Projet de loi relative ala retention des donnees acaractere personnel et portant modification : 1° du Code de procedure penale ; 2° de la loi modifiee du 30 mai 2005 concernant la protection de la vie privee dans le secteur des communications electroniques ; et 3° de la loi modifiee du 5 juillet 2016 portant reorganisation du Service de renseignement de l'Etat ; Avis commun des Parquets du tribunal d'arrondissement de Luxembourg et de Diekirch Le projet de loi sous examen entend conformer la legislation nationale a la jurisprudence recente de la Cour de justice de l'Union europeenne (ci-apres CJUE) en matiere de retention des donnees dans le secteur des communications electroniques. II repond ainsi a la· necessite, maintes fois rappelee par la jurisprudence europeenne, d'une reglementation legalement contraignante en droit interne, devant preciser dans quelles circonstances et sous quelles conditions la retention des donnees a caractere personnel et l'acces des autorites nationales a celles-ci est autorisee. L'elaboration d'un tel cadre legal s'avere particulierement epineuse, tant la jurisprudence de la CJUE en la matiere est complexe et a bouleverse l'approche communement suivie par les Etats membres en matiere de conservation des donnees electroniques aux fins de lutte contre la criminalite. Elle l'est d'autant plus que de nombreuses questions restent ouvertes, alors meme qu'elles se trouvent au creur du nouveau cadre legal que le present projet de loi s'efforce de batir. Que faut-il entendre par« criminalite grave »? L'acces par les autorites nationales aux donnees d'identite civile couplees aux adresses IP des utilisateurs doit-il etre soumis au controle prealable d'une juridiction ou d'une autorite administrative independante ? Dans quelle mesure les principes degages en matiere de conservation et acces aux donnees detenues par les fournisseurs de services de communication electronique s'appliquent-elles a !'exploitation de donnees numeriques stockees dans un telephone portable? C'est la un echantillon des questions prejudicielles pendantes devant la CJUE1, dont les reponses vont inevitablement determiner la legalite des dispositions sous examen. Dans ce contexte, ii nous para'it essentiel d'adopter une approche pragmatique. Tout d'abord parce qu'il ne suffit pas d'operer une « transposition » fidele de la jurisprudence europeenne en droit national, si le resultat d'une telle legislation complexifie les procedures a outrance sans permettre la collecte de donnees essentielles a l'aboutissement des enquetes et des poursuites penales. Mais aussi parce que des solutions sans doute commodes d'un point de vue operationnel, mais non conformes a la jurisprudence de la CJUE, risquent d'engendrer des contestations systematiques des mesures d'enquete et aboutir ainsi a des situations de blocage. C'est dans cet esprit que le present avis se focalisera sur les aspects du projet de loi qui touchent aux procedures penales. 1 II est fait notamment reference aux affaires pendantes C-470/21, La Quadrature du Net e.a., aff. C-548/21, C.G./Bezirkshauptmannschaft Landeck, aff. C-178/22, Procedure penale contre inconnus, aff. C-241/22, Procedure penale contre DX. 1 Ad article 1er du proiet de loi • Ad nouvel article 24-3 CPP Le nouvel article 24-3 du code de procedure penale (ci-apres CPP) introduit la possibilite pour le Procureur d'Etat d'enjoindre aux operateurs de telecommunications et aux fournisseurs d'un service de communications electroniques de conserver des donnees relatives au trafic et la localisation, afin qu'elles puissent, en cas de besoin, etre communiquees aux autorites judiciaires et utilisees par celles-ci dans le cadre d'une enquete, d'une instruction et des poursuites penales. La disposition permettra ainsi de « geler » de maniere ciblee des donnees avant que celles-ci ne soient effacees ou rendues anonymes par les operateurs et fournisseurs auxquels s'adresse l'injonction. II va de soi que la duree de conservation des donnees relatives au trafic et la localisation par ces memes acteurs, telle qu'etablie par la loi a a modifiee du 30 mai 2005 concernant la protection de la vie privee dans le secteur des communications electroniques (ci-apres loi Telecom), aura une incidence directe sur l'efficacite de l'injonction. II est renvoye sur ce point aux observations !'article 2 du projet de loi formulees ci-apres. a