Projet de loi n°7991 portant introduction d'un droit pénal pour mineurs et portant modification : 1° du Code de procédure pénale ; 2° de la loi modifi

Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale Délibération n°29/AV13/2022 du 01/07/2022 Conformément à l'article 8 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ciaprès la « loi du / er août 2018 portant organisation de la CNPD »), transposant l'article 46, paragraphe ler, lettre (

1. c)de la directive (UE) n°2016/680 du 27 avril 2016 relative à la protection des personnes physique à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JA1 du Conseil (ci-après la « Directive ») la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD »), « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ». Par courrier en date du 20 août 2021, Madame la Plnistre de la Justice a invité la Commissbn nationale à se prononcer sur le projet de loi portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA », et modification du Code de procédure pénale (ci-après le « projet de loi »). Il convient de rappeler que bien avant le dépôt du projet de loi sous avis, l'autorité de contrôle judiciaire (ci-après l'« ACJ »), instauré par l'article 40 de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et au sein de laquelle la CNPD siège en tant que membre, avait déjà publié en date du 31 juillet 2020 un avis sur l'application JU-CHA1 (ci-après l'« avis de l'ACJ de 2020 »). Dans cet avis, l'ACJ avait notamment retenu que « [dlepuis l'entrée en vigueur de la loi du ler août 2018 en matière pénale ainsi qu'en matière de sécurité nationale, l'application JUCHA et les traitements de données à caractère personnel mis en œuvre par les autorités répressives sont encadrés par cette loi-cadre [la loi du ler août 2018 en matière pénale ainsi qu'en matière de sécurité nationale], sans contenir des dispositions spécifiques concernant les traitements de données mis en œuvre par les différentes autorités compétentes visées par ladite loi », et qu'il « ne fait aucun doute que les traitements de données effectués par les autorités compétentes en matière pénale ainsi qu'en matière de sécurité nationale constituent une ingérence dans le droit au respect de la vie privée et le droit à la protection des données et que les dispositions pénales, ' Avis de l'autorité de contrôle judiciaire créée par la loi du 1e août 2018 en matière pénale ainsi qu'en matière de sécurité nationale sur l'application JUCHA [ CNPD Avis de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA», et modification du Code de procédure pénale 1/9 en particulier le Code pénal et le Code de procédure pénale, constituent une base légale suffisante pour la collecte de données à caractère personnel dans l'exécution des missions essentielles du ministère public et des juridictions judiciaires ». Dans son avis de 2020, l'ACJ a analysé « si l'application JUCHA ne constitue pas un traitement de données distinct, et allant au-delà, des traitements de données basés sur les procédures pénales décrites ci-dessus, en ce qu'elle facilite l'exploitation et la m ise en relation d'informations sur la base de procédures judiciaires distinctes et permet des rapprochements entre ces différents traitements de données ayant des finalités connexes, de sorte que les conditions et les modalités de ce traitement de données « JUCHA » devraient être prévues dans la loi afin de conférer une plus grande sécurité juridique aux justiciables » ainsi que « si les dispositions de ladite loi sont suffisamment précises quant aux exigences en particulier de l'article 11, paragraphe 3, lu à la lumière l'article 32, paragraphe 3, de la Constitution, de l'article 8, paragraphe 2, de la Convention européenne des droits de l'homme, de l'article 52, paragraphes 1 et 2, de la Charte des droits fondamentaux de l'Union européenne et de la jurisprudence sy référant ». Les analyses de l'ACJ ont abouti à la conclusion que « [n]onobstant une gestion de JUCHA ancrée dans des procédures internes, qui, dans l'ensemble, répond aux exigences de la loi du l er août 2018 en matière pénale ainsi qu'en matière de sécurité nationale et nonobstant le fait que la majorité des traitements de données relatifs aux dossiers papier s'articulent autour des missions principales des juridictions répressives, il apparaît que ni les