CONSEIL D’ÉTAT =============== N° CE : 62.139 N° dossier parl. : 8530 Projet de loi relatif à l’accès au service public réglementé offert par le système global de navigation par satellite issu du programme Galileo Avis du Conseil d’État (3 février 2026) En vertu de l’arrêté du 22 avril 2025 du Premier ministre, le Conseil d’État a été saisi pour avis du projet de loi sous rubrique, élaboré par la ministre déléguée auprès du Premier ministre, chargée des Médias et de la Connectivité. Au texte du projet de loi étaient joints un exposé des motifs, un commentaire des articles, une fiche financière, une fiche d’évaluation d’impact, un « check de durabilité – Nohaltegkeetscheck » ainsi que le texte de la décision n° 1104/2011/UE du Parlement européen et du Conseil du 25 octobre 2011 relative aux modalités d’accès au service public réglementé offert par le système mondial de radionavigation par satellite issu du Programme Galileo. L’avis de la Chambre de commerce a été communiqué au Conseil d’État en date du 5 juin
(2)Tout utilisateur du PRS doit disposer d’une habilitation de sécurité du niveau de classification au sens de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité correspondant au niveau de classification de l’équipement ou de la technologie PRS que l’utilisateur est amené à manipuler dans l’exécution de sa tâche, mission ou activité. » S’agissant de l’exigence figurant au paragraphe 2 du texte proposé par le Conseil d’État, le Conseil d’État a constaté que les législations française 4 et belge 5 concernant l’accès au PRS d’accès ne font pas mention d’une telle exigence. Le Conseil d’État estime néanmoins qu’elle est de mise dès lors que l’article 4, paragraphe 1er, de la décision n° 1104/2011/UE prévoit que chaque État membre doit veiller à ce que « [l]es règlements nationaux en matière de sécurité s’appliquent à ses utilisateurs du PRS et à toute personne physique résidant ou à toute personne morale établie sur son territoire qui traite des informations classifiées de l’UE relatives au PRS ». Article 5 (3 selon le Conseil d’État) Le paragraphe 1er de la disposition sous avis prévoit que « [q]uiconque a recours au PRS » doit être titulaire d’une autorisation ministérielle et disposer d’une autorisation de sécurité. Selon le Conseil d’État, cette formule est source d’insécurité juridique en ce qu’elle suggère que l’utilisation du PRS pourrait être possible par tout un chacun. Or, dans le cadre tracé par l’article 3, paragraphe 3, de la décision n° 1104/2011/UE, l’article 4 constitue une énumération limitative des catégories de personnes physiques et morales qui Articles L2323-1 à L2323-6 et R2323-1 à R2323-12 du Code de la défense français. Articles 11bis et 11ter de la loi du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité, telle que modifiée par la loi du 7 avril 2023 et arrêté royal belge du 20décembre 2024 relatif au service public réglementé. 6 4 5 peuvent être autorisées à utiliser le PRS ainsi que des utilisations qui peuvent être faites du PRS 6. Le Conseil d’État demande donc, sous peine d’opposition formelle, de renvoyer expressément aux « personnes physiques et morales visées à l’article 4 » (article 2, paragraphe 1er, selon le Conseil d’État). Ensuite, il n’est pas nécessaire de reprendre à cet endroit l’exigence que la personne autorisée à utiliser le PRS soit détentrice d’une habilitation de sécurité, puisque cette exigence résulte déjà de l’article 4 (article 2, paragraphe 2, selon le Conseil d’État). Outre qu’elle est surabondante, la référence à une « habilitation de sécurité adéquate » est, pour les raisons plus amplement développées à l’endroit de l’article 4, source d’insécurité juridique, de sorte que le Conseil d’État doit s’y opposer formellement. La précision que l’habilitation de sécurité doit être « valide » est sans réel apport, alors qu’il va de soi qu’une habilitation sortie de validité n’a plus d’effets. La réitération de l’exigence d’une habilitation de sécurité est dès lors à omettre. Quant à l’exigence d’une autorisation ministérielle, le Conseil d’État rappelle que l’article 3, paragraphe 3 de la décision n° 1104/2011/UE dispose que « [c]haque État membre qui a recours au PRS décide de manière