La création d'une unité nationale ETIAS (ci-après désignée par « UNE ») répond aux prescrits de l'article 8 du règlement (UE) 2018/1240, disposition qui fixe également les missions dévolues à l'UNE. L’UNE est principalement chargée d’évaluer les demandes d’autorisation de voyage qui ont déclenché une correspondance (« hit ») dans le cadre du traitement automatisé par le système central ETIAS et pour lesquelles le Luxembourg est l’État membre responsable. Le choix d'ancrer l'UNE au sein du ministère ayant l'Immigration dans ses attributions et plus précisément au sein de la Direction générale de l'immigration repose sur une décision
optée par le Conseil de gouvernement en date du 27 septembre 2017. La mise en place de l’UNE selon un modèle collaboratif a été décidée par les autorités concernées lors d’un atelier interministériel en date du 24 février 2021.
La composition de l'UNE telle qu’exposée au paragraphe 1er, alinéa 1er résulte du fait que l'exercice des missions dévolues à l'UNE requiert notamment d'examiner si la présence des ressortissants de pays tiers sollicitant une autorisation de voyage afin d'accéder à l'espace Schengen est susceptible de présenter un risque en matière de sécurité ou d'immigration illégale ou un risque épidémique élevé, l'évaluation de ces risques relevant de la compétence respective des autorités composant l'unité. Dans la mesure où l'UNE est ancrée au sein du ministère ayant l'Immigration dans ses attributions, il convient de désigner le responsable de l'unité ainsi que ses suppléants parmi le personnel autorisé relevant dudit ministère, étant encore précisé que le responsable et ses suppléants doivent impérativement avoir le statut de fonctionnaire de l'Etat. Le paragraphe 3 fixe la procédure de nomination des membres de l'unité et précise que le personnel autorisé des différentes autorités est placé sous l'autorité fonctionnelle du responsable de l'UNE pour l'exécution des missions de l'UNE tout en demeurant sous l'autorité hiérarchique de son entité d'origine. 1 Le paragraphe 4 décrit la répartition des attributions des autorités participant à l'UNE en ce qui concerne l'évaluation des risques sécuritaires, épidémiques et d'immigration irrégulière des ressortissants de pays tiers sollicitant une autorisation de voyage. Dans la pratique, le dossier relatif à la demande d’autorisation de voyage ayant déclenché un hit pour laquelle le Luxembourg est l’Etat membre responsable, respectivement l’Etat membre consulté en cas de procédure de consultation entre Etats membres, est attribué par le personnel autorisé du ministère ayant l’Immigration dans ses attributions à l’autorité participant à l’UNE en fonction du risque à évaluer. Le paragraphe 5 prévoit que, dans l’exécution des missions relevant de l’UNE, le personnel autorisé est habilité à consulter, suivant le cas, le ou les services concernés de son autorité d’origine ainsi que d’autres autorités luxembourgeoises, telles les autorités judiciaires, en vue d’obtenir les informations ou autorisations requises afin de pouvoir évaluer le risque respectif et rendre un avis. Dans ce même contexte, le personnel autorisé peut encore, au même titre que les services ou autorités nationales auxquels il s’est
ressé, consulter les bases de données requises relevant de la compétence de son autorité d’origine et effectuer toutes autres démarches et vérifications qui s’imposent. Le paragraphe 6 prévoit l'exigence pour le personnel autorisé d'élaborer, en fonction de ses attributions légales, un avis motivé à la suite de l'évaluation du risque respectif. Le paragraphe 7 désigne le titulaire du pouvoir décisionnel au sein de l’UNE lequel prend la décision au nom du ministre ayant l’Immigration dans ses attributions, mais pour le compte de l’UNE, en conformité avec l’article 26 du règlement (UE) 2018/1240. Selon le paragraphe 8, la décision est ensuite enregistrée dans le système central européen par le personnel autorisé du ministère ayant l’Immigration dans ses attributions. Chapitre 2 – Liste de surveillance ETIAS
L’article 3 établit que l’encodage et l’accès aux données incluses dans la liste de surveillance ETIAS est réservé au seul personnel autorisé de l’
ministration des douanes et accises, de la Police grand-ducale et du Service de renseignement de l’État, le personnel autorisé du ministère ayant l’Immigration dans ses attributions ainsi que celui de la Direction de la santé ne pouvant accéder à cette liste de surveillance. Il convient de préciser à cet égard que la liste de surveillance ETIAS fait partie intégrante du système central ETIAS, tel que spécifié à l’article 6, paragraphe 2, point a), du règlement (UE) 2018/1240. La liste 2 de surveillance ETIAS en tant que partie intégrante du système central ETIAS est à distinguer du module « liste de surveillance ETIAS », lequel fait partie de l’application nationale, tel que prévu aux articles 4 et 5 du présent texte. Chapitre 3 – Mise en place et fonctionnement de l’application nationale
Aux fins de la communication et de l’analyse des avis émis par les autorités participant à l’UNE à la suite de l'évaluation du risque respectif, ainsi que du traitement des données dans la liste de surveillance ETIAS, il est créé au niveau national une application nationale dédiée. Cette application comprend deux modules, dont l’un sert à la gestion de la liste de surveillance ETIAS et l’autre vise à faciliter l’examen manuel des demandes d’autorisation de voyage en permettant la communication des avis émis par les différentes autorités participant à l’UNE.
