Commentaire des articles Ad article 1er L’article 1er du présent projet de loi définit l’objet et le champ d’application de la loi, portant transposition de l’article 1er de la directive (UE) 2023/1544. Les dispositions du présent projet de loi établissent des règles relatives à la désignation d’établissements désignés et de représentants légaux des fournisseurs de services qui proposent des services dans l’Union européenne qui sont chargés de recevoir et d’exécuter les injonctions émises par les autorités compétentes des États membres de l’Union européenne aux fins de l’obtention de preuves électroniques dans le cadre de procédures pénales (paragraphe 1er). Le projet de loi s’applique aux décisions visant à obtenir des preuves électroniques sur la base 1) du règlement (UE) 2023/1543 du Parlement européen et du Conseil du 12 juillet 2023 relatif aux injonctions européennes de production et aux injonctions européennes de conservation concernant les preuves électroniques dans le cadre des procédures pénales et aux fins de l’exécution de peines privatives de liberté prononcées à l’issue d’une procédure pénale, 2) de la directive 2014/41/UE du Parlement européen et du Conseil du 3 avril 2014 concernant la décision d'enquête européenne en matière pénale et 3) de la Convention établie par le Conseil conformément à l'article 34 du traité sur l'Union européenne, relative à l'entraide judiciaire en matière pénale entre les États membres de l'Union européenne, de même que sur la base 4) du droit national lorsque les autorités nationales s’adressent à une personne physique ou morale agissant en qualité d’établissement désigné ou de représentant légal d’un fournisseur de services sur le territoire du Grand-Duché de Luxembourg (paragraphe 2). Cependant, lorsque les autorités nationales émettent une décision visant à obtenir des preuves électroniques à un fournisseur de services établi au Grand-Duché de Luxembourg, les dispositions du droit national restent applicables et permettent ainsi aux autorités nationales de s’adresser directement au fournisseur de services précité (paragraphe 3). Les fournisseurs de services établis sur le territoire du Grand-Duché de Luxembourg et qui proposent des services exclusivement sur le territoire de ce dernier, ne sont pas visés par les dispositions de la directive (UE) 2023/1544 et donc du présent projet de loi, de sorte qu’ils ne sont pas soumis à l’obligation de désigner un établissement désigné (paragraphe 4). Ad article 2 L’article 2 de la présente loi apporte la définition des termes utilisés dans le projet de loi et transpose ainsi l’article 2 de la directive (UE) 2023/1544. Il convient de noter que la notion de « preuves électroniques » n’est pas définie par les dispositions de l’article 2 de la directive (UE) 2023/1544, contrairement au règlement (UE) 2023/1543, l’article 3 Page 1 sur 6 duquel apporte une définition de la notion précitée. Il s’ensuit que la définition précitée de ces termes se limite à l’application des dispositions du règlement (UE) 2023/1543. Ad article 3 L’article 3 du présent projet procède à la désignation de l’Institut luxembourgeois de régulation (ILR) en tant qu’autorité centrale aux fins de l’application des dispositions du projet de loi et prévoit les missions de ce dernier (paragraphe 1er). Il transpose l’article 6 de la directive (UE) 2023/1544. Le paragraphe 2 permet à l’ILR de requérir tout document ou information de la part des fournisseurs de services qui peuvent s’avérer nécessaire pour contrôler l’application des dispositions du projet de loi qui imposent des obligations aux fournisseurs de services. Dans l’accomplissement de ses missions, l’ILR pourra être amené à coopérer avec les autres autorités nationales compétentes en matière de contrôle, de surveillance et de régulation de différents aspects en relation avec les fournisseurs de services concernés. Le paragraphe 3 prévoit ainsi l’échange d’informations entre l’ILR et les autorités nationales administratives qui détiennent les informations nécessaires pour mener à bien les missions prévues par le présent projet de loi. Le paragraphe 4 prévoit la transmission d’informations entre l’ILR et les autorités judiciaires, permettant à l’ILR de transmettre aux autorités judiciaires, à leur demande, des informations susceptibles d’être utiles dans le cadre d’une procédure pénale en matière correctionnelle ou criminelle visant un fournisseur de services qui n’a pas respecté les obligations