Avis De l'AUTORITE DE CONTROLE JUDICIAIRE Créée par la loi du ler août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale Sur le projet de règlement grand-ducal portant organisation des régimes internes des centres pénitentiaires. INTRODUCTION L'autorité de contrôle judiciaire (ci-après désignée « ACJ), instituée par l'article 40 de la loi du 1' août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale (ci-après désignée « la loi du le` août 2018 en matière pénale ainsi qu'en matière de sécurité nationale ») transposant la Directive (UE) 2016/680 du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée « la directive 2016/680 »), « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et des libertés des personnes physiques à l'égard du traitement » conformément à l'article 42, paragraphe 1, lettre c) de ladite loi dans les limites de ses compétences prévues à l'article 40, paragraphe 2, à savoir en ce qui concerne les « opérations de traitement de données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles, que ce soit pour des finalités visées à l'article ler de la loi du 1.er août 2018 en matière pénale ainsi qu'en matière de sécurité nationale ou pour celles visées par le règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (ci-après désigné « le RGPD »). L'ACJ a été saisie le 9 février 2021 par Madame la ministre de la Justice d'une demande d'avis concernant le projet de règlement grand-ducal sous rubrique. Selon l'exposé des motifs, le projet de règlement grand-ducal a pour objet de fixer les règles relatives au régime pénitentiaire des centres pénitentiaires luxembourgeois. Il est destiné à remplacer le règlement grand-ducal modifié du 24 mars 1989 concernant l'administration et le régime interne des établissements pénitentiaires. Il vise également à exécuter certaines dispositions légales prévues par la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire, ainsi que des modalités d'application des articles 669 à 703 du Code de procédure pénale. L'objectif dudit règlement est de fixer les règles qui s'appliquent uniformément à la vie des détenus dans les trois prisons luxembourgeoises, à savoir le centre pénitentiaire de Luxembourg (CPL), le centre pénitentiaire de Givenich (CPG), de même qu'à terme, le centre pénitentiaire d'Uerschterhaff (CPU) probablement mis en service en
- 1 En outre, l'exposé des motifs évoque qu'un chapitre du projet de règlement grand-ducal en question est dédié au traitement des données à caractère personnel des détenus. Par conséquent, l'avis de l'ACJ porte sur la conformité du Chapitre VIII du règlement grand-ducal en projet consacré au traitement des données à caractère personnel au regard de la législation en la matière. À titre liminaire, l'AC.; relève que comme énoncé au sein de l'exposé des motifs, il revient au responsable du traitement des données de fixer les règles et les conditions générales du traitement des données à caractère personnel et les informations en question. L'ACJ comprend qu'une telle démarche s'inscrit dans l'esprit même du cadre légal européen en matière de protection des données ainsi que dans le respect du cadre légal national, plus précisément de la loi du ler août 2018 précitée. En plus de l'existence de cette loi-cadre en matière de protection des données, il n'est pas exclu qu'une loi ou qu'un règlement grandducal vienne compléter celle-ci et préciser les principes et les finalités spécifiques des traitements effectués par les centres pénitentiaires précédemment mentionnés dans le cadre de l'exercice de leurs missions, les délais de conservation des données ainsi que tous autres aspects essentiels des traitements de données opérés par lesdits centres pénitentiaires. De telles précisions s'inscrivent dans le plein respect de la jurisprudence européenne et permettent de garantir qu'au sein d'une société démocratique, le traitement des données à caractère personnel soit transparent et limité à ce qui est nécessaire et proportionné. Quant à l'article 127 du projet de règlement grand-ducal La loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire prévoit le traitement des données à caractère personnel par l'administration pénitentiaire à son article 3 alinéa
