Greild-Duchéc LuxernbctizArg Grtsd-Duché Lel:e otorg PARQUET PARQUET DU TRIBUNAL D'ARRONDISSEMENT DE LUXEMBOURG DU TRIZUNAIL D'ARRONDISSEMENT DE DIEKIRCH Avis commun des uarouets de Luxembourg e de Diekirch sur le projet de loi No 7741 portant modification 10 de la loi du 18 juillet 2018 sur la Police grand-ducale, 2° de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat, 3° du Code pénal Observations préliminaires Le projet de loi a pour objet d'apporter des solutions aux critiques manifestées récemment par rapport aux différents traitements de données à cantctère personnel opérés par la Police grand-ducale (ci-après « la Police »). Il prévoit spécialement en ce qui concente le fichier central de fixer entre-autres des durées de conservation des données personnelles dans ces fichiers et d'encadrer l'emploi par la Police de ces fichiers dans l'exercice de ses missions pour, en apportant un cadre complémentaire, garantir une utilisation respectueuse de la protection des droits et des libertés des personnes. La Commission nationale pour la protection des données (ci-après C.N.P.D.) avait déjà dans son avis No 45 du 13 septembre 2019 émis une série de critiques concernant le fichier central de la Police et avait envisagé certaines solutions. La C.N.P.D. avait notamment désapprouvé la durée de conservation de dix ans, puis d'archivage et finalement de suppression des données soixante ans après leur enrefestrement Elle avait conclu que le besoin de conservation devait varier selon l'issue du dossier judiciaire et nécessitait un retour d'information des autorités judiciaires. La mise en place d'un tel retour automatisé est un des points essentiels pour le succès de la mise en oeuvre du projet de loi. Le défi y relatif, au-delà de l'aspect purement informatique, justifie de prévoir un délai de mise en œuvre suffisamment long comme retenu par le projet de loi. A l'heure actuelle, ce retour d'information par le biais d'un système de transmission automatisé du suivi par les autorités judiciaires aux procès-verbaux et rapports de la Police est en train de se mettre en place dans un premier temps pour les seuls procèsverbaux électroniques (EPV — procès-verbaux transmis de façon automatisée dans la chaîne pénale — JuCHA), de telle sorte que pour ce type de dossier l'archivage ou la suppression des données pourra se faire à l'avenir selon les délais prévus par le projet de loi. Le succès de la mise en œuvre du projet de loi passe notamment par la généralisation de ce procès-verbal électronique dans tous les services de la Police. La mise en place fiable du système de transfert d'information automatisé entre les autorités judiciaires et la Police, comporte en outre un facteur humain en raison de la complexité de la procédure judiciaire dont le nombre élevé de prévenus ou autres parties dans certains dossiers qui requièrent un traitement différencié. Les efforts constants visant à la réduction du risque d'erreur d'encodage permettront, en s'intensifiant, de mitiger cet aspect. La généralisation de l'intégration du procès-verbal électronique dans la chaîne pénale nécessaire au retour d'information systématique comporte au niveau des définitions des règles applicables également des défis importants pour que les procédures complexes actuellement effectuées manuellement le soient de façon automatisée. Le projet prévoit que le fichier central sera scindé dans une partie active et une partie passive, que les données personnelles seront transmises dans cette deuxième partie en fonction des suites judiciaires données aux dossiers pour ce qui est du volet judiciaire du fichier. En ce qui concerne la duite maximale de conservation des données personnelles au fichier central, le projet s'est inspfré de la législation belge sur la fonction de police en prévoyant que les données seront supprimées au plus tard trente ans après leur transfert dans la partie passive du fichier central de la Police. Au moment de la fmalisation de la future loi sur la chaine pénale «JuCHA», il faudra veiller à ce que les délais d'archivage dans ce fichier coïncident avec ceux de la prescription de l'action publique et avec les règles prescrites par la loi du 17 août 2018 sur l'archivage. Commentaires des articles du projet Article ler L'accès direct des agents et officiers de police judiciaire ou administrative aux fichiers d'autres administrations auxquelles tel que prévu au paramaphe 1 du nouvel article 43 ne soulèvent pas de remarques. L'accès à ces fichiers étant nécessaire à l'accomplissement de leurs missions ordinaires Le paragraphe 2 du nouvel article 43 vise des fichiers spécifiques auxquels seulement certains membres de la Police ont accès, s'ils font partie d'une entité de la Police dont les missions justifient cet accès ou figurent sur une liste agréée par le Directeur général de la Police, après avis du délégué à la protection des données de la Police. Nonobstant les restrictions quant aux policiers éligibles à cet accès, basées sur la finalité et reposant sur l'organisation interne de la Police respectivement d'une décision de son Directeur, certaines dispositions concernant l'accès ne sont pas en ligne avec d'autres textes légaux récents plus spécifiques. Ainsi, parmi les fichiers plus spécifiques auxquels les officiers de police judicaire et les officiers de la police administrative ont accès direct riens le cadre de leur mission figure : 2 I . Selon le paragraphe 2 de l'article 43, point 4°, au registre des bénéficiaires effectifs. La loi du 13 janvier 2019 instituant un registre des bénéficiaires effectifs prévoit un accès public pour certaines informations (article 12) et pour d'autres informations un accès limité aux autorités. Or, pour ce qui concerne la Police, seuls les officiers de police judiciaire agréés par le Directeur général de la Police ont accès à ce dernier type d'information (articles 11 et 1 d)). 2. Selon le paragraphe 2 de l'article 43, point 6°, au système électronique de recherche de données concernant des comptes de paiement et des comptes bancaires identifiées par un numéro IBAN et des coffres-forts créé par la loi du 25 mars 2020. En effet, cette loi limite cet accès aux seuls agents et officiers de police judiciaire affectés au service de police judiciaire et ceux prévus à l'article 10 du Code de procédure pénale. Les officiers de police administrative n'y ont cependant pas accès selon le texte de cette loi (article 1.1°.d.). En outre, l'accès direct prévu par le projet de loi semble vouloir déroger à la loi susvisée qui ne prévoit qu'un accès indirect (article 8
(2)). Dans le silence du commentaire des articles sur les aspects qui précèdent, est-ce que le projet de loi entend vraiment déroger à cette loi en accordant également un accès aux officiers de police adminietrative ? Si tel est le cas ne faudrait-il pas le préciser et le justifier? Le paragraphe 8 du nouvel article 43 prévoit le contrôle et la surveillance du respect des conditions d'accès prévues par cet article et continue que le rapport à transmettre par la CNPD contient une partie spécifique ayant trait à sa mission de contrôle exercée au titre de cet article. Or, l'article 43 prévoit l'accès aux traitements de données tant pour ce qui est de la mission de police administrative que de celle de police judiciaire de la Police. On peut s'interroger sur la manière avec laquelle la CNPD pourra être en mesure d'apprécier le respect de la nécessité et proportionnalité de l'accès aux fichiers dans le cadre d'une enquête ou d'une instruction judiciaire couverte par le secret prévu à l'article 8
(1)du Code de procédure pénale. Ce contrôle ne relèverait-il pas plus spécialement de l'autorité de contrôle judiciaire ou plus directement du magistrat en charge de l'enquête ou de l'instruction ? Article 2 Le nouvel article 43-1 énonce tout d'abord que les règles générales s'appliquent à tous les fichiers traités par la Police, à moins qu'une disposition législative spécifique ne s 'applique. Le paragraphe 2 de cet article prescrit que les fichiers de la Police pourront contenir des données à caractère personnel pertinentes et essentielles relevant des catégories de l'article 9 de la loi modifiée du ler août 2018 relative à la protection des personnes 3 physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale si elles sont pertinentes et essentielles à l'identification d'une personne, pour comprendre le contexte de faits pouvant donner lieu à une infraction pénale ou une mesure de police administrative. La dernière phrase de ce paragraphe ajoute : «Les données de ce type ont toujours un rapport avec d'autres données relatives à la personne concernée». Il est noté que les traces génétiques d'auteurs inconnus relevées par la police technique