Projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par le Service de

(3)lettre (e) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 »), la Commission nationale pour la protection des données (ci-après designee « la Commission nationale » ou «la CNPD ») a notamment pour mission d'«être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi». Par courrier du 8 juin 2016, Monsieur le Premier Ministre a invité la Commission nationale à se prononcer au sujet du projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par le Service de renseignement de l'État, règlement à prendre en exécution de la loi ultérieure du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etatl. Par la suite, la CNPD a rendu son avis relatif au projet de règlement grand-ducal pris en exécution de la future loi portant réorganisation du Service de Renseignement de lEtat et au projet de règlement grand-ducal pris en exécution de la loi du 15 juin 2004 relatif aux modalités de traitement des données à caractère personnel par l'Autorité nationale de Sécurité. 2 Par courrier du 18 décembre 2018, Monsieur le Premier Ministre a invité la Commission nationale à se prononcer au sujet des amendements apportés au projet de règlement grandducal susmentionné. La Commission nationale rappelle aussi qu'un premier avant-projet de règlement grand-ducal portant création et fixant les modalités de fonctionnement d'un fichier relatif au traitement de données à caractère personnel par le Service de Renseignement de l'Etat avait déjà été soumis à la CNPD pour avis en 2013 et a donné lieu à l'avis de la Commission nationaie pour la protection des données relatif à l'avant-projet de règlement grand-ducal pris en exécution de làrticle 4 de /a loi modifiée du 15 juin 2004 portant organisation du Service de Renseignement de lEtat et à làvant-projet de règlement grand-ducal pris en exécution de l'article 23 de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité.3 ' Par un courrier du même 8 juin 2016, Monsieur le Premier Ministre avait égalernent invité la Commission nationale à se prononcer au sujet du projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par l'Autorité nationale de Sécurité, règlement à prendre en exécution de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité. 2 Délibération n° 639/2016 du 13 juillet 2016 https ://cnbd.public. lu/fr/decisions-avis/2016/SRE . htm I 3 Délibération ri° 274/2013 du 28 juin 2013 https://cnpd.public.lu/fr/decisions-avis/2013/sre. html CNPII Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 1/8 La Commission nationale passe en revue les amendements qui donnent lieu à observations. Amendement 1 concernant l'article 3 initial (article jer nouveau) L'article 1er nouveau est intitulé « Catégories de données à caractère personnel traitées par le Service de renseignement de l'Etat » et énumère les différentes catégories de données qui « peuvent faire l'objet d'un traitement » Pour rappel, l'article 1er paragraphe 1. du premier avant-projet de règlement soumis à la CNPD pour avis en 20134 prévoyait plus précisément la création d'une base de données dans les termes qui suivent: « Le présent règlement grand-ducal a pour objet de créer un fichier relatif au traitement de données à caractère personnel, dénommé « e-RSN » à exploiter par le Service de Renseignement de lEtat, et d'en fixer les modalités. » La version initiale du présent projet de règlement datant de 2016 s'appliquait à une « partie active » et une « partie archives ». Le projet de règlement dans sa version amendée ne parle plus du tout d'un fichier de données ou d'un traiternent de données en particulier, mais de manière générale des traitements de données pouvant être effectués par le Service de renseignement de l'État (SRE). La formulation choisie semble plus proche de la lettre de l'article 10 paragraphe

(1)de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État qui prévoit de manière générale que le traitement de données personnelles auquel procède le SRE fait l'objet d'un règlement grand-ducal. Cependant, cette formulation très générale peut prêter à confusion si on la met en relation avec la liste des catégories de données du projet de règlement sous avis. En effet, le SRE traite bien d'autres données que celles énumérées à l'article 1 nouveau. 11 s'agit en particulier des données obtenues par les différents moyens et mesures de recherche prévues aux articles 5 à 8 de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État. On peut citer à titre d'exemple les enregistrements sonores obtenus par le biais des mesures prévues à l'article 7 paragraphe

(1)de la prédite loi du 5 juillet 2016 ou les listings de données de trafic de communications électroniques obtenus par le biais des mesures prévues à l'article 7 paragraphe

