Grand-Duché de Luxembourg PARQUET GENERAL CITE JUDICIAIRE Avis relatif au projet de loi portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 3° du Code pénal Observation préliminaires Le projet de loi sous avis a pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale (ci-après désignée « la Police »), et plus précisément dans le fichier central. L'encadrement légal spécifique des fichiers de la Police grandducale a émergé suite à des préoccupations citoyennes au cours de l'été
- Les auteurs du projet de loi ont choisi de formuler des dispositions légales encadrant de façon générale les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale en mettant l'accent sur les accès des membres de la Police aux différents fichiers ainsi que sur les délais de conservation des données. Le projet de loi se focalise encore sur le fichier central en précisant les finalités de celui-ci, ainsi que les catégories de personnes et les types de données qui y figurent. Même si l'encadrement légal de chaque fichier de la Police aurait eu pour avantage de créer une règlementation accessible et prévisible détaillant avec précision les finalités, le(s) responsables du traitement, les catégories de données contenues ainsi que les modalités d'accès et les durées de conservation, l'approche choisie se comprend au vu du nombre de fichiers concernés et aussi dans un souci d'éviter de devoir modifier la loi en cas de mise en place d'un nouveau fichier. Néanmoins, en l'absence de définition des fichiers de police dans le présent projet de loi, il s'avère qu'il est difficile de savoir à quoi il est fait référence, lorsque les auteurs mentionnent les « fichiers de la Police grand-ducale ». L'absence de définition du terme « fichiers de la Police grand-ducale » peut certes, le cas échant, s'expliquer par une référence à la Loi du 1er août 20181relative à la protection des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. Néanmoins, au vu de cette définition, des documents ou projets de documents sauvegardés sur les postes de travail de l'un ou de l'autre policier seraient également visés. Est-ce la volonté des auteurs du projet de loi ? Article 2 paragraphe 1 point 6). La modification de l'article 509-1 du code pénal en vue de tenir compte d'éventuels détournements de finalité des droits d'accès dont une personne dispose dans le cadre de ses activités offre une garantie supplémentaire et décourage les transgressions à la loi. Le projet de loi revêt une grande importance pour les membres de la Police grand-ducale et de l'Administration des douanes et accises exerçant des fonctions de nature policière agissant « sur le terrain » et dans le cadre de l'enquête préliminaire en mettant à leur disposition un outil de travail complet et efficace. Il est tout aussi important au niveau de l'instruction judiciaire. Les juges d'instruction donnent en effet commission rogatoire à la Police grand-ducale en vue de l'exécution d'un grand nombre d'actes ordonnés au cours de l'instruction. Le projet de loi sous rubrique donne aux membres de la Police grand-ducale les moyens d'exécuter leurs missions de manière rapide, exacte et exhaustive, l'accès aux différents fichiers leur permettant de rassembler les éléments nécessaires en vue de la rédaction de procès-verbaux et rapports complets et précis dans le cadre de la manifestation de la vérité. En centralisant les fichiers de la Police grand-ducale, en posant un cadre strict dans lequel les données personnelles contenues dans lesdits fichiers peuvent être consultées, en réglementant la durée de conservation dans les parties active et passive desdits fichiers et en pénalisant tout accès non autorisé, le législateur augmente la protection des données à caractère personnel qui y sont traitées tout en renforçant l'efficacité du travail de la Police grand-ducale et des autres acteurs pouvant y avoir accès. Claudine DE LA HAMETTE Juge d'Instruction Directeur I. L'examen des articles du projet de loi L'article ler L'article ler du projet de loi a pour objet de proposer la réécriture de l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale qui réglemente l'accès direct de la Police à des fichiers d'autres administrations. À titre liminaire, il peut être noté que cet article ler du projet de loi prévoit l'accès direct des membres de la Police grand-ducale à différents fichiers qui ne sont pas des fichiers de police per se mais dont l'accès leur est utile dans le cadre de leurs missions. Or, dans l'exposé des motifs, les auteurs du projet de loi expliquent que « le projet de loi sous rubrique a pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale, et plus précisément dans le fichier central »