Soulignons que l'injonction dite « quick freeze» porte uniquement sur la conservation des donnees et non pas sur leur communication aux autorites judiciaires. Tel que le soulignent les_ auteurs du projet de loi, l'acces se fait dans les conditions prevues par !'article 67-1 CPP. Pourtant, le second alinea de l'aiticle 243 CPP renvoie un reglement grand-ducal qui determine les categories de donnees pouvant faire l'objet de la mesure de conservation et qui « peut egaJement determiner Jes formes et Jes modalites suivant Jesquel/es Jes donnees visees sont mettre disposition des autorites judiciaires ». Afin d'assurer la a a a coherence et lisibilite du- texte, ii serait opportun, d'une part, de renvoyer explicitement au reglement grand-ducal du 24 juillet 2010 determinant les categories de donnees caractere personnel generees ou traitees dans le cadre de la fourniture de services de communications electroniques ou de reseaux de communications publics, que les auteurs du projet de loi visent dans leurs commentaires. D'autre part, la derniere phrase du second alinea de !'article 24-3 CPP concernant l'acces aux donnees devrait etre remplacee par un renvoi !'article 67-1 CPP. C'est d'ailleurs une disposition similaire qui figure au dernier paragraphe de !'article 39quinquies du Code d'instruction criminelle (ci-apres CIC) beige, dont la disposition sous examen est inspiree 2. a a 2 L'article 39quinquies du CIC beige se lit comme suit: « § 1er_ Lors de la recherche de crimes et delits, le procureur du Roi peut, s'il existe des indices serieux que /es infractions peuvent donner lieu a un emprisonnement correctipnnel principal d'un an ou a une peine plus lourde, ordonner, par une decision ecrite et motivee, a un ou p/usieurs acteurs vises a /'alinea 2, de conserver /es donnees vis~es a /'article BBbis, § 1, alinea ler, generees ou traitees par eux dans le cadre de la fourniture des services de communications concernes, qu'il juge necessaires. L'ordre vise a /'alinea ler peut etre donne, directement ou par l'intermediaire du service de police designe par le Roi, a: - l'operateur d'un reseau de communications e/ectroniques; et - toute personne qui met a disposition ou offre, sur le territoire beige, d'une quelconque maniere, un service qui consiste atransmettre des signaux via des reseaux de communications e/ectroniques ou aautoriser des utilisateurs a obtenir, recevoir ou diffuser des informations via un reseau de communications electroniques. Est egalement compris le fournisseur d'un service de communications e/ectroniques. La decision ecrite et motivee mentionne: - le nom du procureur du Roi qui ordonne la conservation; 2 Afin d'assurer la proportionnalite de la mesure, l'injonction de conservation doit etre motivee, suivant le troisieme alinea de !'article 24-3 CPP, et contenir des indications precises permettant d'en delimiter la portee, qu'il s'agisse des personnes, moyens de communication ou lieux vises pour les besoins de l'enquete. La disposition n'opere en revanche aucune distinction entre les donnees qui sont deja a disposition des operateurs et fournisseurs au moment de l'injonction et celles qu'ils generent et traitent une fois l'injonction notifiee. A premiere vue, seule la premiere categorie semblerait etre visee, le nouvel article 24-3, alinea 3, lettre c) se limitant a fixer la duree de conservation des donnees objetde l'injonction. Pourtant, les commentaires a !'article sous examen precisent « qu'il s'agit done d'une sorte de « quick freeze» pour le futur ». II est done essentiel de clarifier ce point en incluant non seulement le « quick freeze» des donnees existantes, mais egalement le« future freeze» pour les donnees qui seront generees apres l'injonction, a l'instar des modifications que !'article 3 du projet de loi envisage d'apporter a !'article 7-1
(1)de la loi modifiee du 5 juillet 2016 portant reorganisation du Service de renseignement de l'Etat. Le nouvel article 24-3 du CPP permettrait ainsi au Procureur d'Etat de : (i) enjoindre immediatement la conservation des donnees d'ores et deja generees et traitees par les operateurs et fournisseurs dans l'attente qu'un juge d'instruction prenne une ordonnance sur base de !'article 67-1 CPP, soit dans le cadre d'une instruction, soit dans le cadre d'une mini-instruction sur fondement de !'article 24-1