prévues par le règlement (UE) 2023/1543, sans préjudice de l’article 23, paragraphe 2, du Code de procédure pénale, lorsque l’ILR acquiert la connaissance d’un crime ou d’un délit dans le cadre de ses missions. De même, les autorités judiciaires peuvent transmettre à l’ILR des informations susceptibles d’être utiles afin d’accomplir ses missions, tel que p.ex. si une injonction demandant la fourniture de preuves électroniques n’a pas pu être adressée à un fournisseur de services à défaut d’avoir désigné un représentant légal ou établissement désigné. Le paragraphe 5 prévoit la coordination et coopération de l’ILR avec les autorités centrales des autres pays de l’Union européenne, afin de s’échanger et de se prêter mutuellement assistance dans le cadre de l’exécution et l’application cohérente de la directive (UE) 2023/1544. Cette coopération entre autorités centrales sera de mise surtout dans le cas de fournisseurs de services établis en dehors de l’Union européenne qui proposent leurs services dans plusieurs États membres de l’Union européenne, ces derniers étant dans ce cas soumis à la législation de plusieurs États membres en cas de défaillance de l’obligation de désignation d’un représentant légal. Le paragraphe 6 transpose l’article 5, dernière phrase, de la directive (UE) 2023/1544, qui prévoit la transmission d’informations relatives aux cas de fournisseurs de services défaillants, aux mesures d’exécution et aux sanctions imposées à l’encontre de ces derniers. Page 2 sur 6 Ad article 4 L’article 4 du présent projet de loi transpose l’article 3 de la directive (UE) 2023/1544 qui règle les conditions relatives à la désignation des établissements désignés et représentants légaux que les fournisseurs de services doivent respecter (paragraphe 1er). Les conditions applicables diffèrent en fonction de l’établissement du fournisseur de services concerné, ainsi que du territoire sur lequel ce dernier offre ses services. Ainsi, les fournisseurs de services établis au Grand-Duché de Luxembourg, qui proposent des services dans l’Union européenne, y compris le Luxembourg, doivent désigner un établissement désigné pour la réception, le respect et l’exécution des décisions et injonctions leur transmises en vertu des dispositions du règlement (UE) 2023/1543 (paragraphe 2). L’établissement désigné est défini à l’article 2 du présent projet de loi comme un établissement doté de la personnalité juridique établi dans un État membre participant à la directive 2014/41/UE, à la Convention établie par le Conseil conformément à l’article 34 du traité sur l’Union européenne et au règlement (UE) 2023/1543. A noter que le Luxembourg participe à chacun des instruments juridiques précités, cependant conformément aux règles établies par la directive (UE) 2023/1544, les fournisseurs de services établis au Luxembourg sont libres de désigner leur établissement désigné dans un autre pays de l’Union européenne, tant que ce dernier participe aux instruments juridiques de l’Union européenne précités. Cet article transpose ainsi l’article 3, paragraphe 1er, lettre
- a)de la directive (UE) 2023/1544. Le paragraphe 2, à l’instar de l’article 5, paragraphe 1er et de l’article 7, paragraphe 1er, du présent projet de loi, rappelle en outre que les fournisseurs de services qui sont établis et qui proposent des services exclusivement sur le territoire du Grand-Duché de Luxembourg, sont exempts des dispositions de la présente loi. Les fournisseurs de services précités ne peuvent pas recevoir d’injonctions de production ou de conservation de preuves électroniques en vertu du règlement (UE) 2023/1543. Ainsi, les autorités compétentes étrangères qui requièrent la production ou la conservation de preuves électroniques de la part des fournisseurs de services nationaux concernés doivent transmettre leur demande par un des instruments classiques de la coopération judiciaire en matière pénale, tel qu’une décision d’enquête européenne. Le paragraphe 3 quant à lui s’applique aux fournisseurs de services qui, soit sont établis sur le territoire d’un État membre de l’Union européenne qui ne participe pas aux instruments juridiques précités, soit ne sont pas établis dans l’Union européenne, et qui dans les deux cas proposent des services sur le territoire du Grand-Duché de Luxembourg. Ces fournisseurs de services doivent désigner un représentant légal, défini comme toute personne physique ou morale désignée par un fournisseur de services qui n’est pas établi dans un État membre participant à un des instruments juridiques de l’Union européenne visés à l’article 1er, paragraphe 2, de la directive, dans un État membre de l’Union européenne participant à chacun des trois instruments juridiques précités. Page 3 sur 6 Le paragraphe 3 porte ainsi transposition de l’article 3, paragraphe 1er, lettres