- Ainsi compris, l'article ler dépasserait le champ d'application du projet de loi. En outre, si l'on peut comprendre l'utilité d'un tel article regroupant les différents accès dont peuvent bénéficier les membres de la Police, il faut éviter de modifier par ce biais les accès légaux dont peuvent bénéficier ces membres, où alors, si c'est le choix politique, modifier expressément les dispositions d'ordre législatif les prévoyant. À titre exemplatif, les points 3° et 4° du nouvel article 43 permettent à certaines conditions aux membres civils ainsi qu'aux agents de police agissant même en matière de police administrative, d'accéder au registre des bénéficiaires effectifs, respectivement au système électronique central de recherche de données concernant des comptes de paiements et des comptes bancaires identifiés par un numéro IBAN et des coffres forts tenus par les établissements de crédit au Luxembourg. Or, la Loi du 13 janvier 2019 telle que modifiée par la Loi du 25 mars 2020, instituant un Registre des bénéficiaires effectifs permet d'une part, un accès public à certaines informations de sorte que l'on voit mal pourquoi l'accès de certains membres de la police à ces informations devrait être soumis à une procédure particulière et limite l'accès à d'autres informations à l'égard d'autorités nationales définies comme comprenant, pour ce qui est de la Police, les seuls agents et officiers de police judiciaire affectés au Service de police judiciaire ainsi que les autres officiers de police judiciaire agrées par le directeur général de la Police. De même la Loi du 25 mars 2020 instituant un système électronique central de recherche de données concernant des comptes de paiements et des comptes bancaires identifiés par un numéro IBAN et des coffres forts tenus par les établissements de crédit au Luxembourg, limite l'accès aux agents et officiers de police judiciaire affectés au Service de police judiciaire ainsi qu'aux autres officiers de police judiciaire agrées par le directeur général de la Police. Enfin, le paragraphe 8 du même article confère à la CNPD le contrôle et la surveillance du respect et des conditions d'accès par les membres de la Police aux fichiers des autres administrations. Le parquet général note la compétence générale de la CNPD au regard du respect au droit à la protection des données à caractère personnel et que celle-ci est compétente dans le contrôle des accès par la Police 2 Projet de loi, exposé des mo ifs, p.
- 2 auxdits fichiers. Néanmoins, dans la mesure où ce contrôle doit inclure le respect non seulement de la légalité de cet accès, mais également de sa nécessité et surtout de sa proportionnalité, il est permis de se demander comment ce contrôle peut-être réellement réalisé dans le domaine de la police judiciaire, surtout s'il s'agit de dossiers couverts par le secret de l'instruction. Ne serait-il, par conséquent, dans le cadre d'une enquête pénale, pas plus utile de réserver l'appréciation de la proportionnalité (et de la nécessité) des accès, au magistrat chargé de l'enquête, respectivement aux juridictions ? L'article 2 L'article 2 a pour objet d'insérer un nouvel article 43-1 à la suite de l'article 43 à la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Ledit article prévoit des règles générales applicables à l'ensemble des fichiers de la Police ainsi qu'aux traitements des données à caractère personnel effectués par celle-ci. Abstraction faite de la question de l'absence de définition des fichiers policiers, il s'impose de revenir à la présence de données sensibles au sein desdits fichiers. Au vœu de l'article 9 de la loi du 1er août 2018, le traitement portant sur des catégories particulières de données à caractère personnel doit bénéficier de garanties appropriées et être spécifiquement encadré. Si à l'article 43-1 paragraphe
(2)les auteurs du projet de loi motivent et expliquent la présence de données pouvant révéler l'origine raciale, ethnique ou encore le traitement de données génétiques et biométriques au sein des fichiers de la Police, cette disposition ainsi que les paragraphes suivants n'apparaissent cependant pas réserver un traitement spécifique et accorder des garanties particulières à ces données pourtant considérées comme sensibles. De surcroît, il apparaît que la dernière phrase du paragraphe
(2)suscite des interrogations en ce que ledit paragraphe dispose que : « les données de ce type ont toujours un rapport avec d'autres données relatives à la personne concernée ». Ce bout de phrase semble confirmer l'interprétation qu'une donnée sensible, incluant les données génétiques, sont des données personnelles même tant qu'elles ne sont pas reliées à une personne déterminée. Interdire cependant la tenue de fichiers contenant des données génétiques s'ils n'ont pas de rapport avec d'autres données relatives à la personne concernée, risque de rendre impossible la tenue du fichier ADN tel que prévu par la Loi du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et plus particulièrement, la partie du traitement ADN criminalistique qui n'a pas encore pu être attribué à une personne déterrninée (les traces). Est-ce vraiment ce qui a été voulu ? Dans la négative n'y aurait-il pas lieu de supprimer la dernière phrase, sinon de prévoir une exception expresse pour ce fichier ? Le paragraphe