(2)de la cette loi. Si le règlement est censé couvrir les données obtenues par les différents moyens et mesures de recherche prévues aux articles 5 à 8 de la loi du 5 juillet 2016, il serait également nécessaire de prévoir des précisions quant aux données traitées dans ce cadre L'article ier nouveau ne contient pas d'informations relatives aux personnes concernées. A fortiori, il ne distingue pas entre différents types de personnes concernées A ce sujet, il convient de citer l'article 6 du projet de loi 7168 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines lois, article qui dispose ce qui suit : 4 avant-projet de règlement grand-ducal sur base de l'article 4 paragraphe

(1)de la loi du 15 juin 2004 portant organisation du Service de Renseignement de l'Etat, similaire à l'article 10 paragraphe

(1)de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État [: CNPD .,....,— e-t'-' Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 2/8 « Art. 6. Distinction entre différentes catégories de personnes concemées Le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concemées, telles que:

1. a)les personnes à l'égard desquelles 11 existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale;
2. b)les personnes reconnues coupables d'une infraction pénale;
3. c)les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains fai(s porlent à croire qu'elles pourraient être victimes d'une infraction pénale, e(
4. d)les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales, ou des contacts ou des associés de l'une des personnes visées aux points
5. a)et b). » II résulte dudit article qu'il doit être distingué, par exemple, entre les données de personnes qui sont susceptibles de commettre une infraction et celles de membres de famille5, voisins etc. de telles personnes. II serait indiqué que le texte du projet de règlement grand-ducal reflète cette distinction entre différentes catégories de personnes concernées alors que le SRE tombe dans le champ d'application du projet de loi, qui s'appliquera notamment aux traitements de données « par le Service de renseignement de lEtat dans l'exécution de ses missions prévues à l'article 3 de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etal » (article 2 paragraphe

(2)lettre a)). La lettre

1. a)du nouvel article 1 prévoit que peuvent être traitées les « les données à caractère personnel résultant de l'accès aux traitements de données à caractère personnel [...) prévus à l'article 10, paragraphe 2, de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'État ». Concrètement, 11 s'agit des données d'une série de bases de données étatiques auxquelles le SRE peut accéder. La Commission nationale se demande s'il ne faudrait pas, à l'instar d'autres lois, préciser quelles sont les données auxquelles le SRE peut accéder. En effet, les données des bases de données étatiques auxquelles les membres des parquets et de l'administration judiciaire ainsi que les membres de la Police grand-ducale ont accès sont déterminés en détail par le règlement grand-ducal modifié du 22 juillet 2008 portant exécution de l'article 48-24 du Code d'instruction criminelle et de l'article 34-1 de la loi modifiée du 31 mai 1999 sur la Police et l'Inspection générale de la Police. La lettre
2. c)du nouvel article 1 prévoit que peuvent être traitées les « données à caractère personnel visées à l'article 6, paragraphe l er de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, à l'exception de celles relatives à l'appartenance syndicale et à la vie sexuelle». Les traitement de données visés par ledit article 6 paragraphe 1er sont «les traitements qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions, religieuses ou philosophiques, l'appartenance syndicale, ainsi que les traitements de données relatives à la santé et à la vie sexuelle, y compris le traitement des données génétiques». L'article 6 susmentionné soumet le traitement desdites catégories de données (dites données sensibles) à des conditions beaucoup plus sévères que le traitement d'autres catégories de données. 5 L'exemple de membres de la famine est donné dans te commentaire de larticle 1 contexte des données de santé. nouveau dans le Avis complémentaire de la Comrnission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Elat 3/8 Cependant la loi modifiée du 2 août 2002 a vocation à être abrogée très prochainement6. Cette loi et plus particulièrement son article 6 seront remplacés par les textes suivants : Le règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et son article 9 pour ce qui concerne plus précisément les données sensibles. Ce règlement constituera en quelque sorte le droit commun de la législation relative à la protection des données, mais 1 ne s'appliquera pas aux traitements de données opérés par le Service de renseignement dont il est question dans le projet de règlement sous avis. La future loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale et portant modification de certaines lois (projet de loi n°7168). Cette loi s'appliquera notamment aux traitements de données « par le Service de renseignement de lEtat dans l'exécution de ses missions prévues à l'article 3 de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de lEtat » (article 2 paragraphe

