Avis Avis de de la la Commission nationale nationale pour pour la la protection des des données données relatif relatif au au projet de de loi loi n°8148 n°8148 relative relative à à la la rétention rétention des des données données à à caractère personnel et et portant modification :: 1° 1° du du Code Code de de procédure pénale pénale ;; 2° de de la la loi modifiée du 30 30 mai 2005 2005 concernant concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur des des communications communications électroniques ;; et et 3° 3° de de la la loi loi modifiée du du 5 juillet 2016 2016 portant portant réorganisation réorganisation du Service de renseignement de de l’État l'Etat Délibération n° n° 28/AV12/2024 28/AV12/2024 du du 16 16 mai mai 2024. Délibération 1. Conformément 1 Conformémentàà l’article l'article 57.1.

1. c)57. 1 .
2. e)du du règlement règlement(UE) (DE) 2016/679 2016/679 du du Parlement Parlement européen européenet du du Conseil Conseildu du 27 27avril avril 2016 2016relatif relatifàà la la protection protection des des personnes personnesphysiques physiquesàà l'égard l'égarddu du traitement des des données données àà caractère caractère personnel personnel et et àà la la libre libre circulation circulation de de ces ces données, données, et et abrogeant abrogeant la directive directive 95/46/CE 95/46/CE (règlement (règlement général général sur sur la la protection protection des des données) données) (ci-après (ci-après le le « RGPD RGPD»), er auquel auquel se se réfère réfèrel'article l'article 77 de de la la loi loi du du 11er août août 2018 2018 portant portant organisation organisation de de la la Commission nationale nationale pour pour la la protection des des données données et et du du régime régime général général sur sur la la protection des des données, la la Commission Commission nationale nationalepour pourla la protection protection des des données données(ci-après (ci-aprèsla la « Commission Commission nationale nationale » ou la « CNPD CNPD ») ») « conseille, conformément au au droit droit de de l’État l'État membre, le le parlement national, le le la gouvernement gouvernement et et d'autres d'autres institutions institutions et et organismes organismes au au sujet sujet des des mesures mesures législatives législatives et et administratives relatives relatives àà la la protection des des droits droits et et libertés libertés des des personnes physiques àà l'égard l'égard du traitement traitement 9. du ». Par ailleurs, l’article l'article 36.4 du du RGPD RGPD dispose dispose que que « [Ijes [l]es États Étatsmembres membres consultent consultent l'autorité l'autorité de Par contrôle contrôle dans dans le le cadre cadre de de l'élaboration l'élaboration d'une d'une proposition proposition de de mesure mesure législative législative devant devant être être adoptée adoptéepar par un un parlement parlement national, national, ou ou d'une d'unemesure mesure réglementaire réglementairefondée fondéesur sur une une telle telle mesure mesure législative, législative, qui qui se se rapporte rapporte au au traitement traitement ». 2. Par courrier courrier en en date date du du 2 2 février février 2023, 2023, Madame Madame la la Ministre Ministre de de la la Justice Justice a invité invité la la 2. Par Commission Commission nationale nationale àà se se prononcer prononcer sur sur le le projet projet de de loi loi n°8148 n°8148 relative relative àà la la rétention rétention des données donnéesàà caractère caractèrepersonnel personnel et et portant portant modification: modification:1" 1° du du Code Code de de procédure procédurepénale pénale;; 2° 2° de la loi loi modifiée modifiée du du 30 30 mai mai 2005 2005 concernant concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur secteur des la communications communicationsélectroniques électroniques;; et et 3° 3° de dela la loi loimodifiée modifiéedu du 55 juillet juillet 2016 2016portant portantréorganisation réorganisationdu de renseignement renseignement de de l’État t'État(ci-après le le « projet de de loi loi »). »). Service de 3. Selon 3. Selon l’exposé l'exposédes des motifs, motifs, le le projet projetde de loi loi a pour pour objet objetde de «« répondre répondreaux auxexigences exigencesde de la la jurisprudence européenne jurisprudence européenne en en permettant permeHant une une conciliation conciliation entre entre les les deux deux exigences exigences que que sont CNPD CNPD Avis Avis de de la la Commission Commission nationale nationale pour pour la la protection protection des des données données relatif relatifau au projet projet de deloi loi n°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet portant portantmodification: modification:1° 1 ° du duCode Codede de procédure procédurepénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30mai mai2005 concernant concernant la la protection protectionde dela la vie vie privée privéedans dans le le secteur secteurdes des communications ommunications électroniques ; et et 3° 3" de de la la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation du du Service de de renseignement renseignement del’État l'État de 1/46 1/46 1 sécurité . La justice de sécuritéet et liberté liberté»»1. La Cour Cour de de justice de l’Union l'Union européenne européenne (ci-après (ci-après la la «« CJUE CJUE»» ou ou la 2 « Cour Cour») ») a depuis depuis le le premier premier arrêt arrêten en la la matière matière en en 2014 20142 détaillé détailléde de plus plus en en plus plus sa sa position quant à la possibilité pour les opérateurs de télécommunications ou les fournisseurs de quant à la possibilité pour les opérateurs de télécommunicationsou les fournisseurs de services de de communications communications électroniques électroniques(ci-après (ci-aprèsles les « opérateurs opérateurset et fournisseurs fournisseurs ») ») de de conserver conserver des données donnéesde de trafic trafic et et de de localisation localisation et et pour pour les les autorités autoritésnationales nationales compétentes compétentes d’accéder d'accéderaux aux conservées. données ainsi conservées. 4. La à 4. La Cour Cour soulève soulève qu’une qu'une telle telle conservation conservation par par les les opérateurs opérateurs et et fournisseurs fournisseurs va va à l’encontre rencontre du du principe principe de de confidentialité confidentialité consacré consacré par par la la directive directive 2002/58/CE 2002/58/CE du du Parlement Parlement européen juillet 2002 européen et et du du Conseil Conseil du du 12 12 juillet 2002 concernant concernant le le traitement traitement des des données données àà caractère personnel personnel et etla la protection protection de de la la vie vie privée privéedans dans le le secteur secteurdes des communications communicationsélectroniques électroniques(ci(ciaprès aprèsla la «« directive directive vie vie privée privéeet et communications communicationsélectroniques électroniques»). »). Ainsi, Ainsi, les les données donnéesde de trafic traficet de de localisation doivent doivent en en principe être être effacées effacées ou ou rendues rendues anonymes lorsqu'elles ne ne sont sont plus plus à la la transmission transmission d’une d'une communication. communication. nécessaires à 5. Ce 5. Ce principe principed'effacement d'effacementsubit subit pourtant pourtant des des dérogations, dérogations,notamment notammenten en ce ce qui qui concerne la la conservation conservation de de données données requises requises pour pour établir établir les les factures factures et et les les paiements paiements pour pour interconnexion, interconnexion, voire voire encore encore la la possibilité possibilitéavec avec le le consentement consentement de de la la personne personne concernée concernée de traiter traiter ces ces données donnéesàà des des fins fins commerciales commerciales ou ou de de fourniture fourniture de de services services àà valeur valeur ajoutée. ajoutée. Une Une autre dérogation découle de de l'article l'article 15 15 de de cette directive qui qui accorde la la possibilité aux aux États États autre membres membres de de limiter limiterla la portée portéedes des droits droitset et des des obligations obligations dans danscertains certainscas. 6. La jurisprudence en 6. La jurisprudence en matière matière de de rétention rétention des des données données porte porte ainsi ainsi essentiellement essentiellement sur sur l’interprétation l'interprétationde dela la Cour Coursur surles lesdérogations dérogationspossibles possiblesen en application applicationde del’article l'article 15 15de dela la directive 3 vie qui vieprivée privéeet etcommunications communicationsélectroniques. électroniques.Dans Dansles les arrêts arrêts3 quiont ontsuivi suivile lepremier premierarrêt arrêt«« Digital Digital Rights Rights Ireland Ireland » du du 88 avril avril 2014, 2014, la la Cour Courdécline déclinede de plus plus en en plus plus cette cette interprétation interprétationet et fournit fournitdes indications quant aux modalités qui doivent accompagner ces dérogations admissibles indications quant aux modalités qui doivent accompagner ces dérogations admissibles au principe principe de de confidentialité. confidentialité. 1 1 Doc. Doc.pari, pari.de dedépôt, dépôt,p. p. 17. 17. 2 Arrêt Arrêtdu du88 avril avril2014, 2014,Digital DigitalRights RightsIreland Irelande.a., e.a.,C-293/12 C-293/12et etC-594/12, C-594/12,EU:C:2014:238. EU:C:2014:238. 3 3 Arrêt Arrêtdu du21 21 décembre décembre2016, 2016,Tele2 Tele2 Sverige Sverigeet etWatson Watsone.a., e.a., C-203/15 C-203/15et etC-698/15, C-698/15,EU:C:2016:970 EU:C:2016:970 ;, 2 arrêt arrêtdu du22 octobre octobre2018, 2018, Ministerio MinisterioFiscal FiscalC-207/16, C-207/16,EU:C:2018:788 EU:C:2018:788 ;; arrêtdu du66 octobre octobre2020, 2020, La LaQuadrature Quadraturedu duNet Net e.a., e. a., C-511/18, C-511/18,C-512/18 C-512/18et etC-520/18, C-520/18,EU:C:2020:791 EU:C:2020:791 ;, arrêt arrêt arrêtdu du66 octobre octobre2020, 2020, Privacy PrivacyInternational, International, C-623/17, C-623/17,EU:C:2020:790 EU:C:2020:790 ;; arrêtdu du22 mars mars 2021. 2021 ,Prokuratuur, Prokuratuur, C-746/18, C-746/18,EU:C:2021:152 EU:C:2021:152 ;; arrêt arrêtdu du 5 5 avril avril 2022, 2022, Commissioner Commissionerof of An An Garda Garda Sfochâna Siochânae.a., e.a., C-140/20, C-140/20, EU:C:2022:258 EU:C:2022:258 ;; arrêt arrêt du du 20 20 septembre septembre 2022, SpaceNet SpaceNet et et Telekom Telekom Deutschland Deutschland C-793/19 et et c-794/19, EU:C:2022:702 EU:C:2022:702 ,; arrêt arrêt arrêtdu du 17 17 novembre novembre2022, 2022, Spetsializirana Spetsializiranaprokuratura prokuraturaC-350/21, C-350/21, EU:C:2022:896 EU:C:2022:896 ;; arrêt arrêtdu du 30 30 avril avril 2024, 2024, Procura Procuradélia déliaRepubblica Repubblicapresso pressa ilil Tribunale Tribunaledi di Bolzano, Bolzano, C-178/22, C-178/22,EU:C:2024:371 EU:C:2024:371 ;; arrêt arrêtdu du 30 30 avril avril2024, 2024, La LaQuadrature Quadraturedu duNet Nete.a. e. a. (Données (Donnéespersonnelles personnelles et et lutte lutte contre ontre la la contrefaçon), contrefaçon), C-470/21, EU:C:2024:370. EU:C:2024:370. CNPD Avis de Avis de la la Commission Commission nationale nationalepour pourla la protection protection des des données données relatif relatif au au projet de de loi loi n°8148 n°8148 relative àà la la rétention des des données données àà caractère personnel personnel et portant portant modification: modification:1° 1 ° du duCode Codede de procédure procédurepénale pénale;; 2° 2° de de la la toi loimodifiée modifiéedu du30 30 mai mai2005 concernant la la protection protectionde de la la vie vieprivée privéedans dans le le secteur secteurdes des communications communicationsélectroniques ;; concernant et et 3° 3° de dela la loi loi modifiée modifiéedu du 55 juillet juillet 2016 2016portant portant réorganisation réorganisationdu du Service Service de de renseignement del’État 1-État de 2/46 7. La 7. La CJUE CJUE détermine détermine ainsi ainsi que que l’article l'article 15 15 de de la la directive directive vie vie privée privée et et communications électroniques, lu lu àà la la lumière lumière de de la la Charte Charte des des droits droits fondamentaux de de l'Union l'Union européenne, ne ne s’oppose s'oppose pas pas àà des des mesures législatives législatives nationales prévoyant prévoyant tant tant la la conservation de de données de de trafic trafic et et de de localisation localisation que que l’accès l'accès àà ces ces données donnéespour pour autant autant qu’elles qu'elles soient soient limitées limitées en en ce qui concerne les objectifs recherchés ainsi que délimitées en ce qui concerne les personnes qui concerne les objectifs recherchés ainsi que délimitées en ce qui concerne les visées, visées, les les moyens moyens de de communications ciblés, ciblés, les les catégories catégories de de données données conservées et et la la durée de de conservation conservation retenue retenue et et qu’elles qu'elles « assurent, assurent, par par des des règles règles claires claires et et précises, précises, que que la conservation conservation des des données données en en cause cause est est subordonnée subordonnéeau au respect respect des des conditions conditions matérielles matérielles et procédurales y afférentes afférentes et et que que les les personnes concernées concernées disposent disposent de de garanties garanties effectives effectives 4 contre . contre les les risques risques d’abus d'abus »»4. 