- b)et
- c)de la directive (UE) 2023/1544. En effet, l’autorité centrale luxembourgeoise doit également veiller au respect des dispositions légales par les fournisseurs de services qui ne sont pas établis au Grand-Duché de Luxembourg, mais qui proposent des services sur son territoire, étant rappelé que le fournisseur de services est libre de désigner son représentant légal dans n’importe quel État membre de l’Union européenne qui participe aux trois instruments juridiques précités. Le paragraphe 4 précise que l’établissement désigné ou le représentant légal doivent être établis ou résider dans un État membre de l’Union européenne où le fournisseur de services propose ses services et dans lequel l’établissement désigné ou le représentant légal puisse faire l’objet de procédures d’exécution, afin de s’assurer que les sanctions prises à l’encontre de l’établissement désigné ou du représentant légal en vertu de l’article 5 de la directive (UE) 2023/1544 puissent être effectivement exécutées. Le paragraphe 4 transpose ainsi l’article 3, paragraphe 2, lettres
- a)et
- b)de la directive. Le paragraphe 5 du présent projet de loi, portant transposition de l’article 3, paragraphe 3 de la directive, prévoit finalement que les injonctions de production ou de conservation, de même que les décisions y relatives, doivent être adressées à l’établissement désigné ou au représentant légal désignés conformément aux dispositions du présent projet de loi. Ad article 5 L’article 5 du présent projet de loi transpose l’article 4 de la directive (UE) 2023/1544 relatif à la notification par les fournisseurs de services de leur établissement désigné ou représentant légal. Le paragraphe 1er consacre l’obligation pour les fournisseurs de services concernés de notifier par écrit les coordonnées de contact de leur établissement désigné ou représentant légal, ainsi que toutes les autres informations requises, à l’autorité centrale de l’État membre de l’Union européenne dans lequel leur établissement est établi ou dans lequel leur représentant légal réside. Les fournisseurs de services sont donc obligés de se manifester directement auprès de l’autorité centrale concernée, sachant qu’ils sont libres de désigner leur représentant légal ou établissement désigné dans un pays de l’Union européenne de leur choix, tant que les conditions prévues par l’article 3 de la directive sont respectées. Le paragraphe 1er transpose l’article 4, paragraphe 1er, de la directive. Le paragraphe 2 dispose que les fournisseurs de services qui décident de désigner un établissement désigné établi ou un représentant légal résidant au Luxembourg doivent notifier les coordonnées de contact de ces derniers à l’ILR, ainsi que toutes les autres informations requises, en utilisant le formulaire prévu à cet effet. La notification se fait par le biais d’un formulaire élaboré par la Commission européenne postérieurement à l’adoption de la directive (UE) 2023/1544, dans un souci de garantir une application uniforme de la méthode et forme de notification. Le formulaire n’étant pas prévu par la directive, son utilisation est en principe volontaire, sauf si la législation nationale de l’État membre dans lequel l’établissement désigné est établi ou dans lequel le représentant légal réside en dispose autrement. Page 4 sur 6 Il est proposé de rendre l’utilisation du formulaire précité obligatoire pour les fournisseurs de services qui souhaitent désigner leur représentant légal ou établissement désigné au Luxembourg. La notification à l’ILR se fera ainsi par le biais de ce formulaire, disponible sur le site internet de l’ILR. Un formulaire unique permettra de collecter de manière cohérente et uniforme toutes les informations nécessaires que les fournisseurs de services doivent fournir dans leur notification. Le paragraphe 3 du projet de loi règle le régime des langues dans lesquelles les autorités compétentes peuvent adresser leurs injonctions ou décisions à l’établissement désigné ou au représentant légal, sachant que les langues notifiées doivent comprendre au moins une des langues officielles prévues par le droit national de l’État membre