le CHAMBRE DES SALARIÉS LUXEMBOURG 11 février 2021 Avis 111/07/2021 Fichiers de la Police grand-ducale relatif au Projet de loi portant modification 10 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat ; et 3° du Code pénal CSL B.P. 123 18 RUE AUGUSTE LUMIERE L-1012 LUXEMBOURG L -1950 LUXEMBOURG CSL@CSL.LU T +352 27 494 200 WWW.CSLIU F +352 27 49-1 250 Page 2 de 8 Par lettre en date du 18 décembre 2020, le ministre de la Sécurité intérieure, Monsieur Henri KOX, a saisi pour avis notre chambre du projet de loi portant modification 10 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat ; et 3° du Code pénal.
- Selon l'exposé des motifs, le projet de loi sous rubrique a pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale, et plus précisément dans le fichier central. Il vise à adresser les critiques en matière de protection des données qui ont été soulevées par rapport aux fichiers de la Police, et plus particulièrement par rapport au fichier central en été
- Si la CSL accueille favorablement la volonté du législateur de préciser voire de compléter l'utilisation des fichiers de la police grand-ducale en les mettant en conformité avec la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, elle exprime de sérieux doutes quant à la finalité exprimée dans l'exposé des motifs du projet de loi consistant à garantir « un équilibre entre le renforcement des garanties supplémentaires en matière de vie privée et la flexibilité requise pour un travail policier efficace » . La centralisation des fichiers existants et leur contrôle : un leurre !
- A en croire les sources des rnédias (LW du 13 janvier 2021), la réforme prévoit de regrouper les 74 fichiers recensés dans un nouveau fichier central, qui contiendra toutes les informations nécessaires à « la vérification des antécédents d'une personne » ou « nécessaires aux contrôles et enquêtes dans le cadre du travail policier ». Et de continuer que « une création d'une nouvelle base de données qui s'étalera dans le temps mais qui doit être finalisée d'ici 2026 », la nouvelle loi prévoyant que « cinq ans après l'entrée en vigueur de la présente loi, l'ancien fichier central cessera d'exister ».
- Cette affirmation des ministres Sam TANSON et Henri KOX consistant à centraliser les 74(!!) fichiers en UN nouveau fichier central est contredite par le projet de loi et son exposé des motifs, ce dernier retenant que : « Le présent projet de loi suit partiellement la même logique et vise à déterminer un cadre commun à tous les fichiers de la Police et à réglementer plus spécifiquement le fichier central. Concernant les « les fichiers particuliers, qui désignent tous les fichiers autres que le fichier central, il incombe à la Police d'en définir les éléments-clé, tout en respectant les règles communes applicables à tous les fichiers de la Police (..) ».
- La CSL aimerait bien connaître - comme pour les 74 fichiers actuellement existants dont le commun des mortels ignore leurs contenus et leurs finalités - les critères pour constituer ou maintenir une ribambelle de fichiers particuliers et quel contrôle y est exercé par la CNPD. Selon l'exposé des motifs comme quoi « il incombe à la Police d'en définir les éléments-clé tout en respectant les règles communes applicables à tous les fichiers de la Police », notre chambre en déduit que seule la Police est juge de l'opportunité de la création de tels fichiers particuliers, à l'exclusion de la CNPD qui est obligée de se limiter au contrôle de la pure légalité.
- Ainsi notre chambre aimerait bien savoir comment a été et sera appliqué in concreto l'article 27 de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard des données à caractère personnel dans le processus d'élaboration du nouveau fichier central et des fichiers particuliers (non limités) et de la suppression des fichiers ayant existé jusqu'à présent. Page 3 de 8 7 . L'article 27 est de la teneur suivante : «
(1)Le responsable du traitement ou le sous-traitant consulte l'autorité de contrôle compétente préalablement au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer :
- a)lorsqu'une analyse d'impact relative à la protection des données, telle qu'elle est prévue à l'article 26, indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque, ou
- b)lorsque le type de traitement, en particulier, en raison de l'utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées.
(2)L'autorité de contrôle compétente est consultée dans le cadre de l'élaboration d'un projet de loi ou d'un projet de règlement grand-ducal qui se rapporte au traitement.
(3)L'autorité de contrôle peut établir une liste des opérations de traitement devant faire l'objet d'une consultation préalable conformément au paragraphe le'.
