COUR SUPÉRIEURE DE JUSTICE DU GRAND-DUCHÉ DE LUXEMBOURG *** Cité Judiciaire Bâtiment CR L-2080 LUXEMBOURG Avis de la Cou

COUR SUPÉRIEURE DE JUSTICE DU GRAND-DUCHÉ DE LUXEMBOURG *** Cité Judiciaire Bâtiment CR L-2080 LUXEMBOURG Avis de la Cour supérieure de Justice concernant le projet de loi n° 8584 relatif à l’introduction d’un système de reconnaissance automatique des plaques d’immatriculation des véhicules et modifiant la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat En date du 25 juillet 2025, la Cour supérieure de Justice (ci-après la « Cour ») a été sollicitée pour rendre un avis sur le projet de loi relatif à l'introduction d'un système de reconnaissance automatique des plaques d’immatriculation des véhicules et modifiant la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’Etat approuvé par le Conseil de gouvernement dans sa séance du 11 juillet 2025. Le présent projet prévoit d’introduire un système de contrôle automatique des plaques d'immatriculation des véhicules (« ANPR ») principalement destiné à la prévention et à la lutte contre la criminalité grave et le terrorisme. Dans la mesure où l’ANPR enregistre, sans distinctions, les données signalétiques de tous les véhicules qui passent dans le champ de vision d’une caméra, il est indéniable qu’un tel procédé a une incidence en matière de protection des données à caractère personnel. En effet, outre les principes posés par la Constitution luxembourgeoise et la Déclaration des droits de l’homme ou la jurisprudence européenne et repris par les auteurs du projet, il ressort encore de la jurisprudence de la Cour européenne des droits de l’homme que « La protection des données à caractère personnel joue un rôle fondamental pour l 'exercice du droit au respect de la vie privée et familiale consacré par l 'article 8 de la Convention. La législation interne doit donc ménager des garanties appropriées pour empêcher toute utilisation de données à caractère personnel qui ne serait pas conforme aux garanties prévues dans cet article (...). La nécessité de disposer de telles garanties se fait d’autant plus sentir lorsqu 'il s 'agit de protéger les données à caractère personnel soumises à un traitement automatique, en particulier lorsque ces données sont utilisées à des fins policières. Le droit interne doit notamment assurer que ces données soient pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées, et qu'elles soient conservées sous une forme permettant l'identification des 1 personnes concernées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées (...). [Il] doit aussi contenir des garanties de nature à protéger efficacement les données à caractère personnel enregistrées contre les usages impropres et abusifs (...). » (S. et Marpcr c. Royaume-Uni, arrêt (Grande Chambre) du 4 décembre 2008, § 103). Il est donc important de veiller à ce que ces limites soient respectées par le dispositif de reconnaissance automatique des plaques d'immatriculation des véhicules. Or, l’article 2 du projet de loi définit et limite les finalités pour lesquelles les données et informations collectées par les caméras peuvent être traitées par le système ANPR. Cette collecte est ainsi expressément limitée à la prévention, la recherche, la constatation et la poursuite d’infractions terroristes ou de formes graves de criminalité. Ce faisant, les mesures sont limitées à une finalité précise dont les enjeux dépassent celui du simple intérêt privé. L’article 3 du projet de loi prévoit que les données à caractère personnel et informations enregistrées et traitées seront : la photographie de la plaque d’immatriculation ; le numéro d'immatriculation ; la photographie du véhicule, du conducteur et éventuellement des passagers ; le jour et l'heure du passage de la plaque d’immatriculation ; le lieu où ont été collectées les données ; ainsi que pour les équipements mobiles, les identifiants des membres de la Police ayant paramétré ces équipements. Ce faisant, les données à caractère personnel collectées semblent pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées. En outre, l’article 5 du projet de loi limite l’accès direct aux données collectées à certains agents de la Police, de l’Administration des douanes et accises (ADA) et du Service de renseignement de l’Etat uniquement. Ce faisant, l’accès aux données se trouve encore d’avantage limité. Enfin, le projet de loi dispose de limites temporelles. D'abord, l'article 6 du projet de loi prévoit un délai de 28 jours endéans lequel les données à caractère personnel et informations collectées sont effacées automatiquement et de manière définitive du fichier ANPR si elles n’ont donné lieu à aucun rapprochement positif. Ensuite, dans une moindre mesure, l’article 1er prévoit également que si l'usage des dispositifs fixes installés sur le réseau routier et autoroutier est permanent, les dispositifs mobiles sont quant à eux destinés à un usage temporaire. Ce faisant, les données à caractère personnel et informations ne sont collectées et enregistrées que pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées. En outre, il est prévu que les usagers de la route soient informés de manière claire et permanente de l’existence du système ANPR (article 7) et que le traitement des données à caractère personnel dans le cadre de la présente loi soit effectué conformément aux dispositions de la loi du 11 août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (article 8). Ce faisant, le projet de loi introduit des mesures de nature à garantir les droits et la protection des données à caractère personnel enregistrées contre les usages impropres et abusifs. 2 Dès lors, dans la mesure où la Cour constate que l’introduction d’un système de reconnaissance automatique des plaques d’immatriculation tel que proposée par le projet de loi est expressément défini et limité tant dans ces finalités que dans tous les aspects de sa mise en pratique (opération, intervenants, durée de conservation des données...) et que la protection des données à caractère personnel est en sus garantie par l’application de la loi du 11 août 20 18, la Cour n'a pas d’objections à formuler à ce projet de loi. Luxembourg, le 5 décembre 2025 Le Président de la Cour supérieure de Justice £ 3