← Luxembourg

Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (modifiée), articles 88 et 89. 8 Décret n°2012-652 du 4 mai 2012

AUTORITÉ DE CONTRÔLE JUDICIAIRE *** Cité Judiciaire Bâtiment CR L-2080 LUXEMBOURG Tél. 47 59 81 — 2368 Fax 47 59 81- 2396 Luxembourg, le 31 mai 2021 Ministère de la Sécurité intérieure Entrée L 2 JUIN 2021 No C1 1.51- 202v/726 Q/a4 conc. : avis sur le projet de loi 7741 portant modification I° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 3° du Code pénal Brm.- Retransmis à Monsieur le Ministre de la Sécurité intérieure avec l'avis demandé. Le Président de la Cour Supérieure de Justice et Président de l'autorité de contrôle judiciaire, Jean-Claude WIWINIUS Avis De l'AUTORITE DE CONTROLE JUDICIAIRE Créée par la loi du le' août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale Sur le projet de loi 7741 portant modification 10 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 3° du Code pénal INTRODUCTION L'autorité de contrôle judiciaire (ci-après désignée « AC1 »), instituée par l'article 40 de la loi du le' août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale a été saisie le 18 décembre 2020 par le Ministre de la Sécurité intérieure d'une demande d'avis par rapport au projet de loi sous rubrique. Bien que l'AU « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et des libertés des personnes physiques à l'égard du traitement » conformément à l'article 42, paragraphe 1., lettre

  1. c)de ladite loi dans les seules limites de ses compétences prévues à l'article 40, paragraphe 2, à savoir en ce qui concerne les « opérations de traitement de données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles, que ce soit pour des finalités visées à l'article ler de la loi du le" août 2018 en matière pénale ainsi qu'en matière de sécurité nationale ou pour celles visées par le règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (ci-après désigné « le RGPD ») ». L'on peut estimer que la présente demande rentre dans ce champ de compétences au vu des conséquences inévitables qu'aura le sort du traitement des données effectué par la Police grand-ducale (ci-après désignée « la Police »), sur les données traitées par les autorités judiciaires et plus particulièrement le ministère public. Le projet de loi sous avis a pour objet d'encadrer les traitements des données à caractère personnel effectués par la Police à travers ses fichiers. L'encadrement légal spécifique des fichiers de la Police grand-ducale a suscité de nombreux débats quant au respect des libertés publiques au cours de l'été 2019. Ces débats quant à l'utilisation de fichiers par la Police, considérés pourtant comme indispensables à l'exercice de la mission de ses membres, a donné lieu à un avis 1 de la part de la Commission nationale pour la protection des données (ci-après désignée « CNPD ») et à une étude des fichiers de la Police de l'Inspection générale de la police (ci-après désignée « IGP »). Le choix des auteurs du projet de loi de formuler des dispositions générales à l'égard de l'ensemble des fichiers de la Police et de se limiter au développement d'un cadre légal spécifique au fichier central est compréhensible au vu du nombre conséquent de fichiers utilisés par la Police et de la difficulté de modifier la loi lors de l'introduction de nouveaux fichiers. Il est cependant regrettable que le projet de loi ne définisse pas, au moins par catégories, ce que l'on entend par fichier de police. Les législateurs belge et français, en plus de transposer la directive 2016/6801(ci-après désignée « directive ») dans leurs droits nationaux, ont pareillement choisi de prévoir un encadrement légal spécifiquement dédié aux fichiers de la police. En Belgique, la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, met en œuvre le RGPD et transpose la directive en droit national. Cette même loi prévoit la nécessité d'une base légale spécifique à savoir, un texte légal ou règlementaire encadrant les traitements de données à caractère personnel en matière pénale2. En plus dudit cadre légal spécifique, le législateur belge confère un cadre légal particulier aux fichiers de la Police en les regroupant en catégories au sein de la loi du 5 août 1992 sur la fonction de p01ice3. En effet, cette dernière encadre trois catégories de fichiers : « la Banque de données Nationale Générale »4, « les banques de données de base »5, « les banques de données particulières »6. Chaque disposition légale relative à ces catégories de fichiers précise notamment le(
