Loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ains

(3)du RGPD2. En effet, il convient de rappeler que le traitement de données à caractère personnel collectées et traitées dans le cadre de l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement doit reposer sur une base légale conformément à l'article 6 paragraphe

(3)du RGPD, lu ensemble avec son paragraphe

(1)lettres

1. c)et
2. e)3 qui dispose que : « Le fondement du traitement visé au paragraphe 1, points
3. c)et e), est défini par : a. le droit de l'Union; ou b. le droit de l'État membre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l'application des règles du présent règlement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement; les personnes concernées; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles 2 11 y a lieu de préciser que la Loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale n'a pas vocation à s'appliquer dans le cas présent alors que les traitements mis en oeuvre par la Police grand-ducale le sont à des fins de recrutements 3 L'article 6, paragraphe

(1), lettres

1. c)et
2. e)dispose que : « Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : (...)
3. c)le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis; (...)
4. e)le traitement est nécessaire à l'exécution d'une mission d'intérét public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; (...) » CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement Cl du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 3/17 que celles prévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. » Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dans ces deux cas de figure, le fondement et les finalités des traitements de données doivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis. De plus, le considérant

(45)du RGPD précise qu'il devrait « [...] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des données à caractère personnel, établir les spécifications visant à déterminer le responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantir un traitement licite et loyal. [...] ». En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent étre communiquées et pour quelles finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. Le considérant

(41)du RGPD énonce encore que « Lorsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour européenne des droits de l'homme. ». Au niveau national une base juridique peut dès lors constituer un acte législatif ou réglementaire, ce qui est le cas en l'espèce du projet de loi et du projet de règlement grand-ducal sous examen. Ainsi, la Commission nationale se doit de souligner l'importance fondamentale du principe de licéité d'un traitement de données à caractère personnel qui doit être lu à la lumière de l'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme concernant le droit au respect de la vie privée, ainsi que de l'article 52 paragraphes

(1)et

(2)de la Charte des droits fondamentaux de l'Union européenne. En substance, ces deux articles, ensemble avec la jurisprudence constante de la Cour européenne des droits de l'Homme, retiennent qu'un CNPEI Avis de la Commission nationale pour la protection des données relatif au projet de loi n07543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 10 fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 30 portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 4/17 traitement de données effectué par une autorité publique peut constituer une ingérence dans le droit au respect de la vie privée ou limiter l'exercice du droit à la protection des données. Cette ingérence ou limitation peut être justifiée à condition qu'elle : soit prévue par une loi accessible aux personnes concernées et prévisible quant à ses répercussions, c'est-à-dire formulée avec une précision suffisante ; soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; respecte le contenu essentiel du droit à la protection des données ; réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. En ce qui concerne la première condition, selon la jurisprudence de la Cour européenne des droits de l'Homme, une ingérence au droit au respect de la vie privée n'est « prévue par la loi », au sens de l'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme, que si elle repose sur un article du droit national qui présente certaines caractéristiques. L'expression « prévue par la loi » implique donc selon la jurisprudence de la Cour européenne des droits de l'Homme que la législation interne doit user de termes assez clairs pour indiquer à tous de manière suffisante en quelles circonstances et sous quelles conditions elle habilite la puissance publique à recourir à des mesures affectant leurs droits protégés par la Convention

1. La législation interne doit être « accessible aux personnes concernées et prévisible quant à ses répercussions »
2. Une règle est prévisible « si elle est formulée avec une précision suffisante pour permettre à toute personne — bénéficiant éventuellement d'une assistance appropriée— d'adapter son comportement »7 ainsi que « Le degré de précision requis de la "loi" à cet égard dépendra du sujet en question. »
3. 4 L'article 8 paragraphe

(2)de la Convention européenne des droits de l'homme dispose que : « II ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui » 5 CouEDH, Fernàndez Martinezc. Espagne [GC], n°56030/07, para. 117 6 CouEDH, Amann c. Suisse [GC], n° 27798/95, 16 février 2000, para. 50 ; voir également CouEDH, Kopp c. Suisse, n° 23224/94, 25 mars 1998, para. 55 et CouEDH, lordachi et autres c. Moldavie, n° 25198/02, 10 février 2009, para.

