Avis Avis de de la la Commission nationale nationale pour pour la la protection des des données données relatif relatif au au projet de de loi loi n°8148 n°8148 relative relative à à la la rétention rétention des des données données à à caractère personnel et et portant modification :: 1° 1° du du Code Code de de procédure pénale pénale ;; 2° de de la la loi modifiée du 30 30 mai 2005 2005 concernant concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur des des communications communications électroniques ;; et et 3° 3° de de la la loi loi modifiée du du 5 juillet 2016 2016 portant portant réorganisation réorganisation du Service de renseignement de de l’État l'Etat Délibération n° n° 28/AV12/2024 28/AV12/2024 du du 16 16 mai mai 2024. Délibération 1. Conformément 1 Conformémentàà l’article l'article 57.1.c) 57. 1 .e) du du règlement règlement(UE) (DE) 2016/679 2016/679 du du Parlement Parlement européen européenet du du Conseil Conseildu du 27 27avril avril 2016 2016relatif relatifàà la la protection protection des des personnes personnesphysiques physiquesàà l'égard l'égarddu du traitement des des données données àà caractère caractère personnel personnel et et àà la la libre libre circulation circulation de de ces ces données, données, et et abrogeant abrogeant la directive directive 95/46/CE 95/46/CE (règlement (règlement général général sur sur la la protection protection des des données) données) (ci-après (ci-après le le « RGPD RGPD»), er auquel auquel se se réfère réfèrel'article l'article 77 de de la la loi loi du du 11er août août 2018 2018 portant portant organisation organisation de de la la Commission nationale nationale pour pour la la protection des des données données et et du du régime régime général général sur sur la la protection des des données, la la Commission Commission nationale nationalepour pourla la protection protection des des données données(ci-après (ci-aprèsla la « Commission Commission nationale nationale » ou la « CNPD CNPD ») ») « conseille, conformément au au droit droit de de l’État l'État membre, le le parlement national, le le la gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes organismes au au sujet sujet des des mesures mesures législatives législatives et et administratives relatives relatives àà la la protection des des droits droits et et libertés libertés des des personnes physiques àà l'égard l'égard du traitement traitement 9. du ». Par ailleurs, l’article l'article 36.4 du du RGPD RGPD dispose dispose que que « [Ijes [l]es États Étatsmembres membres consultent consultent l'autorité l'autorité de Par contrôle contrôle dans dans le le cadre cadre de de l'élaboration l'élaboration d'une d'une proposition proposition de de mesure mesure législative législative devant devant être être adoptée adoptéepar par un un parlement parlement national, national, ou ou d'une d'unemesure mesure réglementaire réglementairefondée fondéesur sur une une telle telle mesure mesure législative, législative, qui qui se se rapporte rapporte au au traitement traitement ». 2. Par courrier courrier en en date date du du 2 2 février février 2023, 2023, Madame Madame la la Ministre Ministre de de la la Justice Justice a invité invité la la 2. Par Commission Commission nationale nationale àà se se prononcer prononcer sur sur le le projet projet de de loi loi n°8148 n°8148 relative relative àà la la rétention rétention des données donnéesàà caractère caractèrepersonnel personnel et et portant portant modification: modification:1" 1° du du Code Code de de procédure procédurepénale pénale;; 2° 2° de la loi loi modifiée modifiée du du 30 30 mai mai 2005 2005 concernant concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur secteur des la communications communicationsélectroniques électroniques;; et et 3° 3° de dela la loi loimodifiée modifiéedu du 55 juillet juillet 2016 2016portant portantréorganisation réorganisationdu de renseignement renseignement de de l’État t'État(ci-après le le « projet de de loi loi »). »). Service de 3. Selon 3. Selon l’exposé l'exposédes des motifs, motifs, le le projet projetde de loi loi a pour pour objet objetde de «« répondre répondreaux auxexigences exigencesde de la la jurisprudence européenne jurisprudence européenne en en permettant permeHant une une conciliation conciliation entre entre les les deux deux exigences exigences que que sont CNPD CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatifau au projet projet de deloi loi n°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet portant portantmodification: modification:1° 1 ° du duCode Codede de procédure procédurepénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30mai mai2005 concernant concernant la la protection protectionde dela la vie vie privée privéedans dans le le secteur secteurdes des communications ommunications électroniques ; et et 3° 3" de de la la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation du du Service de de renseignement renseignement del’État l'État de 1/46 1/46 1 sécurité . La justice de sécuritéet et liberté liberté»»1. La Cour Cour de de justice de l’Union l'Union européenne européenne (ci-après (ci-après la la «« CJUE CJUE»» ou ou la 2 « Cour Cour») ») a depuis depuis le le premier premier arrêt arrêten en la la matière matière en en 2014 20142 détaillé détailléde de plus plus en en plus plus sa sa position quant à la possibilité pour les opérateurs de télécommunications ou les fournisseurs de quant à la possibilité pour les opérateurs de télécommunicationsou les fournisseurs de services de de communications communications électroniques électroniques(ci-après (ci-aprèsles les « opérateurs opérateurset et fournisseurs fournisseurs ») ») de de conserver conserver des données donnéesde de trafic trafic et et de de localisation localisation et et pour pour les les autorités autoritésnationales nationales compétentes compétentes d’accéder d'accéderaux aux conservées. données ainsi conservées. 4. La à 4. La Cour Cour soulève soulève qu’une qu'une telle telle conservation conservation par par les les opérateurs opérateurs et et fournisseurs fournisseurs va va à l’encontre rencontre du du principe principe de de confidentialité confidentialité consacré consacré par par la la directive directive 2002/58/CE 2002/58/CE du du Parlement Parlement européen juillet 2002 européen et et du du Conseil Conseil du du 12 12 juillet 2002 concernant concernant le le traitement traitement des des données données àà caractère personnel personnel et etla la protection protection de de la la vie vie privée privéedans dans le le secteur secteurdes des communications communicationsélectroniques électroniques(ci(ciaprès aprèsla la «« directive directive vie vie privée privéeet et communications communicationsélectroniques électroniques»). »). Ainsi, Ainsi, les les données donnéesde de trafic traficet de de localisation doivent doivent en en principe être être effacées effacées ou ou rendues rendues anonymes lorsqu'elles ne ne sont sont plus plus à la la transmission transmission d’une d'une communication. communication. nécessaires à 5. Ce 5. Ce principe principed'effacement d'effacementsubit subit pourtant pourtant des des dérogations, dérogations,notamment notammenten en ce ce qui qui concerne la la conservation conservation de de données données requises requises pour pour établir établir les les factures factures et et les les paiements paiements pour pour interconnexion, interconnexion, voire voire encore encore la la possibilité possibilitéavec avec le le consentement consentement de de la la personne personne concernée concernée de traiter traiter ces ces données donnéesàà des des fins fins commerciales commerciales ou ou de de fourniture fourniture de de services services àà valeur valeur ajoutée. ajoutée. Une Une autre dérogation découle de de l'article l'article 15 15 de de cette directive qui qui accorde la la possibilité aux aux États États autre membres membres de de limiter limiterla la portée portéedes des droits droitset et des des obligations obligations dans danscertains certainscas. 