- L'AD note que ledit traitement s'inscrit dans l'objectif de mise en œuvre des peines privatives de libertés conciliant la protection de la société, la sanction du condamné et les intérêts de la victime avec !a nécessité de préparer l'insertion de la personne détenue et ce dans le but de lui permettre de mener une vie responsable et de prévenir la commission de nouvelles infractions tel que prévu à l'article 1", paragraphe 2, de ladite loi. Sur base de ces dispositions, l'article 127, alinéa ler, du règlement liste quatorze types de données à caractère personnel et informations traitées par l'administration pénitentiaire. Dans un premier temps, l'AG souhaite attirer l'attention sur le fait que l'administration pénitentiaire est amenée à traiter des données et informations relatives à l'état de santé du détenu tel que prévu à l'article 127 alinéa ler aux points 11°, 12° et 13° du règlement grand-ducal en projet. Les données et informations visées sont considérées comme étant des catégories particulières de données à caractère personnel au sens de l'article 9 de la loi du ler août 2018 précitée. Partant, l'AD rappelle que le traitement de ces catégories particulières de données doit faire l'objet de garanties particulières. Dans un second temps, l'ACJ note que l'article 127, alinéa ler, fait référence à d'autres registres visés aux points 9° et 10°. En effet, au point 9°, il est fait référence au traitement des données et des informations contenues au sein du registre des entrées et des sorties qui existait déjà au sein du règlement grand-ducal du 24 mars 1989 et prévu à l'article 103 du présent projet de règlement grand-ducal. Y sont inscrites les heures d'entrée et de sortie de toutes les personnes étrangères à l'administration, leurs noms et qualités. L'entrée de ces personnes doit être motivée. Au point 100, 11 est fait référence à un registre spécial des fouilles nouvellement crée à l'article 121 comme énoncé au sein de l'exposé des motifs. Le point 10° fait également référence à la tenue d'un registre sur l'usage des moyens de contrainte physiques et matériels lui aussi nouvellement crée à l'article 123 du présent projet de règlement grand-ducal. Il ne fait aucun doute que sont traitées au sein de ces différents registres des données à caractère personnel et des informations relatives aux détenus qui peuvent s'avérer sensibles mais également celles relatives au 2 personnel de l'administration pénitentiaire ainsi que toutes les personnes entrant dans les centres pénitentiaires. À cet égard, l'ACJ souhaite relever que le règlement grand-ducal en projet ne précise pas la forme que ces registres prennent et considère que cette dernière doit être précisée. En outre, l'ACJ salue l'existence d'une disposition relative aux accès à ces registres. En effet, l'article 127 alinéa 2 prévoit que « [...] l'accès des membres du personnel de l'administration pénitentiaire aux données personnelles visées au paragraphe 1' est strictement limité à ceux qui justifient d'un intérêt professionnel les obligeant à traiter ces données afin d'accomplir les missions prévues à l'article 3 de la loi du 20 juillet 2018 portant réforme de l'administration pénitentiaire ». En revanche, l'AU regrette que cette disposition ne soit pas plus développée afin de pouvoir pleinement en apprécier le caractère nécessaire et proportionné ainsi que la conformité avec l'article 24 de la loi du 1 août 2018 précitée. L'AC1 souhaite rappeler que la politique de gestion des accès est inextricablement liée à la politique de conservation des données. Or, il n'est pas fait mention de la durée de conservation des données à caractère personnel et autres informations contenues dans lesdits registres. L'article 132 du présent projet de règlement grand-ducal fixe pourtant un délai de conservation du dossier individuel et le dossier d'insertion du détenu. Par conséquent, l'AG se demande s'il ne serait pas opportun d'adopter une démarche similaire concernant les données contenues dans les registres en l'espèce. L'AC ajoute que l'existence de telles dispositions permettrait de garantir la transparence, l'accessibilité et l'appréciation de la proportionnalité desdits délais. Quant à l'article 128 du projet de règlement grand-ducal L'AC' note que l'article 128 paragraphe l er du présent projet de règlement grand-ducal prévoit qu'un registre d'admission est tenu au greffe de chaque centre pénitentiaire et ce afin d'avoir une visibilité sur les détenus qui sont emprisonnés au sein du centre et sur la date à laquelle leur sortie est prévue. Ce paragraphe renseigne quant aux données à caractère personnel et les informations traitées au sein dudit registre, il s'agit des données d'identifications et les informations relatives au titre duquel le détenu a été remis au membre du personnel. Le paragraphe l er n'appelle pas de commentaires particuliers de la part de l'AD. L'AO salue le fait que le registre d'admission reste au sein du centre pénitentiaire qui en assure la tenue tel que prévu au paragraphe 2 et accueille favorablement le