(4)du même article proposé prévoit des délais de conservations des informations et des données dans les fichiers de la Police qui seront probablement très difficiles à mettre en œuvre. En effet, il dispose que les durées de conservations dès données contenues dans les fichiers de la Police sont celles applicables au fichier central. À cet égard, il importe de souligner que le texte proposé pour le fichier central prévoit que celui-ci est composé d'une partie active et d'une partie passive. La durée de maintien des données à caractère personnel dans la partie active, leur passage à la partie passive du fichier central ainsi que leur suppression définitive est propre à l'issue des dossiers auxquels les données sont rattachées. Si un tel système peut être mis en place pour le fichier central (qui est 3 comme son nom l'indique un seul fichier), il est très difficile d'imaginer son fonctionnement pour tous les autres fichiers, non autrement définis, de la Police dont l'architecture risque d'être très variable. L'article 3 L'article 3 du projet de loi a pour objet d'insérer un nouvel article 43-2 à la suite de l'article 43-1 à la Loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Ledit article confère un encadrement légal spécifique au fichier central de la Police. Le paragraphe
(6)alinéa le' concerne l'accès direct au fichier central aux fonctionnaires de l'Administration des douanes et accises (ci-après désignée « l'ADA »). Ledit paragraphe prévoit que, seuls les fonctionnaires ayant la qualité d'officier de police judiciaire et nommément désignés par le directeur de l'ADA, peuvent avoir un accès direct au fichier central. Néanmoins, les finalités dudit accès ne sont pas précisées et ce contrairement à l'accès direct au fichier central accordé à certains membres de l'Inspection générale de la Police tel que prévu au paragraphe 6 alinéa 2 du même article. Le paragraphe
(7)quant à lui, reprend les informations et les données à caractère personnel relative à une personne physique pouvant être contenues dans le fichier central. Si par principe l'existence de cette liste est à saluer, il faut néanmoins tenir compte du fait que l'emploi du singulier risque de poser problème dans bon nombre de cas pratiques. Ainsi, si le projet prévoit l'inclusion des alias et surnoms, il ne prévoit pas la même chose pour les dates et lieux de naissance alternatifs, la pluralité de numéros de cartes d'identité et ou de passeport, ou encore une pluralité de numéros de téléphones et adresses électroniques. Une mise au pluriel de ces termes pourrait éviter ces problèmes pratiques. Le même paragraphe
(7)au point 100 inclut « le signalement descriptif comprenant les signes corporels inaltérables permettant d'identifier la personne, y compris les photographies et, le cas échéant, les empreintes digitales ». Le parquet général s'interroge quant à la pertinence du terme « inaltérable ». En effet, l'emploi dudit terme a pour conséquence de ne pas inclure les signes corporels tels que les tatouages qui sont potentiellement altérables (bien que difficilement) et qui peuvent être des signes importants pour l'identification une personne. Ici encore, la suppression du terme « inaltérable » ou une définition de ce que l'on entend par signes corporels pourraient éviter le problème. Du point de vue de la protection des données personnelles, il est à relever que, pour ce qui est du fichier central, il n'est pas fait référence au présent paragraphe, au fait que le fichier central contient des données considérées comme sensibles ni encore des garanties spécifiques à l'égard du traitement de ces données. Une mise en conformité est donc requise à cet égard, afin de respecter pleinement l'article 9 de la Loi du le' août 2018. Les paragraphes
(9)et suivants du nouvel article 43-2 prévoient des règles de transfert des données à caractère personnel entre la partie active du fichier central et la partie passive de ce dernier, ainsi que des règles de limitation des possibilités de recherche. Si cette règlementation, qui a fait l'objet de discussions auquel le parquet général a été associé, n'appelle pas de commentaires de principe, il y a néanmoins lieu de signaler une difficulté textuelle résultant de la formulation du troisième alinéa. En effet, cet alinéa prévoit que les victimes et témoins ne peuvent plus être recherchés dans la partie 4 active par le biais de leurs données à caractère personnel sauf dans l'hypothèse d'une disjonction des poursuites où la recherche de personnes suspectées d'avoir participé à l'infraction continue. Or, il peut y avoir des hypothèses de disjonction des poursuites où ce n'est pas la recherche des personnes suspectées qui continue mais l'enquête ou la poursuite à leur égard. Dans une telle hypothèse, il est important de maintenir la possibilité de recherche des témoins et victimes. Une solution pourrait être de supprimer le bout de phrase « où la recherche de personnes suspectées d'avoir participé à l'infraction continue ». L'alinéa 3 du paragraphe
(10)le prévoit d'ailleurs pour la continuation de l'enquête — et est sur ce point contradictoire au paragraphe
(9)alinéa 3 mais pas non plus pour la continuation de la poursuite. Le paragraphe
(13)alinéa l er du nouvel article 43-2 prévoit qu'il revient au procureur d'Etat d'ordonner le transfert de données à caractère personnel d'une personne concernée de la partie active vers la partie passive du fichier central et lui donne également la faculté d'ordonner que la personne concernée ne puisse plus être recherchée par le biais des données à caractère personnel. Si le parquet général considère qu'un tel pouvoir du procureur d'Etat s'inscrit dans le cadre du respect du principe de qualité et de mise à jour des données à caractère personnel contenues dans le fichier central conformément à l'article 6 paragraphe
