Avis De I'AUTORITE DE CONTROLE JUDICIAi RE Creee par la loi du 1er aoCit 2018 relative traitement des donnees ala protection des personnes physiques al'egard du a caractere personnel en matiere penale ainsi qu'en matiere de securite nationale Sur le projet de loi n°7881 sur les echanges d'informations relatives aux ressortissants de pays tiers al'Union europeenne ainsi que le systeme europeen d'information sur les casiers judiciaires (ECRIS) portant : 1° transposition de la directive (UE) 2019/884 du Parlement europeen et du Conseil du 17 avril 2019 modifiant la decision cadre 2009/315/JAI du Conseil en ce qui concerne les echanges d'informations relatives aux ressortissants de pays tiers ainsi que le systeme europeen d'information sur les casiers judiciaires (ECRIS), et rempla~ant la decision 2009/316/JAI du Conseil 2° mise en <Euvre du reglement (UE) 2019/816 du Parlement europeen et du conseil du 17 avril 2019 portant creation d'un systeme centralise permettant d'identifier les Etats membres detenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides, qui vise a completer le systeme europeen d'information sur les casiers judiciaires, et modifiant le reglement 2018/1726 ; 3° modification de la loi modifiee du 29 mars 2013 relative a !'organisation du easier judiciaire INTRODUCTION L'autorite de controle judiciaire (ci-apres designee « l'ACJ »), instituee par !'article 40 de la loi du 1er aout 2018 relative la protection des personnes physiques l'egard du traitement des donnees caractere personnel en matiere penale ainsi qu'en matiere de securite nationale transposant la Directive (UE) 2016/680 du 27 avril 2016 relative la protection des personnes physiques l'egard du traitement des donnees caractere personnel par les autorites competentes des fins de prevention des infractions penales, d'enquetes et de poursuites en la matiere ou d'execution de sanctions penales, et la libre circulation de ces donnees, et abrogeant la decision-cadre 2008/977/JAi du Conseil (ci-apres designee « la directive 2016/680 »), « conseille la Chambre des deputes, le Gouvernement et d'autres institutions et a a a a a a a a organismes au sujet des mesures legislatives et administratives relatives ii la protection des droits et des libertes des personnes physiques ii l'egard du traitement » conformement a !'article 42, paragraphe 1, a a lettre
- c)de ladite loi dans les limites de ses com petences prevues !'article 40, paragraphe 2, savoir en ce qui concerne les « operations de traitement de donnees ii caractere personnel effectuees par /es juridictions de l'ordre judiciaire, y compris le ministere public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles », que ce soit pour des finalites visees a !'article 1er de la loi du 1er aout precedemment citee ou pour celles visees par le reglement (UE) 2016/679 du 27 avril 2016 relatif protection des personnes physiques l'egard du traitement des donnees caractere personnel et libre circulation de ces donnees et abrogeant la directive 95/46/CE (ci-apres designe « le RGPD »). a a 1 a la a la L'autorite de controle judiciaire a ete saisie en date du 22 octobre 2021 par Madame la ministre de la Justice d'une demande d'avis relative au projet de loi sous rubrique. L' ACJ a tenu compte pour la redaction du present avis des amendements apportes au projet de loi n°7881 par depeche du ministre aux relations avec le parlement au president de la Chambre des deputes du 29 octobre 2021 et de ceux qui lui ont ete communiques directement en date du 25 novembre 2022. Le present projet de loi a pour objet de doter d'une base legale l'echange des informations sur les condamnations de ressortissants des pays tiers et des apatrides. Cet echange repose sur une base de donnee centralisee nommee ECRIS-TCN, contenant des donnees d'identification des ressortissants de pays tiers et des apatrides ayant fait l'objet d'une condamnation dans un ou plusieurs Etat(
- s)membre(