8. Au 8. Au fil fil des des dernières dernières années, années, la la CJUE CJUE a pu pu analyser, dans dans les les arrêts arrêts relatifs àà la la rétention rétention des des données, données,différentes différentesmesures mesures législatives législativesde deconservation conservationet etd’accès d'accèsayant ayanttenté tentéde derépondre aux exigences soulevées dans sa jurisprudence. Par conséquent, elle a pu préciser de plus plus en aux exigences soulevées dans sa jurisprudence. Par conséquent, elle pu préciser de plus plus ce ce que que des des mesures mesures législatives législatives de de conservation et et d’accès d'accès doivent doivent respecter afin afin d’être d'être conformes au cadre légal en matière de protection des données à caractère personnel. L’exposé conformes au cadre légal en matièrede protection des donnéesà caractèrepersonnel. L'exposé des des motifs motifs décrit décritextensivement la la majorité majorité des des exigences soulevées soulevées par par la la CJUE. 9. De 9. De manière manière générale, générale, la la CNPD CNPD souhaite néanmoins néanmoins rappeler que que pour pour assurer assurer la la conformité conformité au au principe principe de de proportionnalité, proportionnalité, la la CJUE CJUE a exprimé exprimé àà plusieurs plusieurs reprises reprises que que la conservation doit doit être êtrelimitée limitéeau au strict strict nécessaire nécessairepour pouratteindre atteindre les les objectifs. objectifs. Dans Dansses ses arrêts, arrêts, la conservation CJUE CJUEprocède procèdede de manière manièresystématique systématiquepour pour analyser analyserla la proportionnalité proportionnalitédes des mesures. 10. Ainsi,en en premier premierlieu, lieu, elle elle détermine détermineles lesfinalités finalitésrecherchées recherchéespar parles lesmesures mesureslégislatives 10. Ainsi, de conservation conservation ou ou d'accès. d'accès. Cette Cette première premièreétape étapeest est essentielle, essentielle, non non seulement seulement parce parce que que les les de 5 finalités sont sont listées listées de de manière manière exhaustive exhaustive5 dans dans l’article l'article 15 15 de de la la directive vie vie privée privée et finalités communications communications électroniques, électroniques, mais mais également égalementparce parce que que l’importance l'importance de de l’objectif l'objectifrecherché recherché aa un un impact impact sur sur l’ingérence l'ingérence tolérée tolérée sur sur la la vie vie privée privée des des personnes concernées. Force Force est est de constater àà la la lecture lecture des des arrêts arrêts de de la la CJUE CJUE en en matière matière de de rétention rétention de de données donnéesque que plus plus les les constater objectifs objectifs sont sont importants, importants, plus plus l’ingérence l'ingérencedes des mesures mesures de de conservation conservation et et d’accès d'accèsdans dans la la vie privée privéedes des personnes personnes concernées concernéesest est tolérée. 11. IlIl en 11. en résulte résulte que que l’étendue retendue des des mesures mesures législatives de de conservation et et d'accès d'accès dépend largement largement de de l’objectif l'objectif recherché. recherché. Ainsi, Ainsi, une une conservation conservation généralisée généraliséeet et indifférenciée indifférenciéedes donnéesrelatives relativesau autrafic traficpeut peutêtre êtretolérée, tolérée,sous sousréserve réservede de respecter respectercertaines certainesconditions, conditions, pour pour données les les objectifs de de préservation de de la la sécurité sécurité nationale. nationale. Or, Or, pour pour la la lutte lutte contre contre la la criminalité criminalité grave, grave, 4 4 Voir Voirarrêt arrêtdu du20 20 septembre septembre2022, 2022, SpaceNet SpaoNetet etTelekom Telekom Deutschland DeutschlandC-793/19 C-793/19et et c-794/19, c-794/19, EU:C:2022:702, EU:C:2022:702,point point 132. 132. 5 5 Voir Voir arrêt arrêt du du 66 octobre 2020, La La Quadrature du du Net Net e.a., e. a., C-511/18, C-511/18, C-512/18 C-512/18 et et C-520/18, C-520/18, EU:C:2020:791, EU:C:2020:791, point 112. 112. CNPD CNPD .*1 L_ -J Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données Avis relatif relatifau auprojet projet de de loi loi n°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet portant modification: 1° 1 ° du du Code Code de de procédure pénale pénale ;; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur des des communications communications électroniques électroniques ;; et et 3° 3° de de la la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation du du Service de de renseignement renseignement del'État l'État de 3/46 * est nécessaire de de limiter l’étendue retendue des des mesures de de conservation conservation ou ou d’accès d'accès sur sur base base de de critères critères ilil est objectifs concernées, objectifs et et non non discriminatoires. discriminatoires. Cette Cette limitation limitation peut peut se se rapporter rapporter aux aux personnes personnesConcernées, aux aux catégories catégories de de données, données, aux aux zones zones géographiques, géographiques, voire voire encore encore aux aux moyens moyens de utilisés. En En matière communications utilisés. matière de criminalité criminalité simple la CJUE est est encore encore plus exigeante. communications simple6,6 , la exigeante. 12. En 12. Endeuxième deuxièmelieu, lieu,la laCJUE CJUEapprécie apprécietant tantla la durée duréedes desmesures mesuresde deconservation conservationet etd’accès d'accès que la la durée durée de de conservation conservation des des données données proprement dites. En En ce ce qui qui concerne la la durée durée de que conservation conservation des des données, données, la la CJUE CJUE retient retient qu’elle qu'elle doit doit être être limitée limitée au au strict strict nécessaire nécessaire pour 7 8 atteindre et . En l'objectifrecherché recherché7 et être êtrechoisie choisiesur surbase basede decritères critèresobjectifs objectifs8. Ence cequi quiconcerne concernela la atteindrel’objectif durée jusqu’à présent durée d’application d'application des des mesures, mesures, la la CJUE CJUE ne ne s’est s'est jusqu'à présent prononcée prononcée que que sur sur les les mesures mesures concernant concernant l’accès l'accès aux aux données données conservées. conservées. Dans Dans ce ce contexte, contexte, elle elle explique explique que l’accès l'accès « présente présenteen en tout tout état étatde de cause cause un un caractère caractèregrave grave indépendamment indépendammentde de la la durée duréede de la période périodepour pourlaquelle laquelle l’accès /'accèsauxdites auxditesdonnées donnéesest est sollicité sollicitéet et de de la la quantité quantitéou ou de de la la nature nature des données . .] cet donnéesdisponibles disponiblespour pourune unetelle telle période, période,lorsque lorsque[.[...] cetensemble ensemblede dedonnées donnéesest estsusceptible de de permettre de de tirer tirer des des conclusions précises précises sur sur la la vie vie privée privée de de la la ou ou des des personnes personnes 9 10 concernées , et concernées»»9, et qu’il qu'il doit doitse selimiter limiterau austrict strictnécessaire nécessaire10.. 13. Enfin, 13. Enfin, la la CJUE CJUEexige exige que que les les mesures mesures législatives législatives permettent permettent « d’assurer d'assurerune une protection efficace des données conservées contre les risques d’abus ainsi que contre tout accès efficace des donnéesconservées contre les risques d'abus ainsi que contre tout accèset et toute 11 utilisation . Ces utilisationillicite illicitede de ces ces données données»»11. Ces garanties garantiess’imposent s'imposentnon nonseulement seulement pour pourles les mesures 12 13 de les mais d'accès1 mesures aux conservation12, législatives législatives de conservation , mais également également pour législatives d’accès 3 aux pour les mesures législatives stockées. données stockées. 14. Selon 14. Selon l'exposé l'exposé des des motifs, motifs, le le projet projet de de loi loi sous sous avis avis a pour pour objet objet « d’encadrer d'encadrer la conservation et et l'usage l'usage des des données données de de trafic trafic et et de de localisation sans sans priver priver ces ces données données de de leur 14 valeur utile, utile, notamment notammenten en fixant fixantdes desconditions conditionsstrictes strictesd'accès d'accèset etde de durée duréede deconservation conservation »»14. valeur . 15. Pour 15. Pour ce ce faire, faire, le le projet projet de de loi loi entend entend supprimer supprimer de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernant la la protection protection de de la la vie vie privée privée dans dans le le secteur secteur des des communications communications électroniques 6 6 Voir Voirarrêt arrêt du du 21 décembre déombre 2016, Tele2 Sverige Sverige et et Watson e.a., e. a., C-203/15 C-203/15 et et C-698/15, EU:C:2016:970. EU:C:2016:970, points points 110 110 et111. 111. et 7 7 Voir Voirarrêt arrêt du du 88 avril 2014, Digital Digital Rights Rights Ireland Ireland e.a., e. a., C-293/12 et et C-594/12, C-594/12, EU:C:2014:238, EU:C:2014:238, point point 63. 63. 8 8 Voir Voirarrêt arrêt du du 8 avril 2014, Digital Digital Rights Rights Ireland Ireland e.a., e. a., C-293/12 et et C-594/12, C-594/12, EU:C:2014:238, EU:C:2014:238, point point 64, 64, et et arrêt arrêt du du 21 21 déombre 2016, Tele2 Sverige et et Watson e.a., e. a., C-203/15 C-203/15 et et C-698/15, EU:C:2016:970, EU:C:2016:970, point point 108. 108. décembre 9 9 Voir Voirarrêt arrêt du du 2 mars mars 2021, Prokuratuur, Prokuratuur, C-746/18, C-746/1 8, EU:C:2021:152, EU:C:2021:152, point point 39. 10 10Voir Voir arrêt arrêt du du 2 mars mars 2021, Prokuratuur, Prokuratuur, C-746/18, C-746/18, EU:C:2021:152, EU:C:2021:152, point point 38. 11 11 Voir Voir arrêt arrêt du du 8 avril avril 2014, Digital Digital Rights Rights Ireland Ireland e.a., e. a., C-293/12 C-293/12 et et C-594/12, C-594/12, EU:C:2014:238, EU:C:2014:238, point point 66. 12 12Voir Voirarrêt arrêtdu du21 21 décembre décembre2016, 2016, Tele2 Tele2Sverige Sverigeet et Watson Watsone.a., e.a., C-203/15 C-203/15et et C-698/15, C-698/15,EU:C:2016:970, EU:C:2016:970,point point122, 122, qui qui impose imposeaux auxfournisseurs fournisseursde deservice service de de communications communications électroniques électroniquesune uneconservation onservation des des données donnéessur surle territoire territoire de de l’Union l'Union européenne. 13 13Voir Voir arrêt arrêtdu du 21 décembre 2016, Tele2 Sverige et et Watson Watson e.a., e. a., C-203/15 C-203/15 et et C-698/15, C-698/15, EU:C:2016:970, EU:C:2016:970, point point 121, 121, qui qui impose impose aux auxautorités autoritésd'informer d'informerles lespersonnes personnes concernées concernéesde de l'accès, l'accès,dans dansla la mesure mesure où oùcette cette information information ne risque risquepas pas de decompromettre ompromettre les les enquêtes enquêtesmenées. menées. 14 14Doc. Doc. pari, parl. de de dépôt, dépôt, p. p. 17. 17. CNPD ’ CNPD Avis de de la la Commission Commission nationale pour la la protection protection des données relatif relatifau auprojet projet de de loi loi n’8148 n°8148relative relativeàà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnel et portant portantmodification: modification:1° 1 ° du duCode Codede de procédure procédurepénale pénale;; 2° 2° de de la la loi loimodifiée modifiéedu du30 30 mai mai2005 concernant oncernant la la protection protection de de la la vie vie privée privéedans dansle le secteur secteurdes des communications communicationsélectroniques ;; et juillet 2016 et 3° 3° de de la la loi loi modifiée modifiéedu du 55 juillet 2016portant portantréorganisation réorganisationdu du Service Servicede de renseignement de l’État l'État de 4/46 (dénommée (dénomméeci-après ci-aprèsla la« loi loi Télécom Télécom ») ») l'obligation l'obligation de de conservation généralisée généraliséeet et indifférenciée de toutes de toutes les les données données de detrafic traficet et de delocalisation pour pour tous tous les lesobjectifs objectifs énumérés énumérésàà l'article l'article 15 15 de la ladirective directivevie vie privée privéeet et communications communicationsélectroniques. électroniques.En Entant tantque quesubstitut, substitut, ilil entend entendintroduire plusieurs plusieurs mesures législatives de de conservation conservation des des données et et d’accès d'accès àà ces ces données qui qui sont censées censées répondre répondre aux aux exigences de de la la CJUE. 16. En 16. En droit droit interne, interne, la la Constitution Constitution garantit garantit que que les les libertés libertés publiques publiques des des citoyens citoyens sont respectées. respectées. Dans Dans le le contexte du du présent présent projet projet de de loi, loi, ces ces sont sont notamment notamment les les libertés libertés publiques publiques consacrées aux articles 20 (vie privée), 30 consacrées aux articles 20 (vie privée), 30 (inviolabilité (inviolabilité des des communications) et et 31 31 (protection (protection des jeu dans des données) données) de de la la Constitution Constitution qui qui sont sont en en jeu dans le le cadre cadre du du présent présent projet de de loi. loi. De De plus, plus, l’article 37 de la Constitution dispose que « [t]oute limitation de l'article 37 de la Constitution dispose que [tjoute de l'exercice l'exercice des des libertés libertés publiques publiques doit doit être être prévue prévue par par la la loi loi [.