Projet de loi portant : 1° introduction de dispositions spécifiques pour le traitement de données personnelles dans l’application « JU-CHA » ; et 2° m

CONSEIL D’ÉTAT =============== N° CE : 60.743 N° dossier parl. : 7882 Projet de loi portant : 1° introduction de dispositions spécifiques pour le traitement de données personnelles dans l’application « JU-CHA » ; et 2° modification du Code de procédure pénale Avis du Conseil d’État (22 juillet 2022) Par dépêche du 25 août 2021, le Premier ministre, ministre d’État, a soumis à l’avis du Conseil d’État le projet de loi sous rubrique, élaboré par la ministre de la Justice. Le texte du projet de loi était accompagné d’un exposé des motifs, d’un commentaire des articles, d’une fiche financière, d’une fiche d’évaluation d’impact et d’un texte coordonné par extraits de la loi qu’il s’agit de modifier. Par dépêche du 24 novembre 2021, les avis de la Cour supérieure de justice, du procureur d’État près le Tribunal d’arrondissement de Luxembourg, du procureur d’État près le Tribunal d’arrondissement de Diekirch, du Tribunal d’arrondissement de Luxembourg et du procureur général d’État ont été communiqués au Conseil d’État. L’avis de la Commission nationale pour la protection des données a été communiqué au Conseil d’État par dépêche du 15 juillet 2022. L’avis de l’Autorité de contrôle judiciaire, demandé selon la lettre de saisine, n’est pas encore parvenu au Conseil d’État au moment de l’adoption du présent avis. Considérations générales Le projet de loi sous examen a pour objet principal « d’encadrer le traitement de données à caractère personnel effectué par les autorités judiciaires à l’aide de l’application JU-CHA, permettant la gestion des dossiers répressifs du premier acte de procédure jusqu’à l’exécution des décisions de justice, conformément aux dispositions du droit européen et international, du Code pénal, du Code de procédure pénale et des autres lois spéciales applicables ». L’ensemble des traitements de données à caractère personnel mis en œuvre par les autorités répressives sont soumis aux dispositions de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. Tout en estimant qu’« il ne fait aucun doute que […] les dispositions pénales, en particulier le Code pénal et le Code de procédure pénale, constituent une base légale suffisante pour la collecte des données à caractère personnel dans l’exécution des missions essentielles du ministère public et des juridictions judiciaires », les auteurs du projet de loi expliquent que « suite aux discussions publiques et institutionnelles menées dans le cadre du traitement des données à caractère personnel par les autorités judiciaires et la Police grand-ducale, le gouvernement a cependant décidé de préciser les conditions et les modalités de ces traitements ». L’objectif déclaré de la réforme est « de garantir la conformité pleine et entière de telles ingérences dans la vie privée des personnes concernées » avec les exigences découlant de la Constitution et des conventions internationales applicables en la matière. Selon l’exposé des motifs, le projet de loi sous examen « entend […] balancer d’une part, la nécessité de munir les autorités judiciaires des outils indispensables au bon fonctionnement de la Justice et d’autre part, garantir le respect au droit à la vie privée et plus spécialement celui au droit à la protection des données personnelles ». Le Conseil d’État relève que l’objectif politique affiché pour cette initiative législative se recoupe, du moins en partie, avec celui avancé pour le projet de loi n° 7691 sur les procédures de vérification d’antécédents 1, qui a fait l’objet d’un avis du Conseil d’État en date du 26 octobre 2021. L’objectif recherché est identique à celui indiqué par le Gouvernement pour le projet de loi n° 7741 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, ayant pour objet de préciser le régime juridique des différents fichiers gérés par la Police grand-ducale. Du fait des similitudes et des liens existant avec ce dernier projet de loi, le Conseil d’État a estimé judicieux d’examiner ces deux projets de loi en parallèle. Les auteurs ont pris l’option de fixer par la loi un certain nombre de points qui, d’après la loi précitée du 1er août 2018, relèvent de la compétence du responsable du traitement. Projet de loi portant modification: 1° du Code de procédure pénale 2° du Nouveau Code de procédure civile 3° de la loi du 7 juillet 1971 portant en matière répressive et administrative, institution d’experts, de traducteurs et d'interprètes assermentés et complétant les dispositions légales relatives à l’assermentation des experts, traducteurs et interprètes 4° de la loi modifiée du 9 décembre 1976 relative à l’organisation du notariat 5° de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs 6° de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire 7° de la loi modifiée du 7 novembre 1996 portant organisation des juridictions de l’ordre administratif 8° de la loi du 30 décembre 1981 portant indemnisation en cas de détention préventive inopérante 9° de la loi modifiée du 15 mars 1983 sur les armes et munitions 10° de la loi modifiée du 2 mars 1984 relative à l’indemnisation de certaines victimes de dommages corporels résultant d’une infraction et à la répression de l’insolvabilité frauduleuse 11° de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice 12° de la loi du 31 janvier 1998 portant agrément des services d’adoption et définition des obligations leur incombant 13° de la loi du 6 mai 1999 relative à la médiation pénale et portant modification de différentes dispositions

