CHFEP A-3447/22-4 ~ Chambre des fonctionnaires L-------~------~~~-------------...r..1111,1111111._._ et employés publics Doc. i'L ■0 TT 1 A V l[ § du 22 février 2022 sur le projet de loi portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État, et 3° du Code pénal Par dépêche du 18 décembre 2020, Monsieur le Ministre de la Sécurité intérieure a demandé l'avis de la Chambre des fonctionnaires et employés publics sur le projet de loi spécifié à l'intitulé. Selon l'exposé des motifs qui l'accompagne, le projet en question a pour objet d'encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale, et plus précisément dans le fichier central. Il vise à adresser les critiques en matière de protection des données qui ont été soulevées par rapport aux fichiers de la Police, et plus particulièrement par rapport au fichier central en été 2019. Remarques préliminaires La problématique qui entoure le projet sous avis est sans aucun doute une des plus controversées de ces derniers temps. Quoiqu'on ne puisse être insensible aux impératifs du respect de la vie privée, il ne faut pas perdre de vue que la grande majorité du personnel visé par le projet sous examen est ressortissant de la Chambre des fonctionnaires et employés publics. Aux yeux de cette dernière, il s'agit donc de faire le grand écart entre une protection de données à caractère personnel adéquate et une lutte efficace contre les phénomènes criminels, la mission principale du personnel visé. Il s'agit là d'un exercice qui semble particulièrement difficile, notamment du fait que quasiment toutes les administrations publiques doivent « refaire » leurs règles en relation avec la tenue de fichiers afin de les adapter au cadre du règlement (UE) 2016/679 (RGPD) et à celui de la directive (UE) 2016/680 1• Madame le Ministre de la Justice a d'ailleurs déposé, probablement dans le même but que celui poursuivi par le projet sous avis, le projet de loin° 7882 2 en date du 10 septembre 2021 à la Chambre des députés. Ce qui peut sembler contrariant dans ce contexte est le fait que le pendant de l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale pour les autorités judiciaires, à savoir l'article 48-24 du Code de procédure pénale, ne fait pas l'objet de modifications à ce stade. 1 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données 2 Projet de loi portant 1° introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JUCHA», et 2° modification du Code de procédure pénale ■ 1 -■ -2- Des dispositions similaires peuvent encore être trouvées à l'article 15 de la loi modifiée du 18 juillet 2018 sur l'Inspection générale de la Police (IGP), qui règle l'accès aux divers fichiers par l'IGP, ou encore à l'article 10 de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État (SRE), qui, à son tour, règle l'accès aux divers fichiers par le SRE. Si pour la loi sur l'IGP citée ci-avant aucune modification ne semble en vue, la loi organique du SRE est modifiée par l'article 5 du projet sous avis, sans qu'on puisse pour autant parler d'un changement de paradigme ou d'un alignement des procédures. La Chambre ne nie aucunement la nécessité de devoir adapter les dispositions régissant la matière, mais par souci de cohérence, d'équité et de sécurité juridique, il est impératif de le faire pour toutes les administrations étatiques et services publics au même titre. Un toilettage de maintes dispositions législatives existantes semble donc de mise. Le texte soumis pour avis à la Chambre des fonctionnaires et employés publics appelle en outre les observations suivantes. Ad article 1er Cet article vise à remplacer l'actuel article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Au paragraphe
(1), l'accès direct pour tous les membres de la Police ayant la qualité d'officier ou d'agent de police judiciaire (OPJ/APJ) ou d'officier ou d'agent de police administrative (OPA/APA), par un système informatique, aux traitements de données à caractère personnel de neuf fichiers est détaillé. Il s'agit en fait de la liste des fichiers auxquels les membres de la Police ont actuellement déjà accès, diminuée du fichier des assujettis à la taxe sur la valeur ajoutée, exploité pour le compte de l'Administration de l'enregistrement, des domaines et de la TVA, et du fichier des sociétés du registre de commerce et des sociétés, qui sont repris, parmi d'autres fichiers, au paragraphe
