Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l’application « JU-CHA », et modification du Code de procédure pénale Délibération n°20/AV11/2023 du 10 mars 2023 1. Conformément à l’article 8 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ciaprès la « loi du 1er août 2018 portant organisation de la CNPD »), transposant l’article 46.1.
- c)de la directive (UE) n°2016/680 du 27 avril 2016 du Parlement européen et du Conseil relative à la protection des personnes physique à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après la « Directive ») la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD »), « conseille la Chambre des députés, le Gouvernement et d’autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement des données personnelles ». 2. Par ailleurs, l’article 27.2 de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, transposant l’article 28.2 de la directive susmentionnée en droit national, dispose que la CNPD « est consultée dans le cadre de l’élaboration d’un projet de loi ou d’un projet de règlement grand-ducal qui se rapporte au traitement. » 3. En date du 1er juillet 2022, la Commission nationale a avisé le projet de loi n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l’application « JU-CHA », et modification du Code de procédure pénale (ci-après le « projet de loi »). 4. En date du 30 janvier 2023, Madame la Ministre de la Justice a invité la CNPD à se prononcer au sujet des amendements parlementaires adoptés par la Commission de la Justice lors de sa réunion du 13 janvier 2023 (ci-après les « amendements »). 5. La Commission nationale formulera ci-après ses observations quant aux problématiques relatives à la protection des données soulevées par les amendements. Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale 1/6 I. Quant à l’introduction de dispositions spécifiques pour le traitement de données personnelles dans l’application JU-CHA Sur les finalités des traitements 6. La CNPD constate que l’amendement 1 ne retient pas la solution proposée par la CNPD dans son avis du 1er juillet 2022 consistant à retenir pour le moins les grandes catégories de finalités que l’ACJ avait identifiées dans son avis de 20201. 7. La CNPD réitère sa position exprimée dans son avis précité2, notamment en ce que la rédaction actuelle de la disposition ne précise pas suffisamment en détail les finalités pour répondre à l’exigence de l’article 3.1.
- b)de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. 1 Avis de l’ACJ de 2020, pp. 2 et 3 : « L’application JUCHA couvre tout le processus d’une affaire pénale, depuis la communication du fait au parquet jusqu’à la décision définitive sur l’action publique, y compris l’inscription au casier judiciaire. Elle couvre encore le volet de l’exécution des peines. Par ailleurs, l’application JUCHA intègre la gestion des dossiers du Service central d’assistance sociale (ci-après « SCAS »), de la probation, de la tutelle, de la protection de la jeunesse, de l’aide aux victimes et des demandes de grâce. […] Eu égard à l’imbrication de multiples traitements de données au sein de l’application JUCHA s’appuyant en grande partie sur les mêmes données à caractère personnel collectées, cette analyse doit s’effectuer en distinguant les finalités. Quatre grandes catégories de finalités ont pu être identifiées : A. La gestion du procès pénal a. Assurer la gestion des dossiers répressifs du premier acte de procédure jusqu’à l’exécution des décisions de justice, b. Permettre la gestion informatique des affaires pénales ouvertes au sein des parquets, c. Permettre aux procureurs d’Etat d’apprécier l’opportunité des poursuites, d. Permettre de retracer une affaire en cas de découverte d’éléments nouveaux, e. Permettre une gestion des audiences de nature répressive, f. Permettre la gestion du casier judiciaire avec les différents extraits, g. Gérer les dossiers du Service central d’assistance sociale (ci-après « SCAS ») (module SCAS). B. La protection de la jeunesse C. La coopération internationale en matière pénale et judiciaire a. Gérer et garder une trace des mandats d’arrêt européens et des autres instruments européens de reconnaissance mutuelle adressés au Luxembourg, b. Gérer et garder une trace des commissions rogatoires avec mesure de coercition adressées au Luxembourg. D. Les autres missions des parquets a. Permettre la restitution d’objets retrouvés, b. Permettre aux procureurs d’État d’apprécier la moralité et l’honorabilité d’une personne, c. Garder une trace des dossiers papier transmis aux archives, d. Les interactions en dehors d’une procédure judiciaire en cours du parquet avec des personnes physiques ou morales. » 2 Voir délibération n°29/AV13/2022 du 01/07/2022, doc. parl. n°7882/02. Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale 2/6 8. Par ailleurs, il convient de soulever la position exprimée par la CNPD dans son avis complémentaire relatif au projet de loi n°76913 ayant comme objet de préciser les différentes procédures de « contrôle d’honorabilité » actuellement prévues dans plusieurs textes de loi relevant de la compétence du ministre de la Justice. Dans cet avis, la CNPD s’est interrogée sur la nécessité d’introduire la finalité de la vérification des antécédents au projet de loi n°7882. En effet, le projet de loi n°7691 prévoit que par le procureur général d'Etat consulte l’application JUCHA afin d’effectuer une vérification des antécédents. Dans ce contexte, la CNPD s’est également demandée s’il ne serait pas pertinent de préciser dans le texte du projet de loi n°7882 quel(
- s)serai(en)t le(
- s)module(
- s)accessible(
- s)par le procureur général d'Etat lors de l'appréciation de l'honorabilité d'une personne concernée. Sur le module ‘contrôle des accès’ 9. La Commission nationale salue que l’amendement 8 introduit le motif de la consultation tel que préconisé par la CNPD4 et le Conseil d’Etat5 à l’article 10 du projet de loi. 10. Par ailleurs, il convient de voir d’un œil positif les modifications apportées à l’établissement de cette autorisation tel que l’a demandé le Conseil d’Etat dans son avis6. 11. La CNPD constate cependant que les amendements ne reprennent pas l’intégralité des recommandations émises par le Conseil d’Etat dans son avis7. Ainsi, des précisions quant aux conditions des contrôles ainsi que les autres catégories de personnes, à côté du procureur général d’Etat et son délégué, pouvant consulter le module n’ont pas été incluses. 3 Avis complémentaire de la Commission national pour la protection des données relatif au projet de loi n°7691 portant modification : 1° du Code de procédure pénale, 2° du Nouveau Code de procédure civile, 3° de la loi du 7 juillet 1971 portant en matière répressive et administrative, institution d'experts, de traducteurs et d'interprètes assermentés et complétant les dispositions légales relatives à l'assermentation des experts, traducteurs et interprètes, 4° de la loi modifiée du 9 décembre 1976 relative à l'organisation du notariat, 5° de la loi modifiée du 20 avril 1977 sur les jeux de hasard et les paris sportifs, 6° de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire, 7° de la loi modifiée du 7 novembre 1996 portant organisation des juridictions de l'ordre administratif, 8° de la loi du 30 décembre 1981 portant indemnisation en cas de détention préventive inopérante, 9° de la loi modifiée du 15 mars 1983 sur les armes et munitions, 10° de la loi modifiée du 2 mars 1984 relative à l'indemnisation de certaines victimes de dommages corporels résultant d'une infraction et à la répression de l'insolvabilité frauduleuse, 11° de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice, 12° de la loi du 31 janvier 1998 portant agrément des services d'adoption et définition des obligations leur incombant, 13° de la loi du 6 mai 1999 relative à la médiation pénale et portant modification de différentes dispositions
- a)de la loi modifiée du 7 mars 1980 sur l'organisation judiciaire,
