Projet de loi n0 77411 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2

CHAMBER 1 I OF COMMERCE LUXEMBOURG POWERINO BUSINESS Luxembourg, le 31 mars 2021 Objet : Projet de loi n0 77411 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ; et 3° du Code pénal. (5707MEM) Saisine : Ministre de la Sécurité intérieure (18 décembre 2020) Avis de tp Chprner8 Commere, Le projet de loi sous avis (ci-après le « Projet ») a pour objet de modifier (

1. i)la loi modifiée du 18 juillet 2018 sur la Police grand-ducale (ci-après, « la Loi du 18 juillet 2018 sur la Police »), (
2. ii)la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat et (iii) le Code pénal. En bref > La Chambre de Commerce soutient pleinement les initiatives visant à lutter contre la criminalité. Elle estime toutefois qu'un juste équilibre doit être trouvé entre ces initiatives et la nécessité du respect de la vie privée et la protection des données à caractère personnel. > Elle accueille favorablement les nouvelles règles encadrant les traitements de la Police grand-ducale dans l'exercice de ses missions légales et la modification du Code pénal aux fins de sanctionner une personne effectuant un traitement de données à caractère personnel pour une autre finalité que celle pour laquelle elle dispose d'un accès à un système de traitement. > Elle s'étonne néanmoins que les conditions d'accès par la Police grand-ducale à certaines bases de données tenues par d'autres administrations, soient plus larges que celles prévues par les lois instaurant respectivement le Registre des Bénéficiaires effectifs, le Système électronique central et le Registre des fiducies et trusts. ' Lien vers le proiet de loi sur le site de la Chambre des Députés CHAMBEP I OF COMMERCE 1 -- LUXEMBOURG POWERINO BUSINESS 2 Contexte du Projet Pour la bonne compréhension des considérations générales développées dans le cadre du présent avis, il est utile de replacer le Projet dans le contexte légal applicable à la protection des données à caractère personnel au Luxembourg. Le règlement général sur la protection des données2 (ci-après, « RGPD ») fixe le régime applicable à la protection des données à caractère personnel dans l'Union européenne. Ainsi, tous les traitements de données relèvent par principe du RGPD3, sauf exceptions. En complément du RGPD, deux directives de l'Union européenne' portant plus spécifiquement sur la protection des données en matière pénale ont été transposées au niveau national, (
3. i)par la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (ci-après, la « Loi Données Police ») et (
4. ii)par la loi du 1er août 2018 relative au traitement des données des dossiers passagers. Ainsi, en fonction des finalités des traitements réalisés par la Police, celle-ci est amenée à se conformer soit au régime général du RGPD5, soit au régime spécial en matière pénale. La Chambre de Commerce renvoie à cet égard aux développements de son avis relatif au projet de loi n071685, ayant abouti à la Loi Données Police précisant les conditions devant être réunies pour l'application de la Loi Données Police. La Loi du 18 juillet 2018 sur la Police contient un chapitre relatif au « traitement de données à caractère personnel »7, qui n'encadre que l'accès par la Police aux fichiers d'autres administrations 2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE. 'Au niveau national, le RGPD doit se lire avec la loi du 16' août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données dont l'objet principal est, comme l'indique son titre, de porter création de la Commission nationale pour la protection des données et mettre en œuvre le RGPD. Il s'agit de : (
5. i)Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil et de (
