Projet de loi portant approbation de l’Accord entre le Grand-Duché de Luxembourg et le Comité International de la Croix-Rouge (CICR) sur le statut et

CONSEIL D’ÉTAT =============== N° CE : 61.222 N° dossier parl. : 8093 Projet de loi portant approbation de l’Accord entre le Grand-Duché de Luxembourg et le Comité International de la Croix-Rouge (CICR) sur le statut et les privilèges et immunités du CICR, fait à Luxembourg, le 1er juin 2022 Avis du Conseil d’État (26 mai 2023) Par dépêche du 14 novembre 2022, le Premier ministre, ministre d’État, a soumis à l’avis du Conseil d’État le projet de loi sous rubrique, élaboré par le ministre des Affaires étrangères et européennes. Le texte du projet de loi était accompagné d’un exposé des motifs, du texte de l’Accord à approuver, d’un commentaire des principaux articles de l’accord à approuver, d’une fiche d’évaluation d’impact et d’une fiche financière. En date du 8 février 2023, une entrevue a eu lieu entre le Conseil d’État et une délégation du Ministère des affaires étrangères et européennes. Considérations générales Le projet de loi sous avis a pour objet d’approuver l’« Agreement on the status and privileges and immunities of the International Committee of the Red Cross between the Grand-Duchy of Luxembourg and the International Committee of the Red Cross », ci-après l’« Accord ». L’Accord vise à reconnaître la personnalité juridique internationale du Comité international de la Croix-Rouge, ci-après « CICR », et à lui accorder, en cette qualité, les privilèges et immunités nécessaires à son bon fonctionnement au Grand-Duché de Luxembourg. De tels accords de siège, conclus entre le CICR et de nombreux États, visent, de manière générale, à accorder certaines garanties à l’organisation en question de sorte qu’elle puisse s’acquitter de son mandat, tel que prévu notamment par les Conventions de Genève et leurs Protocoles additionnels, avec efficacité et dans le respect du principe de confidentialité

1. D’après l’exposé des motifs, l’Accord s’inscrit dans la stratégie gouvernementale appelée « Digital Lëtzebuerg », qui entend faire du Luxembourg un centre de confiance numérique en Europe dans la mesure où l’Accord précité permettra au CICR, et plus particulièrement à sa délégation pour le « Cyberspace », d’avoir une présence physique au Grand-Duché de Luxembourg par le biais notamment de surfaces louées dans un centre de 1 https://www.icrc.org/fr/document/le-point-sur-le-statut-juridique-du-cicr données pour lesquelles un contrat de location précisera les obligations des deux parties. À l’instar d’accords déjà conclus avec la Principauté de Monaco2 et l’Estonie3, l’Accord prévoit ainsi l’hébergement de données dans un centre de données luxembourgeois et permet de garantir une immunité et des privilèges similaires à ceux d’une ambassade physique. Les dispositions ayant pour objet de définir le cadre juridique en matière d’hébergement de données sont largement inspirées des deux accords précités. En ce qui concerne les dispositions ayant trait aux immunités et privilèges accordés au CICR, celles-ci sont comparables à celles qui figurent dans les Accords de siège similaires conclus entre la Croix-Rouge et d’autres pays
2. Examen de l’article unique Sans observation. Examen de l’acte à approuver Articles 9 et 10 Le Conseil d’État constate que les articles 9 et 10 de l’Accord ne sont pas repris des accords précités conclus avec l’Estonie et la Principauté de Monaco. En ce qui concerne l’article 9, paragraphe 1er, ce dernier stipule que « [t]he processing of personal data by the ICRC shall be covered by the privileges and immunities foreseen in the present Agreement. In particular, the ICRC processes personal data in accordance with the ICRC Rules on Personal Data Protection; the ICRC’s data processing is supervised by the ICRC Data Protection Office; and an effective remedy is ensured through the ICRC Independent Data Protection Control Commission ». Le Conseil d’État comprend que le CICR sera ainsi amené à appliquer un arsenal de règles en matière de protection de données qui lui est propre, à savoir le « Manuel sur la protection des données dans l’action humanitaire »