(2)lettre a)). L'article 10 du projet de loi régit le traitement de données sensibles, plus précisément « le traitement des données à caractère personnel qui révèlent forigine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique ». II serait dès lors plus approprié de se référer à l'article 10 du projet de loi n°7168 plutôt qu'à l'article 6 de la loi modifiée du 2 août 2002 (le cas échéant avec des dispositions transitoires si le projet de règlement grand-ducal sous avis devait être adopté avant le projet de loi n°7168). Par rapport à l'article 6 de la loi modifiée du 2 août 2002, les traitements de données biométriques aux fins d'identifier une personne physique de manière unique s'ajoutent donc En outre, l'article 10 du projet de loi n°7168 mentionne les « données concernant la vie sexuelle ou l'orientation sexuelle » alors que l'article 6 de la loi modifiée du 2 août 2002 mentionnait seulement les « données relatives à la vie sexuelle » tout court. Puisque la version amendée de l'article 3 devenant l'article 1 exclut désormais expressément les données relatives à l'appartenance syndicale et à la vie sexuelle, peuvent être effectués les traitements qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions, religieuses ou philosophiques, ainsi que les traitements de données relatives à la santé, y compris le traitement des données génétiques. Concernant ces données, la CNPD a les remarques suivantes : 6 artiole 62 du projet de loi portant création de la Cornmission nationale pour la protection des données et la mise en oeuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (projet de loi n°7184) Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant reorganisation du Service de renseignement de l'Etat 4/8 • En ce qui concerne les empreintes digitales, la CNPD estime qu'elles ne sont pas à considérer comme données génétiques, contrairement à ce que suggère le commentaire des articles En revanche, il s'agit « de données biométriques aux fins d'identifier une personne physique de manière unique » tels que visés par l'article 10 du projet de loi n°

1. S'il est nécessaire de traiter les empreintes digitales, le plus clair et le plus respectueux du principe de nécessité serait de les mentionner tout simplement de manière explicite dans la liste des catégories de données pouvant être traitées. e En ce qui concerne les données de santé, la CNPD souligne que le traitement de celles-ci était expressément exclu dans l'avant-projet de règlement lui soumis pour avis 7 en
2. • Les données à caractère personnel visées à l'article 6, paragraphe i er de la loi modifiée du 2 août 2002 comprennent également celles dont le traitement révèle l'origine raciale ou ethnique ou encore les convictions religieuses. À admettre que le traitement de telles données ne peut pas être exclu, il doit en particulier étre assuré que ces données ne deviennent pas un critère déterminant pour le déclenchement de mesures de recherche. L'Agence des droits fondamentaux de l'Union européenne (FRA) estime à ce sujet ce qui suit : « The nature of the confficts in question and the fact that some of them attract persons of specific ethnic and/or religious backgrounds raises additional fundamental rights considerations. Monitoring persons suspected of criminal activity constitutes a legitimate preventive instrument, but measures that consist of surveillance of a specific group or profiling of potential suspects based on ethnicity or religion alone create the risk of unacceptable discriminatory treatment, both under the ECHR and the EU Charter of Fundamental Rights. »8 Par ailleurs, la Commission européenne contre le racisme et l'intolérance (ECRI) recommande aux gouvemements des Etats membres d'interdire le profilage racial qu'elle définit comme « l'utilisation par la police, sans justification objective et raisonnable, de motifs tels que la race, la couleur, /a langue, la religion, la nationalité ou Porigine nationale ou ethnique dans des activités de contrôle, de surveillance ou d'investigation ». g La CNPD suggère en ce sens l'insertion d'une mention explicite à ce sujet dans le texte du projet de règlement. La lettre d) du nouvel article 1 prévoit que peuvent être traitées « les données collectées sur base de la coopération du Service de renseignement de l'Etat avec les instances nationales Article 5 paragraphe
3. numéro
4. de l'avant-projet de règlement Safeguarding internal security in compliance with fundamental rights law FRA contribution High-level conference on a renewed EU Internal Security Strategy Brussels, 29 September 2014 7 8 http://fra.europa.eu/sites/defaultifiles/fra-2014 conference-contribution-iss.pdf Recommandation de politique générale n° 11 de l'ECRI La lutte contre le racisme et la discrimination raciale dans les activités de la police Adoptée par l'ECRI le 29 juin 2007 9 https://www.coe.intit/del/monitorinqLecri/activities/qpr/en/recommendation n114-RPG%2011%20-%20A4.pdf En ce qui concerne le champ d'application de cette recommandation, cf. le point
5. de son exposé des motifs « Aux fins de cette Recommandation, le terme « police » désigne les agents qui exercent (ou peuvent exercer selon la loi) le pouvoir d'utiliser la force pour faire assurer le respect du droit et le maintien de rordre public dans la société, comprenant normalement la prévention et la détection des infractions. [...] Cette définition inclut les services secrets et de renseignement ainsi que la police des frontières. » CN P15} Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 518 et internationales visées à l'article 9 de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat » Comme le souligne le Conseil d'Etat, « une catégorisation des données ne saurait se faire à travers une référence à la manière dont elles ont été obtenues »1°, La CNPD estime par ailleurs que le SRE ne devrait pas, dans le cadre des échanges avec d'autres instances nationales et internationales, traiter des données allant au-delà des catégories de données qu'il peut traiter sur un plan purement interne et qui sont énumérées aux lettres a) à c) du présent article 1 nouveau du projet de règlement. Or, si le SRE, dans le cadre de ces échanges de données ne traite effectivement pas d'autres données que celles énumérées aux iettres a) à c) du présent article 1, alors la lettre d) de l'article 1 n'apporte rien par rapport à l'article 9 de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat et est superfétatoire. Amendement 2 concernant l'article 4 initial (article 2 nouveau) L'article 2 paragraphe