- s)de l'Union europeenne. Cette base de donnee centralisee ne contient pas d'informations sur le easier judiciaire de la personne concernee . Elle permet uniquement a l'autorite centrale competente d'un Etat membre d'identifier quels autres Etats membres detiennent des informations sur le easier judiciaire d'un ressortissant d'un Etat tiers ou d'un apatride. Apres une telle identification, l'autorite centrale competente pourra a travers l'ECRIS, s'adresser a ses homologues prealablement identifies, afin de leur demander des informations sur le easier judiciaire d'un ressortissant d'un pays tiers ou d'un apatride. Un tel systeme permettra de fournir un apen;:u complet des antecedents judiciaires de ces personnes, ce qui n' est pas possible avec le systeme ECRIS actuel. L' ACJ salue la volonte du legislateur de vouloir conferer ace nouveau traitement instaure par la directive (UE) 2019/884 du 17 avril 2019 et le reglement (UE) 2019/816 du 17 avril 2019, une base legale en modifiant la loi modifiee du 29 mars 2013 relative a !'organisation du easier judiciaire (ci-apres designee : « la loi du 29 mars 2013 »). L' ACJ accueille favorablement I' effort du legislateur d'inclure, dans la loi en question, des dispositions relatives a la protection des donnees a caractere personnel. A titre d'exemple, !'insertion de dispositions relatives a la designation d'un responsable du traitement des operations effectuees dans le easier judiciaire du ressortissant d'un Etat tiers ou d' un apatride, la mention des donnees a caractere personnel traitees dans celui-ci (en particulier les donnees sensibles telles que le genre, les images faciales ainsi que les donnees dactyloscopiques), leur duree de conservation ou encore la mention des transferts de ces donnees de la part de la Police grand-ducale vers le Procureur general d'Etat dans le cadre de l'ECRIS-TCN, sont tant d'elements traduisant un effort de mise en conformite a la loi du 1er aout 2018 relative a la a a protection des personnes physiques l'egard du traitement des donnees caractere personnel en matiere penale ainsi qu'en matiere de securite nationale (ci-apres designee: « la loi du 1er aout 2018 »). Elle souhaite neanmoins re lever quelques points susceptibles d'amelioration. A titre liminaire, !'analyse de l'ACJ porte sur la designation du responsable du traitement (I) puis sur les modalites d'acces au module du easier judiciaire par les membres et agents de I' Administration judiciaire (II), pour ensuite evaluer les finalites du traitement des donnees caractere personnel effectue dans le a cadre de la mise en reuvre du systeme central ECRIS-TCN (Ill). L'ACJ se prononce egalement quant aux droits des personnes concernees prevus par le projet de loi (IV), quant aux donnees traitees dans les fichiers du systeme central ECRIS-TCN (V), pour ensuite s'interroger quanta la necessite de conserver la copie des fichiers electroniques du systeme central ECRIS-TCN a l'echelle nationale (VI). In fine, I' ACJ formule des observations quanta la prise d'empreintes digitales, d'images faciales et de photographies par la Police grand-ducale (VII). 2 I. Quant au res ponsable du traitement Le projet de loi n°7881 a son article 2 paragraphe 1er prevoit que « Le procureur general d'Etat est le responsable du traitement des donnees a caractere personnel contenues dans le easier judiciaire et dans lesfichiers de donnees crees en application de /'article 12-1 ». L' ACJ constate tout d'abord que !'article 1er paragraphe 1 de la loi modifiee du 29 mars 2013 relative a !'organisation du easier judiciaire dispose que « le easier judiciaire est tenu sous la responsabilite du procureur general d'Etat sous forme electronique ». Le projet de loi n°7881 quanta lui, introduit un nouvel article 2 consacre a la designation du responsable du traitement, role egalement endosse par le procureur general d'Etat. Par consequent, I' ACJ se demande s'il ne serait pas opportun de regrouper ses deux dispositions legales dans un seul et meme article. Ensuite, malgre !'effort de mention de la designation du responsable du traitement, I' ACJ considere qu'il serait opportun de preciser les raisons pour lesquelles le procureur general d'Etat est designe com me tel, faisant reference ainsi au projet de loi n°7882 relatif !'application JU-CHA et !'article 11 de la loi modifiee du 29 mars 2013 relative a !'organisation du easier judiciaire. a II. a Quant aux acces au module easier judiciaire par les membres et agents de !'Administration judiciaire Le projet de loi a son article 2, paragraphes 3 et 4, prevoit la gestion et les controles des acces au easier judiciaire et « aux Jichiers electroniques » qu'il contient. L' ACJ constate que le projet de loi ne precise pas de quels fichiers ii s'agit et comprend, travers la lecture de plusieurs autres articles, qu'il s'agit notamment de fichiers crees dans le cadre de l'ECRIS-TCN. A des fins de clarte et de transparence, I' ACJ considere qu'il est necessaire que le projet de loi mentionne plus precisement de quels fichiers ii s'agit. a En outre, le module easier judiciaire faisant partie de !'application JU-CHA, ii serait opportun que le legislateur s'aligne avec ce qui est prevu dans le projet de loi n°7882 relatif a !'application JU-CHA afin d'eviter toute disparite a l'egard de la gestion et des controles des acces. Toutefois, I' ACJ attire !'attention sur le fait que le paragraphe 4, alinea 2, de !'article 2 precedemment cite prevoit une duree de conservation des journaux de cinq annees. C'est done a tort que le commentaire de !'article fait etat d' un delai de conservation de trois ans correspondant au delai applique a l'heure actuelle, mais qui est voue etre modifie par le projet de loi n°7882 relatif a !'application JU-CHA precedemment mentionne. a Ill. Quant ala determination des finalites du traitement Atitre liminaire ii ya lieu de rappeler que !'article 3 paragraphe 1 lettre
- b)de la loi du 1er aout 2018 dispose que les donnees a caractere personnel doivent etre « collectees pour des finalites determinees, explicites et legitimes, et ne sont pas traitees d'une maniere incompatible avec ces finalites [... ] ». II ya egalement lieu de noter que !'article 7 de cette meme loi prevoit les conditions de liceite du traitement des donnees a caractere personnel. 3 Etant donne que le module easier judiciaire et les fichiers qu'il contient font partie integrante de !'application JU-CHA, I' ACJ considere qu'il serait opportun, eu egard aux finalites du module, que le projet de loi fasse reference !'article 4 du projet de loi n°7882 relatif !'application JU-CHA qui est consacre au module en question et ses finalites. a a a Par ailleurs, en ce qui concerne les finalites poursuivies dans le cadre du reglement (UE) 2019/816 du 17 avril 2019, I' ACJ se demande s'il ne faudrait pas ajouter tout au mains une reference audit reglement qui prevoit les finalites du systeme central ECRIS-TCN. Etant donne que la loi du 29 mars 2013 que le projet de loi sous avis entend modifier consacrera finalement tant des dispositions sur le traitement de donnees dans le contexte du easier judiciaire national que des fichiers de donnees dans le systeme central ECRISTCN, ii parait necessaire de distinguer les finalites poursuivies dans les contextes respectifs. En outre, !'article 10, paragraphe 2, du pro jet de loi dispose que « /es empreintes digitales, images faciales et photographies[... ] peuvent egalement etre traitees par la Police grand-ducale aux fins de la prevention, de la recherche et de la constatation des infractions penales dons Jes conditions prevues par la Joi du 1er aout 2018 relative ii la protection des personnes physiques ii I'egard du traitement des donnees ii caractere personnel en matiere penale ainsi qu'en matiere de securite nationale ». a L' ACJ constate que le libelle du present article est semblable celui de !'article 47 paragraphe 2 de la loi du 20 juillet 2018 portant reforme de !'Administration penitentiaire. L'ACJ considere neanmoins qu'une telle disposition est trap generale et meriterait d'etre d'avantage precisee etant donne qu'il s'agit du traitement de donnees caractere sensible. En outre, I' ACJ se demande si cette disposition ne correspondrait pas d'autres finalites que celles visees par la loi modifiee du 29 mars 2013 relative !'organisation du easier judiciaire. Des precisions cet egard doivent egalement etre apportees. a IV. a a a Quant aux droits des personnes concernees L'article 8 du pro jet de loi entend modifier !'article 10 de la loi du 29 mars 2013 en incluant des dispositions specifiques quant aux droits des personnes concernees. Le commentaire des articles precise a cet egard qu'« [i]I a ete juge utile de formaliser le droit ii /'information, ii la rectification, ii la suppression et ii la limitation du traitement des donnees a caractere personnel dons le present texte et de J'etendre formellement ii toute personne concernee, qu'elle soit un ressortissant d'un pays tiers ou pas ». Dans la mesure ou l'objectif principal du projet de loi est d'accompagner l'entree en application des instruments europeens relatifs ECRIS-TCN, et que ce dernier se limite renvoyer au cadre europeen applicable en matiere de protection des donnees, I' ACJ peut comprendre l'approche suivie par les auteurs du projet de loi. a a Or, elle se demande si, au vu de ce que prevoit d'ores et deja la loi