Projet de loi portant modification de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques Avis du Conseil d’État (21 m

(9)et la directive 2002/58/CE s’appliquent au traitement de données à caractère personnel effectué en application du présent règlement ». Dans ce contexte, le Conseil d’État tient à souligner que le traitement des données à caractère personnel relève d’une matière réservée à la loi en application de l’article 31 de la Constitution. En vertu de cet article, les données ne peuvent être traitées qu’à des fins et dans les conditions déterminées par la loi. Comme le rappelle le texte européen, les dispositifs prévoyant des traitements de données doivent en outre être conformes au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril JO L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj. Proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique. 2 1 2 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après « RGPD ». En ce qui concerne la fiche financière jointe au dossier, celle-ci précise que le projet de loi sous examen ne comporte pas de dispositions dont l’application est susceptible de grever le budget de l’État. Le Conseil d’État note toutefois que les articles 2bis et 15bis nouveaux que le présent projet vise à insérer dans la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques prévoient le développement et la mise en place par l’État de deux applications mobiles qui engendreront nécessairement des dépenses à charge du budget de l’État. Par conséquent, le Conseil d’État estime que la fiche financière est à compléter en tenant compte de l’impact sur le budget de l’État des frais relatifs à ces applications prévues par le texte sous revue. Examen des articles Article 1er L’article 1er prévoit d’insérer un nouvel article 2bis dans la loi précitée du 19 juin 2013 prévoyant la mise en place par l’État d’un portefeuille numérique personnel destiné à contenir une série de documents émis par l’État. Le Conseil d’État comprend que les auteurs se sont ainsi inspirés du règlement (UE) 2024/1183 qui impose « […] à chaque État membre [de fournir] au moins un portefeuille européen d’identité numérique » 3 en vue de permettre aux utilisateurs de demander et d’obtenir, de stocker, de combiner et d’utiliser en toute sécurité des données d’identification personnelle et des attestations électroniques d’attributs pour s’authentifier en ligne et hors ligne ainsi qu’à permettre l’accès aux biens et services en ligne publics et privés sous le contrôle de l’utilisateur 4. Plus fondamentalement, le Conseil d’État relève que le nouvel article 2bis ne précise ni les finalités des traitements de données liés au portefeuille numérique ni la responsabilité des différents acteurs en matière de protection des données. La disposition se limite à la seule description des principales fonctionnalités du portefeuille (« un portefeuille numérique personnel, destiné à contenir des attestations numériques de documents de voyage, de pièces d’identité, de titres de séjour, de permis de conduire et d’autres documents administratifs » ou encore « une application mobile […] destinée à recueillir, conserver, utiliser et échanger des informations mises à disposition de l’usager par l’État »). Le dispositif européen précité énonce quant à lui clairement les finalités du portefeuille européen d’identité numérique, ceci notamment à l’endroit de son article 5bis, paragraphe 4. Dans la même perspective, l’arrêté français du 8 novembre 2018 relatif au téléservice dénommé « FranceConnect » détermine avec précision en son Article premier, paragraphe 5, du règlement (UE) 2024/1183. Proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique, exposé des motifs, p. 11. 3 3 4 article 2 les finalités des traitements de données effectués à travers ce téléservice 5. Le Conseil d’État rappelle que la matière concernée relève d’une matière réservée à la loi en vertu de l’article 31 de la Constitution qui requiert que les fins et les conditions auxquelles les données peuvent être traitées soient déterminées par la loi. Les finalités du traitement de données sont dès lors à énoncer de manière claire et précise dans la loi en projet. Il suggère aux auteurs de s’inspirer du cadre légal français en ce qui concerne les finalités détaillées des traitements des données. En ce qui concerne plus particulièrement le paragraphe 1er, le Conseil d’État constate que la liste des documents que le portefeuille