1. 7 CouEDH, Amann c. Suisse IGC], n° 27798/95, 16 février 2000, para. 56 ; voir également CouEDH, Malone c. Royaume-Uni, n° 8691/79, 26 avril 1985, para. 66 ; CouEDH, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
2. 8 CouEDH, The Sunday Times c. Royaume-Uni, n° 6538/74, 26 avril 1979, para. 49 ; voir également CouEHD, Silver et autres c. Royaume-Uni, n° 5947/72, 6205/73, 7052/75, 7061/75, 7107/75, 7113/75, 25 mars 1983, para.
3. CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 5/17 Afin de remplir ces critères d'accessibilité et de prévisibilité de la « loi », d'une part, et ainsi limiter d'éventuels comportements arbitraires et abusifs de la part des autorités publiques, d'autre part, le droit national peut donc prévoir et encadrer plus spécifiquement les traitements de données à caractère personnel effectués par de telles autorités, comme la Police grand-ducale. Cet encadrement légal serait par ailleurs un garant du principe de sécurité juridique au profit des personnes concernées, les candidats aux carrières policières. La sécurité juridique constitue même un principe général du droit de l'Union européenne, exigeant notamment qu'une réglementation entraînant des conséquences défavorables à l'égard de particuliers soit claire et précise et son application prévisible pour les justiciables. La réglementation doit permettre aux intéressés de connaître avec exactitude l'étendue des obligations qu'elle leur impose, doit leur permettre de connaître sans ambiguïté leurs droits et leurs obligations ainsi que leur permettre de prendre leurs dispositions en conséquence
4. C'est la raison pour laquelle, la Cour européenne des droits de l'homme au sein de sa jurisprudence affirme que « le droit interne doit offrir une certaine protection contre des atteintes arbitraires de la puissance publique aux droits garantis par l'article 8 paragraphe 1 »1°. Par conséquent, la législation interne « doit définir l'étendue et les modalités d'exercice du pouvoir avec une netteté suffisante — compte tenu du but légitime poursuivi — pour fournir à l'individu une protection adéquate contre l'arbitraire »11 . La Cour de justice de l'Union européenne estime qu'en cas de limitation de la protection des données à caractère personnel ou du droit au respect de la vie privée un texte légal « doit prévoir des règles claires et précises régissant la portée et l'application de la mesure en cause et imposant un minimum d'exigences de sorte que les personnes dont les données ont été conservées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d'abus ainsi que contre tout accès et toute utilisation illicites de ces données »
5. Dès lors, dans la mesure où les traitements de données mis en œuvre par la Police grand-ducale dans le cadre du projet de loi et du projet de règlement grand-ducal constitue une ingérence dans le droit au respect de la vie privée des candidats aux carrières policières, le projet de loi et le projet de règlement grand-ducal devraient encadrer plus spécifiquement de tels traitements conformément à la jurisprudence de la Cour européenne des droits de l'Homme. Cet encadrement légal serait par ailleurs un garant du principe de sécurité juridique au profit des 9 Voir p.ex. Cour EDH, Aurubis Balgaria du 31 mars 2011, C-546/09, points 42-43 ; Arrêt, Alfamicro c. Commission du 14 novembre 2017, 7-831/14, points 155-
6. 10 Cour EDH, Amann c. Suisse [GC], n°27798/95 para
7. 11 Ibidem. Voir également Cour EDH, Malone c. Royaume-Uni, série A n°82, du 2 août 1984, pp. 31-32, para.66 ; Cour EDH, Fernandez Martinez c. Espagne CE:ECHR:2014:0612JUD005603007, 12 juin 2014 para.117 ; Cour EDH, Liberty et autres c. Royaume-Uni, no 58243/00, du ler juillet 2008, para. 62 et 63; Cour EDH, Rotaru c. Roumanie, App. N° 28341/95, 4 mai 2000, para. 57 à 59 et Cour EDH, S et Marper c. Royaume-Uni, Requêtes n° 30562/04 et 30566/04, du 4 décembre 2008 para.
8. ; DimitrovKazakov c. Bulgarie n°11379/03, du 10 février
9. 12 Arrêt du 8 avril 2014, Digital Rights Ireland e.a. C-293/12 et C-594/12, EU :C :2014 :238, point
10. CNPE1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n07543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement Cl du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 6117 personnes concernées, les candidats aux carrières policières. La sécurité juridique constitue même un principe général du droit de l'Union européenne, exigeant notamment qu'une réglementation entraînant des conséquences défavorables à l'égard de particuliers soit claire et précise et son application prévisible pour les justiciables. La réglementation doit permettre aux intéressés de connaître avec exactitude l'étendue des obligations qu'elle leur impose, doit leur permettre de connaître sans ambiguïté leurs droits et leurs obligations ainsi que leur permettre de prendre leurs dispositions en conséquence
11. Par ailleurs, la protection des données à caractère personnel constitue au niveau national une matière réservée à la loi en ce qu'elle touche à la protection de la vie privée des citoyens (article 11 paragraphe

