Projet de loi portant transposition de la directive (UE) 2023/1544 du Parlement européen et du Conseil du 12 juillet 2023 établissant des règles harmo

(1)La présente loi établit des règles relatives à la désignation d’établissements désignés et de représentants légaux des fournisseurs de services qui proposent des services dans l’Union européenne visés à l’article 2, points 5, 7 et 8, pour la réception, le respect et l’exécution des décisions et des injonctions émises par les autorités compétentes des États membres de l’Union européenne aux fins de l’obtention de preuves électroniques dans le cadre de procédures pénales.

(2)La présente loi s’applique aux décisions et aux injonctions visant à obtenir des preuves électroniques sur la base du règlement (UE) 2023/1543, de la directive 2014/41/UE et de la Convention établie par le Conseil conformément à l’article 34 du traité sur l’Union européenne. Elle s’applique aussi aux décisions visant à obtenir des preuves électroniques sur la base du droit national qui sont adressées par les autorités nationales à une personne physique ou morale agissant en qualité d’établissement désigné ou de représentant légal d’un fournisseur de services sur le territoire du Grand-Duché de Luxembourg.

(3)La présente loi est sans préjudice des pouvoirs des autorités nationales découlant du droit de l’Union européenne et du droit national de s’adresser directement aux fournisseurs de services établis sur le territoire du Grand-Duché de Luxembourg aux fins de l’obtention de preuves électroniques dans le cadre de procédures pénales. Page 1 sur 7

(4)La présente loi ne s’applique pas aux fournisseurs de services qui sont établis sur le territoire du Grand-Duché de Luxembourg et qui proposent des services exclusivement sur le territoire de ce dernier. Art. 2. Définitions Aux fins de la présente loi, on entend par : 1° « Convention établie par le Conseil conformément à l’article 34 du traité sur l’Union européenne » : la Convention établie par le Conseil conformément à l'article 34 du traité sur l'Union européenne, relative à l'entraide judiciaire en matière pénale entre les États membres de l'Union européenne ; 2° « directive 2014/41/UE » : la directive 2014/41/UE du Parlement européen et du Conseil du 3 avril 2014 concernant la décision d'enquête européenne en matière pénale ; 3° « établissement » : une entité qui exerce de manière effective une activité économique pendant une durée indéterminée au moyen d’une infrastructure stable à partir de laquelle l’activité de fourniture de services est réalisée ou à partir de laquelle l’activité est gérée ; 4° « établissement désigné » : un établissement doté de la personnalité juridique désigné par écrit par un fournisseur de services établi dans un État membre participant à un instrument juridique visé aux points 1°, 2° et 10°, aux fins visées à l’article 1er, paragraphe 1er, et à l’article 4, paragraphe 1er ; 5° « fournisseur de services » : toute personne physique ou morale qui fournit une ou plusieurs des catégories de services suivants, à l’exception des services financiers visés à l’article 2, paragraphe 2, point b), de la directive 2006/123/CE du Parlement européen et du Conseil du 12 décembre 2006 relative aux services dans le marché intérieur:

1. a)des services de communications électroniques tels qu’ils sont définis à l’article 2, point 4), de la directive (UE) 2018/1972 du 11 décembre 2018 établissant le code des communications électroniques européen ;
2. b)des services d’attribution de noms de domaine sur l’internet et de numérotation IP, tels que l’attribution d’adresses IP, les services du registre de noms de domaine, les services du bureau d’enregistrement de noms de domaine et les services d’anonymisation et d’enregistrement fiduciaire liés aux noms de domaine ;
3. c)d’autres services de la société de l’information visés à l’article 1er, paragraphe 1er, point b), de la directive (UE) 2015/1535 du 9 septembre 2015 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information, qui :
4. i)permettent à leurs utilisateurs de communiquer entre eux ; ou
5. ii)permettent de stocker ou de traiter d’une autre manière des données pour le compte des utilisateurs auxquels le service est fourni, à condition que le stockage des données soit une composante déterminante du service fourni à l’utilisateur. 6° « ILR » : l’Institut luxembourgeois de régulation ; 7° « proposer des services sur le territoire du Grand-Duché de Luxembourg » : Page 2 sur 7
6. a)permettre aux personnes physiques ou morales au Grand-Duché de Luxembourg d’utiliser les services énumérés au point 5 ; et
7. b)avoir un lien substantiel, fondé sur des critères factuels spécifiques, avec le Grand-Duché de Luxembourg ; un tel lien substantiel est réputé exister lorsque le fournisseur de services dispose d’un établissement au Grand-Duché de Luxembourg ou, en l’absence d’un tel établissement, lorsqu’il existe un nombre significatif d’utilisateurs au Grand-Duché de Luxembourg ou lorsqu’il existe un ciblage des activités sur ce dernier ; 8° « proposer des services dans l’Union européenne » :
8. a)permettre aux personnes physiques ou morales dans un État membre de l’Union européenne d’utiliser les services énumérés au point 5 ; et
9. b)avoir un lien substantiel, fondé sur des critères factuels spécifiques, avec l’État membre visé au point a); un tel lien substantiel est réputé exister lorsque le fournisseur de services dispose d’un établissement dans un État membre ou, en l’absence d’un tel établissement, lorsqu’il existe un nombre significatif d’utilisateurs dans un ou plusieurs États membres ou lorsqu’il existe un ciblage des activités sur un ou plusieurs États membres; 9° « règlement n° 1 du Conseil » : le règlement n° 1 portant fixation du régime linguistique de la Communauté européenne ; 10° « règlement (UE) 2023/1543 » : le règlement (UE) 2023/1543 du Parlement européen et du Conseil du 12 juillet 2023 relatif aux injonctions européennes de production et aux injonctions européennes de conservation concernant les preuves électroniques dans le cadre des procédures pénales et aux fins de l’exécution de peines privatives de liberté prononcées à l’issue d’une procédure pénale ; 11° « représentant légal » : toute personne physique ou morale désignée par écrit par un fournisseur de services qui n’est pas établi dans un État membre participant à un instrument juridique visé aux points 1°, 2° et 10°, aux fins visées à l’article 1er, paragraphe 1er, et à l’article 4, paragraphe 1er. Art. 3. Autorité centrale

(1)L’Institut luxembourgeois de régulation (ILR) est l’autorité centrale aux fins de l’application de la présente loi. L’ILR surveille le respect des obligations imposées aux fournisseurs de services, aux établissements désignés et aux représentants légaux prévues aux articles 4 à 7.

(2)Pour l’accomplissement de ses missions, l’ILR peut requérir à tout moment tout document, information ou attestation de la part d’un fournisseur de services établi ou proposant des services sur le territoire du Grand-Duché de Luxembourg, d’un établissement désigné établi sur le territoire du Grand-Duché de Luxembourg ou d’un représentant légal résidant sur le territoire de ce dernier, lui permettant de vérifier le respect des obligations visées aux articles 4 à 7.

(3)L’ILR est autorisé à échanger des informations avec les autorités administratives nationales compétentes qui détiennent des informations nécessaires à l’accomplissement de sa mission au sens de la présente loi. Dans la mesure où la divulgation d’informations implique le traitement de données à caractère personnel, tout traitement de telles données par les autorités nationales respecte les exigences énoncées dans le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril Page 3 sur 7 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.

(4)Sans préjudice de l’article 23, paragraphe 2, du Code de procédure pénale, l’ILR transmet aux autorités judiciaires, à leur demande, les informations obtenues dans l’exercice de ses missions et susceptibles d’être utiles dans le cadre d’une action pénale en matière correctionnelle ou criminelle. Sans préjudice de l’article 8 du Code de procédure pénale, les autorités judiciaires peuvent transmettre à l’ILR les informations susceptibles d’être utiles dans le cadre de l’accomplissement de ses missions.

(5)Pour l’accomplissement de ses missions, l’ILR se coordonne et coopère avec les autorités centrales des autres États membres de l’Union européenne ainsi que, le cas échéant, avec la Commission européenne. Dans ce cadre, l’ILR peut transmettre toute information utile aux autorités centrales des autres États membres et prête son assistance à ces dernières. La coordination, la coopération, la transmission d’informations et la fourniture d’assistance concernent, en particulier, les mesures d’exécution ainsi que les sanctions visées à l’article 8.

(6)L’ILR informe chaque année la Commission européenne des cas de fournisseurs de services qui n’ont pas respecté les obligations visées aux articles 4 à 7, des mesures d’exécution prises à leur encontre et des sanctions imposées. Art. 4. Conditions relatives à la désignation d’établissements désignés et de représentants légaux

(1)Les fournisseurs de services qui proposent des services dans l’Union européenne désignent au moins un établissement désigné ou représentant légal pour la réception, le respect et l’exécution des décisions et injonctions visant à obtenir des preuves électroniques émises par les autorités compétentes des États membres sur la base des instruments juridiques visés à l’article 1er, paragraphe 2, conformément aux règles établies par les paragraphes 2 à 4 du présent article.