numérique sera amené à contenir est calquée sur celle prévue à l’article 4, paragraphe 2, alinéa 2, de la loi précitée du 19 juin 2013 qu’il s’agit de modifier et qui prévoit que « le registre national sert de base à la production des documents de voyage, des pièces d’identité, des titres de séjour, des permis de conduire et d’autres documents administratifs ». Le Conseil d’État note que le dispositif européen qui sera amené à s’appliquer dans un futur imminent prévoit que les portefeuilles européens d’identité numérique qui devront être délivrés par les États membres pourront contenir « des données d’identification, des justificatifs et des attributs liés à [l’]identité ». La définition européenne des documents pouvant être stockés dans le portefeuille s’avère ainsi être beaucoup plus large que celle qui est prévue par l’article sous revue 6. Au vu de l’entrée en vigueur future du prédit dispositif européen, le Conseil d’État s’interroge sur l’opportunité de l’énumération spécifique de Arrêté du 8 novembre 2018 relatif au téléservice dénommé « FranceConnect » créé par la direction interministérielle du numérique et du système d’information et de communication de l’Etat : 5 « Article 2 Le téléservice a pour finalité de proposer au public de s’identifier et de s’authentifier, auprès de partenaires, fournisseurs de téléservices et de services en ligne, au moyen de dispositifs mis en œuvre par des fournisseurs d’identité partenaires de « FranceConnect ». « FranceConnect » repose sur une fédération d’identités et permet : 1° De simplifier des démarches et formalités administratives effectuées par le public et d’en assurer la traçabilité et le suivi ; 2° De sécuriser le mécanisme d’échange d'informations entre autorités administratives prévu par les articles L. 113-12 et L. 114-8 du code des relations entre le public et l’administration susvisés. Le téléservice assure uniquement une fonction de mise en relation des autorités administratives, sans traiter des données susceptibles d’être échangées dans ce cadre ; 3° De simplifier l’accès du public aux services en ligne proposés par les entités partenaires ; 4° Au public, d’accéder à des téléservices d’autres Etats membres en respectant les dispositions prévues par le règlement du 23 juillet 2014 susvisé, notamment les exigences relatives au niveau de garantie requis par le téléservice concerné. L’adhésion au téléservice « FranceConnect » est facultative. » https://www.legifrance.gouv.fr/loda/id/JORFTEXT000037611479#:~:text=%C2%AB%20FranceConnect%20% C2%BB%20repose%20sur%20une%20f%C3%A9d%C3%A9ration,pr%C3%A9vu%20par%20les%20articles% 20L. Voir également le document intitulé « FranceConnect – FranceConnect+ POLITIQUE DE PROTECTION DES DONNÉES PERSONNELLES Version du 6/12/202 », https://franceconnect.gouv.fr/files/FC_Politique_Protection_Donnees_Personnelles_V1.2.pdf 6 À titre d’exemple, le considérant 4 de la proposition de règlement cite encore le diplôme universitaire légalement reconnu dans l’Union européenne comme document pouvant être stocké dans le portefeuille. 4 documents telle que prévue par le texte sous revue et suggère de prévoir une définition plus large des attestations qui pourront être générées et conservées dans le portefeuille numérique. Le paragraphe 2 qui donne une définition du portefeuille numérique personnel est inspiré de la définition de l’application mobile prévue à l’article 2, point 2°, de la loi du 28 mai 2019 relative à l’accessibilité des sites internet et des applications mobiles des organismes du secteur public. Le Conseil d’État a du mal à comprendre l’approche choisie et estime que la définition du portefeuille devrait être calquée sur celle qui figure dans le règlement européen. Plus fondamentalement, le Conseil d’État constate que la création du portefeuille numérique, prévu à travers le nouvel article 2bis, se résume en l’occurrence à deux paragraphes. Outre le manque de définition des finalités des traitements et des responsabilités y associées, le Conseil d’État relève que, contrairement au texte européen, l’article 2bis ne comporte pas de dispositions spécifiques concernant les conditions d’utilisation du portefeuille. Parmi les garanties offertes en matière de protection des données, le cadre européen précise que « [l]es utilisateurs exercent un contrôle total sur l’utilisation de leur portefeuille européen d’identité numérique et des données qui y figurent » et que « [l]e fournisseur