(1)nouveau relatif à la durée de conservation prévoit en son paragraphe premier que les données traitées par le SRE « sont maintenues dans les fichiers aussi longtemps qu'elle.s sont nécessaires à laccomplissement des missions du SRE Le deuxième alinéa du méme article 2 paragraphe

(1)prévoit que, « par dérogation à lalinéa précédent, une de durée de conservation est applicable aux données à caractère personnel » énumérées par la suite et fixe différentes durées de conservations y afférentes. L'article 2 paragraphe

(1)alinéa deuxième soulève la question suivante : Est-ce que les données rentrant dans une des catégories y énumérées sont seulement maintenues dans les fichiers aussi longtemps qu'elles sont nécessaires à l'accomplissement des missions du SRE (alinéa premier), mais, en tout état de cause pas plus longtemps que ne le permettent les délais énumérés à l'alinéa deuxième ? Ou bien sont-elles systématiquement conservées - indépendamment de leur nécessité - jusqu'à l'expiration des délais énumérées au deuxième alinéa ? Le respect du principe de nécessité en tant que principe fondamental de la protection des données ne permet que la première des deux interprétations indiquées ci-dessus et le commentaire des articles laisse entendre que telle était aussi l'intention des auteurs du projet de règlement grand-ducal Cependant, la CNPD estime que le texte de l'article 2 paragraphe

(1)alinéa deuxième devrait être plus clair et précis à ce sujet. Elle suggère de remplacer la première phrase de l'article 2 paragraphe

(1)alinéa deuxième par la phrase suivante : « En tout état de cause, les délais de conservation suivants ne doivent pas être dépassés : » Elle suggère par ailleurs d'intercaler l'article 2 paragraphe

(2)entre l'article 2 paragraphe

(1)alinéa premier et l'article 2 paragraphe

(1)alinéa deuxième, afin d'améliorer la clarté du texte, de sorte que l'article 2 nouveau aurait la teneur suivante : 10 Avis du 11 octobre 2016 relatif au projet de règiement sous avis, N° CE : 51.685 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 6,8 « Art. 2. — Durée de conservation des données à caractère personnel

(1)Les données à caractère personnel traitées par le Service de renseignement de l'Etat, désigné ci-après le « SRE », sont maintenues dans les fichiers aussi longtemps qu'elles sont nécessaires à l'accomplissement des missions du SRE.