- b)du code des assurances sociales, 14° de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance, 15° de la loi modifiée du 7 juin 2012 sur les attachés de justice, délibération n° 42/AV20/2022 du 7 octobre 2022, doc. parl. n°7691/08, point 12. 4 Voir point I.6., pages 5 et 6 de la délibération n°29/AV13/2022 du 01/07/2022, doc. parl. n°7882/02. 5 Voir commentaires formulés par le Conseil d’Etat sous l’article 10, pages 6 et 7 de son avis du 22 juillet 2022, doc. parl. n°7882/03. 6 Ibidem. 7 Ibidem. Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale 3/6 12. La CNPD estime pourtant important de limiter dans une certaine mesure par une disposition législative les personnes pouvant consulter le module « contrôle des accès ». En effet, elle se demande si vraiment tous les magistrats et membres du personnel de l’administration judiciaire pourraient potentiellement nécessiter un tel accès ou seulement des catégories spécifiques de personnes. Ainsi, la CNPD se rallie à la recommandation du Conseil d’Etat d’apporter des précisions à cet égard au projet de loi sous avis. 13. Par ailleurs, le Conseil d’Etat a demandé dans son avis d’apporter des précisions si les contrôles se font d’office, sur décision du procureur général d’État, ou bien sur demande du procureur d’État, d’un juge d’instruction ou d’un autre chef de corps. La CNPD se rallie à l’appréciation de Conseil d’Etat qu’une telle précision serait utile. En outre, la CNPD rappelle que l’article 24, paragraphe 2, prévoit un autocontrôle qui selon les bonnes pratiques devrait se faire de manière proactive et régulière afin de vérifier la licéité des traitements, et le cas échéant détecter des abus d’accès. Ainsi des contrôles devraient être réalisés régulièrement sur l’initiative du responsable du traitement, même en l’absence d’un indice ou d’un soupçon d’abus. II. Quant à la modification du Code de procédure pénale 14. La CNPD voit d’un œil favorable les modifications apportées au projet de loi. Elle note cependant que les amendements ne prennent pas en compte ses observations soulevées dans son avis du 1er juillet 20228. 15. Dans la mesure où les amendements ne répondent pas à la question de l’interaction entre l’obligation de confidentialité introduite par l’article 12 du projet de loi sous la forme d’un nouvel article 8-4 au Code de procédure pénale, et les obligations du responsable du traitement respectivement des droits de la personne concernée découlant du RGPD, la CNPD estime que ses remarques à ce sujet dans son avis du 1er juillet 2022 restent pertinentes. 16. Il convient de rappeler qu’une fois que le ministère public transmet les informations à un employeur public ou privé, une association ou fondation ou encore une administration, une personne morale de droit public, une personne morale de droit privé chargée d’une mission de service public ou un ordre professionnel, le RGPD trouve application aux traitements de données à caractère personnel effectués par ces entités. 17. Ainsi, il se pose la question de savoir comment l’obligation de confidentialité joue à l’égard de la personne concernée, qui est en droit d’obtenir certaines informations conformément au RGPD. 8 Voir point II., pages 6 et suiv. de la délibération n°29/AV13/2022 du 01/07/2022, doc. parl. n°7882/02. Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale 4/6 18. En ce qui concerne le droit à l’information conféré par les articles 13 et 14 du RGPD, la CNPD peut reconnaître la possibilité pour le responsable du traitement d’évoquer l’article 14.5.d)9 du RGPD pour justifier ne pas avoir informé la personne concernée de la collecte indirecte des données. Or, il convient de noter que les destinataires de ces informations, lorsqu’ils deviennent responsable du traitement de ces données, doivent se rendre compte de cette potentielle limitation. Si les responsables du traitement l’ignorent, il existe un risque que certains informent les personnes concernées par soucis de respecter le cadre légal européen. 19. Il en va autrement du droit d’accès de la personne concernée conféré par l’article 15 du RGPD. Le responsable du traitement ne peut pas invoquer une obligation de confidentialité pour refuser la communication de toute information à la personne concernée. Bien que le droit d’accès ne soit pas un droit absolu, le RGPD ne prévoit que des limitations spécifiques10. Ainsi, le responsable du traitement peut décider de ne pas fournir une copie des données à la personne concernée s’il s’avère que des droits et libertés d’autrui seraient affectés négativement. Cette limitation ne s’étend pourtant pas sur les informations que le responsable du traitement doit fournir en vertu de l’article 15.1 du RGPD11. 