← Luxembourg

Avis de la Commission nationale pour la protection des données relatif au projet de loi no 7880 sur l’organisation de l’

Avis de la Commission nationale pour la protection des données relatif au projet de loi no 7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire Délibération n°30/AV14/2022 du 21 juillet 2022 Conformément à l’article 57, paragraphe 1er, lettre (c) du règlement (UE) n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 6 septembre 2021, Monsieur le Ministre de la Défense a invité la Commission nationale à se prononcer sur le projet de loi no 7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 1/14 opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire (ci-après le « projet de loi »). D’après l’exposé des motifs, « le projet de loi a comme objectif de - renforcer l’opérationnalité et la réactivité de l’Armée, - mettre à jour l’organisation de l’Armée, - moderniser et d’étendre les carrières militaires ». L’exposé des motifs relève en outre que « par ce biais, l’Armée entend relever les défis actuels et futurs, dont le plus important réside dans le recrutement d’un nombre suffisant de personnels militaires et civils afin de mener à bien un éventail croissant de missions dans son domaine d’action traditionnel (composante terrestre), mais également dans les domaines d’action plus récents, tels les domaines espace et cyber pour ne citer que ceux -ci. La modernisation, l’extension et la diversification des carrières militaires devraient notamment contribuer à l’augmentation de l’attractivité de l’Armée ». La Commission nationale entend limiter ses observations aux questions soulevées par les dispositions du projet de loi et du projet de règlement grand-ducal sous examen qui traitent des aspects liés au respect de la vie privée et à la protection des données à caractère personnel, c’est-à-dire les articles 17 et

  1. L’article 17 vise à instaurer une base légale pour l’accès des membres du personnel de l’Armée au registre national des personnes physiques (ci-après « RNPP ») et au fichier relatif aux affiliations des salariés, des indépendants et des employeurs (géré par le Centre commun de la sécurité sociale, ci-après « CCSS »), dans le cadre du recrutement et de la gestion du personnel de l’Armée. L’article 18 a quant à lui pour objet de mettre en place une enquête d’honorabilité qui est effectuée à l’égard de chaque candidat qui souhaite intégrer l’Armée luxembourgeoise, nécessaire à l’exécution des fonctions du personnel de l'Armée. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 2/14 I. Ad article 17 a. Paragraphe 1er D’après le commentaire des articles, cet article constitue la base légale pour l’accès des membres du personnel de l’Armée au RNPP et au fichier géré par le CCSS dans le cadre du recrutement et de la gestion du personnel de l’Armée. Les auteurs du projet de loi expliquent que cet article s’inspire de l’article 43 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale. Cependant, si ce dernier article prévoit l’accès au RNPP, au fichier géré par le CCSS et à d’autres fichiers aux membres de la Police grand-ducale ayant la qualité d’officier de police judiciaire ou d’officier de police administrative dans le cadre de l’exercice de leurs missions de police judiciaire et de police administrative, il y a lieu de relever que l’accès à de tels fichiers par les membres du personnel de l’Armée ne s’effectuerait pas dans le même cadre mais dans le cadre du recrutement et de la gestion du personnel de l’Armée. Or, si la CNPD peut comprendre l’accès à ces fichiers à des fins de missions de police judiciaire et de police administrative, elle ne voit pas le besoin d’accéder à ces fichiers pour des finalités de gestion des ressources humaines. En effet, en ce qui concerne le fichier géré par la CCSS, la Commission nationale comprend que les candidats doivent en tout état de cause fournir les données nécessaires, pour permettre à l’Armée (comme tout employeur qui embauche du personnel dans le secteur public), d’effectuer une déclaration d’entrée au CCSS