dispositions du Code de procédure pénale et ni d'autres dispositions légales n'encadrent de manière explicite l'ensemble des caractéristiques des traitements couverts par l'application JUCHA »2 . En guise de conclusion, l'ACJ retient encore qu' « [é]tant donné que l'application JUCHA regroupe diverses finalités en opérant en fin de compte un rapprochement entre ces différents traitements de données, il pourrait être envisagé d'adopter une disposition générale définissant les éléments essentiels des traitements de données effectués sur base de l'application JUCHA. Une telle démarche pourrait accroître l'accessibilité et la prévisibilité de la loi. De surcroft, afin que cette démarche permette de tenir compte pleinement des exigences constitutionnelles et conventionnelles découlant de la Convention européenne des droits de l'homme et de la Charte des droits fondamentaux de l'Union européenne et de la jurisprudence telle que citée en début de cet avis, les conditions et modalités desdits traitements devraient être définies dans une base légale spécifiquement dédiée »3. Selon l'exposé des motifs, le projet de loi sous avis vise à prendre en compte les préoccupations soulevées par l'ACJ, notamment en ce qu'il dispose que « [u]ne ingérence dans le droit au respect de la vie privée ou dans le droit à la protection des données peut être justifiée à condition qu'elle 1) soit prévue par une loi accessible aux personnes concemées et prévisible quant à ses répercussions, c'est-à-dire formulée 2 Idem. 3 Idem. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA», et modification du Code de procédure pénale 2/9 avec une précision suffisante ; 2) soit nécessaire dans une société démocratique, sous réserve du principe de proportionnalité ; 3) respecte le contenu essentiel du droit à la protection des données ; 4) réponde effectivement à des objectifs d'intérêt général ou au besoin de protection des droits et libertés d'autrui. Le projet de loi sous rubrique entend dès lors répondre à ces obligations et balancer d'une part, la nécessité de munir les autorités judiciaires des outils indispensables au bon foncfionnement de la Justice et d'autre part, garantir le respect au droit à la vie privée et plus spécialement celui au droit à la protection des données personnelles ». Par ailleurs, l'objectif du projet de loi est d'« encadrer le traitement de données à caractère personnel effectué par les autorités judiciaires à l'aide de l'application JU-CHA, permettant la gestion des dossiers répressifs du premier acte de procédure jusqu'à l'exécution des décisions de justice, conformément aux dispositions du droit européen et international, du Code pénal, du Code de procédure pénale et des autres lois spéciales applicables ». Toujours selon l'exposé des motifs, le projet de loi poursuit l'objectif d'apporter des « modifications au Code de procédure pénale afin de régler la transmission d'informations en matière pénale, en donnant notamment une base légale non équivoque à la communication par le Ministère public des décisions de condamnation aux administrafions, personnes morales de droit public ou aux ordres professionnels compétents chargés d'en assurer l'exécution. Le texte introduit encore la possibilité pour le Ministère public d'alerter des personnes de droit public ou privé d'un risque de commission d'infraction par un de leurs subordonnés ». De manière générale, la Commission nationale salue l'initiative législative, visant à encadrer les traitements effectués par les autorités judiciaires sur base de l'application JU-CHA, qui prétend combler l'absence de base légale spécifiquement dédiée définissant les éléments essentiels des traitements effectués par les autorités judiciaires sur base de l'application JU-CHA. En prenant en compte l'avis de l'ACJ de 2020 auquel les membres de l'ACJ issus de la CNPD ont activement contribué, le projet de loi suscite néanmoins des observations et interrogations que la Commission nationale souhaite aborder dans le présent avis. I. Quant à l'introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application JU-CHA 1. Sur les finalités des traitements de données personnelles La CNPD note que le ler article du projet de loi entend fixer les finalités poursuivies par les traitements de données personnelles dans l'application JU-CHA tel que recommandé par l'ACJ dans son avis de 2020. 4 4 Voir avis de l'ACJ de 2020, p.27. [CNPI1 Avis de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA», et modification du Code de procédure pénale 3/9 Elle constate que le commentaire des articles décrit certaines finalités poursuivies, tout en relevant qu'il ne prétend pas à l'exhaustivité. Or, la description des finalités à l'article ler du projet de loi reste plus que vague. La CNPD rappelle que l'article 3, paragraphe ler, lettre