  2. s)responsable(
  3. s)du traitement, les finalités des traitements, les types de données contenues au sein des fichiers ainsi que les durées de conservation et d'archivage. En France, la loi du 6 janvier 1978 mettant en œuvre le RGPD et transposant la directive en droit national prévoit explicitement l'encadrement par disposition législative ou règlementaire de tout traitement de données à caractère personnel en matière pénale'. En outre, le législateur français encadre légalement les fichiers de police tels que le traitement d'antécédents judiciaires8 (ci- 1Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, 01 1119, 4.5.2016, p. 89-131. 230 juillet 2018, loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, Titre 2, article 33 paragraphe ler. 3 5 août 1992 loi sur la fonction de police (mise à jour au 14-08-2020), article 44/2 paragraphe ler. 4 Ibidem, article 44/7. 5 Ibidem, article 44/11/2. 6 Ibidem, article 44/11/3. 7 Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (modifiée), articles 88 et 89. 8 Décret n°2012-652 du 4 mai 2012 relatif au traitement d'antécédents judiciaires. Voir également les articles 230-6 à 230-11 du Code de procédure pénale. 2 après désigné « TAI »), le fichier des personnes recherchées (ci-après désigné « FPR »)9 ou encore le fichier national des empreintes génét1ques1° (ci-après désigné « FNAEG »). Ceux-ci disposent d'une base légale qui leur est propre et qui précise notamment les finalités du traitement, les informations contenues dans ces fichiers, les accès à ces dernières ainsi que le(
  4. s)responsables du traitement et les durées de conservation des données. Il peut être observé que les auteurs du projet de loi combinent les modèles belge et français tout en essayant de les adapter au modèle luxembourgeois. Ce choix pose un certain nombre d'interrogations quant à l'encadrement de l'ingérence faite dans les droits fondamentaux (
  5. l)ainsi qu'au respect des obligations qui incombent au responsable du traitement (II). In fine, des remarques complémentaires seront effectuées (III). l. L'encadrement de l'ingérence faite dans les droits fondamentaux Dans l'exposé des motifs du projet de loi, les auteurs de ce dernier semblent partir du principe que la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (ci-après la « loi du ler août 2018 ») transposant la directive en droit national, « constitue le fondement légal pour le fichier central ainsi que pour les autres fichiers créés, gérés et mis à jour par la Police »11. Par conséquent, « d'un point de vue juridique, un encadrement complémentaire n'est pas indispensable »12. Or, le cadre légal prévoyant l'ingérence dans les libertés et les droits fondamentaux doit respecter certains critères imposés à la fois par la Constitution luxembourgeoise13, la Charte des droits fondamentaux de l'Union européenne', la Convention européenne des droits de l'Homme" et la jurisprudence des hautes juridictions eur0péennes16. À cet égard, l'AG souhaite rappeler que toute ingérence dans le droit au respect de la vie privée ou dans le droit à la protection des données peut être justifiée à condition que celle-ci soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante. L'ingérence se doit également d'être nécessaire dans une société démocratique, sous réserve du principe de proportionnalité. Elle doit respecter le 9 Décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées. ° Articles 706-54 à 706-56-1.-1 du Code de procédure pénale. 11 Projet de loi, exposés des motifs p. 14. 12 Ibidem. 13 Article 11 paragraphe

(3), article 32 paragraphe 3. " Article 52 paragraphes
(1)et
(2). 15 Article 8 paragraphe
(2). 16 CourEDH, Amann c. Suisse [GC), n°27798/95 para
  1. ibidem. Voir également Cour EDH, Malone c. Royaume-Uni, série A n°82, du 2 août 1984, pp. 31-32, para.66 ; Cour EDH, Fernández Martínez c. Espagne CE:ECHR:2014:06121L10005603007, 12 juin 2014 para.117 ; Cour EDH, Liberty et autres c. Royaume-Uni, n° 58243/00, du 1e juillet 2008, para. 62 et 63; Cour EDH, Rotaru c. Roumanie, App. le 28341/95, 4 mai 2000, para. 57 à 59 et Cour EDH, S et Marper c. Royaume-Uni, Requêtes n° 30562/04 et 30566/04, du 4 décembre 2008 para.