  2. Elle ne comprend dès lors pas pourquoi l’Armée devrait avoir accès au fichier géré par le CCSS. Elle ne comprend pas non plus le besoin pour l’Armée d’accéder au RNPP à des fins de recrutement et de gestion des ressources humaines. Dans l’hypothèse où les auteurs du projet de loi entendraient malgré tout maintenir cette disposition, la CNPD rappelle, à l’instar de ce qu’elle avait déjà relevé dans son avis relatif au projet de loi n°7543 portant modification de cette loi modifiée du 18 juillet 2018 sur la Police grandducale 2, que l’accès au RNPP devrait en tout état de cause s’effectuer conformément à la 1 Comme indiqué sur le site internet de la CCSS, https://ccss.public.lu/fr/employeurs/secteur-public/engager-personnel.html. 2 Document parlementaire 7543/
  3. à la page suivante : Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 3/14 procédure prévue par l’article 10 de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques ainsi que les articles 5 à 7 du règlement grand-ducal du 28 novembre 2013 fixant les modalités d’application de la loi précitée. b. Paragraphe 2 Selon le commentaire des articles, « le paragraphe 2 vise les conditions et limites dans lesquelles le système informatique de l’Armée doit être aménagé afin de garantir la conformité aux dispositions légales en matière du traitement des données à caractère personnel ». Dans l’hypothèse où le premier paragraphe de cet article 17 serait maintenu malgré l’absence aux yeux de la CNPD de nécessité de l’accès au RNPP et au fichier géré par le CCSS à des fins de recrutement et de gestion du personnel, de telles conditions et limites paraîtraient alors indispensables. Elle relève en outre que la liste des administrations qui ont consulté des données personnelles dans le RNPP au cours des 6 derniers mois peut en tout état de cause être consultée dans l’espace privé du site MyGuichet.lu auquel chaque usager à accès. Le paragraphe

(2), premier alinéa, 1o instaure une procédure de traçage des accès, ce qui permet d'éviter notamment des accès non-autorisés aux données, des fuites de données ou des modifications non désirées. Une telle procédure constitue une garantie au regard du principe d’intégrité et de confidentialité, consacré à l’article 5, paragraphe
(1), lettre (f) et de l’obligation de sécurité des traitements détaillée à l’article 32 du RGPD. Elle consiste à s’assurer que seules les personnes qui en ont besoin dans l'exercice de leurs fonctions et de leurs tâches professionnelles soient habilitées à avoir accès aux données nécessaires à des fins de recrutement et de gestion du personnel. Le paragraphe
(2), premier alinéa, 2o prévoit quant à lui un système de journalisation des accès. Ainsi, il sera possible de retracer tout accès non justifié ou disproportionné aux données par les membres du personnel de l’Armée. Dans ce contexte, la CNPD souligne l’importance d’effectuer pro-activement des contrôles en interne. A cet effet, il convient conformément à l’article 32, paragraphe
(1), lettre d) du RGPD de mettre en œuvre une procédure « visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Le deuxième alinéa se réfère aux principes de nécessité et de proportionnalité, en lien avec celui de minimisation des données consacré à l’article 5, paragraphe
(1), lettre (c) du RGPD. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 4/14 Enfin, le troisième alinéa prévoit que la Commission nationale pour la protection des données contrôle et surveille le respect des conditions d’accès prévu par l’article sous examen. A ses yeux, cette disposition apparaît cependant superfétatoire, alors que cela relève de ses missions conformément à l’article 57 du RGPD. Par ailleurs, bien que la CNPD comprenne que cela relève effectivement de ses compétences, elle se demande pourquoi les auteurs ont fait référence à l’article 2, paragraphe 1 er, point 15, lettre a, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. En effet, s’agissant de traitement de données à des fins de gestion du recrutement et des ressources humaines, cela ressort des missions « générales » de la CNPD, détaillées à l’article 12 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, qui renvoie à l’article 58 du RGPD. Par ailleurs, il y a lieu de rappeler que sur base du principe de responsabilité prévu à l’article 5, paragraphe
(2)du RGPD, c’est en premier lieu au responsable du traitement lui-même, c’est-àdire à l’Armée luxembourgeoise, à s’assurer du respect des principes du RGPD et notamment de ceux précités (à savoir les principes d’intégrité et de confidentialité, de nécessité et de proportionnalité). Dans ce contexte, la CNPD estime nécessaire que l’Armée assure un suivi régulier des données accédées via le traçage des accès, afin d’identifier et de remédier à tout accès non nécessaire ou disproportionné, le cas échéant en communiquant une éventuelle violation de données aux personnes concernées ou à la CNPD, conformément aux articles 33 et 34 du RGPD. Ce n’est qu’a posteriori que la Commission nationale sera amenée à exercer son pouvoir d’enquête ou à adopter des mesures correctrices, conformément à l’article 58, paragraphe