2. b)de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, transposant la Directive en droit national, exige que les données à caractère personnel sont « collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d'une manière incompatible avec ces finalités ». Ainsi, la CNPD estime que le projet de loi sous avis doit déterminer ces finalités avec un degré de détail suffisant pour être compatible avec la disposition précitée. Elle estime que la rédaction actuelle de la disposition ne précise pas suffisamment en détail les finalités pour répondre à cette exigence. Dans ce contexte, la Commission nationale soulève que l'avis de l'ACJ de 2020 avait relevé quatre grandes catégories de finalités de traitements5, et se demande si le projet de loi ne devrait pour le moins pas contenir ces grandes catégories de finalités. 5 Avis de l'ACJ de 2020, pp. 2 et 3 : « L'application JUCHA couvre tout le processus d'une affaire pénale, depuis la communication du fait au parquet jusqu'à la décision définitive sur l'action publique, y compris l'inscription au casier judiciaire. Elle couvre encore le volet de l'exécution des peines. Parailleurs, l'application JUCHA intègre la gestion des dossiers du Service central d'assistance sociale (ci-après« SCAS »), de la probation, de la tutelle, de la protection de la jeunesse, de l'aide aux victimes et des demandes de grâce. Eu égard à l'imbrication de multiples traitements de données au sein de l'application JUCHA s'appuyant en grande partie sur les mêmes données à caractère personnel collectées, cette analyse doit s'effectuer en distingua nt les finalités. Quatre grandes catégories de finalitésont pu être identifiées : A. La gestion du procèspénal a. Assurer la gestion des dossiers répressifs du premier acte de procédure jusqu'à l'exécution des décisions de justice, b. Permettre la gestion informatique des affaires pénales ouvertes au sein des parquets, c. Permettre aux procureurs d'Etat d'apprécier l'opportunité des poursuites, d. Permettre de retracer une affaire en cas de découverte d'éléments nouveaux, e. Permettre une gestion des audiences de nature répressive, f. Permettre la gestion du casierjudiciaire avec les différents extraits, g. Gérer les dossiers du Service central d'assistance sociale (ci-après« SCAS ») (module SCAS). B. La protection de la jeunesse C. La coopération internationale en matière pénale etjudiciaire a. Gérer et garder une trace des mandats d'arrêteuropéens etdes autres instruments européens de reconnaissance mutuelle adressés au Luxembourg, b. Gérer et garder une trace des commissions rogatoires avec m esure de coercition adressées au Luxem b ourg. D. Les aufres missions des parquets a. Permettre la restitution d'objets retrouvés, b. Permettre aux procureurs d'État d'apprécier la moralité et l'honorabilité d'une personne, c. Garder une trace des dossiers papiertransm is aux archives, d. Les interactions en dehors d'une procédure judiciaire en cours du parquet avec des personnes physiques ou morales. » [ CNPD— Avis de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA», et modification du Code de procédure pénale 4/9 La CNPD note avec que le projet de loi ainsi que les explications fournies par le commentaire des articles reflètent la structure actuelle de l'application JU-CHA Or, elle s'interroge si le projet de loi ne devrait pas d'ores et déjà prendre en compte le développement futur de l'application JUCHA, en particulier en ce qui concerne la dématérialisation des dossiers tel qu'envisagé par le projet « e-justice ». Concrètement, on peut se poser la question si les termes « traitement des procédures » et « y compris numériques » du paragraphe 1er de la disposition actuelle suffisent pour couvrir une éventuelle évolution de l'application JU-CHA au vue de la mise en œuvre du projet « e-justice ». En se référant de nouveau à ce qu'avait soulevé l'ACJ dans son avis de 20206, la CNPD se demande si le projet de loi ne devrait pas être complété par une catégorie de finalités couvrant cet aspect. 