(2)du nouvel article 43. Il revient dans ce contexte à la Chambre que divers fichiers ont été oubliés dans les énumérations prévues aux paragraphes
(1)et
(2). Il en serait par exemple ainsi du registre des exploitants de taxis, des intéressés figurant sur la liste d'attente dont question au paragraphe
(4)de l'article 6 et des conducteurs de taxi, tenu par le ministre ayant les transports dans ses attributions, tel que prévu à l'article 18 de la loi du 5 juillet 2016 portant organisation des services de taxis. Le troisième alinéa du paragraphe
(1)dudit article 18 prévoit que, « dans l'exercice des missions leur conférées en vertu de la présente loi, les membres de la Police grand-ducale habilités à cet effet par le directeur général de la Police grand-ducale et les agents de l'Administration des douanes et accises habilités à cet effet par le directeur de l'Administration des douanes et accises ont accès direct, par un système informatique, au registre visé au présent paragraphe». La Chambre constate que l'accès y prévu est moins restrictif que celui accordé en vertu des dispositions du projet sous avis, ce qui l'amène à réitérer sa doléance ■ 1 ■ -3- formulée in fine des « Remarques préliminaires » ci-avant. De façon générale, il ne semble guère utile de fixer les dispositions régissant les accès aux banques de données diverses dans une multitude de textes différents, mais il se recommande plutôt de les rassembler dans une seule loi, afin de garantir les mêmes conditions pour tous les accès aux fichiers. A contrario, il sera difficile d'appliquer et de garder une philosophie analogue. En tout cas, les dispositions régissant les traitements de données à caractère personnel, si elles devraient figurer dans des textes différents, devront impérativement être alignées les unes sur les autres, faute de quoi le sujet deviendra ingérable. En raison du « principe du plus favorable », la règle accordant le plus de protection aux administrés devra donc être appliquée. Un deuxième fichier qui mérite d'être invoqué dans ce contexte est celui tenu sur la base de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement et du règlement grand-ducal d'exécution du 5 août 2015 relatif aux fiches à tenir par les logeurs exploitant un service d'hébergement touristique. Notamment les articles 4 et 5 3 de ce règlement grand-ducal définissent des règles très sommaires en relation avec la transmission, le traitement et la garde des données à caractère personnel visées. La Chambre des fonctionnaires et employés publics renvoie à sa doléance formulée in fine des « Remarques préliminaires » ci-dessus et elle demande que les dispositions légales et règlementaires susvisées soient revues. Un troisième fichier qui nécessite une attention particulière est celui qui devra être créé en vertu du règlement d'exécution (UE) 2019/947 de la Commission du 24 mai 2019 concernant les règles et procédures applicables à l'exploitation d'aéronefs sans équipage à bord, et notamment de son article 14 4 • En effet, il est prévu de transposer ledit règlement en droit luxembourgeois par le projet de loi n° 7790 portant modification 1° de la loi modifiée du 19 mai 1999 ayant pour objet
- a)de réglementer l'accès au marché de l'assistance en escale à l'aéroport de Luxembourg,
- b)de créer un cadre réglementaire dans le domaine de la sûreté de 3 Art. 4. Les fiches d'hébergement électroniques devront être remplies au plus tard le lendemain de l'arrivée du voyageur auquel la fiche se rapporte. Les renseignements y relatifs sont transmis automatiquement via le Centre des technologies de l'information de l'État à la Police grand-ducale et à l'Institut national de la statistique et des études économiques. Art.5. La Police grand-ducale traite les données recueillies dans un fichier temporaire. Ces données devront être effacées soixante-douze heures après leur transmission, à moins que leur maintien au-delà de ce délai ne soit nécessaire pour la prévention, la recherche ou la constatation d'une infraction. Dans ce cas, et hormis leur utilisation dans le cadre d'une enquête préliminaire ou d'une instruction préparatoire, les données doivent être effacées au plus tard un mois après leur transmission. 4 Article 14 - Enregistrement des exploitants d'UAS et immatriculation des UAS «certifiés» 1. Les États membres établissent et tiennent à jour des systèmes d'enregistrement et d'immatriculation précis pour les UAS dont la conception est soumise à certification et pour les exploitants d'UAS dont l'exploitation peut présenter un risque pour la sécurité, la sûreté, la protection de la vie privée et des données à caractère personnel ou l'environnement.( ... ) ■ 1 -■ -4- l'aviation civile, et