(2)du RGPD. A cet égard, la Commission nationale s’interroge sur la plus-value de consacrer une partie spécifique ayant trait à l’exécution de sa mission de contrôle qui sera exercée au titre de l’article sous examen, dans le cadre de son rapport transmis annuellement au ministre ayant la protection des données dans ses attributions, en exécution de l’article 10 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. En effet, comme indiqué plus haut, cela ressort en tout état de cause des missions générales de la CNPD. Par ailleurs, il ne lui paraît pas logique de consacrer Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 5/14 une section spécifique relative à son pouvoir de contrôle des mesures de sécurité et confidentialité mises en place par l’Armée, alors que d’autres administrations sont pourtant tenues aux mêmes principes de sécurité et confidentialité II. Ad article 18 a. Paragraphe 1er D’après le commentaire des articles, « l’article 18 met en place une enquête d’honorabilité qui est effectuée à l’égard de chaque candidat qui souhaite intégrer l’Armée luxembourgeoise, peu importe le statut auquel il veut accéder, qui vise à vérifier que le candidat à un emploi dans une des catégories de traitement et d’indemnité du personnel militaire et civil ou au service volontaire, ne constitue pas une menace pour soi-même ou autrui, voire même à la sécurité nationale ». Sur la notion d’enquête d’honorabilité, la Commission nationale renvoie à son avis relatif au projet de loi n°7691 3. La CNPD se félicite que cet article, d’un point de vue de la sécurité juridique, constitue la base légale de l’enquête d’honorabilité effectuée par l’Armée luxembourgeoise dans ce contexte, conformément à l’article 6 paragraphe
(3)du RGPD. Le deuxième alinéa du paragraphe 1er liste les éléments à prendre en compte lors de cette enquête d’honorabilité, cela « pour des raisons de transparence et de clarté quant aux critères vérifiés » d’après le commentaire des articles. Cependant, parmi ces critères, certains posent question. Ainsi, le troisième critère (qui tombe sous la compétence du Service de renseignement de l’Etat, selon le commentaire des articles), à savoir « la relation de l’intéressé avec des personnes suspectées d’agir au nom ou d’obéir aux ordres d’un service secret étranger et qui peuvent menacer la sécurité nationale » mériterait d’être précisé, afin de savoir ce qu’il faut plus exactement entendre par « relation ». Par ailleurs, le cinquième critère (« la mise en accusation dans des affaires judiciaires ») pose question au regard du principe de la présomption d’innocence. En effet, comme relevé par le 3 Document parlementaire 7691/3, point I.1, page 3. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 6/14 Conseil d’Etat dans son avis complémentaire du Conseil d’Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions 4, il y a lieu d’attirer l’attention des auteurs du projet de loi sur le fait qu’« un procès-verbal ou un rapport ne sont pas l’équivalent d’une décision de justice ayant retenu une personne dans les liens de la prévention et que le principe de la présomption d’innocence doit prévaloir». Par ailleurs, les termes « affaires judiciaires » manquent de précision aux yeux de la CNPD : s’agit-il d’une mise en accusation à l’égard de toute contravention, délit et/ou crime ? Est-il tenu compte de la gravité de l’infraction pénale ? A partir de quel stade de l’instruction criminelle une telle mise en accusation sera prise en compte dans l’évaluation du candidat ? De même, le sixième critère (« l’existence d’un ou plusieurs antécédents disciplinaires de l’intéressé ») est assez vague, alors que cette notion pourrait recouvrir une variété de faits de gravités très diverses. S’agit-il de sanctions disciplinaires prononcées par l’Armée, par d’autres administrations et/ou par des employeurs privés, au Luxembourg ou à l’étranger ? Est-il tenu compte de la gravité de ces sanctions disciplinaires, et le cas échéant si elles peuvent être constitutives d’infractions pénales en droit luxembourgeois ? Qu’en est-il si ces sanctions disciplinaires ont été contestées, le cas échéant devant le tribunal administratif ou le tribunal du Travail ? Quelle serait la portée du secret de l’instruction par rapport aux règles de la procédure administrative non contentieuse et contentieuse 5 ? Pour ces raisons, la Commission nationale se demande si les critères visés au paragraphe