6. La jurisprudence en 6. La jurisprudence en matière matière de de rétention rétention des des données données porte porte ainsi ainsi essentiellement essentiellement sur sur l’interprétation l'interprétationde dela la Cour Coursur surles lesdérogations dérogationspossibles possiblesen en application applicationde del’article l'article 15 15de dela la directive 3 vie qui vieprivée privéeet etcommunications communicationsélectroniques. électroniques.Dans Dansles les arrêts arrêts3 quiont ontsuivi suivile lepremier premierarrêt arrêt«« Digital Digital Rights Rights Ireland Ireland » du du 88 avril avril 2014, 2014, la la Cour Courdécline déclinede de plus plus en en plus plus cette cette interprétation interprétationet et fournit fournitdes indications quant aux modalités qui doivent accompagner ces dérogations admissibles indications quant aux modalités qui doivent accompagner ces dérogations admissibles au principe principe de de confidentialité. confidentialité. 1 1 Doc. Doc.pari, pari.de dedépôt, dépôt,p. p. 17. 17. 2 Arrêt Arrêtdu du88 avril avril2014, 2014,Digital DigitalRights RightsIreland Irelande.a., e.a.,C-293/12 C-293/12et etC-594/12, C-594/12,EU:C:2014:238. EU:C:2014:238. 3 3 Arrêt Arrêtdu du21 21 décembre décembre2016, 2016,Tele2 Tele2 Sverige Sverigeet etWatson Watsone.a., e.a., C-203/15 C-203/15et etC-698/15, C-698/15,EU:C:2016:970 EU:C:2016:970 ;, 2 arrêt arrêtdu du22 octobre octobre2018, 2018, Ministerio MinisterioFiscal FiscalC-207/16, C-207/16,EU:C:2018:788 EU:C:2018:788 ;; arrêtdu du66 octobre octobre2020, 2020, La LaQuadrature Quadraturedu duNet Net e.a., e. a., C-511/18, C-511/18,C-512/18 C-512/18et etC-520/18, C-520/18,EU:C:2020:791 EU:C:2020:791 ;, arrêt arrêt arrêtdu du66 octobre octobre2020, 2020, Privacy PrivacyInternational, International, C-623/17, C-623/17,EU:C:2020:790 EU:C:2020:790 ;; arrêtdu du22 mars mars 2021. 2021 ,Prokuratuur, Prokuratuur, C-746/18, C-746/18,EU:C:2021:152 EU:C:2021:152 ;; arrêt arrêtdu du 5 5 avril avril 2022, 2022, Commissioner Commissionerof of An An Garda Garda Sfochâna Siochânae.a., e.a., C-140/20, C-140/20, EU:C:2022:258 EU:C:2022:258 ;; arrêt arrêt du du 20 20 septembre septembre 2022, SpaceNet SpaceNet et et Telekom Telekom Deutschland Deutschland C-793/19 et et c-794/19, EU:C:2022:702 EU:C:2022:702 ,; arrêt arrêt arrêtdu du 17 17 novembre novembre2022, 2022, Spetsializirana Spetsializiranaprokuratura prokuraturaC-350/21, C-350/21, EU:C:2022:896 EU:C:2022:896 ;; arrêt arrêtdu du 30 30 avril avril 2024, 2024, Procura Procuradélia déliaRepubblica Repubblicapresso pressa ilil Tribunale Tribunaledi di Bolzano, Bolzano, C-178/22, C-178/22,EU:C:2024:371 EU:C:2024:371 ;; arrêt arrêtdu du 30 30 avril avril2024, 2024, La LaQuadrature Quadraturedu duNet Nete.a. e. a. (Données (Donnéespersonnelles personnelles et et lutte lutte contre ontre la la contrefaçon), contrefaçon), C-470/21, EU:C:2024:370. EU:C:2024:370. CNPD Avis de Avis de la la Commission Commission nationale nationalepour pourla la protection protection des des données données relatif relatif au au projet de de loi loi n°8148 n°8148 relative àà la la rétention des des données données àà caractère personnel personnel et portant portant modification: modification:1° 1 ° du duCode Codede de procédure procédurepénale pénale;; 2° 2° de de la la toi loimodifiée modifiéedu du30 30 mai mai2005 concernant la la protection protectionde de la la vie vieprivée privéedans dans le le secteur secteurdes des communications communicationsélectroniques ;; concernant et et 3° 3° de dela la loi loi modifiée modifiéedu du 55 juillet juillet 2016 2016portant portant réorganisation réorganisationdu du Service Service de de renseignement del’État 1-État de 2/46 7. La 7. La CJUE CJUE détermine détermine ainsi ainsi que que l’article l'article 15 15 de de la la directive directive vie vie privée privée et et communications électroniques, lu lu àà la la lumière lumière de de la la Charte Charte des des droits droits fondamentaux de de l'Union l'Union européenne, ne ne s’oppose s'oppose pas pas àà des des mesures législatives législatives nationales prévoyant prévoyant tant tant la la conservation de de données de de trafic trafic et et de de localisation localisation que que l’accès l'accès àà ces ces données donnéespour pour autant autant qu’elles qu'elles soient soient limitées limitées en en ce qui concerne les objectifs recherchés ainsi que délimitées en ce qui concerne les personnes qui concerne les objectifs recherchés ainsi que délimitées en ce qui concerne les visées, visées, les les moyens moyens de de communications ciblés, ciblés, les les catégories catégories de de données données conservées et et la la durée de de conservation conservation retenue retenue et et qu’elles qu'elles « assurent, assurent, par par des des règles règles claires claires et et précises, précises, que que la conservation conservation des des données données en en cause cause est est subordonnée subordonnéeau au respect respect des des conditions conditions matérielles matérielles et procédurales y afférentes afférentes et et que que les les personnes concernées concernées disposent disposent de de garanties garanties effectives effectives 4 contre . contre les les risques risques d’abus d'abus »»4. 8. Au 8. Au fil fil des des dernières dernières années, années, la la CJUE CJUE a pu pu analyser, dans dans les les arrêts arrêts relatifs àà la la rétention rétention des des données, données,différentes différentesmesures mesures législatives législativesde deconservation conservationet etd’accès d'accèsayant ayanttenté tentéde derépondre aux exigences soulevées dans sa jurisprudence. Par conséquent, elle a pu préciser de plus plus en aux exigences soulevées dans sa jurisprudence. Par conséquent, elle pu préciser de plus plus ce ce que que des des mesures mesures législatives législatives de de conservation et et d’accès d'accès doivent doivent respecter afin afin d’être d'être conformes au cadre légal en matière de protection des données à caractère personnel. L’exposé conformes au cadre légal en matièrede protection des donnéesà caractèrepersonnel. L'exposé des des motifs motifs décrit décritextensivement la la majorité majorité des des exigences soulevées soulevées par par la la CJUE. 9. De 9. De manière manière générale, générale, la la CNPD CNPD souhaite néanmoins néanmoins rappeler que que pour pour assurer assurer la la conformité conformité au au principe principe de de proportionnalité, proportionnalité, la la CJUE CJUE a exprimé exprimé àà plusieurs plusieurs reprises reprises que que la conservation doit doit être êtrelimitée limitéeau au strict strict nécessaire nécessairepour pouratteindre atteindre les les objectifs. objectifs. Dans Dansses ses arrêts, arrêts, la conservation CJUE CJUEprocède procèdede de manière manièresystématique systématiquepour pour analyser analyserla la proportionnalité proportionnalitédes des mesures. 