du portefeuille européen d’identité numérique ne collecte pas les informations sur l’utilisation du portefeuille européen d’identité numérique qui ne sont pas nécessaires à la fourniture des services liés au portefeuille européen d’identité numérique, et il ne combine pas non plus des données d’identification personnelle ou d’autres données à caractère personnel stockées ou relatives à l’utilisation du portefeuille européen d’identité numérique avec des données à caractère personnel provenant de tout autre service offert par ce fournisseur ou de services tiers qui ne sont pas nécessaires à la fourniture des services liés au portefeuille européen d’identité numérique, à moins que l’utilisateur n’ait fait expressément la demande contraire » 7. Selon la compréhension du Conseil d’État, le dispositif européen implique divers traitements de données, dont celui opéré par le fournisseur des données étatique ou autre, celui effectué par le service d’authentification des données et celui concernant la transmission de données à un fournisseur de service étatique ou autre, traitements qui sont effectués sur la base du choix de l’usager de stocker les données sélectionnées sur l’application et de les partager avec les fournisseurs de son choix. Le mécanisme sous revue reste muet sur ces points. Le Conseil d’État constate que le texte sous rubrique omet de déterminer les finalités et conditions dans lesquelles les données collectées à travers le portefeuille seront traitées. Il demande aux auteurs, sous peine d’opposition formelle, de compléter le dispositif sous revue en ce qui concerne les finalités et les conditions, en particulier en matière de responsabilités des traitements, afin de garantir sa conformité à l’article 31 de la Constitution. 7 Voir article 5bis, paragraphe 14, du règlement (UE) n° 910/2014. 5 Article 2 L’article sous revue prévoit l’insertion d’un nouvel article 15bis dans la loi précitée du 19 juin 2013 qui permet à tout titulaire d’une carte d’identité en cours de validité de créer et de détenir une attestation numérique de sa carte d’identité. Les auteurs précisent à cet égard que « [l]’attestation numérique de la carte d’identité offre aux usagers la possibilité de prouver leur identité par voie électronique ». D’après les auteurs, le but du nouveau dispositif proposé serait dès lors « […] de mettre les usagers en mesure de prouver leur identité par la présentation de l’attestation numérique sur un appareil mobile ». Toujours à l’endroit de l’exposé des motifs, les auteurs soulignent cependant que « […] l’attestation numérique de la carte d’identité ne constitue pas une carte d’identité électronique, mais qu’elle est à considérer comme un certificat prouvant que l’individu est en possession d’une carte d’identité en cours de validité au sens de l’article 12 de la loi modifiée du 19 juin 2013 précitée ». Le paragraphe 2, première phrase prévoit que « [l]’ensemble des données énumérées à l’article 12, paragraphe 2, alinéa 1er, points

1. a)à
2. e)et
3. g)à h), et à l’alinéa 3, point e), du même article, ou, le cas échéant, certaines d’entre elles, dénommées ci-après « les données », seront insérées dans l’attestation numérique de la carte d’identité sur initiative de l’usager, par lecture de la puce de la carte d’identité ». Les données à caractère personnel auxquelles le paragraphe en question se réfère sont celles qui figurent sur la face avant de la carte d’identité physique. Au commentaire de l’article, les auteurs du projet de loi expliquent que « [s]ur initiative de l’usager, ces données sont transmises électroniquement, par lecture de la puce de la carte d’identité, à l’État en vue de la création de l’attestation (à l’exception de la photo qui n’est pas contenue dans la puce de la carte d’identité) ». Le commentaire de l’article n’offre pas d’explications quant à la possibilité prévue par la disposition sous revue d’intégrer « le cas échéant, certaines [autres données] » dans l’attestation numérique de la carte d’identité. À l’instar de la Commission nationale pour la protection des données, le Conseil d’État relève que les données figurant sur une attestation électronique censée être équivalente à une carte d’identité physique ne devraient pas diverger de celles qui figurent sur une telle carte d’identité physique au risque de ne plus correspondre au même document. Au-delà de ce qui précède, le Conseil d’État renvoie encore sur ce point au dispositif européen qui prévoit la possibilité pour l’usager de sélectionner certaines données notamment d’identification dans le contexte particulier du partage ciblé de données dans la limite des besoins du service particulier visé permettant ainsi aux utilisateurs de choisir avec quel prestataire de service ils souhaitent partager différents attributs en fonction du cas d’utilisation et du degré de sécurité nécessaire à la transaction concernée et d’exercer un contrôle sur les données fournies pour l’accès à un service particulier. Il relève toutefois qu’une telle approche dépasse la simple dématérialisation de documents physiques. 