(4)Le responsable du traitement fournit à l'autorité de contrôle l'analyse d'impact relative à la protection des données en vertu de l'article 26 et, sur demande, toute autre information afin de permettre à l'autorité de contrôle d'apprécier la conformité du traitement et, en particulier, les risques pour la protection des données à caractère personnel de la personne concernée et les garanties qui s'y rapportent.
(5)Lorsque l'autorité de contrôle compétente est d'avis que le traitement prévu visé au paragraphe 1 e` constituerait une violation de la présente loi, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle compétente fournit par écrit, dans un délai maximum de six semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement, et le cas échéant au sous-traitant, et elle peut faire usage des pouvoirs visés à l'article 14 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ou à l'article 43 de la présente loi, en fonction de l'autorité de contrôle compétente. Ce délai peut être prolongé d'un mois, en fonction de la complexité du traitement prévu. L'autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de toute prorogation dans un délai d'un mois à compter de la réception de la demande de consultation, ainsi que des motifs du retard.
- Le paragraphe 1 impose au responsable de traitement, en l'espèce, la Police, de consulter la CNPD préalablement au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer lorsqu'une analyse d'impact relative à la protection des données, telle qu'elle est prévue à l'article 26, indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque, ou lorsque le type de traitement, en particulier, en raison de l'utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées.
- Il est indéniable et incontestable que les nouveaux fichiers qui seront créés - comme d'ailleurs ceux qui existent encore actuellement - présentent un risque élevé pour les libertés individuelles des citoyens. La CSL aimerait bien savoir si, en vertu du paragraphe 3 de l'article 27 précité, la CNPD a établi une liste des opérations de traitement qui doivent faire l'objet d'une consultation préalable au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer et dans la négative, pour quelles raisons elle y a renoncé. Conformément au paragraphe 4 du même article, la CSL aimerait également connaître le contenu de l'analyse d'impact qui s'impose dans le présent cas et quels sont les garde-fous prévus pour garantir les libertés individuelles du citoyen.
- Conformément à l'article 26 de la loi précitée une telle analyse d'impact devrait contenir « au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect de la loi, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées ».
- A ce sujet, le texte ne souffle mot sur l'application des articles 26 et 27 tant dans le cadre de l'élaboration du présent projet de loi que pour la période postérieure à son entrée en vigueur. Tout Page 4 de 8 porte à croire que le citoyen n'est pas davantage protégé par le présent projet de loi que jusqu'à présent, l'exposé des motifs disposant d'ailleurs explicitement que « le présent projet de loi n'est ainsi pas à considérer comme un changement de paradigme ».
- La CSL est d'avis que tous les fichiers existants ou à créer ainsi que leur finalité - à l'exclusion de leurs contenus bien évidemment - devraient faire l'objet d'une publication au Mémorial afin que le citoyen soit en mesure d'évaluer au préalable les conséquences de ses actes par rapport à la loi et par rapport aux investigations que la Police est autorisée à mener en collectant ses données à caractère personnel. Comme par le passé, la CSL estime que la Police est et reste libre d'agir à son gré en ce qui concerne l'opportunité de collecter des données à caractère personnel que ce soit dans le fichier central ou que ce soit dans d'autres fichiers particuliers non identifiables pour le commun des mortels conformément à l'adage : Divide et impera
- Si la CSL a de forts doutes quant à l'efficacité d'un contrôle des données à caractère personnel de la part de la CNPD, elle en a autant en ce qui concerne le contrôle exercé par la hiérarchie de la Police elle-même.
- Ainsi certaines catégories de personnes de la Police ont droit à certaines catégories de données si elles font partie d'une entité de la Police dont les missions justifient cet accès ou figurent sur une liste agréée par le directeur général de la Police (article
- Paragraphe 2) ou bien sont nommément désignées par le ministre sur proposition du directeur général de la Police grand-ducale. Notre chambre a du mal à concevoir que le supérieur hiérarchique de la Police et le ministre de tutelle puissent être juge et partie à la fois lorsqu'il s'agit de donner accès à certains membres un accès à certaines catégories de données à caractère personnel. Le contrôle et la surveillance du respect des conditions d'accès aux fichiers de la Police par la CNPD ne sont pas forcément plus rassurants malgré leur consécration dans le paragraphe 8 de l'article 43 alors que l'on ignore in concreto s'il s'agit d'un contrôle systématique ou récurrent ou si un tel contrôle ne se fait que sur demande d'une réclamation.