10. Ainsi,en en premier premierlieu, lieu, elle elle détermine détermineles lesfinalités finalitésrecherchées recherchéespar parles lesmesures mesureslégislatives 10. Ainsi, de conservation conservation ou ou d'accès. d'accès. Cette Cette première premièreétape étapeest est essentielle, essentielle, non non seulement seulement parce parce que que les les de 5 finalités sont sont listées listées de de manière manière exhaustive exhaustive5 dans dans l’article l'article 15 15 de de la la directive vie vie privée privée et finalités communications communications électroniques, électroniques, mais mais également égalementparce parce que que l’importance l'importance de de l’objectif l'objectifrecherché recherché aa un un impact impact sur sur l’ingérence l'ingérence tolérée tolérée sur sur la la vie vie privée privée des des personnes concernées. Force Force est est de constater àà la la lecture lecture des des arrêts arrêts de de la la CJUE CJUE en en matière matière de de rétention rétention de de données donnéesque que plus plus les les constater objectifs objectifs sont sont importants, importants, plus plus l’ingérence l'ingérencedes des mesures mesures de de conservation conservation et et d’accès d'accèsdans dans la la vie privée privéedes des personnes personnes concernées concernéesest est tolérée. 11. IlIl en 11. en résulte résulte que que l’étendue retendue des des mesures mesures législatives de de conservation et et d'accès d'accès dépend largement largement de de l’objectif l'objectif recherché. recherché. Ainsi, Ainsi, une une conservation conservation généralisée généraliséeet et indifférenciée indifférenciéedes donnéesrelatives relativesau autrafic traficpeut peutêtre êtretolérée, tolérée,sous sousréserve réservede de respecter respectercertaines certainesconditions, conditions, pour pour données les les objectifs de de préservation de de la la sécurité sécurité nationale. nationale. Or, Or, pour pour la la lutte lutte contre contre la la criminalité criminalité grave, grave, 4 4 Voir Voirarrêt arrêtdu du20 20 septembre septembre2022, 2022, SpaceNet SpaoNetet etTelekom Telekom Deutschland DeutschlandC-793/19 C-793/19et et c-794/19, c-794/19, EU:C:2022:702, EU:C:2022:702,point point 132. 132. 5 5 Voir Voir arrêt arrêt du du 66 octobre 2020, La La Quadrature du du Net Net e.a., e. a., C-511/18, C-511/18, C-512/18 C-512/18 et et C-520/18, C-520/18, EU:C:2020:791, EU:C:2020:791, point 112. 112. CNPD CNPD .*1 L_ -J Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données Avis relatif relatifau auprojet projet de de loi loi n°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet portant modification: 1° 1 ° du du Code Code de de procédure pénale pénale ;; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur des des communications communications électroniques électroniques ;; et et 3° 3° de de la la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation du du Service de de renseignement renseignement del'État l'État de 3/46 * est nécessaire de de limiter l’étendue retendue des des mesures de de conservation conservation ou ou d’accès d'accès sur sur base base de de critères critères ilil est objectifs concernées, objectifs et et non non discriminatoires. discriminatoires. Cette Cette limitation limitation peut peut se se rapporter rapporter aux aux personnes personnesConcernées, aux aux catégories catégories de de données, données, aux aux zones zones géographiques, géographiques, voire voire encore encore aux aux moyens moyens de utilisés. En En matière communications utilisés. matière de criminalité criminalité simple la CJUE est est encore encore plus exigeante. communications simple6,6 , la exigeante. 12. En 12. Endeuxième deuxièmelieu, lieu,la laCJUE CJUEapprécie apprécietant tantla la durée duréedes desmesures mesuresde deconservation conservationet etd’accès d'accès que la la durée durée de de conservation conservation des des données données proprement dites. En En ce ce qui qui concerne la la durée durée de que conservation conservation des des données, données, la la CJUE CJUE retient retient qu’elle qu'elle doit doit être être limitée limitée au au strict strict nécessaire nécessaire pour 7 8 atteindre et . En l'objectifrecherché recherché7 et être êtrechoisie choisiesur surbase basede decritères critèresobjectifs objectifs8. Ence cequi quiconcerne concernela la atteindrel’objectif durée jusqu’à présent durée d’application d'application des des mesures, mesures, la la CJUE CJUE ne ne s’est s'est jusqu'à présent prononcée prononcée que que sur sur les les mesures mesures concernant concernant l’accès l'accès aux aux données données conservées. conservées. Dans Dans ce ce contexte, contexte, elle elle explique explique que l’accès l'accès « présente présenteen en tout tout état étatde de cause cause un un caractère caractèregrave grave indépendamment indépendammentde de la la durée duréede de la période périodepour pourlaquelle laquelle l’accès /'accèsauxdites auxditesdonnées donnéesest est sollicité sollicitéet et de de la la quantité quantitéou ou de de la la nature nature des données . .] cet donnéesdisponibles disponiblespour pourune unetelle telle période, période,lorsque lorsque[.[...] cetensemble ensemblede dedonnées donnéesest estsusceptible de de permettre de de tirer tirer des des conclusions précises précises sur sur la la vie vie privée privée de de la la ou ou des des personnes personnes 9 10 concernées , et concernées»»9, et qu’il qu'il doit doitse selimiter limiterau austrict strictnécessaire nécessaire10.. 13. Enfin, 13. Enfin, la la CJUE CJUEexige exige que que les les mesures mesures législatives législatives permettent permettent « d’assurer d'assurerune une protection efficace des données conservées contre les risques d’abus ainsi que contre tout accès efficace des donnéesconservées contre les risques d'abus ainsi que contre tout accèset et toute 11 utilisation . Ces utilisationillicite illicitede de ces ces données données»»11. Ces garanties garantiess’imposent s'imposentnon nonseulement seulement pour pourles les mesures 12 13 de les mais d'accès1 mesures aux conservation12, législatives législatives de conservation , mais également également pour législatives d’accès 3 aux pour les mesures législatives stockées. données stockées. 14. Selon 14. Selon l'exposé l'exposé des des motifs, motifs, le le projet projet de de loi loi sous sous avis avis a pour pour objet objet « d’encadrer d'encadrer la conservation et et l'usage l'usage des des données données de de trafic trafic et et de de localisation sans sans priver priver ces ces données données de de leur 14 valeur utile, utile, notamment notammenten en fixant fixantdes desconditions conditionsstrictes strictesd'accès d'accèset etde de durée duréede deconservation conservation »»14. valeur . 15. Pour 15. Pour ce ce faire, faire, le le projet projet de de loi loi entend entend supprimer supprimer de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur secteur des des communications communications électroniques 6 6 Voir Voirarrêt arrêt du du 21 décembre déombre 2016, Tele2 Sverige Sverige et et Watson e.a., e. a., C-203/15 C-203/15 et et C-698/15, EU:C:2016:970. EU:C:2016:970, points points 110 110 et111. 