- c)d'instituer une Direction de l'aviation civile, et 2° de la loi modifiée du 31 janvier 1948 relative à la réglementation de la navigation aérienne. En vertu de l'article 39bis de cette dernière loi, les officiers et agents de police judiciaire de la Police grand-ducale, les fonctionnaires de la carrière supérieure de la Direction de l'aviation civile et les agents de l'Administration des douanes et accises sont chargés de constater, par des procès-verbaux, les infractions à ladite loi et aux règlements d'application. Il semble évident que les fonctionnaires visés aient besoin d'un accès au système d'enregistrement et d'immatriculation des UAS et de leurs exploitants. Le projet de loin° 7790 ne prévoit actuellement aucune disposition en relation avec le traitement de données à caractère personnel dans ce domaine, de même qu'en relation avec un accès par les agents chargés de la constatation des infractions. Tout au moins pour le personnel de la Police grand-ducale, la Chambre recommande donc d'ajouter le fichier en question au projet sous avis. Il y a encore lieu de mentionner que, nonobstant le fait que le projet de loin° 7790 concerne directement les fonctionnaires et employés publics de plusieurs administrations étatiques, dont la Direction de l'aviation civile, la Police grand-ducale, etc., la Chambre n'a pas été saisie pour émettre son avis sur ce projet. Au nouvel article 43, paragraphe
(2), introduit par le projet de loi sous avis sont repris des fichiers SJ?écifiques auxquels seulement certains membres de la Police ont un besoin d'accès. A titre d'exemple parmi d'autres fichiers, on peut citer le fichier des assujettis à la taxe sur la valeur ajoutée, exploité pour le compte de l'Administration de l'enregistrement, des domaines et de la TVA. Auprès de la Police, l'accès à ce fichier serait réservé aux seuls membres de la Police ayant la qualité d'officier de police judiciaire ou administrative qui ont un besoin d'accès, dans la mesure où ils font partie d'une entité de la Police dont les missions justifient cet accès ou ils figurent sur une liste agréée par le directeur général de la Police après avis du délégué à la protection des données de la Police. L'accès au même fichier est actuellement accordé à l'IGP, sans faire de distinction quant à l'appartenance à une entité de l'IGP dont les missions justifient cet accès. Selon l'organigramme interne disponible sur le site internet de l'administration5, l'IGP dispose de quatre départements différents, celui des« enquêtes administratives et enquêtes judiciaires », celui des « contrôles et audits », celui des 5 https://igp.gouvemement.lu/fr/service/organi gramme/organigramme-interne.html: L'IGP est organisée en quatre départements: ► le département« enquêtes administratives et enquêtes judiciaires » chargé de l'exécution d'enquêtes administratives et judiciaires; ► le département « contrôles et audits » chargé de la réalisation d'avis, d'audits et des suivis décisionnels de la Police, ainsi que des opérations de contrôle thématiques portant sur certaines activités de la Police, tels les contrôles des lieux de privation de la liberté, des missions du maintien de l'ordre et des mesures de police administrative; ► le département « études » auquel il incombe, en sus, de la réalisation d'études, de rédiger annuellement un rapport détaillé destiné au ministre reprenant les constatations faites et les recommandations émises par l'IGP tout au long de l'année dans le cadre de ses différents domaines d'activité; ► le département« instructions disciplinaires» qui mène des instructions (enquêtes) dans les affaires disciplinaires initiées par le directeur général de la Police. L'IGP dispose par ailleurs d'un service« ressources» et d'un service« administration». ■ 1 ■ -5- « études » et celui des « instructions disciplinaires », à côté d'un service « ressources » et d'un service« administration». Si l'accès direct accordé aux membres du département « enquêtes administratives et enquêtes judiciaires », ou encore aux membres du département « instructions disciplinaires», semble parfaitement nécessaire et concevable, la Chambre des fonctionnaires et employés publics est amenée à se questionner sur la nécessité d'un tel accès pour les membres des autres départements ou services. Selon le second alinéa du paragraphe