[.....]». ]». 17. IlIl importe 17. importe encore encore de de mentionner mentionner l'article l'article 8.2 8. 2 de de la la Convention européenne européenne des des droits droits de l’homme l'homme concernant concernant le le droit droit au aurespect respect de de la la vie vieprivée, privée, ainsi ainsi que que la la jurisprudence s'y s'yrapportant. rapportant. Cette Cette disposition disposition prévoit prévoitqu’ qu'« [i]l [i]lne nepeut peutyy avoir avoiringérence ingérenced'une d'uneautorité autoritépublique publique dans dansl’exercice l'exercice de de ce ce droit droit que que pour pour autant autant que que cette cette ingérence ingérence est est prévue prévue par par la la loi loi et et qu’elle qu'elle constitue constitue une mesure mesure qui, qui, dans dansune une société sociétédémocratique, démocratique, est est nécessaire nécessaireàà la la sécurité sécuriténationale, nationale, àà la la sûreté sûreté publique, publique, au au bien-être bien-être économique économique du du pays, pays, àà la la défense défense de de l’ordre l'ordre et et àà la la prévention prévention des des infractions pénales, à la protection de la santé ou de la morale, ou à la infractions pénales, à la de la santé ou de la ou à la protection des des droits droits et libertés libertésd'autrui d'autrui». ». Pour Pourdéterminer déterminerla la conformité conformitéàà l’article l'article 8.2, 8.2, la la Cour Coureuropéenne européennedes desdroits droitsde l’homme l'homme (ci-après (ci-après la la « CEDH CEDH ») ») recherche recherche si si l’ingérence l'ingérence est est prévue prévue par par la la loi, loi, poursuit poursuit un/des but(
3. s)but(
4. s)légitime(
5. s)légitime(s)et et si si elle elleest estproportionnée proportionnéeàà ce(
6. s)ce(
7. s)but(s). but(s). 18. La 18. LaCNPD CNPD ayant ayantdéjà déjàabordé abordécet cet aspect, aspect, en en particulier particulier celui celui de dela laproportionnalité ainsi ainsi que la loi loi dans d'autres d'autres avis, elle de la prévisibilité de la à limite à se limite à renvoyer observations1 155.. ces observations se avis, renvoyer à ces 19. 19. La La CEDH CEDH admet admet néanmoins néanmoinsune une atténuation atténuationpour pour le le critère critèrede de prévisibilité prévisibilitéde de la la loi loi en matière jugé àà plusieurs matière de de surveillance secrète secrète :: « La La Cour Cour a jugé plusieurs reprises reprises que, que, en en matière matière d'interception d'interception de de communications, communications, la la «« prévisibilité »» ne ne pouvait pouvait se secomprendre comprendre de de la la même même façon que que dans dans beaucoup beaucoup d’autres d'autres domaines. domaines. Dans Dans le le contexte particulier particulier des des mesures mesures de de surveillance surveillance secrète, secrète, telle telle l’interception l'interception de de communications, la la prévisibilité prévisibilité ne ne saurait saurait signifier signifier qu'un qu'un individu doit se trouver à même de prévoir quand les autorités sont susceptibles d'intercepter doit se trouver à même de prévoir quand les auton'tés sont d'intercepter ses 16 communications . communicationsde demanière manièrequ’il qu'ilpuisse puisseadapter adaptersa sa conduite conduiteen enconséquence conséquence»»16. 20. Cette 20. Cette atténuation atténuation est est applicable applicable en en matière matière de de rétention rétention des des données, données, étant étant donné donnéque que la CEDH CEDhl qualifie qualifie la la conservation conservation de de données données de de trafic trafic et et de de localisation localisation comme comme une une mesure mesure de 15 15Voir Voir délibération n°3/AV3/2021 n°3/AV3/2021 du du 10 10 février février 2021, Point Point II.2. II.2. 16 16Voir Voirarrêt arrêtde de la la CEDH CEDH du du 4 décembre déombre 2015, 2015, Roman Roman Zakharov Zakharov c. e. Russie, point point 229. CNPD CNPD Avis Avis de de la laCommission Commission nationale nationalepour pourla la protection protection des desdonnées relatif relatifau auprojet projet de deloi loi n°8148 n"8148relative relativeàà la larétention rétentiondes desdonnées donnéesàà caractère caractèrepersonnel personnel et portant portant modification: 1° 1° du du Code Code de de procédure pénale pénale ; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernantla laprotection protectionde dela la vie vieprivée privéedans dansle lesecteur secteurdes descommunications communicationsélectroniques électroniques ; et juillet 2016 et 3° 3° de de la la loi loi modifiée modifiéedu du 5 juillet 2016 portant portant réorganisation du du Service Service de derenseignement renseignement de ('État l'État de 5/46 surveillance secrète secrète dont dont le le degré degré d’ingérence d'ingérence dans dans la la vie vie privée privée des des personnes personnes concernées concernées surveillance 177. La conservation et l'accès communication1 la de du contenu de l'interception du contenu de la communication . La conservation et l’accès équivaut àà celui de l’interception auxdonnées donnéesde de trafic trafic et et de delocalisation localisation doivent doivent dès dèslors lors bénéficier bénéficierdes desmêmes mêmessauvegardes sauvegardesque aux 18 les mesures mesures de de surveillance surveillance secrète secrète18. Ainsi, «« [...] [...] le le risque risqued’arbitraire d'arbitraireapparaît apparaît avec avecnetteté nettetélà là . Ainsi, les en détaillées et claires règles de L'existence secret. en s’exerce l’exécutif de où où un un pouvoir pouvoir de l'exécutif s'exerce en secret. L'existence de règles claires et détaillées en matièred’interception d'interception de deconversations conversations téléphoniques téléphoniquesapparaît apparaît donc doncindispensable, d’autant d'autant que matière rédigée être doit loi La perfectionner. se de cessent ne /es procédés procédés techniques utilisables ne de se perfectionner. La loi doit être rédigée avec les suffisamment de de clarté clarté pour pour indiquer indiquer àà tous tous de de manière manière adéquate adéquate en en quelles quelles circonstances circonstances et suffisamment pareilles prendre à publique sous quelles qrue//es conditions conditions elle elle habilite habilite la la puissance puissance publique à prendre pareilles mesures mesures sous 19 secrète »»19.. 21. La CEDH CEDH ajoute encore que que la la loi loi doit, doit, de de manière suffisamment suffisamment claire, définir définir l’étendue retendue La 21. mesure la et les les modalités modalités de de l’exercice l'exercice du du pouvoir pouvoir d’appréciation d'appréciation de de l’autorité l'autorité qui qui ordonne ordonne la mesure de et pour éviter éviter l'arbitraire. l'arbitraire. Elle Elle « énonce énonce les les garanties garanties minimales minimales suivantes suivantes contre contre les les surveillance pour a6us de ofepouvoir que que la la loi loi doit doit renfermer :: la la nature des des infractions infractions susceptibles de de donner donner lieu à abus un mandat mandat d’interception, d'interception, la ladéfinition définitiondes descatégories catégories de de personnes personnes susceptibles d'être d'êtremises mises sur un écoute, la la fixation fixationd’une d'une limite limite àà la la durée duréed’exécution d'exécutionde de la la mesure, mesure, la la procédure procédureàà suivre suivre pour pour écoute, pour prendre à précautions les recueillies, données des /'examen, l'utilisation et la conservation des données recueillies, les précautions à prendre pour conservation la et l'utilisation l’examen, lacommunication communicationdes des données donnéesàà d'autres d'autresparties, parties, et et les les circonstances circonstancesdans danslesquelles lesquelles peut peut ou la 20 . » enregistrements des destruction la ou doit doits’opérer s'opérer l'effacement ou la destruction des enregistrements »20. 22. Concernant Concernant la la condition condition que que la la mesure mesure doit doit être être nécessaire nécessaire dans dans une une société société 22. démocratique, la la CEDH CEDH précise précise que que des des garanties adéquates et et effectives doivent exister exister afin démocratique, d'éviterl’arbitraire l'arbitraire et et les les abus. abus. Elle Elle estime estime que que l'existence l'existence d’un d'un contrôle contrôle de de la la nécessité nécessitéde de la d'éviter est une une telle telle garantie et et que que l’appréciation l'appréciation doit doit se se faire faire en en prenant en en compte toutes les mesure est contrôle circonstances de de l’affaire l'affaire en en question. La La CEDH CEDH explique explique encore encore que que le le contrôle peut peut se se faire à circonstances trois moments moments :: au au moment moment où oùla la mesure mesure est est ordonnée, pendant pendant l’exécution l'exécution et et lorsque lorsque la la mesure mesure trois 21 estterminée. terminée.21 est 23. Afin Afin d'apprécier d'apprécier si si les les différentes différentes mesures mesures législatives législatives prévues prévues par par le le projet projet de de loi 23. respectent les les exigences exigences de de la la CJUE CJUE et et de de la la CEDH, CEDH, ilil est est nécessaire nécessaire de de différencier différencier entre entre les respectent de conservation conservation de de données (I) (
8. l)et et les les mesures mesures législatives d’accès d'accès àà ces mesures législatives de données (II). (II). Enfin, Enfin, ilil convient encore d’examiner d'examiner les les autres modifications (III) (III) que que le le projet de de loi entend apporter. apporter. 17 17Voir Voirarrêt arrêtde dela la CEDH CEDHdu du11 11 janvier janvier2022, 2022,Ekimdzhiev Ekimdzhievet et autres autresc. e. Bulgarie, Bulgarie, point point394. 18Ibid, Ibid,point point295. 18 19 19Voir arrêtde de la la CEDH CEDHdu du 4 décembre déombre2015, 2015,Roman RomanZakharov Zakharovc. e. Russie, Russie, point point 229. Voir arrêt 20Ibid., te;d, points points 230 230 et et 231. 231. 21 21 Ibid., Ibid., points points 232 232 àà 234. 234. CNPD 20 Avis de de la la Commission nationale pour pour la la protection des des données Avis relatif au au projet projet de de loi loi n°8148 n°8148 relative relative àà la larétention rétention des des données données àà caractère caractère personnel et relatif portant portant modification: modification: 1° 1° du du Code Code de de procédure procédure pénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30 mai mai2005 concernant la la protection protection de de la la vie vie privée privéedans dans le le secteur secteur des des communications électroniques électroniques ;; juillet 2016 et 3° 3° de dela la loi loimodifiée modifiéedu du55 juillet 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement et del'État l'État de 6/46 6/46 I.l. Les Les mesures législatives de de conservation de de données 24. Le 24. Le projet projet de de loi loi opère opère un un changement de de paradigme en en ce ce qu’il qu'il introduit introduit le le principe principe de l’interdiction l'interdiction d’une d'une conservation conservation généralisée généralisée et et indifférenciée indifférenciée des des données données de de trafic trafic et et de localisation. IlIl ressort ressort du du commentaire des des articles articles que que « [contrairement [cjontrairement au au libellé libellé introduit introduit par par la er Loi Loi Telecom [...] [... J le le principe inscrit inscrit au au nouveau paragraphe paragraphe 11er est est celui celui de de l’interdiction l'interdiction de conservation jurisprudence européenne, conservationdes desdonnées donnéesrelatives relatives au autrafic. trafic. Tel Tel que que prévu prévupar parla la jurisprudence européenne,les les données donnéesseront serontdonc donceffacées effacéesou ourendues renduesanonymes anonymessur surbase basedu duprincipe principede de nécessité nécessitéet et tel tel que préconisé préconisépar parla la CJUE CJUE». 