indépendante […] des catégories de personnes […] qui sont autorisées à être des utilisateurs du PRS [et] des utilisations qui en sont faites […] ». En l’espèce, le projet de loi prévoit que le ministre compétent délivre des autorisations sans indiquer les conditions auxquelles s’effectue la délivrance de ces autorisations. Comme le Conseil d’État l’avait déjà constaté dans son avis précité du 16 mai 2023 portant sur le projet de règlement grand-ducal n° 61.351 relatif à l’accès au service public réglementé (PRS) offert par le système global de navigation par satellite issu du programme Galileo, le texte sous revue touche à une matière réservée à la loi, en l’occurrence l’article 35 de la Constitution, qui garantit la liberté du commerce et de l’industrie. Or, dans les matières réservées à la loi, une autorité administrative ne saurait se voir accorder par le législateur un pouvoir d’appréciation sans limite pour prendre des décisions. La loi doit définir les éléments essentiels de la matière avec une précision suffisante pour écarter tout pouvoir discrétionnaire absolu de la part de l’administration. Il y a partant lieu, sous peine d’opposition formelle, de prévoir explicitement qu’il s’agit d’un pouvoir dérogatoire du ministre ainsi que de l’encadrer par des critères. Fondamentalement, le Conseil d’État suppose que le ministre devra être saisi d’une demande et qu’il ne délivrera pas d’autorisations de sa propre initiative. La demande devra vraisemblablement comporter des éléments et des annexes qui permettront de vérifier que le postulant relève d’une des catégories de personnes visées à l’article 4 (article 2 selon le Conseil d’État) et qu’il dispose de l’habilitation y requise. Elle devra encore décrire l’utilisation que le demandeur souhaite faire du PRS. À l’instar des textes français et belge, la demande devrait aussi être accompagnée d’un engagement formel du demandeur de respecter les mesures de protection et les normes communes minimales et de se soumettre aux contrôles de l’autorité. L’ensemble de ces éléments permettront au ministre de vérifier que les conditions prévues à l’article 4 sont réunies et de délivrer une autorisation délimitant l’utilisation que son détenteur pourra faire du PRS. Comparer : Article R2323-3, point 5°, du Code de la défense français et article 4, alinéa 2, de l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé. 7 6 Pour la rédaction des dispositions afférentes, le législateur luxembourgeois pourrait s’inspirer, avec les adaptations qui sont de rigueur, des dispositions des articles R2323-3 7, R2323-4 8 et R2323-5 9 du Code de la défense français ou encore des articles 3 à 7 de l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé. Le Conseil d’État relève encore que si les auteurs du projet de loi ont prévu que chaque utilisateur du PRS doit, individuellement, demander l’autorisation, les législateurs français et belge ne procèdent pas de la sorte. Ils introduisent tous deux un concept de « communautés d’utilisateurs » agréées ou reconnues, qui sont représentées par une personne, appelée « point de contact » en Belgique, endossant certaines responsabilités, par exemple la tenue d’un registre ou l’obligation d’informer le ministre de tout incident ou de tout changement survenu au niveau de la communauté 10. Le Conseil d’État se demande si une modalité de mise en œuvre similaire n’aurait pas du sens au Luxembourg également, en particulier s’agissant des catégories d’utilisateurs comportant un nombre potentiellement important de membres, comme la Police grand-ducale ou le Corps grand-ducal d’incendie et de secours. Cette question se pose avec d’autant plus d’acuité qu’en vertu de l’article 5, paragraphe 4, lettre a), de la décision n° 1104/2011/UE, l’autorité PRS doit veiller à ce que « les utilisateurs du PRS soient regroupés pour la 7 « Les demandes d’autorisation sont déposées auprès de l’autorité mentionnée à l’article R.1132-3, autorité responsable du service public réglementé. Elles comportent : 1° Les nom, prénom et adresse du demandeur, s’il est une personne physique, ou sa raison sociale ou sa dénomination et l’adresse de son siège social, s’il est une personne morale ; 2° L’objet de la demande et les caractéristiques techniques des équipements et technologies concernés, accompagnés d’une documentation technique ; 3° Les lieux prévus pour l’exercice de l’activité objet de la demande, notamment l’adresse de l’établissement principal et des établissements secondaires concernés ; 4° Selon le type d’autorisation sollicitée au titre de l’article L. 2323-1 :
