Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8489 portant : 1° transpositi

Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8489 portant : 1° transposition :

1. a)de la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil ;
2. b)de la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l'Union relatives à la protection des données à caractère personnel ; 2° modification de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière Délibération n°73/AV6/2025 du 16 juillet 2025 1. Conformément à l’article 46.1.
3. c)de la directive (UE) n°2016/680 du 27 avril 2016 relative à la protection des personnes physique à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après la « Directive »), à laquelle se réfère l'article 8 de la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données (ciaprès la « loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données »), la Commission nationale pour la protection des données (ci-après la « Commission nationale » ou la « CNPD »), « conseille la Chambre des députés, le Gouvernement et d’autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement des données personnelles ». 2. Par courrier en date du 27 janvier 2025, Monsieur le Ministre des Affaires intérieures a invité la Commission nationale à se prononcer sur le projet de loi n°8489 portant : 1° transposition :
4. a)de ” CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8489 portant : 1° transposition :
5. a)de la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil ;
6. b)de la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l'Union relatives à la protection des données à caractère personnel ; 2° modification de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d’informations en matière policière 1/8 la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil;
7. b)de la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l'Union relatives à la protection des données à caractère personnel; 2° modification de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière (ci-après le « projet de loi »). 3. Selon l’exposé des motifs, le projet de loi vise à transposer en droit national deux directives européennes, d’une part la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l’échange d’informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil, (ci-après la « directive (UE) 2023/977 »), et d’autre part, la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel (ci-après la « directive (UE) 2023/2123 »). La transposition de ces deux textes engendre la modification de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière (ci-après la « loi du 22 février 2018 »). 4. La Commission nationale formulera ci-après ses remarques quant aux dispositions du projet de loi qui soulèvent des problématiques ayant trait à la protection des données à caractère personnel. I. Remarques liminaires 5. Le projet de loi sous avis vise à encadrer l’échange de données à caractère personnel et d’informations dans le cadre de la coopération policière. Un tel échange constitue, par sa nature, une ingérence dans le droit au respect de la vie privée et à la protection des données personnelles, tels que garantis par les articles 20 et 31 de la Constitution luxembourgeoise, ainsi que par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne (ci-après « la Charte »). 6. Il convient toutefois de rappeler que ces droits fondamentaux ne sont pas absolus. Conformément aux articles 37 de la Constitution et 52.1 de la Charte, des limitations peuvent leur être apportées, CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8489 portant : 1° transposition :
8. a)de la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil ;
9. b)de la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l'Union relatives à la protection des données à caractère personnel ; 2° modification de la loi du 22 février 2018 relative à l’échange de données à caractère personnel et d'informations en matière policière 2/8 à condition qu’elles soient prévues par la loi, qu’elles respectent le contenu essentiel de ces droits et qu’elles répondent au principe de proportionnalité. Selon ce principe, les limitations doivent être strictement nécessaires et répondre à des objectifs d'intérêt général ou à la protection des droits et libertés d'autrui. 7. Par ailleurs, la CNPD tient à rappeler que la loi modifiée du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale s’applique aux traitements envisagés par le présent projet de loi. Dès lors, toute ingérence dans les droits précités doit être prévue par une norme de droit accessible, suffisamment précise et prévisible quant à ses effets, afin de garantir la sécurité juridique des personnes concernées. Elle doit, en outre, être nécessaire dans une société démocratique et respecter le principe de proportionnalité. 