- Le paragraphe 7 de l'article 43 disposant que « seules les données à caractère personnel strictement nécessaires, dans le respect du principe de proportionnalité, peuvent être consultées » n'est que rassurant sur le papier. Faut-il préciser que dans le cadre de l'exercice de leurs fonctions, les membres de la Police doivent investiguer souvent « dans tous les sens » pour identifier l'auteur d'une infraction et il est peu concevable qu'une restriction tous azimuts à l'accès de certaines données ou fichiers soit prévue ex ante si l'on ne veut pas mettre en question le rôle même de la Police. En raison de son pouvoir d'opportunité dont dispose la Police, on voit mal où tracer une frontière étanche entre données à caractère personnel qui sont strictement nécessaires et celles qui ne le sont pas. La même remarque vaut pour l'article 43-1, paragraphe 2, lequel permet à la Police de collecter dans les fichiers des catégories particulières de données à caractère personnel si celles-ci sont « pertinentes et essentielles à l'aide de l'identification d'une personne (...) et pour apprécier correctement les faits qui peuvent donner lieu à une infraction pénale (...) ». Ces exemples démontrent à suffisance de droit la problématique mélangeant d'une part, la nécessité de détecter une infraction et d'identifier son auteur et d'autre part, le risque d'agir de façon disproportionnée et, le cas échéant, par curiosité malsaine. L'accès de la Police aux comptes bancaires du citoyen viole les principes de finalité et de proportionnalité et par conséquent le droit au respect de la vie privée et familiale du citoyen !
- La CSL critique avec véhémence l'accès inconditionnel de la Police aux données bancaires du citoyen tel que prévu à l'article 43, paragraphe 2, point 6 du projet de loi. Page 5 de 8
- Il s'agit d'une disposition générale permettant à quiconque de la Police et à quelque fin que ce soit d'avoir accès au « système électronique central de recherche de données concernant des comptes de paiement et des comptes bancaires identifiés par un numéro IBAN et des coffres-forts tenus par des établissements de crédit au Luxembourg ».
- Cet accès n'est ni limité quant au nombre de personnes du corps de la Police - d'une part, les officiers de police judiciaire, les officiers de police administrative du moment que leurs missions le justifient ou figurent sur une liste agréée par le directeur de la Police et d'autre part, les membres du cadre civil de la Police, nommément désignés par le ministre sur proposition du directeur général de la Police ainsi que les agents de police judiciaire ou d'agents de police administrative - ni limité quant à la finalité de l'accès à de telles données bancaires de sorte que le texte viole le droit au respect de la vie privée et familiale tel que prévu à l'article 6 de la Convention européenne des droits de l'homme (CEDH) lequel est de la teneur suivante : « Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui. »
- L'article 43 du présent projet de loi est conçu dans des termes tellement généraux qu'il manque de prévisibilité pour le justiciable qui se voit exposé, à tout moment, à une telle consultation par la Police, quelle que soit la raison de celle-ci. Il n'y a par conséquent ni proportionnalité ni finalité d'une telle ingérence et par conséquent violation de l'article 8 de la CEDH! Le maintien ou le transfert dans la partie passive du fichier central des informations et données à caractère personnel d'une personne ayant fait l'objet d'une décision d'acquittement coulée en force de chose jugée est contraire à l'article 8 de la CEDH !
- L'article 43-2 prévoit que le fichier central comprend une partie active et une partie passive. La partie active contient les données auxquelles les membres de la Police ont besoin d'accéder dans le cadre de leurs missions légales. Après avoir atteint la durée de conservation maximale dans la partie active, les données collectées dans le cadre de l'exécution d'une mission de police judiciaire sont transférées dans la partie passive, à laquelle l'accès n'est justifié que pour les finalités prévues au paragraphe 19, dont notamment la prise de connaissance d'informations et données dans le cadre d'enquêtes en cours relatives à un crime ou un délit.
- La CSL ne peut pas accepter que des informations concernant des acquittements coulés en force de chose jugée, des réhabilitations et des non-lieu continuent à figurer dans le fichier central, que ce soit dans la partie active ou dans la partie passive.
