CONSEIL D’ÉTAT =============== N° CE : 62.002 N° dossier parl. : 8464 Projet de loi portant approbation du Protocole d’amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre 2018 Avis du Conseil d’État (17 juin 2025) En vertu de l’arrêté du 27 novembre 2024 du Premier ministre, le Conseil d’État a été saisi pour avis du projet de loi sous rubrique, élaboré par le ministre des Affaires étrangères et du Commerce extérieur. Au texte du projet de loi étaient joints un exposé des motifs, un commentaire de l’article unique, le texte du Protocole d’amendement à approuver, un commentaire des articles du Protocole d’amendement à approuver, une fiche financière, une fiche d’évaluation d’impact ainsi qu’un « check de durabilité – Nohaltegkeetscheck ». Les avis de la Commission nationale pour la protection des données et de la Chambre de commerce ont été communiqués au Conseil d’État en date des 23 décembre 2024 et 17 février 2025. Une entrevue entre le Conseil d’État et une délégation du ministère d’État a eu lieu le 30 avril 2025. Considérations générales Le projet de loi sous rubrique vise à approuver le Protocole d’amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, fait à Strasbourg, le 10 octobre 2018, ci-après le « Protocole », modifiant une convention qui, quant à elle, a été approuvée par une loi du 19 novembre 1987 1. Ledit traité, ci-après la « Convention », est entré en vigueur le 1er décembre 1987. Le projet de loi sous avis tend à l’approbation du Protocole précité qui, selon les auteurs, est destiné à garantir une protection des données à caractère personnel en présence de l’évolution des technologies de l’information et de la communication. 1 Loi du 19 novembre 1987 portant
- a)approbation de la Convention pour la protection des personnes à l´égard du traitement automatisé des données à caractère personnel, faite à Strasbourg, le 28 janvier 1981 ;
- b)modification de la loi du 31 mars 1979 réglementant l´utilisation des données nominatives dans les traitements informatiques, publiée au Journal officiel, n° A 94. Tel que l’expliquent les auteurs dans leur exposé des motifs, la Convention, dans sa version modifiée, « présentera un moindre niveau de détail que le règlement (UE) 2016/6792 (« RGPD ») et que la directive (UE) 2016/6803 (dite « Police – Justice »), mais elle reposera néanmoins sur les mêmes principes et offrira les mêmes droits aux personnes physiques ». Selon l’avis du Conseil d’État du 4 décembre 1984 concernant le projet de loi portant approbation de la Convention, les principes contenus dans la Convention sont d’ores et déjà consacrés par le texte de la loi du 31 mars 1979 réglementant l’utilisation des données nominatives dans les traitements informatiques4. Ils ont par la suite été repris par la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel5, elle-même abrogée par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données6. La matière est actuellement réglée au niveau de l’ensemble de l’Union européenne par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). Les auteurs du projet de loi sous avis confirment l’encadrement par le droit interne et précisent que l’approbation confortera les engagements en matière de protection des données à caractère personnel. Le Conseil d’État note que l’article 18 du Protocole d’amendement insère un chapitre IV nouveau dans la Convention, qui a trait aux autorités de contrôle. L’article 19 du Protocole d’amendement insère un nouvel article 15 dans cette convention, prévoyant que chaque Partie doit charger une ou plusieurs autorités compétentes de veiller au respect des dispositions de cette convention ainsi qu’un certain nombre de missions et de pouvoirs de ces autorités compétentes. L’article 12 de la Convention, quant à lui, précise que « [c]haque Partie s’engage à établir des sanctions et des recours juridictionnels et non-juridictionnels appropriés visant les violations des dispositions de la présente Convention ». Comme l’indique la phrase liminaire de l’article 19 du Protocole d’amendement, l’article 15 nouveau « intègre les dispositions de l’article 1 du Protocole additionnel de 2001 (STE n° 181) ». Ce protocole additionnel a été approuvé par la loi du 21 décembre 2006 portant approbation du Protocole additionnel de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, ouvert à la signature, à Strasbourg, le 8 novembre 20017. 2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). 3 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil. 4 Publiée au Journal officiel, n° A29. 5 Publiée au Journal officiel, n° A91. 6 Publiée au Journal officiel, n° A 686. 7 Publiée au Journal officiel, n° A 229. 2 Si l’intention des auteurs est de désigner la Commission nationale pour la protection des données, ci-après la « CNPD », comme autorité compétente au sens de l’article 15 de la Convention, le Conseil d’État rappelle que la CNPD est un établissement public, créé par la loi précitée du 1er août 2018. En vertu du principe de spécialité, consacré par l’article 129 de la Constitution, la portée de la mission de l’établissement public, en ce compris les pouvoirs dont il dispose, le cas échéant, pour exercer sa mission, doit être cernée avec précision par le législateur. Il est dès lors nécessaire de modifier les sections III et IV du chapitre 2 de la loi précitée du 1er août 2018 relatives aux missions et pouvoirs de la CNPD, afin d’y inclure les missions et pouvoirs prévus par la Convention, telle que modifiée. De même, la section XI du chapitre 2, relative aux sanctions, devra être complétée par une disposition prévoyant des sanctions en cas de violation des dispositions de la Convention, tel que cela est prévu par l’article 12 de la Convention. Si l’intention des auteurs est également de désigner l’autorité de contrôle de la protection des données judiciaires, il est nécessaire de modifier aussi la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale8, de manière analogue à la modification de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. Sans adaptation de la législation nationale, telle que préconisée ci-avant, l’application des droits consacrés par la Convention, une fois le Protocole d’amendement ratifié et entré en vigueur, reste lettre morte en droit national. Le Conseil d’État insiste dès lors à ce que la législation nationale soit adaptée conformément aux observations ci-dessus. Examen de l’article unique Sous réserve des considérations générales, l’article unique n’appelle pas d’observation de la part du Conseil d’État. Ainsi délibéré en séance plénière et adopté à l’unanimité des 20 votants, le 17 juin 2025. 8 Le Secrétaire général, Le Président, s. Marc Besch s. Marc Thewes Publiée au Journal officiel, n° A 689. 3