3. Le paragraphe 3 de l’article 9 précise encore que « [t]he ICRC shall exclusively ensure the respect of and be able to demonstrate compliance with ICRC Rules on Personal Data Protection for its processing activities, 2 Projet de loi portant approbation de l’Accord entre le Grand-Duché de Luxembourg et la Principauté de Monaco concernant l’hébergement de données et de systèmes d’information, fait à Luxembourg, le 15 juillet 2021 (doc. parl. n° 7957). 3 Loi du 1er décembre 2017 portant approbation du "Agreement between the Grand Duchy of Luxembourg and the Republic of Estonia on the hosting of data and information systems", signé à Luxembourg, le 20 juin 2017 Mém. A - n° 1029 du 6 décembre
4. 4 Voir l’Accord entre le Conseil fédéral suisse et le Comité international de la Croix-Rouge en vue de déterminer le statut juridique du Comité en Suisse, conclu le 19 mars
5. Voir aussi la loi n° 2003-475 du 4 juin 2003 relative aux privilèges et immunités de la délégation du Comité international de la Croix-Rouge en France. 5 https://shop.icrc.org/handbook-on-data-protection-in-humanitarian-action-pdf-en-2.html 2 including by its processors and sub-processors as far as the ICRC is the controller ». Le Conseil d’État comprend à la lecture de cette disposition et des explications qui ont été données lors de l’entrevue du 8 février 2023 que le CICR se verrait ainsi exclu du champ d’application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ciaprès « RGPD », et que l’exclusion en question se déduirait notamment du droit coutumier relatif aux organisations internationales, et plus spécifiquement de la nécessité de garantir que l’organisation internationale puisse mener à bien sa fonction humanitaire en appliquant un arsenal de règles uniformes en matière de protection des données. Si, comme les auteurs le soutiennent, l’ensemble des traitements opérés par le CICR se situaient en dehors du champ d’application du RGPD, l’article 9 de l'accord serait superfétatoire. Or, le Conseil d’État, pour sa part, souhaiterait attirer l’attention des auteurs sur la complexité de la question de l’applicabilité du RGPD aux organisations internationales jouissant de privilèges et immunités6, question qui à ce jour n’a pas encore fait l’objet d’une décision de la Cour de justice de l’Union européenne. Il donne à considérer sur ce point que les dispositions relatives au champ d’application, tant matériel que territorial, du RGPD ne prévoient pas d’exclusion expresse en faveur des organisations internationales. Au regard de l’importance croissante accordée au droit fondamental à la protection des données à caractère personnel, le risque de conflits futurs entre les droits qui découlent des accords visant à accorder des privilèges et immunités aux organisations internationales et les règles européennes en matière de droit à la protection des données ne saurait dès lors être écarté. Même en suivant ceux qui estiment que le RGPD ne serait pas applicable, le Conseil d’État se heurte au fait que l’accord n’opère pas de distinction entre les données relevant de la mission humanitaire proprement dite et celles liées aux activités administratives de l’organisation, comme les données relatives au personnel. Le Conseil d’État s’interroge encore sur l’insertion dans un traité bilatéral d’une stipulation qui pourrait restreindre le champ d’application du RGPD, ceci au regard de l’effet direct du RGPD selon l’article 288 du Traité sur le fonctionnement de l’Union européenne. Par ailleurs, un Etat membre ne peut pas disposer des compétences relevant de l’Union européenne en vertu de l’article 16 du même traité, au risque de contrevenir au principe de coopération loyale inscrit à l’article 4, paragraphe 3, du Traité sur l’Union européenne. Quant à l’article 10, il prévoit que le Luxembourg s’engage à exclure les données du CICR du champ d’application de futurs accords qu’il serait amené à conclure concernant l’échange de données en matière de prévention, d’enquête, de détection ou de poursuite d’infractions pénales et d’exécution 6 Kuner, C.