Règlement grand-ducal du 10 août 2018 portant fixation des conditions

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7741 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ; 3° du Code pénal. Délibération n°12/AV10/2021 du 16 mars 2021 Introduction

Conformément à l'article 8 de loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ci-après la « loi du l er août 2018 portant organisation de la CNPD »), transposant l'article 46, paragraphe 1er, lettre (e) de la directive (UE) n° 2016/680 du 27 avril 2016 relative à la protection des personnes physique à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée la « Directive »), dans le cadre de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale(ci-après la « la loi du l er août 2018 relative aux traitements de données en matière pénale », la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ».
Par courrier en date du 18 décembre 2020, Monsieur le Ministre de la Sécurité intérieure a invité la Commission nationale à aviser le projet de loi n° 7741 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ; et 3° du Code pénal. En date du 30 décembre 2020, le projet de loi a été déposé à la Chambre des Députés. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
1/45
En 2019, la CNPD a été sollicitée par Monsieur le Ministre de la Sécurité intérieure pour rendre un avis au sujet du fichier central de la Police grand-ducale au regard de la législation en matière de protection des données
Selon l'exposé des motifs, le projet de loi « a pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale, et plus précisément dans le fichier central. Il vise à adresser les critiques en matière de protection des données qui ont été soulevées par rapport aux fichiers de la Police, et plus particulièrement par rapport au fichier central en été 2019 ».
L'accès à des fichiers d'autres administrations
La CNPD note avec intérêt que le projet de loi comporte une mise à jour de la disposition existante concernant l'accès à des traitements de données à caractère personnel mis en œuvre par d'autres administrations étatiques.
L'article 1er du projet de loi propose de remplacer l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale par l'article 43 nouveau reprenant une grande partie de la disposition existante, tout en la mettant à jour sur certains points. L'article 43 nouveau règle l'accès direct, par un système informatique, par des membres de la Police grandducale à un certain nombre de bases de données étatiques. Comparé à l'article 43 en vigueur, les auteurs du projet de loi proposent d'étendre l'accès direct aux traitements de données suivants : - - le registre foncier ; le registre des bénéficiaires effectifs ; le registre public des bâtiments de plaisance battant pavillon luxembourgeois ; le système électronique central de recherche de données concernant des comptes de paiement et des comptes bancaires identifiés par un numéro IBAN et des coffres-forts tenus par des établissements de crédit au Luxembourg ; et le registre des fiducies et des trusts. 1 Avis de la Commission nationale pour la protection des données relatif au fichier central de la Police grand-ducale au regard de la législation sur la protection des données, Délibération n° 45/2019 du 13 septembre
[ CNPF) Avis de la Commission nationale pour la protection des données relatif au projet de loi
2/45
La CNPD soulève que l'exposé des motifs et le commentaire des articles restent muets sur la nécessité et la proportionnalité de « l'accès direct, par un système informatique », à ces traitements de données. La CNPD note également que, en termes de protection des données, il y a une différence notable entre un « accès direct, par un système informatique » et la notion de « recevoir sans délai », via un accès différé. Les deux transmissions de données d'un responsable de traitement à un autre peut se faire par voie d'un système informatique. Ce système peut fonctionner par un accès direct, sans intervention du responsable du traitement, ou « sur demande », avec l'intervention du responsable du traitement de données auquel le système informatique permet d'accéder. Or, lors de la mise en place d'un accès direct, le responsable de traitement gérant le registre en question n'intervient a priori plus sur les accès effectués par la Police grandducale et, par conséquent, il perd en quelque sorte la « maîtrise » sur les données pour lesquelles il est responsable. En particulier pour les traitements nouvellement intégrés dans la liste pour lesquelles la législation correspondante ne prévoit pas explicitement un tel accès, l'absence de justification dans l'exposé des motifs ou dans le commentaire des articles rend impossible d'apprécier si cet accès est nécessaire et proportionnel et si cet accès doit être « direct, par un système informatique ». La Commission nationale ne peut donc pas évaluer si ces accès sont nécessaires dans une société démocratique, sous réserve du principe de proportionnalité et de nécessité.
La CNPD regrette que le projet de règlement grand-ducal visé à l'article 43, paragraphe 5, tel que prévu par l'article 1er du projet de loi n'a pas été communiqué en même temps que le projet de loi alors que cet acte réglementaire est déjà prévu, dans des termes identiques, dans l'article 43, alinéa 3, existant. À cet égard, la CNPD rappelle que, dans son avis relatif au projet de loi n° 7045 portant réforme de la Police grand-duca1e2 ayant abouti à ladite loi modifiée du 18 juillet 2018, elle avait déjà estimé qu'il « aurait été judicieux de joindre en même temps un projet de règlement grand-ducal » et qu'en l'absence d'un tel texte, la CNPD « n'est pas en mesure d'apprécier la nécessité et la proportionnalité des données accédées ».
Les bases de données visées à l'article 43 sont créées et maintenues par d'autres administrations en application de législations et de réglementations spécifiques. Ces 2 Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7044 portant réforme de l'Inspection générale de la Police, du projet de règlement grand-ducal relatif au fonctionnement de l'Inspection générale de la Police et au projet de loi n° 7045 portant réforme de la Police grand-ducale, Délibération n° 264/2017 du 24 mars
Avis de la Commission nationale pour la protection des données relatif au projet de loi
3/45 dispositions législatives et réglementaires continuent d'encadrer les traitements de données à caractère personnel et peuvent prévoir des conditions spécifiques concernant l'accès par les membres de la Police grand-ducale.
Ainsi, il semble évident que la présente disposition n'altère en rien les dispositions existantes régissant ces traitements de données, mais confère le droit aux personnes autorisées à y accéder dans la limite des conditions d'accès spécifiques prévues dans les dispositions mettant en place lesdits traitements, en particulier lorsque lesdites dispositions encadrent explicitement l'accès. La disposition sous examen vise à ce que la Police grand-ducale puisse disposer d'un accès direct, par un système informatique, à ces traitements de données dans la limite des finalités et des modalités des traitements effectués par la Police grand-ducale.
À titre d'exemple, l'accès direct au « système électronique central de recherche de données concernant des comptes de paiement et des comptes bancaires identifiés par un numéro IBAN et des coffres-forts tenus par des établissements de crédit au Luxembourg » prévu à l'article 43, paragraphe 2), chiffre 6°, doit être lu ensemble avec les dispositions de la loi du 25 mars 2020 instituant un système électronique central de recherche de données concernant des comptes IBAN et des coffres-forts. Cette loi prévoit, en vertu de l'article 1er lu ensemble avec l'article 8 de ladite loi que : « les agents de police judiciaire et officiers de police judiciaire affectés au Service de police judiciaire, ainsi que les officiers de police judiciaire visés à l'article 10 du Code de procédure pénale et agréés par le directeur général de la Police grandducale [...I peuvent, dans la mesure où cela est nécessaire dans l'accomplissement des obligations qui leur incombent en matière de lutte contre le blanchiment et contre le financement du terrorisme, demander à la CSSF, selon la procédure arrêtée par la CSSF et selon les conditions du paragraphe 3, de recevoir sans délai les données visées à l'article 2, paragraphe l er ».
Dès lors, l'article 43, paragraphe 2, point 6°, permet aux agents autorisés de la Police grand-ducale de « demander à la CSSF [...] de recevoir sans délai les données visées [. ».
En ce qui concerne l'accès au « registre des fiducies et des trusts » visé à l'article 43, paragraphe 2, chiffre 7°, l'article 25 de la loi du 10 juillet 2020 instituant un Registre des fiducies et des trusts, lu ensemble avec l'article 1er de cette loi prévoit, au paragraphe 1er, que « les officiers de police judiciaire visés à l'article 10 du Code de procédure pénale et [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
4/45 agréés par le directeur général de la Police grand-ducale [..] ont accès aux informations visées à l'article 14 inscrites dans le Registre des fiducies et des trusts » et précise au paragraphe 2 que « Les modalités de mise en œuvre concernant l'octroi des accès [...] sont fixées par règlement grand-ducal ». Or, ce règlement grand-ducal n'existe pas en l'état actuel. Quoiqu'il en soit, la loi précitée ne prévoit pas un accès direct et la CNPD s'interroge si les modalités à définir dans le règlement grand-ducal visé puissent effectivement prévoir un tel accès direct sans aller au-delà de l'article 25 de la loi précitée.
Concernant l'accès aux registres fonciers, le Règlement grand-ducal du 10 août 2018 portant fixation des conditions et modalités de consultation et de délivrance de la documentation cadastrale, topographique, cartographique et géodésique gérée par l'administration du cadastre et de la topographie ; et portant fixation du tarif des taxes à percevoir au profit de l'État pour les travaux de bureau et de terrain exécutés par l'Administration du cadastre et de la topographie prévoit en son article 9 que l'Administration du cadastre et de la topographie (ACT) « accorde des droits d'accès relatifs à la consultation en ligne sous forme de requêtes préétablies d'une partie ou de l'entièreté des registres fonciers [. .1 aux [...] administrations et services de l'État ». Il en ressort un accès indirect, accordé par l'ACT, qui n'est pas équivalent à un accès direct tel que visé dans la disposition sous examen.
Concernant l'accès au registre public des bâtiments de plaisance battant pavillon luxembourgeois créé par la loi du 23 septembre 1997 portant réglementation de la navigation de plaisance et portant modification de certaines autres dispositions légales, ladite loi ne prévoit pas explicitement de possibilité d'accès direct, mais semble ouvrir la voie à des demandes de consultation de la part des administrations de l'État.
Dès lors, la CNPD recommande de préciser la formulation de l'article 43, en ajoutant que l'accès s'effectue « selon les modalités définies dans les dispositions régissant les traitements de données » visées dans ladite disposition. À défaut, la disposition sous considération risque de modifier indirectement les lois précitées alors même qu'un accès direct par d'autres autorités ayant accès aux traitements de données visés n'a pas été voulue initialement par le législateur.
Les auteurs expliquent, dans le commentaire des articles, que de leur avis, « le RGPD n'oblige plus de disposer d'une base légale ou réglementaire spécifique pour l'accès aux données ou pour le transfert de ces données vers une autre administration ». Cependant, même si ces considérations sortent du cadre strict du présent projet de loi, la CNPD souligne qu'un tel accès direct doit, du point de vue de l'administration en question, être [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
5/45 en principe prévu par une disposition légale eu égard notamment à l'article 6, paragraphes 3 et 4, et des considérants, 41, 45 et 50 du RGPD
En l'absence d'une telle disposition légale, la CNPD est d'avis que les administrations publiques ne peuvent pas accorder un accès direct à un traitement de données à la Police grand-ducale. Un tel accès est à distinguer d'une transmission au cas par cas sur la base des règles procédurales en place, en particulier en vertu de dispositions du code de procédure pénale.
Ainsi, il convient de distinguer l'accès direct de la Police grand-ducale aux données détenues par d'autres administrations d'un accès indirect ou d'une transmission manuelle de données par une administration à la Police grand-ducale dans l'exécution des missions de police judiciaire ou de police administrative ou des missions découlant d'une loi spéciale. À cet égard, la CNPD ne peut pas souscrire à l'analyse proposée de l'article 6, paragraphe 1er, lettre e), du RGPD par les auteurs dans le commentaire des articles. 1.
Les finalités
L'article 43, paragraphe 1, nouveau prévoit que : « Dans l'exercice de leurs missions de police judiciaire et de police administrative ou à des fins administratives, les membres de la Police ayant la qualité d'officier ou d'agent de police judiciaire ou d'officier ou d'agent de police administrative ont accès direct, par un système informatique, aux traitements de données à caractère personnel suivants : [...] »
L'article 43, paragraphe 2, nouveau prévoit également que l'accès direct peut se faire « dans l'exercice de leurs missions de police judiciaire et de police administrative ou à des fins administratives ». Il n'y a pas, à cet égard, de différence entre le paragraphe 1er et 2 de la disposition sous examen, si ce n'est que concernant la liste des personnes pouvant avoir accès qui fera l'objet de développements plus loin. 3 Pour les critères qu'une telle disposition légale doit remplir, voir notamment BESCH, Marc, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larcier, 2019, p.470, n°619 : « Or, tel que le relève le Conseil d'Etat, dans le respect de l'afficle 11, paragraphe 3, de la Constitution, qui érige en matière réservée à la loi les exceptions à la garantie par l'État de la protection de la vie privée, les conditions dans lesquelles les données peuvent être traitées à une finalité autre que celle pour laquelle elles ont été collectées doivent faire l'objet d'une loi, du moins quant aux éléments essentiels de la matière. ». CNPIDI J Avis de la Commission nationale pour la protection des données relatif au projet de loi
6/45
Or, la Commission nationale note avec regret que, outre l'accès déjà existant « dans l'exercice de leurs missions de police judiciaire et de police administrative »4, les auteurs proposent que les membres de la Police grand-ducale peuvent accéder aux mêmes bases de données « à des fins administratives », c'est-à-dire une finalité additionnelle aux accès au motif de police administrative, et non autrement définie.
Dans l'exposé des motifs, les auteurs du projet de loi expliquent que « eadaptation envisagée a pour but d'adapter la liste des fichiers déjà accessibles à la Police et de mieux encadrer leur accès par la Police ». Or, la proposition actuelle vise à étendre les accès plutôt que de les encadrer. Dans le commentaire des articles, les auteurs expliquent cette extension d'accès direct à des « fins administratives » par le fait que : « Toutefois, la Police est également en charge de missions légales qui ne rentrent ni dans l'une, ni dans l'autre catégorie. C'est par exemple le cas en matière des objets trouvés ou de la police des étrangers. Par ailleurs, certains membres de la Police ont besoin d'un accès à certaines banques de données à des fins purement administratives, par exemple, dans le cadre des ressources humaines ».
La CNPD note d'abord que l'accès pour des « fins administratives » semble plus large que « l'exécution de missions à des fins autres que celles visées au paragraphe l er et prévues par des lois spéciales », visée à l'article 1er, paragraphe 2, lettre a), de la loi du 1er août 2018 relative aux traitements de données en matière pénale et vise également des traitements qui ne tombent pas sous le champ d'application de la loi précitée du i er août 2018, mais qui relève du champ d'application du RGPD. En particulier, la CNPD n'est pas convaincue que des traitements de données « dans le cadre des ressources humaines », ne relevant manifestement pas des missions visées par des lois spéciales, puissent justifier un accès direct à toutes les banques de données visées par la disposition sous examen. Dès lors, la CNPD propose de supprimer la mention de l'accès direct à des « fins administratives » aux traitements de données effectuées par d'autres administrations à chaque occurrence dans l'article 43, paragraphes 1er à 4 nouveau. 4 Dans son avis précité relatif au projet de loi n° 7045, la CNPD s'est déjà demandé « s'il est justifié que les bases de données auxquelles la Police grand-ducale a accès dans le cadre des missions de police administrative soient identiques à celles auxquelles elle a accès dans le cadre des missions de police judiciaire ». [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
7/45
Si le législateur venait à suivre le raisonnement des auteurs du projet de loi, d'autres administrations pourraient revendiquer un accès aux fichiers visés par cette disposition pour des « fins administratives », notamment la gestion des « ressources humaines ». Il semble évident qu'en règle générale, un tel accès direct est disproportionné dans la poursuite desdites finalités et à proscrire.
Pour les autres missions de la Police grand-ducale, prévues dans des lois spéciales, il conviendrait d'analyser, par type de mission, à quelle base de données il conviendrait de donner accès. À titre d'illustration en reprenant les exemples proposés par les auteurs dans le commentaire des articles, la CNPD s'interroge sur la nécessité d'accéder, « en matière des objets trouvés », au « fichier relatif aux affiliations des salariés, des indépendants et des employeurs géré par le Centre commun de la sécurité sociale sur base de l'article 413 du Code de la Sécurité sociale » ou au « registre foncier ». 1.
Le contrôle des accès
L'article 43, paragraphe 7, prévoit que « Nonobstant les droits d'accès prévus aux paragraphes