(3)de la Constitution). En vertu de l'article 32, paragraphe

(3), de la Constitution, dans lesdites matières réservées à la loi par la Constitution, « le Grand-Duc ne peut prendre des règlements et arrêtés qu'en vertu d'une disposition légale particulière qui fixe, outre les objectifs, les principes et points essentiels des mesures d'exécution. » 14. Les éléments essentiele, les objectifs et les principes16 doivent dès lors figurer dans la loi au sens stricte du terme. Ainsi, et bien que l'enquête de moralité dispose d'une base légale, telle que prévue par l'article 58 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, la Commission nationale relève que les conditions et les modalités du traitement mis en œuvre lors de l'enquête de moralité ne sont pas précisées dans l'article 58 précité, tel que modifié par l'article 1 du projet de loi, alors que cette enquête constitue une ingérence dans le droit au respect de la vie privée et le droit à la protection des données. 2. Sur l'enquéte de moralité La Commission nationale salue que l'enquête de moralité soit prévue par une base légale, telle que prévue à l'article 58 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. De même qu'elle se félicite que l'article 58 précité, tel que modifié par l'article 1 du projet de loi, précise désormais les conséquences du défaut des qualités morales nécessaires à l'exécution d'une des 13 Voir p.ex. Cour EDH, Aurubis Balgaria du 31 mars 2011, C-546/09, points 42-43 ; Arrêt, Alfamicro c. Commission du 14 novembre 2017, T-831/14, points 155-157. 14 Avis n° 52976 du Conseil d'Etat du 24 juillet 2018 relatif au Projet de règlement grand-ducal 1. modifiant le règlement grand-ducal modifié du 10 août 2005 relatif au fonctionnement du lycée-pilote, et 2. abrogeant le règlement grand-ducal du 27 août 2012 portant sur les classes de la division supérieure de l'enseignement secondaire dans le cycle de formation du lycée Ermesinde. 15 Arrêt de la Cour constitutionnelle - Arrêts n° 00132 et 00133 du 2 mars 2018. 16 Avis n° 52976 du Conseil d'Etat du 24 juillet 2018 relatif au Projet de règlement grand-ducal 1. modifiant le règlement grand-ducal modifié du 10 août 2005 relatif au fonctionnement du lycée-pilote, et 2. abrogeant le règlement grand-ducal du 27 août 2012 portant sur les classes de la division supérieure de l'enseignement secondaire dans le cycle de formation du lycée Ermesinde. CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 7/17 fonctions du cadre policier. Cependant et comme exposé ci-avant certaines précisions mériteraient d'être apportées. Sur l'absence de définition des qualités morales requises par les candidats à l'une des fonctions du cadre policier dans la loi a. En effet, en l'absence de définition des qualités morales requises par le candidat à l'une des fonctions du cadre policier, il est difficile de saisir les contours et la portée de l'enquête de moralité. En outre, l'absence de définition des qualités morales requises par les candidats à l'une des fonctions du cadre policier, qui est pourtant une des conditions essentielles à leur admission au stage, ne respecte pas les exigences de précision et de prévisibilité auxquelles doit répondre un texte légal. Une loi doit être suffisamment claire et précise afin de permettre aux personnes concernées de connaître l'étendue des limitations, ainsi que les conséquences éventuelles pour elles17. i. Les principes dégagés par la jurisprudence administrative Si l'article 58 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, tel que modifié par le projet de loi, reste muet quant à la définition des notions de qualités morales, il y a lieu de relever que la jurisprudence administrative apporte des éléments de réponse quant à ce que recouvre de telles notions. Il découle notamment des principes dégagés par la jurisprudence administrative que la moralité d'un candidat à l'une des fonctions du cadre policier s'apprécie sur base de vastes critères qui ne reposent pas uniquement sur l'appréciation des antécédents judiciaires du candidat (par exemple l'état d'esprit du candidat, son sens des responsabilités)18. Cela est d'ailleurs corroboré par les travaux parlementaires relatifs au projet de loi n°7045 portant réforme de la Police grand-ducale qui précisent dans le document parlementaire 7045/0919 que : « les policiers sont chargés d'assurer la sécurité intérieure et sont à cet effet dotés de moyens de contrainte, ce qui justifie que leurs conditions de moralité ne sont pas appréciées sur base du seul casier judiciaire ». 17 Voir entre autres CourEDH, Zakharov e. Russie [GCL n"47413/06, § 228-229, 4 décembre 2015. 