  2. ; Dimitrov-Kazakov c. Bulgarie n°11379/03, du 10 février 2011 ; Arrêt du 8 avril 2014, Digital Rights Ireland e.a. C-293/12 et C-594/12, EU :C :2014 :238, point
  3. 3 contenu essentiel du droit à la vie privée et du droit à la protection des données et répondre effectivement à des objectifs d'intérêt général ou au besoin de protection des droits d'autrui. Dès lors, compte tenu du fait que les traitements de données effectués par la Police constituent une ingérence dans le droit à la vie privée et le droit à la protection des données, les conditions et les modalités de ces traitements doivent être légalement prévus. Le projet doit partant être analysé par rapport aux finalités du traitement des données à caractère personnel à travers les fichiers de la Police (A), à la définition des fichiers de la Police grand-ducale (B) et in fine, à la désignation d'un responsable du traitement (C). A. Les finalités du traitement des données à caractère personnel à travers les fichiers de la Police L'existence de finalités des traitements de données à caractère personnel est une condition inexorable de la licéité desdits traitements telle que prévue à l'article 8 paragraphe
(1)de la er août 2018. directive et à l'article 7 de la loi du l Si l'insertion dans la loi modifiée du 18 juillet 2018 sur la Police grand-ducale de dispositions relatives aux finalités du traitement des données à caractère personnel au sein des fichiers de la Police présente une avancée conséquente dans la mise en conformité de ladite loi avec le cadre légal national et européen relatif à la protection des données à caractère personnel, certaines interrogations demeurent tout de même. En effet, la terminologie utilisée au sein du présent projet de loi lorsqu'il est fait référence aux missions de la Police mériterait d'être précisée et harmonisée. À titre d'exemple, il est tantôt fait référence aux données traitées dans les fichiers « aux fins de police administrative et de toute autre mission dont la Police est investie par la loi »17, ou encore aux « missions de police judiciaire et de police administrative » sans pour autant mentionner les bases légales. Une référence explicite quant aux bases légales prévoyant les missions de la Police grand-ducale permettrait de er août 2018 respecter le principe de licéité du traitement tel que prévu à l'article 7 de la loi du l mais aussi de garantir l'accessibilité et la prévisibilité de la loi. En outre, lesdites mentions permettraient également aux personnes concernées et à l'autorité de contrôle compétente d'apprécier plus clairement la nécessité et la proportionnalité du traitement à caractère personnel par rapport aux missions visées. À ces fins, en ce qui concerne la Police judiciaire, le projet de loi pourrait faire notamment référence aux articles 9, 11 et 12 du Code de procédure pénale. En ce qui concerne les missions de police administrative, le projet de loi pourrait également faire référence au Chapitre 2 section 1ère de la loi du 18 juillet 2018 sur la Police grand-ducale. La formulation suivante pourrait être prise pour exemple afin de préciser davantage les missions de la Police et leurs bases légales : « pour l'exercice de leurs missions prévues aux articles 4, 8 et 9 de la loi modifiée du 18 juillet 2018 sur l'Inspection générale de la Police, un accès direct au ' Projet de loi, article 3, respectivement l'article 43-2 paragraphe
(3). 1 4 fichier central peut-être accordé par le responsable du traitement »
  1. Une autre formulation peut être prise pour exemple, à savoir l'article 44/1 de la loi belge sur la fonction de police qui dispose que : « Dans l'exercice des missions qui leur sont confiées, les services de police peuvent recueillir et traiter des données à caractère personnel et des informations relatives notamment à des évènements, à des groupements et des personnes présentant un intérêt concret pour l'exécution de leurs missions de police administrative et pour l'exécution de leurs missions de police judiciaire conformément aux articles 28 bis, 28ter, 55 et 56 du Code d'instruction criminelle ». En outre, une telle précision des rnissions n'est pas uniquernent valable pour la Police mais s'étend à l'ensemble des autorités compétentes mentionnées dans le projet de loi dont les missions ne seraient pas spécifiées. À titre d'exemple, le projet de loi évoque les « fonctions » des fonctionnaires de l'Administration des douanes et accises sans pour autant préciser ces dernières et leur base 1éga1e
  2. B. La définition des fichiers de la Police grand-ducale Dans l'exposé des motifs, les auteurs du projet de loi expliquent que « le projet de loi sous rubrique a pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale, et plus précisément dans le fichier central »
  3. À titre liminaire, il peut être noté que l'article 1 du projet de loi proposant une nouvelle mouture de l'article 43 la loi modifiée du 18 juillet 2018 sur la Police grand-ducale prévoit en ses paragraphes
(1)et
(2), l'accès direct des membres de la Police grand-ducale à différents fichiers qui ne sont pas des fichiers de police per se, mais dont l'accès leur est utile dans le cadre de leurs missions. Ainsi, l'ACJ s'interroge quant à l'adéquation de telles dispositions avec l'objectif du présent projet de loi tel que précédemment rappelé. Ensuite, il est difficile de savoir à quoi il est fait référence lorsque les auteurs du projet de loi parlent des « fichiers de la Police grandducale ». S'agit-il de fichiers gérés et exploités uniquement par la Police ? L'absence de définition des fichiers de la Police grand-ducale s'explique certainement par le fait que la loi du ler août 2018 transposant la directive en droit national reprend la définition de fichier donnée par cette dernière
  1. Néanmoins, cette disposition à elle seule ne permet pas de rendre compte de ce que le présent projet de loi entend par un fichier de Police. Les commentaires des articles ne donnent pas davantage de précisions quant à la définition de ce qu'est un fichier de police. Ils se contentent d'exposer que le nouvel article « [...] contient des dispositions relatives au traitement de données à caractère personnel qui sont applicables à tous les fichiers de la Police dans le cadre des missions légales dont elle est investie »
  2. Il y est ibidem, paragraphe
(6). Ibidem. 28 Projet de loi, exposé des motifs, p.