6. ii)Directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière 'La Police appliquera par exemple le RGPD dans le cadre de la gestion des données à caractère personnel par le service des ressources humaines de la Police. 6 Avis de la Chambre de Commerce n°4911SBE relatif au Projet de loi n°7168 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification 1) de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire ; 2) de la loi modifiée du 29 mai 1998 portant approbation de la Convention sur la base de l'article K.3 du Traité sur l'Union européenne portant création d'un Office européen de police (convention Europol), signée à Bruxelles, le 26 juillet 1995 ; 3) de la loi modifiée du 31 mai 1999 sur la Police et l'Inspection générale de la Police ; 4) de la loi du 20 décembre 2002 portant approbation - de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995; - de l'Accord relatif à l'application provisoire entre certains Etats membres de l'Union européenne de la Convention établie sur base de l'article K.3 du Traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes, signé à Bruxelles, le 26 juillet 1995 ; 5) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 6) de la loi modifiée du 25 août 2006 relative aux procédures d'identification par empreintes génétiques en matière pénale et portant modification du Code d'instruction criminelle ; 7) de la loi du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement ; 8) de la loi modifiée du 29 mars 2013 relative à l'organisation du casier judiciaire ; 9) de la loi modifiée du 19 décembre 2014 facilitant l'échange transfrontalier d'informations concernant les infractions en m atière de sécurité routière ; 10) de la loi du 25 juillet 2015 portant création du système de contrôle et de sanction automatisés ; 11) de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État, et 12) de la loi du 23 juillet 2016 portant mise en place d'un statut spécifique pour certaines données à caractère personnel traitées par le Service de renseignement de l'État. ' Cf. chapitre 5, article 43 de la Loi du 18 juillet 2018 sur la Police. CHAMBEI171 I OF COMMERCE LUXEMBOURG POWERING BUSINESS 3 en application de la Loi Donnée Police. Or, la Commission Nationale pour la Protection des Données (ci-après, la « CNPD ») a indiqué dans son avis relatif au fichier central de la Police du 13 septembre 20198, qu'elle regrettait : « que ledit chapitre ne prévoit pas une disposition relative au traitement de données à caractère personnel dans le cadre de la gestion et de l'exploitation de fichiers par la Police elle-même. ». Le Projet a dès lors notamment vocation à modifier la Loi du 18 juillet 2018 sur la Police en ce sens. Considérations générales Ce Projet entend principalement modifier la Loi du 18 juillet 2018 sur la Police afin (
7. i)de préciser les conditions d'accès de la Police à certaines bases de données gérées par d'autres administrations9, (
8. ii)de détailler les règles applicables à tous les fichiers que la Police gère, en qualité de responsable de traitement, dans le cadre des missions légales dont elle est investie et (iii) de régler spécifiquement le fichier central de la Police. Il introduit ainsi une base légale pour les traitements de données à caractère personnel réalisés par la Police19 et spécialement pour les traitements du fichier central de la Police dans la Loi du 18 juillet 2018 sur la Police". Le Projet décrit ainsi la nouvelle organisation du fichier central en partie active et passive12 et détaille les catégories de personnes dont les données sont traitées, ainsi que les types de données à caractère personnel traitées. Il fixe encore des délais de conservations propres aux différents traitements. En conséquence de la réorganisation du fichier central, le Projet propose aussi de modifier la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat afin de supprimer la référence y figurant, concernant la partie « recherche » de la banque de données nominative de la Police ayant vocation à disparaitre. L'article 4 du Projet tend par ailleurs à un introduire un nouvel article 43-3 dans la Loi du 18 juillet 2018 sur la Police, afin d'y inscrire expressément la qualité de responsable de traitement de la Police grand-ducale, concernant les traitements de données à caractère personnel qu'elle réalise. Le projet vise en outre à étendre le champ d'application des articles 509-1 à 509-3 du Code péna113 au système de traitement ou de transmission « non-automatisé ». Il prévoit, aussi de modifier l'article 509-1 du Code pénal aux fins de sanctions d'une personne qui effectue un traitement de données à caractère personnel pour des finalités autres que celles pour lesquelles elle dispose d'une autorisation d'accès à un système de traitement ou de transmission automatisé ou non-automatisé14, inscrivant ainsi, dans le Code pénal le principe applicable en jurisprudence, selon le commentaire de l'article 6. La Chambre de Commerce accueille favorablement l'encadrement des traitements et les précisions que le Projet entend apporter concernant le traitement des données à caractère personnel par la Police et concernant les articles 509-1 à 509-3 du Code pénal. 