1. a)de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire,
2. b)du code des assurances sociales 14° de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance 15° de la loi modifiée du 7 juin 2012 sur les attachés de justice 2 1 Ceci vaut notamment pour les durées de conservation et la gestion des accès aux données à caractère personnel. L’article 5 de la directive (UE) 2016/680, que la loi précitée du 1er août 2018 a transposé en droit national, prévoit que « [l]es États membres prévoient que les délais appropriés sont fixés pour l’effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver les données à caractère personnel. Des règles procédurales garantissent le respect de ces délais ». Le Conseil d’État rappelle que dans son avis du 29 mai 2018 relatif au projet de loi n° 7168, qui est devenu la loi précitée du 1er août 2018, il a exprimé « une nette préférence pour la solution qui consiste à prévoir dans la loi la possibilité pour le responsable du traitement de fixer tant les délais prévus pour l’effacement des délais que ceux prévus pour la vérification de la nécessité de conserver lesdites données ». Dans la mesure où le projet de loi sous examen se limite à fixer le cadre d’une application particulière, à savoir celle de l’application « JU-CHA », ses dispositions ne s’appliquent pas automatiquement à d’autres applications existantes ou futures relatives à des traitements de données à caractère personnel poursuivant des finalités similaires. En cas de changement de l’application « JU-CHA », il faudra procéder à une adaptation de la loi si elle est adoptée dans sa teneur actuelle. Le Conseil d’État se doit de soulever la question de l’agencement de la loi en projet avec la loi précitée du 1er août 2018, qui a une portée générale en matière de traitement de données à caractère personnel en matière pénale et qui constitue une loi de transposition d’une directive européenne en droit national. En choisissant de fixer certains éléments par la voie législative et en omettant d’en réglementer d’autres, les auteurs du projet de loi ont pris le risque d’engendrer une insécurité juridique quant à la loi applicable. Le Conseil d’État renvoie à ses développements relatifs à l’article 1er. Selon la lecture du Conseil d’État, la loi précitée du 1er août 2018 reste entièrement applicable à l’application « JU-CHA », le projet de loi sous examen ne constituant pas une loi de dérogation, mais apporte des précisions pour ladite application. Il s’impose de préciser que les dispositions de la loi en projet s’appliquent sans préjudice des dispositions de la loi précitée du 1er août 2018. Le Conseil d’État renvoie à sa proposition de texte pour l’article 1er. Le second objet du projet de loi sous examen consiste dans plusieurs modifications apportées au Code de procédure pénale afin d’autoriser la transmission de certaines informations pénales par le Parquet général et les parquets aux administrations ainsi qu’à d’autres personnes de droit public et privé. Ces dispositions, inscrites à l’article 12 du projet de loi sous avis, soulèvent, en partie, des interrogations par rapport à leur conformité aux principes de la protection des données à caractère personnel et de la vie privée, notamment en relation avec l’utilisation que le destinataire de l’information pourra en faire. Le Conseil d’État y reviendra lors de l’examen de l’article afférent. 3 Examen des articles Article 1er Cet article détermine le champ d’application de la loi et la finalité de l’application « JU-CHA » (abréviation des termes « Justice Chaîne pénale »). Le Conseil d’État peut s’accommoder d’une référence générale aux lois spéciales au lieu de procéder à une énumération précise et exhaustive des différentes lois qui confèrent des missions particulières aux autorités judiciaires, le critère essentiel étant qu’elles découlent du droit national ou international et que le traitement des données à caractère personnel se fasse pour des finalités déterminées, explicites et légitimes. Afin d’éviter toute confusion, il conviendrait de remplacer le terme « finalité » par celui de « but ». Tenant compte des considérations générales formulées