Loi modifiée du 18 juillet 2018 sur la Police grand-ducale, Loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Éta

Avis complémentaire de la Commission nationale pour la protection des données relatif au projet n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement Délibération 70/AV30/2024 du 6 décembre 2024. 1. Conformément à l'article 57.1.

1. c)du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l’article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 36.4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement ». 2. Conformément à l'article 46.1.C) de la directive (UE) n°2016/680 du 27 avril 2016 relative à la protection des personnes physique à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil à laquelle se réfère l’article 8 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale « conseille la Chambre des députés, le Gouvernement et d’autres institutions et organismes au sujet des CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 1/8 * mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ». 3. En date du 29 mars 2024, la CNPD a avisé' le projet de loi n°8253 relative aux fiches d'hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement (ci-après le « projet de loi »). 4. Par courrier du 5 août 2024, le Ministère de l'Économie a invité la Commission nationale à se prononcer sur les amendements parlementaires apportés audit projet de loi (ci-après les « amendements »). La Commission nationale note que les amendements visent essentiellement à donner suite aux oppositions formelles émises par le Conseil d'État dans son avis du 12 décembre 2023 2 et n’ont pas repris les remarques formulées par la CNPD dans son avis initial. Dès lors, dans la mesure où ses observations n’ont pas été suivies et que les modifications envisagées introduisent de nouveaux éléments, la Commission nationale entend réitérer les observations formulées dans son avis précité et émettre des recommandations complémentaires en lien avec les amendements proposés. I. Sur le fichier des fiches d’hébergement A. Remarques liminaires 5. Tout d’abord, il convient de rappeler que l’article 6 du projet de loi initial prévoyait une transmission systématique et généralisée des fiches d'hébergement à la Police grand-ducale ainsi qu'à l'institut national de la statistique et des études économiques du Grand-Duché de Luxembourg (ci-après le « STATEC »). 6. Afin de répondre à l'opposition formelle formulée par le Conseil d'Etat dans son avis du 12 décembre 2023 3, les auteurs des amendements parlementaires ont supprimé le recours à des fiches d'hébergement sous forme papier, et proposent de consigner, au lieu et place de la transmission directe desdites fiches d’hébergement à la Police grand-ducale et au STATEC, les données figurant sur les fiches d’hébergement dans un fichier des fiches d'hébergement. Dès lors, les nouvelles dispositions à l’article 5.1 du projet de loi entendent créer un fichier des fiches d’hébergement. ’ V. Délibération n°20/AV8/2024 du 29 mars 2024 de la Commission nationale pour la protection des données, doc. pari. 8253/03. V. Avis du Conseil d'Etat n°61.524 du 12 décembre 2023, doc. pari. 8253/02. 3 V. Avis du Conseil d’Etat n°61.524 du 12 décembre 2023, doc. pari. 8253/02, p.4. 2 CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 2/8 B. Sur le responsable du traitement du fichier des fiches d’hébergement 7. Il convient de rappeler que la notion de responsable du traitement joue un rôle important en matière de protection des données et la détermination du responsable du traitement peut avoir des incidences sur le régime juridique applicable4 . Comme précisé dans l’avis initial de la Commission nationale, l’exploitant 5 est le responsable du traitement pour la collecte et la transmission subséquente des données des voyageurs 6. Le STATEC, la Police grand-ducale et le Service de renseignement de l'Etat (ci-après le « SRE ») sont quant à eux à considérer comme des responsables des traitements distincts pour les traitements de données qu'ils effectuent par la suite 7. 8. Cependant, la création du fichier des fiches d'hébergement soulève des interrogations concernant le rôle du ministre ayant le tourisme dans ses attributions (ci-après le « ministre »). En effet, en l'absence de précisions à ce sujet dans les amendements, la Commission nationale se demande si le ministre est bien à qualifier de responsable du traitement dudit fichier 8. Elle s'interroge plus particulièrement sur le fait de savoir si le ministre exerce un contrôle effectif sur la gestion du fichier et s’il peut être considéré comme responsable du traitement au sens de l'article 4.7 du RGPD. 9. Par ailleurs, la CNPD se demande encore si le ministre a la possibilité d’accéder aux données contenues dans le fichier des fiches d'hébergement 9. Un tel accès serait, aux yeux de la CNPD, difficilement conciliable avec les principes fondamentaux du droit à la protection des données à caractère personnel, en particulier avec les principes de finalité et de minimisation des données, tel que prévu à l’article 5.1