du 1er aoQt 2018, une telle disposition est necessaire, d'autant plus si elle ne reprend pas l'integralite des droits confies la personne concernee. a En effet, la loi du 1er aoQt 2018 s'applique « aux traitements de donnees ii caractere personnel mis en reuvre ii des fins de prevention et de detection des infractions penales, d'enquetes et de poursuites en la matiere ou d'execution de sanctions penales, y compris la protection contre Jes menaces pour la securite publique et la prevention de telles menaces, par toute autorite publique competente ou tout autre 4 organisme ou entite a qui a ete confie, a ces memes fins, l'exercice de l'autorite publique et des prerogatives de puissance publique, ci-apres denommes « autorite competente » 1 . Le champ d'application de la loi se determine des lors par rapport a la nature des traitements effectues et de l'autorite qui effectue les traitements, et non pas par rapport aux personnes concernees. La loi n'operant des lors pas de distinction, l'ACJ considere qu'elle s'applique a toutes les personnes concernees, y compris les ressortissants de pays tiers. Ensuite, si les auteurs du projet de loi estiment necessaire de reprendre les droits des personnes concernees, I' ACJ estime qu'ils doivent s'en tenir a ce que le cadre europeen, en particulier la directive 2016/680, prescrit. Dans ce contexte, ii convient de soulever par exemple qu'en cas de limitation du droit d'acces de la personne concernee par le responsable du traitement, celle-ci dispose conformement a !'article 17 de la directive 2016/680 d'un droit d'acces indirect par l'intermediaire de l'autorite de controle. II faudrait des lors inclure les droits que le projet de loi omet actuellement. Par ailleurs, le projet de loi limite l'exercice du droit d'acces en prevoyant que le« droit d'acces est realise au moyen de la consultation, sur place et sans deplacement, du bulletin N° 1 du easier judiciaire ». L' ACJ se demande si cette limitation est conforme avec la directive 2016/680 qui ne prevoit pas une telle limitation et dont la redaction des considerants 40 a 46 semble indiquer qu'une telle pratique n'est pas dans l'esprit de la directive 2016/680. L'ACJ se demande encore comment, dans la pratique, un ressortissant d'un pays tiers ne disposant pas de titre de sejour peut exercer son droit d'acces, puisqu'il ne peut pas se rend re sur place pour consulter son easier. Enfin, I' ACJ constate que les auteurs du projet de loi ont rem place le recours pour les personnes physiques de contester une inscription dans le easier judiciaire par un recours en matiere de protection des donnees devant I' ACJ. Elle se demande si les auteurs du projet de loi n' ont pas confondu les recours applicables, car I' ACJ ne dispose pas des competences necessaires pour apprecier le bienfonde d'une inscription dans le easier judiciaire. Elle est seulement competente pour apprecier la liceite d'un traitement de donnees a caractere personnel. Par consequent, I' ACJ se demande sur quoi exactement son controle pourrait porter. L'ACJ s'interroge egalement quanta la maniere d'interpreter !'article 27 du reglement (UE) 2019/816 qui dispose que « toute personne a le droit d'introduire une reclamation et le droit de former un recours dans l'Etat membre de condamnation qui a refuse le droit d'acces aux donnees la concernant ou le droit d'en obtenir la rectification ou /'effacement vises a/'article 25, conformement au droit national ou de /'Union ». Le present recours sera-t-il porte directement devant la chambre du conseil de la cour d'appel ou est-ce qu'une reclamation adressee au prealable a I' ACJ sera requise conformement a !'article 44 paragraphe 3 de la loi du 1er aoOt 2018 ? V. Quant aux donnees traitees dans le systeme central ECRIS-TCN L'article 12-1, paragraphe 1er, que !'article 9 du projet de loi entend introduire dans la loi du 29 mars 2013 contient une liste de donnees qui peuvent figurer dans le fichier creee dans le systeme central ECRIS-TCN. Ainsi, le fichier peut contenir toutes les donnees alphanumeriques figurant a !'article 3 de la loi du 29 mars 1 Article 1er, paragraphe 1er, de la loi du 1er aout 2018. 