25. IlIl est 25. est effectivement de de jurisprudence constante que que le le principe de de confidentialité est 22 stricte2 2.. Ainsi, confirmer à à plusieurs a pu à ce ce d’interprétation Ainsi, la Cour a d'interprétation stricte plusieurs reprises qu'une dérogation reprises qu'une dérogation à pu confirmer principe principe sur sur base basede de l’article l'article 15 15 de de la la directive vie vie privée privée et et communications électroniques ne ne peut pas, pas, en en ce ce qui qui concerne concerne notamment notamment la la conservation conservation de de ces ces données, données, devenir devenirla la règle règlemais mais doit toujours toujours rester resterl’exception l'exception et et doit doit respecter respecterle le principe principede denécessité. nécessité. 26. La 26. La CJUE CJUE fournit dans dans ses ses arrêts arrêts les les exigences àà prendre en en compte afin afin de de garantir garantir une conservation limitée limitée au au strict strict nécessaire. Ces Ces délimitations peuvent peuvent jouer jouer au au niveau niveau des des finalités et/ou eVou de de l’étendue retendue de de la la mesure. Etant Etant donné donné que que l’exposé l'exposé des des motifs motifs reprend fidèlement fidèlement les exigences exigences que que la la CJUE CJUE a rattaché rattaché àà chacune chacune de de ces ces catégories, catégories, le le présent présent avis avis se se limite limite à 233. à explications2 . renvoyer renvoyer à ces explications 27. La 27. LaCJUE CJUErépartit répartitles les mesures mesures législatives législativesde de conservation conservation des des données donnéesen en trois trois grandes catégories, àà savoir savoir la la conservation ciblée, ciblée, la la conservation généralisée généralisée et et indifférencié indifférencié et et la conservation conservation rapide. 28. A 28. A la la lecture lecturedu duprojet projet de deloi, loi, ilil devient devientclair clairque queles les auteurs auteursintroduisent introduisentces ces trois trois catégories catégories de de mesures, mesures, dont dont certaines doivent être être ordonnées (A) (A) par par le le juge juge d’instruction, d'instruction, le le procureur ou le le service de de renseignement (ci-après (ci-après le le « SRE SRE ») ») tandis tandis que que d’autres d'autres résultent résultent d’une d'une obligation obligation légale légalede deconservation conservation (B). 29. De 29. De plus, plus, la la CJUE CJUEexige exigeque que la la conservation conservation des des données donnéesde de trafic trafic et et de de localisation localisation soit entourée entourée de de garanties garanties suffisantes suffisantes et et appropriées appropriées par par les les opérateurs opérateurs et et fournisseurs. fournisseurs. Comme chaque chaque mesure de de conservation doit doit répondre répondre àà cette cette exigence, ilil convient de de regrouper regrouper les les observations observations yy relatives relatives dans dans une une section section dédiée dédiée(C). 22 2 Voir Voirarrêt arrêtdu du21 21 décembre décembre2016, 2016,Tele2 Tele2Sverige Sverigeet et Watson Watsone.a., e.a., C-203/15 C-203/15et et C-698/15, C-698/15,EU:C:2016:970, EU:C:2016:970,point point89. 23 23 Doc. Doc. pari, pari. de de dépôt, dépôt, p. p. 11 11 àà 15. 15. CNPD Avis Avis de de la la Commission Commission nationale nationale pour pourla la protection protection des desdonnées relatif relatifau auprojet projet de de loi loi n°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet portant portantmodification: modification:1° 1 ° du du Code Codede deprocédure procédurepénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30mai mai2005 concernant oncernant la la protection protection de de la la vie vie privée privéedans dans le le secteur secteur des des communications communications électroniques ;; et et 3° 3° de de la la loi loi modifiée modifiéedu du 55 juillet juillet 2016 2016portant portantréorganisation réorganisationdu du Service Servicede de renseignement del’État l'État de 7/46 A. Les mesures mesures de de conservation conservation devant devant être être ordonnées A. Les 1. La Lamesure mesure de de conservation conservation du du nouvel nouvel article article 24-3 24-3du du Code Codede de procédure 1. pénale pénale er 30. , point 30. L’article L'article 11er, point 1° 1° du du projet projet de de loi loi introduit introduit un un nouvel nouvel article article 24-3 24-3 dans dans le le Code Code de procédure procédure pénale pénale (ci-après (ci-après le le « CPP CPP») ») ayant ayant comme comme objectif objectif de de mettre mettre àà la la disposition disposition du procureur d’État d'Étatune une mesure de de conservation conservation des des données de de trafic trafic et et de de localisation. localisation. Ainsi, le d'Étatpeut peut ordonner dans dans le le cadre cadre de de la la recherche, recherche, de de la laconstatation constatation et etde dela la poursuite poursuite procureur d’État d’infractions d'infractions pénales pénales qui qui emportent emportent une une peine peine criminelle criminelle ou ou une une peine peine correctionnelle correctionnelle dont dont le maximum maximumest estégal égalou ousupérieur supérieuràà un un an and'emprisonnement d'emprisonnementla laconservation conservationdes desdonnées donnéesrelatives au trafic trafic et et àà la la localisation qu’il qu'il juge juge nécessaires. nécessaires. au 31. La 31. La CNPD CNPD partage partage la la confusion exprimée exprimée par par les les Parquets Parquets du du Tribunal d'Arrondissement d'Arrondissement de deLuxembourg Luxembourget et de deDiekirch Diekirchdans dansleur leuravis aviscommun communen en ce cequ’il qu'il n’est n'estpas pasclair clairsi sila la mesure mesure de conservation conservationvaut vautpour pourles les données donnéesdéjà déjàgénérées généréesou ou traitées traitéespar parles les opérateurs opérateurset et fournisseurs ou ou si si elle elle vaut vaut pour pour les les données donnéesqui qui seront seront encore encore générées généréesou ou traitées traitéespar par les les opérateurs opérateurs et 24 à partir partir de de la la date date de de l’ordonnance l'ordonnance24. Le commentaire des des articles articles contribue contribue fournisseurs à . Le davantage davantageàà la la confusion confusioncomme comme les les auteurs auteurs du du projet projet de de loi loi parlent parlent tant tant de de la la mesure mesure comme 25 conservation ciblée ciblée que que « d’une d'une sorte sorte de de « quick quick freeze freeze »» [conservation [conservation rapide] pour pour le le futur futur »»25. conservation . Ainsi, ilil n’est n'est pas pas tout tout àà fait fait clair clair si si la la nouvelle mesure mesure est est une une mesure mesure de de conservation ciblée ciblée ou Ainsi, une une mesure mesure de de conservation rapide. rapide. 32. D'aprèsla la compréhension compréhensionde dela la CNPD, CNPD,la la conservation conservation ciblée cibléeainsi ainsique que la la conservation 32. D'après rapide rapidetelles tellesque quedécrites décritespar parla laCJUEsont CJUEsontdeux deuxmesures mesureslégislatives législativesdistinctes, distinctes,avec avecnotamment des des exigences distinctes. En En effet, pour pour la la conservation rapide, la la CJUE CJUE exige exige notamment que «« [d]ans [djansla la mesure mesureoù oùla la finalité finalitéd’une d'unetelle telle conservation conservationrapide rapidene necorrespond correspondplus plus àà celles cellespour pour lesquelles lesquelles les les données données ont ont été étécollectées collectées et et conservées conservéesinitialement initialement et et où où tout tout traitement traitement de données doit, doit, en en vertu vertu de del’article l'article 8, 8, paragraphe 2, 2, de dela laCharte, répondre répondre àà des desfins fins déterminées, déterminées, données tesÉtats Étatsmembres membres doivent doivent préciser, préciser, dans dans leur leurlégislation, législation, la lafinalité finalitépour pour laquelle laquelle la laconservation conservation les 26 rapide . Cette rapide des des données donnéespeut peut avoir avoir lieu lieu»»26. Cette exigence exigence s’explique s'explique par par le le fait fait que que le le traitement initial initial des des opérateurs opérateurset et fournisseurs fournisseursavait avaitune une finalité finalitécommerciale. commerciale. Or, Or, après aprèsl’ordonnance l'ordonnance de conservation conservationrapide, rapide,une unenouvelle nouvellefinalité finalités'ajoute s'ajouteàà cette cettefinalité finalitéinitiale. initiale.Cette Cettenouvelle nouvellefinalité finalitéde 24 24Avis Aviscommun commundes desParquets Parquetsdu duTribunal Tribunald'Arrondissement d'Arrondissementde de Luxembourg Luxembourget etde deDiekirch Diekirchdu du13 13avril avril2023, 2023,doc. pari. pari. n°8148/03, n°8148/03,p.3. 25 Doc. pari, 2SDoc. pari. de de dépôt, dépôt, p.18. p. 18. 26 26Arrêt Arrêtdu du 66 octobre octobre 2020, 2020, La LaQuadrature Quadraturedu du Net Net e.a., e.a., C-511/18, C-511/18,C-512/18 C-512/18et et C-520/18, C-520/18,EU:C:2020:791, EU:C:2020:791,point point164 164 et arrêtdu du55 avril awil2022, 2022,Commissioner Commissionerof of An Garda Slochàna Sfochânae.a., e.a., C-140/20, C-140/20,EU:C:2022:258, EU:C:2022:258,point point87. arrêt An Garda CNPD Avis Avis de de la la Commission nationale pour pour la la protection protection des des données données relatifau auprojet projet de deloi loin°8148 n°8148relative relative àà la la rétention rétentiondes des données donnéesàà caractère caractèrepersonnel personnelet relatif portant portantmodification: modification:1° 1° du duCode Codede deprocédure procédurepénale pénale;; 2° 2° de dela laloi loimodifiée modifiéedu du30 30mai mai2005 concernantla laprotection protectionde de la la vie vieprivée privéedans dansle le secteur secteurdes descommunications communicationsélectroniques électroniques ;; concernant et 3° 3° de de la la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation du du Service de de renseignement renseignement et de I*État l'État de 8/46 prévention et et de de détection détection des des infractions infractions pénales, pénales, d’enquêtes d'enquêtes et et de de poursuites poursuites en en la la matière, matière, y compris la protection contre les menaces pour la sécurité publique et la prévention compris la protection contre les menaces pour la sécurité publique et la prévention de de telles menaces, devrait devrait dès dèslors lors être être ancrée ancréedans dans la la loi. loi. menaces, 33. 33. Enfin, Enfin, d’après d'aprèsla la description description fournie fournie par parla la CJUE, CJUE,la la conservation conservation rapide rapidedevrait devrait servir servir àà conserver les les données données dont dont ilil existe existe un un risque risque de de perte perte ou ou de de modification. modification. IlIl s'agit s'agit donc donc d’une d'une mesure mesure qui qui s’applique s'applique àà des des données données existantes et et déjà déjà détenues détenues par par les les opérateurs et des données données qui seront générées ou futur2277.. Ainsi, traitées dans le le futur la fournisseurs, plutôt qu’à ou traitées fournisseurs, Ainsi, la qu'à des CNPD CNPDse sedemande demandesi sile lenouvel nouvelarticle article24-3 24-3du duCPP CPPne nese selimite limitepas pasàà introduire introduireune uneconservation ciblée cibléeplutôt plutôt qu’une qu'une conservation rapide. rapide. 34. Tel 34. Tel que que revendiqué revendiqué par par les les Parquets Parquets du du Tribunal d'Arrondissement de de Luxembourg et et de Diekirch dans leur avis commun, des clarifications quant à la mesure législative visée par l’article Diekirchdansleuravis commun, desclarificationsquant à la mesure législativeviséepar l'article 24-3 24-3du duCPP CPPdevraient devraientêtre êtreapportées, apportées,notamment notammentpour pourpréciser précisersi si elle elle se serapporte rapporteaux auxdonnées données 28 déjà . Si déjàgénérées généréesou ou traitées, traitées,et/ou et/ou aux auxdonnées donnéesqui qui seront seront générées généréesou ou traitées traitéesdans dans le lefutur futur28. effectivement effectivementles les auteurs auteursdu du projet projet de deloi loi visent visent les les deux deuxcas cas de de figure, figure, c'est-à-dire c'est-à-direles les données données futures futureset et les les données donnéesexistantes, existantes, se se pose posealors alorsla laquestion questions'il s'il ne neserait seraitpas pasplus plus clair clairde deprévoir prévoir deux deuxdispositions dispositions séparées. séparées. 