  1. 21 Article 2 paragraphe 1 point 6). 22 Projet de loi, commentaires des articles p.
  2. 18 19 5 également fait référence « [...] à tous les fichiers que la Police gère en tant que responsable du traitement [...] »
  3. Se pose ainsi la question s'il ne serait pas utile, même en évitant toute casuistique, de définir ce que l'on entend par fichier de police respectivement les différentes catégories de fichiers visées et ce afin de remplir pleinement les exigences d'accessibilité et de prévisibilité de la loi. C. La désignation d'un responsable du traitement L'AU salue l'insertion d'une disposition spécifique dédiée au responsable du traitement qui est une notion très importante définie par l'article 2 paragraphe
(1)point 8° de la loi du l er août
  1. Néanmoins, cette définition est très générale et mérite d'être précisée. Celle proposée par le projet de loi à savoir « La Police grand-ducale a la qualité de responsable du traitement des traitements de données à caractère personnel effectués par la Police » paraît insuffisante. Dans le commentaire des articles, les auteurs du projet de loi soulignent que les textes européens n'obligent pas la désignation d'une personne physique comme responsable du traitement. Or, la Police en tant que telle n'est pas dotée d'une personnalité juridique. C'est probablement pour ces motifs qu'en Belgique la loi du 5 août 1992 sur la fonction de la police dispose qu'« en matière de police administrative, le responsable du traitement des données à caractère personnel et des informations visées à l'article 44/1, y compris celles incluses dans les banques de données visées à l'article 44/2, paragraphe l er alinéa 2,1° et 2°, est le ministre de l'intérieur »
  2. En France, les responsables du traitement de chaque fichier de la police sont également prévus. À titre d'exemple, le responsable du traitement du TAJ est le Ministère de l'Intérieur25, il en est de même pour le FPR
  3. Cette façon de procéder ne résout cependant pas la difficulté des fichiers reprenant des données issues de la police administrative et de la police judiciaire. En droit national, aux termes de l'article l er de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, « La Police grand-ducale, ci-après dénommée « Police » est un service national de police générale chargé d'assurer la sécurité intérieure. Elle est placée sous l'autorité du ministre ayant la Police dans ses attributions [...) ». En outre, l'article 44 de la même loi dispose que « La Police est dirigée par un directeur général qui est assisté d'un directeur général adjoint [...] nommé par le Grand-Duc sur proposition du ministre parmi le personnel du cadre policier [...] ». 23 Ibidem. 24 5 août 1992 loi sur la fonction de police (mise à jour au 14-08-2020), article 44/4 paragraphe 1.e'. Article 28 du Décret N°2018-687 du le' août 2018, voir également en ce sens la fiche dédiée à ce fichier sur la page https://www.service-public.fr/particuliers/vosdroits/F32727, consultée pour la dernière fois le 28/04/2021 'Article du Décret ri* 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées dispose que le ministre de l'intérieur (direction générale de la police nationale et direction générale de la gendarmerie nationale) et autorisé à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé « fichiers des personnes recherchées ». llressort des précédentes considérations que le responsable du traitement ne peut être la Police dans sa globalité et que le projet de loi se doit de préciser davantage ce dernier. L'AD estime que les législations belge et française peuvent à cet égard être prises pour exemple. Après avoir fait état de la nécessité d'une amélioration de l'encadrement de l'ingérence dans les droits fondamentaux effectué par le présent projet de loi notamment au regard de l'accessibilité et la prévisibilité de la loi, l'AU se consacre à présent à l'examen de l'encadrement légal des fichiers de la police et du fichier central.