(1)à

(4), les données à caractère personnel consultées doivent avoir un lien direct avec les motifs de consultation. Seules les données à caractère personnel strictement nécessaires, dans le respect du principe de proportionnalité, peuvent être consultées. »

Il apparaît que le renvoi au « respect du principe de proportionnalité » porte à confusion alors que, dans le contexte du passage sous examen, il convient de comprendre la limitation de l'accès aux données à caractère personnel aux seules personnes autorisées ayant un intérêt légitime à les connaître aux fins de cette opération de traitement (principe définit en anglais sous le terme de « need to know/need to do »). Cependant, de manière générale, ledit principe est connu également comme le principe de minimisation des données, c'est-à-dire que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
D'une part, il conviendrait de changer la terminologie employée dans ledit paragraphe pour lever cette confusion, et d'autre part, il revient au responsable de traitement de définir les accès de sorte que l'accès à une information ne peut être attribué que lorsque l'utilisateur a le besoin spécifique de la connaître et/ou de faire des modifications. [CNPE1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
8/45
La CNPD note avec intérêt que les auteurs proposent de scinder la liste de ces bases de données en deux groupes, permettant de définir des accès différents par groupe de bases de données.
L'accès du premier groupe, suivant la formulation de l'article 43, paragraphes 1er, peut être attribué aux « membres de la Police ayant la qualité d'officier ou d'agent de police judiciaire ou d'officier ou d'agent de police administrative ». L'accès au deuxième groupe, suivant la formulation de l'article 43, paragraphes 2, peut être attribué aux « membres de la Police ayant la qualité d'officier de police judiciaire ou d'officier de police administrative [...] s'ils font partie d'une entité de la Police dont les missions justifient cet accès ou figurent sur une liste agrée par le directeur général de la Police après avis du délégué à la protection des données de la Police ». L'article 43, paragraphe 4 prévoit par ailleurs que « les membres de la Police ayant la qualité d'agent de police judiciaire ou d'agent de police administrative nommément désignés par le directeur général de la Police grand-ducale, après avis du délégué à la protection des données de la Police, peuvent avoir accès aux fichiers prévus aux paragraphes

(2)». Les auteurs du projet de loi justifient l'insertion du paragraphe 4 pour « pouvoir attribuer ces mêmes accès aux agents de police judiciaire ». D'abord, il en ressort implicitement que l'accès au premier groupe est attribué, sans distinction de leurs attributions ou tâches concrètes, à tous les membres de la Police visés au paragraphe 1er. Ainsi, les auteurs du projet de loi expliquent que « tous les officiers et agents de police judiciaire dans des fonctions opérationnelles ont besoin de pouvoir accéder pour l'accomplissement de leurs missions ordinaires ». En combinant le paragraphe 2 et le paragraphe 4, il ne ressort pas de distinction claire entre l'attribution des accès au deuxième groupe aux officiers et aux agents de police, en particulier lorsque l'accès n'est pas lié aux missions de l'entité à laquelle le membre de la Police est affecté. Ainsi, la CNPD se demande s'il ne serait pas opportun de préciser le paragraphe 4 en précisant les conditions d'attributions.