2. b)et
3. c)du RGPD. À cet égard, la Commission nationale s'interroge plus particulièrement sur les raisons pour lesquelles le ministre se verrait confier cette mission et regrette que les auteurs des amendements parlementaires n’aient pas précisé les motifs justifiant ce choix. Ce d’autant plus 4 Délibération n°20/AV8/2024 du 29 mars 2024 de la Commission nationale pour la protection des données, doc. pari. 8253/03, point 11. 5 L'article 1 e', 1° du projet de loi définit l’exploitant comme « toute personne physique ou morale désignée comme exploitant sur la fiche d'hébergement qui fournit, à titre onéreux, un service d'hébergement touristique ». 6 Délibération n°20/AV8/2024 du 29 mars 2024 de la Commission nationale pour la protection des données, doc. pari. 8253/03, point 12. 7 Ibidem. 8 Art. 1.5 et art. 5.1 du projet de loi. 9 Comité européen de la protection des données (EDPB), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, point 45, disponibles sous : https://edpb.europa.eu/ourwork-tools/our-documents/quidelines/quidelines-072020-concepts-controller-and-processor-qdpr fr. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 3/8 alors que l’article 45.1 point b), de la Convention d’application de l'Accord de Schengen prévoit la possibilité d’une transmission directe aux autorités compétentes 10. 10. Enfin, la tenue d’un tel registre auprès du ministèrere suscite des inquiétudes de la part de la CNPD alors qu’il y a lieu de s'interroger sur la détermination du régime juridique qui serait applicable en l'espèce. En effet, les fiches d’hébergement qui seraient conservées dans ce fichier sont collectées pour des finalités différentes, à savoir : - Les fins prévues à l'article 43sexies de la loi modifiée du 18 juillet 2018 sur la Police grandducale (données transmises à la Police grand-ducale) ; - Les fins prévues à l’article 5 de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat, tel que modifié par le projet de loi (données transmises au SRE) ; et Les fins prévues à l’article 9 du règlement (UE) no 692/2011 du Parlement européen et du Conseil du 6 juillet 2011 concernant les statistiques européennes sur le tourisme et abrogeant la directive 95/57/CE du Conseil (données transmises au STATEC). Ainsi, deux régimes juridiques sont susceptibles de s’appliquer l’un découlant de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale, et l'autre découlant du RGPD. C. Sur la transmission systématique et généralisée des fiches d’hébergement 11. Dans son avis initial, la CNPD s’est inquiétée que les données à caractère personnel contenues dans les fiches d’hébergement soient systématiquement transmises aux autorités compétentes, notamment à la Police grand-ducale 11. 12. Ces inquiétudes étaient d'ailleurs partagées par le Conseil d’État, qui a sanctionné cette disposition par une opposition formelle, en relevant que « la transmission systématique et généralisée des données aboutissant à une surveillance massive et non ciblée de tous les voyageurs constitue une atteinte manifestement disproportionnée par rapport à l’objectif, à savoir la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales par la Police grand-ducale. Selon le Conseil d’État, une telle 10 Art. 45.1
4. b)de la Convention d’application de l'Accord de Schengen : « les fiches de déclaration ainsi remplies seront conservées pour les autorités compétentes ou seront transmises à celles-ci, pour autant que ces autorités le jugent nécessaire pour la prévention de menaces, pour des poursuites pénales ou pour éclaircir le sort de personnes disparues ou victimes d'accidents, sauf si le droit national en dispose autrement. » 11 Délibération n°20/AV8/2024 du 29 mars 2024 de la Commission nationale pour la protection des données, doc. pari. 8253/03, points 29 et s. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 4/8 transmission constitue une ingérence disproportionnée au droit à la protection de la vie privée et au droit à la protection des données à caractère personnel tels que consacrés par les articles 20 et 31 de la Constitution, l'article 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales, les articles 7 et 8 de la Charte des droits fondamentaux de /'Union européenne ainsi que l'article 5 du [RGPD] »12 . 13. Afin de répondre à l'opposition formelle du Conseil d’Etat, les auteurs des amendements parlementaires ont supprimé le recours à des fiches d’hébergement sous forme papier, et proposé que les données des voyageurs soient dorénavant transmises par les exploitants dans le fichier des fiches d’hébergement. 14. Toutefois, la CNPD estime que ces amendements ne permettent pas de lever les inquiétudes soulevées dans son avis du 29 mars 2024 13. Elle estime également que ces dispositions constituent toujours une ingérence disproportionnée au droit à la protection de la vie privée et au droit à la protection des données, tel que relevé par le Conseil d’Etat. 15. En effet, l'abolition des fiches d'hébergement sous forme papier ne résout pas la problématique de la surveillance massive et non ciblée soulevée par le Conseil d’Etat14. Bien que le texte sous avis ne prévoit plus une transmission directe aux autorités compétentes, les amendements envisagent une transmission des informations par les exploitants vers un fichier centralisé. Dès lors, la CNPD estime que la création d'une banque de données auprès du ministre, qui tiendrait ces données personnelles à disposition de la Police grand-ducale et du SRE, le cas échéant, n'atténue pas le caractère disproportionné de la transmission de données personnelles des voyageurs. 16. En outre, comme expliqué plus amplement dans l'avis initial de la Commission nationale, la jurisprudence européenne considère la conservation généralisée et indifférenciée des données relatives à la localisation des personnes comme incompatible avec les articles 7 et 8 ainsi qu’avec l’article 52.1 de la Charte des droits fondamentaux de l’Union européenne 15. Ainsi, les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s'opérer dans les limites du strict nécessaire16 . 12 Avis du Conseil d'Etat n’61.524 du 12 décembre 2023. doc. pari. 8253/02, p.4. Délibération n°20/AV8/2024 du 29 mars 2024 de la Commission nationale pour la protection des données, doc. pari. 8253/03. 14 Amendement 9 visant l’article 6, paragraphes 1er et 2. 15 CJUE, arrêt du 21 décembre 2016, Tele2 Sverige et Watson e.a.. C-203/15 et C-698/15, EU:C:2016:970, points 50 et s. 16 CJUE, arrêt du 6 octobre 2020, La Quadrature du Net e.a.. C-511/18, C-512/18 et C-520/18, EU:C:2020:791, point 130. 13 CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 5/8 17. De plus, il convient encore de rappeler que la transmission systématique des données personnelles des voyageurs par l’exploitant aux services de police a été abrogée dans tous nos pays voisins 17 et que le système des fiches d’hébergement au Grand-Duché du Luxembourg reste malgré l’abolition des fiches d'hébergement sous forme papier plus intrusif. La CNPD regrette que les auteurs des amendements parlementaires ne se soient pas inspirés du modèle des législations belge et français, comme le recommandait expressément le Conseil d’Etat 18. 18. Par conséquent, la Commission nationale réitère ses réserves, formulées dans son avis initial, concernant la transmission systématique et généralisée des données aboutissant à une surveillance disproportionnée des personnes concernées. D. Sur le droit d’accès des membres de la Police grand-ducale et du SRE au fichier des fiches d’hébergement 19. La Commission nationale salue les modifications apportées par l'amendement 12. Cet amendement vise à encadrer l'accès de la Police grand-ducale au fichier des fiches d’hébergement. 20. Ainsi, ces dispositions visent à introduire des règles concernant la traçabilité des accès et la finalité des traitements opérés par les membres de la Police grand-ducale, ainsi qu’une disposition interdisant expressément « d’utiliser les informations et données à caractère personnel et les résultats de traitements de telles données à des fins autres que la prévention ou la répression d'infractions terroristes et des formes graves de criminalité » 19 . 21. L’article 5.5 du projet de loi, tel qu’amendé, dispose dorénavant que la Police grand-ducale « ne peut traiter les informations et données à caractère personnel du fichier des fiches d’hébergement du ministère ayant le Tourisme dans ses attributions et le résultat du traitement de ces données qu'à des fins de prévention, de recherche, de constatation et de poursuite des infractions terroristes et des formes graves de criminalité ». 