  4. L'examen de l'encadrement légal des fichiers de la police et du fichier central à la lumière des cadres légaux nationaux et européens relatifs à la protection des données à caractère personnel Le projet de loi en l'espèce se doit de respecter les principes applicables au traitement des données à caractère personnel (A) et prévoir les obligations du responsable du traitement, relatives à la gestion et l'exploitation des fichiers (B) tels que prévus par la loi du le" août
  5. A. Quant au respect des principes relatifs au traitement des données à caractère personnel par le proiet de loi Le Chapitre 2 de loi du le" août 2018 se consacre aux principes relatifs au traitement des données à caractère personnel que le projet de loi est tenu de respecter, à savoir la distinction entre différentes catégories de personnes concernées
(1), la mise en place des délais de conservation et d'examen
(2)et in fine, le traitement portant sur des catégories particulières de données
(3). 1) La distinction entre différentes catégories de personnes concernées L'article 5 de la loi du le' août 2018 prévoit l'établissement d' « une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées [...]». En ce qui concerne les fichiers de la Police dans leur ensemble, l'AC1 constate qu'une telle distinction fait défaut à l'article 2 du projet de loi respectivement à l'article 43-1 nouveau qui s'applique à l'ensemble des fichiers de la Police grand-ducale. CACI recommande qu'une telle distinction soit prévue par le projet de loi. 2) La mise en place des délais de conservation L'AC! constate que le projet de loi prévoit deux régimes quant aux durées de conservation. En effet, l'article 2 du projet de loi, respectivement l'article 43-1 paragraphe
(4)tel que proposé prévoit qu'il revient au responsable du traitement, à savoir la Police grand-ducale, d'arrêter lesdits délais et ce « pour tous les fichiers que la police gère en tant que responsable du traitement ». Il paraît donc qu'il revient à la Police grand-ducale d'arrêter lesdits délais pour l'ensemble de ses fichiers, y compris le fichier central. Or, L'AC1 constate qu'une telle disposition entre en conflit avec la démarche choisie par les auteurs du projet de loi qui est de confier cette mission au législateur pour ce qui est des durées de conservation applicables au fichier central. Une telle divergence ne permet d'assurer une 7 cohérence et ne reflète pas le consensus qui a émergé suites aux débats relatifs au fichier central qui ont eu lieu à l'été 2019 à savoir, de prévoir par la loi les délais de conservation des données contenues dans les fichiers de la Police. Par conséquent, l'ACJ recommande à ce que cette divergence soit rectifiée. Ensuite, l'ACJ souhaite faire état d'une certaine confusion régnant à l'article 43-2 paragraphes
(9)à
(18). En effet, l'ACJ constate un manque de clarté concernant les délais de conservation des informations et des données au sein des fichiers de la Police. L'article 43-2 paragraphe
(8)tel que proposé renseigne sur le moment où les informations et données à caractère personnel sont transmises au fichier central. Néanmoins, une telle disposition ne permet pas de comprendre que les données sont inscrites dans la partie active du fichier central et prête à confusion quant à la durée de conservation totale des informations au sein du fichier en question. À cet égard, il y a lieu de relever qu'il est fait référence aux durées de conservation dans la partie active du fichier central des informations et données en premier lieu à l'article 43-2 paragraphe
(1)puis, de manière plus détaillée, aux paragraphes
(9),
(10),
(11),
(13)et
(14). Cependant, une référence aux délais de conservation dans la partie passive du fichier central fait défaut au paragraphe 432 paragraphe
(1), et il faut attendre les paragraphes
(17)et
(18)pour prendre connaissance de l'existence de délais de conservation dans la partie passive. Par conséquent, l'ACJ considère qu'il serait opportun de préciser à l'article 43-2 paragraphe
(8)que l'inscription d'informations et de données à caractère personnel s'effectue au sein du fichier central, plus précisément dans la partie active de ce dernier afin de faire écho à l'article 43-2 paragraphe
(1)et de faire preuve de plus de clarté. L'AG recommande également à ce qu'une référence aux délais de conservation des données au sein de la partie passive soit faite à l'article 43-2 paragraphe
(1). L'ACJ remarque également une incohérence quant à la simultanéité de la durée de conservation des données contenues dans les fichiers de la Police par rapport à celles prévues pour le fichier central. En effet, l'article 43-2 paragraphe