L'article 43, paragraphe 3 permet d'étendre les accès au premier et au deuxième groupe aux « membres du cadre civil de la Police, nommément désignés par le ministre [...] sur proposition du directeur général de la Police grand-ducale [...] en fonction de leurs attributions spécifiques de support d'un officier ou agent de police judiciaire ou d'un officier ou agent de police administrative ou à des fins administratives ». Sous réserve CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
9/45 des commentaires ci-dessous concernant les profils et modalités d'accès ainsi que de son opposition à la référence aux « fins administratives », la CNPD peut s'accommoder de l'extension des accès aux membres du cadre civil tel que proposée dans ce paragraphe.
La CNPD regrette cependant que la disposition sous examen reste muette sur les critères de détermination des profils et des modalités d'accès. Comme développé plus haut, de l'avis de la CNPD, l'accès aux traitements de données visés à l'article 43 est subordonné au respect des dispositions législatives et réglementaires spécifiques. Il serait dès lors opportun d'inclure les limitations d'accès prévues dans lesdites dispositions dans les critères de détermination des profils et des modalités d'accès.
Dans l'exemple exposé plus haut concernant le système électronique central de recherche de données concernant des comptes de paiement et des comptes bancaires identifiés par un numéro IBAN et des coffres-forts tenus par des établissements de crédit au Luxembourg, seuls les « agents de police judiciaire et officiers de police judiciaire affectés au Service de police judiciaire, ainsi que les officiers de police judiciaire visés à l'article 10 du Code de procédure pénale et agréés par le directeur général de la Police grand-ducale » sont autorisés à bénéficier d'un tel accès direct, sous réserve des considérations exposées précédemment relatives aux modalités d'accès prévus dans les législations afférentes aux différents traitements.
L'article 43, paragraphes 6 et 7 reprennent le texte de l'article 43 existant dans les grandes lignes. La disposition ne fournit pas de détails sur ce que le lien direct entre les motifs de la consultation et les données consultées signifie, ni de comment le caractère « strictement nécessaire » et proportionnel est vérifié.
La Commission nationale propose que les profils et modalités d'accès soient définis en se basant sur l'article 43-1, paragraphe
L'article 43, paragraphe 8 nouveau, est une disposition héritée du fonctionnement de l'autorité « article 17 » instaurée par la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, abrogée depuis. Cette disposition exige que la CNPD « contrôle et surveille le respect des conditions d'accès » tel que défini à l'article 43 nouveau. Or, deux observations sont à formuler à cet égard. D'abord, la loi du 1er août 2018 portant organisation de la CNPD prévoit que la Commission nationale « contrôle l'application des dispositions et des mesures d'exécution et veille au respect » de la loi du 1er août 2018 relative aux [ CNPCI Avis de la Commission nationale pour la protection des données relatif au projet de loi
10/45 traitements de données en matière pénale. Ces missions et pouvoirs générales englobent la surveillance et le contrôle des accès concernant tous les traitements de données visées en matière pénale, y compris ceux visés par la disposition sous examen. Ensuite, la loi du 1er août 2018 relative aux traitements de données en matière pénale constitue un changement de paradigme en matière de responsabilisation des responsables de traitement, notamment visé par l'article 3, paragraphe 4, et de l'article 18 de ladite loi. Ainsi, en application notamment de l'article 24 de ladite loi, il revient au responsable de traitement de définir les profils et modalités d'accès et procéder à des vérifications régulières des logues à des fins, notamment, « d'autocontrôle [et] de garantie de l'intégrité et de la sécurité des données à caractère personnel ». A cet égard, la CNPD souligne l'importance d'effectuer proactivement des contrôles en interne, notamment en lien avec les mesures et procédures à mettre en place pour tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement conformément à l'article 28 de ladite loi. Ainsi, la CNPD s'interroge sur la plus-value du paragraphe 8 sous examen, alors que ce type de contrôle et de surveillance est inclut dans ses missions générales et revient en premier lieu au responsable de traitement, et se demande s'il ne conviendrait pas de supprimer cette disposition.
La base légale des fichiers de la Police grand-ducale
La Commission nationale note que la Police grand-ducale est appelée à collecter et exploiter structurellement et systématiquement une quantité importante de données à caractère personnel. Nul aucun doute, ces traitements de données sont inhérents à ses missions répressives et sont inévitables pour une autorité publique chargée de l'exercice de la puissance publique en matière pénale et en matière de sécurité nationale.
Or, la CNPD rappelle que les traitements de données effectués par la Police grand-ducale dans l'exercice de ses missions de Police administrative et de Police judiciaire constituent une ingérence dans le droit au respect de la vie privée et le droit à la protection des données. Le même constat peut être dressé, en principe, pour les traitements de données effectués dans l'exercice des missions découlant de lois spéciales. Il est constant que toute ingérence dans les libertés fondamentales doit être prévue par une disposition légale accessible et prévisible. Au vue de l'impact potentiel sur la vie des personnes concernées, il est justifié que les dispositions qui encadrent les traitements de données de la Police soient à la fois détaillées et contraignantes. Il s'agit de renforcer l'état de droit et le fonctionnement de notre société démocratique en offrant une meilleure sécurité juridique et une confiance accrue dans le fonctionnement des autorités répressives. [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
11/45
Les actes, rapports et procès-verbaux établies par les agents de la Police grand-ducale s'inscrivent dans la mise en œuvre du Code pénal, du Code de procédure pénale et des dispositions conférant des missions à la Police grand-ducale découlant de lois spéciales, y compris la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, qui constituent une base légale suffisante pour la collecte de données à caractère personnel dans l'exécution de ces missions essentielles de la Police grand-ducale.
Néanmoins, la mise en relation de données personnelles collectées dans des procédures pénales distinctes ou en application de différentes missions de la Police et leur exploitation dans des fichiers transversaux constitue généralement des traitements de données distincts. La plupart de ces traitements de données subséquents constituent donc une ingérence dans la vie privée des citoyens additionnelle à l'ingérence prévues aux dispositions précitées encadrant et définissant les missions de la Police.
Dans l'exposé des motifs, les auteurs expliquent que les dispositions en matière de fichiers particuliers contenues dans le présent projet de loi « s'inspire[nt] partiellement de la législation belge, et notamment de la loi du 5 août 1992 sur la fonction de police ». Or, la Commission nationale note que la législation belge prévoit expressément un certain nombre de banques de données régulièrement utilisées et font une distinction plus nette entre les missions de police administrative et de police judiciaire. La CNPD note également que la législation belge prévoit, a minima, l'adoption et la publication de « directives contraignantes » et de « directives générales et contraignantes » par le ou les Ministres de tutelle. La CNPD note également que la création de « fichiers particuliers » au sens de la loi belge est subordonnée à l'existence de « circonstances spécifiques » et de « besoins particuliers » limitativement définies.
La Commission nationale souligne aussi qu'en France, depuis 2018, l'ensemble des fichiers « mis à la disposition des forces de sécurité » est encadrée chaque fois par une disposition légale ou réglementaire spécifique
5 Assemblée nationale française, Rapport d'information déposé en application de l'article 145 du règlement, par la commission des lois constitutionnelles, de la législation et de l'administration générale de la République, en conclusion des travaux d'une mission d'information sur les fichiers mis à la disposition des forces de sécurité, n° 1335, 17 octobre
Voir : https://www.assemblee-nationale.fr/dyn/15/dossiers/alt/fichiers_disposition_forces_securite_rap-info CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
12/45
Toutefois, la CNPD comprend également que le fonctionnement de la Police grandducale et sa relation avec les autorités judiciaires ne sont pas en tous points identiques et ne sont pas toujours comparables à ses homologues français et belges dans leurs ordres juridiques respectifs, même si, bien-entendu, les dispositions pénales luxembourgeoises s'inspirent tantôt de l'un, tantôt de l'autre ordre juridique.
Dès lors, même si la législation belge ou française peut inspirer le législateur, il convient de prendre en compte les spécificités du cadre légal et des institutions luxembourgeoises. Ainsi, il est primordial que la loi luxembourgeoise satisfasse aux exigences propres à l'ordre juridique luxembourgeois et des engagements européens et internationaux du Grand-Duché de Luxembourg.
Ainsi, pour se conformer aux exigences de l'article 11, paragraphe 3, lu à la lumière de l'article 32, paragraphe 3, de la Constitution, de l'article 8, paragraphe 2, de la Convention européenne des droits de l'homme, de l'article 52, paragraphes 1 et 2, de la Charte des droits fondamentaux de l'Union européenne et de la jurisprudence s'y référant, ces traitements de données nécessitent en principe un encadrement législatif distinct. La CNPD rappelle qu'une ingérence dans le droit au respect de la vie privée ou dans le droit à la protection des données peut être justifiée à condition qu'elle : - soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui.
Or, il y a un consensus qu'une grande partie des fichiers existants de la Police grandducale, et avant tout le fichier central, ne bénéficient pas, à ce jour, de dispositions législatives ou réglementaires propres mais n'est encadrée que par la seule loi-cadre, la loi du 1er août 2018 en matière pénale ainsi qu'en matière de sécurité nationale.
Le fichier central est un outil de travail essentiel qui permet de regrouper, dans une application unique, tous les traitements de données relatives aux actes, rapports et procès-verbaux établies dans l'exécution des missions de police judiciaire, de police administrative et de « toute autre mission dont la Police est investie ». Avis de la Commission nationale pour la protection des données relatif au projet de loi
13/45
À cet égard, la Commission nationale salue que le projet de loi prévoit de doter le fichier central de la Police grand-ducale d'une base légale spécifique. Elle note que le projet de loi prévoit des dispositions concernant le fonctionnement des fichiers exploités par la Police grand-ducale, par le biais de l'article 43-2 nouveau, qui définit les modalités des traitements de données sous-jacents à ce fichier.
La Commission nationale note également avec intérêt que l'article 43-1 nouveau crée un cadre commun applicable à « tous les fichiers de la Police dans le cadre des missions légales dont elle est investie », comme le précisent les auteurs du projet de loi dans le commentaire des articles, à moins que des dispositions légales spécifiques prévoient d'autres règles. Or, ni l'exposé des motifs, ni le commentaire des articles comportent une liste exhaustive des fichiers existants pouvant être visés par les nouvelles dispositions. Le gouvernement a fourni des indications sur lesdits traitements dans les réponses aux questions parlementaires concernant les fichiers mis en œuvre par la Police. Par exemple, la réponse datée du 2 août 2019 du Ministre ayant la sécurité intérieure dans ses attributions à une question parlementaire fait état de 53 traitements de données distincts, dont certains sont encadrés par une disposition législative spécifique
Ladite réponse fait également référence à des traitements de données fondés sur des instruments juridiques internationaux et européens. À titre d'illustration, parmi les traitements de données potentiellement visés par la disposition sous examen figurent les traitements de vidéosurveillance « VISUPOL »7 , la gestion des empreintes digitales, l'« application PIC »8 et le « fichier stupéfiant »
Dans un soucis d'accessibilité et de prévisibilité de la loi, la Commission nationale recommande dès lors, d'identifier les traitements de données mis en œuvre par la Police susceptibles d'être visés par la disposition sous examen, en particulier les traitements de données mis en œuvre en vertu de dispositions légales spécifiques et, tel que détaillé plus loin d'encadrer le cas échéant les fichiers particuliers par les instruments juridiques adéquats. 6 Voir question parlementaire n° 906 du 17 juillet 2019 des honorables Députés Laurent MOSAR et Gilles ROTH relative au fichier central. 7 À ce sujet, voir le projet de loi n° 7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, ainsi que les avis y relatifs. 8 Traitement des images et de données relatives à des personnes, voir notamment la question parlementaire n° 1189 des honorables Députés Laurent MOSAR et Gilles ROTH relative au fichier images auprès de la Police grand-ducale. 9 Voir question parlementaire n° 1190 du 10 septembre 2019 des honorables Députés Laurent MOSAR et Gilles ROTH relative au fichier en matière de stupéfiants auprès de la Police grand-ducale. [ CNPD1 . Avis de la Commission nationale pour la protection des données relatif au projet de loi
14/45
Suivant l'article 43-1, paragraphe 1, la disposition s'applique à tous les fichiers gérés par la Police, « sans préjudice de dispositions légales spécifiques ». Sans tendre vers l'exhaustivité, la CNPD a identifié au moins les dispositions légales spécifiques suivantes : Règlement grand-ducal modifié du 21 décembre 2004 portant autorisation de la création d'un fichier des personnes ayant subi un avertissement taxé en matière de circulation routière (« Fichier AT »); - Règlement grand-ducal du 6 mai 2005 fixant les modalités d'installation et d'exploitation de systèmes d'alarmes reliés au Centre d'Intervention National de la Police ; - Loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale (« Fichier ADN »); Loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement et le Règlement grand-ducal du 5 août 2015 relatif aux fiches à tenir par les logeurs exploitant un service d'hébergement touristique ; Règlement grand-ducal modifié du 7 août 2015 autorisant la création d'un fichier et le traitement de données à caractère personnel dans le cadre du système de contrôle et de sanction automatisés (« Traitement CSA ») ; Fichier central, tel que visé par le présent projet de loi par le biais de l'article 43-2 nouveau ; Les systèmes de vidéosurveillance « VISUPOL », lorsque le projet de loi n° 7498 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale aura été adopté par la Chambre de Députés.
La Commission nationale note également que le Code de procédure pénale (CPP) contient un certain nombre de dispositions spécifiques concernant certains traitements de données effectués par la Police, comme par exemple les « mesures spéciales de surveillance »10 ou les dispositions visant la collecte d'empreintes digitales et de photographies
10 Ces mesures peuvent être ordonné par le juge d'instruction et visent l'utilisation de moyens techniques de surveillance et de contrôle de toutes les formes de communication, au moyen de

(1)de la surveillance et du contrôle des télécommunications ainsi que de la correspondance postale

(2)de la sonorisation et de la fixation d'images de certains lieux ou véhicules et

(3)de la captation de données informatiques. Voir les articles 88-1 à 88-4 CPP. 11 Voir notamment articles 33, paragraphe 9, et 51-2 CPP. [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 15/45 52. En application de la législation européenne et d'engagements internationaux, la Police grand-ducale a accès et contribue à des traitements de données transfrontaliers, par exemple au système d'information Schengen de deuxième génération (SIS II), aux traitements de données mis en oeuvre par Europol et Interpol12 ainsi qu'aux traitements de données opérés par le Centre de coopération policière et douanière13. 53. Le projet de loi ne prévoit pas de dispositions législatives ou réglementaires pour la création de fichiers autres que le fichier central. Or, la Commission nationale note avec regret que le projet ne contient ni des règles procédurales pour la création de fichiers « particuliers » ni d'exigences de recourir à une disposition légale ou réglementaire. Ainsi, l'article 43-1 prévoit un cadre relatif aux fichiers particuliers, mais ne précise pas sur quelle base ou quelle décision de tels fichiers « particuliers » puissent être mis en place. Il est ainsi laissé à la libre appréciation de la Police grand-ducale de procéder à la création d'un tel fichier. La CNPD ne considère pas que cette solution satisfasse aux exigences légales décrites plus haut. 54. La CNPD propose de distinguer deux catégories de fichiers particuliers : Les fichiers particuliers existant pour combler des limitations techniques d'un fichier existant fondé sur une disposition légale, comme le fichier central ou un autre fichier particulier mis en œuvre par la Police. Ce type de fichier particulier s'inscrirait ainsi dans les modalités des traitements de données du fichier « principal » et ne nécessiterait pas de disposition légale ou réglementaire spécifique. En effet, il pourrait être considéré que certains fichiers « techniques » constituent une prolongation du fichier central lorsque les données visées par ces fichiers ne peuvent pas figurer, pour des raisons techniques, dans le fichier central. Tel est d'ailleurs la logique retenue à l'article 43-2, paragraphe 18, alinéa 2, pour la conservation, après l'écoulement du délai de conservation prévu pour la partie active du fichier central, des 12 Voir également, à titre d'illustration, le système d'information d'Europol (Europol Information System, EIS) et l'application de réseau d'échange d'informations sécurisées d'Europol (Secure Information Exchange Network Application, SIENA), les bases de données mises en commun au niveau de l'Organisation internationale de police criminelle (Interpol). 13 Accord entre le Gouvernement du Grand-Duché de Luxembourg, le Gouvernement du Royaume de Belgique, le Gouvernement de la République fédérale d'Allemagne et le Gouvernement de la République française, concernant la mise en place et l'exploitation d'un centre commun de coopération policière et douanière dans la zone frontalière commune, signé à Luxembourg, le 24 octobre 2008 et entré en vigueur le ler décembre 2014. Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 16/45 « informations et données à caractère personnel [...] dans un format qui ne peut pas être géré par le fichier central ». En effet, l'alinéa en question prévoit la création d'une partie passive dans le fichier particulier concerné suivant les mêmes dispositions relatives aux durées de conservation que dans la partie passive du fichier central ; Les fichiers particuliers O qui traitent des données « sensibles », O qui sont conçus pour effectuer des opérations de traitement de données « intrusives », du type profilage, de comparaison et de suivi de personnes physiques ou O qui nécessitent, par la nature des données stockées (comme par exemple des preuves et traces), de conserver les informations pour des durées de conservation de très étendues. Ce type de fichiers particuliers devraient être encadrés par une disposition légale. 55. Il est entendu que, s'il est nécessaire de créer un fichier particulier dans l'exécution d'une mission découlant d'une loi spéciale ou dans la mise en oeuvre d'une disposition légale, cette loi spéciale ou disposition peut en constituer la base légale et l'article 43-1 pour encadrer ces fichiers. 3. Les finalités du fichier central et des fichiers particuliers 56. Conformément à l'article 3, paragraphe 1er, lettre b), les données à caractère personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d'une manière incompatible avec ces finalités ». À cet égard, au-delà, d'après les termes des auteurs du projet, de la fonction générale du fichier central « de centraliser les données à caractère personnel et informations relatives aux personnes concernées traitées dans le cadre de l'exécution d'une mission légale » telle qu'identifiée par l'article 43-2, paragraphe l er, la CNPD se réjouit que le projet de loi définisse les finalités au paragraphe 2 : « Les données à caractère personnel et informations sont traitées dans le fichier central pour les finalités suivantes : 1° la vérification des antécédents d'une personne dans le cadre d'une mission de police judiciaire, de police administrative ou dans le cadre d'une autre mission légale de la Police ; [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 17/45 2° l'appui aux enquêtes judiciaires par le biais d'analyses criminelles opérationnelles à la demande d'une autorité judiciaire ; 3° l'appui à la définition et à la réalisation de la politique de sécurité intérieure par le biais d'analyses criminelles stratégiques ; 4° l'exploitation des informations à des fins de recherches statistiques ; 50 l'identification des membres de la Police en charge du dossier. » 57. La Commission nationale note que les finalités mélangent les finalités liées aux trois groupes de missions. 58. Il ressort du projet de loi que les données peuvent être collectées et utilisées pour des finalités liées à la coopération policière internationale et à l'entraide judiciaire internationale, à des rapports aux autorités judiciaires concernant des mineurs, pour des rapports adressés aux autorités judiciaires et aux autorités administratives. En particulier en matière de missions de police administrative et de « toute autre mission dont la Police est investie par la loi », elle suggère que la disposition sous considération soit davantage détaillée. 59. L'article 43-1 ne définit pas de finalités pour les fichiers « particuliers ». La CNPD se pose la question si ces fichiers peuvent poursuivre des finalités différentes de celles du fichier central. Elle renvoie à sa proposition concernant la distinction à faire entre fichiers particuliers. Les finalités des fichiers « techniques » seraient identiques aux finalités du fichier « principal » auxquels ces fichiers se rapportent. Les dispositions légales spécifiques devront définir les finalités des autres fichiers. À titre d'exemple, un fichier particulier ayant comme fonction de comparer de nouvelles preuves et traces par rapport au contenu d'une base de données existante poursuit des finalités dépassant les finalités définies pour le fichier central et permet d'effectuer des opérations de traitements de données spécifiques de comparaison et de recherche semi-automatisés. De l'avis de la CNPD, il serait préférable que les finalités de ce type de fichier (en particulier les fichiers « biométriques », visant des empreintes digitales, génétiques et de reconnaissance faciale) soient encadrées par une disposition légale. 60. La CNPD peut se rallier aux deux finalités pouvant justifier l'accès aux données contenues dans la partie passive du fichier central et de la partie passive des fichiers particuliers, réservées aux données relevant des missions de police judiciaire, telles que définies à l'article 43-2, paragraphe 19 alinéa ler. Elle note que ces données peuvent aussi faire l'objet d'une retransmission dans la partie active du fichier concernée dans les cas de figure visés à l'article 43-2, paragraphe 16. CNPI:1 Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 18/45 61. La Commission nationale estime que, dans le cas visé à l'article 43-2, paragraphe 18, alinéa 2, en ce qui concerne les fichiers particuliers ne disposant pas de partie passive, que les accès devront être limités de la même façon aux finalités visées plus haut, tout en exprimant ses réserves quant à l'absence d'une telle partie passive. 4. Les données traitées dans les fichiers particuliers et dans le fichier central 62. Conformément à l'article 5 de la loi du l er août 2018 relative aux traitements de données en matière pénale, l'article 43-2, paragraphes 3 et 4, définit les catégories de personnes dont les données sont traitées sous l'angle des trois catégories de missions confiées à la Police et définit quelles catégories de personnes saisies à des fins de police judiciaire peuvent également être consultées dans l'exercice d'autres missions. Ainsi, au titre de l'article 43-2, paragraphe 5, les données relatives à des victimes, des témoins ou des personnes visées par des données « douces » ne peuvent pas être consultées à des fins de police administrative et des autres missions légales de la Police. Dans l'exécution des missions de police administrative, les données « douces » ne sont pas accessibles. La CNPD accueille favorablement que l'accès à des données de certaines catégories de personnes soit limité aux missions de police judiciaire et ne peuvent dès lors pas être consultés à des fins des missions de police administrative ou des autres missions légales de la Police. La Commission nationale peut en général souscrire à la solution proposée auxdits paragraphes 3 à 5. Néanmoins, les catégories de données définies dans les instruments européens, notamment en matière de SIS 11 et d'Europol, peuvent être pris en considération pour affiner les définitions desdites catégories au niveau national, dans un souci de transparence et de cohérence. 63. Il semble que les fichiers particuliers puissent contenir les mêmes catégories de données et opérer les mêmes distinctions en matière de personnes concernées. Or, il conviendrait de déterminer ces distinctions dans l'instrument juridique servant de base légale pour ces fichiers. 4.1. Les catégories particulières de données 64. L'article 9 de la loi du 1 er août 2018 relative aux traitements de données en matière pénale relatif au traitement de données des catégories particulières de données, prévoit que : « Le traitement des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou [ Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 19/45 l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont autorisés uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :

a)lorsqu'ils sont autorisés par le droit de l'Union européenne ou en application de la présente loi ou d'une autre disposition du droit luxembourgeois ;
b)pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique, ou
c)lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée. » 65. Il semble qu'en particulier les fichiers destinés à contenir des traces et preuves puissent viser des catégories supplémentaires de données, y compris des catégories particulières de données. La Commission nationale note que, en ce qui concerne le fichier central, les « signes corporels inaltérables permettant d'identifier la personne, y compris photographies et, le cas échéant, les empreintes digitales » visées à l'article 43-2, paragraphe 7, alinéa 2, chiffre 10, peuvent, suivant les opérations de traitement de données effectuées, relever des données biométriques. 66. La CNPD note avec intérêt que l'article 43-1, paragraphe 2, permet à la Police de traiter les catégories particulières de données et exige que, d'une part, ces données aient « toujours un rapport avec d'autres données relatives à la personne concernée » et que d'autres part ces données soient « pertinentes et essentielles » à : 1. « à l'aide de l'identification d'une personne » ; 2. « pour comprendre le contexte décrit dans un rapport ou procès-verbal établi par la Police » ; 3. « pour apprécier correctement les faits qui peuvent donner lieu à une infraction pénale ou à une mesure de police administrative au sens de la section 1 ière du chapitre 2 de la présente loi ou en vertu d'une autre mission dont la Police est investie par la loi ». [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 20/45 67. La CNPD relève positivement qu'une telle base légale soit créée au sens de l'article 9, lettre a), de la loi du ler août 2018 précitée et comprend que celle-ci s'applique indifféremment aux fichiers particuliers et au fichier central. 68. Néanmoins, elle s'interroge sur la possibilité, telle qu'esquissée dans le commentaire des articles, d'effectuer des recherches sur ce type de données. Elle suggère de prévoir des garanties supplémentaires pour contrôler ce type de recherche. De plus, elle se demande s'il ne conviendrait pas de prévoir la possibilité d'occulter ce type de données, c'est-àdire de pseudonymiser ces données, lors des recherches sur la personne concernée à des fins autres que les missions de police judiciaire. 69. Dans le commentaire des articles, les auteurs estiment que « /a Police doit être en mesure d'exploiter ce type de données à des fins statistiques, auquel cas les données en question sont anonymisées ». Or, dès lors qu'une réidentification de la personne concernée reste possible, il s'agit plutôt d'une pseudonomyisation de données. Il serait préférable d'inclure l'établissement de statistiques dans la définition des finalités, en y précisant que cette opération de traitement de données devrait se baser uniquement sur des données pseudonymées. 70. La CNPD tient à relever que trois fichiers existants sont structurellement concernés par cette disposition, à savoir le fichier « PIC » (c'est-à-dire englobant les photos de personnes à des fins d'identification), le fichier relatif aux empreintes digitales et le fichier relatif aux empreintes génétiques. La CNPD suggère de légiférer en cet endroit pour inclure une base légale solide assortie des garanties appropriées pour les traitements de photos (actuellement : comme empreintes digitales : Code de procédure pénale, article 33, paragraphe 9 et article 45) recourant à des techniques d'identification faciale, de plus en plus répandues et performantes, c'est-à-dire à des « données biométriques aux fins d'identifier une personne physique de manière unique ». Parmi les garanties appropriées encadrant un tel recours à des techniques d'identification biométrique, une limitation d'utilisation à des fins de police judiciaire dans le contexte de délits et de crimes pourrait être envisagée. 71. Alors que le traitement de données génétiques bénéficie d'ores et déjà d'un encadrement législatif spécifique à travers la loi modifiée du 25 août 2006 relative aux empreintes génétiques en matière pénale, la CNPD se demande s'il ne serait pas opportun de prévoir également une base légale générale pour les empreintes digitales, dont le traitement est actuellement déjà prévu par des dispositions du Code de procédure pénale (article 33, [ CNP114 Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 21/45 paragraphe 9, article 45), permettant par la même occasion de combler les éventuelles faiblesses dans ladite loi modifiée du 25 août 2006. 72. La CNPD estime qu'il conviendrait de renforcer les garanties appropriées, par exemple en s'inspirant davantage de la loi belge, en particulier de l'article 44/2, paragraphe 2. D'une part, cette disposition encadre davantage les finalités pour lesquelles ce type de données peuvent être traitées et d'autre part prévoit des règles strictes pour ce qui est de leur utilisation, de leur accès et des règles de sécurité supplémentaires à mettre en place par le responsable de traitement. 4.2. Les données dites « douces » 73. L'article 43-2, paragraphe 4, point 10 0 , permet à la Police grand-ducale de traiter, dans le fichier central et à des fins de police judiciaire, des données dites « douces » relatives à trois catégories de personnes : « les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles sont sur le point de commettre une infraction pénale » ; « les contacts ou associés [desdites personnes visées au tiret précédent] qui sont suspectés d'avoir l'intention de participer à ces infractions ou d'en avoir connaissance » ; « les personnes qui peuvent fournir des informations sur ces infractions pénales ». 74. L'inscription de ce type de données dans le fichier central, que les auteurs définissent dans le commentaire des articles comme des données « qui ne peuvent pas encore être rattachées à une infraction pénale suffisamment qualifiée afin que l'article 12 du Code de procédure pénale devienne applicable », est particulièrement encadrée dans le projet de loi sous considération. 75. D'abord, la CNPD relève positivement que seul un nombre limité d'agents peuvent saisir ce type d'informations, conformément à l'article 43-2, paragraphe 4, alinéa 2, à savoir « les officiers de police judiciaire du Service de police judiciaire dans les matières qui relèvent des attributions de la section à laquelle ils sont affectés ». 76. Ensuite, la CNPD note avec intérêt que l'inscription dans le fichier central est subordonnée à ce que « la fiabilité de la source et de l'information est évaluée suivant un code d'évaluation préalablement défini qui tient compte de la pertinence de la source et de l'information fournie dans le contexte de l'évolution de la criminalité et des CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 22/45 phénomènes criminels pertinents ». Néanmoins, à cet égard, la CNPD regrette que le projet de loi et le commentaire des articles restent muets sur le « code d'évaluation préalablement défini ». Il serait possible de s'inspirer de la grille d'évaluation prévue à l'article 29 du Règlement (UE) 2016/794 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol)14 relatif à l'évaluation de la fiabilité de la source et de l'exactitude des informations. 77. Finalement, la CNPD peut souscrire à la garantie protégeant les intérêts des mineurs en ce que l'inscription de données douces relatives à des mineurs dépend de « l'accord du procureur général d'Etat ou du membre de son parquet désigné à cet effet ». 78. Concernant les accès, les règles se dégagent de l'article 43-2, paragraphe 5, alinéas 2 à 4. 79. Au titre de l'alinéa 3, les « officiers et les agents de police judiciaire du Service de police judiciaire » ont accès à la donnée douce pour les recherches à des fins de police judiciaire et que cet accès peut être limité à « une ou plusieurs sections du Service de police judiciaire ». 80. La CNPD peut souscrire à la solution retenue à l'alinéa 2, à savoir qu'une recherche sur une personne concernée par un agent non affecté au Service de police judiciaire ne lui donne pas accès à l'information, mais donne lieu à un « avertissement auprès des officiers de police judiciaire en charge de l'information », leur laissant le soin « d'évaluer l'utilité de prendre contact avec l'agent consultant ». 81. Finalement, l'alinéa 4 ménage, pour les « agents en charge de l'information », la possibilité de rendre accessibles les données douces relatives aux « personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles sont sur le point de commettre une infraction pénale », suivant les mêmes règles qu'applicables aux données relatives à « les personnes suspectées d'avoir participé à une infraction pénale ». Or, alors que le commentaire des articles reste muet sur ce point, la CNPD s'interroge sur les critères 14 Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI, Journal Officiel de l'Union européenne, L 135,24 mai 2016, pp. 53-114. [ CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 23/45 pouvant justifier un tel accès et se demande si l'« accès direct » inclut l'accès à des fins de police administrative ou à des fins d'autres missions de la Police. 82. Les durées de conservation des données douces ont été adaptées à leur spécificité, en limitant la durée de conservation dans la partie active à un an, pouvant être reconduit d'une année supplémentaire, et à 3 ans dans la partie passive du fichier central. 83. Ainsi, dans l'ensemble, la CNPD accueille favorablement la solution proposée pour le traitement des données dites « douces », nécessaire à l'accomplissement de tâches liées à la prévention et la détection d'infractions pénales tout en prenant en compte qu'au moment de la collecte de l'information, aucune infraction pénale n'ait encore été commise par la personne concernée. Elle estime en effet que l'équilibre entre les besoins opérationnels à des fins de missions de police judiciaire et les droits des personnes concernées est satisfaisant au regard du principe de proportionnalité. 4.3. Données relatives à des mineurs 84. Le considérant 50 de la Directive 2016/680 prévoit que « les mesures prises par le responsable du traitement devraient comprendre rétablissement et la mise en oeuvre de garanties spécifiques destinées au traitement de données à caractère personnel relatives aux personnes physiques vulnérables, telles que les enfants ». Dans son avis sur le fichier central, la Commission nationale avait estimé que « Ille traitement mis en œuvre par la Police à travers ledit fichier doit également conférer un degré de protection particulier à l'égard des personnes physiques mineures ». À cet égard, elle se réjouit que, tel qu'il découle de l'article 43-1, paragraphe 3, chiffre 6, l'accès aux données relatives à des mineurs fait partie des critères pour définir les droits d'accès et que l'accès à ces données soit en principe réservé aux « membres de la section 'protection de la jeunesse' au sein du Service de police judiciaire » et, tel que le décrivent les auteurs du projet, « les officiers et agents de police judiciaire qui sont effectivement chargés d'une enquête par rapport au mineur concerné ». 5. Le contrôle des accès aux fichiers particuliers et au fichier central 85. L'accès à la partie active du fichier central est encadrée par quatre niveaux d'accès qui découlent de l'article 43-2, paragraphe 7 : - Détermination si une personne figure au fichier central ; [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi 7741. 24/45 - Visionnage des informations et données à caractère personnel principales (définies à l'article 43-2, paragraphe 7, alinéa 2) relatives à la personne ; Visionnage d'un résumé sommaire des faits dans lesquels la personne est impliquée ; Accès aux procès-verbaux et rapports dont la personne fait l'objet. 86. Ces accès sont accordés « [d]ans le respect des règles d'accès déterminées en vertu de l'article 43-1, paragraphe