18 En effet, la jurisprudence administrative précise que la notion de moralité implique une appréciation globale « des qualités morales d'un candidat à l'examen et notamment de état d'esprit, de son sens des responsabilités, de ses capacités sociales, de son attitude relative au respect des normes du pays, étant donné que les membres de la police grand-ducale ont justement pour mission d'assurer la sécurité intérieure en veillant au maintien de l'ordre public et au respect et à l'exécution des lois et règlements. ». Voir en ce sens jugement du 2 avril 2019 du Tribunal administratif du Grand-Duché de Luxembourg, chambre, numéro 39804 du rôle, et jugement du 18 janvier 2019 du Tribunal administratif du Grand-Duché de Luxembourg, e" chambre, numéro 41619 du rôle. 18 Pages 29 et 30. CNPli Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 8/17 Il ressort également de la jurisprudence administrative en la matière que l'appréciation de la moralité d'un candidat doit se faire in concreto2° et relève du pouvoir discrétionnaire de la Police grand-duca1e21. Par conséquent, dans la mesure où ce n'est pas la loi qui définit sur quels éléments portent l'enquête de moralité ou quels sont les critères ou le degré de gravité des antécédents pris en compte mais la jurisprudence administrative et ce alors que l'enquête de moralité constitue une ingérence indéniable dans le droit à la vie privée et à la protection des données des candidats, la Commission nationale estime nécessaire que l'article 58, tel que visé au projet de loi, reflète les principes dégagés par la jurisprudence administrative quant à la notion de qualité morale. En effet, le texte actuel manque de transparence et ne permet pas au candidat de savoir quels sont les critères ou quel degré de gravité de ses antécédents, le cas échéant, sont pris en compte par la Police grand-ducale, afin d'apprécier s'il dispose des qualités morales nécessaires. Lors de cette enquête, la Police grand-ducale est-elle amenée à consulter des fichiers étatiques, de fichiers internes de la Police grand-ducale ou encore d'autres fichiers ? Une énumération des fichiers consultés, plutôt que la formule actuelle uti1isée22, permettrait au candidat d'avoir une meilleure compréhension des conditions qu'il doit remplir afin d'accéder à l'une des fonctions du cadre policier. Par ailleurs, à titre d'exemple, il y a lieu d'attirer l'attention des auteurs du projet de loi sur le fait que la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité, telle que modifiée, prévoit les modalités de l'enquête de sécurité dont font l'objet les fonctionnaires de l'Etat et employés de l'Etat affectés au Service de renseignement, afin de vérifier notamment s'ils disposent des garanties de moralité. Bien que cette loi ne définisse pas la notion de « garantie de moralité », elle est cependant plus précise en ce qui concerne les accès aux base de données consultés dans le cadre de l'enquête de sécurité et les traitements de données collectées lors d'une telle enquête (voir articles 21 à 23 de la loi précitée). 20 La jurisprudence énonce que : « le pouvoir de nomination n'est pas tenu à ne prendre en considération que des faits qualifiés pénalement en rapport direct avec la fonction à exercer, de même qu'il n'est pas lié par l'appréciation de certains faits faite par des juges correctionnels, en ce que l'objectif de son intervention est différent de celui de ces derniers qui ont à sanctionner des comportements répréhensibles au sens de la loi, alors que le ministre doit veiller, par une appréciation in concreto, au respect des conditions fixées par la loi dans le chef des candidats policiers notamment du point de vue de leur moralité. ». Voir en ce sens jugement du 2 avril 2019 du Tribunal administratif du Grand-Duché de Luxembourg, 4ième chambre, numéro 39804 du rôle, et jugement du 18 janvier 2019 du Tribunal administratif du Grand-Duché de Luxembourg, 4ième chambre, numéro 41619 du rôle. 21 Jugement du 2 avril 2019 du Tribunal administratif du Grand-Duché de Luxembourg 22 L'article 58 de la loi modifiée du 18 juillet 2018 prévoit que la Police grand-ducale « peut consulter les fichiers qui lui sont légalement accessibles et pour autant que cette consultation est pertinente quant à la finalité recherchée » Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement Cl du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 9/17 ii. Le cadre légal national comparé à celui en Belgique et en France Dans le cadre du recrutement des policiers, il est intéressant de noter que tant la loi belge que française prévoient une condition similaire à celle requise par l'article 58 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale à savoir que le candidat à l'une des fonctions du cadre policier doit disposer des (< qualités morales nécessaires à l'exécution d'une des fonctions du cadre policier ». En effet, en Belgique, un candidat à un des postes du cadre opérationnel au sein de la police doit notamment « être de conduite irréprochable et ne pas présenter de facteurs de risque qui constituent un obstacle à l'engagement à la police »23. Le texte de loi belge précise en outre que les conditions précitées découlent : «