Le paragraphe 1er définit le contenu, les finalités et les modalités d’utilisation du module intitulé « liste de surveillance ETIAS ». Le paragraphe 2 définit les droits d’accès aux données incluses dans le module « liste de surveillance ETIAS » en précisant, d’une part, que ces données ne sont accessibles qu’aux seules autorités visées à l’article 3, à l’exclusion du personnel autorisé du ministère ayant l’Immigration dans ses attributions et de la Direction de la santé, et, d’autre part, que le personnel autorisé de l’
ministration des douanes et accises, de la Police grand-ducale et du Service de renseignement de l’État ne peut accéder qu’aux seules données introduites pour le compte de l’autorité dont il relève. Le paragraphe 3 établit les obligations du personnel autorisé de l’
ministration des douanes et accises, de la Police grand-ducale et du Service de renseignement de l’État pour assurer l’exactitude des données dans le module « liste de surveillance ETIAS », tel que requis par l’article 35, paragraphe 6, du règlement (UE) 2018/1240. Il convient dans ce contexte de noter que les entrées « draft LU » que les membres du personnel autorisé peuvent sauvegarder au niveau national sans qu’elles soient reflétées dans la liste de surveillance ETIAS, font l’objet d’une durée de conservation de quatorze jours. 3
Le paragraphe 1er définit le contenu et les finalités du module intitulé « avis relatif à un dossier de demande ETIAS ». Le paragraphe 2 définit les droits d’accès aux données incluses dans le module « « avis relatif à un dossier de demande ETIAS », en précisant que le personnel autorisé de l’UNE ne peut accéder qu’aux seules données introduites pour le compte de l’autorité dont il relève. Le paragraphe 3 prévoit la possibilité pour certains agents désignés parmi le personnel autorisé du ministère ayant l’Immigration dans ses attributions d’accéder aux données introduites dans le module « avis relatif à un dossier de demande ETIAS » aux fins de prise de décision concernant l’octroi, le refus, l’annulation ou la révocation d’une autorisation de voyage. Les droits d’accès sont gérés de manière que les autres membres du personnel autorisé du ministère ayant l’Immigration dans ses attributions, qui ne sont pas des agents désignés, ne puissent accéder au module que pour émettre un avis sur une demande concernant une personne susceptible de représenter un risque en matière d’immigration illégale. Le paragraphe 4 prévoit que la suppression du dossier de demande dans le système central ETIAS entraîne la suppression des données à caractère personnel concernées dans le module afférent de l’application nationale. Chapitre 4 – Protection des données
Le paragraphe 1er désigne le responsable du traitement pour les données à caractère personnel qui sont traitées dans l’application nationale. Le paragraphe 2 prévoit que les différentes autorités participant à l’UNE sont, en toute logique, chacune responsable pour les traitements de données à caractère personnel effectués dans leurs systèmes de traitement respectifs.
