Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8134 déterminant les conditions relatives au droit de grâce du Grand-Duc Délibérationn°45/AV25/2023du 9 juin 2023
- Conformément à l'article 8 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des donnéeset du régimegénéralsur la protection des données (ci-après la « loi du 1er août 2018 portant organisation de la CNPD »), transposant l'article
- 1.e) de la directive (UE) n°2016/680du 27 avril 2016du Parlement européenet du Conseil relative à la protection des personnes physique à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après la « Directive ») la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD »), « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement des données personnelles ».
- Par ailleurs, l'article
- 2 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égarddu traitement des donnéesà caractèrepersonnel en matièrepénaleainsi qu'en matière de sécurité nationale, transposant l'article
- 2 de la directive susmentionnée en droit national, dispose que la CNPD « est consultée dans le cadre de l'élaboration d'un projet de loi ou d'un projet de règlementgrand-ducalqui se rapporte au traitement. »
- Parcourrieren date du 5 janvier 2023, Madame la Ministre de la Justicea invitéla Commission nationale à se prononcer sur projet de loi n° 8134 déterminant les conditions relatives au droit de grâcedu Grand-Duc(ci-aprèsle « projet de loi »).
- La Commission nationale entend limiter ses observations aux dispositions ayant trait à la protection des données à caractère personnel, à savoir l'article 2, paragraphe 2 ainsi qu'à l'article 4 du projet de loi. Remarque liminaire
- La Commission nationale comprend à la lecture du projet de loi que la commission des grâces est amenée à collecter et à traiter des données à caractère personnel à l'occasion de demandes de grâce. Il convient de rappeler à cet égardque la tenue d'un fichierde données CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8134 déterminantles conditions relatives au droit de grâcedu Grand-Duc 1/7 à caractère personnel collectées et traitées par une autorité administrative doit reposer sur une base légaleconformémentà l'article 6.3 du RGPD
- Cet article prévoit une contrainte particulière liée à la licéité d'un traitement de données nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. Dansces deuxcas de figure, le fondementet les finalitésdestraitements de donnéesdoivent spécifiquement être définis soit par le droit de l'Union européenne, soit par le droit de l'Etat membre auquel le responsable du traitement est soumis.
- De plus, le considérant
(45)du RGPD précise qu'il devrait « [... ] appartenir au droit de l'Union ou au droit d'un Etat membre de déterminer la finalité du traitement. Par ailleurs, ce droit pourrait préciser les conditions générales du présent règlement régissant la licéité du traitement des donnéesà caractèrepersonnel, établirles spécificationsvisant à déterminerle responsable du traitement, le type de données à caractère personnel faisant l'objet du traitement, les personnes concernées, les entités auxquelles les données à caractère personnel peuvent être communiquées, les limitations de la finalité, la durée de conservation et d'autres mesures visant à garantirun traitement licite et loyal. [... ]».
- Le considérant41 du RGPD préciseencore que cette mesure législativedevrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de ta Cour dejustice de l'Union européenne et de la Cour européenne des droits de l'homme
- En vertu des dispositions précitées, ces bases légales devraient établir des dispositions spécifiques visant à déterminer, entre autres, les types de données traitées, les personnes concernées, les entités auxquelles les données peuvent être communiquéeset pour quelles 1 L'article6 paragraphe
(3), lu ensembleavecson paragraphe
(1)lettres
- e)et e)l, disposeque : « Lefondementdutraitementvisé au paragraphe 1, points
- e)et e), est défini par : a. b. te dro/'( de l'Union; ou le droit de l'Étatmembre auquel le responsable du traitement est soumis. Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l'exéwtion d'une mission d'intérêtpublic ou relevant de l'exercice de l'autoritépublique dont est investi le responsabledu traitement. Cette basejuridique peutcontenirdes dispositions spécifiques pour adapter l'application des règles du présentrèglement, entre autres: les conditions générales régissant la licéité du traitement par le responsable du traitement; les types de données qui font l'objet du traitement, les personnesconcernées:les entitésauxquellesles donnéesà caractèrepersonnelpeuventêtrecommuniquéeset les finalités pour lesquelles elles peuvent l'être; la limitation des finalités; les durées de conservation; et les opérations et procéduresdetraitement,y comprislesmesuresvisantà garantiruntraitementliciteet loyal, tellesquecellesprévues dans d'autres situations particulières de traitement comme le prévoit le chapitre IX. ». 