- a)En cas de demande tendant à l’accès au service public réglementé, la communauté d’utilisateurs représentée par le demandeur ;
- b)En cas de demande tendant au développement et à la fabrication d’équipements conçus pour ce service, y compris l’intégration des modules de sécurité dans d’autres équipements, la communauté d’utilisateurs à laquelle sont destinés ces équipements ;
- c)En cas de demande tendant à l’exportation d’équipements et de technologies conçus pour ce service, la finalité de l’opération, les nom, prénom et adresse du destinataire, s’il est une personne physique, ou sa raison sociale ou sa dénomination et l’adresse de son siège social, s’il est une personne morale, et, le cas échéant, l’adresse de l’établissement destinataire ; 5° L’engagement de respecter les règles de sécurité et de confidentialité inhérentes, selon le cas, à l’accès au service public réglementé ou à la fabrication ou détention des biens et équipements et de se soumettre aux contrôles et audits nécessaires à la vérification du respect des indications fournies dans la demande et des conditions de l’autorisation » (Article R2323-3 du Code de la défense français). 8 « L’autorisation mentionnée à l’article R. 2323-2 indique : 1° Les nom, prénom et adresse du titulaire, s’il est une personne physique, ou sa raison sociale ou sa dénomination et son siège social, s’il est une personne morale, et, le cas échéant, la communauté d’utilisateurs qu’il représente ; 2° L’objet de l’autorisation et, lorsqu'il s’agit d’un accès au service réglementé, sa finalité ; 3° Les lieux d’exercice de l’activité autorisée ; 4° Sa durée de validité. Celle-ci peut être limitée à la réalisation d’une opération ou délivrée pour une durée n’excédant pas cinq ans. L’autorisation est renouvelable selon la même procédure ; 5° Le cas échéant, les conditions ou restrictions dont elle est assortie. Celles-ci peuvent porter sur les caractéristiques techniques ou sur les performances des biens conçus pour le service public réglementé, sur leur destination ou sur leur utilisation finale, sur les aspects commerciaux ou contractuels, ou sur la réalisation d’une opération » (Article R2323-4 du Code de la défense français). 9 « L’autorisation peut être refusée pour des raisons d’ordre public, de défense ou de sécurité nationales, de respect des engagements internationaux de la France ou des normes minimales communes adoptées en application de l’article 8 de la décision du 25 octobre 2011 précitée, notamment en ce qui concerne la sécurité du service public réglementé et la protection des informations relatives à ce service » (Article R2323-5, alinéa 1er, du Code de la défense français). 10 Articles 9 à 11 de l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé. 8 gestion du PRS avec le CSSG », exigence qui semble en opposition avec l’approche individualiste du projet de loi sous examen. Le paragraphe 2 réitère l’obligation d’une « habilitation de sécurité », sans aucune précision quant au niveau requis, pour toute personne qui veut développer ou fabriquer des récepteurs PRS ou des modules de sécurité. Au regard de l’imprécision de la formulation retenue, le Conseil d’État doit s’opposer formellement au paragraphe 2, au motif de l’insécurité juridique. Le Conseil d’État se demande si une personne qui fabrique ou développe des récepteurs PRS ou des modules de sécurité n’est pas nécessairement un « utilisateur du PRS » au sens de l’article 2 de la décision n° 1104/2011/UE. Si tel est le cas, le paragraphe 2 pourrait être simplement omis. Toujours au paragraphe 2, la précision que le paragraphe sous examen s’applique « sans préjudice des dispositions prévues à l’article 6 » est dénuée de plus-value normative. En effet, il va de soi que l’article 6, qui prévoit une autorisation individuelle pour toute entité opérant sur ou depuis le