(1), alinea 3 CPP. Cette option presente des lors un interet pratique lorsque le reperage de telecommunications ou des communications electroniques par le juge d'instruction risque d'etre ordonne tardivement, l'injonction de conservation des donnees permettant alors d'en assurer la disponibilite ; (ii) enjoindre la conservation des donnees generees a partir de la date de l'injonction, tel que prevu par !'article 39quinquies du CIC beige. Cela permettrait notamment d'assurer la disponibilite des donnees relatives aux trafic et a la localisation visant une personne, lorsque ces memes donnees ne sont pas conservees par les operateurs et fournisseurs a des fins commerciales ou en raison des zones geographiques, tel que prevu aux articles 5 et 5bis de la loi Telecom. C'est aussi la raison pour laquelle, d'apres la disposition beige susvisee, l'injonction doit preciser non seulement la duree de conservation - /'infraction qui fait l'objet de l'ordre; - Jes circonstances de fait de la cause qui justifient la conservation; - /'indication precise d'un ou de p/usieurs des elements suivants: la personne ou Jes personnes, Jes moyens de communication ou Jes lieux qui font /'objet de la conservation; - le cas echeant, Jes categories de donnees de trafic et de localisation qui doivent etre conservees; - la duree de la mesure, qui ne peut exceder deux mois a compter de la date de J'ordre, sans prejudice de renouvellement; - la duree de conservation des donnees, qui ne peut exceder six mois. Ce delai peut etre prolonge par ecrit. En cas d'urgence, la conservation peut etre ordonnee verbalement. L'ordre doit etre confirme dans Jes plus brefs de/ais dans la forme prevue a J'alinea
- §
- Les acteurs vises au paragraphe ler, alinea 2, vei/lent a ce que l'integrite, la qualite et la disponibilite des donnees soit garantie et a ce que Jes donnees soient conservees de maniere securisee. §
- Toute personne qui, du chef de sa fonction, a connaissance de la mesure ou y prete son concours, est tenue de garder le secret. Toute violation du secret est punie conformement a /'article 458 du Code penal. Toute personne qui refuse de cooperer, ou qui fait disparaitre, detruit ou modifie Jes donnees conservees, est punie d'une amende de cent euros a trente mi/le euros. §
- L'acces aux donnees conservees conformement acet article n 'est possible qu'en application de /'article BBbis. » 3 des donnees, a l'instar du texte luxembourgeois. Elle doit egalement indiquer « la duree de la mesure, qui ne peut exceder deux moins acompter de la date de l'ordre, sans prejudice de renouvellement »3 • Ainsi par exemple, le ministere public peut enjoindre la conservation des donnees generees ou traitees au cours des deux mois a compter de la date de l'injonction, lesdites donnees pouvant etre conservees pour une duree maximale de six mains renouvelables. II ressort enfih de la jurisprudence de la OUE que les injonctions de type « quick freeze » peuvent etre prises « au moyen d'une decision de /'autorite competente soumise a un controle juridictionnel effectif »4 • S'il ne fait aucun doute que le Procureur d'Etat est le mieux a-meme d'ordonner la conservation des donnees des les premieres phases et selon les besoins de l'enquete, le controle par une juridiction de la legalite de l'injonction dependra vraisemblablement de l'eventuelle utilisation des donnees ainsi conservees a un stade ulterieur de la procedure penale. Est-ce qu'un controle exerce par la juridiction saisie au fond est suffisant au regard du droit de l'Union ? Dans l'hypothese ou les donnees dont la conservation est ordonnee ne sont pas communiquees ou utilisees par la suite comme preuve, !'absence de recours juridictionnel direct contre l'injonction prise sur fondement de !'article 24-3 CPP constitue-telle une violation du droit de l'Union? Notons que dans les commentaires a !'article, les auteurs du projet de loi ne prennent pas position sur la question, la OUE n'ayant pas a notre connaissance apporte des eclaircissements sur la question. • Ad nouvel article 48-27 CPP Le nouvel article 48-27 CPP reglemente, dans son paragraphe 1er, l'acces des auto rites judiciaires aux donnees relatives a l'identite civile des utilisateurs des services de telecommunications et de communications electroniques. Le second paragraphe de la disposition prevoit quant a lui la possibilite pour le procureur d'Etat et le juge d'instruction de requerir le concours d'un operateur de telecommunications ou d'un fournisseur d'un service de communications electroniques aux fins d'identifier l'utilisateur d'une adresse IP. Tel que le confirment les commentaires a !'article sous examen, cela implique l'acces par le procureur d'Etat aux donnees conservees sur base de !'article 10ter