2 En ce sens, voir M. Besch, « Traitement de données à caractère personnel dans le secteur public », Normes et légistique en droit public luxembourgeois, Luxembourg, Promoculture Larder, 2019, p.470, n°619. Voirentre autres CourEDH, Zakharov e. Russie [GCL n°47413/06],§ 228-229,4 décembre2015,CourEDH,Vavrickaetautrese. Républiquetchèque(requêtesn°47621/13et5 autres), § 276 à 293, 8 avril 2021. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8134 déterminant les conditions relatives au droit de grâce du Grand-Duc 2/7 finalités, les durées de conservation des données ou encore les opérations et procédures de traitement. 10. Ainsi, pour que la licéitédu traitement dans le secteur public soit assurée, il faut disposer d'un texte normatif national ou supranational qui peut amener une administration ou un service à devoir traiter des données pour remplir ses missions3. S'il ne faut pas qu'un texte prescrive spécifiquement un traitement de données, « la finalité du traitement doit cependant être précise, dans la mesure où le texte amenant l'administration à traiter des données doit permettre aux administrés d'en déduire la nature des donnéeset les fins pour lesquelles cellesci sont utilisées »4. 11. La Commission nationale se félicite dès lors que l'article 4 du projet de loi prévoit l'origine des données traitées (dans son paragraphe 1er), leurtransmission à d'autres autorités (paragraphe 2), se réfèreau principe de minimisation des données (paragraphe 3), et prévoit une durée de conservation des données (dans son paragraphe 4). Elle regrette toutefois que le projet de loi ne désigne pas explicitement qui est le responsable du traitement5. De plus, tes finalités des traitements, bien qu'elles ressortent indirectement de l'article 4, paragraphe 1er, mériteraient d'être davantage précisées. Ad article 2, paraciraphe 2 12. L'article 2. 2 du projet de loi prévoit que « le dossier sur lequel la commission des grâces émet son av/sestcomplétéparl'aviset toutes autres informationspertinentes relativesà la situation de la personne condamnéede la part : 1° delà Policegrand-ducalequi, à cet effet, peut consulter son fichiercentral ; 2° du Service Central d'Assistance Sociale, et, si la personne condamnée n'estpas suivie par un agent de probation ; 3° du Service Psycho-Social et Socio-Educatif du centre pénitentiaire dans lequel la personne condamnée est ou a été incarcéréele cas échéant. Les dispositionsde l'article 4, paragraphes2 à 4, sont applicablesà ces informations ». 13. Sur base de cette disposition, la commission des grâces serait donc amenée à accéderaux fichiers de la Police grand-ducale, du Service Central d'Assistance Sociale, du Service Psycho-Social et Socio-Educatif du centre pénitentiaire dans lequel la personne condamnée est ou a été incarcérée le cas échéant. M. Besch, « Traitement de données à caractère personnel dans le secteur public», Normes et logistique en droit public luxembourgeois, Luxembourg, Promoculture Larder, 2019, p. 470, n°619. 4 Idem. 5 Voir la section du présent avis intitulée « détermination du responsable du traitement ». CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8134 déterminant les conditions relatives au droit de grâce du Grand-Duc 3/7 14. A l'instar du Conseil d'Etat dans son avis du 16 mai 20237, la Commission nationale estime cependant qu'il existe des moyens moins intrusifs dans la vie privée des personnes concernées qui permettrait d'atteindre les mêmes objectifs légitimes, à savoir notamment de traiter une demande en grâce. 15. En outre, comme le projet de loi ne détermine pas les conditions que doit vérifierla commission des grâces afin de remettre son avis, il est difficile de savoir ce qu'il faut entendre par « toutes autres informations pertinentes relatives à la situation de la personne condamnée». 16. Comme le propose à juste titre le Conseil d'Etat dans son avis précité, les auteurs du projet de loi pourraient s'inspirer de l'article 14 de la loi du 2 février 2022 sur les armes et munitions, et prévoir que la commission des grâces se prononce sur base de rapports motivés de la part de la Police grand-ducale et du procureur général d'Etat, qui pourront pour ces finalités consulter les fichiers dont ils sont responsables de traitement. La CNPD renvoie à ses avis relatifs au projet de loi 74258. Ad article 4. paragraphe 1er 17. L'article 4. 