(3)» et en fonction « des motifs de la consultation ».

L'article 43-2, paragraphe 7, permet également d'accorder ces droits d'accès aux « membres du personnel civil nommément désignés par le responsable du traitement ». Contrairement aux modifications introduites à l'article 43 nouveau, la CNPD soulève que cette disposition ne restreint pas explicitement cet accès « en fonction de leurs attributions spécifiques de support d'un officier ou agent de police judiciaire ou d'un officier ou agent de police administrative ».
Il ressort de l'article 43-2, paragraphe 5, des limitations générales concernant les consultations pour un motif, d'une part, de police administrative et à des fins d'autres missions légales, et d'autre part, de police des étrangers. De plus, l'accès aux données « douces » est également encadré.
Il ressort du commentaire des articles relatif à l'article 43-2, paragraphe 7, que le « visionnage des informations et données à caractère personnel principales » est accordée aux « agents du terrain ». La CNPD prend bonne note que, d'après le commentaire des articles, « le détail des procès-verbaux et rapports dont la personne a fait l'objet ne sont accessibles qu'en fonction des droits d'accès et des motifs de la consultation, lesquels sont plus stricts que ceux pour un accès aux informations principales ».
Alors que l'article 43-2, paragraphe 7, alinéa 1er, in fine, conditionne uniquement l'accès aux procès-verbaux et rapports aux « motifs de la consultation », la Commission nationale regrette que le projet de loi et le commentaire des articles restent muets sur ces motifs de la consultation.
Elle prend bonne note que des accès puissent être accordés aux officiers de police judiciaire de l'Administration des douanes et accises « nommément désignés », à l'Inspecteur général de la Police, à l'Inspecteur général adjoint de la Police et aux membres du cadre policier de l'Inspection générale de la Police, conformément à l'article [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
25145 43-2, paragraphe
L'article 5 du projet de loi supprime l'accès direct du Service de renseignement (SRE) à « la partie 'recherche' de la banque de données nominatives de police générale » au motif, d'après le commentaire des articles, qu'il s'agit d'une « banque de données que le présent projet de loi vise à supprimer ». La CNPD se demande si le SRE aura accès, par un autre moyen, aux données du fichier central à créer en vertu de la présente loi, et, dans la négative, quel raisonnement a été suivi pour ne pas prévoir un tel accès.
En l'absence de dispositions légales spécifiques, l'accès aux fichiers particuliers est déterminé par l'article 43-1, paragraphe
La Commission nationale se félicite que cette disposition détaille, pour le fichier central et les fichiers particuliers, les « profils et des modalités d'accès et de traitement de données à caractère personnel » et se montre, dans l'ensemble, satisfait de ces critères basés, selon le commentaire des articles, sur « les principes du need to know et need to do » et « attribués en fonction de l'emploi effectif qu'occupe le membre de la Police ». L'accès aux données relatives aux mineurs font l'objet de conditions d'accès particulières. Toutefois, elle regrette que l'accès aux catégories particulières de données ne soit pas autrement encadré.
Dans son avis sur le fichier central, la Commission nationale avait constaté que « [s]elon les informations de la Police, l'accès au fichier central est accordé d'office à chaque nouvel agent ou officier de police judiciaire, étant donné qu'il pourra être amené à travailler avec cet outil », ce qui signifie en pratique qu'« un total de 1840 personnes disposaient des accès logiques nécessaires afin de pouvoir utiliser le système pour effectuer des recherches respectivement consulter des dossiers ». Or, elle avait conclu qu'« un accès permanent au fichier central pour quasiment 2'000 policiers, même en absence de cas d'abus démontré, comparé à la réelle nécessité de consultation sur le terrain, doit être considérée comme inadéquat. Même en l'absence d'une refonte approfondie du mécanisme d'accès, la CNPD estime que la Police aurait pu et dû implémenter des mesures comme la mise en place de revues de logues pour détecter d'éventuels accès douteux pour mitiger le risque d'abus et assurer la protection des données des citoyens ».
Dès lors, elle s'attendra à ce que les critères définis à l'article 43-1, paragraphe 3, résulte en pratique dans une revue des droits d'accès, accompagné de la mise en place de revues de logues régulières. Comme déjà évoqué plus haut, l'article 24 de la loi du i er août 2018 relative aux traitements de données en matière pénale exige du responsable de traitement de définir les profils et modalités d'accès et procéder à des vérifications régulières des logues à des fins, notamment, « d'autocontrôle [et] de garantie de [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
26145 l'intégrité et de la sécurité des données à caractère personnel ». Il en ressort que le responsable de traitement est censée procéder à des revues de logues régulières et proactives, notamment en lien avec les mesures et procédures à mettre en place pour tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement conformément à l'article 28 de ladite loi.
L'article 24, paragraphe 1 er, de la loi du 1 er août 2018 relative aux traitements de données en matière pénale prévoit « Des journaux sont établis au moins pour les opérations de traitement suivantes dans des systèmes de traitement automatisé : la collecte, la modification, la consultation, la communication, y compris les transferts, l'interconnexion et l'effacement. Les journaux des opérations de consultation et de communication permettent d'établir le motif la date et l'heure de celles-ci et l'identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l'identité des destinataires de ces données à caractère personnel. »
ll découle incontestablement des articles 18 et 28 de la loi 1 er août 2018 relative aux traitements de données en matière pénale que la revue des logues fait également partie des mesures de sécurité à mettre en place par le responsable de traitement. ll découle également de l'article 28 qu'il convient d'adopter les « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel » et donc, lorsque c'est pertinent, de prendre en compte la nature des données, notamment de catégories particulières de données, de données relatives à des mineurs et des données « douces », dans la définition des revues régulières des logues.
Dans l'avis relatif au fichier central, la CNPD avait aussi relevé que « vu que la pratique courante consiste à ce que les policiers sur le terrain n'accèdent pas directement au fichier, mais font plutôt appel à des policiers au niveau du RIFO, l'identification de la personne qui a in fine consulté le système ne peut pas être retracé de manière systématique avec des efforts raisonnables. »
À cet égard, il y a lieu de saluer la clarification apportée par l'article 43-1, paragraphe 3, alinéa 2, que « [dans] le cas d'une demande de consultation d'un fichier par une personne [ CNPE Yr Avis de la Commission nationale pour la protection des données relatif au projet de loi
27/45 autre que celle qui l'effectue, les journaux du fichier font mention de l'identité de la personne à l'origine de la demande et du motif de cette demande. »
L'article 43-1, paragraphe 3, chiffre 4°, dispose que la « Police détermine les profils et des modalités d'accès et de traitement de données à caractère personnel sur la base [...] du motif d'accès. Si le motif d'accès ne découle pas incontestablement de l'affectation de l'agent au sein d'un seivice ou d'une unité de la Police, le motif d'accès doit indiquer la raison précise de la consultation. La Police détermine des motifs d'accès spécifiques selon le type de mission légale de la Police dans le cadre de laquelle un traitement de données est requis ».
La CNPD comprend que les auteurs du projet de loi suggèrent que le motif d'une consultation pourrait découler « incontestablement de l'affectation de l'agent au sein d'un service ou d'une unité de la Police ». Le commentaire des articles n'élabore pas en quoi l'information de l'affectation d'un agent pourrait donner suffisamment d'information contextuelle afin de retracer la licéité de ladite consultation. La seule identification de l'agent, y compris avec son affectation, rendrait une vérification des logues fastidieuse et peu efficace étant donné qu'elle devrait inclure une enquête au cas par cas pour retracer le contexte de la consultation. L'efficacité du contrôle ex-post de la journalisation en serait fortement réduit. Par conséquent, sans autres explications de la part des auteurs du texte, la CNPD ne peut pas souscrire à une telle solution. La CNPD estime que la formulation actuelle de ce passage est contraire à l'article 24 de la loi du 1er août 2018 relative aux traitements de données en matière pénale.
La CNPD estime nécessaire de modifier le passage précité, en exigeant d'indiquer, pour chaque consultation, un motif d'accès. En même temps, elle salue que la disposition sous considération prévoit que la Police détermine par ailleurs « des motifs d'accès spécifiques selon le type de mission légale » ainsi que, dans des situations non-couvertes par ces motifs d'accès, une « raison précise de la consultation » doit être indiquée. Or, les auteurs du projet de loi ont omis de donner des indications, au moins dans le commentaire des articles, sur les « motifs d'accès spécifiques » envisagés. La CNPD souligne qu'une simple référence à une consultation à des fins de police judiciaire, à des fins de police administrative ou à des fins d'autres missions légales ne serait manifestement pas suffisante. [ CNPEI Avis de la Commission nationale pour la protection des données relatif au projet de loi
28/45
Le motif d'accès pourrait, par exemple, se baser sur les identifiants des enquêtes, des opérations de police et des décisions des autorités judiciaires justifiant l'accès. La CNPD rappelle que lesdits motifs d'accès doivent permettre de retracer avec une précision suffisante la raison de l'accès aux données afin de s'assurer, dans le contexte des contrôles ponctuels et périodiques de la légitimité des accès.
Concernant l'accès à la partie passive du fichier central, la Commission nationale note avec intérêt que, d'une part, un accès ponctuel peut être accordé, en application de l'article 43-2, paragraphe 19, alinéa 2, ou un accès limité dans le temps pouvant être accordé nominativement à des officiers et agents de police judiciaire du service de police judiciaire ou subdivisions du service de police judiciaire, à l'alinéa
La CNPD accueille favorablement la durée de conservation des logues de journalisation prévus à l'article 24 précité, fixée à cinq ans à l'article 43, paragraphe 5, sauf lorsqu'elles font l'objet d'une procédure de contrôle.
Dans l'avis relatif au fichier central, elle avait constaté que « les mécanismes de journalisation ne permettent pas d'atteindre en pratique l'intégralité des finalités tels qu'énoncés dans la loi. Ainsi, la vérification de la licéité de chaque consultation semble difficile sur base des informations contextuelles limitées qui sont reprises dans le journal (i. e. seul une motivation générique sommaire est reprise dans le journal). »
La CNPD regrette que le projet de loi ne précise pas l'article 24 précité, en prévoyant le contenu des logues adaptés aux fichiers de la Police grand-ducale, en particulier relatif au motifs de consultation.
Elle se demande s'il ne serait pas opportun de définir les critères d'accès et les critères de journalisation de manière transversale, pour les accès aux banques de données visées à l'article 43, pour les fichiers particuliers visés à l'article 43-1 et pour le fichier central visé à l'article 43-
Ainsi, il serait nécessaire d'harmoniser les dispositions en matière de journalisation concernant les fichiers de la Police avec les modalités de contrôle des logues découlant de l'article 43, paragraphes 6 à
[ CNN] Avis de la Commission nationale pour la protection des données relatif au projet de loi
29/45
Durées de conservation
L'article 4 de la loi du ier août 2018 relative aux traitements de données en matière pénale fixe les règles minimales en matière de délais de conservation et d'examen : «

(1)Le responsable du traitement fixe des délais appropriés pour l'effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver les données à caractère personnel. Les délais sont à fixer eu égard à la finalité du traitement.