111. et 7 7 Voir Voirarrêt arrêt du du 88 avril 2014, Digital Digital Rights Rights Ireland Ireland e.a., e. a., C-293/12 et et C-594/12, C-594/12, EU:C:2014:238, EU:C:2014:238, point point 63. 63. 8 8 Voir Voirarrêt arrêt du du 8 avril 2014, Digital Digital Rights Rights Ireland Ireland e.a., e. a., C-293/12 et et C-594/12, C-594/12, EU:C:2014:238, EU:C:2014:238, point point 64, 64, et et arrêt arrêt du du 21 21 déombre 2016, Tele2 Sverige et et Watson e.a., e. a., C-203/15 C-203/15 et et C-698/15, EU:C:2016:970, EU:C:2016:970, point point 108. 108. décembre 9 9 Voir Voirarrêt arrêt du du 2 mars mars 2021, Prokuratuur, Prokuratuur, C-746/18, C-746/1 8, EU:C:2021:152, EU:C:2021:152, point point 39. 10 10Voir Voir arrêt arrêt du du 2 mars mars 2021, Prokuratuur, Prokuratuur, C-746/18, C-746/18, EU:C:2021:152, EU:C:2021:152, point point 38. 11 11 Voir Voir arrêt arrêt du du 8 avril avril 2014, Digital Digital Rights Rights Ireland Ireland e.a., e. a., C-293/12 C-293/12 et et C-594/12, C-594/12, EU:C:2014:238, EU:C:2014:238, point point 66. 12 12Voir Voirarrêt arrêtdu du21 21 décembre décembre2016, 2016, Tele2 Tele2Sverige Sverigeet et Watson Watsone.a., e.a., C-203/15 C-203/15et et C-698/15, C-698/15,EU:C:2016:970, EU:C:2016:970,point point122, 122, qui qui impose imposeaux auxfournisseurs fournisseursde deservice service de de communications communications électroniques électroniquesune uneconservation onservation des des données donnéessur surle territoire territoire de de l’Union l'Union européenne. 13 13Voir Voir arrêt arrêtdu du 21 décembre 2016, Tele2 Sverige et et Watson Watson e.a., e. a., C-203/15 C-203/15 et et C-698/15, C-698/15, EU:C:2016:970, EU:C:2016:970, point point 121, 121, qui qui impose impose aux auxautorités autoritésd'informer d'informerles lespersonnes personnes concernées concernéesde de l'accès, l'accès,dans dansla la mesure mesure où oùcette cette information information ne risque risquepas pas de decompromettre ompromettre les les enquêtes enquêtesmenées. menées. 14 14Doc. Doc. pari, parl. de de dépôt, dépôt, p. p. 17. 17. CNPD ’ CNPD Avis de de la la Commission Commission nationale pour la la protection protection des données relatif relatifau auprojet projet de de loi loi n’8148 n°8148relative relativeàà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnel et portant portantmodification: modification:1° 1 ° du duCode Codede de procédure procédurepénale pénale;; 2° 2° de de la la loi loimodifiée modifiéedu du30 30 mai mai2005 concernant oncernant la la protection protection de de la la vie vie privée privéedans dansle le secteur secteurdes des communications communicationsélectroniques ;; et juillet 2016 et 3° 3° de de la la loi loi modifiée modifiéedu du 55 juillet 2016portant portantréorganisation réorganisationdu du Service Servicede de renseignement de l’État l'État de 4/46 (dénommée (dénomméeci-après ci-aprèsla la« loi loi Télécom Télécom ») ») l'obligation l'obligation de de conservation généralisée généraliséeet et indifférenciée de toutes de toutes les les données données de detrafic traficet et de delocalisation pour pour tous tous les lesobjectifs objectifs énumérés énumérésàà l'article l'article 15 15 de la ladirective directivevie vie privée privéeet et communications communicationsélectroniques. électroniques.En Entant tantque quesubstitut, substitut, ilil entend entendintroduire plusieurs plusieurs mesures législatives de de conservation conservation des des données et et d’accès d'accès àà ces ces données qui qui sont censées censées répondre répondre aux aux exigences de de la la CJUE. 16. En 16. En droit droit interne, interne, la la Constitution Constitution garantit garantit que que les les libertés libertés publiques publiques des des citoyens citoyens sont respectées. respectées. Dans Dans le le contexte du du présent présent projet projet de de loi, loi, ces ces sont sont notamment notamment les les libertés libertés publiques publiques consacrées aux articles 20 (vie privée), 30 consacrées aux articles 20 (vie privée), 30 (inviolabilité (inviolabilité des des communications) et et 31 31 (protection (protection des jeu dans des données) données) de de la la Constitution Constitution qui qui sont sont en en jeu dans le le cadre cadre du du présent présent projet de de loi. loi. De De plus, plus, l’article 37 de la Constitution dispose que « [t]oute limitation de l'article 37 de la Constitution dispose que [tjoute de l'exercice l'exercice des des libertés libertés publiques publiques doit doit être être prévue prévue par par la la loi loi [.[.....]». ]». 17. IlIl importe 17. importe encore encore de de mentionner mentionner l'article l'article 8.2 8. 2 de de la la Convention européenne européenne des des droits droits de l’homme l'homme concernant concernant le le droit droit au aurespect respect de de la la vie vieprivée, privée, ainsi ainsi que que la la jurisprudence s'y s'yrapportant. rapportant. Cette Cette disposition disposition prévoit prévoitqu’ qu'« [i]l [i]lne nepeut peutyy avoir avoiringérence ingérenced'une d'uneautorité autoritépublique publique dans dansl’exercice l'exercice de de ce ce droit droit que que pour pour autant autant que que cette cette ingérence ingérence est est prévue prévue par par la la loi loi et et qu’elle qu'elle constitue constitue une mesure mesure qui, qui, dans dansune une société sociétédémocratique, démocratique, est est nécessaire nécessaireàà la la sécurité sécuriténationale, nationale, àà la la sûreté sûreté publique, publique, au au bien-être bien-être économique économique du du pays, pays, àà la la défense défense de de l’ordre l'ordre et et àà la la prévention prévention des des infractions pénales, à la protection de la santé ou de la morale, ou à la infractions pénales, à la de la santé ou de la ou à la protection des des droits droits et libertés libertésd'autrui d'autrui». ». Pour Pourdéterminer déterminerla la conformité conformitéàà l’article l'article 8.2, 8.2, la la Cour Coureuropéenne européennedes desdroits droitsde l’homme l'homme (ci-après (ci-après la la « CEDH CEDH ») ») recherche recherche si si l’ingérence l'ingérence est est prévue prévue par par la la loi, loi, poursuit poursuit un/des but(s) but(s) légitime(s) légitime(s)et et si si elle elleest estproportionnée proportionnéeàà ce(s) ce(s) but(s). but(s). 18. La 18. LaCNPD CNPD ayant ayantdéjà déjàabordé abordécet cet aspect, aspect, en en particulier particulier celui celui de dela laproportionnalité ainsi ainsi que la loi loi dans d'autres d'autres avis, elle de la prévisibilité de la à limite à se limite à renvoyer observations1 155.. ces observations se avis, renvoyer à ces 19. 