35. Par 35. Parailleurs ailleurs ilil serait seraitintéressant intéressantde de savoir savoirpourquoi pourquoi les les auteurs auteurs du du projet projet de de loi loi n’ont n'ont pas rajouté rajoutéla la mesure mesurede de conservation conservationciblée cibléeàà l’article l'article24-1 24-1 du duCPP CPPrégissant régissantla la « mini-instruction mini-instruction». D’autant plus qu’un contrôle juridictionnel effectif serait alors garanti et qu'un lien D'autantplus qu'uncontrôlejuridictionnel effectifseraitalors garantiet qu'un lienavec avecl'article l'article676711 du du CPP CPP traitant traitant de de l’accès l'accès aux aux données données ainsi ainsi conservées conservées serait serait établi. établi. D’après D'après la compréhension de de la la CNPD, CNPD, ilil ressort des des travaux travaux parlementaires de de l’article l'article 67-1 du du CPP CPP que que le juge d’instruction juge d'instruction peut peut ordonner ordonner l’accès l'accès aux aux données données conservées par par les les opérateurs et fournisseurs ainsi ainsi que que la la conservation conservation de de données futures. Le Le recours àà la la mini-instruction mini-instruction serait dès dèslors lors envisageable, àà condition que quel’article l'article 67-1 67-1 du du CPP CPP respectent les les exigences de de le le CJUE. 36. Dans 36. Dans le le même même ordre ordre d’idées, d'idées, la la CNPD CNPD se se demande pourquoi pourquoi les les auteurs du du projet projet de de loi, loi, si si la la mesure sous sous avis avis devrait devrait être être une une mesure mesure de de conservation rapide, rapide, ne ne l’ont l'ont pas pas ajoutée ajoutée au Chapitre X X du du CPP CPP prévoyant prévoyant la la conservation rapide rapide des des données données informatiques informatiques àà disposition du juge d'instruction et juge et du du procureur procureur d'État. 37. Dans 37. Dans tous tous les les cas, cas, les les mesures législatives législatives doivent doivent répondre répondre aux aux exigences de de la la CJUE. Partant, Partant, dans dans l’hypothèse l'hypothèse où où le le nouvel nouvel article 24-3 24-3 du du CPP CPP régit régit une une mesure mesure de de conservation conservation ciblée ciblée des des données données de de trafic trafic et et de de localisation, localisation, elle elle ne ne peut peut être être prise prise qu’« qu'« aux aux fins fins de de la 27 27Arrêt Arrêtdu du66 octobre octobre2020, 2020,La LaQuadrature Quadraturedu duNet Nete.a., e.a.,C-511/18, C-511/18,C-512/18 C-512/18et etC-520/18, C-520/18,EU:C:2020:791, EU:C:2020:791,points points162 162 et 163. 163. et 28 Avis commun 28Avis commundes desParquets Parquetsdu duTribunal Tribunald’Arrondissement d'Arrondissementde deLuxembourg Luxembourget etde deDiekirch Diekirchdu du13 13avril avril2023, 2023,doc. pari. n°8148/03, n°8148/03,p.3. pari. CNPD CNPD Avis Avis de de la la Commission Commission nationale nationalepour pour la la protection protection des des données données relatif relatif au au projet projet de de loi loi n°8148 relative relative àà la la rétention des des données données àà caractère personnel personnel et portant portantmodification: modification:1° 1 ° du du Code Codede de procédure procédurepénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du30 30 mai mai2005 concernant la la protection de de la la vie vie privée privée dans dans le le secteur des des communications communications électroniques électroniques ;; et et3° 3°de dela la loi loimodifiée modifiéedu du55 juillet juillet2016 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement del’État l'État de 9/46 sauvegarde sauvegarde de dela la sécurité sécuriténationale, de dela la lutte lutte contre contre la la criminalité criminalitégrave grave et etde dela la prévention prévention des 29 menaces graves graves contre contrela lasécurité sécuritépublique publique »»29.. Par Parailleurs, elle elle doit doitêtre être « délimitée, délimitée, sur sur la la base menaces d’éléments d'élémentsobjectifs objectifset etnon nondiscriminatoires, discriminatoires,en enfonction fonctionde decatégories catégoriesde depersonnes personnesconcernées concernées ou ou au au moyen moyen d’un d'un critère critère géographique, géographique, pour pour une une période période temporellement temporellement limitée limitée au au strict strict nécessaire, mais mais renouvelable renouvelable » 30 30. La Cour Cour précise précise encore encore qu’une qu'une telle telle mesure mesure doit doit assurer, nécessaire, . La « par pardes desrègles règlesclaires claireset etprécises, précises,que quela la conservation conservationdes desdonnées donnéesen encause causeest estsubordonnée subordonnée au au respect respect des des conditions conditions matérielles matérielles et et procédurales procédurales y afférentes afférentes et et que que les les personnes personnes 31 concernées disposent disposent de de garanties garanties effectives effectives contre contre les lesrisques risques d’abus d'abus »»31.. concernées 38. les finalités finalités pour pour lesquelles lesquelles on on peut peut recourir recourir àà une une mesure mesure de de conservation conservation 38. Concernant les ciblée, ciblée, la la jurisprudence de de l’Union l'Union européenne européenne admet admet que que ce ce n’est n'est possible possible qu’« qu'« aux aux fins fins de de la sauvegarde sauvegardede dela lasécurité sécuriténationale, nationale, de dela la lutte luttecontre contrela la criminalité criminalitégrave graveet etde dela la prévention préventiondes des 32 menaces graves graves contre contre la la sécurité sécuritépublique publique »» 32.. menaces 39. 39. IlIl yy a lieu lieude deconstater constaterque quele lenouvel nouvel article article24-3 24-3du du CPP CPPretient retientun unseuil seuilcomme commecritère critèrede savoir les les infractions pénales pénales qui qui emportent une une peine peine criminelle ou ou une une peine peine délimitation, àà savoir dont le le maximum maximum est est égal égal ou ou supérieur supérieur àà un un an an d’emprisonnement. d'emprisonnement. La La CNPD correctionnelle dont partage partage l’appréciation l'appréciation du du Conseil Conseil d’État d'État que que « les tes infractions infractions sanctionnées sanctionnées par par une une peine d’emprisonnement d'emprisonnementégale égaleou ousupérieure supérieureàà un unan anne nerelevant relevantde desurcroît pas pastoutes toutesde dela lacriminalité criminalité 33 grave »»33. convient de de se se demander demander si si le le seuil seuil fixé fixé est est suffisamment élevé. élevé. La La CNPD grave . Ainsi, Ainsi, ilil convient 34 réitèredès dèslors lors sa sa préférence préférenceexprimée exprimée dans dans plusieurs plusieurs avis avis34pour pourune uneliste listelimitative d’infractions d'infractions réitère qualifiées de de graves. Une Une liste liste limitative permettrait de de réserver réserver les les mesures mesures législatives législatives aux qualifiées enquêtes enquêtes et et aux aux actes actes de de poursuite poursuite relatifs relatifs àà des des infractions infractions qui qui se se situent situent clairement clairement dans dans le contexte de de la la criminalité grave. grave. 40. Les Lesauteurs auteurs du duprojet projet de de loi loi expliquent expliquentqu’il qu'il s'agit s'agitd’un d'unchoix choixpolitique politiquenational national comme commela la 40. arrêt Dans un un arrêt l'Union européenne niveau de de l’Union harmonisée au définition harmonisée au niveau de définition connaît pas de notion ne ne connaît européenne3355.. Dans notion 36 récent,la la CJUE CJUEconfirme confirmecette cette approche approche36 touteen enrappelant rappelantque que«« la la définition définitiondes des« infractions infractions récent, toute graves graves », »,opérée opéréepar parles lesÉtats Étatsmembres, doit doitrespecter respecter les lesexigences exigencesqui quidécoulent découlentde decet cetarticle 15, 15, paragraphe paragraphe1, 1, lu lu àà la lalumière lumièredes desarticles articles7, 7, 88 et et11 11 ainsi ainsique quede del’article l'article52, 52, paragraphe paragraphe1, 1, de 37 la Charte Charte »»37. la . 29 29Arrêt du 66 octobre octobre2020, 2020,La LaQuadrature Quadraturedu duNet Nete.a., e.a., C-511/18, C-511/18,C-512/18 C-512/18etC-520/18, EU:C:2020:791,point point168. Arrêt du et C-520/18, EU:C:2020:791, 168. 30Ibid. 31 31 Ibid. 32 32Ibid. Ibid. 30 33 33Voir Voiravis avis du du Conseil d’État d'Étatdu du 23 23janvier 2024, doc. doc. pari. pari. 8148/05, p.4. p.4. janvier 2024, 34Voir Voirpar parexemple exempleavis avisn°85/2010 n°85/2010du du24 24avril avril2010 2010et etavis avisn°214/2014 n°214/2014du du13 13mai mai2014. 34 35 35Doc. Doc. pari, pari. de de dépôt, dépôt,p.20 p. 20 et et suivants. suivants. 36 36Arrêt Arrêtdu du 30 30avril avril2024, 2024,Procura Procuradélia déliaRepubblica Repubblicapresso pressailil Tribunale Tribunaledi diBolzano, Bolzano,C-178/22, C-178/22,EU:C:2024:371, EU:C:2024:371,points points 44àà 47. 44 37 37Ibid., Ibid., point point 47 CNPD CNPD Avis de la la Commission nationale nationale pour pour la la protection des des données Avis de relatifau auprojet projetde deloi loin°8148 n°8148relative relativeàà la larétention rétentiondes desdonnées donnéesàà caractère caractèrepersonnel personnelet relatif portant portantmodification: modification:1° 1 ° du duCode Codede deprocédure procédurepénale pénale;; 2° 2° de dela la loi loimodifiée modifiéedu du30 30mai mai2005 concernantla laprotection protectionde dela la vie vieprivée privéedans dansle le secteur secteurdes descommunications ommunicationsélectroniques ;; concernant et et 3° 3° de de la la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation du du Service Service de de renseignement renseignement de l’État l'État de 10/46 10/46 41. A cet 41 cet égard, égard, la la Cour Cour souligne que que « les /es États États membres ne ne sauraient dénaturer dénaturer la la notion notion d’« of« infraction infraction grave grave »» et, et, par par extension, extension, celle celle de de « criminalité grave grave », », en en yy incluant, incluant, aux aux fins fins de de l’application de cet article 15, l'application de cet 15, paragraphe 1, 1, des des infractions qui qui ne ne sont sont manifestement manifestement pas graves, au auregard regarddes des conditions conditions sociétales sociétales prévalant prévalant dans dansl'État l'Étatmembre membre concerné, concerné, alors alors même que le législateur de cet État membre a prévu que le législateur de cet État prévu de deles les punir punir d’une d'une peine peine maximale de deréclusion réclusion de de 38 &'o/s ans ans »»38. trois . 42. Même 42. Même si si la la Cour Cour ne ne propose propose pas pas de de définition définition pour pour les les notions notions d’« d'« infraction infraction grave grave »» ou de de «« criminalité criminalité grave grave », », elle elle donne donne néanmoins néanmoins des des considérations considérations àà prendre en en compte par par les les États membres. Ainsi, la Cour ne rejette pas le concept que la gravité de l’infraction Etats membres. Ainsi, la Cour ne rejette pas le concept que la gravité de l'infraction est 39 déterminée . En déterminéepar parun unseuil seuil39. En effet, effet, la la Cour Courestime estime qu'un qu'un seuil seuil fixé fixépar parla laloi loi est estun uncritère critèreobjectif permettant de de déterminer déterminer le le degré degré de de gravité gravité d'une d'une infraction. infraction. 43. 43. Or, Or, la la Cour Cour soulève soulève également également que que le le seuil seuil choisi choisi par par les les États Étatsmembres membres « ne ne doit doit pas 40 être . Elle être àà ce ce point point large large que que l’accès /'accès àà ces ces données données devienne la la règle règle plutôt plutôt que que l'exception »»40. Elle ajoute que la notion de « criminalité grave ajoute que la notion de « criminalité grave » ou ou d’« d'« infraction infraction grave grave », », ne ne doit doit pas pas « couvrir couvrir la grande majorité grande majoritédes des infractions infractions pénales, pénales, ce ce qui quiserait serait le le cas cas si si le leseuil seuil au-delà au-delàduquel duquel la la peine peine de réclusion maximale dont justifie que réclusion maximale dont est est punie punie une une infraction infraction justifie que celle-ci celle-ci soit soit qualifiée qualifiée d’infraction d'infraction 41 grave grave était étaitfixé fixéàà un un niveau niveau excessivement excessivementbas bas »»41. . 44. Toujours 44. Toujours en en ce ce qui qui concerne concerne la la détermination des des infractions infractions graves graves par par un un seuil, seuil, la la Cour soulève soulève encore encore que que «« par par référence référencenon non pas pas àà une une peine peine minimale minimale applicable applicable mais mais àà une une peine maximale applicable, il n’est pas exclu qu'un accès à des données, constitutif d'une maximale applicable, il n'est pas exclu qu'un accès à des d'une ingérence ingérence grave gravedans dansles lesdroits droitsfondamentaux, fondamentaux,puisse puisseêtre êtredemandé demandéàà des desfins finsde de poursuites poursuitesd’infractions d'infractions 42 ne . Elle ne relevant relevant pas, pas, en en réalité, réalité, de de la la criminalité grave grave »»42. Elle estime néanmoins que que ceci ceci n'est n'est « pas 43 nécessairement contraire au . au principe principe de de proportionnalité »»43. 