1. a)d'une copie certifiée conforme du casier judiciaire complet datant de moins de trois mois à la date d'introduction de la candidature ;
2. b)d'une enquête de milieu et des antécédents, comprenant notamment un entretien avec le candidat au domicile et au lieu de résidence éventuel de celui-ci, diligentée par le corps de police locale ;
3. c)de toutes les informations disponibles transmises par les services de renseignement et de sécurité et par l'Organe de coordination pour l'analyse de la menace ;
4. d)de toutes les informations disponibles relatives aux sanctions administratives communales imposées pour une infraction mixte ;
5. e)des données judiciaires, communiquées par les services de police, moyennant autorisation des autorités judiciaires compétentes ;
6. t)des autres données et informations validées dont disposent les services de police. »24. L'arrêté ministériel du 28 décembre 2001 portant exécution de certaines dispositions de l'arrêté royal du 30 mars 2001 portant la position juridique du personnel des services de police (ci-après « arrêté royal du 30 mars 2001 ») vient préciser les contours et la portée de l'enquête de milieu et des antécédents. La section 3 intitulée « L'enquête de milieu et des antécédents » détaille les personnes qui effectuent l'enquête et précise la liste des bases de données consultées. En France, dans le cadre d'un recrutement au sein de la police, l'une des conditions requises par le candidat est que celui-ci ne doit pas avoir des « mentions portées au bulletin n° 2 de son casier judiciaire incompatibles avec l'exercice des fonctions »25. En outre une enquête administrative est également effectuée, tel que cela est prévue à l'article L.114-1 du Code de la sécurité intérieure qui dispose en substance que « Les décisions administratives de recrutement, (...) concernant soit les emplois publics participant à l'exercice des missions de souveraineté de l'Etat, soit les emplois publics ou privés relevant du domaine de la sécurité ou de la défense (...) peuvent être précédées d'enquêtes administratives destinées à vérifier que le comportement des personnes 23 Article 12, 3° de la Loi du 26 avril 2002 relative aux éléments essentiels du statut des membres du personnel des services de police et portant diverses autres dispositions relatives aux services de police 24 Article 12 de la Loi du 26 avril 2002 relative aux éléments essentiels du statut des membres du personnel des services de police et portant diverses autres dispositions relatives aux services de police 25 Article 5 de la Loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires CNKI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 10/17 physiques ou morales intéressées n'est pas incompatible avec l'exercice des fonctions ou des missions envisagées » et que « Ces enquêtes peuvent donner lieu à la consultation de traitements automatisés de données à caractère personnel relevant de l'article 31 de la loi n° 7817 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'exception des fichiers d'identification. Les conditions dans lesquelles les personnes intéressées sont informées de cette consultation sont précisées par décret. ». D'après l'article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et qui soit intéressent la sûreté de l'Etat, la défense ou la sécurité publique, soit ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté, incluant ainsi les traitements opérés par les services de police et de gendarmerie nationales, doivent être autorisés par arrêté du ou des ministres compétents, pris après publication d'un avis motivé de la Commission nationale de l'informatique et des libertés (l'homologue français de la CNPD). Lesdits traitements sont ainsi tous encadrés légalement, comme par exemple le fichier des antécédents judiciaires26, le fichier d'analyse sérielle' ou encore le fichier des personnes recherchées28. Par conséquent et contrairement au cadre légal national actuel, respectivement au projet de loi et projet de règlement grand-ducal sous examen, il y a lieu de relever que tant la loi belge que la loi française encadrent de manière beaucoup plus précise les traitements de données effectuées dans le cadre de ces procédures de recrutement. Afin de répondre aux exigences de précision et de prévisibilité auxquelles doit répondre un texte légal, la CNPD recommande aux auteurs du projet de loi et du projet de règlement grand-ducal de s'en inspirer. b. Sur l'accès aux fichiers qui sont légalement accessibles à la Police grandducale lors de l'enquête de moralité La Commission nationale se félicite que l'article 58 de la loi modifiée du 18 juillet 2018 prévoit que la Police grand-ducale « peut consulter les fichiers qui lui sont légalement accessibles et pour autant que cette consultation est pertinente quant à la finalité recherchée ». La CNPD comprend que la Police grand-ducale dispose dès lors d'un accès à l'ensemble des fichiers visés à l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. En l'absence de précision quant aux catégories de données contenues dans de tels fichiers et qui seraient effectivement consultées dans le cadre de l'enquête de moralité, la Commission 26 Prévu par les articles 230-6 à 11 du Code de procédure pénale français. 27 Prévu par les articles 230-12 à 18 du Code de procédure pénale français. 28 Prévu par l'article 230-19 du Code de procédure pénale français [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 11/17 nationale ne peut cependant pas apprécier si de tels accès sont justifiés et proportionnés par rapport à la finalité recherchée, à savoir le recrutement d'un candidat à l'une des fonctions du cadre policier. Ce d'autant plus alors que les accès prévus aux fichiers énumérés à l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale le sont pour des finalités différentes, à savoir dans l'exercice des missions de police judiciaire et administrative des membres de la Police ayant la qualité d'officier judiciaire ou d'officier de police administrative. En outre, la CNPD estime que le projet de loi devrait préciser les éventuels accès de la Police grand-ducale à ses propres fichiers, à l'instar des lois belge et française. Ce d'autant plus au vu des inquiétudes récentes des citoyens quant au respect des libertés publiques et la protection de leurs données personnelles dans le domaine policier et judiciaire, il est dès lors important que des clarifications sur les accès aux fichiers et systèmes susmentionnés se retrouvent au niveau de la loi au sens formel. c. Sur les critères à prendre compte lors de l'appréciation des qualités morales du candidat La Commission nationale se félicite que les auteurs du projet de loi aient précisé à l'article 1 du projet de loi qui modifie l'article 58 de la loi modifiée du 18 juillet sur la Police grand-ducale quelles seraient les conséquences de l'absence des qualités morales du candidat. En effet, lorsque de telles qualités font défaut, le candidat n'est pas admis au stage. Cependant, aucune précision quant aux critères pris en compte par la Police grand-ducale lors de l'appréciation des qualités morales du candidat n'apparait dans ledit article ni dans les commentaires des auteurs du projet de loi. Il est cependant nécessaire que les critères pris en compte ou le degré de gravité des antécédents pris en compte par la Police grand-ducale soient préalablement précisés afin d'en tirer les conséquences, à savoir le refus de l'admission du candidat au stage. La Commission nationale renvoie pour le surplus à ses développements sous le point I. 2. A. du présent avis. d. Sur la durée de conservation des données à caractère personnel Il y a lieu de rappeler qu'en vertu de l'article 5 paragraphe