19. La La CEDH CEDH admet admet néanmoins néanmoinsune une atténuation atténuationpour pour le le critère critèrede de prévisibilité prévisibilitéde de la la loi loi en matière jugé àà plusieurs matière de de surveillance secrète secrète :: « La La Cour Cour a jugé plusieurs reprises reprises que, que, en en matière matière d'interception d'interception de de communications, communications, la la «« prévisibilité »» ne ne pouvait pouvait se secomprendre comprendre de de la la même même façon que que dans dans beaucoup beaucoup d’autres d'autres domaines. domaines. Dans Dans le le contexte particulier particulier des des mesures mesures de de surveillance surveillance secrète, secrète, telle telle l’interception l'interception de de communications, la la prévisibilité prévisibilité ne ne saurait saurait signifier signifier qu'un qu'un individu doit se trouver à même de prévoir quand les autorités sont susceptibles d'intercepter doit se trouver à même de prévoir quand les auton'tés sont d'intercepter ses 16 communications . communicationsde demanière manièrequ’il qu'ilpuisse puisseadapter adaptersa sa conduite conduiteen enconséquence conséquence»»16. 20. Cette 20. Cette atténuation atténuation est est applicable applicable en en matière matière de de rétention rétention des des données, données, étant étant donné donnéque que la CEDH CEDhl qualifie qualifie la la conservation conservation de de données données de de trafic trafic et et de de localisation localisation comme comme une une mesure mesure de 15 15Voir Voir délibération n°3/AV3/2021 n°3/AV3/2021 du du 10 10 février février 2021, Point Point II.2. II.2. 16 16Voir Voirarrêt arrêtde de la la CEDH CEDH du du 4 décembre déombre 2015, 2015, Roman Roman Zakharov Zakharov c. e. Russie, point point 229. CNPD CNPD Avis Avis de de la laCommission Commission nationale nationalepour pourla la protection protection des desdonnées relatif relatifau auprojet projet de deloi loi n°8148 n"8148relative relativeàà la larétention rétentiondes desdonnées donnéesàà caractère caractèrepersonnel personnel et portant portant modification: 1° 1° du du Code Code de de procédure pénale pénale ; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernantla laprotection protectionde dela la vie vieprivée privéedans dansle lesecteur secteurdes descommunications communicationsélectroniques électroniques ; et juillet 2016 et 3° 3° de de la la loi loi modifiée modifiéedu du 5 juillet 2016 portant portant réorganisation du du Service Service de derenseignement renseignement de ('État l'État de 5/46 surveillance secrète secrète dont dont le le degré degré d’ingérence d'ingérence dans dans la la vie vie privée privée des des personnes personnes concernées concernées surveillance 177. La conservation et l'accès communication1 la de du contenu de l'interception du contenu de la communication . La conservation et l’accès équivaut àà celui de l’interception auxdonnées donnéesde de trafic trafic et et de delocalisation localisation doivent doivent dès dèslors lors bénéficier bénéficierdes desmêmes mêmessauvegardes sauvegardesque aux 18 les mesures mesures de de surveillance surveillance secrète secrète18. Ainsi, «« [...] [...] le le risque risqued’arbitraire d'arbitraireapparaît apparaît avec avecnetteté nettetélà là . Ainsi, les en détaillées et claires règles de L'existence secret. en s’exerce l’exécutif de où où un un pouvoir pouvoir de l'exécutif s'exerce en secret. L'existence de règles claires et détaillées en matièred’interception d'interception de deconversations conversations téléphoniques téléphoniquesapparaît apparaît donc doncindispensable, d’autant d'autant que matière rédigée être doit loi La perfectionner. se de cessent ne /es procédés procédés techniques utilisables ne de se perfectionner. La loi doit être rédigée avec les suffisamment de de clarté clarté pour pour indiquer indiquer àà tous tous de de manière manière adéquate adéquate en en quelles quelles circonstances circonstances et suffisamment pareilles prendre à publique sous quelles qrue//es conditions conditions elle elle habilite habilite la la puissance puissance publique à prendre pareilles mesures mesures sous 19 secrète »»19.. 21. La CEDH CEDH ajoute encore que que la la loi loi doit, doit, de de manière suffisamment suffisamment claire, définir définir l’étendue retendue La 21. mesure la et les les modalités modalités de de l’exercice l'exercice du du pouvoir pouvoir d’appréciation d'appréciation de de l’autorité l'autorité qui qui ordonne ordonne la mesure de et pour éviter éviter l'arbitraire. l'arbitraire. Elle Elle « énonce énonce les les garanties garanties minimales minimales suivantes suivantes contre contre les les surveillance pour a6us de ofepouvoir que que la la loi loi doit doit renfermer :: la la nature des des infractions infractions susceptibles de de donner donner lieu à abus un mandat mandat d’interception, d'interception, la ladéfinition définitiondes descatégories catégories de de personnes personnes susceptibles d'être d'êtremises mises sur un écoute, la la fixation fixationd’une d'une limite limite àà la la durée duréed’exécution d'exécutionde de la la mesure, mesure, la la procédure procédureàà suivre suivre pour pour écoute, pour prendre à précautions les recueillies, données des /'examen, l'utilisation et la conservation des données recueillies, les précautions à prendre pour conservation la et l'utilisation l’examen, lacommunication communicationdes des données donnéesàà d'autres d'autresparties, parties, et et les les circonstances circonstancesdans danslesquelles lesquelles peut peut ou la 20 . » enregistrements des destruction la ou doit doits’opérer s'opérer l'effacement ou la destruction des enregistrements »20. 22. Concernant Concernant la la condition condition que que la la mesure mesure doit doit être être nécessaire nécessaire dans dans une une société société 22. démocratique, la la CEDH CEDH précise précise que que des des garanties adéquates et et effectives doivent exister exister afin démocratique, d'éviterl’arbitraire l'arbitraire et et les les abus. abus. Elle Elle estime estime que que l'existence l'existence d’un d'un contrôle contrôle de de la la nécessité nécessitéde de la d'éviter est une une telle telle garantie et et que que l’appréciation l'appréciation doit doit se se faire faire en en prenant en en compte toutes les mesure est contrôle circonstances de de l’affaire l'affaire en en question. La La CEDH CEDH explique explique encore encore que que le le contrôle peut peut se se faire à circonstances trois moments moments :: au au moment moment où oùla la mesure mesure est est ordonnée, pendant pendant l’exécution l'exécution et et lorsque lorsque la la mesure mesure trois 21 estterminée. terminée.21 est 23. Afin Afin d'apprécier d'apprécier si si les les différentes différentes mesures mesures législatives législatives prévues prévues par par le le projet projet de de loi 23. respectent les les exigences exigences de de la la CJUE CJUE et et de de la la CEDH, CEDH, ilil est est nécessaire nécessaire de de différencier différencier entre entre les respectent de conservation conservation de de données (I) (l) et et les les mesures mesures législatives d’accès d'accès àà ces mesures législatives de données (II). (II). Enfin, Enfin, ilil convient encore d’examiner d'examiner les les autres modifications (III) (III) que que le le projet de de loi entend apporter. apporter. 17 17Voir Voirarrêt arrêtde dela la CEDH CEDHdu du11 11 janvier janvier2022, 2022,Ekimdzhiev Ekimdzhievet et autres autresc. e. Bulgarie, Bulgarie, point point394. 18Ibid, Ibid,point point295. 18 19 19Voir arrêtde de la la CEDH CEDHdu du 4 décembre déombre2015, 2015,Roman RomanZakharov Zakharovc. e. Russie, Russie, point point 229. Voir arrêt 20Ibid., te;d, points points 230 230 et et 231. 231. 21 21 Ibid., Ibid., points points 232 232 àà 234. 