8 Lien vers l'avis de la CNPD n°45/2019 du 13 septembre 2019 (p.24) 9 Cf. article ler du Projet. 1° Cf. article 2 du Projet ayant vocation à introduire un nouvel article 43-1 dans la Loi du 18 juillet 2018 sur la Police. 11 Cf. article 3 du Projet ayant vocation à introduire un nouvel article 43-2 dans la Loi du 18 juillet 2018 sur la Police. 12 La partie passive a vocation à limiter strictement l'accès aux données à caractère personnel s'y trouvant qui y sont conservées pendant un période de 30 ans, sauf durée plus courte prévues par la Loi du 18 juillet 2018 sur la Police. 13 Cf. article 6 du Projet. 14 Cf. article 6 du Projet. CHAMBEI21 OF COMMERCE 1-- LUXEMBOURG POWERING BUSINESS 4 Elle émet néanmoins des réserves quant à l'ouverture d'un accès direct par la Police à certains fichiers tenus par d'autres administrations. En effet, si l'article 43 de la Loi du 18 juillet 2018 sur la Police prévoyait déjà l'accès par la Police à une série de fichiers gérés par d'autres administrations, l'article 1 du Projet prévoit de modifier les modalités d'accès par la Police à certains de ces fichiers et d'ajouter de nouveaux fichiers auxquels la Police aurait directement accès. Ainsi, le futur article 43, paragraphe 215, prévoit spécialement que dans l'exercice de leurs missions de police judiciaire et de police administrative ou à des fins administratives, les officiers de police judiciaire ou de police administrative ont accès direct, par un système informatique, à des traitements de données à caractère personnel limitativement énumérés à la condition qu'il fassent (
9. i)partie d'une entité de la Police dont les missions justifient cet accès ou (
10. ii)figurent sur une liste agréée par le directeur général de la Police après avis du délégué à la protection des données de la Police. Parmi les traitements limitativement énumérés, figurent notamment trois fichiers, qui ne sont actuellement pas concernés par les accès prévus à l'article 43 de la Loi du 18 juillet 2018 sur la Police. 11 s'agit (
11. i)du registre des bénéficiaires effectifs (ci-après, le « RBE »), (
12. ii)du système électronique central de recherche de données concernant des comptes de paiement et des comptes bancaires identifiés par un numéro IBAN et des coffres-forts tenus par des établissements de crédit au Luxembourg (ci-après, le « Système électronique central ») et (iii) du registre des fiducies et des trusts'. La Chambre de Commerce soutient pleinement les initiatives visant à lutter contre la criminalité et notamment contre le blanchiment d'argent et le financement du terrorisme, elle estime néanmoins qu'un juste équilibre doit être trouvé entre ces initiatives et la nécessité du respect de la vie privée et la protection des données personnelles. Or, elle s'étonne que les conditions d'accès prévues par le futur article 43, paragraphe 2, énoncées ci-dessus, soient plus larges que celles réglant l'accès aux trois fichiers, prévues dans les lois respectives instituant chacun de ces fichiers. i. Concernant la loi modifiée du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs et la loi modifiée du 10 juillet 2020 instituant un Registre des fiducies et des trusts La loi modifiée loi du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs (ciaprès, la « Loi RBE ») et la loi modifiée du 10 juillet 2020 instituant un Registre des fiducies et des trusts (ci-après, la « Loi Fiducies et trusts ») limitent en pratique toutes les deux la consultation des informations inscrites respectivement dans le RBE17 et dans le Registre des fiducies et des trusts' aux officiers de police judiciaire agréés par le directeur général de la Police grandducale'. '5 que l'article 1 du Projet entend insérer dans la Loi du 18 juillet 2018 sur la Police t e énumérés respectivement aux points 4, 6 et 7 du paragraphe 2 de l'article 43 que l'article 1 du Projet entend insérer dans la Loi 17 cf. articles 11 et 3 de la loi du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs 15 Cf. articles 25 et 14 de la Loi Fiducies et trusts '9 Font partie des « autorités nationales » visant aux termes de l'article ler de la Loi RBE et de la Loi Fiducies et trusts, notamment les autorités, administrations et entités suivantes :