(2)Le responsable du traitement établit des règles procédurales en vue d'assurer le respect de ces délais qui déterminent les personnes intervenant au nom et pour compte du responsable du traitement dans cette procédure, y compris le délégué à la protection des données, ainsi que les délais dans lesquelles ces personnes doivent accomplir leurs tâches respectives. Les règles procédurales sont mises à la disposition de la personne concernée conformément à l'article 11 et à l'autorité de contrôle compétente sur demande de celle-ci. »

Dans son avis relatif au fichier central, la CNPD a déjà considéré que la disposition précitée ne reflétait pas correctement l'article 5 de la directive qu'elle est censée transposer : « Dans son avis du 28 décembre 2017 relatif au projet de loi (n° 7168) de transposition de la directive, la CNPD avait estimé que l'article 5 de la directive n'était pas correctement transposé en droit national. Le législateur n'a cependant pas suivi l'argumentation de la CNPD. »
Elle avait par ailleurs relevé que « les délais de conservation ou du moins les critères applicables pour déterminer la durée de conservation ainsi que les procédures permettant la vérification régulière de la nécessité desdits délais mériteraient d'être précisés par le législateur afin de limiter au maximum la marge de manœuvre du responsable du traitement et garantir la transparence, l'accessibilité et la proportionnalité desdits délais ».
La CNPD salue le fait que l'article 43-2, paragraphes 9 à 18, contient des dispositions détaillées sur les durées de conservation applicables aux données contenues dans la partie active et la partie passive du fichier central. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi
30/45 6.
Données contenues dans la partie active du fichier central
Les données contenues dans la partie active du fichier central sont définies à l'article 432, paragraphe 7, ainsi que, implicitement, toute information contenue dans les procèsverbaux et rapports sauvegardés dans celui-ci conformément au paragraphe 1er, y compris des catégories particulières de données à caractère personnel dans la limite de l'article 43-1, paragraphe
L'accès aux données est différencié suivant les finalités définies aux paragraphes 1er et 2 de l'article 43-2, les règles d'accès définies notamment par les paragraphes 5, 9 et 10 de l'article 43-1 et les profils et modalités d'accès définis par la Police au sens de l'article 43-1, paragraphe
L'article 43-2 prévoit six sous-catégories : 6.1.
Les données introduites au titre de missions de police administrative et de toute autre mission dont la Police est investie par la loi
En premier lieu, la CNPD s'interroge sur la définition de « toute autre mission dont la Police est investie par la loi » et souhaite obtenir plus d'information concernant les missions qui ne relèverait ni des missions de la police administrative, ni des missions de la police judiciaire. De plus, force est de constater que, dans la disposition sous examen et dans le commentaire des articles afférent, différentes notions sont utilisées, « mission dont la Police est investie par la loi », de « missions administratives ». Il est renvoyé aux développements précédents relatives à l'article 43 nouveau et la notion de « fins administratives ».
L'article 43-2, paragraphe 15 prévoit que « files informations et données à caractère personnel [...] dans le cadre d'une mission de police administrative ou dans le cadre d'une mission administrative dont la Police est investie par la loi, sont supprimées au plus tard après une période de dix ans après leur enregistrement dans le fichier central [...1 ». La CNPD accueille favorablement que les données soient en principe supprimées après l'écoulement dudit délai.
Cependant, sans connaître les « missions administratives », il est difficile de se prononcer sur l'adéquation de ce délai de 10 ans. La CNPD rappelle qu'il n'est pas suffisant d'invoquer « un souci de simplification [...] ce qui évite de prévoir plusieurs exceptions de prolongation », tel qu'il ressort du commentaire des articles, pour justifier un délai de conservation unifié qui de plus est de dix ans. Le commentaire des articles reste muet quant à d'éventuels aménagements prévues à ce délai maximum et en [ CNPD - Avis de la Commission nationale pour la protection des données relatif au projet de loi
31/45 comprend que les auteurs envisagent en principe l'application standardisée de ce délai. Or, la CNPD s'interroge sur la proportionnalité du délai de 10 ans pour les missions ne relevant pas de la police administrative. Elle peut néanmoins concevoir que, tel que proposé dans la disposition sous examen, la Police fixe elle-même les durées de conservation pour les missions de police administrative et les missions découlant de lois spéciales, dans les limites du délai maximum que la disposition prévoit, en indiquant in fine « Na Police peut arrêter des délais de conservation plus courts par type de rapport au sens de ce paragraphe, auquel cas elle tient un relevé dans lequel les délais spécifiques sont indiqués ». La Commission nationale rappelle également que les dispositions légales spécifiques peuvent prévoir des délais de conservation différents qu'il convient de respecter, comme c'est le cas par exemple à l'article 25 la loi modifiée du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière. En tout état de cause, la restriction des accès peut réduire le risque pour les personnes concernées. 6.1.
Les données relatives aux mineurs
L'article 43-2, paragraphe 15, alinéa 2, prévoit que les « informations et données à caractère personnel contenues dans le fichier central relatives à des personnes mineures en fugue sont effacées du fichier central lorsque la personne a atteint l'âge de dix-huit ans ». La CNPD peut souscrire à la solution retenue.
Cependant, elle s'interroge sur la proportionnalité et la nécessité d'appliquer les durées de conservation communes aux données relatives aux mineurs autres que celles relatives à des personnes mineures en fugue, notamment eu égard aux exigences de la loi modifiée du 10 août 1992 relative à la protection de la jeunesse ainsi que de la réforme engagée dans ce domaine. 6.1.
Les données relatives aux demandes d'entraide judiciaire internationale
Sur base de l'article 43-2, paragraphe 14, alinéa 1, les documents rédigées dans le cadre de ses missions de police judiciaire dans le contexte d'une demande d'entraide sont conservés pendant 20 ans dans la partie active.
Alors que le délai de conservation dans la partie active du fichier central ne semble pas excessif, la CNPD suggère néanmoins d'assortir ce type de documents de règles d'accès spécifiques. [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
32145 6.1.
Les données relatives à la coopération policière internationale ou des « rapports aux autorités judiciaires qui n'ont pas comme objet la constatation d'une infraction pénale » qui « ne concernent pas une enquête en cours ou une infraction déterminée »
L'article 43-2, paragraphe 14, alinéa 2, renvoie à l'article 43-2, paragraphe 15, alinéa 1 pour ce type de données. La CNPD renvoie aux développements plus haut concernant l'adéquation du délai maximum de conservation de 10 ans, en soulignant qu'il convient de prendre également en compte les obligations découlant d'engagements internationaux en matière de coopération policière internationale dans la détermination des durées de conservation desdites données
6.1.
Données relatives à la coopération policière internationale ou des « rapports aux autorités judiciaires qui n'ont pas comme objet la constatation d'une infraction pénale » qui concernent une enquête en cours ou une infraction déterminée ;
L'article 43-2, paragraphe 14, alinéa 2, prévoit que pour ce type de données, la durée de conservation s'aligne sur celle applicable aux « procès-verbaux ou rapports élaborés dans le cadre de l'enquête à laquelle ils se rapportent ». La CNPD peut se rallier à cette solution. 6.1.
Les données introduites au titre de missions de police judiciaire
L'article 43-2, paragraphe 8, prévoit que « Nes données à caractère personnel et les informations prévues aux paragraphes

(3)et

(4)sont transmises au fichier central si l'enquête est terminée, ou si l'autorité judiciaire compétente a autorisé la transmission conformément à la loi modifiée du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière ». Dans le commentaire des articles, les auteurs expliquent que ce paragraphe « détermine le moment auquel les données peuvent être répertoriées dans le fichier central » et justifient qu'« [a]vec l'enregistrement d'un procès-verbal ou rapport dans le fichier central, les informations et données deviennent accessibles à l'ensemble des officiers et agents de police judiciaire 15 Voir par exemple, l'article 4, paragraphe 4, alinéa ler de l'accord entre le Gouvernement du GrandDuché de Luxembourg, le Gouvernement du Royaume de Belgique, le Gouvernement de la République fédérale d'Allemagne et le Gouvernement de la République française, concernant la mise en place et l'exploitation d'un centre commun de coopération policière et douanière dans la zone frontalière commune, signé à Luxembourg, le 24 octobre

[ CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
33/45 de la Police qui disposent d'un droit d'accès en vertu de l'article 43-1, paragraphe
Or, ces informations et données peuvent être couvertes par le secret de l'enquête voire le secret de l'instruction. ».
La CNPD se demande comment les données sont conservées en attendant la transmission au fichier central. Ainsi, en attendant la fin de l'enquête ou la décision des autorités judiciaires, le procès-verbal ou le rapport est conservé par l'auteur dudit document, sans qu'il ne soit réellement possible d'en vérifier les conditions de sécurité et d'accès. En particulier, lors d'enquêtes qui durent plus longtemps, il se pose la question des modalités de conservation desdits documents, notamment s'il existe une sorte de « fichier temporaire » au niveau de chaque officier de police judiciaire chargé d'une enquête par le ministère public ou par un juge d'instruction.
Pour justifier ce décalage dans le versement du document au fichier central, les auteurs du projet de loi semblent indiquer implicitement que l'accès ne peut pas être restreint aux seuls officiers et agents de police judiciaire chargées de l'enquête. Or, dans la même disposition sous examen, conformément à l'article 43-2, paragraphe 5, alinéas 2 et 3, il est prévu que le fichier central permet de limiter l'accès aux données « douces » « aux officiers de police judiciaire en charge de l'information ». Par ailleurs, l'article 43-1, paragraphe 3, chiffre 6°, prévoit également que l'accès aux données relatives à des mineurs doivent pouvoir être limité au personnel de certains officiers ou agents de la Police. Il semblerait que le système devra permettre de restreindre l'accès nominativement à certains officiers, et il se pose alors la question si cette solution ne pourrait pas être transposée aux données relatives à des enquêtes en cours. La gestion des accès permettrait, de l'avis de la CNPD, de respecter le secret de l'enquête et le secret de l'instruction. Si le système ne permettait pas de restreindre l'accès nominativement à certains officiers, le responsable de traitement serait confronté à des difficultés de mettre en œuvre les dispositions relatives à l'accès aux données « douces » et aux données relatives à des mineurs.
La CNPD note avec intérêt que l'article 43-1, paragraphes 9 à 13, contient des critères qui déclenchent le transfert des données de la partie active vers la partie passive du fichier central et que des règles spécifiques ont été prévues pour les données en relation avec des contraventions en application de l'article 43-1, paragraphe
Elle salue la mention des décisions de condamnation, d'acquittement, de non-lieu ou de classement sans suite dans le fichier central, tel que prévu par l'article 43-2, paragraphe
Cette inscription contribue grandement à l'exactitude des données contenues dans le [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
34/45 fichier central. Elle suggère de prévoir également qu'il soit fait mention de la réhabilitation, en particulier dans les dossiers visant plusieurs personnes physiques conservés dans la partie active. 6.1.6.
En l'absence de décision de justice, y compris en cas de décisions de nonlieu, de décision de classement sans suites et de décision de classement « ad acta »
La CNPD se félicite de la mise en place du retour automatisé entre la base de données des autorités judiciaires et du fichier central par le biais de l'article 43-2, paragraphe
En effet, il s'agit d'une recommandation contenue dans son avis relatif au fichier central. D'une part, techniquement, ce retour automatisé semble dorénavant fonctionner, et d'autre part les auteurs du projet de loi l'ont retenu pour déclencher le transfert vers la partie passive du fichier central. D'après les auteurs, « file paragraphe 11 vise les décisions de non-lieu, de classements sans suites, ainsi que les affaires dans lesquelles l'auteur est resté inconnu ou les affaires prescrites qui sont mises 'ad acta' et pour lesquelles aucune décision n'est intervenue ». Enfin, la CNPD s'interroge sur le traitement identique de décisions différentes. Toutefois, elle estime que, d'une part, cette question peut être résolue au niveau du « JUCHA » et qu'il revient également au procureur d'Etat de prendre les mesures nécessaires conformément à l'article 43-2, paragraphe
Elle peut dès lors se satisfaire de la solution retenue à la disposition sous considération.
Ainsi, en l'absence d'une décision judiciaire, les données sont transmises dans la partie passive du fichier central lorsque le dossier fait l'objet d'un « archivage » dans le « traitement, dit chaîne pénale, du ministère public », le « JUCHA ». Cet « archivage » dans le traitement « JUCHA » correspond à une réduction de l'accessibilité des données relatives au dossier. Dès lors, étant donné que le délai actuel de cette mesure est fixé à 3 ans, ce délai s'applique également aux données contenues dans le fichier central. La CNPD note que les réflexions sont engagées pour augmenter ce délai à 5 ans.
La CNPD s'interroge néanmoins sur les règles applicables en cas d'absence de retour automatisé de la part des autorités judiciaires. Elle recommande de prévoir une solution de repli lorsque le retour automatisé ne fonctionne pas.
À noter également que cette mesure est réversible dès lors que le dossier fait l'objet d'« [u]ne retransmission dans la partie active du traitement, dit chaîne pénale, du [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
35/45 ministère public donne lieu à une retransmission dans la partie active du fichier central. » conformément à l'article 43-2, paragraphe 16, alinéa
6.1.6.
En cas de décision de condamnation coulée en force de chose jugée
La CNPD peut souscrire pleinement à la solution retenue à l'article 43-2, paragraphe 9, en présence d'une condamnation coulée en force de chose jugée, en ce que, d'après les termes des auteurs du projet de loi, « la durée de conservation des informations et données dans le fichier central de la Police est liée à la durée pendant laquelle la condamnation figure au casier de la personne concernée ». Ainsi, lors de la réhabilitation, les données sont transmises dans la partie passive du fichier central. La CNPD se demande quel traitement est réservé aux décisions visant la suspension du prononcé de la condamnation et des ordonnances pénales.
Elle comprend également que, sur base de l'article 43-2, paragraphe 9, alinéa 2, « lorsque la réhabilitation ne concerne pas toutes les personnes condamnées, les informations et données sont maintenues en partie active jusqu'à la réhabilitation de toutes les personnes condamnées dans une affaire déterminée » puisque les données se rapportent à des documents relatifs à une poursuite pénale. Elle peut se satisfaire du fait que « la personne réhabilitée dans l'affaire visée ne peut plus être recherchée dans la partie active » tout comme de la solution retenue pour les victimes et témoins à l'article 43-2, paragraphe 9, alinéa
6.1.6.
En cas de décision d'acquittement coulée en force de chose jugée
L'article 43-2, paragraphe 10, prévoit une transmission dans la partie passive du fichier central « dès que la Police est informée de la décision d'acquittement, sauf si le Procureur d'Etat ordonne leur maintien ». Les auteurs du projet de loi se réfèrent à la législation française, en particulier à l'article 230-8 du Code de procédure pénale français. Or, à la différence dudit article 230-8, la solution par défaut retenue par les auteurs n'est pas la suppression des données, mais uniquement le transfert dans la partie passive du fichier central. De même, la législation française encadre davantage la décision du ministère public de maintenir des données relatives à des personnes acquittées dans le fichiers d'antécédents de la police judiciaire. La CNPD estime nécessaire que les droits des personnes acquittées soient mieux pris en compte, notamment d'un point de vue du droit à l'information et de limitation des finalités. [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
36/45
Elle peut suivre la solution retenue à l'article 43-2, paragraphe 10, alinéa 2, en matière de limitation de la recherche de la personne acquittée « l'acquittement ne concerne pas toutes les personnes impliquées dans la poursuite pénale » et à l'alinéa 3 concernant les victimes et témoins. 6.1.6.
Les contraventions
D'après l'article 43-2, paragraphe 1er, alinéa 3, « Le fichier central ne comporte pas les données relatives à des personnes qui ont commis une contravention si une loi spéciale permet d'arrêter les poursuites pénales par le paiement d'un avertissement taxé et que la personne concernée s'est acquittée de l'avertissement taxé dans le délai prévu par la loi ». D'après les auteurs du projet de loi, cette disposition vise par exemple les « avertissements taxés au sens de l'article 15 de loi modifiée du 14 février 1955 concernant la réglementation de la circulation sur toutes les voies publiques ». En « cas de non-paiement dans les délais légaux, un procès-verbal doit cependant être rédigé, qui se retrouvera dans le fichier central ».
D'après l'article 43-2, paragraphe 17, alinéa 3, « les informations et données à caractère personnel contenues dans le fichier central, qui ont leur origine dans des procès-verbaux ou rapports pour contraventions adressés aux autorités judiciaires, sont supprimées cinq ans après l'établissement du procès-verbal ou du rapport ». La CNPD comprend que ce délai vaut à la fois pour la partie active du fichier central et pour la partie passive de celuici, notamment lorsque le dossier a été transmis à la partie passive en application de l'article 43-2, paragraphes 11 ou
Elle peut souscrire à ces deux passages du texte sous considération pour les avertissements taxés acquittés sur base d'une loi spéciale d'une part et pour les autres contraventions d'autre part. 6.1.6.
Les données dites « douces »
La CNPD peut se satisfaire des durées proposées relatives aux données de « personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles sont sur le point de commettre une infraction pénale, ainsi que les contacts ou associés qui sont suspectés d'avoir l'intention de participer à ces infractions ou d'en avoir connaissance, ainsi que les personnes qui peuvent fournir des informations sur ces infractions pénales » telles que définies à l'article 43-2, paragraphe 4, point 100 . Ainsi, conformément à l'article 43-2, paragraphe 14, alinéa 3, les données sont « transférées dans la partie passive un an [ CNP11 Avis de la Commission nationale pour la protection des données relatif au projet de loi
37/45 après leur enregistrement dans la partie active du fichier central. Ce délai peut être prolongé d'une année supplémentaire sur décision motivée [...] ». De même, ces données « sont supprimées trois ans après leur transfert dans la partie passive » conformément à l'article 43-2, paragraphe 17, alinéa
La CNPD s'interroge toutefois du sort des données de « personnes auxquelles il existe des motifs sérieux de croire qu'elles sont sur le point de commettre une infraction pénale » pour lesquelles l'accès a été modifié conformément à l'article 43-2, paragraphe 5, alinéa
6.1.6.
Les décisions visant les limitations du traitement ou le transfert vers la partie passive du fichier central
La Commission nationale salue l'insertion de l'article 43-2, paragraphe 13, qui donne la possibilité au procureur d'Etat « d'office ou à la demande de la personne concernée », d'ordonner le transfert de données relevant de la mission de police judiciaire dans la partie passive du fichier central ou de limiter les possibilités de rechercher la personne concernée dans la partie active. Elle relève positivement que ces décisions soient notifiées à la personne concernée et puissent faire l'objet d'un recours juridictionnel devant le Président du tribunal d'arrondissement compétent. Implicitement, cette disposition pourrait être applicable aux fichiers particuliers par la lecture combinée avec l'article 43-1, paragraphe 4 qui prévoit que « [I]a durée de conservation [applicables aux fichiers particuliers] ne sera en aucun cas supérieure à celles qui sont applicables au fichier central » et de l'article 43-2, paragraphe 18, qui prévoit qu'« [a]u plus tard au moment du transfert dans la partie passive du fichier central des informations et données à caractère personnel relevant d'une mission de police judiciaire, les informations et données à caractère personnel en question qui se trouvent dans d'autres fichiers doivent être supprimées dans ceux-ci [...] ». Or, pour des raisons liées à la sécurité juridique, la Commission nationale estime qu'il serait préférable de prévoir explicitement que le procureur d'Etat puisse ordonner les mêmes mesures concernant des données contenues dans des fichiers particuliers. 6.
Données contenues dans la partie passive du fichier central (police judiciaire)
En l'état actuel, les données dans le fichier central actuel sont conservées pour une durée de 60 ans à partir de l'enregistrement de celles-ci. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi
38/45
L'article 43-2, paragraphe 17, alinéa 1er, établit un délai général de 30 ans de conservation « après leur transfert dans la partie passive ».
L'article 43-2, paragraphe 17, alinéa 4, prévoit la possibilité, pour les autorités judiciaires, de prolonger la durée de conservation « en raison d'une demande de révision en cours ».
De manière générale, la CNPD s'interroge toujours sur la proportionnalité de ce délai de 30 ans, qui s'ajoute à la durée de conservation dans la partie active du fichier central.
Premièrement, elle suggère de prévoir un mécanisme de revue périodique de la nécessité et de la proportionnalité de la conservation des données sous la direction des autorités judiciaires conformément à l'article 4 de la loi du 1er août 2018 relative aux traitements de données en matière pénale qui prévoit, d'une part que le responsable de traitement « fixe des délais appropriés pour l'effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver les données à caractère personnel » et d'autre part « établit des règles procédurales en vue d'assurer le respect de ces délais ».
Deuxièmement, elle propose que le législateur fixe des délais de conservation moins longues pour la partie passive du fichier central, avant tout pour les données relatives à des affaires pénales ayant abouties à des décisions d'acquittement et de non-lieu. Dans ce cas, il pourrait être laissé à l'appréciation des autorités judiciaires, pour des raisons liées à l'affaire en question, d'ordonner des délais de conservation plus longues, à l'instar du retour écrit de la part des autorités judiciaires en matière de « demande de révision en cours ». La CNPD fait observer qu'avec la mise en place généralisée du projet de « ejustice », le besoin d'avoir accès aux documents de la police en matière de révision deviendra moins évident, et il pourra, à ce moment, être envisagé de supprimer les données au niveau de la police dans des délais plus courts.
Dans la même logique, il serait également envisageable de définir des délais différents pour d'autres d'infractions pénales, notamment en lien avec la gravité des faits et de la sanction pénale envisageable.
Par ailleurs, pour les données relatives à l'entraide, la combinaison de la durée de conservation dans la partie active de 20 ans, avec la durée de conservation proposée pour la partie passive de 30 ans, résulte dans une durée de conservation totale de 50 ans avant un éventuel archivage définitif au sens de la loi du 17 août 2018 sur l'archivage. [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
39/45 Il conviendrait éventuellement d'adapter la durée de conservation dans la partie passive, alors que la durée totale semble disproportionnée.
Ainsi, la CNPD suggère que, en suivant la logique de la procédure mise en place à l'article 43-2, paragraphe 13, de prévoir également la possibilité, pour les autorités judiciaires compétentes, d'ordonner l'effacement de données de la partie passive du fichier central. 6.
Les données introduites dans un fichier particulier
Concernant les fichiers particuliers ne disposant pas de dispositions légales définissant les durées de conservation, il convient de différencier les cas de figure suivants : Données contenues dans la partie active du fichier particulier accessibles suivants les règles d'accès définies à l'article 43-1, paragraphe 3 en application de durées de conservation fixées par le responsable de traitement conformément à l'article 43-1, paragraphe 4 ;
La Commission nationale note avec intérêt qu'en application de l'article 43-1, paragraphe 4, les durées de conservation dans la partie active des fichiers particuliers ne devraient pas dépasser les durées de conservation applicables à la partie active du fichier central, sauf en cas de disposition légale contraire prévoyant des durées de conservation plus longues. Elle constate que ladite disposition ne contient pas de critères pour la détermination de la durée de conservation et laisse ainsi une marge d'appréciation très large à la Police grand-ducale en se référant uniquement à une durée de conservation maximale. De plus, elle regrette que l'article 43-1, paragraphe 4, ainsi que le commentaire des articles restent muets sur les « règles procédurales » que la Police grand-ducale entend se donner pour se conformer à l'article 4, paragraphe 2, de la loi du 1er août 2018 précitée et à l'article 5 de la directive en ce qui concerne les fichiers particuliers. - - Données contenues dans la partie passive du fichier particulier, à défaut de pouvoir être transférées dans la partie passive du fichier central, conformément à l'article 43-2, paragraphe 18, alinéa 2 ; Données relatives à des « traces prélevées dans le cadre d'enquêtes où les auteurs des faits sont restés inconnus » contenues dans la partie passive du fichier particulier, conformément à l'article 43-2, paragraphe 18, alinéa 3 ;
La Commission nationale peut souscrire à la solution retenue dans les deux cas de figure. Elle suggère néanmoins de prévoir explicitement leur transfert dans la partie passive du [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
40/45 fichier particulier en question et de limiter les finalités à ces celles visées à l'article 43-2, paragraphe 19, applicable à la partie passive du fichier central. Données contenues dans la partie active du fichier particulier ne disposant pas de partie passive ayant atteint, en principe, les durées de conservation, conformément à l'article 43-2, paragraphe 18, alinéa
L'article 43-2, paragraphe 18, alinéa 2 semble ouvrir la voie à des fichiers particuliers qui ne disposerait pas de « possibilité d'archivage », c'est-dire, dans la compréhension de la CNPD, d'une partie passive. Cependant, la CNPD s'interroge sur la définition des accès à des données contenues dans un fichier particulier visé par ledit alinéa ne disposant pas de partie passive.
D'un point de vue formel, l'article 43-2, paragraphe 18, alinéa 2, fait état de la « possibilité d'archivage » et de « durées d'archivage ». Or, la CNPD relève que cette terminologie peut créer une confusion avec la loi du 17 août 2018 relative à l'archivage, alors que la partie passive d'un fichier central ne constitue pas une mesure d'archivage définitif au sens de ladite loi. Par conséquent, il serait préférable de se référer à la transmission de données dans la partie passive du fichier particulier concerné et aux « durées de conservation ».
Concernant les fichiers particuliers mises en œuvre sur le fondement d'un instrument juridique distinct, il convient de se référer aux dispositions relatives aux durées de conservation y définies. La Commission nationale suggère que, suite à l'adoption du présent projet de loi, le législateur aligne au besoin ces dispositions légales aux principes dégagés dans les dispositions sous considération.
La loi du 17 août 2018 relative à l'archivage peut exiger de conserver des documents contenus dans le fichier central ou les fichiers particuliers au-delà des durées de conservation discutées dans le présent projet de loi, à savoir les documents susceptibles de faire l'objet d'un archivage définitif et, le cas échéant, d'un versement aux archives nationales. Or, la CNPD rappelle que l'accès doit être en principe impossible, à l'exception stricte pour les opérations de traitement de données effectuées pour les finalités visées à ladite loi du 17 août 2018, principalement le conditionnement en préparation à l'archivage définitif. [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
41/45
La modification de l'article 509-1 du Code pénal
Le projet de loi prévoit de modifier l'article 509-1 du Code pénal, en y insérant, aux termes des auteurs du projet de loi, une disposition pénale « en matière de violations des droits d'accès, et ce à l'égard de toutes les autorités étatiques et entités privées », en tenant compte, de ce que la CNPD en comprend, de l'évolution jurisprudentielle à cet égard. Elle rappelle néanmoins que ceci n'enlève en rien à la responsabilité du responsable de traitement de notamment mettre en place des systèmes de contrôle des accès ex ante, des revues des logues et la formation de ses agents.
Les dispositions transitoires
La CNPD rappelle que l'article 63, paragraphe 1, de la loi du 1er août 2018 relative aux traitements de données en matière pénale prévoit des dispositions transitoires et de mise en conformité : «