1 du projet de loi prévoit qu'« afin de rendre un avis sur une demande en grâce, les membres de la commission des grâces peuvent consulter les jugements et arrêts de condamnation et traiter les informations et données à caractère personnel pertinentes et nécessaires en relation avec l'objet de la demande en grâce en provenance : 1° du Répertoire National des Personnes Physiques ; 2° du bulletin n° 1 du casierjudiciaire ; 3° de l'application dénommée « JU-CHA » ; 4° du fichier central de la Police grand-ducale ; 5° du Service Central d'Assistance Sociale ; 6° du ficher « amendes » du Procureur générald'Etat ; 7° du fichier « interdictions de conduire » du Procureurgénérald'Etat ; 8° du ficher « exécution des peines » du Procureur général d'Etat ; 9° du ficher « personnes détenues » du Procureur général d'Etat ; 10° du Registre de Commerce et des Sociétés ; 11° du fichier « amendes et frais de justice » de l'Administration de l'enregistrement, des domaines et de la TVA ; 12° du fichier « interdictions de conduire » du ministre ayant les transports dans ses attributions ». 18. S'il y a lieu de se féliciter que seules les données à caractère personnel « pertinentes et nécessaires» en relation avec l'objet de la demande de grâcepourront être consultées, il est 7 Avis du Conseil d'Etat du 16 mai 2023, numéro 61. 302, document parlementaire 8134/05, p. 8. 8 Avisdu8 juillet 2019,doc. pari.7425/05,avisomplémentairedu4 février2021,doc. pari.7425/09,et deuxièmeavis omplémentaire du 1er octobre 2021 , doc. pari. 7425/11 . CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8134 déterminant les conditions relatives au droit de grâce du Grand-Duc 4/7 cependant difficile de comprendre à la seule lecture du projet de loi de quelles catégoriesde données la commission des grâcesa besoin dans chacun de ses fichiersafin de remettre son avis. Le commentaire des articles donne toutefois des indications utiles à cet égard, puisque les auteurs du projet de loi précisent qu'il est indispensable que la commission des grâces « (... ) puisse vérifierla ou les adresses indiquéespar le demandeur (fichier sub 1"), qu'elle ait un aperçu detoutes les condamnationsprononcéesà l'égarddu demandeur(fichier sub 2°), qu'elle puisse s'informer de l'état actuel d'une procédure judiciaire en cours (fichier sub 3°), qu'elle soit informée si des faits pénaux nouveaux ont été enregistrées à l'égard du demandeur (fichier sub 4°), qu'elle soit informée sur l'ensemble des amendes pénales à charge du demandeur (fichier sub 6°), qu'elle soit informée de la situation actuelle des interdictions de conduire judiciaires prononcées à l'égard du demandeur (fichier sub 7°), qu'elle soit informée de la situation actuelle de l'exécution des peines prononcéescontre le demandeur (fichier sub 8°), qu'elle soit informée de la situation de détention en prison du demandeur (fichier sub 9°), qu'elle soit informée des éventuelles activités professionnelles indépendantesdu demandeur(fichiersub 10°), qu'elle soit informéesurl'étatdepaiementdes amendes à charge du demandeur(fichiersub 11"), et qu'elle soit informéesi le demandeuren grâce pour une interdiction de conduirejudiciaire ne se trouve pas par ailleurs sous le coup d'une interdiction de conduire administrative prononcée par le ministre ayant les transports dans ses attributions » (fichier sub 11°). 19. Afinde respecter le principede prévisibilitéet de précisionauquel doit répondretouttexte légal ou réglementaire1 0, la CNPD estime donc nécessaire de préciser tes catégories de données issuesdes douzefichierscitésqui pourrontêtreconsultéespar la commissiondesgrâces, non seulement dans le commentaire des articles mais également dans le texte du projet de loi sous objet. A ce titre, elle renvoie, par ailleurs, aux points 13 à 16 du présent avis. Ad article 4, paragraphe 2 20. Le premier alinéade l'article 4. 2 du projet de loi indique à qui les donnéesviséesà l'article 4.1 peuvent être partagées, et pour quelle finalité. Cette disposition applique donc le principe de limitation des finalités, consacré par l'article 5. 1. b du RGPD, aux traitements des données par la commission des grâces. La CNPD s'en félicite. 21. Le paragraphe 2, 2ème alinéa, dispose que « [IJ'introduction d'une demande en grâce vaut consentement de la personne concernée au traitement des données pertinentes et nécessaires visées au paragraphe 1er. » Or, la CNPD relève que la base de licéité du traitement effectué en vertu du projet de loi sous objet ne sera pas le consentement de la personne concernée, au sens de l'article 6. 1. a du RGPD, mais bien l'obligation légale créée précisément par le projet de loi en question (article 6. 1. e du RGPD) voire la mission d'intérêt public dont sera investie la commission des grâces (article 6. 1 . e du RGPD). 10 Idem. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8134 déterminant les conditions relatives au droit de grâce du Grand-Duc 5/7 22. En effet, le consentement de la personne concernée, pour pouvoir valablement être invoqué comme condition de licéité d'un traitement, doit répondre aux conditions de l'article 4. 11 du RGPD, c'est-à-dire qu'il doit être libre, spécifique, éclairé et univoque. Or, le fait de subordonner l'introduction d'une demande en grâce à un consentement de la personne au traitement des données visées à l'article 4. 