6 Le paragraphe 3 prévoit que « l’intégrité et l’authenticité de l’attestation numérique de la carte d’identité sont vérifiables par un identifiant numérique » et précise que ce dernier constitue « un mode de représentation de données dans un format transmissible moyennant le portefeuille numérique personnel ». Ici aussi, le Conseil d’État constate que ni la finalité du traitement de l’identifiant numérique ni la responsabilité de ce traitement ne sont précisées dans le projet de loi sous avis. Il doit, par conséquent, s’opposer formellement au paragraphe 3 qui est contraire à l’article 31 de la Constitution. Le paragraphe 4 concerne la mise en place d’une application mobile distincte du portefeuille numérique personnel dont l’objet serait la lecture de l’identifiant numérique. Le commentaire de l’article précise à ce sujet qu’« [à] partir du moment où cette application de lecture est disponible, le titulaire de la carte d’identité ne pourra se voir refuser la vérification de l’attestation numérique au profit de la présentation de la carte d’identité physique ». Toujours selon le commentaire, « les agents de police p.ex. seront munis d’un smartphone professionnel doté de l’application mobile en question, capable de lire les informations contenues par l’identifiant numérique, sans qu’ils aient besoin de se faire remettre physiquement le téléphone du citoyen lors d’un contrôle ». Les auteurs ajoutent encore que « [l]’agent de police auquel l’attestation numérique est présentée, pourra comparer et vérifier les données affichées par l’identifiant numérique avec celles contenues dans les banques de données du registre national des personnes physiques et des permis de conduire ». Le Conseil d’État constate tout d’abord que l’ensemble des éléments renseignés au commentaire de l’article ne sont pas repris au niveau du texte proprement dit de la disposition sous examen, celle-ci étant muette en ce qui concerne les finalités des traitements, y compris en ce qui concerne la décision quant à la transmission des données à des tiers. Le Conseil d’Etat constate que ni les finalités ni les conditions du ou des traitements effectués en relation avec l’application de lecture ne sont précisées dans le texte sous revue, de sorte qu’il doit s’opposer formellement au paragraphe 4 en raison de sa contrariété avec l’article 31 de la Constitution. Le paragraphe 5 prévoit que « la présentation par l’usager d’une attestation numérique de la carte d’identité » est équivalente « à la présentation de sa carte d’identité ». Les auteurs du projet de loi expliquent au commentaire de l’article qu’« [i]l s’agit de permettre aux citoyens de prouver leur identité, à un agent de police par exemple, par la présentation de l’attestation […] sans aucune formalité supplémentaire » et que « [l]a personne qui se fera présenter par un citoyen […]l’attestation […] ne sera pas en droit de lui réclamer parallèlement la carte d’identité physique ». À l’exposé des motifs, les auteurs ajoutent que « [l]a preuve de l’identité par une attestation numérique de la carte d’identité est limitée à des contrôles ayant lieu sur le territoire de l’État du Grand-Duché de Luxembourg et fonctionnera peu importe que le mode de présentation soit online ou offline ». Le Conseil d’État, pour sa part, a du mal à suivre l’approche préconisée par les auteurs qui consiste à prévoir, non pas l’équivalence entre l’attestation numérique et la carte d’identité proprement dite, mais bien l’équivalence de « leur présentation ». Il estime que les explications fournies par les auteurs du 7 texte sous revue sont contradictoires en ce qu’elles précisent, d’une part, que « […]la personne qui présentera l’attestation numérique de sa carte d’identité ne pourra pas se voir demander en parallèle la carte d’identité physique » et, d’autre