(1)lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. CNPI5 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 12/17 La Commission nationale regrette que le projet de loi n'indique pas la durée de conservation des données collectées relatives à un candidat et se demande dès lors quels seraient les critères utilisés pour déterminer une telle durée. Des précisions à ce sujet mériteraient d'être apportées par les auteurs du projet de loi. Dès lors, la CNPD n'est pas en mesure d'apprécier si le principe de durée de conservation limitée des données est respecté. 3. Remarques finales Enfin, il y a lieu de relever que sur base de la formulation actuelle de l'article 58 de la loi modifiée du 18 juillet 2018, la Commission nationale ne dispose pas de toutes les informations qui lui sont nécessaires afin de lui permettre d'apprécier pleinement si les traitements mis en œuvre dans le cadre de l'enquête de moralité sont conformes au RGPD. De plus, en l'absence de précisions, certaines questions demeurent en suspens : quelles sont les catégories de données collectées dans le cadre de ces enquêtes de moralité ? Le droit à l'information (articles 13 et 14 du RGPD) des personnes concernées est-il respecté lors de la mise en œuvre des traitements engendrés par l'enquête de moralité ? Par ailleurs, la Commission nationale constate qu'afin d'accéder à certaines professions il est procédé à des vérifications d'antécédents ou à des enquêtes de moralité ou d'honorabilité ou encore d'enquêtes administratives. De telles enquêtes ou vérifications sont notamment effectuées pour : - les personnes visées par la procédure de vérifications des antécédents prévue par le Chapitre 3 du projet de règlement grand-ducal relatif à la sûreté de l'aviation civile et aux conditions d'accès à l'aéroport de Luxembourg ; - les fonctionnaires de l'Etat et employés de l'Etat affectés au Service de renseignement de l'Etat. Une enquête de sécurité est diligentée à leur encontre afin de vérifier notamment s'ils disposent des garanties de mora1ité29 ; le candidat à un poste d'employé de l'Etat qui doit offrir les « garanties de moralité requises »30 ; - les candidats à l'examen concours d'attachés de justice. Les candidats pour être admis à l'examen-concours doivent « présenter les garanties d'honorabilité requises »31 ; 29 Cf. articles 21 à 23 de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité, telle que modifiée 39 Article 3, paragraphe