fait qu'un tel registre peut exister sous forme électronique. Néanmoins, l'AU souhaite attirer l'attention sur le fait qu'une politique d'accès doit être mise en place et ce en conformité avec l'article 24 de la loi du l er août 2018 précitée. Une telle politique des accès est primordiale afin de savoir quel est le personnel de l'administration pénitentiaire en plus des greffiers qui sont susceptibles d'accéder audit registre et dans quel cadre, mais également de savoir si un tel accès est conféré à des personnes externes. L'AD note également que le présent projet de règlement grand-ducal ne prévoit pas de durée de conservation des données contenues au sein du registre d'admission ne permettant pas de savoir pendant combien de temps après la sortie des détenus du centre pénitentiaire les données à caractère personnel relatives à ce dernier sont conservées ni même les critères applicables pour déterminer la durée de conservation des données. À cet égard, l'AO renvoie aux commentaires effectués lors de l'examen de l'article 127 du règlement grand-ducal en projet. Quant aux articles 129 et 130 du projet de règlement grand-ducal 3 CAO note que l'article 129 est consacré au dossier individuel et l'article 130 au dossier d'insertion sociale des détenus. Compte tenu de la similarité des articles 129 et 130 du présent projet de règlement grandducal, l'ACJ souhaite examiner conjointement ces dispositions. Les paragraphes 1"5 des dispositions en l'espèce n'appellent pas de commentaires particuliers de la part de l'ACJ. L'ACJ accueille favorablement la mise en place d'une version électronique de ces dossiers. Néanmoins, l'AJC regrette que le projet de règlement grand-ducal ne précise pas davantage l'architecture du dossier individuel et du dossier d'insertion sociale des détenus. En effet, la description qui est faite par les articles examinés ici ne permet pas de savoir comment ces dossiers sont gérés par l'administration pénitentiaire. L'ensemble des dossiers électroniques sont-ils centralisés au sein d'une seule et même application utilisée par l'ensemble de l'administration pénitentiaire ou sont-ils stockés sur des serveurs internes et partagés par différents services de l'administration en question ? En ce qui concerne la politique des accès telle que prévue aux paragraphes 2 des articles 129 et 130, l'ACJ renvoie aux commentaires effectués à cet égard lors de l'examen des articles 127 et
- Quant à l'article 131 du projet de règlement grand-ducal L'ACJ comprend à la lecture des commentaires des articles que le suivi des deux dossiers des détenus précédemment évoqués pendant l'intégralité du parcours est une nouveauté introduite par l'article 131 du présent projet de règlement grand-ducat. L'AU considère qu'à des fins de cohérence et de mise à jour des données au sein des dossiers des détenus, il est important d'éviter que d'un établissement pénitentiaire à l'autre les mêmes données relatives au détenu soient demandées et à nouveau recueillies et conservées évitant ainsi de nombreux doublons. Néanmoins, l'AD renvoie à ses commentaires précédents effectuées dans le cadre de l'analyse des articles 127 et 128 concernant l'importance de la mise en place d'une politique des accès aux dossiers des détenus par les services des différents centres pénitentiaires. Quant à l'article 132 du projet de règlement grand-ducal L'AG salue le fait que l'article 132 du projet de règlement grand-ducal fixe les délais de conservation du dossier individuel et du dossier d'insertion du détenu. L'AD s'interroge néanmoins quant à la proportionnalité de ce délai de 30 ans qui s'ajoute à la durée de conservation des dossiers pendant toute la durée de l'emprisonnement des détenus. En outre, l'AU comprend qu'une telle durée d'archivage est justifiée au paragraphe 2 de l'article 132 qui dispose qu'en cas d'une nouvelle détention, les dossiers sont repris, sinon, ils sont détruits ou rendus anonymes. Cette seule finalité n'apparaît pas être suffisante pour justifier une telle durée d'archivage. L'ACJ note que les commentaires de l'article expliquent que ce délai se base sur la prescription trentenaire prévue à l'article 2262 du Code civil. À ses égards, l'AGI s'interroge quant à la pertinence de l'application du délai de prescription prévu à l'article du Code civil précité. En effet, elle considère qu'il serait plus opportun de prendre en compte les délais de prescriptions tels qu'établis aux articles 635 et suivants du Code de procédure pénale. Une telle démarche serait ainsi en adéquation avec l'archivage du dossier pénal des anciens détenus, en particulier au sein de l'application JUCHA. 4