(2)de la Loi du 1er août 2018, ni le texte proposé ni le commentaire des articles ne précisent de quel procureur d'Etat il s'agit. S'agit-il du procureur d'Etat territorialement compétent eu égard de la résidence de la personne ou du procureur d'Etat saisie de l'affaire ? S'il s'agit du premier, sur base de quels critères décidera-t-il ? Le même paragraphe
(13)en son alinéa 3 dispose que « les décisions du procureur d'Etat sont susceptibles de recours devant le Président du tribunal d'arrondissement compétent en la matière ». Or, ni le texte proposé ni le commentaire des articles ne précisent le mode de saisine du Président du tribunal d'arrondissement ou encore la procédure applicable y compris en ce qui concerne une éventuelle voie de recours. Le paragraphe
(18)du nouvel article 43-2 prévoit qu'au moment où les données à caractère personnel traitées dans le cadre d'une mission de police judiciaire et conservées dans la partie active du fichier central passent dans la partie passive de ce dernier, celles-ci doivent être supprimées dans les autres fichiers de la Police. Cette disposition apparaît être en contradiction avec le paragraphe
(16)du nouvel article 43-2 qui dispose quant à elle que « les informations et données à caractère personnel contenues dans la partie passive du fichier central et celle des autres fichiers de la Police peuvent être retransmises dans la partie active ». Or, si les données sont supprimées conformément à ce qui est prévu au paragraphe
(18)du même article, il sera impossible de les transférer à nouveau dans quelconque partie active ! Le paragraphe
(19)du nouvel article 43-2 prévoit un accès limité aux informations et aux données à caractère personnel contenues dans la partie passive du fichier central et des fichiers dits « particuliers ». Il peut donc encore être déduit de cette disposition que les fichiers particuliers sont eux aussi composés d'une partie active et d'une partie passive. Enfin, le paragraphe
(19)alinéa 2 prévoit que dans le cadre de la consultation de la partie passive du fichier central à des fins de « prise de connaissance des informations dans le cadre d'une enquête en 5 cours relative à un crime ou un délit »3, ladite consultation doit s'effectuer sur une demande du procureur général d'Etat (ou des membres de son parquet désignés à cet effet) ou du juge d'instruction en charge de l'instruction préparatoire. Ne serait-il pas opportun de donner le même pouvoir aux magistrats des Parquets saisi de l'enquête pour crime ou délit, à tout le moins dans les cas de flagrant délit ? Le réel besoin peut exister dans des cas de criminalité lourde (tel une prise d'otage en cours) où pour des raisons de tactique, la saisine du juge d'instruction peut s'avérer inopportune et où de surcroit, il est primordial d'agir avec une certaine rapidité. L'article 6 L'article 6 du projet de loi vise à modifier le Code pénal à deux égards. 11 s'agit tout d'abord d'élargir le champ d'application des articles 509-1 et suivants de Code pénal, aux traitements de systèmes nonautomatisés et ensuite, d'incriminer toute personne qui effectue un traitement de données à caractère personnel pour des finalités autres que celles pour lesquelles l'autorisation d'accès a été accordée. Le texte proposé, dans une large mesure, consacre la jurisprudence actuelle et n'appelle dès lors pas de commentaire particulier. Le parquet général approuve également l'approche choisie d'intégrer cette modification au Code pénal s'appliquant à tous les justiciables plutôt que de créer une incrimination spécifique à la Police. Néanmoins en ce qui la formulation de l'alinéa 2 de l'article 509-1 tel que proposé, le bout de phrase « Y inclus le fait de porter à la connaissance d'un tiers non autorisé les données à caractère personnel ainsi obtenues » est susceptible de poser des problèmes d'interprétation. Si la transmission à des tiers non autorisés n'est visée que dans l'hypothèse d'un traitement à d'autres fins que les fins autorisés, le bout de phrase n'apporte pas de plus-value et peut être omis d'autant plus qu'il ne s'agit pas, au vu de l'indifférence par rapport à la peine prévue, d'une circonstance aggravante. Si par contre, la volonté est d'incriminer la transmission de données personnelles à des tiers non autorisés, abstraction faite de la question de savoir si l'accès au système à été fait pour des finalités pour lesquels l'accès a été accordé, il faudrait préciser le texte pénal. L'article 7 L'article 7 du projet de loi prévoit des dispositions transitoires. 11 s'agit de choix politiques qui ne donnent pas lieu à des commentaires particuliers. Il faudra cependant s'assurer que les travaux de mise en conformité puissent réellement être effectuées dans les délais indiqués. Luxembourg, le 1.8 février 2021 Pour le procureur Eetat Marc Dr. Cléme tine MANGE a-prot Coordinatri nnées 3 Projet de loi, article 43-2 paragraphe 19 point 1*. 6