(2)de la loi Telecom. Cette disposition vise plus precisement les adresses IP a la source de la connexion qui, selon la jurisprudence europeenne, peuvent faire l'objet d'une conservation generalisee « quoique faisant partie des donnees relatives au trafic »5 • Or, l'acces direct par le Procureur d'Etat a des donnees d'identite civile couplees a des adresses IP figure parmi les questions ouvertes que la CJUE devra dans un futur proche trancher. Dans les arrets Prokurattur et Commissioner of An Garda Sfochana, la Cour a juge que l'acces des autorites nationales competentes aux donnees conservees doit etre « subordonne a un controle prealable effectue soit par une juridiction, soit par une entite administrative independante et que la decision de cette juridiction ou de cette entite intervienne a la suite d'une demande motivee de ces autorites presentees, notamment dons le cadre de procedure de prevention, de detection ou de poursuites penales »6 • Ce controle juridictionnel ex-ante ne 3 Art. 39quinquies, §1, alinea 3 CIC beige. CJUE, arret du 5 avril 2022, Commissioner of An Gorda Sfochana, aff. C-140/20, §
- 5 CJUE, arret du 6 octobre 2020, Quatradure du Net, aff. Jointes C-511/18, C-512/18 et C-520/18, §
- 6 CJUE, arret du 2 mars 2021, Prokuratuur, aff. C-746/18, §51; CJUE, arret du 5 avril 2022, Commissioner of An Gorda Sfochana, aff. C-140/20, §106 4 4 saurait toutefois pas, aux yeux de la Cour, etre exerce par le ministere public qui ne presente pas les garanties d'independance requises en raison du role qu'il remplit dans le cadre d'une procedure penale7 • Dans ces affaires, la question visait cependant l'acces aux donnees relatives au trafic et la localisation. II n' est des Iors pas certain que I' exigence de contra le juridictionnel prealable s'impose lorsque l'acces po rte sur les adresses IP. a Telle est precisement l'une des questions prejudicielles que le Conseil d'Etat franc;ais a pose dans une nouvelle affaire La Quadrature du Net e.a. qui demeure ce jour pendante. II nous semble cet egard important de souligner que dans ses conclusions du 27 octobre 2022, l'avocat general Szpunar suggere la CJUE un assouplissement de son approche au « risque d'une impunite systemique pour /es infractions constituees exclusivement en ligne » et compte tenu des« difficultes pratiques » qu'elle souleve8 • II estime a a a que l'acces aux donnees d'identite civile couplees aux adresses IP des utilisateurs ne devrait pas etre sou mis un contra le juridictionnel prealable9 • II s'ensuit que la conformite du nouvel article 48-27 CPP au droit de l'Union dependra sur ce point de la position que la CJUE adoptera dans cette affaire. a • Ad nouvel article 67-1 CPP a Les modifications que le present projet de loi envisage d'apporter !'article 67-1 CPP ant notamment pour objectif d'assurer l'acces par le juge d'instruction aux donnees que detiennent, traitent ou generent les operateurs de telecommunications et les fournisseurs de services de communications electroniques. A l'instar du nouvel article 24-3 CPP, la duree de conservation des donnees relatives au trafic et la localisation ainsi que des adresses IP fixee par la loi Telecom aura inevitablement un impact sur l'efficacite d'une telle mesure. II est renvoye sur ce point aux observations !'article 2 du projet de loi formulees ciapres. a a a a II ressort en effet des commentaires !'article sous examen que !'article 67-1 CPP aura vocation s'appliquer non seulement aux donnees generees partir de la date de I' ordonnance du juge d'instruction. II regira egalement l'acces aux donnees generees avant cette date que les operateurs et fournisseurs auront conserve soit dans les conditions prevues par la loi Telecom, soit en execution d'une injonction prise par le Procureur d'Etat sur base de !'article 24-3 CPP. a Curieusement le projet de loi n'apporte aucune modification au dernier alinea de !'article 67-1 CPP, en vertu duquel la mesure prise par le juge d'instruction doit preciser « la duree durant /aquel/e elle pourra s'appliquer, cette duree ne pouvant exceder un mois a dater de /'ordonnance ». Aucune autre indication temporelle n'est apportee, de sorte qu'il ne ressort pas clairement du texte si et dans quelle mesure le juge d'instruction pourra ordonner la communication des donnees generees au cours des mois precedant I' ordonnance. Notons que !'article 88bis du CIC beige est bien plus explicite dans sa formulation 10 • II distingue, dans son paragraphe 1er, la captation de donnees en temps reel, le juge d'instruction etant tenu d'indiquer « la 7 CJUE, arret du 2 mars 2021, Prokuratuur, aff. C-746/18, §54- 57; CJUE, arret du 5 avril 2022, Commissioner of An Gorda Sfochima, aff. C-140/20, §