- Il est inacceptable que des personnes qui après avoir subi un calvaire et été traînées dans l'opinion publique aient été blanchies par les juridictions continuent à être stigmatisées en restant inscrites avec l'ensemble des actes relatifs à la procédure judiciaire dans le fichier central.
- L'acquittement est un constat de non-culpabilité et la personne concernée mérite d'être située dans son pristin état : la liberté inconditionnelle ! Page 6 de 8
- Le texte du projet de loi maintenant des décisions d'acquittement, de réhabilitation et de nonlieu viole l'article 8 de la CEDH, c-à-d, le respect au droit de la vie privée, tel que cela a été constaté dans un arrêt Marper c/ Royaume-Uni rendu par la Grande Chambre de la Cour européenne des droits de l'homme en date du 4 décembre
- Dans sa motivation, la Cour souligne que le caractère général et indifférencié du pouvoir de conservation d'empreintes digitales et d'échantillons A.D.N. pris sur une personne soupçonnée d'avoir commis une infraction pénale, mais qui a été acquittée, ne traduit pas un juste équilibre entre les intérêts publics et privés, concurrents en jeu, et que l'Etat, en passant outre outrepasse nécessairement toute marge d'appréciation. La façon de procéder de la Police a été considérée comme une atteinte disproportionnée du droit au respect de la vie privée qui ne saurait passer pour nécessaire dans une société démocratique. La décision du Procureur d'Etat de transférer des informations de la personne concernée dans la partie passive du fichier central ou d'ordonner que la personne concernée ne puisse plus être recherchée Pa r le biais de données à caractère personnel sans aue celle-ci en soit informée, viole l'article 8 de la CEDH !
- Le paragraphe 13 de l'article 43-2 dispose que « le Procureur d'Etat peut à tout moment, d'office ou à la demande de la personne concernée, soit ordonner le transfert des informations, données à caractère personnel, procès-verbaux ou rapports relevant d'une mission de police judiciaire dans la partie passive du fichier central, soit ordonner que la personne concernée ne puisse plus être recherchée par le biais des données à caractère personnel ».
- Cet article permet tant au Procureur d'Etat qu'a la demande de la personne concernée de transférer des informations dans la partie passive du fichier ou d'ordonner que la personne concernée ne puisse plus être recherchée par le biais des données à caractère personnel.
- Aux yeux de la CSL, une telle demande de la personne concernée semble plutôt théorique pour la simple raison qu'elle ignore à quelles données la Police a recouru dans l'exercice de ses fonctions et à quelles fins elle les a utilisées. A l'instar de l'affaire qui a suscité un tollé dans l'opinion publique où un jeune a posé une candidature auprès de la fonction publique et où lors de l'interview le responsable l'a confronté avec un certain nombre de faits inscrits dans un des innombrables fichiers que la Police a constitué sans pour autant qu'il n'ait été impliqué dans la perpétration d'une infraction pénale, la CSL se demande comment et de quelle manière la personne sera mise au courant qu'il existe dans le fichier central des informations à son sujet qui pourraient se révéler extrêmement préjudiciables pour sa carrière professionnelle.
- A part la revendication de notre chambre obligeant le législateur de publier dans le Mémorial les différents fichiers au fur et à mesure que la Police les constitue, ensemble avec leur objet/finalité, la CSL exige que la personne concernée obtienne copie des données à caractère personnel, et en particulier de tous les rapports dressés sur elle et qui n'ont pas connu une suite procédurale et lui donner ainsi l'opportunité de redresser ce qu'elle considérerait comme d'inadmissibles intrusions dans sa vie privée voire le cas échéant d'agir en justice.
- En guise de conclusion, la CSL est d'avis que le texte est incompatible avec les valeurs d'un Etat de droit où ce dernier doit être à la disposition du citoyen et non pas l'inverse.
- En raison du fait que les fichiers de police continuent à fonctionner par défaut par rapport aux personnes concernées, la CSL est d'avis que le projet de loi viole l'article 8 de la CEDH, à savoir le droit au respect de la vie privée du citoyen. ' 1-e://rrp.coe.int/16896ae19a Page 7 de 8 En raison des remarques formulées ci-avant, notre chambre a le regret de vous informer qu'elle marque son désaccord avec le projet de loi cité sous rubrique. Luxembourg, le 11 février 2021 Pour la Chambre des salariés, Sylvain HOFFMANN Directeur ora BACK Présidente L'avis a été adopté à l'unanimité. Page 8 de 8