(2)Une vérification périodique portant sur la nécessité de conserver les données est effectuée conformément à l'arlicle 3.

(3)En tout état de cause, les délais de conservation suivants ne doivent pas être dépassés :

1. a)pour les données porlant sur [...]
2. b)[ . ] [..
3. d)[...] Amendement 3 concernant l'introduction d'un nouvel article 3 L'article 3 paraqraphe (11 prévoit que « les agents du SRE en charge d'une opération vérifient au plus tard tous les cinq ans depuis la saisie des données à caractère personnel ou depuis la dernière vérification périodique des données à caractère personnel relatives à la personne. » La CNPD accueille favorablement que l'espacement maximal dans le temps entre deux vérifications périodiques a été ramené de 10 ans à 5 ans (soit le délai prévu par l'avant-projet de règlement de 2013) Elle salue encore l'introduction de contrôles des données obligatoires par le chargé de la protection des données qui sont prévus par le paraqraphe

(2)de l'article. Elle considère cependant que la notion de sondage est vague. Si les contrôles se font seulement une fois par an et par sondage, on peut se demander quel sera le pourcentage des données effectivernent contrôlés et si ce pourcentage sera suffisamment élevé pour contribuer de manière sensible au respect des règles relatives à la protection des données. En ce qui concerne le terme de « chargé de la protection des données », la CNPD suggère d'adapter d'ores et déjà la terminologie à celle du règlement général sur la protection des données et du projet de loi n° 7168" qui utilisent les termes « délégué à la protection des données » Amendement 8 concernant l'article 9 initial (article 6 nouveaul L'article 6 nouveau régit les données de journalisation. Dans ses deux précédents avis, la CNPD avait demandé qu'il soit également prévu que les communications de données à d'autres autorités nationales ou étrangères fassent l'objet d'une journalisation. Vue la nouvelle version de l'article 6 (évoquant de manière générale tout traitement de données sans mention spécifique notamment de la partie active et de la partie archives), on 11 cf les articles 32 à 34 notamment du projet de loi n° 7168 CNP1 Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Elat 7/8 peut le cas échéant considérer qu'une telle journalisation doit avoir lieu en tout état de cause en vertu dudit article. Néanmoins, la CNPD suggère de prévoir une mention expresse à ce sujet dans le texte du projet de règlement grand-ducal. Elle estime également nécessaire de prévoir de manière expresse des fichiers de journalisation qui porteront sur les accès du SREa par un système informatique aux traitements de données à caractère personnel de différentes administrations en application de l'article 10 paragraphe

(2)de la loi du 5 juillet 2016. Rappelons à ce sujet qu'il existe des dispositions similaires prescrivant des fichiers de journalisation pour les accès à différentes bases de données étatiques par les magistrats (article 48-24 paragraphe

(4), lettre (b), du Code de procédure pénale) ou par les membres de la Police grand-ducale (article 34-1, 4e alinéa, lettre (b) de la loi modifiée du 31 mai 1999 sur la Police et l'Inspection générale de la police). La CNPD n'a pas d'autres observations à formuler en ce qui concerne les amendements soumis pour avis et renvoie pour le surplus à son avis du 13 juillet

1. Finalement, elle se permet encore de remarquer que son avis du 13 juillet 2016 (délibération n° 639/2016) sur le projet de règlement sous avis portait également sur un projet de règlement grand-ducal relatif aux modalités de traitement des données à caractère personnel par l'Autorité nationale de Sécurité. Elle n'a pas connaissance des suites réservées à ce projet de règlement grand-ducal. Ainsi décidé à Esch-sur-Alzette en date du 12 avril
2. La Commission nationale pour la protection des données s. Gebte\i Tine A. Larsen Présidente Thierry Lallemang Membre effectif ristophe Buschmann Membre effectif Avis complémentaire de la Commission nationale pour la protection des données relatif au projet de règlement grand-ducal pris en exécution de la de la loi du 5 juillet 2016 portant réorganisation du Service de renseignement de l'Etat 8/13