(1), 2ème alinéa, 3o, 5o et 6o ne seraient pas trop vagues et par conséquent, s’ils respecteraient le principe de prévisibilité et de précision auquel doit répondre tout texte légal ou règlementaire
  1. Enfin, le dernier alinéa du paragraphe 1er prévoit que le candidat ne disposant pas de l’honorabilité requise pourra se voir refuser l’admission au poste visé. Or, sans préjuger de l’appréciation in concreto qui serait effectuée en la matière, il y a lieu de regretter que ni le projet de loi sous avis, ni les commentaires des articles ne précisent quels critères ou quel degré de gravité des antécédents sont pris en compte par le chef d’état-Major de l’Armée pour apprécier V. avis complémentaire du Conseil d’Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 ». 5 Voir dans ce sens, l’avis complémentaire du Conseil d’Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 ». 6 Voir à ce sujet M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promocult ure Larcier, 2019, p.469, n°
  2. 4 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 7/14 l’honorabilité des personnes concernées. En l’absence de telles précisions, il est difficile d’apprécier si le principe de minimisation des données serait respecté. Il y a lieu de rappeler qu’en vertu de ce principe, seules peuvent être traitées les données à caractère personnel qui sont strictement nécessaires à la réalisation des finalités poursuivies. b. Paragraphe 2 Le commentaire des articles explique que « les recherches et le rassemblement des informations dans le cadre de l’enquête d’honorabilité ne sont pas effectuées par l’Armée elle-même. En effet, le paragraphe 2 prévoit que les informations sont rassemblées par la Police grand -ducale, sur demande du chef d’état-major de l’Armée, qui dispose de par la loi des bases légales lui permettant d’accéder aux bases de données, pour autant que cette consultation soit nécessaire par rapport à la finalité recherchée ». La Commission nationale se félicite de la mise en place d’un tel mécanisme, qui évite que les membres du personnel de l’Armée obtiennent un accès direct et non délimité aux fins de la détermination de l’honorabilité tel que définie au paragraphe 1er. Néanmoins, il convient de relever à cet égard le projet de loi n°7741 portant modification 1° de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du SRE et 3° du Code pénal, déposé le 30 décembre
  3. Ledit projet de loi a notamment pour objet d’encadrer les traitements des données à caractère personnel effectués dans les fichiers de la Police grand-ducale, et plus précisément dans le fichier central. Une attention particulière devrait être portée sur l’accès à la partie passive du fichier central. Son accès est, en effet, strictement limité aux finalités énumérées au paragraphe
(19)de l’article 432 du projet de loi n°7741 (les enquêtes administratives n’y sont pas visées) et est soumis à l’accord du procureur général d’Etat. Dès lors, les auteurs du projet de loi devraient s’assurer de la bonne cohérence et articulation entre les deux textes en projet. Dans le commentaire des articles, les auteurs du projet de loi précisent que « l’autorité effectuant sur base de son attribution cette enquête administrative, doit garantir le respect de la vie privée au sens de l’article 11 de la Constitution et de l’article 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales d’une part et les dispositions nationales et européennes en ce qui concerne le traitement des données à caractère personnel de l’autre »
  1. 7 Commentaire des articles, ad article 18, page
  2. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 8/14 Comme déjà évoqué ci-dessus 8, en ce qui concerne la mise en accusation dans des affaires judiciaires, ainsi que l’existence d’un ou de plusieurs antécédents disciplinaires de l’intéressé, les auteurs du projet de loi devraient en outre porter une attention particulière au secret de l’instruction. La Commission nationale se félicite toutefois que le premier alinéa encadre temporellement les faits auxquels se rapportent les informations fournies par la Police grand-ducale, en ce qu’il prévoit des délais maxima entre la commission d’un fait, susceptible d’être pris en compte dans le cadre de l’enquête d’honorabilité, et le moment où il peut être pris en compte. Le second alinéa du paragraphe 2 se réfère quant à lui au principe de limitation des finalités, prévu par l’article 5, paragraphe
