Avis complémentaire de la Commission nationale pour la protection des

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 7741 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État ; 3° du Code pénal. Délibération n ° 57/AV31/2023 d u 7 juillet

Introduction
Conformément à l’article 8 de loi d u 1 er août 201 8 portant organisation de la Commission nationale pour la protection des données et d u régime général sur la protection des données (ci-après la « loi du 1 er août 201 8 portant organisation de la CNPD »), transposant l’article 46, paragraphe 1 er , lettre (e) de la directive (UE) n° 2016/680 du 27 avril 2016 relative à la protection des personnes physique à l’égard d u traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d’enquêtes et de poursuites e n la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée la « Directive »), dans le cadre de la loi du 1 er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel e n matière pénale ainsi qu’en matière de sécurité nationale (ci-après la « la loi du 1 er août 2018 relative aux traitements de données en matière pénale »), la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » o u la « CNPD ») « conseille la Chambre des députés, le Gouvernement et d’autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement des données personnelles ».
L’article 36, paragraphe 4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. »
Le 16 mars 2021, la CNPD a avisé le projet de loi n° 7741 portant modification 1° d e l à loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État ; et 3° du Code pénal (ci-après le « projet de loi »).
Le 6 mars 2023, la Commission de la Sécurité intérieure et de la Défense de la Chambre des Députés a adopté les amendements relatifs a u projet de loi (ci-après les « amendements »). CNPD Avis complémentaire L d e la Commission nationale pour la protection des données relatif a u projet de loi 7741 . 1/8
Par courrier en date du 5 mai 2023, Monsieur le Ministre de la Sécurité intérieure Commission nationale à aviser les amendements parlementaires. a invité la
Les finalités de l’accès à des fichiers d’autres administrations
Dans son avis du 16 mars 2023, la Commission nationale avait noté avec regret que, suivant les dispositions d u projet de loi, les membres de la Police grand-ducale peuvent accéder aux bases de données visées « à des fins administratives », c’est-à-dire une finalité additionnelle aux accès au motif de police administrative, et non autrement définie. La CNPD accueille favorablement le remplacement des termes « à des fins administratives » par une référence à un accès possible aux fichiers d’autres administrations pour « d’autres fins prévues par des lois spéciales », répondant ainsi à l’opposition formelle formulée par le Conseil d’Etat.
La liste des accès à des fichiers d’autres administrations
Le projet initial prévoyait deux listes différents de fichiers accessibles aux membres de la Police grand-ducale. La Commission nationale comprend que, suite à l’avis du Conseil d’Etat, les auteurs des amendements ont supprimé la liste des fichiers dont l’accès des membres de la Police est prévu et réglementé par des lois spéciales existantes. Les auteurs des amendements expliquent que « [d]ans l’intérêt de la sécurité juridique, les fichiers dont l’accès de la Police est prévu par des lois spéciales existantes ne font plus partie de la liste ».
La CNPD prend note de l’extension de la liste des fichiers accessibles aux membres de la Police grand-ducale, prévue à l’article 43, paragraphe 1 er , de la loi, au registre des cartes d’identité. La Commission nationale comprend également l’inclusion audit paragraphe des fichiers dont l’accès est certes prévu par une loi spéciale, mais pour lesquels les lois spéciales sont muettes sur les conditions d’accès par les membres de la Police grand-ducale.
Le motif de consultation
des fichiers d’autres administrations Tel que prévu par les amendements, l’article 43, paragraphe 4, point 2 in fine, de la loi prévoit au sujet de la journalisation que les « informations relatives aux membres de la Police ayant procédé à la consultation [. . .] sont enregistrées et conservées pendant un délai d’au moins cinq ans afin que le motif de la consultation puisse être retracé ». Les auteurs des amendements suppriment ainsi « le motif de la consultation » de l a liste des informations enregistrées et prévoient que celuici « puisse être retracé » sur base des autres informations. Les auteurs n’expliquent pas le choix de revenir vers la formulation dudit passage à l’article 43 de la loi tel qu’en vigueur. La Commission nationale est d’avis que le fait que le motif « puisse être retracé » ne correspond pas à l’article 24 de la loi d u 1 e r août 2018 relative aux traitements de données en matière pénale, qui indique que les « journaux des opérations de consultation et de communication permettent d'établir le motif (...) ». Par ailleurs, la CNPD note que, suite aux amendements, l’article 43quater, paragraphe 3, point 4, de loi prévoit que les profils et modalités d’accès sont déterminés sur base d u « motif d’accès » et que « [l]a Police détermine des motifs d'accès spécifiques selon le type de mission légale de la Police ou des autres administrations dans le cadre de laquelle un traitement des données est requis ». Au sujet dudit article 43quater les auteurs des amendements expliquent que « tous les membres de la Police et les membres d’autres administrations détachés Avis complémentaire de la Commission nationale pour la protection des données relatif a u projet de loi 7741 . 2/8 à la Police sont dans tous les cas tenus d’indiquer le motif de la consultation des données en fonction de la mission légale qu’ils exécutent». Afin de respecter l’article 24 de loi du 1 er août 2018 relative aux traitements de données en matière pénale, la Commission nationale estime nécessaire d’adapter l’article 43 afin d’inclure à nouveau le motif de la consultation dans la liste des informations enregistrées.