territoire luxembourgeois souhaitant développer ou fabriquer des récepteurs PRS ou des modules de sécurité, trouve à s’appliquer en l’espèce. Le paragraphe 3 précise que toute personne « autorisé[e] à utiliser sur ou depuis le territoire luxembourgeois un ou des récepteurs PRS est exempt[e] de l’obligation de disposer d’une habilitation de sécurité ». Cette disposition se trouve en contradiction avec l’article 4 et le paragraphe 1er de l’article 5 qui imposent tous deux que l’utilisateur du PRS doit disposer d’une habilitation de sécurité. L’incohérence qui résulte de ces contradictions constitue une violation du principe de sécurité juridique, de sorte que le Conseil d’État doit s’opposer formellement à la disposition sous avis. Article 6 (4 selon le Conseil d’État) La disposition sous avis prévoit les modalités de délivrance des autorisations pour le développement ou la fabrication des récepteurs PRS ou des modules de sécurité. Le Conseil d’État comprend que cette disposition vise à mettre en œuvre l’article 5, paragraphe 5, de la décision n° 1104/2011/UE. Le Conseil d’État fait observer que l’article cité ne prescrit pas la mise en place d’un mécanisme d’autorisation national puisqu’il se contente de demander à l’État de veiller à ce qu’aucune activité de développement ou de fabrication de récepteurs PRS ou de modules de sécurité ne soit poursuivie sans que les deux conditions qu’il énonce – détention d’une autorisation délivrée au niveau européen et respect des décisions du Conseil d’homologation de sécurité, des « normes minimales communes » de l’article 8 et du point 2 de l’annexe de la décision n° 1104/2011/UE – soient remplies. Il constate toutefois qu’aussi bien le législateur français 11, que le législateur belge 12 ont choisi d’organiser cette vigilance sous la forme d’un régime d’autorisation, de sorte que l’approche des auteurs ne souffre pas de critique sur le principe. Article L2323-1 du Code de la défense français. Article 11bis de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité, telle que modifiée par la loi du 7 avril 2023 et arrêté royal du 20 décembre 2024 relatif au service public réglementé. 9 11 12 Cependant, les auteurs ont omis, à la différence des législateurs français et belge, de doubler le régime d’autorisation d’un véritable mécanisme de vigilance, pourtant nécessaire pour que le ministre puisse effectivement veiller à ce que ceux qui se prêtent à une activité de développement ou de fabrication de récepteurs PRS ou de modules de sécurité « se conforme[nt] à la fois aux décisions du conseil d’homologation de sécurité, à l’article 8 et au point 2 de l’annexe de la décision n° 1104/2011/UE ». Le réexamen quinquennal des autorisations ainsi que la faculté de révocation de ces dernières prévue au paragraphe 3 ne constituent, aux yeux du Conseil d’État, pas des mesures de contrôle répondant à l’exigence de surveillance imposée par la décision n° 1104/2011/UE précitée. Au vu de cette lacune, le Conseil d’État doit s’opposer formellement à l’article sous examen au motif qu’il n’assure pas une mise en œuvre complète de la décision n° 1104/2011/UE. À titre de comparaison, en France, la demande d’autorisation doit comporter l’engagement « de se soumettre aux contrôles et audits nécessaires à la vérification du respect des indications fournies dans la demande et des conditions de l’autorisation » 13. La loi belge autorise également l’autorité compétente à procéder à des contrôles et inspections 14. Le paragraphe 2 prévoit que les autorisations font l’objet d’un réexamen « au moins tous les cinq ans ». Le Conseil d’État se doit de souligner à cet égard que, dans les matières réservées à la loi, en l’occurrence par l’article 35 de la Constitution qui garantit la liberté du commerce et de l’industrie, une autorité administrative ne saurait se voir accorder par le législateur un pouvoir d’appréciation sans limite pour prendre des décisions, ce qui est le cas lorsqu’aucune périodicité claire n’est fixée pour la réalisation desdits examens. En effet, si le réexamen doit intervenir au moins tous les cinq ans, l’absence de cadre temporel précis ouvre la voie à des pratiques qui pourraient consister à soumettre certaines entités