dans lequel l’établissement désigné est établi ou dans lequel le représentant légal réside. Le paragraphe 4 transpose l’article 4, paragraphe 2, de la directive (UE) 2023/1544. Suivant la directive, les fournisseurs de services peuvent désigner un ou plusieurs établissements ou représentants dans plusieurs pays de l’Union européenne, qui sont en charge de la réception et de l’exécution des décisions et injonctions reçues. L’obligation de notifier la portée territoriale précise en cas de désignation de plusieurs établissements désignés ou de représentants légaux, ainsi que le régime de langues applicables, est prévue par le paragraphe 4 du présent projet de loi. Les paragraphes 5 et 7 transposent l’article 4, paragraphe 4, de la directive concernant la publication des notifications opérées et l’obligation des fournisseurs de services de mettre à jour régulièrement leurs notifications, respectivement d’informer l’ILR de toute modification des données et informations précédemment notifiées lorsque l’établissement désigné ou le représentant légal est établi ou réside au Luxembourg. Le paragraphe 6 dispose que les notifications qui ne respectent pas les conditions prévues aux paragraphes 2 à 5 peuvent être refusées par l’ILR. Ad article 6 L’article 6 du présent projet de loi fixe les délais endéans lesquels les fournisseurs de services doivent s’accomplir de leur obligation de notification initiale prévue par l’article 5, paragraphes 1 à 4 du projet de loi, en fonction de la date à laquelle ils proposent ou commencent à proposer leurs services dans l’Union européenne. Cet article transpose l’article 3, paragraphe 6, de la directive (UE) 2023/1544. Ad article 7 L’article 7 du présent projet de loi met en œuvre l’article 3, paragraphes 4 et 5, de la directive (UE) 2023/1544, qui impose aux fournisseurs de services établis sur le territoire du Grand-Duché de Luxembourg ou y proposant des services de doter leurs établissements désignés ou représentants légaux des pouvoirs ou ressources nécessaires qui leurs permettront à se conformer aux décisions et injonctions visant à obtenir des preuves électroniques, ainsi que de coopérer avec les autorités compétentes nationales et étrangères lorsqu’ils reçoivent ces décisions et injonctions (paragraphe 1er). Page 5 sur 6 En effet, l'absence de telles mesures ou les lacunes y relatives ne devraient pas servir de motifs pour justifier le non-respect des décisions ou injonctions relevant du champ d’application du présent projet de loi. Ainsi, ni les fournisseurs de services, ni les établissement désignés ou représentants légaux ne devraient pouvoir justifier le non-respect des obligations découlant de la présente loi en invoquant l’absence ou l’inefficacité de procédures internes ou l’absence d’une habilitation à fournir les données demandées (paragraphe 4). A cette fin, le paragraphe 3 dispose que les établissements désignés ou les représentants légaux et le fournisseur de services concerné sont tenus solidairement du non-respect des obligations prévues par le présent projet de loi. Ainsi, chacun d’entre eux peut faire l’objet des sanctions prévues à l’article 8 en cas de manquement de l’un d’entre eux, tant qu’il ne s’agit pas d’actions ou omissions qui constituent une infraction pénale. L’ILR pourra à tout moment requérir tout document ou information pertinents de la part de l’établissement lui permettant de vérifier que l’établissement désigné ou le représentant légal a reçu les pouvoirs et ressources nécessaires précités (paragraphe 2). Ad article 8 L’article 8 du présent projet de loi transpose l’article 5 de la directive (UE) 2023/1544 relatif aux sanctions à prévoir en cas de manquements des obligations prévues par le projet de loi. Il s’inspire largement de l’article 33 de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques quant au contenu, aux procédures et seuil de l’amende. Ad article 9 L’ILR étant une autorité de régulation indépendante dont les activités sont majoritairement financées par les redevances de certaines catégories de fournisseurs de services, il convient de prévoir d’une contribution financière à charge du budget de l’État luxembourgeois afin de couvrir l’intégralité des frais de fonctionnement qui résultent de l’exercice des missions prévues par le présent projet de loi. L’article 9 du présent projet de loi reprend la formulation prévue à l’article 5 de la loi modifiée du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale. Page 6 sur 6