20. De même que la CNPD se rallie au Conseil d’Etat en ce qu’il estime que la personne concernée devrait être informée de toute transmission de données personnelles de la part du ministère public à l’instar de la loi française12, elle estime que si des limitations supplémentaires sont nécessaires, il appartient au droit national de les prévoir en conformité avec l’article 23 du RGPD qui prévoit des conditions strictes d’encadrement pour de telles limitations. Dans ce contexte, il convient de noter qu’une disposition de confidentialité nationale constituerait une telle limitation, tel que le souligne le Comité Européen de la Protection des Données (ci-après l’ « EDPB ») dans ses lignes directrices « Guidelines 01/2022 on data subject rights - Right of access »13. L’EDPB conclut que des dispositions de confidentialité tendant à limiter le droit d’accès des personnes concernées doivent respecter les conditions strictes prévues par l’article 23 du RGPD14. 21. Ainsi, la CNPD se demande s’il n’est pas nécessaire d’encadrer plus clairement l’obligation de confidentialité du responsable du traitement afin de garantir un traitement en même temps en conformité avec le RGPD et approprié des données jugées confidentielles. Si le législateur estime 9 La disposition prévoit que le responsable du traitement n’est pas tenu à informer la personne concernée de la collecte indirecte que ses données personnelles si les données à caractère personnel doivent rester confidentielles en vertu d'une obligation de secret professionnel réglementée par le droit de l'Union ou le droit des États membres, y compris une obligation légale de secret professionnel. 10 Voir en ce sens les explications de l’EDPB dans la section « limits and restrictions », p.4, des lignes directrices « Guidelines 01/2022 on data subject rights - Right of access ». 11 Ibidem. 12 Voir commentaires formulés par le Conseil d’Etat sous l’article 12, page 9 de son avis du 22 juillet 2022, doc. parl. n°7882/03. 13 Voir en ce sens l’exemple fourni sous le point 96, p.31, des lignes directrices « Guidelines 01/2022 on data subject rights - Right of access » de l’EDPB. 14 Ibidem. Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale 5/6 nécessaire d’écarter le droit général d’une personne d’être informée, la CNPD se demande, tel qu’invoqué dans son avis du 1er juillet 202215, s’il n’est pas nécessaire d’inclure des limitations en vertu de l’article 23 du RGPD. La CNPD rappelle que l’EDPB a publié des lignes directrices afin d’accompagner la rédaction de telles limitation16. Il convient de soulever en particulier l’exigence que toute limitation devrait, dans la mesure du possible, être limitée dans le temps et à certaines catégories de données, et ne pas porter sur tous les droits et obligations découlant du RGPD. Dans ce contexte, la CNPD estime qu’une limitation ne serait utile que pour le droit d’accès, et éventuellement le droit à l’information lors d’une collecte indirecte, mais uniquement en ce qu’elle peut garantir que les responsables du traitement se rendent compte que l’obligation de confidentialité prévaut sur l’obligation d’information découlant du RGPD. III. Remarques finales 22. La CNPD constate que les amendements ne répondent pas à d’autres observations soulevées dans son avis du 1er juillet 2022. Dès lors, la CNPD réitère sa position exprimée dans son avis précité17, notamment en ce qui concerne la désignation du responsable du traitement ainsi que la distinction dans le traitement des différentes catégories de personnes concernées. Ainsi adopté à Belvaux en date du 10 mars 2023. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2023.03.10 09:27:03 +01'00' Tine A. Larsen Présidente Digitally signed by Thierry Thierry Lallemang 2023.03.10 Lallemang Date: 09:29:10 +01'00' ALAIN ALAIN HERRMANN 2023.03.10 HERRMANN Date: 09:33:21 +01'00' Thierry Lallemang Commissaire Alain Herrmann Commissaire Digitally signed by 15 Voir point II., pages 6 et suiv. de la délibération n°29/AV13/2022 du 01/07/2022, doc. parl. n°7882/02. 16 Voir les « Guidelines 10/2020 on restrictions under Article 23 GDPR ». 17 Voir délibération n°29/AV13/2022 du 01/07/2022, doc. parl. n°7882/02. Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale 6/6