(2)de l'article 15 de la loi modifiée du 18 juillet 2018 sur l'IGP, « le droit d'accès au fichier visé au paragraphe 1er, point 10° (celui des assujettis à la taxe sur la valeur ajoutée) ne peut être exercé que par les membres de l'JGP ayant la qualité d'officier de police judiciaire », peu importe le département auquel ces OPJ sont affectés. La Chambre revient à cet effet à sa doléance formulée in fine des« Remarques préliminaires» ci-avant. Aux paragraphes
(2),
(3)et
(4)du nouvel article 43 prévu par le texte sous examen, un droit d'accès à divers fichiers peut être accordé aux membres de la Police sous certaines conditions. Au paragraphe
(2), une de ces conditions pour le personnel concerné consiste dans le fait qu'ils «figurent sur une liste agréée par le directeur général de la Police après avis du délégué à la protection des données de la Police ». Au paragraphe
(3), la condition d'accès consiste dans le fait que les concernés soient« nommément désignés par le ministre sur proposition du directeur général de la Police grand-ducale, après avis du délégué à la protection des données de la Police ». Finalement, au paragraphe
(4), cette condition consiste dans le fait que les concernés soient « nommément désignés par le directeur général de la Police grand-ducale, après avis du délégué à la protection des données de la Police ». La Chambre des fonctionnaires et employés publics se questionne sur la raison de la différence de formulation en relation avec les conditions d'accès citées ci-avant. Selon les explications fournies au commentaire des articles, il s'agit de figurer sur une liste nominative, sans pour autant qu'il soit expliqué pourquoi les personnes figurant sur les listes respectives soient désignées à deux reprises par le directeur général de la Police grand-ducale et une fois par le ministre. Par souci de cohérence et de simplification administrative, la Chambre recommande d'aligner les conditions prévues, en inscrivant le directeur général au lieu du ministre au paragraphe
(3)pour désigner nommément les membres de la Police. Concernant l'accès, mentionné au paragraphe
(4), des membres de la Police ayant la qualité d'agent de police judiciaire ou d'agent de police administrative aux fichiers prévus au paragraphe
(2)du même article, la Chambre constate que les conditions sont moins restrictives que celles prévues au paragraphe
(2)pour les membres de la Police ayant la qualité d'officier de police judiciaire ou d'officier de police administrative, qui ont un accès direct, par un système informatique, aux traitements de données à caractère personnel y visés, en ce qu'ils doivent faire partie d'une entité de la Police dont les missions justifient cet accès. S'ajoute à cela que le paragraphe
(6)omet de mentionner les membres de la Police visés au paragraphe
(4), de sorte qu'il ne leur serait pas imposé d'indiquer leur identifiant numérique personnel etc. avant qu'ils puissent consulter les ■ 1 -■ -6- fichiers. Par souci de sécurité juridique et de cohérence, la Chambre recommande d'aligner les conditions d'accès des OPJ/OPA et des APJ/APA. Le paragraphe
(7)instaure en quelque sorte un principe de minimisation concernant la consultation des données, dans la mesure où « les données à caractère personnel consultées doivent avoir un lien direct avec les motifs de consultation » et « seules les données à caractère personnel strictement nécessaires, dans le respect du principe de proportionnalité, peuvent être consultées». Si la Chambre des fonctionnaires et employés publics peut comprendre l'intention de protéger au mieux les données à caractère personnel des citoyens, il faut cependant veiller à ne pas tellement restreindre les forces de l'ordre que la lutte contre la criminalité en souffrirait. Nonobstant ce constat, il semble qu'un tel principe de minimisation des données soit un principe général devant valoir pour tous les traitements de données à caractère personnel. La Chambre s'étonne cependant que ce principe ne figure à aucun des autres articles du projet sous avis. Ad article 2 Selon le commentaire de l'article 2, celui-ci« introduit un nouvel article 43-1 dans la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et contient des dispositions relatives au traitement de données à caractère personnel qui sont applicables à tous les fichiers de la Police dans le cadre des missions légales dont elle est investie ». Le paragraphe