(2)Les fournisseurs de services établis au Grand-Duché de Luxembourg et dotés de la personnalité juridique, qui proposent des services dans l’Union européenne, à l’exception de ceux qui proposent des services exclusivement sur le territoire du Grand-Duché de Luxembourg, désignent le ou les établissements désignés responsables pour la réception, le respect et l’exécution des décisions et injonctions visées au paragraphe 1er.

(3)Les fournisseurs de services qui sont dotés de la personnalité juridique et qui, soit sont établis sur le territoire d’un État membre de l’Union européenne qui ne participe pas aux instruments juridiques visés à l’article 1er, paragraphe 2, soit ne sont pas établis dans l’Union européenne, et qui proposent des services sur le territoire du Grand-Duché de Luxembourg, désignent le ou les représentants légaux responsables pour la réception, le respect et l’exécution des décisions et injonctions visées au paragraphe 1er dans les États membres de l’Union européenne participant aux instruments juridiques visés à l’article 1er, paragraphe 2.

(4)Les établissements désignés et les représentants légaux visés aux paragraphes 2 et 3 doivent être établis ou résider dans un État membre de l’Union européenne où le fournisseur de services propose ses services et dans lequel l’établissement désigné ou le représentant légal puisse faire l’objet de procédures d’exécution. Page 4 sur 7

(5)Les décisions et injonctions visées au paragraphe 1er sont adressées à l’établissement désigné ou au représentant légal, désigné conformément au présent article. Art. 5. Obligations et modalités de notification

(1)Les fournisseurs de services visés à l’article 1er établis sur le territoire du Grand-Duché de Luxembourg ou proposant des services sur le territoire de ce dernier, à l’exception de ceux qui proposent des services exclusivement sur le territoire du Grand-Duché de Luxembourg, notifient par écrit à l’autorité centrale de l’État membre de l’Union européenne dans lequel son établissement désigné est établi ou dans lequel son représentant légal réside, les coordonnées de contact de cet établissement désigné ou de ce représentant légal, ainsi que toutes les autres informations requises.

(2)Les fournisseurs de services visés à l’article 1er qui désignent un établissement désigné établi ou un représentant légal résidant au Grand-Duché de Luxembourg notifient les coordonnées de contact de cet établissement désigné ou de ce représentant légal à l’ILR, ainsi que toutes les autres informations requises, en utilisant le formulaire prévu à cet effet. Le formulaire visé à l’alinéa 1er est disponible sur le site internet de l’ILR.

(3)La notification visée aux paragraphes 1er et 2 précise la ou les langues officielles de l’Union européenne, visées dans le règlement n°1 du Conseil, dans lesquelles il est possible de s’adresser au représentant légal ou à l’établissement désigné. Ces langues comprennent obligatoirement une ou plusieurs des langues officielles prévues par le droit national de l’État membre dans lequel l’établissement désigné est établi ou dans lequel le représentant légal réside.

(4)Lorsqu’un fournisseur de services désigne plusieurs établissements désignés ou plusieurs représentants légaux conformément à l’article 4, il précise, dans la notification visée aux paragraphes 1er et 2, la portée territoriale précise de la désignation de ces établissements désignés ou de ces représentants légaux. La notification précise la ou les langues officielles de l’Union européenne ou des États membres dans lesquelles il est possible de s’adresser à chacun des établissements désignés ou des représentants légaux.

(5)Les fournisseurs de services mettent régulièrement à jour leurs notifications et informent l’ILR de toute modification des données et informations notifiées conformément au présent article, y compris les coordonnées de contact des établissements désignés ou des représentants légaux, la portée territoriale de la désignation de ces derniers ou les langues acceptées par ces derniers.

(6)L’ILR peut refuser les notifications incomplètes ou qui ne respectent pas les dispositions des paragraphes 2 à 5.