45. Afin d’apprécier 45. Afin d'apprécier si si la la proportionnalité proportionnalité est est garantie lorsqu’un lorsqu'un seuil seuil fait fait référence référence àà une une peine peine maximale, la CJUE estime qu'il faut veiller à deux la CJUE estime qu'il faut veiller à deux choses. Premièrement, ilil convient de de vérifier vérifler si la la disposition disposition législative législative vise vise de de « manière manière générale générale l’accès /'accès aux aux données données conservées [...] [... ] sans 44 préciser la nature de ces données préciser la nature de ces données »» "4.. La La Cour Cour estime que que s’il s'il n’est n'est pas pas précisé précisé dans dans la la disposition quelles quelles données données sont sont accédées accédées et et que que ceci ceci est est àà la la libre libre appréciation appréciation des des autorités demandant demandantl’accès, l'accès, ilil est est possible possible que que la la mesure mesure en en question question ne ne se se limite limite pas pas aux aux infractions infractions 38 38Ibid., Ibid., point point 50. 39Ibid., Ibid., point point 54. 40 40Ibid., Ibid., point point 55. 55. 41 41 Ibid. Ibid. 39 42 421bid., Ibid., point 57. 57. 43 431bid., Ibid., point 58. 58, 44 44Ibid., /d., point point 59. CNPD Avis Avis de de la la Commission nationale pour pour la la protection des des données relatif relatif au au projet projet de de loi loi n°8148 n°8148 relative relative àà la la rétention des des données données àà caractère caractère personnel et portant modification: 1° 1° du du Code Code de de procédure procédure pénale pénale ; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernant la laprotection protection de de la la vie vieprivée privée dans dans le le secteur secteur des des communications électroniques électroniques ;; et et 3° 3° de de la la loi loi modifiée modifiéedu du 5 juillet juillet 2016 2016 portant portant réorganisation du du Service Service de de renseignement renseignement de l’État l'État de 11/46 11/46 graves. Effectivement, Effectivement, si sil’autorité l'autoritése selimite limiteàà demander demanderl'accès l'accèsàà des desdonnées donnéesne nepermettant permettant pas pas graves. être pas peut ne accès cet concernées, desconclusions conclusions précises précisessur surla lavie vieprivée privéedes despersonnes personnes concernées, cet accèsne peut pas être des 45 . qualifié de degrave grave et et est est possible pour pour les les infractions infractions dites dites simples simples45. qualifié 46. en résulte que, que, deuxièmement, deuxièmement, une unejuridiction ou ou une une entité entité administrative administrative indépendante indépendante IlIl en 46. de intervenant dans dans le le cadre cadre du du contrôle contrôle préalable préalable doit doit apprécier apprécier le le degré degré de de gravité gravité de l’ingérence l'ingérence intervenant préalable contrôle ce de découle Lorsqu’il l’infraction. de gravité la à dans la vie privée par rapport à la gravité de l'infraction. Lorsqu'il découle de ce contrôle préalable rapport par dans la vie privée que le le degré degré d’ingérence d'ingérence dans dans la la vie vie privée privée n'est n'est pas pas proportionnée au au degré degré de de l'infraction, l'infraction, la la que 46 » accès cet restreindre à ou refuser à habilitée être doit « administrative l’autorité juridiction ou l'autoritéadministrative « doitêtrehabilitéeà refuserouà restreindre cetaccès»46 juridiction ou juste équilibre carcette cette entité entité «« doit doit être êtreen en mesure mesure d’assurer d'assurerun un juste équilibreentre, entre, d’une d'une part, part, les les intérêts intérêts car et, criminalité la contre lutte la de cadre le dans l’enquête de légitimes légitimes liés liés aux aux besoins besoins de /'enquête dans le cadre de la lutte contre la criminalité et, d’autre d'autre part, les les droits droits fondamentaux fondamentaux au au respect respect de de la la vie vie privée privée et et àà la la protection protection des des données données àà part, 47 . caractèrepersonnel personnel des despersonnes personnes dont dontles lesdonnées donnéessont sontconcernées concernéespar parl’accès /'accès»»47. caractère 47. Dans la la mesure mesure où où le le projet de de loi loi sous sous avis avis entend délimiter délimiter la la criminalité grave grave de de la Dans 47. criminalité simple par par référence référence àà un un seuil seuil de de peine peine maximale, les les critères énoncés énoncés par par la la CJUE CJUE criminalité au postérieure est CJUE la de jurisprudence de la CJUE est doivent être être pris pris en en considération. considération. Or, Or, comme cette cette jurisprudence au doivent judicieux de dépôt du du projet projet de de loi, loi, ilil serait serait judicieux de revoir revoir les les mesures mesures législatives législatives prévues prévues et et de de les les dépôt conformer, le le cas cas échéant, échéant,aux auxexigences exigences de dela la CJUE. CJUE. En Ence ce qui qui concerne concerne le le seuil seuil fixé, fixé,ilil peut, peut, tel conformer, que déjà déjà susmentionné, susmentionné, être être remis remis en en doute doute s'il s'il est est suffisamment suffisamment élevé. élevé. Ensuite, Ensuite, en en ce ce qui qui que mesure vérifier pour concerne le le principe principe de de proportionnalité, ilil convient convient de de vérifier pour chaque chaque mesure concerne individuellementsi si les les critères critèressoulevés soulevéspar par la la CJUE CJUEsont sont prévus. individuellement 48. La La CNPD CNPDsouhaite souhaiteencore encore attirer attirerl'attention l'attention du du législateur législateurau aurèglement règlement(UE) (UE) 2018/1240 48. du Parlement Parlement européen européen et et du du Conseil du du 12 12 septembre septembre 2018 2018 portant création d’un d'un système système du modifiant et (ETIAS) voyages les européen d’information d'information et et d’autorisation d'autorisation concernant les (ETIAS) et modifiant les les européen règlements (UE) (UE) 1077/2011, 1077/2011, (UE) (UE) 515/2014, 515/2014, (UE) (UE) 2016/399, 2016/399, (UE) (UE)2016/1624 2016/1624 et et(UE) (UE) 2017/2226 2017/2226 règlements qui dans dans son son article article 3.1. 3. 1. point point 16 16 définit définit l’infraction l'infraction pénale pénale grave grave comme comme «« une une infraction infraction qui qui qui correspond ou ou est est équivalente équivalente àà l’une l'une des des infractions visées visées àà l’article l'article 2, 2, paragraphe paragraphe 2, 2, de de la la correspond mesure d'une ou peine d'une national, droit décision-cadre 2002/584/JAI, 2002/584/JAI, si sielle elle est estpassible, en en droit d'une peine ou d'une mesure décision-cadre desûreté sûretéprivative privative de deliberté libertéd’une d'unedurée duréemaximale d'au d'aumoins moins trois troisans ans ». ».La LaCNPD CNPD se se demande demande de de projet le pour dès lors lors si si cette cette définition ne ne pourrait pas pas servir servir de de source d’inspiration d'inspiration pour le projet de loi loi sous sous dès avis. avis. 49. Ensuite, en en ce ce qui qui concerne concerne l’étendue retendue de de la la mesure mesure législative législative prévoyant prévoyant la la conservation conservation Ensuite, 49. ciblée,la la CJUE CJUEexige exigequ’elle qu'elle soit soit prévue prévue dans dans la la loi loi nationale nationale et et limitée limitéepar pardes des critères critères objectifs objectifs ciblée, 48 24-3.1 l’article de actuelle rédaction la que constater et non discriminatoires48. Or, il lieu de que la de l'article 24-3.1 de lieu a y il et non discriminatoires . Or, 45 45Ibid. Ibid. 46Ibid., /of.,point point60. 47 47/ôfd., point61. 61. Ibid., point 46 48Arrêt Arrêt du du 55 avril avril 2022, 2022, Commissioner of of An An Garda Garda Slochéna Siochéna e.a., e. a., C-140/20, EU:C:2022:258, EU:C:2022:258, point point 76. 48 ’ CNPD Avis de dela la Commission Commission nationale nationalepour pourla la protection protection des des données données Avis relatifau auprojet projetde deloi loin°8148 n°8148relative relativeàà la larétention rétentiondes desdonnées donnéesàà caractère caractèrepersonnel personnelet et relatif portantmodification: modification:1° 1 ° du duCode Codede deprocédure procédurepénale pénale; 2° 2°de dela laloi loimodifiée modifiéedu du30 30mai mai2005 2005 portant concernantla laprotection protectionde dela la vie vieprivée privéedans dansle lesecteur secteurdes descommunications communicationsélectroniques électroniques ;; concernant et3° 3° de dela la loi loi modifiée modifiée du du 5 juillet 2016 2016 portant portant réorganisation réorganisation du du Service Service de derenseignement renseignement et del'État l'État de 12/46 12/46 alinéa alinéa33 du du CPP CPPse se limite limite àà prévoir prévoir que que la la décision décisionécrite écriteet et motivée motivée du du procureur procureur d'État d'Étatcontient contient ««
9. b)
10. b)[l]’indication PJ'indication précise précise d'un d'un ou ou de de plusieurs plusieurs des des éléments éléments suivants suivants :: la la ou ou les les personnes, les moyens moyens de de communications communicationsou ou les les lieux lieux qui qui font font l’objet l'objet de de la la conservation conservation ». ». La Ladisposition disposition ne contient contientpas pas de de critères critèrespermettant permettant de de délimiter délimiterexactement exactementles les personnes, personnes, lieux lieux ou ou moyens moyens de communication communication à à viser viser par par la la conservation. conservation. 50. Dans 50. Dansla la mesure mesureoù oùle le futur futurarticle article 24-3 24-3 du du CPP CPPprévoit prévoitune uneconservation conservationciblée, ciblée,la la CNPD CNPD se se demande demande dès dèslors lors s’il s'il ne ne devrait devraitpas pas contenir contenirdes des critères critères permettant permettant de de délimiter délimiterles les zones géographiques géographiquesou oules lespersonnes personnespouvant pouvantêtre êtrevisées viséespar parla lamesure mesuretel tel que quepréconisé préconisépar parla la CJUE CJUE ou ou encore encorela la CEDH. CEDH.Les Lesauteurs auteurs du du projet projet de de loi loi auraient auraientpu pu s’inspirer s'inspirerdes deséléments élémentsfournis fournispar par 49 la Cour dans ses arrêts successifs ainsi que des critères prévus au nouvel article 5bis de la la Cour dans ses arrêts successifs49 ainsi que des critères prévus au nouvel article 5bis de la loi loi Télécom. 51. La 51. LaCour Cour clarifie clarifie par par ailleurs ailleurs qu’à qu'àpart part une une délimitation délimitation des des personnes ou ou zones zones visées visées par la lamesure, mesure, « d’autres d'autres critères, objectifs objectifs et et non nondiscriminatoires, discriminatoires, puissent puissent entrer entreren enligne lignede decompte compte afin afin d’assurer d'assurer que que la la portée portée d'une d'une conservation ciblée ciblée soit soit limitée limitée au au strict strict nécessaire nécessaire et et d’établir d'établir un unlien, lien, au aumoins moinsindirect, indirect, entre entreles les actes actesde decriminalité criminalitégrave graveet et les lespersonnes personnesdont dontles lesdonnées données sont sontconservées. conservées.Cela Celaétant, étant,l’article l'article15, 15,paragraphe paragraphe1, 1,de dela ladirective directive2002/58 2002/58visant visantdes desmesures législatives des des États Étatsmembres, c’est c'est àà ces ces derniers derniers et etnon non àà la laCour Cour qu'il qu'il incombe incombe d’identifier d'identifier de de tels critères, étant entendu qu’il ne saurait être question de réinstaurer, par ce biais, une te/s critères, étant entendu qu'il ne saurait être question de réinstaurer. par ce biais, conservation généralisée généralisée et et indifférenciée indifférenciée des des données données relatives au au trafic trafic et et des des données données de 50 localisation » . Il existe donc éventuellement d'autres critères non énumérés par la localisation »50. Il existe donc d'autres critères non énumérés par la CJUE CJUE qui pourrait pourraitservir servirpour pour délimiter délimiterl’étendue l'étenduede de la la mesure. 52. Concernant les 52. les catégories catégories de de données données qui qui peuvent peuvent potentiellement potentiellement être être conservées, le futur futur article article 24-3.1 24-3. 1 alinéa alinéa 2 du du CPP CPP prévoit prévoit qu’un qu'un règlement règlement grand-ducal « détermine détermine les les catégories catégories de de données données relatives relatives au au trafic trafic susceptibles de de pouvoir pouvoir servir servir àà la la recherche, àà la constatation et et àà la la poursuit d’infractions d'infractions visées visées ci-dessus ». ». La La CNPD CNPD se se rallie aux aux observations observations 51 du . Elle du Conseil Conseil d’État d'Étatàà ce ce sujet sujet51. Elleajoute ajoute que que la la jurisprudence jurisprudence de delala CJUE CJUEénonce énonceque que pour pourlala conservation conservationciblée, ciblée,ilil appartient appartientàà la la loi loi de de contenir contenirles les critères critèresobjectifs objectifs et et non non discriminatoires qui permettent de déterminer quelles catégories de données peuvent être conservées. qui permettent de déterminerquelles catégoriesde donnéespeuvent êtreconservées.IlIl ne ne suffit dès dès lors lors pas pas de de fixer fixer les les catégories catégories de de données données qui qui peuvent peuvent être être collectées, mais mais ilil faut faut bien prévoir des critères sur base desquels on limite au strict nécessaire les données pouvant prévoir des critères sur base desquels on limite au strict nécessaire les données pouvant être collectées. collectées. 