d'une loi « du moins quant aux éléments essentiels de la matière » conformément à l'article 11, paragraphe

(3), de la Constitution102. Par conséquent, à l'instar des dispositions prévues à l'article 26, paragraphes

(2)et

(3), de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière p01icière103, ne faudrait-il pas prévoir dans le projet de loi sous avis que les données qui seraient transmises au ministre de la Justice ou au ministre des Finances à des fins d'enquête administrative ne peuvent être utilisées que pour la finalité pour laquelle elles ont été transmises et encadrer la transmission, le cas échéant, par le ministre à une autre administration/ à un tiers ? Ne faudrait-il pas également le prévoir pour les avis qui seraient transmis par le Ministère public aux autorités visées par les articles 4, 7, 11, 12 et 15 du projet de loi ? X. Sur la durée de conservation Selon l'article 5 paragraphe

(1)lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou anonymisées. Il y a lieu de relever que les auteurs du projet de loi ont, à plusieurs reprises, indiqué que « [c]es données ne seront conservées que pendant la durée strictement nécessaire à l'octroi ou au refus définitif de l'agrément demandé »1°4 ou « au refus définitif de l'autorisation ou de l'agrément demandé »105 ou encore « pendant la durée strictement nécessaire à l'examen de la candidature »106 . Il y a lieu de relever que ces précisions ne sont pas reprises pour chacun des articles visés par le projet de loi. Néanmoins, ces précisions ne permettent pas à la Commission nationale d'apprécier si, en l'occurrence, le principe de durée de conservation limitée des données serait respecté. " V. en ce sens, M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.471 à 472, n°619. 103 L'article 26 paragraphes

(2)et

(3)dispose que : «

(2)Les données et informations transmises ne peuvent être utilisées par l'administration que pour la finalité pour laquelle elles ont été transmises. Elles sont effacées dès que leur conservation n'est plus nécessaire au regard de la finallté pour laquelle elles ont été transmises.

(3)La transmission ultérieure des données et informations par l'administration de l'État à une tierce personne requiert l'accord préalable écrit de la personne visée à l'article 18, paragraphe 1 er, ayant transmis les données et informations concernées. Le cas échéant, l'article 6, paragraphe 3, est applicable ». 1" V. paragraphe

(5)de l'article 1251-3 du Nouveau Code de procédure civile, tel que modifié par l'article 2-3° du projet de loi, paragraphe

(4)de l'article 1 de la loi modifiée du 7 juillet 1971 portant en matière répressive et administrative, institution d'experts, de traducteurs et d'interprètes assermentés et complétant les dispositions légales relatives à l'assermentation des experts, traducteurs et interprètes, tel que modifié par l'article 3 du projet de loi, paragraphe

(4)de l'article 2 de la loi du 6 mai 1999 relative à la médiation pénale, tel que modifié par l'article 13 du projet de loi 105 V. paragraphe

(6)de l'article 11 de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs, tel que modifié par l'article 5 du projet de loi 106 V. article 90 bis de la loi modifiée du 7 novembre 1996 portant organisation des juridictions de l'ordre administratif, tel que modifié par l'article 7 du projet de loi 1 [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 34/40 Or, il est essentiel que des précisions à ce sujet soient apportées et ce d'autant plus eu égard à la nature des données à caractère personnel en cause. Ainsi, la durée de conservation devrait être définie dans le projet de loi ou celui-ci devrait a minima préciser les critères qui seraient pris en compte afin de déterminer quelle est la durée de conservation proportionnée pour chaque catégorie de données à caractère personnel qui serait collectée lors des enquêtes administratives. Par ailleurs et afin de tenir compte d'éventuels recours à l'encontre des décisions administratives qui seraient prises en vertu du projet de loi, il est suggéré aux auteurs du projet de loi de s'inspirer de la législation française en matière d'armes, qui fixe une durée de conservation pour les données issues de l'enquête administrative. L'article R.312-88 du CSI dispose que : « [I]es données à caractère personnel et informations mentionnées au d du 10 du I et aux V et VI de l'article R.312-85 [les données issues de l'enquête administrative] sont conservées pendant une durée maximale d'un an à compter de la notification des décisions mentionnées au IV du même article ou, en cas de recours contentieux dirigé contre ces décisions, jusqu'à ce qu'il ait été définitivement statué sur le litige ». Xl. Sur le droit des personnes concernées Selon l'article 5 paragraphe

(1)lettre (a) du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (principe de licéité, loyauté, transparence). Ce principe implique notamment que le ministre de la Justice, le ministre des Finances ou le Ministère public devront respecter les dispositions de l'article 13 du RGPD pour les données collectées directement auprès de la personne concernée, sinon celles de l'article 14 du RGPD, lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée elle-même, c'est-à-dire celles collectées indirectement auprès du Ministère public, de la Police grand-ducale ou du SRE. En vertu de ces articles, le responsable du traitement devra fournir à la personne concernée des informations au sujet du traitement la concernant, notamment pour garantir un traitement équitable et transparent. Il est précisé que dans les cas où l'article 14 du RGPD s'appliquerait, ces informations devront être fournies à la personne concernée au plus tard un mois après que le responsable du traitement ait obtenu les données. A toutes fins utiles, il y a lieu de préciser que la législation française en matière d'armes prévoit, à l'article R.312-90 du CSI, une restriction des droits des personnes concernées (voir Chapitre III du RGPD). Cet article dispose notamment que : « Iljes droits d'information, d'accès, de rectification et à la limitation des données mentionnés aux articles 13 à 16 et 18 du [RGPD] et aux articles 104 à 106 de la loi du 6 janvier 1978 précitée s'exercent auprès du service central des armes ou du préfet territorialement compétent, en fonction de leurs attributions respectives. Afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. 35/40 judiciaires ou d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ou de protéger la sécurité publique, les droits d'accès, de rectification et à la limitation peuvent faire l'objet de restrictions en application de l'article 52 et des 2° et 3° du et du Ill de l'article 107 de la loi du 6 janvier 1978 précitée. » Dès lors, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que sans dérogation explicite dans le projet de loi, ces droits sont tous applicables intégralement. Or, de telles dérogations pourraient s'avérer opportunes lorsque les informations obtenues dans le cadre de certaines procédures de vérification des antécédents concernent des enquêtes ou instructions pénales en cours. Xll. Sur la sécurité du traitement Conformément à l'article 5 paragraphe