13. a)le procureur général d'État, les procureurs d'État ainsi que les membres de leurs parquets ;
14. b)les juges d'instruction ;
15. c)la cellule de renseignement financier ;
16. d)les officiers de police judiciaire visés à l'article 10 du Code de procédure pénale et agréés par le directeur général de la Police grand-ducale... CHAMBER] OF COMMERCE LUXEMBn1 !nt, POWERING BUSIN ESS 5 Ainsi, tout autre officier de police judiciaire ou administrative faisant partie d'une entité de la Police dont les missions justifieraient l'accès à ces registres, tel que prévu par le futur article 43, paragraphe 2, ne sont visés ni par la Loi RBE, ni par la Loi Fiducie et trusts. Dès lors, la Chambre de Commerce constate que les dispositions de l'article 1er du Projet, consacrées au futur article 43, paragraphe 2 visant au point 4 le RBE et au point 7 le Registre des fiducies et trusts, ne sont pas compatibles avec les dispositions d'accès prévues par la Loi RBE et la Loi Fiducie et trusts. Elle propose dès lors que l'article 1 du Projet soit modifié afin de prévoir un renvoi à la Loi RBE et à la Loi Fiducie et trusts concernant l'accès respectivement au RBE et au Registre des fiducies et trusts. Ces lois doivent demeurer, selon la Chambre de Commerce, des lois « cadres » réglant tous les accès aux systèmes informatiques respectifs. Concernant la loi modifiée du 25 mars 2020 instituant un système électronique central de recherche de données concernant des comptes IBAN et des coffresforts La loi modifiée du 25 mars 2020 instituant un système électronique central de recherche de données concernant des comptes IBAN et des coffres-forts (ci-après, la « Loi du 25 mars 2020 »), n'attribue quant à elle un accès direct au Système électronique central qu'à la Cellule de renseignement financier". Actuellement, lorsqu'une « autorité nationale »21, comprenant notamment les agents et officiers de police judiciaire affectés au service de police judiciaire, ainsi que les officiers de police judiciaire agréés par le directeur général de la Police22, a besoin d'obtenir des données relatives à une personne détenant un compte bancaire au Luxembourg, elle doit, suivant la Loi du 25 mars 202023, en formuler la demande à la Commission de Surveillance du Secteur Financier (ci-après, la « CSSF »), autorité chargée de la gestion et des accès aux données figurant dans le Système électronique central. Plus précisément, les autorités nationales peuvent « (...) dans la mesure où cela est nécessaire dans l'accomplissement des obligations qui leur incombent en matière de lutte contre le blanchiment et contre le financement du terrorisme, demander à la CSSF, selon la procédure arrêtée par la CSSF (...) 24» de recevoir sans délai, les données figurant dans le Système électronique centra125». Pour ce faire, les autorités nationales doivent désigner en leur sein un nombre limité de personnes autorisées à demander la réception des données'. Concernant la Police, il incombe au ° Cf. article 8, paragraphe 1 de la Loi du 25 mars 2020. telle que définie à l'article lor de la Loi du 25 mars 2020. 22 Cf. article 1, paragraphe 1,
17. d)de la Loi du 25 mars 2020 23 Cf. article 8, paragraphe 2 et suivants de la Loi du 25 mars 2020. 24 Cf. article 8, paragraphe 2 de la Loi du 25 mars 2020. 25 II s'agit des données visées à l'article 2, paragraphe 1er de la Loi du 25 mars 2020, à savoir :
18. a)les données relatives à tout titulaire d'un compte client et toute personne prétendant agir au nom du client, à savoir le nom, complété par les autres données d'identification requises au titre de l'article 3, paragraphe 2, lettre a), de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme ;