(1), lettre c) de la loi u 25 mars 2015 déterrninant le régime et les indemnités des employés de l'Etat 31 Article 2, paragraphe

(2), 2) de la loi du 7 juin 2012 sur les attachés de justice [ CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 13/17 l'agent qui souhaite exercer l'activité de gardiennage et de surveillance. Celui-ci doit remplir les conditions d'honorabilité nécessaires32 ; les personnes sollicitant l'octroi d'une autorisation, d'un agrément ou d'un permis en matière d'armes

1. Bien que cette liste ne soit pas exhaustive, elle permet d'ores et déjà de se rendre compte des disparités qui existent en droit luxembourgeois en ce qui concerne les enquêtes ou vérifications d'antécédents qui seraient diligentées par les administrations ou autorités publiques pour l'accès à certaines professions. Dans un souci de cohérence, la Commission nationale se demande s'il ne serait pas opportun d'harmoniser l'ensemble de ces procédures en utilisant par exemple des terminologies similaires. En effet, chacune des lois spéciales utilisent une terminologie qui leur est propre alors que certaines notions semblent se recouper. Tel est le cas par exemple avec les notions d'honorabilité et de moralité. L'utilisation d'une terminologie commune permettrait ainsi d'assurer en droit national une cohérence entre ces différentes lois spéciales disparates qui poursuivent pourtant une finalité similaire. II. Sur le projet de règlement grand-ducal Le projet de règlement grand-ducal a quant à lui pour objet de préciser les épreuves spéciales organisées par la Police grand-ducal devant être passées pour les candidats désirant accéder aux carrières policières afin de tenir compte des modifications en matière de recrutement au sein de la Police suite à l'alignement les procédures de l'examen-concours pour l'accès aux carrières policières au cadre général de la Fonction publique. Afin d'avoir une meilleure lecture du texte réglementaire portant sur le recrutement dans les carrières policières, il a été décidé de ne pas modifier le règlement grand-ducal du 17 août 2018 portant : 1° fixation des conditions de recrutement du personnel du cadre policier ; 2° abrogation du règlement grand-ducal du 31 octobre 2001 déterminant les services nationaux et les organismes internationaux dans lesquels le personnel policier peut être employé par ordre du Gouvernement (ci-après le « règlement grand-ducal du 17 août 2018 ») existant, mais de l'abroger et de le remplacer par le projet de règlement grand-ducal sous examen. 32 Article 8, 1) de la loi loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance 33 Article 14 nouveau du projet de loi n°7425 sur les armes et munitions (document parlementaire n°7425/07) CNPDJ Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 30 portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 14/17 La Commission nationale entend limiter ses observations aux questions soulevées par les dispositions du projet de règlement grand-ducal sous examen qui traitent des aspects liés au respect de la vie privée et à la protection des données à caractère personnel.
2. Sur l'enquête de moralité Du fait de l'abrogation du règlement grand-ducal du 17 août 2018, il y a lieu de constater que le présent projet de règlement grand-ducal ne prévoit pas comme condition d'admissibilité à l'épreuve spéciale pour l'admission au stage que le candidat offre les « garanties de moralité requise au vu de l'enquête de moralité ordonnée par le ministre », contrairement à ce qui est précisé dans le règlement grand-ducal du 17 août
3. 34 Toutefois, la CNPD constate que cette condition a vocation à être maintenue, tel que cela ressort de l'article 1 du projet de loi sous examen. Cette condition étant reprise dans le projet de loi, il n'est dès lors pas nécessaire qu'elle figure également dans le projet de règlement grand-ducal.
4. Sur l'examen médical Il résulte de l'article 23 du projet de règlement grand-ducal sous avis que le candidat avant chaque admission au stage est soumis à un examen médical approfondi, tel que détaillé à l'article 24 dudit projet. Il y a lieu de rappeler que les données personnelles amenées à être collectées dans le cadre de ces examens sont à qualifier de données sensibles au sens de l'article 9 du RGPD, car celles-ci sont relatives à la santé des candidats. Les traitements de telles données requièrent dès lors une protection spécifique' et sont soumis à des exigences plus strictes. La Commission nationale salue que les auteurs du projet de règlement grand-ducal aient précisé dans le détail les examens médicaux auxquels sont soumis les candidats. De même qu'elle se félicite que les critères d'inaptitude à de tels examens soient précisés à l'annexe A du projet de règlement grand-ducal. 0 34 Voir articles 2 point 3°, 5 point 4° et 15 point 5 du règlement grand-ducal du 17 août 2018 en ce qui concerne les conditions d'admissibilité à l'examen-concours. 35 Voir les affaires rendues par la CJUE du 8 avril 1992, C-62-90, point 23 et du 5 octobre 1994, C-404/92, point 17 [CNPCI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 15/17 De plus, la CNPD comprend que le médecin de la Division de la santé au travail du secteur public, de l'Administration des services médicaux du secteur public, en charge de tels examens médicaux, transmettra uniquement au service compétent de la Police grand-ducale l'information selon laquelle le candidat est apte ou inapte conformément à l'article 3 du règlement grand-ducal du 5 mars 2004 concernant la santé et la sécurité du travail et le contrôle médical dans la fonction publique, tel que modifié.
5. Sur l'accès au registre national des personnes physiques Le paragraphe