(18)prévoit que lorsque les informations et les données contenues dans les fichiers de la police sont supprimées à partir du moment où elles sont transférées dans la partie passive du fichier central. Or, le paragraphe
(16)du même article dispose que « les informations et données à caractère personnel contenues dans la partie passive du fichier central et celle des autres fichiers de la Police peuvent être retransmises dans la partie active ». L'ACJ a donc du mal à comprendre la mise en œuvre effective du paragraphe
(16)dans le cas où les données contenues dans les fichiers de la police sont effacées. En ce qui concerne la durée de conservation des données douces, l'ACJ note que la durée de conservation de ces dernières au sein de la partie active du fichier central peut être prolongée « d'une année supplémentaire sur décision motivée de l'officier de police judiciaire en charge de l'information dans le fichier central ». L'ACJ se demande s'il est opportun de laisser une telle décision à la seule charge dudit officier de police judiciaire. Est-ce qu'un double contrôle du DPO ne serait-il pas envisageable ? 8 En ce qui concerne les informations et les données à caractère personnel des mineurs, l'ACJ constate que le projet de loi ne prévoit pas de délais de conservation particuliers à leurs égards au sein du fichier central. En effet, si le projet de loi prévoit la suppression du fichier central des informations et de données à caractère personnel relatives aux mineurs en fugue, il ne prévoit cependant pas d'issue concernant les informations et les données à caractère personnel des mineurs en danger ou ayant commis un fait ayant les caractéristiques d'une infraction. L'ACJ se demande donc s'il faut en déduire que ces données restent inscrites dans la partie active respectivement passive selon les règles de droit commun ? 3) Traitement portant sur des catégories particulières de données à caractère personnel L'article 2 du projet de loi respectivement l'article 43-1 paragraphe
(2)tel que proposé prévoit que les fichiers de la Police sont susceptibles de contenir des catégories particulières de données à caractère personnel telles que visées à l'article 9 de la loi du ler août
  1. L'AC salue l'existence d'une base légale relative au traitement de données considérées comme sensibles par la Police dans le cadre de ses missions et au sein de ses fichiers. Néanmoins, si le projet de loi opère une justification quant à l'utilité du traitement de données sensibles à travers des fichiers de la Police dans le cadre de ses missions, l'AD n'est pas en mesure de constater l'existence de garanties supplémentaires spécifiques et efficaces quant aux traitements de données sensibles effectués par la Police grand-ducal dans l'ensemble de ses fichiers. Une telle lacune avait pourtant d'ores et déjà été soulevée par la CNPD dans son avis du 13 septembre
  2. À cet égard, l'ACJ souhaite rappeler le considérant 37 de la directive évoquant la possibilité pour les responsables du traitement de mettre en place des garanties appropriées à l'égard des données sensibles. Il peut notamment s'agir de « la possibilité de ne collecter ces données qu'en rapport avec d'autres données relatives à la personne physique concernée, la possibilité de sécuriser les données collectées de manière adéquate, des règles plus strictes pour l'accès du personnel de l'autorité compétente aux données et l'interdiction de la transmission de ces données. 11 convient également que le traitement de pareilles données soit autorisé par la loi lorsque la personne concernée a expressément marqué son accord au traitement qui est particulièrement intruse pour elle. Toutefois, l'accord de la personne concernée ne devrait pas constituer en soi une base juridique pour le traitement de ces données à caractère personnel sensibles par les autorités compétentes ». Le nouvel article 43-1 paragraphe
(2)tel que proposé dispose que les données sensibles présentes au sein des fichiers de la Police « [...] ont toujours un rapport avec d'autres données relatives à la personne concernée ». Or, cette garantie ne semble pas pouvoir se réaliser pleinement puisque les données en questions ne sont pas toujours en lien avec une personne concernée. En effet, les prélèvements d'ADN sur une scène de crime afin de pouvoir identifier l'auteur de faits ne sont pas forcément immédiatement reliés à une personne en particulier. Le 27 Délibération n°45/2019 du 13 septembre 2019 de la Commission nationale pour la protection des données relative au fichier central de la Police grand-ducale au regard de la législation sur la protection des données, p.