ci-dessus, le Conseil d’État doit s’opposer formellement à la disposition sous examen pour insécurité juridique. Afin de pouvoir lever l’opposition formelle, le Conseil d’État demande d’ajouter, in fine du paragraphe 1er, les termes suivants : « , sans préjudice des dispositions de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ». Article 2 Cette disposition désigne le procureur général d’État comme responsable du traitement. Au paragraphe 2, il est déterminé que l’application JU-CHA est hébergée auprès du Centre des technologies de l’information de l’État, ci-après le « CTIE ». Le CTIE est donc à considérer comme sous-traitant au sens de l’article 21 de la loi précitée du 1er août 2018. D’après cette disposition générale, le sous-traitant a le droit de recruter un autre sous-traitant dans la mesure où le responsable donne « l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement ». Le Conseil d’État s’interroge sur les raisons qui ont amené le Gouvernement à avoir recours à la notion d’approbation, sans autre précision. Comme le commentaire de l’article sous examen fait des références expresses aux dispositions de l’article 21 de la loi précitée du 1er août 2018, il ne semble pas exister de volonté de déroger à la règle générale, reprise par ailleurs de l’article 22, paragraphe 2, de la directive (UE) 2016/680. L’utilisation de formules différentes dans ce contexte est source d’insécurité juridique. Le Conseil d’État demande, sous peine d’opposition formelle, de reprendre la formule de l’article 21 précité. 4 Article 3 Paragraphes 1er et 2 Sans observation. Paragraphe 3 Le paragraphe 3 prévoit des dispositions dérogatoires sans pour autant indiquer à quelle disposition précise il est dérogé. Cette imprécision est source d’insécurité juridique, de sorte que le Conseil d’État doit s’y opposer formellement. Le Conseil d’État insiste aussi sur la désignation dans le texte de la loi en projet de l’autorité qui est en droit d’accorder cet accès dérogatoire. En toute logique, ce pouvoir devrait revenir au procureur général d’État en tant que responsable du traitement et conformément au paragraphe 2. Cette interprétation est pourtant difficilement conciliable avec la disposition du point 1° du paragraphe 3, qui prévoit qu’un accès est accordé au responsable du traitement qui, en vertu de l’article 2 du projet de loi sous avis, est le procureur général d’État. Qui est ce responsable du traitement ? Cette incohérence est source d’insécurité juridique, de sorte que le Conseil d’État doit s’y opposer formellement. Une autre interrogation du Conseil d’État porte sur la catégorie des « magistrats et membres du personnel chargé de la mise en œuvre de la législation en matière de protection des données aux seules fins de cette mise en œuvre ». Pourquoi le projet de loi sous avis vise-t-il ces personnes, alors que le procureur général d’État est le responsable du traitement de l’application JU-CHA ? En ce qui concerne le point 2°, le Conseil d’État s’interroge sur l’articulation entre cette disposition et l’article 74-6 de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire, qui prévoit, en son alinéa 2, que la « CRF peut accéder, sur demande sommairement motivée, aux informations et pièces des dossiers d’enquête et d’instruction ». Une demande sommairement motivée est-elle également nécessaire pour que la Cellule de renseignement financier se voie accorder l’accès à tous les modules de l’application JU-CHA ? En tout cas, un accès à tous les modules de l’application JU-CHA paraît difficilement justifiable eu égard aux missions légales de la Cellule de renseignement financier. Le Conseil d’État doit s’opposer formellement au paragraphe 3, point 2°, pour insécurité juridique, la disposition étant en contradiction avec l’article 74-6 précité réglant l’accès aux systèmes de traitement électronique de données de la Cellule de renseignement financier. En ce qui concerne le point 5°, le Conseil d’État estime qu’il n’y a pas lieu d’accorder un accès à deux modules au service de communication et de presse de la justice. Dans la mesure où la loi impose de limiter dans toute la mesure du possible le nombre de personnes ayant accès à des données à caractère personnel, le Conseil d’État estime que cette disposition risque d’être considérée comme une entorse disproportionnée au principe de la protection de la vie privée. En attente d’explications de la part des auteurs, le 5 Conseil d’État doit réserver sa position quant à la dispense du second vote constitutionnel. Paragraphe 4 En ce qui concerne le paragraphe 4, le Conseil d’État lit le texte en ce sens que, comme tous les accès aux modules sont temporaires, il appartient au responsable du traitement d’en déterminer la durée au moment de l’autorisation d’accès. Article 4 Sans observation. Article 5 L’emploi du verbe « pouvoir » au sujet du contenu des différents