(2)autorise la Police, sous certaines conditions, à traiter des données à caractère personnel relevant des catégories particulières prévues par l'article 9 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale. La Chambre des fonctionnaires et employés publics se questionne à ce sujet qui décidera, selon quels critères, quelles sortes de données sont pertinentes et essentielles, le commentaire de l'article en question ne fournissant pas les explications nécessaires. Le paragraphe
(3)encadre les modalités des droits d'accès des membres de la Police aux fichiers de celle-ci. Dans ce contexte, c'est spécialement le point 6°, en rapport avec les règles spécifiques pour les données relatives à des mineurs, qui interpelle la Chambre. S'il est parfaitement compréhensible que les personnes mineures, en raison de la vulnérabilité particulière inhérente à leur âge, bénéficient de règles de protection plus strictes, ces règles ne devraient cependant pas gêner outre mesure le travail des policiers. Les membres de la Police peuvent, dans l'exécution de leurs missions légales, quotidiennement être confrontés à des mineurs dans des situations les plus diverses, sans que ces situations soient pourtant limitées au personnel visé sous
- a)et
- b)du point 6°. Afin d'être en mesure d'apprécier ces situations à leur juste valeur, il est indispensable que tous les policiers opérationnels puissent disposer du plus grand nombre d'informations possibles. ■ 1 -■ -7- S'y ajoute, tel que la Chambre des fonctionnaires et employés publics interprète les dispositions du point 6°, qu'il est à craindre que, soit celles-ci limitent les moyens de la Police, sans qu'il devienne cependant apparent en quel sens cette limitation représente une meilleure protection pour le mineur, soit elles ne les limitent pas, mais dans ce cas le point visé n'a aucune valeur ajoutée. La Chambre recommande donc de supprimer ce point. Si le point devait être maintenu, la Chambre serait alors amenée à se questionner sur les règles spécifiques applicables à d'autres catégories de personnes physiques vulnérables. Les incapables majeurs seraient-ils par exemple assimilés aux mineurs? Concernant le paragraphe
(3), alinéa 2, qui adresse la problématique de la demande de consultation d'un fichier par un autre membre de la Police que celui qui l'effectue, cas dans lequel les données de journalisation du fichier doivent faire mention de l'identité du membre de la Police à l'origine de la demande et du motif de celle-ci, la Chambre s'interroge sur la faisabilité de la traçabilité prévue, notamment en ce qui concerne sa valeur en cas de contestation de la personne dont l'identité a été introduite. Ad article 3 Au paragraphe
(1)du nouvel article 43-2, il est question de« données à caractère personnel et informations relatives aux personnes( ... )». Aux yeux de la Chambre des fonctionnaires et employés publics, le principe général de minimisation des données devrait aussi être inscrit à cet article, afin de proscrire tout traitement de données inutiles. Il n'est sans doute souvent pas facile de juger quelles informations tombent sous le champ de ce qui est « strictement nécessaire », mais il semble inconcevable qu'un maximum d'informations soient collectées sous le seul prétexte qu'elles pourraient servir un jour, dans le cadre d'une des missions de la Police grand-ducale. Au paragraphe
(2)sont détaillées les finalités pour lesquelles les données à caractère personnel peuvent être traitées. Selon le commentaire des articles, la Police serait autorisée à traiter, par exemple dans le cas d'une attaque d'une personne pour des motifs xénophobes ou homophobes, l'origine raciale ou l'orientation sexuelle de la victime, en ce qu'elle « relève du mobile de l'infraction et doit ainsi être mentionnée dans les procès-verbaux». Ce genre de données sensibles n'est certainement pas à consulter pour la finalité énumérée sous « J O la vérification des antécédents d'une personne dans le cadre d'une mission de police judiciaire, de police administrative ou dans le cadre d'une autre mission légale de la Police », ni probablement