  1. 9 présent projet de loi semble considérer le prélèvement d'ADN comme un traitement de données à caractère personnel, entrant ainsi en contradiction avec la loi du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale'. L'AO recommande qu'une clarification soit faite sur ce point. En outre, aucune disposition ne prévoit une sécurité spécifique dont pourraient bénéficier de telles données, une durée de conservation particulière ou encore l'interdiction de la transmission de ces données. Au commentaire des articles il est uniquement fait mention de la faculté d'anonymiser ces données lorsqu'elles sont utilisées à des fins statistiques
  2. Par conséquent, l'AO recommande que le projet de loi prévoie explicitement des garanties supplémentaires spécifiques quant aux traitements de données sensibles effectués par la Police dans l'ensemble de ces fichiers. B. Quant au respect des mesures de sécurité devant être mises en place par le responsable du traitement La loi du le' août 2018 prévoit des obligations générales et des obligations particulières qu'il incombe au responsable du traitement de respecter. L'AC concentrera son analyse au respect de l'obligation générale de journalisation
(1)et au respect de l'obligation particulière de sécurité du traitement, en particulier celle du contrôle des accès aux installations
(2). 1) Le respect de l'obligation de journalisation La journalisation des opérations de traitement est une obligation générale prévue à l'article 24 de la loi du ler août 2018. L'AO note que l'article 43-1 paragraphe
(3)tel que proposé prévoit un processus de journalisation applicable à l'ensemble des fichiers de la Police s'inscrivant dans une volonté de respecter l'article 24 de la loi du 1e" août 2018. L'AO note ensuite que la durée de conservation de la journalisation est de 5 années. Selon les commentaires des articles, ce délai coïncide avec les délais de prescription de la violation des droits d'accès sur base des articles 509-1 et suivants du Code péna13° qui se prescrivent après un délai de cinq ans. Si les efforts à l'instant évoqués sont incontestables, l'ACI relève néanmoins que l'article 43-1 paragraphe
(3)prévoit qu'il revient à la Police, de manière interne, de déterminer « des profils et des modalités d'accès et de traitement de données à caractère personnel » et la journalisation en fait partie. L'article 43-1 paragraphe
(3)point 2° se borne à reprendre la disposition de l'article 24 de la loi du le' août 2018 sans pour autant développer le type du traitement envisagé dans l'ensemble des fichiers de la Police, y compris le fichier central. L'AO considère qu'une telle généralisation ne permet pas d'identifier quels sont les mécanismes de journalisation mis en place et sur quelles opérations de traitements ils portent. 28 Voir à ce titre l'article 8 de la loi du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle. 29 Projet de loi, commentaires des articles, p.
  1. " Ibidem, p.
  2. 10 Par conséquent, l'ACI recommande la mise en oeuvre d'améliorations quant à la traçabilité des consultations. 2) L'examen particulier de l'accès aux informations et données La politique des accès aux informations et données contenues dans les fichiers de la Police fait partie des éléments essentiels des objectifs et des principes d'un traitement de données à caractère personnel. Une telle politique s'inscrit dans la mise en œuvre de mesures de sécurité des données qu'il incombe au responsable du traitement de mettre en place et ce conformément à l'article 28 de la loi du le' août
  3. Il y a dans un premier temps lieu d'examiner la politique d'accès applicable à l'ensemble des fichiers de la Police (a) et dans un second temps, de se pencher sur la gestion des accès au sein du fichier central (b). a) La politique d'accès applicable à l'ensemble des fichiers de la Police L'AD relève que l'article 2 du projet de loi, respectivement l'article 43-1 paragraphe
(3)prévoit une politique d'accès applicable à l'ensemble des fichiers de la Police sauf excepti0ns31. L'AU salue la mise en place d'une politique d'accès aux informations et aux données contenues dans l'ensemble des fichiers de la Police relative aux personnes concernées mineures. La Directive 2016/680 confère un degré de protection particulier à l'égard des personnes physiques mineures. En effet, elle dispose à son considérant 50 que « les mesures prises par le responsable du traitement devraient comprendre l'établissement et la mise en œuvre de garanties spécifiques destinées au traitement de données à caractère personnel relatives aux personnes physiques vulnérables telles que les enfants ». L'article 43-1 paragraphe
(3)point 6* s'inscrit dans un tel cadre de protection des mineurs limitant l'accès aux rapports, procès-verbaux ainsi que tous autres documents aux membres de la section « protection de la jeunesse » au sein du Service de police judiciaire » ainsi qu'aux « officiers et agents de police judiciaire qui sont chargés d'une enquête par rapport au mineur concerné ou suite à une demande du service central d'assistance sociale (SCAS) du Parquet Général ». Si ces dispositions constituent un progrès considérable, l'AU considère toutefois que le statut particulier conféré à un mineur ne doit pas se limiter à l'accès aux données les concernant mais doit également comprendre l'enregistrement, la conservation et l'utilisation ultérieure de ces données. Par conséquent, de telles dispositions mériteraient d'être insérées au sein du projet de loi en ce qui concerne les fichiers de la Police afin d'être en conformité avec la directive et la loi de transposition du le" août
  1. L'AG recommande que le traitement des données de personnes mineures au sein des fichiers de la Police grand-ducale soit davantage développé dans le projet de loi. Du surcroît, l'ACI salue que la Police met en œuvre des règles plus strictes quant à l'accès de ses rapports et procès-verbaux et autres documents. En effet, l'accès à ces derniers et le traitement 31 Projet de loi, commentaires des articles p.