(1)lettre f) du RGPD les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». L'article 32 du RGPD dispose encore que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Pareilles mesures doivent être mises en œuvre afin d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. La CNPD est d'avis que la protection de la confidentialité et de la sécurité des données à caractère personnel constitue un enjeu majeur en cas de traitement de catégories particulières de données dans la mesure où leur divulgation est susceptible de constituer un préjudice grave pour les personnes concernées. Ainsi, eu égard à la nature des données traitées en cause, il est essentiel que de telles mesures de sécurité soient mises en œuvre par les différents responsables du traitement afin d'assurer la confidentialité et la sécurité des données. Parmi ces mesures de sécurité, la Commission nationale estime important que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires. Il est intéressant de noter qu'en France, les articles R.234-1 à R.234-3 et R.236-6 du CSI énumère les catégories de personnes autorisées à accéder aux données qui seraient issues de l'enquête administrative. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7691. a_ 36/40 Dans ce contexte, il est vivement recommandé de définir une politique de gestion des accès, afin de pouvoir identifier dès le début la personne ou le service, au sein de chaque administration concernée, qui aurait accès à l'interface informatique mise à disposition par le CTIE, et à quelles données précises cette personne ou ce service aurait accès. En outre, il est nécessaire de prévoir un système de journalisation des accès. Sur ce point, la CNPD recommande que les données de journalisation soient conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. La CNPD souligne aussi l'importance d'effectuer pro activement des contrôles en interne. A cet effet, il convient conformément à l'article 32, paragraphe

(1), lettre d) du RGPD de mettre en œuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Enfin, en ce qui concerne les données qui seraient initialement soumises à la loi du 1er août 2018 • relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, se pose la question de l'articulation, le cas échéant, entre les dispositions prévues à l'article 28 de ladite loi et de celles prévues à l'article 32 du RGPD. XIII. Sur l'autorité de contrôle compétente Il y a lieu de s'interroger sur le fait de savoir quelle est l'autorité de contrôle compétente pour contrôler et surveiller le respect des dispositions légales prévues par le texte en projet, en l'absence de précision à ce sujet dans le projet de loi sous avis. En effet, il existe un doute sur le point de savoir si les données, collectées initialement pour les besoins de la prévention, de la recherche, de la constatation et de la poursuite des infractions, puis transmises par la Police grand-ducale, le Ministère public et le SRE au ministre de la Justice ou au ministre des Finances afin de lui permettre de vérifier l'honorabilité d'un candidat, demandeur de permis, autorisation ou agrément visés par le projet de loi relève de la compétence de l'autorité de contrôle judiciaire' ou de celle de la Commission nationale. Il y a lieu de rappeler que le paragraphe

(2)de l'article 40 de la loi du ier août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale dispose que « les opérations de traitement de données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions 10' Autorité de contrôle de judiciaire telle que visée par l'article 40 de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°

1. 37/40 juridictionnelles, que ce soit pour les finalités visées à l'article 1er de la présente loi ou pour celles visées par le [RGPD], sont soumises au contrôle de l'autorité de contrôle judiciaire ». Les auteurs du projet de loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale estiment que « pour déterminer la compétence d'une des deux autorités de contrôle [CNPD ou autorité de contrôle judiciaire], la question déterminante ne sera plus la finalité de la donnée concernée, mais celle de savoir si l'autorité compétente participe à la prise ou à l'exécution d'une décision juridictionnelle, ce qui n'est pas le cas pour la Police »1". Ils précisent encore que « lorsque pour un traitement de données à caractère personnel déterminée — relevant du champ d'application du présent projet de loi — la question de la compétence d'une des deux autorités de contrôle se pose, il faudrait en principe retenir la compétence de la Commission nationale pour la protection des données, sauf si le traitement de données à caractère personnel concerné est effectué par une juridiction dans l'exercice de ses fonctions juridictionnelles ou par le ministère public, soit dans l'exercice de ses fonctions juridictionnelles, soit en amont ou en aval de sa participation à la prise d'une décision juridictionnelle »1°
2. En l'espèce, le ministre de la Justice et le ministre des Finances ne constituent pas une des autorités visées par l'article 40 de la loi de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, et ne sont pas susceptibles de rendre une décision juridictionnelle à l'issue de l'enquête administrative mais une décision purement administrative. Dès lors, le traitement de données effectué par ces ministres dans le cadre des enquêtes administratives, visées par le projet de loi, pourrait tomber dans le champ de compétence de la Commission nationale. Il est intéressant de noter que cette solution a été retenue en ce qui concerne l'autorité compétente pour surveiller et contrôler les dispositions de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière p01icière
3. Ne faudrait-il pas retenir la même solution en ce qui concerne les traitements effectués par le Ministère public lorsque celui-ci diligente les enquêtes administratives, tel que cela est prévu par le projet de loi sous avis ? °8 V. document parlementaire n°7168, « Ad article 41 », page
4. V. document parlementaire n°7168, « Ad article 41 », page
5. Il° Articles 25, paragraphe

(1), et 28 de la loi du 22 février 2018 relative à l'échange de données à car