Le contrôle et la surveillance du respect des conditions membres de la Police grand-ducale d’accès aux données par les
La CNPD prend note de la suppression du paragraphe 8 de l’article 43 concernant le contrôle et la surveillance des conditions d'accès par la CNPD alors que le Conseil d’Etat, tel que cité par les auteurs des amendements, estime que ce contrôle « est déjà largement couvert par les missions générales que la loi a attribuées à la CNPD ».
En effet, suite à l’entrée en vigueur de la loi du 1 er août 2018 relative aux traitements de données en matière pénale, le responsable d u traitement, en l’occurrence la Police grand-ducale, est soumis au principe de responsabilisation tel que défini à l’article 3, paragraphe 4, de ladite loi. Ce principe d’« accountability » impose au responsable du traitement d’être « en mesure de démontrer que [les paragraphes 1 er , 2 et 3 dudit article] sont respectées ». Par ailleurs, e n application de l’article 24, paragraphe 2, de ladite loi, il revient au responsable du traitement de mettre en place des procédures d’autocontrôle.
Dans u n second temps, la CNPD peut, sur base de ses missions et pouvoirs telles que définies aux articles 8 et 1 4 de la loi du 1 er août 2018 portant organisation de la CNPD ainsi qu’en application de l’article 24, paragraphe 3, de la loi du 1 e r août 2018 relative aux traitements de données en matière pénale, contrôler et surveiller le respect des conditions d’accès aux différents fichiers par les membres de la Police grand-ducale.
La qualité du contrôle de la CNPD en matière effectuées pour les missions d e police judiciaire d’opérations d e traitements d e données
Les auteurs des amendements font écho de l’avis du Conseil d’Etat, et incidemment de l’avis commun des Parquets de Luxembourg et de Diekirch et d u Parquet général, dans lequel le « Conseil d’État se rallie aux interrogations formulées parles autorités judiciaires dans leurs avis et qui portent sur l’étendue d’un tel contrôle, notamment dans le cadre d’une enquête ou d’une instruction judiciaire couverte parle secret de l’instruction prévu à l’article 8 du Code de procédure pénale. Comment cette autorité de contrôle pourrait-elle apprécier concrètement la nécessité et la proportionnalité de l’accès aux traitements de données ? »
Or, le contrôle des opérations de traitements de données effectuées par les membres de la Police grand-ducale, d’abord par le responsable du traitement lui-même et ensuite par l’autorité de contrôle ne peut pas être qualifié de « purement formel » simplement par le fait qu’un élément du contrôle, parmi d’autres, s’appuie sur l’existence d’un acte de procédure émis par un magistrat dont la validité est soumise à d’autres procédures de contrôle. CNPD COMMISSION .A FROTCTKJn oapQWNÉfj Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi 7741 . 3/8
En effet, d’après la compréhension de la CNPD, les observations du Conseil d’Etat se limitent aux missions d e police judiciaire et ne concernent en principe pas le contrôle des accès aux données à caractère personnel au motif d’une mission de police administrative ou d’une mission découlant d’une loi spéciale.
Ensuite, le contrôle par la CNPD exercé à l’égard de la Police sur base de la loi du 1 er août 2018 relative aux traitements de données en matière pénale n’est pas exclusif. Par conséquent, le magistrat en charge de l’enquête, respectivement les juridictions, veillent également, principalement sur base des dispositions du code de procédure pénale, à la proportionnalité et à la nécessité des données collectées dans le cadre d’une enquête pénale par les membres de la Police grand-ducale. Toutefois, la CNPD ne peut se rallier à la conclusion que « le contrôle de la CNPD risque d’être de nature purement formaliste » ou que le contrôle devrait relever de l’Autorité de contrôle judiciaire.
Concernant la question du partage des compétences entre la Commission nationale et l’ACJ, il convient de noter que l’article 5 de la loi du 1 er août 2018 portant organisation de la CNPD prévoit que la « CNPD n’est pas compétente pour contrôler les opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles ». Or, les traitements de données visés par la disposition sous examen sont effectués par les membres de la Police grand-ducale sur base des missions qui sont attribuées à la Police grand-ducale. Ces traitements ne sont pas effectués par « des juridictions de l’ordre judiciaire, y compris le ministère public [...] dans l’exercice de leurs fonctions juridictionnelles ». Même agissant sur instruction d’un magistrat, les membres de la Police grand-ducale ne se confondent pas avec les juridictions de l’ordre judiciaire et n’exercent pas de fonctions juridictionnelles. Les modalités organisationnelles et de sécurité sont par ailleurs définies par la Police grand-ducale et par les administrations mettant en œuvre les bases d e données visées par la disposition sous examen sans qu’aucune autorité judiciaire n’y participe.
Les interrogations des autorités judiciaires et d u Conseil d’Etat concernant le caractère efficace o u adéquat du contrôle par la CNPD portent ainsi uniquement sur les cas de figure où les membres de la Police grand-ducale agissent dans le cadre d e leurs missions de police judiciaire couvertes par le secret de l’instruction prévu à l’article 8 d u Code de procédure pénale. Les différents avis semblent sous-entendre que la Police grand-ducale devrait dans ces cas opposer ledit secret de l’instruction à la CNPD agissant dans l’exercice de ses missions de contrôle.
L’article 8 du Code de procédure pénale prévoit que «