- 8 Conclusions de I' Avocat general Szpunar dans l'affaire C- 470/21, La Quadrature du Ne.t e.a., §78 9 Conclusions de l'Avocat general Szpunar dans l'affaire C-470/21, La Quadrature du Net e.a., §90 et ss. 10 L'article BBbis du CIC beige dispose : 5 « § 1er_ S'il existe des indices serieux que /es infractions sont de nature a entrainer un emprisonnement correctionnel principal d'un an ou une peine plus /ourde, et /orsque le juge d'instruction estime qiJ'il existe des circonstances qui rendent le reperage de communications e/ectroniques ou la localisation de l'origine ou de la destination de communications electroniques necessaire a la manifesta_tion de la verite, ii peut faire proceder: 1 ° au reperage des donnees de trafic de moyens de communication electronique apartir desque/s ou vers /esquels des communications electroniques sont adressees ou ont ete adressees; 2° a la localisation de /'origine ou de la destination de communications electroniques. Si necessaire, ii peut pour ce faire requerir, directement OU par l'intermediaire du service de police designe par le Roi, la collaboration: - de l'operateur d'un reseau de communications electroniques; et - de toute personne qui met a disposition ou offre, sur le territoire beige, d'une que/conque maniere, un service qui consiste atransmettre des signaux via des reseaux de communications electroniques ou aautoriser des uti/isateurs a obtenir, recevoir ou diffuser des informations via un reseau de communications electroniques. Est egalement compris le fournisseur d'un service de communications electroniques. Dans /es cas vises a /'alinea ler, pour chaque moyen de communication electronique dont [5 /es donnees de trafic]5 sont reperees ou dont /'origine ou la destination de la [5 communication electronique]5 est loca/isee, le jour, /'heure, la duree et, si necessaire, le lieu de la communication e/ectronique sont indiques et consignes dans un proces-verba/. Le juge d'instruction indique /es circonstances de fait de la cause qui justifient la mesure, son caractere proportionnel eu egard au respect de la vie privee et subsidiaire a tout autre devoir d'enquete, dans une ordonnance motivee. II precise egalement la duree durant laquelle la mesure pourra s'appliquer pour le futur, cette duree ne pouvant exceder deux mois a dater de l'ordonnance, sans prejudice de renouvellement et, le cas echeant, la periode pour le passe sur laquelle l'ordonnance s'etend conformement au paragraphe
- En cas de flagrant de/it, le procureur du Roi peut ordonner la mesure pour /es infractions visees a /'article 90ter, §§ 2, 3 et
- Dans ce cas, la mesure doit etre confirmee dans /es vingt-quatre heures par le juge d'instruction. S'il s'agit toutefois de /'infraction visee a/'article 137, 347bis, 434 ou 470 du Code penal, a/'exception de /'infraction visee a /'article 137, § 3, 6°, du meme Code, le procureur du Roi peut ordonner la mesure tant que la situation de flagrant de/it perdure, sans qu'une confirmation par le juge d'instruction ne soit necessaire. . S'il s'agit de /'infraction visee a/'article 137 du Code penal, a/'exception de /'infraction visee a/'article 137, § 3, 6°, -du meme Code, le procureur du Roi peut en outre ordonner la mesure dans /es septante-deux heures suivant la decouverte de cette infraction, sans qu'une confirmation par le juge d'instruction soit necessaire. Toutefois, le procureur du Roi peut ordonner la mesure si le plaignant le sollicite, lorsque cette mesure s'avere indispensable a/'etablissement d'une infraction visee a/'article 145, § 3 et§ 3bis de la loi du 13 juin 2005 relative aux communications e/ectroniques. En cas d'urgence, la mesure peut etre ordonnee verbalement. Elle doit etre confirmee dans /es plus brefs delais dans la forme prevue aux alineas 4 et
- §