22. La CNPD accueille favorablement de telles dispositions alors que la Cour de justice de l'Union européenne a précisé, en ce qui concerne la conservation généralisée de données de localisation, que celle-ci peut être tolérée pour la sécurité nationale sous certaines conditions, 17 V. Délibération n°20/AV8/2024 du 29 mars 2024 de la Commission nationale pour la protection des données, doc. pari. 8253/03, point 9. 18 Avis du Conseil d'Etat n’61.524 du 12 décembre 2023, doc. pari. 8253/02, p. 4. 19 V. amendement 12. CNPD -J Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d’hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 6/8 tandis que pour la lutte contre la criminalité grave, il faut une limitation selon des critères objectifs, non discriminatoires, et plus restrictive encore pour la criminalité simple20. 23. En outre, il convient de saluer les dispositions de l'amendement 13 qui entendent créer un accès par le SRE au fichier des fiches d’hébergement. 24. Par ailleurs, il y a lieu de souligner que les lois-cadres 21 respectives de la Police grand-ducale et du SRE doivent expressément encadrer l'accès au fichier centralisé des fiches d'hébergement ainsi que le traitement opéré par leurs agents respectifs. Il y a lieu de souligner que des conditions procédurales doivent être mises en place notamment à travers la réalisation d’un contrôle préalable. 25. Enfin, il convient de relever que l’article 5.6 alinéa 2 du projet de loi prévoit que la Police grandducale peut enquêter sur d’autres infractions qui seraient détectées à la suite d'un traitement de données et qui ne rentreraient pas dans le champ d’application de la future loi. Or cette disposition semble être en contradiction avec l'article 5.6 alinéa 1 er du projet de loi, qui interdit expressément aux membres de la Police grand-ducale d'utiliser les informations et données à caractère personnel et les résultats de traitements de telles données à des fins autres que la prévention ou la répression d’infractions terroristes et des formes graves de criminalité. II. Sur la durée de conservation 26. L’amendement 11 prévoit que « /es données à caractère personnel des voyageurs seront supprimées au plus tard six mois après leur enregistrement dans le fichier des fiches d'hébergement [. ..] ». La Commission nationale se félicite que de telles dispositions définissent une durée précise de conservation des données, et prévoient qu’à l’issue de celle-ci les données doivent être supprimées. 27. Elle exprime toutefois une réserve concernant la notion « au plus tard » qui peut prêter à confusion. À cet égard, elle suggère d’utiliser la formulation suivante « Les données à caractère personnel des voyageurs sont conservées pour une durée de six mois après leur enregistrement dans le fichier des fiches d’hébergement du ministre ayant le Tourisme dans ses attributions. À l’issue de cette période, elles sont automatiquement supprimées ». 20 Pour en savoir plus : Délibération n° 28/AV12/2024 du 16 mai 2024 de la Commission nationale pour la protection des données, point 10. 21 Loi modifiée du 18 juillet 2018 sur la Police grand-ducale, Loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État, Code de procédure pénale. CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d'hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 7/8 28. Par ailleurs, le nouvel article 6 du projet de loi tel qu'amendé dispose que : « [l]es fiches d’hébergement sont conservées dans la solution informatique pendant une durée de six mois. À l’issue de cette période de six mois, elles sont automatiquement supprimées. » La Commission nationale estime que cette mesure n'est plus nécessaire alors que les fiches d'hébergement électroniques sont désormais conservées dans le fichier des fiches d’hébergement. Dès lors, elle estime que l’article 6 est superfétatoire et que cette disposition devrait être supprimée. Ainsi adopté à Belvaux en date du 6 décembre 2024. Alain Herrmann Commissaire CNPD Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de loi n° 8253 relative aux fiches d'hébergement et portant : 1° modification de loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat ; 2° modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale ; et 3° abrogation de la loi modifiée du 24 juin 2008 ayant pour objet le contrôle des voyageurs dans les établissements d'hébergement 8/8