8. La Commission nationale se rallie aux observations du Contrôleur européen de la protection des données (le «CEPD») selon lequel les autorités répressives ont besoin de disposer des meilleurs outils techniques et juridiques possibles pour remplir leurs tâches, notamment la détection, la prévention et l’enquête des infractions et d’autres menaces à la sécurité publique.1 En effet, la directive (UE) 2023/977 vise précisément à actualiser le cadre juridique applicable à l'échange de données personnelles entre les services répressifs des États membres de l'Union européenne, afin de renforcer l’efficacité de leur coopération. À cet égard, les auteurs du projet de loi précisent que « la transposition de la [. . .] directive permet à la Police grand-ducale et à /'Administration des douanes et accises d’améliorer l’échange d’informations avec les services répressifs des autres État membres » soit via le point de contact unique, soit directement entre les services répressifs compétents. II. Les informations accessibles au point de contact unique 9. Le paragraphe 3 de l’article 3 du projet de loi, qui transpose l’article 14, paragraphe 3, point a), sous-point i), de la directive (UE) 2023/977, va au-delà du libellé du texte européen en ce qui concerne les informations accessibles au point de contact unique. Alors que la directive précitée limite cet accès aux seules données détenues par les autorités répressives compétentes, à 1 EDPS, Avis 5/2022 sur la proposition de directive relative à l’échange d’informations entre les services répressifs des États membres, 7 mars 2022, p.7, disponible sous : https://www.edps.europa.eu/system/files/202204/2022 03 07 opinion fr O.pdf CNPD ' 1•: cowissiON NAllCMAlE »Cj« .A rioicciiON OfSDONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8489 portant : 1° transposition :
10. a)de la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil ;
11. b)de la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l'Union relatives à la protection des données à caractère personnel ; 2° modification de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière 3/8 savoir, la Police grand-ducale et l’Administration des douanes et accises2, le projet de loi élargit cette portée aux informations détenues par « les agents publics luxembourgeois disposant de la qualité d’officier de police judiciaire en vertu d’une disposition légale particulière ». 10. Il convient de rappeler que conformément au principe de minimisation des données, inscrit à l’article 3 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, seules les données nécessaires au regard des finalités poursuivies peuvent être traitées. En l’espèce, il y a lieu de regretter que les auteurs du projet de loi ne fournissent pas d'explications sur les motifs justifiant l’extension de l’accès aux informations détenues par les agents publics luxembourgeois disposant de la qualité d’officier de police judiciaire. 11. À cet égard, la Commission nationale se rallie aux observations formulées par le Conseil d’État dans son avis du 3 juin 2025, selon lesquelles cette disposition excède les limites fixées par le législateur européen3. III. Les catégories de données 12. L’article 10.
12. b)de la directive (UE) 2023/97 dispose que « les catégories de données à caractère personnel communiquées par catégorie de personnes concernées restent limitées à celles énumérées à l’annexe II, section B, du règlement (UE) 2016/794 et soient nécessaires et proportionnées aux fins de la demande ». 13. Le considérant 23 de la directive (UE) 2023/97 précise encore « que toutes les données à caractère personnel échangées par les points de contact uniques et les services répressifs compétents restent limitées aux catégories de données par catégorie de personnes concernées énumérées à l’annexe II, section B, du règlement (UE) 2016/794. » 2 V. art. 2 du projet de loi qui ajoute un art. 1bis libellé comme suit : « Art.1bis Pour l’application de la présente loi et aux fins des échanges entre la Police grand-ducale et l’Administration des douanes et accises d’une part, et les entités prévues à l’article 1er points 1) et 2), d’autre part, on entend par : 1° « services répressifs compétents » : la Police grand-ducale et l’Administration des douanes et accises, dans la mesure où cette dernière traite des données à caractère personnel et des informations en exécution de ses missions de police administrative ou judiciaire dans les limites de ses compétences légales [...] » 3 Avis du Conseil d’Etat n° 62.058 du 3 juin 2025, doc.parl. 8489/01, p.3-4. CNPD MortcnoN OrSDONNEES Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 8489 portant : 1° transposition :
13. a)de la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l'échange d'informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil ;
14. b)de la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l'Union relatives à la protection des données à caractère personnel ; 2° modification de la loi du 22 février 2018 relative à l'échange de données à caractère personnel et d'informations en matière policière 4/8 14. À cet égard, la CNPD note que la directive (UE) 2023/977 du 10 mai 2023 établit un cadre harmonisé pour l'échange d'informations entre les autorités répressives des États membres, dans le but de prévenir, détecter ou enquêter sur des infractions pénales. Ainsi, le champ des données pouvant faire l’objet d’un échange transfrontalier reste strictement encadré et se limite aux données personnelles concernant les personnes soupçonnées d’avoir commis une infraction ou participé à une infraction relevant de la compétence d’Europol, ou qui ont été condamnées pour une telle infraction, ou des personnes pour lesquelles il existe des indices concrets ou de bonnes raisons de croire, au regard du droit national de l'État membre concerné, qu’elles commettront des infractions pénales relevant de la compétence d’Europol4. 15. En effet, le projet de loi transpose cette exigence en droit national. L’article 12 bis