sur les lieux de crimes ou de délits figurent par contre dans un fichier tenu sur base de la loi du 25 août 2t)06 et ne rentrent pas dans le cadre des inévisions de cet article. Le paragraphe 4 du nouvel article 43-1 prévoit que la durée de conservation de données est définie par le responsable du traitement et ne pourra en aucun cas être supérieure à celles qui s'appliquent au fichier central, sauf disposition légale prévoyant une durée plus longue. Le projet ne précise pas de quel délai prévu pour le fichier central il s'agit : celui de trente ans ou selon les différents cas de figure envisagés pour le fichier central ? La mise en pratique du principe du fonctionnement similaire nécessitera une certaine connexion automatisée avec tous les autres fichiers de la Police pour fonctionner sur le même modèle que le fichier central. Les parquets n'ont pas d'observations à formuler par rapport au paragraphe
- prévoyant la conservation des données de journalisation pendant cinq ans. Article
- L'article 43-2 vise à fixer les règles légales du fichier central de la Police, fichier regroupant toutes les données relatives à des personnes qui ont fait l'objet d'un procèsverbal ou d'un rapport. L'alinéa 3 du premier paragraphe prévoit que le fichier central ne comportera pas de données de personnes ayant commis des contraventions, si une loi spéciale permet d'arrêter les poursuites pénales par le paiement d'un avertissement taxé réglé dans le délai prévu par la loi. Le projet de loi ne vise pas le ficher des avertissements taxés prévu par règlement grandducal du 21 décembre 2004 portant autorisation de la création d'un fichier des personnes ayant subi un avertissement taxé en matière de sécurité routière. Aucun impact n'est partant à prévoir par exemple en termes d'identification de délits de grande vitesse qui présupposent soit un antécédent judiciaire spécifique, soit le paiement d'un avertissement taxé en la matière dans les 3 années précédant la constatation de la nouvelle infraction. Le paragraphe 2 vise au point 10 les finalités du traitement des données dans le fichier central et mentionne la vérification des antécédents d'une personne dans le cadre d'une mission de police judiciaire, de police administrative ou dans le cadre d'une autre mission légale de la Police. Ne faudrait-il pas définir phis précisément cette dernière catégorie dans le texte du projet de loi, les deux prennères catégories étant également des missions légales? 4 Le paragraphe 3 vise les catégories de personnes dont les données sont traitées dans le fichier aux fins de police administrative et toute autre mission dont la Police est investie par la loi. N'y aurait-il pas lieu également ici de préciser cette dernière catégorie? Le panagraphe 4 vise les catégories de personnes dont les données sont traitées dans le fichier central aux fins de police judiciaire. En ce qui concerne les personnes visées au point 10, si celles-ci concernent des mineurs, le projet prévoit que leur inclusion dans le fichier central nécessite l'accord du Procureur général d'Etat, sans préciser la raison pour laquelle les procureurs ne seraient pas habilités à également donner un tel accord. La loi (modifiée) du 10 août 1992 relative à la protection de la jeunesse, ainsi que l'article 24 du Code de procédure pénale pourraient justifier d'élargir le champ des personnes habilitées à donner cette autorisation aux procureurs d'Etat Le paragraphe 6 prévoit que le responsable du traitement pourra accorder un accès direct aux fonctionnaires de l'Administration de la douane et accises (ADA) ayant la qualité d'officier de police judiciaire et nommément désignés par leur directeur, sans cependant préciser si ces fonctionnaires devront respecter les mêmes modalités de droit d'accès et motifs de consultation que les fonctionnaires de police et ne pourront avoir accès qu'à certaines données, par exemple au seul volet judiciaire ou éventuellement administratif selon leurs fonctions. Des précisions complémentaires devraient donc être apportées au texte proposé. Le paragraphe 7 énumère les inforrnations et données à caractère personnel de personnes physiques pouvant être contenues dans le fichier central. Au vu de l'irnagination abondante de certains prévenus et la multiplicité dos hypothèses envisagées, il y aurait lieu certainement de recourir au pluriel dans les différentes catégories d'information. Au point