1 ne répond pas à l'exigence du caractère libre dudit consentement11, quand bien même le traitement de ces données respecterait le principe de limitation des finalités et de minimisation des données. Ainsi, le considérant 43 du RGPD indique qu'il n'est pas probable que des autorités publiques puissent se fonder sur le consentement pour le traitement de données à caractère personnel, dès lors que lorsque le responsable du traitement est une autorité publique, il existe souvent un déséquilibre manifestedes rapports de force entre le responsable du traitement et la personne concernée. De plus, l'article 7. 4 du RGPD indique entre autres que le « couplage » du consentement à l'acceptationde conditionsgénéraleset la « subordination» de lafournitured'un service(dans le casprésent,d'unservice public)à unedemandedeconsentementautraitementdedonnées à caractère personnel non nécessaires à l'exécution dudit service ne sont en aucun cas souhaitables. Le consentement est présumé ne pas avoir été donné librement s'il a été donné dans une telle situation, comme le précise le considérant43 du RGPD. 23. Par conséquent, la Commission nationale suggère aux auteurs du projet de loi de supprimer te 2ème alinéa de l'article 4. 2. Ad article 4. paragraphe 4 24. Le paragraphe4 de l'article 4 a trait à la duréede conservationdesdonnées. Il prévoiten effet que les données à caractère personnel ayant trait à la demande sont conservées au Ministère de la Justice pendant une duréede cinq ans. 25. La CNPD rappelle que selon l'article 5. 1. e du RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles sont collectéeset traitées.Au-delà,les donnéesdoiventêtresupprimées ou anonymisêes. 26. Or, en l'absence d'indications dans le commentaire des articles sur la justification d'une telle durée, la Commission nationale n'est pas en mesure d'appréciersi, en l'occurrence, le principe de durée de conservation limitée des données serait respecté. 27. La CNPD invite donc les auteurs du projet de loi à justifier la fixation d'une durée de conservation des données de cinq ans, au regard du principe de la limitation de la conservation. 11 Comité européen de la protection des données, lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679, adoptées le 4 mai 2020, en particulier sections 3. 1. 1 et 3. 1.2, pp. 9-14. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8134 déterminantles conditions relatives au droit de grâce du Grand-Duc 6/7 28. Parailleurs, ladernière phrasede l'article 4.4, premier alinéadu projet deloi indiquequ'« après l'expiration du délai de cinq ans, la demande en grâce et l'ensemble des informations et données à caractère personnel y afférentes sont transmises aux Archives nationales ». La Commission nationale comprend donc que les données ne seront pas réellement supprimées à l'issue d'une durée de cinq ans, mais bien transmises aux Archives nationales. 29. Si une telle transmission peut avoir lieu dans le respect des dispositions de la loi modifiée du 17 août 2018 sur l'archivage, dans ce cas, la durée de cinq ans ne constituera pas la durée de conservation totale des données mais bien une périodetransitoire. Il conviendra dès lors de déterminer la durée de conservation maximales des données, en conformité avec l'article 6 paragraphe 4 de la loi modifiée du 17 août 2018 sur l'archivage. Détermination du responsable du traitement 30. Il ne ressort pas clairement de l'article 4 du projet de loi qui est le responsable du traitement des données à caractère personnel traitées à l'occasion d'une demande de grâce. En effet, alors que l'article 4. 1 se réfère aux « membres de la commission des grâces » et l'article 4.2 à son secrétaireou son suppléant, l'article 4.2 indiqueque les donnéessont conservées« au Ministère de la Justice ». 31. La Commission nationale suggère donc aux auteurs du projet de loi d'intégrer dans l'article 4 du projet de loi un paragraphe qui déterminerait qui agit en qualité de responsable du traitement au sens de l'article 4. 7 du RGPD. Il conviendrait en effet s'il s'agit de la commission des grâce, ou le Ministre de la justice. 32. Or, si la commission des grâces devait être considérée comme responsable du traitement des données à caractère personnel traitées à l'occasion d'une demande de grâce, se pose tout de même la question pourquoi l'article 4. 4 prévoit que les données traitées par la commission des grâces sont conservées « au Ministère de la Justice », et non directement auprès de la commission des grâces. Il s'agirait en effet d'une transmission de données à un tiers qui mériteraitdavantaged'explicationsdans le projet de loi. Ainsi adopté à Belvaux en date du 9 juin 2023. La Commission nationale pour la protection des données /} R/- t'k G7/a^^ Tine A. Larsen Présidente CNPD Thierry Lallemang Commissaire lare Lemmer Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de projet de loi n° 8134 déterminantles conditions relatives au droit de grâcedu Grand-Duc 7/7