(1)À titre exceptionnel et lorsque cela exige des efforts disproportionnés, les systèmes de traitements de données à caractère personnel automatisés installés avant le 6 mai 2016 sont mis en conformité avec l'article 24 au plus tard le 6 mai 2023.

(2)Par dérogation au paragraphe ler, et dans des circonstances exceptionnelles, un système donné de traitement de données à caractère personnel automatisé visé au paragraphe ler peut être mis en conformité avec l'article 24 jusqu'à une date butoir à déterminer par une décision du Gouvernement en conseil et située après le 6 mai 2023 lorsque, à défaut de cela, de graves difficultés se posent pour le fonctionnement du système de traitement automatisé en question. La date butoir ne peut être fixée au-delà du 6 mai

»
L'article 7, alinéas 1 et 2, du projet de loi sous considération prévoit quant à lui que « Les fichiers autres que le fichier central de la Police établis avant l'entrée en vigueur de la présente loi sont mis en conformité avec l'article 43-1 de la présente loi au plus tard le 6 mai
Par dérogation à l'alinéa ler, lorsque cela exige des efforts disproportionnés et l'intervention de ressources extemes, les fichiers autres que le fichier central peuvent être mis en conformité avec l'article 43-1 de la présente loi jusqu'au 6 mai
» 4 CNN] - Avis de la Commission nationale pour la protection des données relatif au projet de loi
42/45
La CNPD s'interroge sur la compatibilité entre les deux dispositions transitoires alors que le présent projet de loi ne devrait en principe uniquement préciser et clarifier la mise en œuvre des obligations découlant de la loi précitée du ier août
La disposition transitoire de la loi précitée du 1er août 2018 se limite en effet à permettre un délai de mise en conformité avec les obligations découlant de l'article 24 de ladite loi relatif à la journalisation pour des fichiers créés avant le 6 mai
La CNPD s'interroge aussi sur l'absence d'exigences procédurales prévues à l'article 7, alinéa 2, du projet de loi à la lumière des contraintes posées par la loi du 1er août 2018 relative aux traitements de données en matière pénale.
Dans le commentaire des articles, les auteurs du projet de loi expliquent, en prenant appui sur les délais prévus à l'article 63 précité, que, « Comme des efforts de programmation devront donc être réalisés au plus tard pour ces dates, il s'avère opportun de prévoir les mêmes délais pour les autres adaptations à prévoir dans le cadre du présent projet de loi, qui exige des travaux considérables sur le plan technique, le recrutement de personnel hautement spécialisé et l'intervention de ressources externes. Il convient également de préciser que la Police dispose de certaines banques de données spécialisées qui ont été acquises auprès de fournisseurs internationaux, tels les logiciels de comparaison des empreintes digitales ou d'empreintes génétiques, ou d'autres applications utilisées notamment par le Service de police judiciaire en matière de gestion et d'exploitation des traces trouvées sur les lieux du crime. Les fournisseurs doivent de toute façon adapter leurs logiciels au plus tard pour l'année 2026, il convient donc de fixer la même date pour la mise en conformité par rapport aux dispositions de la présente loi, afin d'éviter des coûts disproportionnés ou le risque de ne pas pouvoir effectuer les interventions nécessaires dans le délai fixé. »
La CNPD avait estimé, dans son avis relatif au fichier central, que : « Au regard des éléments dont dispose la CNPD actuellement quant à la structure et la configuration du fichier central, elle tient à rappeler que la Police grand-ducale ne pourra pas se réfuter derrière des contraintes techniques pour justifier une nonconformité. Il incombe à ce moment au responsable du traitement de prendre toutes [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi
43/45 les mesures nécessaires pour assurer qu'il soit en mesure de respecter pleinement les droits des personnes concernées - même si ceci nécessite le redéveloppement d'un système informatique. »
Le même constat est valable pour les éventuels fichiers existants exploités par la Police grand-ducale. À cet égard, elle se demande en quoi les considérations techniques invoquées, notamment « l'intervention de ressources externes » constituent des « circonstances exceptionnelles » et qu'une adaptation jusqu'au 6 mai 2023 poserait de « graves difficultés [...] pour le fonctionnement du système de traitement automatisé en question ».
La CNPD considère qu'il serait préférable d'aligner les dispositions transitoires dans le projet de loi, en particulier en les limitant aux fichiers créés avant le 6 mai 2016 et en restreignant la portée de celle-ci à l'article 43-1, paragraphe 5 relatif à la journalisation à « titre exceptionnel et lorsque cela exige des efforts disproportionnés ».
La Commission nationale rappelle que les considérations techniques ne doivent pas justifier à elles seules de longues périodes de transition. À l'instar des homologues étrangers, l'encadrement légal ou réglementaire des traitements des données ne doit pas être considéré comme un frein à l'efficacité de l'action de la Police grand-ducale, mais peut accompagner et guider le travail des autorités répressives au quotidien en fournissant des règles claires et transparentes à tous les acteurs impliqués et personnes concernées.
En particulier pour les fichiers complexes, de par les volumes des données traitées, des formats utilisés et des interconnexions de ces fichiers, la CNPD estime qu'il est possible de déterminer d'ores et déjà qui les utilise et à quelles finalités, quelles données sont stockées et pour combien de temps, comment le contrôle d'accès a priori et a posteriori est effectué. Ainsi, la CNPD estime qu'il est possible d'encadrer, par un texte législatif ou réglementaire, ces fichiers sans aucunement entraver l'efficacité des autorités répressives.
Les auteurs du projet de loi estiment que la Police grand-ducale a besoin d'une flexibilité accrue dans la création de fichiers, sans recourir à une base légale. Comme exposé, la CNPD peut suivre ce raisonnement pour une série de fichiers en tant que prolongation du fichier central ou de fichiers particuliers disposant d'une base légale séparée. Cependant, pour ces fichiers, plus versatiles et plus facilement adaptables, il est difficile [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi
44/45 d'admettre une non-conformité pendant une durée allant de 3 à 6 ans, y compris une éventuelle non-conformité limitée aux obligations de journalisation.
La CNPD comprend que le « nouveau » fichier central sera opérationnel à l'entrée en vigueur de la loi découlant du présent projet de loi, c'est-à-dire six mois après la publication de ladite loi au Journal officiel du Grand-Duché de Luxembourg. L'article 7, alinéa 3, du projet de loi prévoit que l'accès au fichier central existant serait limité au officiers et agents de police judiciaire pendant un an après l'entrée en vigueur de la loi. L'article 7, alinéas 4 à 7, du projet de loi régit la migration et l'interaction entre le fichier central existant à ce jour et le « nouveau » fichier central. Ces dispositions n'appellent quant à elles pas d'observations particulières de la part de la CNPD.
En tout état de cause, la CNPD rappelle que les efforts de mise en conformité pour les systèmes en place doivent avancer, en particulier en mettant en œuvre les recommandations issues de l'avis de la CNPD et de l'avis de l'IGP de
**
En conclusion, la CNPD salue le projet de loi qui encadre de manière détaillée le fichier central. Même si elle peut convenir qu'il n'est pas nécessaire d'encadrer individuellement chaque traitement de données mis en œuvre par la Police dans l'exercice de ses missions de police judiciaire ou de police administrative, elle réitère sa conviction que, dans le fonctionnement d'une société démocratique, il serait préférable d'encadrer par des dispositions légales ou réglementaires les traitements de données les plus intrusifs, de par le nombre de personnes concernées et de par la sensibilité des données traitées.
Ainsi décidé à Belvaux en date du 16 mars
La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2021.03.16 15:22:55 +01'00' Tine A. Larsen Présidente Thierry lned by CHRISTOPHE .[,:ihititrallyLa ry NICOLAS Date: 2021.03.a 1n 6g Lallemang 16:49:33 RUSCHMANN +0100 Thierry Lallemang Commissaire Digitally signed by CHRISTOPHE NICOLAS BUSCHMANN Date:2021.03.16 16:47:53 +0100' Christophe Buschmann Commissaire Digitally signed by Marc Ernest Marc Emest JeanJean-Pierre Pierre Lemmer Date: 2021 03 16 Lemmer 16:53:21 +0.100' Marc Lemmer Commissaire CNPF] Avis de la Commission nationale pour la protection des données relatif au projet de loi
45/45 Préface Rapport d'activités 2020 — Philippe SCHRANTZ Déi weltwäit Pandemie huet 2020 och den Alldag bei der Police dominéiert. D'Police huet wäertvoll Aarbecht an der Lutte géint d'Ausbreedung vum Virus geleescht. Ob Kontroll vum Confinement, der Ausgangsspär, der Maskeflicht oder de Rassemblementer, d'Missioune woren net einfach a Fangerspëtzegefill wor gefrot. Queesch duerch d'Bänk goufen des Efforten staark appréciéiert. Konsens herrscht bei de Beméiunge fir d'Police méi breet opzestellen. Déi nei Recrutementsprozedur ass am Juli 2020 gestëmmt ginn. Am Hierscht gouf den éischte grousse Recrutement lancéiert. Hat munchereen am Ufank nach Zweiwel, ob mer 200 Kandidate fannen, sou woren déi séier verflunn. Och wann déi nei Kandidaten eréischt am Mee 2021 an der Policeschoul ufänken, sou kann een elo scho rouege Gewëssens behaapten, datt de Recrutement — begleet duerch eng grouss Mediecampagne — en enorme Succès ass. Mee och beim Zivilpersonal ass vill geschitt: iwwer 100 Ziviliste goufen d'leschtJoer agestallt. Ech sinn iwwerzeegt, datt mer an dësem Beräich Liicht um Enn vum Tunnel gesinn an hoffen datt mer alleguer un engem Strang z

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.

Règlement grand-ducal du 10 août 2018 portant fixation des conditions et modalités de consultation et de délivrance de la documentation cadastrale, to