- de ce paragraphe figure le signalement descriptif, comprenant les signes corporels inaltérables permettant d'identifier la personne, y compris les photographies et les empreintes digitales. On peut s'interroger nu la portée des termes « signe corporel inaltérable» ? Cela inclut-il éventuellement des tatouages, même si ceux-ci ne sont pas absolument inaltérables? Parmi les personnes visées par ce paragraphe (7 alinéa 2) figurent également les victimes d'infractions pénales et les témoins. Dans des dossiers particulièrement sensibles, notamment dans le cadre d'infractions de nature sexuelle ou dans le cadre de la criminalité organisée, il n'est assurément pas judicieux que les données contenues au fichier contiennent des numéros de téléphone, et des adresses électroniques privées de victimes d'infractions graves ou des témoins de ces infractions. Pour ce qui est des personnes morales, le troisième alinéa du paragraphe
- mentionne au point 2° « des bénéficiaires économiques ». N'y aurait-il pas lieu de remplacer cette mention par celle de «bénéficiaires effectifs», ce dernier concept étant défini à 5 l'article 1
(7)de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme? Le paragraphe 8 édicte que les informations et les données à caractère persoimel et les informations visées aux paragraphes 3 et 4 seront transmises au fichier central si l'enquête est terminée ou si l'autorité judiciaire compétente a autorisé la transmission sur base de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière. La Police ne pourra guère décider elle-même de la fin de l'enquête, le ministère public, le juge d'instruction, la chambre du conseil, même le juge du fond pouvant demander un supplément d'enquête. Le moment du transfert des données vers le fichier central risque donc d'être fort incertain. Un transfert automatique précoce pourrait être néfaste au déroulement de dossiers sensibles. Le paragraphe 9 du nouvel article 43-2 prévoit que les données à caractère personnel contenues dans le fichier central trouvant leur origine dans les procès-verbaux et rapports seront transférées dans la partie passive du fichier dès que la Police est informée de la suppression de la condamnation coulée en force de chose jugée du casier judiciaire de toutes les personnes condamnées. L'alinéa 3 de ce paragraphe, vise la situation des données personnelles des victimes après qu'une condamnation est intervenue. Ne faudrait-il pas préciser que la condamnation devra «être coulée en force de chose jugée»? Le paragraphe 11 prévoit qu'a défaut de décision de condamnation définitive, le transfert dans la partie passive des informations et données personnelles découlant des procèsverbaux et rapports de la Police en cas d'archivage au sein du traitement de la chaîne pénale. 11 faudrait veiller à ce qu'un mécanisme d'alerte soit mis en place tant au sein de la Police qu'au sein des ministères publics et juridictions d'instruction aux fins de prévenir tout archivage accidentel et des conséquences juridiques en découlant. Le paragraphe 12 prévoit la mention clans le fichier central des décisions de condamnation, d'acquittement et de non-lieu ou de classement sans suites. Ces mentions seront reprises automatiquement de la chaîne pénale dans laquelle ces données devront être traités manuellement par les services des greffes. Les décisions judiciaires prononçant cies disjonctions ne devraient-elles pas également y figurer? Le paragraphe 13 accorde au procureur d'Etat le droit d'ordonner le transfert d'office ou sur demande de données à caractère personnel dans la partie passive du fichier. Le dernier alinéa de ce paragraphe prévoit un recours contre cette décision devant le Président du tribunal d'arrondissement compétent, mais omet d'indiquer la procédure à suivre. Une précision à ce sujet est indispensable. Le paragraphe 14 prévoit un délai de 20 ans avant que des données relatives à une demande d'entraide judiciaire internationale ne soit transférées dans la partie passive. Le délai de conservation des données paraît quelque peu excessif. 