53. Par 53. Parailleurs, ailleurs, ilil ne ne ressort ressort pas pas clairement clairement de de la la disposition disposition que que le le règlement règlementgrand-ducal visé correspond à celui pris initialement sur base de l’article 5 de le loi visé correspond à celui pris initialement sur base de l'article 5 de le loi Télécom, Télécom, àà savoir savoir le le 49 49Voir Voiren en ce ce sens sens par parexemple, l'arrêt l'arrêt du du 20 20 septembre 2022, 2022, SpaceNet SpaceNet et et Telekom Deutschland Deutschland C-793/19 C-793/19 et et c794/19, 794/19, EU:C:2022:702, EU:C:2022:702, points points 104 104 àà 113. 113. 50 Arrêt du An Garda 50Arrêt du55 avril avril2022, 2022,Commissioner Commissionerof ofAn GardaSiochâna Stochânae.a., e. a.,C-140/20, C-140/20,EU:C:2022:258, EU:C:2022:258,point point83. 83. 51 51Voir Voiravis avisdu duConseil Conseil d'État d'Étatdu du23 23janvier janvier 2024, 2024, doc. doc. pari. pari. 8148/05, 8148/05, p.4 et et5. " CNPD - L- ... — Avis de de la la Commission Commission nationale pour pour la la protection des des données données relatif relatifau auprojet projetde deloi loin°8148 n°8148relative relativeàà la larétention rétentiondes desdonnées donnéesàà caractère caractèrepersonnel personnelet portant portant modification: 1° 1° du du Code Code de de procédure pénale pénale ;; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernantla laprotection protectionde dela la vie vieprivée privéedans dansle lesecteur secteurdes descommunications communicationsélectroniques ;; et juillet 2016 et3° 3°de dela laloi loimodifiée modifiéedu du55 juillet 2016 portant portantréorganisation réorganisationdu duService Servicede derenseignement del'État de l’État 13/46 13/46 juillet 2010 règlement règlement grand-ducal grand-ducal du du 24 24 juillet 2010 déterminant déterminant les les catégories catégories de de données données àà caractère caractère généréesou ou traitées traitées dans dans le le cadre cadre de de la la fourniture fourniture de de services services de de communications communications personnel générées électroniques ou ou de de réseaux réseaux de de communications communications publics. A A l’instar l'instar des des Parquets Parquets du du Tribunal Tribunal électroniques 52 d'Arrondissement de de Luxembourg Luxembourg et et de de Diekirch Diekirch dans dans leur leur avis avis commun commun52,, la la CNPD CNPD est est d’avis d'avis d'Arrondissement visé. est grand-ducal règlement quel CPP du 24-3 qu'il doit doit être être clair clair àà la la lecture de de l’article l'article 24-3 du CPP quel est visé. qu’il 54. Concernant le le règlement règlementgrand-ducal grand-ducal proprement dit, dit,la laCNPD CNPDest estd’avis d'avisque que sa sarédaction Concernant 54. être adapté adapté au au nouveau régime. Le Le libellé libellé de de l’article l'article 3 dudit dudit règlement reflète reflète dès dès lors devrait être des indifférenciée et la logique d’une d'une obligation légale légale de de conservation conservation généralisée généralisée et toujours la donnéeslistées. listées. La La CNPD CNPD estime estime pourtant pourtant que que le le règlement règlementgrand-ducal grand-ducal devrait devrait contenir contenir une données liste exhaustive de de données données qui qui constituent des des données données de de trafic trafic ou ou de de localisation parmi liste le procureur d’État d'État doit doit choisir choisir sur sur base base de de critères objectifs et et non non discriminatoires discriminatoires lesquelles le prévus prévus par par la la loi loi celles qui qui sont sont nécessaires àà la la réalisation de de son son objectif. objectif. 55. Dans le le même même ordre ordre d'idée, d'idée, ilil convient de de se se demander demander pourquoi les les auteurs ont ont choisi Dans 55. er 2010 en déjà effet, En infructueux. appels les 2, alinéa 1 paragraphe le d'inclure dans dans le paragraphe 1er alinéa 2, les appels En effet, déjà en 2010 lorsque lorsque d'inclure ceconcept conceptaa été étéintroduit introduit dans dans la laloi loi Télécom, Télécom,le le Conseil Conseil d’État d'Étatavait avaitconstaté constatéque quecette cette précision ce étaitsuperflue car car « peu peu importe si siun un appel appel est est fructueux ou ou infructueux, infructueux, ilil constitue une une donnée donnée était 53 du trafic trafic»»53. . du 56. Par ailleurs, tel tel qu’expliqué qu'expliqué par par les les Parquets Parquets du du Tribunal Tribunal d'Arrondissement de Par 56. 54 juridictionnel Luxembourg et et de de Diekirch dans dans leur leur avis avis commun commun54,, ilil reste reste àà clarifier si si le le contrôle juridictionnel Luxembourg 55 ou existant pour pour l'ordonnance l'ordonnance du du procureur procureur d’État d'Étatrespecte respecte les les exigences exigences de de la la CJUE CJUE55 ou encore encore existant 56 de la la CEDH CEDH56 en en la la matière. matière. de 57. Ensuite, en ence cequi quiconcerne concerne la ladurée duréede deconservation retenue, l'article l'article 24-3 24-3du duCPP CPPprévoit Ensuite, 57. une durée durée de de 6 mois, mois, prolongeable si si nécessaire. nécessaire. Or, Or, ilil yy a lieu lieu de de constater constater que que le le projet projet de de loi loi une ne prévoit prévoit pas pas de de durée durée d’application d'application de de la la mesure. IlIl est est dès dès lors lors impossible de de déterminer le ne moment àà partir partir duquel ilil faut faut compter les les 6 mois mois de de durée durée de de conservation. conservation. La La CNPD CNPD se par conséquent si si la la disposition ne ne devrait pas pas être être complétée par par une une durée demande par fournisseurs et opérateurs les laquelle sur période la ainsi prévoyant d'application de de la la mesure, prévoyant ainsi la sur les et fournisseurs d'application 62 o Avis ommun des des Parquets Parquets du du Tribunal d'Arrondissement de deLuxembourg et et de de Diekirch Diekirch du du13 13avril avril 2023, 2023, doc. doc. Avis commun part. n°8148/03, n°8148/03,p.2. p.2. pari. 53 53Avis Avis du du Conseil d’État d'Étatsur sur le le projet projet de de loi loi n°6113 n°6113 portant portant modification modification des desarticles articles 5 et et 99 de de la la loi loi modifiée modifiéedu du30 30 mai mai 2005concernant concernantla laprotection protectionde dela la vie vieprivée privéedans dansle lesecteur secteurdes descommunications communicationsélectroniques électroniqueset etde del’article l'article67-1 67-1 2005 du Code Code d’instruction d'instructioncriminelle, criminelle, doc. doc. pari. pari. 6113/06, 6113/06, p.3. p. 3. du 54 54Avis des Parquets Parquets du du Tribunal d'Arrondissement de de Luxembourg et et de de Diekirch Diekirch du du 13 13avril avril 2023, 2023, doc. doc. Avis commun des pari. n°8148/03, n°8148/03,p.3. pari. 55 55Arrêt Arrêtdu du55 avril avril 2022, 2022, Commissioner Commissionerof of An AnGarda Garda Siochéna Siochànae.a., e.a., C-140/20, C-140/20, EU:C:2022:258, EU:C:2022:258,point point85, 85, et citée. jurisprudence jurisprudence 56 janvier 2022, 56Voir Voirarrêt arrêtde dela la CEDH CEDHdu du11 11 janvier 2022,Ekimdzhiev Ekimdzhievet etautres autresc. e. Bulgarie, Bulgarie,point point301. CNPD Avis de la la Commission nationale pour pour la la protection des des données Avis de Ml. tt — relatif relatifau au projet projet de de loi loi n°8148 n°8148 relative relative àà la la rétention rétention des des données données àà caractère caractère personnel et portant portant modification: 1° 1 ° du du Code Code de de procédure procédure pénale pénale;; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernantla laprotection protectionde dela la vie vieprivéé privéedans dansle le secteur secteurdes des communications communicationsélectroniques ;; concernant juillet 2016 et 3° 3° de dela la loi loi modifiée modifiéedu du 5 juillet 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement et del’État l'État de 14/46 14/46 doivent doivent procéder procéderàà la la conservation. Une Une fois foisque que la la durée duréed’application d'application de de la la mesure mesure prend prend fin, fin, la durée durée de de conservation des des données données commence àà courir. courir. 58. 58. En En ce ce qui qui concerne concerne la la durée durée de de conservation conservation proprement proprement dite, dite, àà savoir savoir 66 mois prolongeable, la CNPD regrette que les auteurs du projet prolongeable, la CNPD que les du projet de de loi loi n’aient n'aient pas pas fourni d’explication d'explication quant quantau au choix choixretenu. retenu. Elle Ellese se voit voit dès dèslors lors dans dansl’impossibilité l'impossibilitéd’apprécier d'apprécierla la proportionnalité proportionnalitéde la la durée durée choisie. La La CNPD CNPD se se rallie rallie par par ailleurs au au Conseil d’État. d'État. La La Haute Haute Corporation Corporation soulève soulève en qu'une en effet effet que que la la disposition disposition «« est est en en outre outre source source d'insécurité d'insécurité juridique étant étant donné donné qu'une prolongation d'un délai, contrairement à sa prolongation d'un délai, contrairement à sa reconduction, ne ne donne donne pas pas de de limite limite précise précise àà la 57 mesure, mesure, entraînant entraînant de de ce ce fait fait une une imprécision imprécision quant quant àà sa sa durée durée »»57. . 59. Concernant 59. Concernant la la destruction destruction des des données données àà la la fin fin de de la la durée durée de de conservation prévue prévue au paragraphe paragraphe 22 du du nouvel nouvel article article 24-3 24-3 du du CPP, CPP, ilil convient convient de de soulever soulever que que la la disposition disposition prête prête à confusion. confusion. En En effet, effet, ilil semble semble que que cette cette disposition disposition reflète reflète une une obligation obligation pour pour les les opérateurs opérateurs et fournisseurs en en ce ce qu'ils qu'ils doivent doivent détruire détruire les les données données une une fois fois la la durée durée de de conservation venue à échéance. Or, comme l’article 24-3 du CPP encadre une mesure échéance. Or, comme l'article 24-3 du CPP encadre une mesure d'enquête d'enquête préalable préalable à disposition disposition du du procureur d’État, d'État, ilil ne ne ressort pas pas naturellement naturellement du du texte texte que que l’obligation l'obligation de de destruction s’adresse s'adresse aux aux opérateurs et et aux aux fournisseurs. fournisseurs. 60. Ensuite, 60. Ensuite, ilil convient convient de de s’interroger s'interroger sur surl’exception l'exception au au principe principe de dedestruction introduite introduite par la ladeuxième deuxièmepartie partiede dela laphrase phraseunique uniqueconstituant constituantle leparagraphe paragraphe22 de del'article l'article24-3 24-3du duCPP. CPP.Ainsi, les données conservées au titre de l’article 24-3 du les données conservées au titre de l'article 24-3 du CPP CPP auxquelles les les autorités compétentes compétentes ont ontaccédé accédéou ouqu’elles qu'elles ont ontpréservées préservéesne nesont sontpas pasdétruites. détruites. Se Sepose pose alors alors la laquestion question de dela la durée de conservation ultime pour les de conservation ultime pour les données données qui qui seront seront malgré malgré tout tout conservées. conservées. De De plus, plus, la la CNPD s'interroge s'interroge sur sur la la raison raison de de cette cette conservation conservation supplémentaire. supplémentaire. Si Si les les autorités compétentes compétentes ont préservé préservé les les données données conservées utiles utiles pour pour l’enquête, l'enquête, quelle est est la la raison pour pour laquelle les opérateurs et et fournisseurs doivent les les conserver au-delà au-delà de de la la durée durée initiale ? IlIl en en va va de de même pour jugé utiles pour pour les les données données qu’ils qu'ils ont ont accédées accédées mais mais qu’ils qu'ils n’ont n'ont pas pas jugé pour préserver. Pourquoi Pourquoi les les opérateurs opérateurset et fournisseurs fournisseursdoivent doiventles les conserver ? 61. 61. De Deplus, plus, l’article l'article 24-3 24-3 du du CPP CPPdans dans sa sa rédaction rédactionactuelle actuelle ne ne contient contientpas pas d’indication d'indicationou de de référence référence vers vers la la ou ou les les dispositions encadrant l’accès l'accès aux aux données données conservées. La La CNPD CNPD se rallie à l'observation des Parquets du Tribunal d'Arrondissement de Luxembourg et rallie à l'observation des Parquets du d'Arrondissement de et de de Diekirch Diekirch dans leur leur avis avis commun commun5588 qu’une référence à à l'article l'article 67-1 du CPP CPP qui selon dans selon les auteurs du projet qu'une référence de loi loi constitue constitue le le fondement fondement de de l’accès l'accès devrait devrait être être introduite. de 57 janvier 2024, 57Voir Voiravis avisdu duConseil Conseil d’État d'Étatdu du23 23janvier 2024, doc. doc. pari. pari. 8148/05, 8148/05, p.4. p.4. 58Avis Aviscommun ommundes desParquets Parquetsdu duTribunal Tribunald'Arrondissement d'Arrondissementde deLuxembourg Luxembourget etde deDiekirch Diekirchdu du13 13avril avril2023, 2023,doc. 58 pari. n°8148/03, p.2. p. 2. pari. CNPD Avis de de la la Commission nationale nationale pour pour la la protection des des données relatif relatifau au projet projet de de loi loi n°8148 n°8148 relative àà la larétention rétention des des données données àà caractère caractère personnel personnel et portant modification: 11 0° du du Code Code de de procédure pénale pénale ; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernant la la protection de de la la vie vie privée privée dans dans le le secteur secteur des des communications électroniques électroniques ;; et juillet 2016 et 3° 3° de dela la loi loi modifiée modifiéedu du5 juillet 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement del’État l'État de 15/46 15/46 62. Demanière manière similaire, la la CNPD CNPD s'interroge sur sur le le renouvellement prévu prévu par parl’article l'article 24-3.1 24-3.1 De 62. alinéa33 point pointc)
