1 CHAMBER OF COMMERCE — LUXEMBOURG POWERING BUSINESS Luxembourg, le 16 mai 2023 Objet : Projet de loi n°81791 portant modification de la loi du 21 mars 2006 sur les équipes communes d’enquête aux fins de transposition de la directive (UE) 2022/211 du Parlement européen et du Conseil du 16 février 2022 modifiant la décision-cadre 2002/465/JAI en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel. (6318MEM) Saisine : Ministre de la Justice (8 mars 2023) Avis de [a Chambre de Commerce Le projet de loi sous avis (ci-après le « Projet ») a pour objet de modifier l’article 5 de la loi du 21 mars 2006 sur les équipes communes d’enquête (ci-après la « loi du 21 mars 2006 »), afin de transposer l’article 1er de la Directive (UE) 2022/211 du Parlement européen et du Conseil du 16 février 2022 modifiant la décision-cadre 2002/465/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel dans le domaine pénal (ci-après, la « Directive 2022/211 »). En bref ➢ La Chambre de Commerce accueille favorablement le Projet en ce qu’il se limite à transposer strictement l’article 1 er de la Directive 2022/
- ➢ Elle s’interroge néanmoins, quant à l’application pratique des dispositions du RGPD, notamment de l’obligation de transparence à laquelle est soumise le responsable du traitement1, dans l’hypothèse d’un changement de finalité des traitements de données personnelles collectées dans le cadre d’équipes communes d’enquêtes, dans les conditions prévues par la loi du 1er août
- ➢ Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d’approuver le projet de loi sous avis. En application de la loi du 21 mars 2006, les autorités judiciaires luxembourgeoises peuvent conclure un accord avec les autorités judiciaires d’un ou plusieurs autres Etats membres de l’Union, afin de créer une équipe commune d’enquête, pour effectuer des enquêtes pénales sur le 1 Lien vers le projet de loi sur le site de la Chambre des Députés 1 CHAMBER OF COMMERCE — LUXEMBOURG POWERING BUSINESS 2 territoire d’un ou plusieurs Etats membres de l’Union européenne
- L’équipe commune d’enquête qui dispose d’un objectif précis et d’une durée limitée 3, agit conformément au droit de l’Etat sur le territoire duquel elle intervient
- L’article 5 de la loi du 21 mars 2006 fixe les fins pour lesquelles les informations obtenues dans le cadre de la participation à une équipe commune d’enquête peuvent être utilisées
- Le Projet prévoit, d’ajouter un troisième paragraphe à l’article 5, afin de préciser l’application des règles, lorsque des données à caractère personnelles sont contenues dans les informations utilisées à des fins autres que celles pour lesquelles l’équipe d’enquête a été créée. Le Projet transpose ainsi l’article 1er de la Directive 2022/211, qui modifie la décision-cadre 2002/465/JAI du Conseil qui a été mise en œuvre au Luxembourg par la loi du 21 mars
- Le nouveau paragraphe que le Projet entend ajouter à l’article 5 de la loi du 21 mars 2006 vient aligner les cas d’utilisation des données à caractère personnel collectées par les équipes communes d’enquête sur le principe de limitation de la finalité, tel que réglementé par la Directive (UE) 2016/680 en matière de protection des données dans le domaine répressif 6 (ci-après, la « Directive 2016/680 »). Cette Directive 2016/680 a été transposée au Luxembourg par la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale (ci-après, la « loi du 1er août 2018 »). En application de la loi du 21 mars 2006 telle que modifiée par le Projet, il ne sera possible de traiter les données à caractère personnel contenues dans les informations obtenues légalement par une équipe commune d’enquête à des fins autres que celles pour lesquelles l’équipe a été créée, telles que des procédures pénales ultérieures ou des procédures administratives ou civiles ou un contrôle parlementaire connexes 7, que conformément aux conditions prévues par la loi du 1er août
- Ainsi, en pratique ce traitement de données à caractère personnel devra notamment être nécessaire et proportionné à sa finalité8 et respecter l’article 8, paragraphe 1er de la loi du 1er août 2018, qui subordonne le changement de finalité au fait qu’un tel traitement soit autorisé par le droit de l’Union européenne ou par une disposition du droit luxembourgeois et impose dans ce cas, que le traitement de ces données soit effectué conformément aux dispositions du RGPD9 ou de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. 2 cf. article 1er, paragraphe 1 de la loi du 21 mars 2006 cf. article 1er, paragraphe 1 de la loi du 21 mars 2006 4 cf. article 1er, paragraphe 5 de la loi du 21 mars 2006 5 Le premier paragraphe de l’article 5, prévoit les fins pour lesquelles les membres luxembourgeois de l’équipe commune d’enquête peuvent utiliser les informations qu’ils ont obtenues dans le cadre de leur participation dans un autre Etat partie à l’accord. Alors que, le second paragraphe de l’article 5, prévoit les fins pour lesquelles les membres étrangers de l’équipe commune d’enquête peuvent utiliser les informations qu’ils ont obtenues dans le cadre de leur participation au Grand-Duché de Luxembourg. 6 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil 7 cf. deuxième considérant de la directive 2022/211 8 cf. article 3, paragraphe 2 de la loi du 1er août 2018 9 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 3 1 CHAMBER OF COMMERCE — LUXEMBOURG POWERING BUSINESS 3 Si la Chambre de Commerce accueille favorablement le Projet en ce qu’il se limite à transposer strictement l’article 1er de la Directive 2022/211, elle s’interroge néanmoins quant à l’application pratique des dispositions du RGPD, notamment de l’obligation de transparence à laquelle est soumise le responsable du traitement10, dans l’hypothèse d’un changement de finalité du traitement de données personnelles collectées dans le cadre d’équipes communes d’enquêtes dans les conditions prévues par la loi du 1er août
- * * * Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d’approuver le projet de loi sous avis. MEM/DJI 10 Cf. article 12 et suivants du RGPD