(1)Sauf dans les cas où la loi en dispose autrement et sans préjudice des droits de la défense, la procédure au cours de l'enquête et de l'instruction est secrète.

(2)Sous réserve des dérogations découlant en droit interne notamment des engagements internationaux en matière de coopération internationale, toute personne qui concourt à cette procédure est tenue au secret professionnel dans les conditions et sous les peines de l'article 458 du Code pénal. CNPD MOTÏCIlON Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi 7741 . 4/8

(3)Le procureur général d’Etat ou le procureur d’Etat peut rendre publiques des informations sur le déroulement d’une procédure, en respectant la présomption d’innocence, les droits de la défense, le droit à la protection de la vie privée et de la dignité des personnes ainsi que les nécessités de l’instruction. [. . .] »

Les lois du 1 er août 2018 instaurent le contrôle par la CNPD des opérations de traitement de données effectuées par la Police grand-ducale. Par conséquent, en prévoyant un contrôle des opérations de traitements de données effectuées dans le cadre des missions de police judiciaire par la Commission nationale, le législateur a prévu, d u moins ponctuellement et de manière incidente, la possibilité pour la CNPD de connaître l’existence d’une enquête pénale et de sécurité nationale et des éléments minimaux nécessaires à exercer de manière efficace ses missions de contrôle, par exemple des instructions données par une autorité judiciaire aux membres d e la Police grand-ducale pouvant étayer le motif indiqué lors d’un accès des données à caractère personnel. 21 . La CNPD renvoie à l’article 16 de la loi du 1 er août 2018 relative aux traitements de données en matière pénale qui prévoit l’exercice des droits de la personne concernée et vérification par l'autorité de contrôle lorsque ces droits sont limités pour « éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires [. . .] éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l’exécution de sanctions pénales ». L’article 16 précitée prévoit ainsi que « [djans les cas visés à l'article 12, paragraphe 3, à l’article 14, paragraphe 1 er , et à l'article 15, paragraphe 4, les droits de la personne concernée peuvent être exercés par l'intermédiaire de l'autorité de contrôle compétente ». Dans le contexte d’un tel exercice indirect des droits de la personne concernée, la Commission nationale sera amené à « toutes les vérifications nécessaires ou à un examen ».
Il n’est pas inhabituel qu’un responsable du traitement doit effectuer des opérations de traitement de données suite à une obligation légale ou à une injonction reçue d’une autorité administrative ou judiciaire. Par conséquent, en cas de doutes sur la licéité d’un accès à des données à caractère personnel, la Police grand-ducale pourra présenter les explications pertinentes, y compris en prouvant un lien avec une enquête pénale afin de permettre à la CNPD de procéder aux vérifications nécessaires. Ainsi, l e contrôle de la CNPD n’est pas purement formel même si elle ne vérifie pas la licéité et l’opportunité de l’instruction émise par une autorité judiciaire dans le cadre d’une enquête pénale permettant de justifier les opérations de traitements de données effectuées par les membres de la Police grand-ducale.
Par ailleurs, la CNPD renvoie au secret professionnel auquel est tenu toutes les personnes exerçant ou ayant exercé une activité pour la CNPD, en application de l’article 42 de la loi du 1 er août 2018 portant organisation de l a CNPD. La Commission nationale rappelle que son contrôle vise e n premier lieu à assurer l e respect du droit fondamental à la protection des données à caractère personnel des personnes concernées et fait partie ainsi des garanties, dans une société démocratique, nécessaires pour justifier l’ingérence dans leurs droits fondamentaux. Par conséquent, il s’agit plus de garanties supplémentaires dans une société démocratique pour les personnes concernées. ’ cnpdI L ““ “Ll Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi 7741 . 5/8