(1), lettre b du RGPD, qui serait applicable dans ce cas à la Police grand-ducale. La Commission nationale comprend que la Police agirait dans ce contexte comme sous-traitant au sens du RGPD, alors que le chef d’état-major de l’Armée restera responsable du traitement et à ce titre, également soumis au principe de limitation des finalités. Enfin, l’alinéa 3 dispose que « [l]es informations concernant les faits visés à l’alinéa 1er sont communiquées au chef d’état-major de l’Armée sous forme de l’intégralité ou d’extraits de procèsverbaux ou rapports de police, ou tout autre document ou acte de procédure contenant les informations concernées ». Rappelons à ce sujet que l’article 10 du RGPD dispose que « [l]e traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les d roits et libertés des personnes concernées ». Ledit article précise encore que « [t]out registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique ». Dans ce contexte, il est essentiel que des garanties soient prévues dans le projet de loi, en particulier en cas de transmission de telles données sous forme de l’intégralité de procès-verbaux ou de rapports de police. Dans le cas contraire, les personnes concernées (candidats et membres du personnel de l’Armée) verraient une duplication de leurs données relatives à des condamnations pénales ou des mises en accusation aux mains de plusieurs autorités. La collecte de telles données lors de l’enquête administrative pourrait aboutir à la tenue d’une sorte de nouveau « casier bis » par le chef d’état-major de l’Armée. Celui-ci disposerait, le cas échéant, à l’issue de l’enquête de la copie de l’intégralité ou d’extraits de rapports de police, de procès8 Ad article 18, paragraphe 1er. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 9/14 verbaux, de jugements, ou encore des informations qui seraient nécessaires fournies par le SRE (telles que visées au paragraphe 5 du même article). En outre, il y a encore lieu de s’interroger sur la question de l’exactitude et de la mise à jour des données qui seraient transmises par la Police grand-ducale ou par le SRE au chef d’état-major, alors que le système envisagé ne prévoit pas un retour de ces autorités vers l’Armée. Par exemple, cette question pourrait se poser dans l’hypothèse où des données transmises par la Police grand-ducale ou le SRE, et relatives à des faits concernant un candidat aboutiraient à une décision de non-lieu, ou un classement sans suite 9 10. La CNPD estime donc essentiel que des garanties soient prévues par les auteurs du projet de loi, à l’instar de celles visées au paragraphe 7, deuxième alinéa du même article. La transmission d’un avis circonstancié de la Police grand-ducale à la place des transmissions de l’intégralité ou d’extraits de procès-verbaux, actuellement prévues par le projet de loi, pourrait constituer une alternative 11. c. Paragraphe 3 Selon le commentaire des articles, ce paragraphe a pour conséquence de faire en sorte que la Police grand-ducale ne communique pas de données qui iraient au-delà des éléments qui sont pris en compte par l’Armée dans son enquête d’honorabilité. La Commission nationale se félicite de l’introduction de ce paragraphe, en lien avec le principe de limitation des finalités consacré par l’article 5, paragraphe
(1), lettre b du RGPD. Pour le surplus, elle renvoie à ses développements au paragraphe
  1. d. Paragraphe 4 Le paragraphe 4 octroie la possibilité pour le Ministre et le chef d’état-major de l’Armée de demander la délivrance d’un extrait du bulletin N° 2, conformément aux articles 8 et 8-1 de la loi modifiée du 29 mars 2013 relative à l’organisation du casier judiciaire. 9 Cf. infra, point i. Voir dans ce sens, l’avis complémentaire du Conseil d’Etat du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 », p.
  2. 11 Comme cela a été proposé par la Conseil d’Etat dans son avis complémentaire du 19 décembre 2020 relatif au projet de loi N°7425 sur les armes et munitions, document parlementaire n°7425/08, développements sous « Amendement 14 », p.