à un réexamen annuel et d’autres à un réexamen, par exemple, seulement tous les trois ou cinq ans. Il y a partant lieu, sous peine d’opposition formelle, de fixer un délai précis dans lequel il sera procédé à un réexamen. À cet égard, le Conseil d’État donne également à considérer qu’une solution alternative pourrait consister à retenir l’approche adoptée par les législateurs français et belge qui, au lieu de prévoir des réexamens périodiques, ont établi une durée de validité des autorisations ne pouvant excéder cinq ans 15. Le Conseil d’État note que le paragraphe 2 relatif à la révision quinquennale des autorisations ne vise que les autorisations de fabrication d’« équipements PRS ». Le Conseil d’État comprend que cette notion englobe à la fois les récepteurs PRS et les modules de sécurité mentionnés au paragraphe 1er. Il demande aux auteurs de s’en tenir à la terminologie que consacre la décision n° 1104/2011/UE et de reprendre expressément les termes employés au paragraphe 1er. Si, au contraire, d’autres équipements sont visés, ceux-ci devraient alors être désignés de manière explicite afin d’éviter toute ambiguïté. Le paragraphe 3 prévoit enfin la possibilité pour le ministre d’imposer, en cas de notification d’incident, des mesures correctrices au titulaire de Article R2323-3 du Code de la défense français. Article 11bis de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité et articles 15 et 16 de l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé. 15 Article R2323-4 du Code de la défense français et article 6 de l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé. 10 13 14 l’autorisation. Il est ajouté que le non-respect desdites mesures peut entraîner le retrait de l’autorisation. Le Conseil d’État donne à considérer que les possibilités ainsi ouvertes au ministre constitueront nécessairement une ingérence dans la liberté du commerce et de l’industrie garantie par l’article 35 de la Constitution. Sous cet aspect, le Conseil d’État doit relever que les limitations permises dans l’exercice de cette liberté ne sont pas encadrées par le dispositif sous avis. En effet, ni la nature des mesures correctrices envisageables ni les modalités relatives au délai imparti ne sont définies. Par conséquent, le Conseil d’État doit s’opposer formellement au paragraphe 3 sous avis et demande, en cas de maintien de la compétence dévolue au ministre, que celle-ci soit dûment encadrée. Concernant la notion d’« incident de sécurité », le Conseil d’État signale que l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé comporte une définition qui pourrait utilement être insérée dans la loi luxembourgeoise 16. Article 7 (5 selon le Conseil d’État) En vertu de l’article 9 de la décision n° 1104/2011/UE, « les exportations, en dehors de l’Union, d’équipements, de technologie ou de logiciels relatifs à l’utilisation et au développement du PRS et à la fabrication destinée à celui-ci ne sont autorisées que conformément à l’article 8 et au point 3 de l’annexe », en exécution des accords qui ont admis un pays tiers ou une organisation internationale comme usager du PRS ou en exécution d’un accord concernant les modalités d’hébergement et de fonctionnement des stations de référence du système Galileo. L’article 5, paragraphe 6, de la décision assigne dans ce contexte aux autorités PRS un « rôle d’interface pour les entités nationales compétentes en matière de restrictions à l’exportation », et ce « afin de garantir l’application des dispositions de l'article 9 ». À défaut d’indiquer par quels moyens concrets le ministre « veille à » assurer le respect de ces dispositions, la disposition sous examen omet de mettre en œuvre la décision n° 1104/2011/UE, de sorte que le Conseil d’État doit s’y opposer formellement. Le Conseil d’État constate que les législateurs français et belge ont retenu l’option de soumettre les « transferts » d’équipements, de technologie ou de logiciels conçus pour le service PRS vers le territoire d’un autre État membre à un régime de déclaration 17, tandis que les « exportations » vers les pays tiers sont soumises à un régime d’autorisation préalable 18. S’il était jugé souhaitable de laisser le pouvoir de décision entre les mains des autorités qui assument normalement le contrôle des exportations, il conviendrait « Action ou négligence, délibérée ou non, contraire aux dispositions de la convention internationale applicable ou de la règlementation de l’Union européenne, de la loi, du présent arrêté et des directives du Conseil national de sécurité à cet égard, par laquelle des informations classifiées ou des services et moyens auxiliaires sont effectivement ou potentiellement mis en péril » (Article 1er, 8° de l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé). 