19. b)les données relatives au bénéficiaire effectif du titulaire d'un compte client, à savoir le nom, complété par les autres données d'identification requises au titre de l'article 3, paragraphe 2, lettre b), de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme ;
20. c)les données relatives au compte bancaire ou au compte de paiement, à savoir le numéro IBAN et la date d'ouverture et de clôture du compte ; et
21. d)les données relatives au coffre-fort, à savoir le nom du locataire, complété par les autres données d'identification requises au titre de l'article 3, paragraphe 2, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, ainsi que la durée de la période de location. Ces données peuvent être complétées par un numéro d'identification unique. 26 Cf. article 8, paragraphe 3 de la Loi du 25 mars 2020. 2 21 CHAMBER] OF COMMERCE I-- LUXEMBOURG POWERING BUSINESS 6 directeur général de la Police d'établir précisément la liste du personnel spécifiquement désigné et autorisé à exécuter ces tâches et de la communiquer à la CSSF. La CSSF est in fine juge de l'opportunité de donner accès à la Police aux données contenues dans le Système électronique central à la suite de la demande. Or, contrairement au mécanisme décrit ci-dessus, aux termes du Projet, en application du futur article 43, paragraphe 227 de la Loi du 18 juillet 2018 sur la Police, dès lors que des membres de la Police ayant la qualité d'officier de police judiciaire ou d'officier de police administrative feraient partie d'une entité de la Police dont les missions justifient l'accès au Système électronique central, ils pourraient y accéder directement, par un système informatique, passant ainsi outre la procédure28 et en partie outre la liste établies par la Loi du 25 mars 2020, telles que décrites ci-avant. La Chambre de Commerce constate donc que les dispositions de l'article 1er du Projet, consacrées au futur article 43, paragraphe 2, visant au point 6 le Système électronique central, sont en contradiction avec la procédure prévue par la Loi du 25 mars 2020 qui retient qu'un nombre limité de personnes peuvent être désignées spécifiquement pour accéder au système et dont la liste est tenue par la CSSF. La Chambre de Commerce donne encore à considérer que l'article 8, paragraphe 2 de la Loi du 25 mars 2020 limite les finalités du traitement des données du Système électronique central demandé par une autorité nationale « dans la mesure où cela est nécessaire dans l'accomplissement des obligations qui leur incombent en matière de lutte contre le blanchiment et contre le financement du terrorisme ». Or, il n'est fait aucune référence à cette limitation des finalités dans le futur article 43, paragraphe 2. Elle fait en outre valoir que si l'objet du Projet est précisément d'améliorer les garanties relatives à la protection des données à caractère personnel, l'ouverture d'un accès directe pour la Police aux données à caractère personnel des clients des banques marquerait un recul flagrant avec la situation actuelle. De plus, cet accès direct n'offre pas de garanties quant à la vérification de la nécessité de l'accès à ces données. Or, comme la CNPD l'a rappele, la protection des données à caractère personnel est un droit fondamental distinct et indépendant dans l'ordre juridique de l'Union européenne, garanti par l'article 8 de la Charte des droits fondamentaux de l'Union européenne. Toute limitation de ce droit par une loi doit s'effectuer dans le strict respect des principes de nécessité et de proportionnalité. Elle propose en conséquence, à l'instar de ce qu'elle a proposé pour le RBE et le Registre des fiducies et trusts, que l'article 1 du Projet soit modifié afin d'inclure, concernant l'accès au Système électronique central, un renvoi à la Loi du 25 mars 2020. Selon la Chambre de Commerce, la Loi du 25 mars 2020 doit demeurer une loi « cadre » réglant tous les accès au Système électronique central. " que l'article 1 du Projet entend introduire dans la Loi du 18 juillet 2018 sur la Police " La procédure arrêtée par la CSSF régissant les conditions d'accès par les autorités nationales au système électronique central de données, telle que prévue à l'article 8 paragraphe