  3. 10 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 10/14 Il convient de s’interroger sur la plus-value de ce paragraphe, si ce n’est de répéter les dispositions précitées. En effet, l’article 1er du règlement grand-ducal modifié du 23 juillet 2016 fixant la liste des administrations et personnes morales de droit public pouvant demander un bulletin N°2 ou N°3 du casier judiciaire avec l’accord écrit ou électronique de la personne concernée, point 15 dispose que « [l]e bulletin N° 2 peut être délivré sur demande et avec l'accord exprès de façon écrite ou électronique de la personne concernée (…) au ministre ayant la Défense dans ses attributions pour l’instruction des demandes d’emploi de la carrière militaire et civile et des demandes d’engagement au service volontaire de l’Armée ». Par ailleurs, l’article 8-1 concerne le bulletin N° 3, et la Commission nationale se demande dès lors pourquoi le paragraphe 4 du projet de loi sous examen ne fait quant à lui référence qu’au bulletin N°
  4. e. Paragraphe 5 Ce paragraphe est à lire en lien avec le paragraphe 1er, alinéa 2, points 2 et 3, qui concerne deux critères pris en considération afin de vérifier si le candidat dispose de l’honorabilité nécessaire à l’exécution des fonctions du personnel de l’Armée, à savoir l’appartenance de l’intéressé à un groupement susceptible d’être considéré comme terroriste ou extrémiste, d’une part, et les relations de l’intéressé avec des personnes suspectées d’agir au nom ou d’obéir aux ordres d’un service secret étranger, d’autre part. Outre les considérations exprimées supra concernant la notion de « relations » 12, il y a lieu de se demander comment des données à caractère personnel seront transmises en pratique, alors que le paragraphe 5 prévoit simplement qu’elles seront échangées « sur demande ou de façon spontanée ». Par ailleurs, la Commission nationale se demande si cette collaboration avec le Service de renseignement de l’Etat s’inscrit dans le cadre de la coopération de ce dernier avec les administrations, telle que visée à l’article 9 de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État. Si tel était le cas, il pourrait être utile d’y faire référence dans ce paragraphe du projet de loi. 12 Cf. supra, point a. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 11/14 f. Paragraphe 7 Selon le commentaire des articles, le paragraphe 7 vise à « établir une base légale permettant au chef d’état-major de l’Armée, de diligenter une enquête d’honorabilité en cas d’indice qu’un membre du personnel de l’Armée est susceptible de constituer une telle menace ». Or, il convient de regretter que ni le texte du projet de loi ni le commentaire des articles ne précisent quels pourraient être les « informations susceptibles de mettre en doute l’honorabilité d’un membre du personnel militaire ou civil ». Toutefois, le commentaire des articles explique que « l’enquête d’honorabilité effectuée par le chef d’état-major en cours d’engagement d’un membre du personnel de l’Armée sera soumise à l’autorisation du Ministre, précédée d’une demande motivée du chef d’état-major », ce qui permettrait d’après les auteurs du projet de loi de « limiter, voire même d’éviter les abus ». La CNPD accueille favorablement la mise en place d’une telle garantie, même si selon elle, tout abus ne pourrait être définitivement écarté. Le second alinéa du paragraphe 7, quant à lui, prévoit la possibilité pour le chef d’état-major de l’Armée de recevoir des informations nécessaires de la part du procureur général d’Etat concernant d’éventuelles enquêtes préliminaires ou instructions préparatoires en relation avec les faits visés au paragraphe 1er. Les auteurs du projet de loi reconnaissent qu’il s’agit d’une « situation plutôt délicate, alors que ces informations tombent généralement sous le secret de l’instruction ». Néanmoins, ils justifient cette exception au principe du secret de l’instruction par le fait qu’« il serait contraire à la finalité de la présente enquête d’honorabilité de ne pas pouvoir recourir à ces renseignements, alors qu’il importe d’éviter qu’une personne, à l’encontre de laquelle une instruction préparatoire ou une enquête préliminaire est en cours en raison d’un fait récent, puisse occuper un poste au sein de l’Armée. » Par ailleurs, ils indiquent que cette exception « sera strictement encadrée et limitée au strict nécessaire, notamment en ce qui concerne les informations que le procureur général d’Etat transmettra au chef d’état-major de l’Armée ». Ainsi, les données à caractère personnel qui seraient le cas échéant transmises à l’état-major de l’Armée pendant la durée où les faits en cause sont couverts par le secret de l’instruction, sont limitativement énumérées dans le second alinéa du paragraphe