- Pour ce qui concerne /'application de la mesure visee au paragraphe 1er, alinea ler, aux donnees de trafic ou de localisation conservees sur la base des articles 126/1 et 126/3 de la /oi du 13 juin 2005 relative aux communications e/ectroniques, /es dispositions suivantes s'appliquent: - pour une infraction visee au livre II, titre lter, du Code penal, le juge d'instruction peut dans son ordonnance requerir /es donnees pour une periode de douze mois prea/ab/e a /'ordonnance; - pour une autre infraction visee /'article 90ter, §§ 2 4, qui n'est pas visee au premier tiret ou pour une infraction qui est commise dans le cadre d'une organisation criminelle visee a /'article 324bis du Code penal, ou pour une infraction qui est de nature a entrainer un emprisonnement correctionnel principal de cinq ans ou une peine plus /ourde, le juge d'instruction peut dans son ordonnance requerir /es donnees pour une periode de neuf mois prealable a /'ordonnance; - pour /es autres infractions, le juge d'instruction ne peut requerir /es donnees que pour une periode de six mois prealable a /'ordonnance.}6}3 §
- La mesure ne peut porter sur /es moyens de communication e/ectronique d'un avocat ou d'un medecin que si celui-ci est lui-meme soup~onne d'avoir commis une infraction visee au paragraphe ler ou d'y avoir participe, ou si a a 6 duree durant laquel/e la mesure pourra s'appliquer pour lefutur ». D'autre part, le paragraphe 2 de !'article 88bis du CIC beige, delimite le champ d'application de la mesure pour le passe, le juge d'instruction etant explicitement autorise requerir les donnees pour une periode allant de 6 12 mains prealables l'ordonnance selon la gravite de !'infraction. a a a Ad article 2 du projet de loi \ • Une duree insuffisante de la conservation « par defaut » des donnees relatives au trafic, a la localisation et des adresses IP L'article 2 du projet de loi sous examen definit notamment les obligations de conservation qui s'imposent aux fournisseurs et aux operateurs de services de communication electroniques independamment de toute injonction ou requisition transmise par les autorites judiciaires. Les delais de conservation « par defaut » inscrits dans la loi Telecom determinent des lors la disponibilite d'informations pouvant s'averer utiles dans le cadre de poursuites penales. II est done fondamental qu'un tel delai soit suffisamment long pour permettre aux autorites judiciaires de reagir tant que les metadonnees sont disponibles, au risque de compromettre l'efficacite des enquetes et, avec elles, la possibilite effective de poursuivre les auteurs des fa its. Cette necessite est d'autant plus forte lorsque les donnees en question constituent le seul moyen d'investigation dont disposent les enqueteurs, tel que l'a reconnu la OUE s'agissant des adresses IP permettant !'identification de personnes impliquees dans les infractions commises en ligne11 • Rappelons par ailleurs que les donnees conservees ne sont pas necessairement incriminantes, mais peuvent aussi disculper un suspect. a Force est toutefois de constater que, hormis les donnees relatives l'identite civile des utilisateurs pour lesquelles ii est renvoye au delai de 3 ans prevu !'article lObis, paragraphe 7 de la loi Telecom 12, son nouvel article Sbis
(1), alinea 1er limite la duree de conservation des donnees relatives au trafic et la a a des faits precis laissent presumer que des tiers soup~onnes d'avoir com mis une infraction visee au paragraphe 1er, utilisent ses moyens de communication e/ectronique. La mesure ne peut etre executee sans que le biitonnier ou le representant de l'ordre provincial des medecins, selon le cas, en soit averti. Ces memes personnes seront informees par le juge d'instruction des elements qu 'ii estime re/ever du secret professionnel. Ces elements ne sont pas consignes au proces-verbal. Ces personnes sont tenues au secret. Toute violation du secret est punie conformement a /'article 458 du Code penal. §