5 2013, a savoir le genre, les donnees dactyloscopiques, les images faciales, le numero d'identite, ou le type et le numero des documents d'identite de la personne concernee ainsi que le nom de l'autorite qui les a delivres. En comparant cette liste avec la liste des donnees traitees dans le cadre du systeme central ECRIS-TCN, I' ACJ constate que les auteurs du projet de loi ant decide d'inclure plus de donnees que requis par le reglement europeen precedemment cite. En effet, !'article 3 de la loi du 23 mars 2013 prevoit que le easier judiciaire national peut notamment contenir des informations sur la residence de la personne concernee. Or, !'article 5 du reglement (UE) 2019/816du 17 avril 2019 ne prevoit pas le traitement de ces informations dans le service central ECRIS-TCN. Dans la mesure ou le reglement europeen est d'application directe, ii convient de se demander si le projet de loi en l'espece ne va pas au-dela de ce qui est prevu par le cadre legal europeen et le principe de minimisation des donnees. Concernant la possibilite retenue d'inclure dans le systeme central ECRIS-TCN des images faciales, I' ACJ note que les auteurs du projet de loi ant decide de mettre en reuvre cette possibilite tout en la limitant a la seule finalite de confirmer l'identite d'un ressortissant d'un pays tiers. L' ACJ salue la limitation a cette seule finalite d'identification, notamment parce qu'il semble que la reglementation europeenne laisse ouverte une future utilisation de ces images faciales en ayant recours a des technologies de reconnaissance faciale. L'ACJ attire d'ores et deja !'attention des auteurs du projet de loi sur les lignes directrices du Comite europeen de la protection des donnees sur !'utilisation des technologies de reconnaissance faciale dans le domaine de la repression 2 • VI. Quant a la necessite de conserver une copie des fichiers electroniques du svsteme central ECRIS-TCN al'echelle nationale L'article 12-1, paragraphe 2, que !'article 9 du projet de loi entend introduire dans la loi du 29 mars 2013 prevoit que le procureur general d'Etat conserve une co pie des donnees integrees dans le systeme central ECRIS-TCN. II ya lieu de soulever que le reglement ECRIS-TCN ne prevoit pas de copie nationale. Le commentaire des articles n'expliquant pas pourquoi une telle copie nationale est necessaire, c'est l'avis du Parquet general qui fournit des explications. La copie permet ainsi au Parquet de « verifier a tout instant la teneur des donnees qu'il a enregistrees dans l'ECRIS-TCN, de !es corriger [. .. ], de Jes completer par des informations nouvellement disponib/es et, plus generalement, de !es mettre ajour [ ... ] »3 • Les motifs du Parquet general etant comprehensibles, cette pratique suscite neanmoins la question de savoir pourquoi une telle gestion n'est pas possible directement dans le systeme central ECRIS-TCN. L'ACJ souhaite que le legislateur apporte des clarifications quant a la necessite d'une telle copie ainsi que la maniere avec laquelle la copie nationale et le fichier du systeme central ECRIS-TCN se synchronisent pour pouvoir conserver des donnees a jour. L' ACJ donne a considerer que si la copie nationale consiste plutot en un fichier national qui alimente le systeme central ECRIS-TCN, et que cette mise en place est necessaire parce qu'une manipulation directe 2 Voir les lignes directrices « Guidelines 05/2022 on the use offacial recognition technology in the area of law enforcement», du Comite europeen de protection des donnees. 3 Vair doc. parl. 7881/01, « Avis du Parquet general (15.10.2021} ». 6 dans le systeme central ECRIS-TCN n'est pas possible, et qu'une synchronisation des deux existe dans le sens ou une modification dans le fichier national entraine egalement une modification automatique dans le systeme central, alors ii ne s'agit pas d'une « copie » au sens courant du terme mais bien d'un fichier nouveau qu'il convient d'encadrer. VII. Quant ala prise d'empreintes digitales, d'images faciales et de photogra phies par la Police grand-ducale S'il ne peut etre rem is en question que les empreintes digitales, les images faciales et les photographies soient traitees dans le contexte de l'ECRIS-TCN et que ledit traitement se doit d'etre legalement encadre, I' ACJ s'interroge neanmoins quanta la place de telles dispositions dans une loi qui a comme objet le easier judiciaire. A la lecture de !'article 10 paragraphe 1 point
- b)du reglement (UE) 2019/816, L' ACJ comprend que la prise d'empreintes digitales doit a present repondre a des standards europeens introduits dans le cadre de l'ECRIS-TCN. II semble que le code de procedure penale serait plus approprie pour un tel article, voire encore la loi sur la Police grand-ducale. 7