  5. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 12/14 La CNPD renvoie à ce sujet à ses développements relatifs au secret de l’instruction
  6. Elle estime essentiel que des garanties soient prévues par les auteurs du projet de loi. A cet égard, elle salue le fait que l’enquête d’honorabilité effectuée par le chef d’état-major en cours d’engagement d’un membre du personnel de l’Armée soit soumise à l’autorisation du Ministre, précédée d’une demande motivée du chef d’état-major. En outre, elle note avec satisfaction que contrairement à la procédure applicable aux nouveaux candidats visée au paragraphe 2 du même article, le chef d’état-major ne recevra pas l’intégralité ou des extraits de procès-verbaux ou rapports de police, mais seulement le nom, prénom, numéro d’identification nationale ainsi que la qualification juridique des faits qui lui sont reprochés et qui sont incriminés par les dispositions légales visées au paragraphe
  7. Elle se demande toutefois pourquoi ces garanties ne sont pas prévues dans le cadre du recrutement prévu au paragraphe 2 du même article, au regard des nouveaux candidats
  8. En tout état de cause, il conviendra d’être particulièrement attentif au respect des principes de la limitation de la conservation, ainsi que celui d’exactitude et de mise à jour des données, détaillés aux paragraphes suivants du présent avis. g. Sur le principe de la limitation de la conservation Selon l’article 5, paragraphe
(1), lettre e) du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà, les données doivent être supprimées ou anonymisées. Or, l’article 18 du projet de loi n’indique pas pendant combien de temps les données qui seraient collectées par l’Armée ou transmises au chef d’état-major seraient conservées. Dès lors, la Commission nationale n’est pas en mesure d’apprécier si, en l’occurrence, le principe de durée de conservation limitée des données serait respecté. Il est essentiel que des précisions à ce sujet soient apportées et ce d’autant plus eu égard à la nature des données à caractère personnel en cause. Ainsi, la durée de conservation devrait être définie dans le projet de loi ou celui-ci devrait a minima préciser les critères qui seraient pris en compte afin de déterminer quelle est la durée de conservation proportionnée pour chaque 13 14 Cf. supra, point b. Cf. supra, point b. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 13/14 catégorie de données à caractère perso nnel qui serait collectée lors des enquêtes administratives. h. Sur le principe d’exactitude des données Conformément à l’article 5, paragraphe
(1), lettre d) du RGPD, les données à caractère personnel doivent être « exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». Or, il y a lieu de constater que le dispositif sous avis ne prévoit aucune disposition relative à la mise à jour des données obtenues dans le cadre des enquêtes administratives. Or, compte tenu des données collectées, il convient d’attirer l’attention des auteurs du projet de loi sur le fait qu’il existe un risque important que des données relatives à une personne dont l’affaire a été classée sans suite ou qui a entretemps été acquittée d’une infraction dont elle a été accusée se trouvent toujours dans les dossiers de l’administration, sans une mise à jour ou rectification afférente, et ce d’autant plus qu’aucune durée de conservation n’est actuellement prévue dans le projet de loi sous examen
  1. Ainsi décidé à Belvaux en date du 21 juillet
  2. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2022.07.21 11:15:35 +02'00' Tine A. Larsen Présidente 15 Thierry Lallemang Digitally signed by Thierry Lallemang Date: 2022.07.21 14:21:35 +02'00' Thierry Lallemang Commissaire signed by Marc Ernest Digitally Marc Ernest JeanJean-Pierre Pierre Lemmer Date: 2022.07.21 Lemmer 14:47:47 +02'00' Marc Lemmer Commissaire Cf. supra, point h. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7880 sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités et de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et portant abrogation de la loi modifiée du 23 juillet 1952 concernant l’organisation militaire 14/14

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.