234. CNPD 20 Avis de de la la Commission nationale pour pour la la protection des des données Avis relatif au au projet projet de de loi loi n°8148 n°8148 relative relative àà la larétention rétention des des données données àà caractère caractère personnel et relatif portant portant modification: modification: 1° 1° du du Code Code de de procédure procédure pénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30 mai mai2005 concernant la la protection protection de de la la vie vie privée privéedans dans le le secteur secteur des des communications électroniques électroniques ;; juillet 2016 et 3° 3° de dela la loi loimodifiée modifiéedu du55 juillet 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement et del'État l'État de 6/46 6/46 I.l. Les Les mesures législatives de de conservation de de données 24. Le 24. Le projet projet de de loi loi opère opère un un changement de de paradigme en en ce ce qu’il qu'il introduit introduit le le principe principe de l’interdiction l'interdiction d’une d'une conservation conservation généralisée généralisée et et indifférenciée indifférenciée des des données données de de trafic trafic et et de localisation. IlIl ressort ressort du du commentaire des des articles articles que que « [contrairement [cjontrairement au au libellé libellé introduit introduit par par la er Loi Loi Telecom [...] [... J le le principe inscrit inscrit au au nouveau paragraphe paragraphe 11er est est celui celui de de l’interdiction l'interdiction de conservation jurisprudence européenne, conservationdes desdonnées donnéesrelatives relatives au autrafic. trafic. Tel Tel que que prévu prévupar parla la jurisprudence européenne,les les données donnéesseront serontdonc donceffacées effacéesou ourendues renduesanonymes anonymessur surbase basedu duprincipe principede de nécessité nécessitéet et tel tel que préconisé préconisépar parla la CJUE CJUE». 25. IlIl est 25. est effectivement de de jurisprudence constante que que le le principe de de confidentialité est 22 stricte2 2.. Ainsi, confirmer à à plusieurs a pu à ce ce d’interprétation Ainsi, la Cour a d'interprétation stricte plusieurs reprises qu'une dérogation reprises qu'une dérogation à pu confirmer principe principe sur sur base basede de l’article l'article 15 15 de de la la directive vie vie privée privée et et communications électroniques ne ne peut pas, pas, en en ce ce qui qui concerne concerne notamment notamment la la conservation conservation de de ces ces données, données, devenir devenirla la règle règlemais mais doit toujours toujours rester resterl’exception l'exception et et doit doit respecter respecterle le principe principede denécessité. nécessité. 26. La 26. La CJUE CJUE fournit dans dans ses ses arrêts arrêts les les exigences àà prendre en en compte afin afin de de garantir garantir une conservation limitée limitée au au strict strict nécessaire. Ces Ces délimitations peuvent peuvent jouer jouer au au niveau niveau des des finalités et/ou eVou de de l’étendue retendue de de la la mesure. Etant Etant donné donné que que l’exposé l'exposé des des motifs motifs reprend fidèlement fidèlement les exigences exigences que que la la CJUE CJUE a rattaché rattaché àà chacune chacune de de ces ces catégories, catégories, le le présent présent avis avis se se limite limite à 233. à explications2 . renvoyer renvoyer à ces explications 27. La 27. LaCJUE CJUErépartit répartitles les mesures mesures législatives législativesde de conservation conservation des des données donnéesen en trois trois grandes catégories, àà savoir savoir la la conservation ciblée, ciblée, la la conservation généralisée généralisée et et indifférencié indifférencié et et la conservation conservation rapide. 28. A 28. A la la lecture lecturedu duprojet projet de deloi, loi, ilil devient devientclair clairque queles les auteurs auteursintroduisent introduisentces ces trois trois catégories catégories de de mesures, mesures, dont dont certaines doivent être être ordonnées (A) (A) par par le le juge juge d’instruction, d'instruction, le le procureur ou le le service de de renseignement (ci-après (ci-après le le « SRE SRE ») ») tandis tandis que que d’autres d'autres résultent résultent d’une d'une obligation obligation légale légalede deconservation conservation (B). 29. De 29. De plus, plus, la la CJUE CJUEexige exigeque que la la conservation conservation des des données donnéesde de trafic trafic et et de de localisation localisation soit entourée entourée de de garanties garanties suffisantes suffisantes et et appropriées appropriées par par les les opérateurs opérateurs et et fournisseurs. fournisseurs. Comme chaque chaque mesure de de conservation doit doit répondre répondre àà cette cette exigence, ilil convient de de regrouper regrouper les les observations observations yy relatives relatives dans dans une une section section dédiée dédiée(C). 22 2 Voir Voirarrêt arrêtdu du21 21 décembre décembre2016, 2016,Tele2 Tele2Sverige Sverigeet et Watson Watsone.a., e.a., C-203/15 C-203/15et et C-698/15, C-698/15,EU:C:2016:970, EU:C:2016:970,point point89. 23 23 Doc. Doc. pari, pari. de de dépôt, dépôt, p. p. 11 11 àà 15. 15. CNPD Avis Avis de de la la Commission Commission nationale nationale pour pourla la protection protection des desdonnées relatif relatifau auprojet projet de de loi loi n°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet portant portantmodification: modification:1° 1 ° du du Code Codede deprocédure procédurepénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30mai mai2005 concernant oncernant la la protection protection de de la la vie vie privée privéedans dans le le secteur secteur des des communications communications électroniques ;; et et 3° 3° de de la la loi loi modifiée modifiéedu du 55 juillet juillet 2016 2016portant portantréorganisation réorganisationdu du Service Servicede de renseignement del’État l'État de 7/46 A. Les mesures mesures de de conservation conservation devant devant être être ordonnées A. Les 1. La Lamesure mesure de de conservation conservation du du nouvel nouvel article article 24-3 24-3du du Code Codede de procédure 1. pénale pénale er 30. , point 30. L’article L'article 11er, point 1° 1° du du projet projet de de loi loi introduit introduit un un nouvel nouvel article article 24-3 24-3 dans dans le le Code Code de procédure procédure pénale pénale (ci-après (ci-après le le « CPP CPP») ») ayant ayant comme comme objectif objectif de de mettre mettre àà la la disposition disposition du procureur d’État d'Étatune une mesure de de conservation conservation des des données de de trafic trafic et et de de localisation. localisation. Ainsi, le d'Étatpeut peut ordonner dans dans le le cadre cadre de de la la recherche, recherche, de de la laconstatation constatation et etde dela la poursuite poursuite procureur d’État d’infractions d'infractions pénales pénales qui qui emportent emportent une une peine peine criminelle criminelle ou ou une une peine peine correctionnelle correctionnelle dont dont le maximum maximumest estégal égalou ousupérieur supérieuràà un un an and'emprisonnement d'emprisonnementla laconservation conservationdes desdonnées donnéesrelatives au trafic trafic et et àà la la localisation qu’il qu'il juge juge nécessaires. nécessaires. au 31. La 31. La CNPD CNPD partage partage la la confusion exprimée exprimée