Avis De('AUTORITE DE CONTROLE JUDICIAIRE Créée par la loi du août 2018 relative à la protection des personnes physiques

Avis De('AUTORITE DE CONTROLE JUDICIAIRE Créée par la loi du août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale Sur le projet de loi n^'TSSlB portant modification du Code de procédure pénale INTRODUCTION L'autorité de contrôle judiciaire {ci-après désignée l'AG), instituée par l'article 40 de la loi du 1®' août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (ciaprès désignée «la loi du 1®'^ août 2018 en matière pénale ainsi qu'en matière de sécurité nationale ») transposant la Directive (UE) 2016/680 du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée « la directive 2016/680 »), « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et des libertés des personnes physiques à l'égard du traitement » conformément à l'article 42, paragraphe 1, lettre c) de ladite loi dans les limites de ses compétences prévues à l'article 40, paragraphe 2, à savoir en ce qui concerne les « opérations de traitement de données à caractère personnel effectuées par les Juridictions de l'ordre Judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions Juridictionnelles », que ce soit pour des finalités visées à l'article 1®^ de la loi du 1®"^ août 2018 en matière pénale ainsi qu'en matière de sécurité nationale ou pour celles visées par le règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (ci-après désigné « le RGPD »). L'ACJ a été saisie le 30 janvier 2023 par Madame la Ministre de la Justice d'une demande d'avis concernant le projet de loi n" 7882B portant modification du Code de procédure pénale. Selon le commentaire de l'amendement unique, l'AG comprend que le présent projet de loi est le résultat de la scission du projet de loi n" 7882 en deux textes distincts à savoir le projet de loi 7882A portant Introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application JU-CHA^ et le projet de loi n° 7882B portant modification du Code de procédure pénale. L'ancienne mouture du présent projet de loi a d'ores et déjà fait l'objet de ^ Ayant donné lieu à la loi du 7 août 2023 portant Introduction de dispositions spécifiques pour le traitement de données personnelles dans l'application « JU-CHA ». nombreux avis des autorités judiciaires^ du Conseil d'État^ et de la Commission nationale pour la protection des données^. Le projet de loi sous avis vise à introduire de nouvelles dispositions générales au Code de procédure pénale afin de régler le droit de communication spontanée d'information de nature pénale par le ministère public aux employeurs du secteur public, du secteur privé, d'une association ou d'une fondation ainsi qu'aux représentants d'une communauté religieuse. À titre liminaire, l'ACJ comprend que la communication spontanée d'information de nature pénale est limitée à deux niveaux. En effet, pour les employeurs du secteur public, l'information pénale doit se rapporter à des décisions portant sur des faits pouvant être qualifiés de crime ou de délit puni d'une peine d'emprisonnement tel que visés à l'article 8-3, paragraphe 1, en projet tandis que pour les employeurs du secteur privé, ceux d'une association ou d'une fondation ainsi qu'aux représentants d'une communauté religieuse, elle doit se rapporter à un ensemble d'infractions listées à l'article 8-3, paragraphe

1. La seconde limitation réside dans le fait que la communication spontanée s'effectue à titre exceptionnel, au cas par cas et pour une finalité déterminée. En effet, l'article 8-3, paragraphe 1, dispose qu'une telle communication de la part du ministère public a lieu uniquement lorsqu'elle est « nécessaire, compte tenu de la nature des faits ou des circonstances de leur commission, pour mettre fin ou prévenir un trouble à l'ordre public ou à l'intégrité physique ou morale de la personne ». Ainsi, la communication spontanée apparaît limitée au strict nécessaire et répond à une finalité spécifique prévue par le présent projet de loi, ce que l'AG approuve. L'AG accueille également favorablement le fait que la personne concernée soit informée par le ministère public de la communication à son employeur de décisions judiciaires dont elle fait l'objet et que l'employeur soit tenu informé parle Procureur général d'État ou le procureur d'État de l'issue de la procédure pénale telle que prévue à l'article 8-3, paragraphe 4, proposé. En outre, l'employeur est soumis à une obligation de confidentialité prévue à l'article 8-4, conférant ainsi une protection aux informations transmises par le ministère public à l'employeur. L'AG souligne néanmoins que des incertitudes persistent quant aux limitations du droit d'accès des personnes concernées puisque les données relatives à une information judiciaire changent de cadre légal. En effet, si le ministère public est une autorité soumise à la loi du août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière nationale, tel n'est pas le cas d'un employeur du secteur ^ Avis de la Cour Supérieure de Justice du 28 octobre 2022 ; avis du Parquet du Tribunal d'arrondissement de Luxembourg du 25 octobre 2021 ; avis du Parquet près le Tribunal d'arrondissement de Diekirch du 10 novembre 2021; avis du Tribunal d'arrondissement de et à Luxembourg du 4 novembre 2021 ; avis du Parquet général du 4 novembre 2021; avis complémentaire du Parquet général du 26 janvier 2023 ; avis complémentaire commun des parquets des Tribunaux d'arrondissement de Diekirch et de Luxembourg du 17 janvier
2. ^ Avis du Conseil d'État du 22 juillet 2022, avis complémentaire du Conseil d'État du 13 juin 2023; avis complémentaire du Conseil d'État dl 27 juin
3. " Avis de la Commission nationale pour la protection des données du 1®' juillet 2022; avis complémentaire de la Commission nationale pour la protection des données du 10 mars
4. public ou du secteur privé qui sont quant à eux,soumis au RGPD. L'AG note que la CNPD soulève à plusieurs reprises^ un tel problème dans la mesure où la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale permet si besoin est de limiter le droit d'accès aux personnes concernées ayant fait une telle demande dans la mesure où de telles données peuvent faire l'objet d'une enquête en cours et être protégées par le secret de l'instruction. Une telle disposition n'est néanmoins pas permise par le RGPD. Au même titre que la CNPD, l'AG se demande s'il ne serait pas opportun de limiter les droits de la personne concernée, en particulier le droit d'accès, sur base de l'article 23 du RGPD afin de protéger pleinement le secret de l'instruction ? cOONT/îd^ î> smbourgjle 10 mai 2024 5» Le Présidentoe l'Autorité de Contrôle Judiciaire, y(Monsieur Thierry HOSCHEIT de ® Avis de la Commission nationale pour la protection des données du 1®" juillet 2022 ;avis complémentaire de la Commission nationale pour la protection des données du 10 mars 2023.