17 Article L2323-2 du Code de la défense français et article 25, paragraphe 1er, alinéa 3, de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité. 18 Article L2323-1, al. 1er, du Code de la défense français et article 25, paragraphe 1er, alinéa 1er, point 3°, de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité. 11 16 d’envisager une modification de la loi du 27 juin 2018 relative au contrôle des exportations. Article 8 (6 selon le Conseil d’État) Le paragraphe 1er prévoit la possibilité pour le ministre de suspendre l’autorisation pour l’utilisation du PRS en cas de non-respect des normes minimales communes de l’annexe de la décision n° 1104/2011/UE, ou de non-respect des « conditions relatives à l’autorisation visée à l’article 5 ». S’agissant de l’alinéa 1er, le Conseil d’État considère que la référence aux « conditions relatives à l’autorisation visée à l’article 5 » est source d’insécurité juridique, alors que l’article 5 du projet de loi ne prévoit pas – dans sa version projetée – de telles conditions. Considérant l’insécurité juridique inhérente au dispositif sous avis, le Conseil d’État doit formellement s’y opposer. Il doit encore s’opposer formellement au texte en projet sur le fondement de la sécurité juridique au motif que la référence aux normes minimales communes qui sont censées figurer à l’annexe de la décision n° 1104/2011/UE est source d’insécurité juridique en ce que l’annexe ne mentionne pas les normes minimales communes devant être respectées, mais se limite à identifier les domaines que ces normes doivent couvrir. Le Conseil d’État demande à cet égard de viser plutôt « les normes minimales communes adoptées en application de l’article 8 et de l’annexe de la décision n° 1104/2011/UE ». Le Conseil d’État donne aussi à considérer que les « conditions » que les utilisateurs doivent respecter ne sont pas strictement limitées à celles reprises dans l’autorisation individuelle délivrée sur le fondement de l’article 5, paragraphe 1er, en projet. L’article 5, paragraphe 4, de la décision n° 1104/2011/UE fait obligation à l’État de « veille[r] à ce que l’utilisation du PRS soit conforme à l’article 8 et au point 1 de l’annexe », c’est-à-dire au respect des « normes minimales communes ». Le paragraphe 1er s’expose ainsi à une seconde opposition formelle dans la mesure où il n’assure pas une mise en œuvre complète de la décision n° 1104/2011/UE. Le Conseil d’État signale dans ce contexte que le Code de la défense français dispose que « les autorisations délivrées en application du présent article peuvent être […] abrogées, retirées, modifiées ou suspendues en cas de manquement du titulaire aux conditions spécifiées dans l’autorisation ou lorsque le respect des engagements internationaux de la France, la protection du service public réglementé ou celle des intérêts essentiels d’ordre public ou de sécurité publique le justifient » 19. La loi belge prévoit quant à elle que l’Autorité nationale de sécurité « peut refuser, modifier, suspendre ou retirer les autorisations visées à l’alinéa 1er pour des raisons d’ordre public, de sécurité nationale ou de défense, de respect d’engagements internationaux et des normes minimales communes telles que fixées à l’article 8 de la Décision 1104/2011/UE » 20. La mise en œuvre est aussi incomplète, justifiant là encore une opposition formelle, en ce que les dispositions permettant au ministre d’assumer concrètement sa mission de vigilance font défaut dans la loi en Article L2323-1, al. 1er, du Code de la défense français. Article 25, paragraphe 1er, alinéa 2, de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité. 12 19 20 projet. Celle-ci devrait