Les garanties particulières pour le traitement des données dites « sensibles »
Les auteurs des amendements relèvent que « [d]ans son avis du 18 février 2021, le Parquet général note que l’article 43-1 (devenant l’article 43quater), paragraphe 2 ne réserve pas de traitement spécifique ni n’accorde des garanties particulières aux données dites « sensibles » prévues par l’article 9 de la loi précitée du 1er août 2018 ». Dans son avis du 16 mars 2021 , la CNPD a estimé « qu’il conviendrait de renforcer les garanties appropriées, par exemple en s’inspirant davantage de la loi belge, en particulier de l’article 44/2, paragraphe
D’une part, cette disposition encadre davantage les finalités pour lesquelles ce type de données peuvent être traitées et d’autre part prévoit des règles strictes pour ce qui est de leur utilisation, de leur accès et des règles de sécurité supplémentaires à mettre en place par le responsable de traitement ».
Or, bien que les auteurs citent l’avis du 18 février 2021 d u Parquet général, la CNPD constate avec regret que les auteurs ont omis d’inclure davantage de garanties particulières dans l’article 43quater. La Commission nationale renvoie, pour le surplus, à ses explications concernant la nécessité d’encadrer davantage les traitements spécifiques visées par ledit article par des dispositions légales spécifiques.
L’accès par des membres d’une autre administration
Les auteurs des amendements proposent de modifier l’article 43quater, paragraphe 3, point 3°, afin de mettre les membres d’une autre administration détachés à la Police sur « un pied d’égalité les membres avec les membres de la Police pour accéder aux données ». Par ailleurs, il est précisé que « [l]a Police détermine des motifs d’accès spécifiques selon le type de mission légale [...] des autres administrations ». L’article 43quinquies, paragraphe 1 er , 2 e alinéa, prévoit dorénavant que « [i]a partie active contient les données auxquelles [...] les membres d’administrations détachés à la Police grand-ducale et les membres de administrations visées au paragraphe 6 ont besoin d’accéder dans le cadre de leurs missions légales [ . . . ] » . Ledit paragraphe 6 vise explicitement qu’un accès peut être accordé « aux fonctionnaires de l’Administration des douanes et accises ayant la qualité d’officier de police judiciaire », « pour l’exercice de leurs missions de police judiciaire [ . . . ] » et les amendements apportent des modifications concernant la détermination des accès des membres de l’inspection générale de la Police. La Commission nationale n’a pas d’observation à formuler à sujet. 27 Par ailleurs, l’alinéa 3 dudit paragraphe 6 prévoit dorénavant que « les membres de l’Autorité nationale de sécurité chargés des enquêtes de sécurité » peuvent se voir accorder un accès direct à une partie des données contenus dans le fichier central, « à l’exception des procèsverbaux et rapports dont la personne fait l’objet ». La CNPD prend note des explications des auteurs des amendements et des conditions dans lesquelles la consultation des données peut se faire par lesdits membres de l’ANS. La Commission nationale accueille favorablement ces modifications en ce qu’elles apportent un degré de prévisibilité et de clarté suffisante tout en permettant à l’ANS d’effectuer ses missions relatives aux enquêtes de sécurité. CNPD FRûTECLON Avis complémentaire de l a Commission nationale pour la protection des données relatif a u projet de loi 7741 . 6/8
Les durées de conservation
L’article 43quater, paragraphe dans les fichiers particuliers 4, du projet de loi tel que résultant des amendements prévoit que «