Les traitements de données à caractère personnel opérés dans l'application nationale font l'objet d'une journalisation. Il s'agit de permettre le traçage des traitements de données réalisés afin de pouvoir, le cas 4 échéant, identifier la personne qui a consulté des données, la nature des données consultées ainsi que le moment et la finalité de la consultation. Le paragraphe 2 précise les finalités de cette journalisation. Le paragraphe 3 prévoit la durée minimale pendant laquelle l'unité nationale ETIAS doit conserver les fichiers de journalisation.
art. 9 – 13 En tant que remarque préliminaire, il y a lieu de noter que comme les articles sous rubriques visent à mettre en place des limitations des droits des particuliers en matière de protection des données, ils doivent remplir les dispositions de l’article 23, paragraphe 2 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après désigné par « RGPD ». Il y a donc lieu de spécifier les éléments suivants afin de s’assurer que les limitations se conforment à ces exigences :
équates, pertinentes et limités à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5, paragraphe 1, point c)). Le respect de ce principe diminue alors également, dans une certaine mesure, l’impact sur les droits et libertés des personnes concernées lors de la mise en place d’une limitation de ces droits. Pour ce qui est du droit à l’effacement, il est prévu de restreindre la nécessité d’informer la personne concernée du motif de refus de donner suite à sa demande d’effacement. Une limitation sur le motif du refus d’une demande à l’effacement peut notamment s’avérer nécessaire si la personne introduit une demande à l’effacement sans demande d’accès préalable et que des informations se trouvent dans le système ETIAS, respectivement l’application nationale sans que la personne ne soit au courant d’un traitement de ses données à caractère personnel, à savoir lorsque les données proviennent uniquement de la part des autorités répressives. c) Étendue des limitations (article 23, paragraphe 2, point c)) : L’étendue de la limitation des droits des personnes concernées visés dans le présent projet, varie en fonction de l’évaluation, au cas par cas, des risques que la divulgation d’information présenterait eu égard aux intérêts à protéger. Ainsi, en ce qui concerne les données à caractère personnel auxquelles l’accès est, le cas échéant, refusé, la limitation du droit d’accès peut être partielle ou totale. En ce qui concerne la durée pendant laquelle une limitation des droits des particuliers aux données à caractère personnel est maintenue, les articles concernés autorisent la limitation « aussi longtemps qu’une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée ». Ainsi, il y a lieu de noter que la limitation n’est pas maintenue
vitam aeternam, mais aussi longtemps que le risque le justifie. 6 d) Garanties destinées à prévenir les abus ou l’accès ou le transfert illicites (article 23, paragraphe 2, point d)) : Le projet de loi met en place deux garanties spécifiques pour les limitations en cause. En effet, l’article 12 du présent projet de loi énonce les modalités d’exercice des droits de la personne concernée et la vérification par l’intermédiaire de la Commission nationale pour la protection des données (CNPD). Il s’agit en l’espèce d’une garantie appropriée pour prévenir les abus. Il importe de soulever que l’exercice des droits de la personne concernée par l’intermédiaire de ladite autorité de contrôle fait partie des garanties proposées par le Comité européen de la protection des données (CEPD) en son point 56 de ses lignes directrices 10/2020 sur les restrictions en application de l’article 23 du règlement (UE) 2016/679. Le troisième paragraphe de l’article 9 et le troisième paragraphe de l’article 10 prévoient que l’UNE consigne les motifs de fait ou de droit sur lesquels se fonde la décision de limitation du droit d’accès et que « ces informations sont mises à la disposition de la CNPD sur demande. ». Ainsi, cela donne à la CNPD la possibilité de procéder, à tout moment et même en l’absence de demande de la personne concernée, à des contrôles portant sur la légitimité et la proportionnalité des limitations du droit de fournir les informations relatives à l’exercice des droits de la personne concernée faites par le responsable du traitement, ce qui constitue une garantie supplémentaire pour prévenir les abus. Outre les garanties mises en place par le présent projet, d’autres garanties supplémentaires existent déjà dans la législation actuelle en matière de protection des données pour prévenir des abus ou encore des accès ou transferts illicites. En effet, le responsable du traitement devra s’assurer, afin de prévenir des accès ou des transferts illicites, de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité
apté aux risques en l’espèce, tel que prévu à l’article 32 du RGPD. Vu que le responsable du traitement est déjà tenu au respect de la disposition précitée, une mention dans les articles 9 et 10 semble superfétatoire, même si ces mesures de sécurité constituent des garanties destinées à prévenir les accès et le transfert illicite.
Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.