(7)Les données et informations notifiées conformément au présent article sont publiées sur une page internet dédiée du Réseau judiciaire européen en matière pénale. Elles peuvent également être publiées sur le site internet de l’ILR. Art. 6. Délais pour l’obligation de notification

(1)L’obligation de notification visée à l’article 5, paragraphes 1 à 4, doit intervenir au plus tard le 18 août 2026 pour les fournisseurs de services qui proposent des services au 18 février 2026. Page 5 sur 7

(2)Pour les fournisseurs de services qui commencent à proposer des services après le 18 février 2026, l’obligation de notification visée à l’article 5, paragraphes 1 à 4, doit intervenir dans un délai de six mois à compter de la date à laquelle le fournisseur de services commence à proposer des services dans l’Union européenne. Art. 7. Relations entre les fournisseurs de services et les établissements désignés ou représentants légaux

(1)Les fournisseurs de services établis sur le territoire du Grand-Duché de Luxembourg ou y proposant des services, à l’exception de ceux qui proposent des services exclusivement sur le territoire du GrandDuché de Luxembourg, dotent leurs établissements désignés ou représentants légaux des pouvoirs ou ressources nécessaires afin de permettre à ces derniers de :

1. a)se conformer aux décisions et injonctions visant à obtenir des preuves électroniques reçues par les autorités compétentes nationales et étrangères sur la base des instruments juridiques visés à l’article 1er, paragraphe 2 ; et
2. b)de coopérer avec les autorités compétentes nationales et étrangères lorsqu’ils reçoivent ces décisions et injonctions.

(2)L’ILR peut requérir à tout moment tout document, information ou attestation de la part de l’établissement désigné établi sur le territoire du Grand-Duché de Luxembourg ou du représentant légal résidant sur le territoire de ce dernier lui permettant de vérifier que l’établissement désigné ou le représentant légal a reçu les pouvoirs et ressources nécessaires visés au paragraphe 1er.

(3)Pour l’application des sanctions prévues à l’article 8, les établissements désignés ou les représentants légaux et le fournisseur de services concerné sont tenus solidairement du non-respect des obligations prévues aux articles 4 à 7, de sorte que chacun d’entre eux puisse être soumis aux sanctions prévues à l’article 8 en cas de manquement de l’un d’entre eux. Le fournisseur de services, l’établissement désigné ou le représentant légal, ne peuvent invoquer l’absence de procédures internes appropriées entre eux pour justifier le non-respect des obligations prévues aux articles 4 à 7. Art. 8. Sanctions

(1)Lorsque l’ILR constate une violation des obligations prévues à l’article 4, paragraphes 1er à 4, l’article 5, paragraphes 1 à 5, l’article 6 et l’article 7, paragraphes 1er et 2, il peut frapper le fournisseur de services, l’établissement désigné ou le représentant légal concernés d’une amende d’ordre pouvant s’élever jusqu’à 1.000.000 euros. En cas de récidive, le maximum de l’amende d’ordre peut être doublé.

(2)En outre, l’ILR peut prononcer, soit à la place, soit en sus de l’amende d’ordre, l’une ou plusieurs des sanctions administratives suivantes à l’égard du fournisseur de services, l’établissement désigné ou le représentant légal concernés : 1° l’avertissement ; 2° le blâme. Page 6 sur 7

(3)En cas de constatation d’un fait susceptible de constituer un manquement visé au paragraphe 1er, l’ILR engage une procédure contradictoire dans laquelle le fournisseur de services, l’établissement désigné ou le représentant légal concernés ont la possibilité de consulter le dossier et de présenter leurs observations écrites ou verbales. À l’issue de la procédure contradictoire, l’ILR peut prononcer à l’encontre du fournisseur de services, l’établissement désigné ou le représentant légal concernés une ou plusieurs des sanctions visées aux paragraphes 1er ou 2.

(4)Les décisions prises par l’ILR à l’issue de la procédure contradictoire sont motivées et notifiées au fournisseur de services, à l’établissement désigné ou au représentant légal concernés.

(5)L’ILR peut assortir ses décisions d’une astreinte dont le montant journalier se situe entre 200 euros et 2.000 euros. Le montant de l’astreinte tient notamment compte de la capacité économique de l’entreprise concernée et de la gravité du manquement constaté.

(6)Les sanctions prononcées par l’ILR peuvent faire l’objet d’une publication.

(7)Un recours en réformation est ouvert devant le tribunal administratif contre les décisions prises par l’ILR dans le cadre du présent article.

(8)La perception des amendes d’ordre prononcées par l’ILR est confiée à l’Administration de l’enregistrement, des domaines et de la TVA. Art. 9. Budget L’ILR bénéficie d’une contribution financière à charge du budget de l’État afin de couvrir l’intégralité des frais de fonctionnement qui résultent de l’exercice des missions prévues par la présente loi. Page 7 sur 7