en effet être complétée par une disposition comparable à l’article 11bis, paragraphe 3, de la loi belge précitée du 11 décembre 1998, qui prévoit que l’autorité compétente « peut procéder à des contrôles et inspections pour vérifier si les conditions visées au paragraphe 1er, alinéa 2, sont remplies » 21. Le Conseil d’État fait observer que tant le législateur français que le législateur belge ont érigé la prise d’un engagement formel de respecter les normes minimales et la soumission formelle à des contrôles en condition d’obtention de l’autorisation. Le Code de la défense français prévoit que la demande d’autorisation doit être accompagnée d’un « engagement de respecter les règles de sécurité et de confidentialité inhérentes, selon le cas, à l’accès au service public réglementé ou à la fabrication ou détention des biens et équipements et de se soumettre aux contrôles et audits nécessaires à la vérification du respect des indications fournies dans la demande et des conditions de l’autorisation » 22. L’arrêté royal belge dispose que « lors de la demande, un engagement écrit est également pris à respecter les mesures de protection et les normes minimales communes et à se soumettre au contrôle de l’Autorité nationale de Sécurité afin de vérifier le respect des conditions en vigueur en matière de service public réglementé. Le modèle de cet engagement écrit est mis à disposition par l’Autorité nationale de Sécurité » 23. À l’alinéa 2, le Conseil d’État demande, sous peine d’opposition formelle sur le fondement de l’atteinte à la sécurité juridique, que la notion d’« agent dûment habilité » soit précisée. Le Conseil d’État se demande aussi s’il est judicieux de faire définir les mesures correctrices par le ministre. Dès lors qu’on est, par définition, dans l’hypothèse d’un non-respect des conditions de l’autorisation ou des normes minimales communes, un ordre de se mettre en conformité devrait être suffisant. À l’alinéa 3, il est prévu qu’un délai supplémentaire de trente jours « peut » être accordé par le ministre sur demande dûment motivée de l’entité concernée. La suspension de l’autorisation dont il est question constituant une restriction à la liberté du commerce et de l’industrie, un tel pouvoir discrétionnaire ne saurait valablement être accordé sans que les critères devant guider le ministre dans sa prise de décision d’accorder ou non un délai supplémentaire de mise en conformité soient spécifiés dans la loi. En conséquence du non-respect de l’article 35 de la Constitution, le Conseil d’État s’oppose formellement à la disposition sous avis et demande que le pouvoir du ministre d’accorder un délai supplémentaire soit encadré. Ce faisant, il propose, en ce qui concerne l’alinéa 3, d’adopter le libellé qui suit : « Sur demande dûment motivée, le ministre accorde un délai supplémentaire de trente jours ». Article 9 (7 selon le Conseil d’État) Article 25, paragraphe 3, de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité. Voir aussi l’article R2323-8, alinéa 2 (« Le titulaire de l’autorisation transmet à l’autorité responsable toutes pièces justificatives lui permettant de s’assurer du respect des conditions de l’autorisation. ») et alinéa 3 (« Des inspections, contrôles ou audits, sur pièces ou sur place, peuvent être organisés par cette autorité pour vérifier la cohérence entre, d’une part, les autorisations détenues, les conditions et restrictions dont elles sont assorties et les registres tenus par leurs titulaires et, d’autre part, les informations et pièces justificatives transmises à l’administration ou sollicitées par cette dernière. »). 22 Article R2323-3, point 5°, du Code de la défense français. 23 Article 4, alinéa 2, de l’arrêté royal belge du 20 décembre 2024 relatif au service public réglementé. 