part, que l’attestation ne constitue pas une carte d’identité électronique, mais qu’elle ne vise qu’à prouver que l’usager est en possession de ladite carte en cours de validité. De l’avis du Conseil d’État, la question de la force probante de l’attestation ne saurait être dissociée de la question de la validité de la présentation de l’attestation. Admettre l’équivalence entre la présentation de l’attestation et la carte d’identité physique équivaut in fine à reconnaître l’équivalence de la force probante de ces deux documents. Plus substantiellement, le Conseil d’État attire l’attention des auteurs sur le fait que le règlement (UE) 2024/1183 détermine sous une section distincte les « effets juridiques de l’attestation électronique d’attributs ». Elle prévoit à cet égard qu’« [u]ne attestation électronique d’attributs qualifiée et des attestations d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte ont le même effet juridique que des attestations délivrées légalement sur papier ». Dans cette logique, l’attestation en question devrait, par conséquent, jouir d’un effet juridique équivalent à celui de la carte d’identité sur papier. Toujours dans cette perspective, le texte sous revue devrait établir les exigences visant à garantir cette équivalence. Dans un tel cas de figure, le Conseil d’État ne conçoit d’ailleurs pas que l’utilisateur puisse choisir les données à insérer sur l’attestation en question. Il note encore que les précisions figurant à l’exposé des motifs concernant notamment la condition de territorialité ne figurent pas dans le texte proprement dit de la disposition sous revue. Le Conseil d’État relève à cet égard que le texte sous revue manque de clarté en ce qu’il vise uniquement l’effet attaché à la présentation de l’attestation. Il doit par conséquent s’opposer formellement au paragraphe sous revue qui est source d’insécurité juridique. Par ailleurs, le Conseil d’Etat donne à considérer que l’objet du règlement européen précité et dont la date de prise d’effet est fixée au 20 mai 2024 s’étend au-delà d’une simple dématérialisation de documents tels que la carte d’identité en prévoyant la mise en place d’un système d’authentification sécurisé d’attributs de l’identité d’une personne. Le système proposé à travers le projet de loi reste quant à lui en deçà des objectifs précités, compte tenu notamment de l’absence de l’équivalence de l’effet juridique de l’attestation numérique de la carte d’identité. Le paragraphe 6 prévoit que l’État, du simple fait de l’installation de l’application du portefeuille numérique par l’usager est autorisé à contrôler la conformité des données susceptibles d’être représentées par l’identifiant numérique, via le compte personnel de l’usager auprès de la plateforme d’échange du guichet unique électronique. Il prévoit encore que les données contrôlées sont détruites immédiatement après la création de l’attestation numérique. Le Conseil d’État s’interroge sur les conditions du traitement de données effectué par l’État au titre de la « vérification de la conformité des données » et cela « via le compte personnel de l’usager auprès de la plateforme d’échange du guichet unique électronique ». Au vu de l’insécurité 8 juridique constituée par l’absence de précision quant au moment et à l’étendue de l’accès et du contrôle de l’État relatif aux données de l’usager contenues dans le portefeuille, le Conseil d’Etat doit s’opposer formellement au paragraphe 6. Observations d’ordre légistique Observation générale À l’occasion d’insertion d’articles, le texte nouveau est précédé de l’indication du numéro correspondant qui est souligné pour mieux le distinguer du numéro des articles de l’acte modificatif. Article 2 À la phrase liminaire, il y a lieu d’ajouter le terme « nouveau » après les termes « article 15bis ». Au paragraphe 2, première phrase, il est signalé que lorsqu’il est renvoyé à une lettre faisant partie d’une subdivision a), b), c), …, il y a lieu d’utiliser le terme « lettre » avant la lettre référée, et non le terme « point », pour écrire « à l’article 12, paragraphe 2, alinéa 1er, lettres
4. a)à
5. e)et
6. g)à h), et à l’alinéa 3, lettre
7. e)du même article, ». Au paragraphe 6, première phrase, il y a lieu d’écrire « l’article 6 de la loi précitée du 24 mai 2011 ». Ainsi délibéré en séance plénière et adopté à l’unanimité des 18 votants, le 21 mai 2024. Le Secrétaire général, Le Président, s. Marc Besch s. Marc Thewes 9