pour celle prévue sous « 5° l'identification des membres de la Police en charge du dossier ». Dans le même ordre d'idées, les noms des personnes ayant participé à une infraction ou ceux des victimes d'une telle ne sont pas à consulter pour la finalité énumérée sous« 3° l'appui à la définition et à la réalisation de la politique de sécurité intérieure par le biais d'analyses criminelles stratégiques» ou encore sous« 4° l'exploitation des informations à des fins de recherches statistiques ». Toujours selon le commentaire des articles, la Police procèdera à une anonymisation des données en cas d'exploitation à des fins statistiques. La Chambre espère, afin d'optimiser la protection des citoyens, mais aussi afin de ■ 1 -8- faciliter la manipulation par les membres de la Police, que les fichiers en question seront techniquement agencés de manière à ce que seulement les données utiles à la finalité introduite pour la requête puissent être consultées et que toutes autres données, fussent-elles utiles d'être traitées pour une autre finalité, restent invisibles. Aux paragraphes
(3)et
(4)sont définies les catégories de personnes dont les données sont traitées dans le fichier central aux fins de police administrative ou de toute autre mission dont la Police est investie par la loi, ainsi qu'aux fins de police judiciaire. Dans ce contexte, la Chambre des fonctionnaires et employés publics demande encore une fois que le principe de la minimisation des données soit appliqué et respecté, notamment en ce qui concerne les membres de la Police en charge du dossier, prévus respectivement au point 3° du paragraphe
(3)et au point 11 ° du paragraphe
(4). Le paragraphe
(6)comporte les dispositions concernant un accès direct au fichier central (de la Police) pour certains membres de l'Administration des douanes et accises et de l'IGP. Si la Chambre peut comprendre que cet accès doit être prévu et réglé, elle se demande cependant où et comment les accès par les membres de la Police aux fichiers (centraux) de l'Administration des douanes et accises et de l'IGP sont définis. La Chambre tient aussi à mentionner que, à côté des membres de l'Administration des douanes et accises, maintes autres administrations étatiques disposent d'officiers de police judiciaire qui sont notamment impliqués dans la recherche et la constatation d'infractions pénales. Le projet sous avis ne prévoit cependant pas de dispositions pour régler un éventuel accès de ces OPJ au fichier central. Les paragraphes
(9),
(10)et
(11)traitent des principes relatifs aux durées de conservation applicables aux informations, aux données à caractère personnel et aux documents contenus dans la partie active du fichier central dans le cadre des missions de police judiciaire et ils déterminent la procédure de transmission dans la partie passive du fichier central en cas de condamnation, d'acquittement ou d'absence de décision coulée en force de chose jugée. Afin de pouvoir satisfaire à cette obligation légale, la Police est évidemment tributaire d'un retour d'information systématique sur le sort des affaires judiciaires de la part des autorités judiciaires. Selon les informations à la disposition de la Chambre, un tel retour systématique de la part des autorités judiciaires n'est actuellement pas en place. Elle espère que des solutions automatiques seront mises en place afin de faciliter ces échanges informatiques. Ad article 4 Selon le commentaire de l'article sous rubrique, celui-ci insère un nouvel article 43-3 dans la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, article « qui désigne la Police grand-ducale comme responsable du traitement des traitements de données à caractère personnel qu'elle effectue ». Si la Chambre des fonctionnaires et employés publics peut comprendre les arguments afférents avancés par les auteurs du projet sous avis, elle est néanmoins amenée à se ■ 1 -■ -9- questionner sur les situations dans lesquelles les obligations légales du responsable du traitement, pouvant entraîner des sanctions de nature administrative, et sous certaines conditions de nature pénale, ou faire l'objet de dommages et intérêts en matière civile, ne seraient pas respectées. En effet, la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale prévoit, dans son article 47, des sanctions pour diverses infractions aux dispositions légales, dont effectivement aussi des sanctions pénales. Comme la Police grand-ducale, en tant qu'administration étatique, ne dispose pas de la « personnalité morale », la Chambre se demande qui pourrait être tenu responsable des infractions aux obligations incombant au responsable du traitement (notamment à la lumière des dispositions du « Chapitre II-1.