par par les les Parquets Parquets du du Tribunal d'Arrondissement d'Arrondissement de deLuxembourg Luxembourget et de deDiekirch Diekirchdans dansleur leuravis aviscommun communen en ce cequ’il qu'il n’est n'estpas pasclair clairsi sila la mesure mesure de conservation conservationvaut vautpour pourles les données donnéesdéjà déjàgénérées généréesou ou traitées traitéespar parles les opérateurs opérateurset et fournisseurs ou ou si si elle elle vaut vaut pour pour les les données donnéesqui qui seront seront encore encore générées généréesou ou traitées traitéespar par les les opérateurs opérateurs et 24 à partir partir de de la la date date de de l’ordonnance l'ordonnance24. Le commentaire des des articles articles contribue contribue fournisseurs à . Le davantage davantageàà la la confusion confusioncomme comme les les auteurs auteurs du du projet projet de de loi loi parlent parlent tant tant de de la la mesure mesure comme 25 conservation ciblée ciblée que que « d’une d'une sorte sorte de de « quick quick freeze freeze »» [conservation [conservation rapide] pour pour le le futur futur »»25. conservation . Ainsi, ilil n’est n'est pas pas tout tout àà fait fait clair clair si si la la nouvelle mesure mesure est est une une mesure mesure de de conservation ciblée ciblée ou Ainsi, une une mesure mesure de de conservation rapide. rapide. 32. D'aprèsla la compréhension compréhensionde dela la CNPD, CNPD,la la conservation conservation ciblée cibléeainsi ainsique que la la conservation 32. D'après rapide rapidetelles tellesque quedécrites décritespar parla laCJUEsont CJUEsontdeux deuxmesures mesureslégislatives législativesdistinctes, distinctes,avec avecnotamment des des exigences distinctes. En En effet, pour pour la la conservation rapide, la la CJUE CJUE exige exige notamment que «« [d]ans [djansla la mesure mesureoù oùla la finalité finalitéd’une d'unetelle telle conservation conservationrapide rapidene necorrespond correspondplus plus àà celles cellespour pour lesquelles lesquelles les les données données ont ont été étécollectées collectées et et conservées conservéesinitialement initialement et et où où tout tout traitement traitement de données doit, doit, en en vertu vertu de del’article l'article 8, 8, paragraphe 2, 2, de dela laCharte, répondre répondre àà des desfins fins déterminées, déterminées, données tesÉtats Étatsmembres membres doivent doivent préciser, préciser, dans dans leur leurlégislation, législation, la lafinalité finalitépour pour laquelle laquelle la laconservation conservation les 26 rapide . Cette rapide des des données donnéespeut peut avoir avoir lieu lieu»»26. Cette exigence exigence s’explique s'explique par par le le fait fait que que le le traitement initial initial des des opérateurs opérateurset et fournisseurs fournisseursavait avaitune une finalité finalitécommerciale. commerciale. Or, Or, après aprèsl’ordonnance l'ordonnance de conservation conservationrapide, rapide,une unenouvelle nouvellefinalité finalités'ajoute s'ajouteàà cette cettefinalité finalitéinitiale. initiale.Cette Cettenouvelle nouvellefinalité finalitéde 24 24Avis Aviscommun commundes desParquets Parquetsdu duTribunal Tribunald'Arrondissement d'Arrondissementde de Luxembourg Luxembourget etde deDiekirch Diekirchdu du13 13avril avril2023, 2023,doc. pari. pari. n°8148/03, n°8148/03,p.3. 25 Doc. pari, 2SDoc. pari. de de dépôt, dépôt, p.18. p. 18. 26 26Arrêt Arrêtdu du 66 octobre octobre 2020, 2020, La LaQuadrature Quadraturedu du Net Net e.a., e.a., C-511/18, C-511/18,C-512/18 C-512/18et et C-520/18, C-520/18,EU:C:2020:791, EU:C:2020:791,point point164 164 et arrêtdu du55 avril awil2022, 2022,Commissioner Commissionerof of An Garda Slochàna Sfochânae.a., e.a., C-140/20, C-140/20,EU:C:2022:258, EU:C:2022:258,point point87. arrêt An Garda CNPD Avis Avis de de la la Commission nationale pour pour la la protection protection des des données données relatifau auprojet projet de deloi loin°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet relatif portant portantmodification: modification:1° 1° du duCode Codede deprocédure procédurepénale pénale;; 2° 2° de dela laloi loimodifiée modifiéedu du30 30mai mai2005 concernantla laprotection protectionde de la la vie vieprivée privéedans dansle le secteur secteurdes descommunications communicationsélectroniques électroniques ;; concernant et 3° 3° de de la la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation du du Service de de renseignement renseignement et de I*État l'État de 8/46 prévention et et de de détection détection des des infractions infractions pénales, pénales, d’enquêtes d'enquêtes et et de de poursuites poursuites en en la la matière, matière, y compris la protection contre les menaces pour la sécurité publique et la prévention compris la protection contre les menaces pour la sécurité publique et la prévention de de telles menaces, devrait devrait dès dèslors lors être être ancrée ancréedans dans la la loi. loi. menaces, 33. 33. Enfin, Enfin, d’après d'aprèsla la description description fournie fournie par parla la CJUE, CJUE,la la conservation conservation rapide rapidedevrait devrait servir servir àà conserver les les données données dont dont ilil existe existe un un risque risque de de perte perte ou ou de de modification. modification. IlIl s'agit s'agit donc donc d’une d'une mesure mesure qui qui s’applique s'applique àà des des données données existantes et et déjà déjà détenues détenues par par les les opérateurs et des données données qui seront générées ou futur2277.. Ainsi, traitées dans le le futur la fournisseurs, plutôt qu’à ou traitées fournisseurs, Ainsi, la qu'à des CNPD CNPDse sedemande demandesi sile lenouvel nouvelarticle article24-3 24-3du duCPP CPPne nese selimite limitepas pasàà introduire introduireune uneconservation ciblée cibléeplutôt plutôt qu’une qu'une conservation rapide. rapide. 34. Tel 34. Tel que que revendiqué revendiqué par par les les Parquets Parquets du du Tribunal d'Arrondissement de de Luxembourg et et de Diekirch dans leur avis commun, des clarifications quant à la mesure législative visée par l’article Diekirchdansleuravis commun, desclarificationsquant à la mesure législativeviséepar l'article 24-3 24-3du duCPP CPPdevraient devraientêtre êtreapportées, apportées,notamment notammentpour pourpréciser précisersi si elle elle se serapporte rapporteaux auxdonnées données 28 déjà . Si déjàgénérées généréesou ou traitées, traitées,et/ou et/ou aux auxdonnées donnéesqui qui seront seront générées généréesou ou traitées traitéesdans dans le lefutur futur28. effectivement effectivementles les auteurs auteursdu du projet projet de deloi loi visent visent les les deux deuxcas cas de de figure, figure, c'est-à-dire c'est-à-direles les données données futures futureset et les les données donnéesexistantes, existantes, se se pose posealors alorsla laquestion questions'il s'il ne neserait seraitpas pasplus plus clair clairde deprévoir prévoir deux deuxdispositions dispositions séparées. séparées. 