13 21 L’article 15 de la décision n° 1104/2011/UE prévoit que les États membres doivent prévoir un régime de sanctions « applicables aux violations des dispositions nationales adoptées en application de la présente décision ». La disposition sous examen entend réprimer toute « perturbation ou utilisation non-conforme du signal PRS […] d’une des peines prévues aux articles 509-1 à 509-7 du Code pénal ». Indépendamment des questions qui seront examinées par la suite, elle est à l’évidence trop restrictive, car en ne visant que la perturbation et l’utilisation non-conforme du signal satellitaire, elle laisse sans sanction l’éventuel exercice illégal d’une activité de développement ou de fabrication de récepteurs ou de modules de sécurité. Le Conseil d’État doit donc d’emblée s’opposer au texte en projet en premier lieu au motif qu’il n’assure pas une mise en œuvre complète de la décision n° 1104/2011/UE. Il recommande à cet égard aux auteurs de s’inspirer de l’article L. 2323-4 du Code de la défense français 24 ou de l’article 11ter de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité 25. De plus, le Conseil d’État doit s’opposer formellement au libellé de la disposition sous examen au motif qu’elle ne définit aucunement les infractions considérées. Or, selon la jurisprudence constante de la Cour constitutionnelle relative à l’ancien article 14, devenu l’article 19 de la Constitution, le principe de la légalité des peines implique la nécessité de définir dans la loi les éléments constitutifs des infractions en des « termes suffisamment clairs et précis pour exclure l’arbitraire et permettre aux intéressés de mesurer exactement la nature et le type des agissements sanctionnés » 26. À cet égard, les notions de « perturbation » et d’« utilisation non-conforme », employées pour définir l’infraction, étant entachées d’imprécision, contreviennent au principe de la spécification de l’incrimination. De surcroît, la disposition sous examen encourt encore une autre opposition formelle. En effet, le renvoi à « une des peines prévues aux articles 509-1 à 509-7 du Code pénal » ne permet en effet pas de déterminer laquelle des peines prévues aux articles précités est encourue en cas de « perturbation » ou d’« utilisation non-conforme du PRS ». Cette imprécision porte manifestement atteinte au principe de la légalité des peines, qui exige que les peines soient suffisamment déterminées, à l’effet de permettre à tout justiciable commettant un fait pénalement répréhensible de mesurer la nature et la portée des sanctions, le cas échéant, encourues 27. Article 10 (8 selon le Conseil d’État) « Est puni d'une amende de 200 000 € le fait de se livrer à une activité définie à l'article L. 2323-1 : 1° Sans autorisation ; 2° Sans respecter les conditions ou restrictions dont est assortie l'autorisation mentionnée au même article L. 2323-1. La tentative des délits prévus aux trois premiers alinéas du présent article est punie des mêmes peines » (Article L. 2323-4 du Code de la défense français). 25 « Est puni d’un emprisonnement de six mois à cinq ans et d’une amende de cent euros à dix mille euros ou d’une de ces peines seulement, celui qui mène une activité visée à l’article 11bis, § 1er, alinéa 1er, sans autorisation de l’Autorité Nationale de Sécurité ou sans respecter les conditions liées à l’autorisation de l’Autorité Nationale de Sécurité » (Article 11ter de la loi belge modifiée du 11 décembre 1998, relative à la classification et aux habilitations, attestations et avis de sécurité). 26 Cour constitutionnelle, arrêts n° 138/18 du 6 juin 2018 (Mém. A - n° 459 du 8 juin 2018), nos 134/18 et 135/18 du 2 mars 2018 (Mém. A - nos 198 et 199 du 20 mars 2018) et n° 43/07 du 14 décembre 2007 (Mém. A - n° 1 du 11 janvier 2008). 27 Cour constitutionnelle, arrêt n° 122/16 du 27 mai 2016, (Mém. A n° 97 du 2 juin 2016, p. 1826). 14 24 L’article sous examen prévoit que « [t]out incident de sécurité concernant le PRS et impliquant soit un utilisateur, ou une entité PRS doit être notifié endéans les vingt-quatre heures au ministre, qui informera la Commission européenne ainsi que l’Agence de l’Union européenne pour le programme spatial et l’Autorité nationale de sécurité ». S’agissant de la notion d’« incident de sécurité », le Conseil d’État note que l’arrêté royal belge précité du 20 décembre 2024 définit et différencie les concepts d’« incident de sécurité » et de « compromission », le premier visant une contravention aux règles tandis que le second vise une situation où des données ont effectivement été mises en péril. Le Conseil d’État comprend que cette distinction repose sur le document C-M