- Des peines applicables aux personnes morales » du Livre rer du Code pénal). La modification envisagée ne devrait en aucun cas servir à rendre les sanctions inopérantes. Afin de pallier un tel problème, il semble inévitable qu'il soit clairement défini à qui incombe quelle obligation en matière de responsable du traitement. La Chambre estime aussi que toutes les dispositions légales et règlementaires existantes, définissant le cas échéant un chef d'administration en tant que responsable du traitement soient alignées dans le sens que l'administration respective y soit inscrite en tant que responsable du traitement. À noter encore que l'article 15 de la loi modifiée du 18 juillet 2018 sur l'IGP prévoit dans son paragraphe
(3)que,« dans le cadre des missions énoncées aux articles 4, 7 et 9, l1GP a accès aux données retraçant les accès aux traitements des données à caractère personnel dont le responsable du traitement est le directeur général de la Police». Le cas échéant, il y aurait lieu de remplacer les mots« le directeur général de la Police » en fin de phrase par les mots « la Police grand-ducale » afin de mettre la disposition en phase avec la modification prévue par le projet sous avis. Ad article 6 L'article 6 du projet de loi sous avis vise à modifier l'article 509-1 du Code pénal afin d'introduire des sanctions pénales contre ceux qui commettent un abus au droit d'accès dans tout ou partie d'un système de traitement ou de transmission automatisé ou non automatisé de données. La Chambre des fonctionnaires et employés publics se questionne dans ce contexte plus précisément sur la portée de la notion« non automatisé». Faut-il y comprendre aussi toute sorte de fichier non informatisé, c'est-à-dire« non dématérialisé»? Si la Chambre approuve l'introduction des dispositions pénales projetées, elle met cependant en garde contre une éventuelle « chasse aux sorcières » qui risque d'en ■ 1 -■ - 10découler. En effet, au premier alinéa de l'article 509-1 6 du Code pénal, tel qu'il est modifié par le texte sous avis, un élément constitutif de l'infraction réside dans l'intention frauduleuse, tandis que pour les infractions visées au deuxième alinéa du même article, une telle intention frauduleuse n'est pas prévue. Théoriquement, ceci exposerait toute personne, et donc aussi tout ressortissant de la Chambre des fonctionnaires et employés publics, aux peines délictuelles prévues par le nouveau deuxième alinéa si par exemple un courrier administratif contenant des données à caractère personnel était envoyé à une mauvaise adresse, et donc au mauvais destinataire, par inadvertance. La Chambre demande donc que l'intention frauduleuse prévue au premier alinéa soit aussi inscrite au deuxième alinéa, par exemple en insérant la formulation « intentionnellement et au mépris des droits d'autrui » à la troisième ligne entre les mots « effectue» et « un traitement de données», formulation qui est d'ailleurs également déjà prévue aux articles 509-2 et 509-3 du Code pénal. Ce n'est que sous la réserve des observations qui précèdent que la Chambre des fonctionnaires et employés publics marque son accord avec le projet de loi lui soumis pour avis. Ainsi délibéré en séance plénière le 22 février 2022. Le Directeur, Le Président, G.TRAUFFLER R. WOLFF 6 Art. 509-1. Quiconque, frauduleusement, aura accédé ou se sera maintenu dans tout ou partie d'un système de traitement ou de transmission automatisé ou non automatisé de données sera puni d'un emprisonnement de deux mois à deux ans et d'une amende de 500 euros à 25.000 euros ou de l'une de ces deux peines. Sera puni des mêmes peines, quiconque, disposant d'une autorisation d'accès à tout ou partie d'un système de traitement ou de transmission automatisé ou non automatisé de données à caractère personnel, y effectue un traitement de données à caractère personnel pour des finalités autres que celles pour lesquelles l'autorisation d'accès a été accordée, y inclus le fait de porter à la connaissance d'un tiers non autorisé les données à caractère personnel ainsi obtenues. ( ... ) ■ 1