35. Par 35. Parailleurs ailleurs ilil serait seraitintéressant intéressantde de savoir savoirpourquoi pourquoi les les auteurs auteurs du du projet projet de de loi loi n’ont n'ont pas rajouté rajoutéla la mesure mesurede de conservation conservationciblée cibléeàà l’article l'article24-1 24-1 du duCPP CPPrégissant régissantla la « mini-instruction mini-instruction». D’autant plus qu’un contrôle juridictionnel effectif serait alors garanti et qu'un lien D'autantplus qu'uncontrôlejuridictionnel effectifseraitalors garantiet qu'un lienavec avecl'article l'article676711 du du CPP CPP traitant traitant de de l’accès l'accès aux aux données données ainsi ainsi conservées conservées serait serait établi. établi. D’après D'après la compréhension de de la la CNPD, CNPD, ilil ressort des des travaux travaux parlementaires de de l’article l'article 67-1 du du CPP CPP que que le juge d’instruction juge d'instruction peut peut ordonner ordonner l’accès l'accès aux aux données données conservées par par les les opérateurs et fournisseurs ainsi ainsi que que la la conservation conservation de de données futures. Le Le recours àà la la mini-instruction mini-instruction serait dès dèslors lors envisageable, àà condition que quel’article l'article 67-1 67-1 du du CPP CPP respectent les les exigences de de le le CJUE. 36. Dans 36. Dans le le même même ordre ordre d’idées, d'idées, la la CNPD CNPD se se demande pourquoi pourquoi les les auteurs du du projet projet de de loi, loi, si si la la mesure sous sous avis avis devrait devrait être être une une mesure mesure de de conservation rapide, rapide, ne ne l’ont l'ont pas pas ajoutée ajoutée au Chapitre X X du du CPP CPP prévoyant prévoyant la la conservation rapide rapide des des données données informatiques informatiques àà disposition du juge d'instruction et juge et du du procureur procureur d'État. 37. Dans 37. Dans tous tous les les cas, cas, les les mesures législatives législatives doivent doivent répondre répondre aux aux exigences de de la la CJUE. Partant, Partant, dans dans l’hypothèse l'hypothèse où où le le nouvel nouvel article 24-3 24-3 du du CPP CPP régit régit une une mesure mesure de de conservation conservation ciblée ciblée des des données données de de trafic trafic et et de de localisation, localisation, elle elle ne ne peut peut être être prise prise qu’« qu'« aux aux fins fins de de la 27 27Arrêt Arrêtdu du66 octobre octobre2020, 2020,La LaQuadrature Quadraturedu duNet Nete.a., e.a.,C-511/18, C-511/18,C-512/18 C-512/18et etC-520/18, C-520/18,EU:C:2020:791, EU:C:2020:791,points points162 162 et 163. 163. et 28 Avis commun 28Avis commundes desParquets Parquetsdu duTribunal Tribunald’Arrondissement d'Arrondissementde deLuxembourg Luxembourget etde deDiekirch Diekirchdu du13 13avril avril2023, 2023,doc. pari. n°8148/03, n°8148/03,p.3. pari. CNPD CNPD Avis Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données données relatif relatif au au projet projet de de loi loi n°8148 relative relative àà la la rétention des des données données àà caractère personnel personnel et portant portantmodification: modification:1° 1 ° du du Code Codede de procédure procédurepénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du30 30 mai mai2005 concernant la la protection de de la la vie vie privée privée dans dans le le secteur des des communications communications électroniques électroniques ;; et et3° 3°de dela la loi loimodifiée modifiéedu du55 juillet juillet2016 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement del’État l'État de 9/46 sauvegarde sauvegarde de dela la sécurité sécuriténationale, de dela la lutte lutte contre contre la la criminalité criminalitégrave grave et etde dela la prévention prévention des 29 menaces graves graves contre contrela lasécurité sécuritépublique publique »»29.. Par Parailleurs, elle elle doit doitêtre être « délimitée, délimitée, sur sur la la base menaces d’éléments d'élémentsobjectifs objectifset etnon nondiscriminatoires, discriminatoires,en enfonction fonctionde decatégories catégoriesde depersonnes personnesconcernées concernées ou ou au au moyen moyen d’un d'un critère critère géographique, géographique, pour pour une une période période temporellement temporellement limitée limitée au au strict strict nécessaire, mais mais renouvelable renouvelable » 30 30. La Cour Cour précise précise encore encore qu’une qu'une telle telle mesure mesure doit doit assurer, nécessaire, . La « par pardes desrègles règlesclaires claireset etprécises, précises,que quela la conservation conservationdes desdonnées donnéesen encause causeest estsubordonnée subordonnée au au respect respect des des conditions conditions matérielles matérielles et et procédurales procédurales y afférentes afférentes et et que que les les personnes personnes 31 concernées disposent disposent de de garanties garanties effectives effectives contre contre les lesrisques risques d’abus d'abus »»31.. concernées 38. les finalités finalités pour pour lesquelles lesquelles on on peut peut recourir recourir àà une une mesure mesure de de conservation conservation 38. Concernant les ciblée, ciblée, la la jurisprudence de de l’Union l'Union européenne européenne admet admet que que ce ce n’est n'est possible possible qu’« qu'« aux aux fins fins de de la sauvegarde sauvegardede dela lasécurité sécuriténationale, nationale, de dela la lutte luttecontre contrela la criminalité criminalitégrave graveet etde dela la prévention préventiondes des 32 menaces graves graves contre contre la la sécurité sécuritépublique publique »» 32.. menaces 39. 39. IlIl yy a lieu lieude deconstater constaterque quele lenouvel nouvel article article24-3 24-3du du CPP CPPretient retientun unseuil seuilcomme commecritère critèrede savoir les les infractions pénales pénales qui qui emportent une une peine peine criminelle ou ou une une peine peine délimitation, àà savoir dont le le maximum maximum est est égal égal ou ou supérieur supérieur àà un un an an d’emprisonnement. d'emprisonnement. La La CNPD correctionnelle dont partage partage l’appréciation l'appréciation du du Conseil Conseil d’État d'État que que « les tes infractions infractions sanctionnées sanctionnées par par une une peine d’emprisonnement d'emprisonnementégale égaleou ousupérieure supérieureàà un unan anne nerelevant relevantde desurcroît pas pastoutes toutesde dela lacriminalité criminalité 33 grave »»33. convient de de se se demander demander si si le le seuil seuil fixé fixé est est suffisamment élevé. élevé. La La CNPD grave . Ainsi, Ainsi, ilil convient 34 réitèredès dèslors lors sa sa préférence préférenceexprimée exprimée dans dans plusieurs plusieurs avis avis34pour pourune uneliste listelimitative d’infractions d'infractions réitère qualifiées de de graves. Une Une liste liste limitative permettrait de de réserver réserver les les mesures mesures législatives législatives aux qualifiées enquêtes enquêtes et et aux aux actes actes de de poursuite poursuite relatifs relatifs àà des des infractions infractions qui qui se se situent situent clairement clairement dans dans le contexte de de la la criminalité grave. grave. 40. Les Lesauteurs auteurs du duprojet projet de de loi loi expliquent expliquentqu’il qu'il s'agit s'agitd’un d'unchoix choixpolitique politiquenational national comme commela la 40. arrêt Dans un un arrêt l'Union européenne niveau de de l’Union harmonisée au définition harmonisée au niveau de définition connaît pas de notion ne ne connaît européenne3355.. Dans notion 36 récent,la la CJUE CJUEconfirme confirmecette cette approche approche36 touteen enrappelant rappelantque que«« la la définition définitiondes des« infractions infractions récent, toute graves graves …