(3)de l'article 19 du projet de règlement grand-ducal énumère les pièces qui doivent être produites par le candidat lors de sa demande d'inscription à l'épreuve spéciale. Le dernier alinéa du paragraphe de l'article précité dispose cependant que ce dernier « n'a pas besoin de fournir une copie de sa carte d'identité ni un extrait de l'acte de naissance lorsque les données concernant ses nom et prénom(s), sa date de naissance et sa nationalité sont qualifiées d'exactes dans le registre national des personnes physiques et s'il a sa résidence habituelle au Grand-Duché de Luxembourg ». La Commission nationale comprend que la Police grand-ducale procède dès lors à la vérification des informations précitées du candidat dans le registre national des personnes physiques. Or, si l'article 43, 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale prévoit l'accès à ce registre aux membres de la Police grand-ducale ayant la qualité d'officier de police judiciaire ou d'officier de police administrative dans le cadre de l'exercice de leurs missions de police judiciaire et de police administrative, il y a lieu de relever que l'accès à de telles données dans le cas présent ne s'effectue pas dans le même cadre mais s'effectue dans le cadre d'un recrutement (voir nos développements au point l.

1. c. du présent avis). L'accès à ce fichier à des fins de recrutement des candidats aux carrières policières n'est donc pas prévu par l'article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Il conviendrait dès lors que cette finalité soit prévue par l'article précité. CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 1° fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 16/17 Ainsi décidé à Esch-sur-Alzette en date du 17 juillet
2. La Commission nationale pour la protection des données Digitally signed by Tine Tine Annemarie Thierry Annemarie Larsen Date: 2020.07.17 Lallema Larsen 14:11:17 +0200 ng Digitally signed by Thierry Lallemang Date: 2020.07.17 13:17:00 +0200' Digitally signed by CHRISTOPHE CHRISTOPHE NICOLAS NICOLAS BUSCHMANN BUSCHMANN Date: 2020.07.17 DIgrtally egned Mar c by Marc Ernest Ernest lean-Poerre Jean-Pierre Lernm'r Date 2020.07.17 Lemmer 135D08 +02.00' Christophe Buschmann Commissaire Marc Lemmer Commissaire 13:58:24 +0200' Tine A. Larsen Présidente Thierry Lallemang Commissaire [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7543 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale et au projet de règlement grand-ducal portant : 10 fixation des conditions et modalités de l'épreuve spéciale de l'examen-concours pour l'admission au stage pour les catégories de traitement A et B et le groupe de traitement C1 du cadre policier ; 2° fixation des conditions et modalités de recrutement pour le groupe de traitement C2 du cadre policier ; 3° portant modification du règlement grand-ducal modifié du 30 septembre 2015 fixant les conditions et modalités d'inscription et d'organisation des examens-concours d'admission au stage dans les administrations et services de l'Etat 17/17