- Les acteurs vises au§ 1er, alinea 2, communiquent /es informations demandees en temps reel OU, le cas echeant, au moment precise dons la requisition, selon /es modalites fixees par le Roi, sur la proposition du ministre de la Justice et du ministre competent pour /es Telecommunications. Toute personne qui, du chef de sa fonction, a connaissance de la mesure ou y prete son concours, est tenue de garder le secret. Toute violation du secret est punie conformement a /'article 458 du Code penal. Toute personne qui refuse de preter son concours technique aux requisitions visees au present article, concours dont /es moda/ites sontfixees par le Roi, sur la proposition du ministre de la Justice et du ministre competent pour /es Telecommunications, OU ne le prete pas en temps reel OU, le cas echeant, au moment precise dons la requisition, est punie d'une amende de cent euros atrente mi/le euros ». 11 OUE, arret du 6 octobre 2020, Quatradure du Net, aff. Jointes C-511/18, C-512/18 et C-520/18, §
- 12 Nouvel article 10ter de la loi Telecom. 7 localisation a 6 mois a compter de la communication. II en irait de meme pour les adresses IP, conformement au nouvel article 10ter
(2), alinea 2 de la loi Telecom. La ou la legislation beige prevoit des delais de conservation allant jusqu'a un an 13 et la loi fran!;aise un delai de un an 14, le delai de six mois propose risque de s'averer bien trap court et de mettre en echec les investigations, y compris dans les affaires de criminalite grave perpetrees en ligne. II suffira d'une plainte tardive, denon!;ant des faits de pedopornographie via internet bien au-dela des six mois de leur commission, pour que les autorites ne puissent plus acceder a des elements essentiels aux poursuites. Sans oublier que les affaires de cybercriminalite, telles que des escroqueries perpetrees en ligne par des reseaux organises, presentent bien souvent des ramifications internationales, les enquetes devant alors composer avec le temps necessairement plus long de l'entraide judiciaire. • Le critere problematique des zones geographiques Quant aux conditions dans lesquelles la conservation est autorisee, le projet de loi distingue, d'une part, la conservation generalisee des adresses IP prevue par le nouvel article l0ter
(2)de la loi Telecom et, d'autre part, la conservation cible~ des donnees relatives au trafic et a la localisation regie par le nouvel article Sbis de la loi Telecom. Cette seconde disposition viserait, d'apres le commentaire des articles, les metadonnees definies par le reglement grand-ducal du 24 juillet 2010 determinant les categories de donnees a caractere personnel generees ou traitees dans le cadre de la fourniture de services de communications electroniques ou de reseaux de communications publics. Dans un souci de lisibilite, la reference exacte audit reglement pourrait etre inseree au troisieme alinea du nouvel article Sbis
(1)de la loi Telecom. Plus problematiques sont cependant les criteres delimitant les zones geographiques au sein desquelles les donnees seront exceptionnellement conservees. L'approche choisie par les auteurs du projet de loi est calquee sur les criteres determinant les zones dans lesquelles la videosurveillance peut etre autorisee conformement a !'article 43bis de la loi modifiee du 18 juillet 2018 sur la Police grand-ducale. II importe de noter que dans c~ contexte la collecte de donnees fait face a une contrainte technique differente : elle presuppose en amont !'installation de cameras de surveillance dans le perimetre concerne, la captation d'images etant des lors par definition ciblee. A !'inverse, les reseaux de telecommunications couvrent d'ores et deja !'ensemble du territoire national. C'est sans doute pourquoi la jurisprudence europeenne se montre exigeante quanta I' elaboration d'un critere geographique devant etre suffisamment precis pour que sa mise en reuvre n'aboutisse dans les faits a une conservation generalisee et indifferenciee des metadonnees 15 • Les Etats membres doivent plus precisement se fonder sur des « elements objectifs et non discriminatoires » indiquant « qu'il existe dans une ou p/usieurs zones geographiques, une situation caracterisee par un risque eleve de preparation ou de commission d'actes de criminalite grave »16 • Ainsi par exemple, le taux moyen de criminalite grave peut legalement circonscrire 13 Voy. notamment les art. 126 et 126/3 de la loi modifiee du 13 juin 2005 relative aux communications electroniques. · Art. L.34-1 du Code des postes et des communications electroniques. 15 OUE, arret du 5 avril 2022, Commissioner of An Garda Sfochana, aff. C-140/20, §83. 16 Ibidem, §79-80. 14 8 la conservation des donnees dans une zone geographique, modification en fonction de ('evolution dudit taux17 • a condition que la mesures soit sujette a II resulte toutefois du nouvel article Sbis