(4)Sans préjudice des dispositions de l’article 43quinquies, la durée de conservation des données est définie par le responsable du traitement. Les données qui relèvent des missions de police administrative ou de toute autre mission dont la Police est investie par la loi sont supprimées au plus tard au moment de la suppression des mêmes données dans la partie active du fichier central, sauf si une disposition légale spécifique prévoit une durée plus longue. Les données qui relèvent des missions de police judiciaire sont supprimées au plus tard au moment du transfert des mêmes données dans la partie passive du fichier central, sauf si une disposition légale spécifique prévoit une durée plus longue ».

La Commission nationale prend note de ces clarifications, permettant de définir des durées de conservations différentes en fonction des différentes missions dont la Police est investie. Elle renvoie aux développements dans son avis initial.
Par ailleurs, l’article 43quinquies, amendements prévoit que paragraphe 15, d u projet de loi tel que résultant des « les rapports relatifs à des personnes disparues, adressés aux autorités judiciaires et qui ne concernent pas une enquête en cours ou une infraction déterminée, sont conservés pendant une durée de quatre-vingts ans ».
La CNPD comprend les explications fournies par les auteurs des amendements. Elle rappelle simplement que la personne concernée, à supposer qu’elle se manifeste à nouveau, pourrait le cas échéant demander la suppression de ces rapports. La Police grand-ducale pourrait prévoir des durées de conservation plus courtes dans ce cas de figure.
La possibilité d’ordonner l’effacement passive du fichier central
d e données à caractère personnel dans la partie L’article 43quinquies, paragraphe 1 3, point 2°, du projet de loi tel que résultant des amendements prévoit la possibilité, pour le Procureur d’Etat d u tribunal d’arrondissement dans le ressort duquel le requérant réside, l’effacement des informations, données à caractère personnel, procèsverbaux o u rapports d e la partie passive d u fichier central. La CNPD accueille favorablement cet ajout, complétant ainsi le dispositif applicable à la partie active du fichier central et aux fichiers particuliers. *** CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif a u projet de loi 7741 . 7/8 Pour le surplus, la Commission nationale renvoie à son avis d u 16 mars
Ainsi décidé à Belvaux en date du 7 juillet
La Commission nationale pour la protection des données Tine A. Larsen Présidente Thierry Lallemang Commissaire Marc Lemmer Commissaire Alain Herrmann Commissaire Avis complémentaire de la Commission nationale pour l a protection des données relatif a u projet de loi 7741 . 8/8

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.