6 Le paragraphe 15 fixe un délai de conservation de 10 ans avant suppression pour les données relevant de la mission de police administrative, délai long pouvant être réduit par la police selon le type de rapport. C'est à juste titre que les informations par rapport à la fugue de mineurs sont effacées du fichier central à leur majorité. Le paragraphe 16 prévoit que les données à caractère personnel peuvent être retransmises dans la partie active du fichier en cas de reprise de l'enquête pour infractions non encore prescrites, en cas d'enquêtes dans le cas de dénonciation de faits par des autorités judiciaires étrangères et en cas de demandes d'entraide judiciaire. L'alinéa deux ajoute qu'en cas de retransmission dans la partie active de la chaîne pénale, il y a automatiquement retransmission dans la partie active du fichier central. On peut cependant s'interroger s'il est toujours indispensable d'opérer cette retransmission dans la partie active du fichier central, notamment lorsque les juridictions sont confrontées à des recours manifestement dilatoires et tardifs. Le paragraphe 17 prévoit pour ce qui est de la durée maximum de conservation des données personnelles au fichier central prévoit que les données seront supprimées au plus tard trente ans après leur transfert dans la partie passive du fichier central de la Police. Les parquets se permettent cependant de signaler que le Code pénal prévoit des infractions imprescriptibles aux articles 136bis à 136quinquies qui de fait risqueront de ne plus pouvoir être poursuivies suite à la suppression des données personnelles, alors que l'alinéa 4 de ce paragraphe ne prévoit la possibilité pour les autorités judiciaires compétentes de prolonger cette durée qu'en cas de demande de révision en cours. Le paragraphe 18 prescrit qu'au plus tard au moment du transfert dans la partie passive cha fichier central, les informations et données personnelles relevant de la mission de police judiciaire se trouvant dans d'autres fichiers devront être supprimées, à moins qu'une disposition légale spécifique prévoie une durée de conservation différente. Un système de transmission d'information fiable et performant entre le fichier central et les autres fichiers devra donc être également mis en place à ce sujet. Le paragraphe 19 prévoit qu'un accès aux informations dans la partie passive du fichier pour les finalités prévues ne peut être accordé que par le Procureur général d'Etat ou par un membre du Parquet général désigné à cet effet ou pour les besoins d'une instruction en cours relative à un crime ou délit par le juge d'instruction. Or, ces informations pourraient être primordiales dans le cadre du flagrant crime ou délit la nuit, le weekend, dans le cadre d'une prise d'otage, d'un hold-up ou d'une attaque terroriste de la compétence du Procureur d'Etat. Ne faudrait-il pas prévoir également que dans ces cas d'urgence le Procureur d'Etat territorialement compétent puisse accorder l'accès à ces données ? 7 Article 4. Cet article a vocation à insérer dans la loi modifiée du 18 juillet 2018 un nouvel article 43.-3. qui stipule que la Police grand-ducale a la qualité de responsable du traitement des traitements de données à caractère personnelle effectués par la Police grand-ducale. Ne serait-il cependant pas approprié de désigner une fonction précise liée à une personne physique comme responsable du traitement ? Article 5. Les parquets n'ont pas de remarques à formuler, la banque de donnée visée étant voué à disparaître. Article 6. Cet article vise, d'une part, à ajouter les termes de «et de système de traitement ou de transmission de données» à la section VII. du chapitre 11. - Des Fraudes du Code pénal, et, d'autre part, à ajouter les termes «ou non-automatisé » à l'article 509-1 du Code pénal, ainsi qu'un nouvel alinéa 2 à cet article incriminant le maintien clans un système de données pour des finalités autres que celles pour lesquelles l'autorisation d'accès a été accordée. L'ajout de cet alinéa reflétant la jurisprudence en la matière citée dans le commentaire des articles, les parquets n'ont pas d'observations à formuler à ce sujet. Article 7. Cet article fixe la mise en conformité des fichiers autres que le fichier central au plus tard au 6 mai 2023 et la mise en conformité du fichier central au plus tard au 6 mai 2026. Ces délais peuvent certes paraître longs, mais sont justifiés au vu de la complexité des travaux de mise en œuvre à réaliser. Luxembourg, le 22.02.2021 Diekirch, le 22.02,2021 pour le Procureur d'Etat Jean-Jacques DOLAR Procureur d'Etat adjoint pour le Procureur d'Etat Jean-François+ULOT Procureur 44to adjoint / 8