modules pourrait induire l’idée qu’une partie seulement des données relatives à la matière y sont effectivement traitées. Le Conseil d’État marque une nette préférence pour l’emploi d’une formule plus affirmative. Il propose d’écrire « reprend » au lieu de « peut contenir » à la première phrase du paragraphe 1er. La formule employée au paragraphe 2 « magistrats et membres du personnel de l’administration judiciaire qui traitent ce genre d’affaires » peut paraître assez vague. Le Conseil d’État peut s’en accommoder, dans la mesure où l’article 3, paragraphe 2, de la loi en projet prévoit une autorisation individuelle de la part du procureur général d’État ou de son délégué. Les termes « et est graduée conformément aux dispositions suivantes » ont un caractère purement explicatif et peuvent être supprimés. L’article règle les différentes phases d’accès au module « dossiers répressifs ». Il fixe notamment les délais pour l’accès. Le point de départ des délais visés au paragraphe 3 n’est pas la date de la commission de l’infraction, ni la date de la constatation de l’infraction, mais la dernière inscription dans le dossier. Le Conseil d’État estime que les délais prévus sont appropriés et ne devraient pas causer de problèmes majeurs, même pour les infractions qui présentent des délais de prescription particuliers du fait de la détermination du point de départ des délais retenue par le projet de loi. Au lieu de l’emploi du terme « affaire », le Conseil d’État préconise d’écrire « le dossier », un terme mieux adapté à la matière. Le Conseil d’État renvoie, en ce qui concerne le lien de la disposition sous examen avec le fichier central de la Police grand-ducale, à son avis du même jour sur le projet de loi n° 7741 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, et notamment à ses observations relatives au nouvel article 43-2, paragraphe 11, que l’article 3 du projet de loi n° 7741 entend insérer dans la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Il rappelle les observations formulées au sujet des durées de conservation de données à caractère personnel pouvant être considérées 6 comme excessives. Le Conseil d’État propose de prévoir soit la fixation d’une durée maximale de conservation, même dans l’hypothèse d'un accès extrêmement restrictif, soit l’inscription dans la loi de la faculté pour les autorités judiciaires compétentes d’ordonner l’effacement de données du module sous examen de l’application JU-CHA durant la troisième période. Le Conseil d’État rappelle en tout état de cause le principe général que les données à caractère personnel ne peuvent être conservées que pendant la durée nécessaire et qu’il incombe au responsable du traitement de faire les vérifications nécessaires. Il rappelle qu’en vertu de l’article 3, paragraphe 3, de la loi précitée du 1er août 2018, l’archivage des données n’est admis que dans les hypothèses visées à cette disposition. En tout état de cause, et au vu du fait qu’il est fait référence à une disposition non encore entrée en vigueur, le projet de loi sous avis ne pourra pas entrer en vigueur avant le projet de loi n° 7741. Au paragraphe 4 il y a lieu d’écrire « À l’expiration de ces délais », l’expression « après ces délais » étant imprécise. Au paragraphe 6, qui prévoit un régime spécial pour les acquittements, il y a lieu de viser correctement les paragraphes auxquels le paragraphe 6 entend déroger. Selon le Conseil d’État, il s’agit des paragraphes 3 à 5. Le Conseil d’État partage le souci du procureur général d’État exprimé dans son avis du 4 novembre 2021 en ce qui concerne la nécessité qui peut se présenter à titre exceptionnel de consulter le détail d’une affaire pénale de la période du paragraphe 4. Cette hypothèse devrait également être incorporée au paragraphe final de l’article. Article 6 Cet article définit et encadre le module « jeunesse ». Le Conseil d’État réitère ses observations formulées au sujet de l’emploi du verbe « pouvoir » à l’égard de l’article 5 du projet de loi. Il prend acte de la volonté des auteurs du projet de loi de limiter strictement l’accès à ces données, étant donné qu’il ne peut être accordé qu’aux magistrats compétents en matière de jeunesse et aux membres du personnel de l’administration judiciaire affectés aux services afférents et que des restrictions supplémentaires sont prévues en matière de délais et de motivation de l’accès. Le Conseil d’État suggère d’écrire, au paragraphe 3, que les « demandes d’accès » doivent être spécialement motivées. Il ne s’agit pas en l’occurrence d’une simple consultation, mais d’un accès à des données à caractère personnel. Article 7 Cet article a trait au module « entraide pénale internationale ». Il est renvoyé aux observations formulées à l’égard de l’article 5 en ce qui concerne l’emploi du verbe « pouvoir ». 7 Le Conseil d’État suggère de reformuler le paragraphe 2 comme suit : «