Projet de loi portant création d’une plateforme commune de transmission électronique sécurisée, article 3 paragraphe 2. 5 Avis de l’Autorité de contrô

AVIS DE L’AUTORITÉ DE CONTRÔLE JUDICIAIRE créée par la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale sur le projet de loi n° 7424 portant création d’une plateforme de transmission électronique sécurisée et modification : 1° du Code de procédure pénale ; 2° de la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat. Introduction L’Autorité de contrôle judiciaire (ci-après désignée « l’ACJ »), instituée par l’article 40 de la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale transposant la Directive (UE) 2016/680 du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée « la directive 2016/680 »), « conseille la Chambre des députés, le Gouvernement et d’autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et des libertés des personnes physiques à l 'égard du traitement » conformément à l’article 42, paragraphe 1, lettre c), de ladite loi dans les limites de ses compétences prévues à l’article 40, paragraphe 2, à savoir en ce qui concerne les « opérations de traitement de données à caractère personnel effectuées par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles », que ce soit pour des finalités visées à l’article 1er de la loi du 1er août précédemment citée ou pour celles visées par le règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (ci-après désigné « le RGPD »). L’ACJ a été saisie le 4 novembre 2024 par Madame la Ministre d’une demande d’avis concernant des amendements parlementaires au projet de loi n° 7424 portant création d’une plateforme commune de transmission électronique sécurisée. Il s’agit du second avis de l’ACJ concernant le projet de loi en question. 1 Le présent avis de l’ACJ portera d’une part sur l’amendement proposé (I) et sur le projet de loi d’autre part, en particulier quant à l’absence de la désignation d un responsable du traitement (II). A. Quant à l’amendement proposé L’ACJ constate que l’amendement qui lui est soumis pour avis a pris en compte certains éléments qu’elle a soulevés dans son premier avis

1. En effet, la durée de conservation des logs est prolongée, passant 12 mois à 5 ans 2 et la reprise des éléments de l’article 67-1 du Code de procédure pénale directement dans l’article 43-1 alinéa 4 3 apporte plus de précisions et partant, renforce la sécurité juridique. Elle n’a pas d’autres observations à formuler. B. Quant à l’absence de désignation d’un responsable du traitement dans le projet de loi Néanmoins, l’ACJ ne souhaite pas uniquement limiter son second avis à l’amendement proposé. En effet, l’ACJ relève une lacune du projet de loi sous avis, à savoir l’absence de désignation du responsable du traitement des données figurant sur la plateforme commune de transmission électronique sécurisée. L’ACJ s’interroge quant à une telle omission dans la mesure où même le sous-traitant de la plateforme est spécifiquement mentionné dans le projet de loi, à savoir le Centre des technologies de l’information de l’État 4 (ci-après désigné « le CTIE »). L’importance de prévoir la responsabilité du traitement apparaît en filigrane dans le premier avis de l’ACJ, dans le cadre des développements sur la nécessité de séparer les démarches des autorités judiciaires et celles du Service de renseignement de l’Etat et l’importance de veiller au strict respect de cette séparation5, et l’observation subséquente« [...] que les autorités judiciaires et le service de renseignement restent responsables de traitement des données qu 'ils traitent conformément aux dispositions de la loi du 1er août 2018 relative à la protection des données à caractère personnel en matière pénale ainsi qu 'en matière de sécurité nationale »6 . L’ACJ se pose les questions suivantes : comment la responsabilité des traitements estelle envisagée en l’espèce ? Qui est chargé de mettre en place des mesures organisationnelles et de mesures de sécurité inhérentes à la plateforme ? Qui sera chargé de répondre aux demandes d’informations et demandes d’accès des personnes 1 Avis de l’Autorité de contrôle judiciaire en matière de protection des données à caractère personnel du 20.08.
2. 2 Ibidem, p.
3. 3 Ibidem, p.
4. 4 Projet de loi portant création d’une plateforme commune de transmission électronique sécurisée, article 3 paragraphe
5. 5 Avis de l’Autorité de contrôle judiciaire en matière de protection des données à caractère personnel du 20.08.2019, p.l. 6 Ibidem, p.3 2 concernées ? Est-ce que les autorités judiciaires et les Services de renseignements seront responsables, chacun de son côté, des traitements effectués ou est-ce qu’une responsabilité conjointe est-elle envisagée (ce qui paraît toutefois difficile à mettre en place et à gérer) ? Comment la séparation entre les autorités judiciaires et les Services de renseignements est-elle techniquement envisagée ? Il ne fait aucun doute que la définition du format et des formalités de la transmission des données collectées, à opérer dans un règlement grand-ducal comme le prévoit l’article 3, paragraphe 5, du projet de loi, pourrait répondre à une partie des interrogations ci-dessus. L’ACJ comprend que ce dernier fait toujours défaut 7 . Pour pouvoir se prononcer de façon définitive sur la compatibilité du mécanisme prévu avec la législation sur la protection des données personnelles, l’ACJ demande à pouvoir disposer du projet de ce règlement grand-ducal. Luxembourg, le 17 octobre 2025 Pour l’Autorité de contrôle judiciaire, de Üe président, ,ierry HOSCHEIT 7 Ibidem, p.
6. 3