  2. 11 des données sont modulés en fonction de l'appartenance à un service ou une unité particulière et de la fonction de ses membres. Néanmoins, l'ACJ relève que ces modalités d'accès sont établies de manière interne par la Police et considère qu'il serait opportun de prévoir lesdites modalités ou du moins les critères permettant de fixer ces modalités dans le projet de loi ou que celles-ci fassent l'objet d'un texte règlementaire. En outre, l'ACJ relève que l'article 43-1 paragraphe
(3)tel que proposé ne prévoit pas une procédure de revue des accès par le responsable du traitement. L'AD recommande par conséquent qu'une disposition relative à la revue des accès des membres de la Police à l'ensemble des fichiers soit insérée dans ledit article. b) L'accès aux informations et données contenues au sein du fichier central L'article 3 relatif à l'accès par les membres de la Police aux données à caractère personnel au sein du fichier central donne quelques précisions quant à la politique des accès de la Police telle que prévue à l'article 43-1 paragraphe
(3)et qui s'applique au fichier central. Pour rappel, les modalités des accès diffèrent selon qu'il s'agit de la partie active et de la partie passive du fichier central. En ce qui concerne la partie active, l'article 43-2 paragraphe
(1)alinéa 2 tel que proposé dispose que « la partie active contient les données auxquelles les membres de la Police ont besoin d'accéder dans le cadre de leurs missions légales I...] ». Lorsqu'un membre de la Police souhaite avoir des informations sur une personne en particulier, le paragraphe
(7)dispose que la Police peut « visionner les informations et données à caractère personnel principales par rapport à cette personne et, le cas échéant, un résumé sommaire de faits dans lesquels la personne est impliquée. Les procès-verbaux et rapports dont la personne fait l'objet sont également accessibles en fonction des droits d'accès et des motifs de la consultation ». L'ACJ recommande à ce que le projet de loi précise davantage le rôle et la marge de manœuvre de l'agent en charge de l'information. L'accès aux données contenues dans la partie passive quant à lui, fait l'objet d'un encadrement spécifique à l'article 43-2 paragraphe
(19)tel que proposé. Ladite disposition énonce les deux conditions pouvant justifier l'accès à la partie passive ainsi que la procédure qui encadre ledit accès. Elle prévoit également que les accès aux membres de la Police nommément désignés ou ceux de certaines subdivisions est accordé pour cinq années — ce délais pouvant être renouvelé. L'AU note ainsi que les modalités d'accès à la partie passive du fichier central sont plus détaillées que celles des accès à la partie active et sont spécifiquement prévues par le présent projet de loi. Par conséquent, l'AU réitère son propos quant à l'importance d'encadrer à des fins de cohérence les modalités des accès par la loi et ce qu'il s'agisse de la partie active ou passive du fichier central. L'AGI constate également que si la durée des accès à la partie passive du fichier central est prévue pour une période de cinq années renouvelable, la procédure de la revue desdits accès fait défaut à l'article 43-2 paragraphe
(19). Afin de garantir la sécurité des informations et des données 12 contenues dans le fichier central conformément à l'article 28 de la loi du le' août 2018, il est important de prévoir une procédure de revue des accès.
  1. Remarques complémentaires A. Quant à la modification du code pénal visant à l'introduction de sanctions pénales relatives à l'accès ou au maintien frauduleux dans tout ou partie d'un système de traitement ou de transmission automatisé ou non-automatisé de données L'article 6 du projet de loi vise à modifier l'article 509-1 du Code pénal afin d'introduire des sanctions pénales contre ceux qui commettent un abus au droit d'accès dans tout ou partie d'un système de traitement ou de transmission automatisé ou non-automatisé de données. L'ACJ salue l'introduction de telles sanctions pénales, qui, comme l'ont rappelé Madame la Ministre de la Justice et Monsieur le Ministre de la Sécurité intérieure lors de la conférence de presse dédiée à la présentation du projet de loi, ont une portée générale et ne concernent pas uniquement les membres de la Police
  2. Le texte tel que proposé par le projet de loi est en ligne avec la jurisprudence actuelle et de facto, n'appelle pas de commentaires particuliers. B. Quant à l'absence de la mention des droits des personnes concernées L'A° note que le projet de loi ne fait pas mention du droit des personnes concernées. Les auteurs du projet de loi justifient ce choix en expliquant que ces derniers sont d'ores et déjà couverts par le Chapitre 3 de la loi du le" août
  3. À cet égard, l'ACJ considère qu'il aurait été opportun de renvoyer aux dispositions légales relatives auxdits droits dans le présent projet de loi. 32 33 Conférence de presse: Présentation du projet de loi relative aux fichiers de la Police grand-ducale, 13 janvier
  4. Projet de loi, exposé des motifs, p.
  5. 13

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.