(2), point 1°, lettre
- a)de la loi Telecom que la conservation ciblee de donnees relatives au trafic et la localisation sera notamment possible dans « Jes lieux ou sont commis, a de maniere repetee, des crimes ou de/its dont Jes faits emportent une peine criminelle ou une peine correctionnelle dont le maximum est egal ou superieur a un an d'emprisonnement ». II n'est fait reference a aucun seuil predefini, aucune differenciation plus detaillee selon la gravite des infractions, alors meme que le legislateur beige a estime devoir preciser cela dans la loi 18 • a Particulierement flou est aussi le critere inscrit .la lettre
- d)de !'article Sbis de la loi Telecom, qui vise« Jes lieux qui par Jeur nature rassemblent un grand nombre de personnes ». Que faut-il entendre par« un grand nombre » ? Quels lieux sont « parleur nature» vises ? Est-ce que les espaces dedies aux festivals en plein air organises chaque annee travers le pays tombent dans cette categorie? a Curieusement les infrastructures sensibles d'interet national, tels que les barrages de la Haute-Sur et de l'Our ou le Centre militaire Diekirch, ne sembleraient pas en tant que telles visees par le nouvel article a Sbis 1° de la loi Telecom. Ces sites tomberaient dans le champ geographique de retention des donnees a uniquement en cas de menace terroriste de niveau 3 sur le plan « VIGILNAT » et condition que ladite menace couvre ('ensemble du territoire, tel que prevu au point 2° de la disposition. a a S'agissant de la procedure suivre, le second alinea de la disposition precitee fait vaguement reference une proposition determinant l'etendue du perimetre de chaque zone geographique qu'une commission consultative, dont la composition n'est pas precisee, devra soumettre tous les trois ans au Haut- a a a Commissariat la protection nationale. S'agit-il de proceder une analyse d'impact, l'instar de ce que prevoit !'article 43bis de la loi modifiee du 18 juillet 2018 sur la Police grand-ducale, qui devra s'appuyer sur les statistiques disponibles? Si la conservation ciblee des donnees relatives au trafic et la conservation est un element cle de la presente reforme qui a pour but d'assurer la conformite de la legislation nationale au droit de ('Union, ces questions meritent notre sens d'etre precisees, au risque d'engendrer une a a legislation des le depart susceptible d'etre invalidee. L'enjeu est ici de taille, car defaut de donnees conservees les autorites judiciaires pourraient se trouver dans l'impossibilite d'acceder aux elements de preuves sur lesquelles reposent les poursuites contre toute sorte d'infraction commise en ligne. II est egalement essentiel que les autorites qui de par leur mission disposent de !'expertise et des informations necessaires la delimitation des zones exposees un risque eleve de criminalite grave, puissent contribuer au processus. Cela est d'autant plus crucial que la conservation ciblee par zones geographiques va inevitablement debaucher dans un niveau de protection des donnees personnelles, mais aussi des capacites d'actions de la police et du Parquet geometrie variable. Alors qu'au sein des zones geographiques definies selon les criteres du nouvel article Sbis
(2)de la loi Telecom la detection, la recherche et la poursuite des infractions pourra s'appuyer sur taus les moyens d'investigation techniques disposition, tel ne serait pas le cas d'un grand nombre de dossiers rattaches des zones « non a a a a a couvertes » et pour grande partie rurales. En pratique, selon que le domicile de ('auteur ou de la victime se trouvent dans le perimetre en question, ii sera materiellement possible de localiser une connexion, verifier la frequence des communications ou encore leur destinataire. Les moyens dont les autorites 17 Ibidem, §82 AG 18 Art. 126/3 de la loi modifiee du 13 juin 2005 relative aux communications electroniques. 9 disposeront pour enqueter sur des infractions, telles que des cambriolages, des crimes violents ou encore du harcelement, seront d'office plus etendus des lors qu'ils seront commis, par exemple, aux alentours d'infrastructures d'envergure nationale. lls dependront a !'inverse de la conservation operee par les fournisseurs et operateurs de services de communications electroniques a des fins commerciales ou de facturation, si les faits ne sont pas rattaches a de telles zones. Luxembourg, le 13 avril 2023 Gear es OSWALD ta Diekirch 10