2. Sur la désignation du responsable du traitement La Commission nationale note que l'article 2 du projet de loi désigne le procureur général d'Etat comme responsable du traitement pour les traitements de données personnelles effectués dans l'application JU-CHA Elle regrette cependant que les auteurs du projet de loi n'ont pas justifié leur choix dans le commentaire des articles. Pour rappel, il ressort de l'avis de l'ACJ de 2020, que malgré l'alimentation et le recours à l'application JU-CHA par de nombreuses autorités judiciaires, le Parquet général estime que le rôle de responsable du traitement lui incombe'. Dans ce même avis, l'ACJ avait néanmoins soulevé une interrogation par rapport à cette affirmation, en se demandant « si les différentes juridictions ne devraient pas être considérées comme responsables de traitement conjoints, au moins pour certaines parties des traitements reprises dans l'application JU-CHA »8. La CNPD regrette que les auteurs du projet de loi n'ont pas saisi l'occasion pour répondre à l'interrogation de l'ACJ, en particulier en fournissant des explications pourquoi la qualification de responsables du traitement conjoints ne leur paraissait pas applicable dans le présent contexte. 3. Sur le délai maximal d'accès aux données du module 'dossiers répressifs' Selon l'article 5 du projet de loi, l'accès aux données contenues dans le module 'dossiers répressifs' peut s'effectuer « dans un délai maximum de deux ans pour les contraventions, de cinq ans pour les délits et de dix ans pour les crimes à partir de la dernière inscription dans le système ». 6 Avis de l'ACJ de 2020, p. 2 : « Outre les traitements d'ores et déjà dématérialisés repns dans /application JUCHA il apparaît que celle-ci est appelée à évoluer, en intégrant au fur et à mesure davantage de dossiers dém atérialisés liés à la mise en œuvre de l'« e-justice ». S'il est envisagé d'intégrer, à terme, une version dématérialisée des dossiers papier dans l'application JUCHA, les règles relatives à ladite application doivent couvrir également cette nouvelle réalité.» 7 Voir avis de l'ACJ de 2020, p.10. Idem. [CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de n°7882 portant introd uction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA», et modification du Code de procédure pénale 5/9 La CNPD se demande s'il ne serait pas utile de clarifier ce que l'élément déclencheur du délai, à savoir la « dernière inscription », signifie exactement. Le commentaire des articles n'apportant pas non plus de précisions à cet égard, la Commission nationale estime néanmoins que cette clarification contribuera à la transparence vis-à-vis des personnes concernées. Par ailleurs, une explication permettrait de déterminer exactement si une simple consultation pourrait faire repousser le délai. 4. Sur la réforme de la protection de la jeunesse Dans un souci de veiller à la cohérence des projets de loi actuellement en procédure législative, il convient de soulever que le module 'protection de la jeunesse' devrait le cas échéant être adapté en fonction des développements à intervenir lorsque les projets de loi afférents aboutiront9. 5. Sur le délai maximal d'accès aux données du module 'Service central d'assistance sociale' Selon l'article 9 du projet de loi, l'accès aux données contenues dans le module 'Service central d'assistance sociale' « n'est plus possible au plus tard cinq ans à partir de la clôture du dossier ». La CNPD se demande s'il ne serait pas utile de clarifier ce que l'élément déclencheur du délai, à savoir la « clôture du dossier », signifie exactement. Le commentaire des articles n'apportant pas de précisions à cet égard, elle estime que cette clarification contribuerait à la transparence vis-àvis des personnes concernées. 6. Sur le module 'contrôle des accès' La Commission nationale note que le module 'contrôle des accès' prévu à l'article 10 du projet de loi « contient les journaux des opérations de traitements effectuées par les utilisateurs de l'application »10 . A ce titre, il convient de rappeler l'article 24 de la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, transposant la Directive en droit national : «