11. e)du duCPP. CPP.Ne Nes'agit-il s'agit-il pas pasplutôt plutôtd’un d'un renouvellement de dela la durée duréed’application d'application de de alinéa opérateurs les par stockées données des la mesure mesure que que de de la la durée durée de de conservation des données stockées par les opérateurs et la fournisseur fournisseur ? Une Une précision précision àà cet cet égard égard serait serait souhaitable. souhaitable. 60 , la 63. De De plus, plus, àà l’instar l'instar du du Parquet Parquet général général59et et du du Conseil Conseil d’État d'État60, la CNPD CNPD se se demande demande 63. prolongation une d'obtenir quelles conditions conditions de deforme forme et etde defond fond devraient devraient être êtreremplies remplies afin afind'obtenir une prolongation de de quelles ce délai. ce 59 64. Enfin, Enfin,l’article l'article24-3.1 24-3. 1 alinéa alinéa44 du duCPP CPPprévoit prévoitqu’en qu'encas casd’urgence, d'urgence, le leprocureur procureurd’État d'Étatpeut peut 64. ordonner verbalement verbalement la la mesure mesure de de conservation et et devra devra par par la la suite suite la la confirmer confirmer dans dans les ordonner meilleurs délais délais par par écrit écrit dans dans la la forme forme prévue prévue àà l’alinéa l'alinéa 3. 3. IlIl convient de de s'interroger s’il s'il ne ne serait serait décision pas utile utile de de prévoir prévoir un un délai délai maximal maximal précis précis pour pour le le procureur procureur d’État d'Étatde de confirmer confirmer sa sa décision pas orale. orale. 2. La Lamesure mesure de de conservation conservation de de l’article l'article 67-1 67-1 du du Code Codede deprocédure procédurepénale pénale 2. 65. Selon l’exposé l'exposé des des motifs, « [Ij’obligation [IJ'obligation de de conservation conservation des des données de de trafic trafic et et de Selon 65. localisation relatives aux aux communications électroniques a été été introduite dans dans la la législation législation luxembourgeoise par par la la loi loi du du 30 30 mai mai 2005 2005 concernant concernant la la protection protection de de la la vie vie privée privée dans dans le le luxembourgeoise nationaux opérateurs [l]es « motifs, des secteur des des communications ». ». Toujours selon selon l’exposé l'exposé des motifs, [l]es opérateurs secteur sont donc donc tenus tenus àà conserver conserver les les données données de de trafic trafic et et de de localisation au au sens sens des des articles articles 55 et et 9 sont l’article moyennant de la la Loi Loi Telecom Telecom et et l’accès /'accèsàà ces ces données données est est garanti garanti au au juge juge d’instruction d'instruction moyennant l'article de 67-1 du du Code Code de de procédure procédure pénale pénale [...] [.. J ». ». 67-1 66. L’article L'article67-1 67-1 du du CPP CPP semble semble donc doncrégir régiruniquement uniquementl’accès l'accèsaux auxdonnées donnéesconservées conservéeset 66. non pas pas la la conservation conservation des des données proprement proprement dite. dite. Or, Or, les les travaux travaux parlementaires parlementaires de de la la loi loi non de mesure la que expliquent pénale procédure de Code le dans 67-1 l’article introduit ayant ayant introduit l'article 67-1 dans le Code de procédure pénale expliquent que la mesure de peut viser viser aussi aussi bien bien les les communications communications passées passées que que les les communications communications repérage ««peut 61 LeConseil d'Étatavaitsoulevédans son avis à l'époqueque le repérage« ne futures »61. nedevrait repérage le que l’époque à avis son dans futures » . Le Conseil d’État avait soulevé 62 viserque quel’obtention l'obtention de dedonnées donnéesd'appel d'appeldéjà déjàtransmises transmises »»62,, ce cenotamment notamment pour pourque quele lerepérage repérage viser mini-écoute « de sorte une comme vu ne puisse puisse pas pas être êtreconfondu confondu avec avecl'écoute l'écoute et et être êtrevu comme une sorte de « mini-écoute ». ». Bien Bien ne que la la commission commission parlementaire précise précise que que l'écoute l'écoute téléphonique téléphonique se se fait fait en en temps temps réel, réel, que cadre le dans que et contenu leur enregistrer et notamment pour pour intercepter les les communications communications et leur et que dans le cadre notamment du repérage repérage « on onconstate simplement simplement qu’il qu'il y a eu eu un un appel appel et eton on essaye essaye de de localiser tant tant l’origine l'origine du même, ni que la la destination de de l’appel l'appel sans sans qu'il qu'il soit soit possible d'en d'en connaître connaître le le contenu - ni même, comme comme que 59 59Avis Avisdu duParquet Parquetgénéral généraldu du13 13mars mars2023, 2023,doc. doc.pari. pari. n°8148/02, n°8148/02,p.6. 60Voir Voiravis avis du du Conseil Conseil d’État d'Étatdu du 23 23 janvier 2024, doc. doc. pari. pari. 8148/05, 8148/05, p.5. p. 5. janvier 2024, 61 61Voir Voirtravaux travauxparlementaires parlementairesdu du projet projet de deloi loin°4889, n°4889,document documentde dedépôt dépôtp.4. 62 62Avis Avisdu duConseil Conseild’État d'Étatdu du19 19mars mars 2002, 2002,doc. doc. pari. pari. n°4889/01, n°4889/01,p.3. 60 CNPD CNPD Avis de de la la Commission nationale pour pour la la protection des des données relatifau auprojet projetde deloi loin°8148 n°8148relative relativeàà la larétention rétentiondes desdonnées donnéesàà caractère caractèrepersonnel personnelet relatif portant portantmodification: modification:1° 1 ° du duCode Codede deprocédure procédurepénale pénale;; 2° 2°de dela laloi loimodifiée modifiéedu du30 30mai mai2005 2005 la protection protection de de la la vie vieprivée privée dans dans le le secteur secteur des des communications électroniques électroniques ;; concernant la et 3° 3° de dela la loi loimodifiée modifiéedu du55 juillet 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement juillet 2016 et del'État l'État de 16/46 16/46 63 il// a déjà , ilil n’en déjàété étérelevé relevé ci-dessus, le le véritable véritable auteur auteur »»63, n'en reste reste pas pas moins moins que que la la question de savoir savoirsi sil'article l'article67-1 67-1 du duCPP CPPpourrait pourraitservir servirau aujuge juged'instruction d'instructionpour pourordonner ordonnerune uneconservation des des données données n’a n'a pas pas trouvé trouvé de de réponse réponse explicite. explicite. 67. 67. La La disposition dispositionen en question question autorise autorisele le juge juge d’instruction d'instruction de de procéder procéder« au au repérage repéragedes des données donnéesd’appel d'appel de de moyens moyens de detélécommunication télécommunication àà partir partir desquels desquels ou ou vers vers lesquels lesquels des desappels 64 sont sont adressés adressés ou ou ont ont été été adressés adressés »»64.. La La terminologie choisie choisie semble semble indiquer indiquer que que le le juge d'instruction d'instruction peut peut ordonner ordonner la la conservation conservation des des données données qui qui seront seront encore encore générées. générées.L’avis L'avis 65 commun commundes desParquets Parquetsdu duTribunal Tribunald'Arrondissement d'Arrondissementde deLuxembourg Luxembourget etde deDiekirch Diekirch65soutient soutientce point point de de vue. vue. Si Si tel tel est est le le cas, cas, le le juge juge d’instruction d'instruction peut peut donc donc par par le le biais biais de de l’article l'article 67-1 du du CPP ordonner une une conservation conservation des des données donnéesde de trafic trafic et et de de localisation. ordonner 68. 68. Au Au vu vu de de l’exposé l'exposéde demotifs, motifs, ilil semble semble que que les les auteurs auteurs du du projet projet de de loi loi n’ont n'ontpas pas abordé abordé l’article l'article sous sous cet cet angle, mais mais uniquement uniquement d’un d'un point point de de vue vue d’accès d'accès aux aux données données conservées. La CNPD CNPDse se demande demandedès dèslors lors si si l’article l'article ne nedevrait devraitpas pasêtre êtreanalysé analyséet et le le cas cas échéant échéantadapté adaptéafin de répondre aux exigences de la CJUE par rapport aux mesures ciblées de conservation de de répondre aux exigences de la CJUE par rapport aux ciblées de données. 69. Ainsi, 69. Ainsi, en en ce ce qui qui concerne concerne la la possibilité possibilitéd’ordonner d'ordonnerla la conservation conservation des des données, données,l'article devra devra viser viser la la finalité finalité appropriée, contenir contenir les les conditions et et critères critères pour pour délimiter délimiter l’étendue l'étendue ainsi que que prévoir prévoir des des durées durées d'application et et de de conservation adéquates. adéquates. 70. L’article 70. L'article67-1 67-1 du du CPP CPPest est d’ores d'ores et et déjà déjàapplicable applicablepour pourles les faits faitsqui qui emportent emportentune unepeine criminelle ou ou une une peine peine correctionnelle dont dont le le maximum maximum est est égal égal ou ou supérieur supérieur àà un un an d’emprisonnement. d'emprisonnement. La La CNPD CNPD se se limite limite àà renvoyer àà ses ses observations soulevées au au points points 39 39 à 47 47 du du présent avis. 71. 71. La LaCJUE CJUEexige exigeencore encorequ’il qu'il existe existedans dans la la loi loi des descritères critèrespermettant permettant de delimiter limiterl’étendue retendue des mesures de conservation. Selon la CJUE, la mesure de conservation peut être « limitée des mesures de Selon ta CJUE, la de peut être limitée soit sur sur des des données données afférentes afférentes àà une une période période temporelle et/ou et/ou une une zone zone géographique géographique et/ou et/ou sur sur un un cercle cercle de de personnes personnes susceptibles susceptibles d’être d'être mêlées mêléesd'une d'une manière manièreou ou d'une d'une autre autre àà une une infraction infraction grave, soit d'autres motifs, soit sur surdes des personnes qui qui pourraient, pour pourd'autres motifs, contribuer, parla parla conservation conservation 66 de . Force de leurs leurs données, données, àà la la lutte lutte contre contre la la criminalité criminalité grave grave »»66. Force est est de de constater constater que que les modifications apportées apportées àà l'article 67-1 67-1 du du CPP CPP ne ne prévoient prévoient pas pas de de tels tels critères, de de sorte sorte que que la la CNPD CNPD est est àà se se demander demander si si les les exigences de de la la CJUE CJUE sont sont respectées. respectées. 63 63Rapport Rapport de dela la Commission Commission juridique du du 2 octobre octobre 2002, 2002, doc. doc. pari. pari. 4889/03, p.3. p. 3. er , point M Article Article67-1, 67-1,paragraphe paragraphe11w, point1. 1.du duCPP CPPdabs dabssa sa version versionactuelle. 65 65Avis Avis commun des des Parquets Parquets du du Tribunal d’Arrondissement d'Arrondissement de deLuxembourg Luxembourg et et de deDiekirch Diekirch du du 13 13avril avril 2023, 2023, doc. 64 pari, 48/03, p.4. pari. n’81 n°8148/03, p. 4. 66 66Arrêt Arrêtdu du66 octobre octobre2020, 2020,La LaQuadrature Quadraturedu duNet Nete.a., e.a.,C-511/18, C-511/18,C-512/18 C-512/18et etC-520/18, C-520/18,EU:C:2020:791, EU:C:2020:791,point point144. 144. " CNPD Avis de Avis de la la Commission Commission nationale pour pour la la protection protection des des données relatif relatif au au projet de de loi loi n°8148 relative àà la la rétention rétention des des données données àà caractère personnel personnel et portant portant modification: modification:1° 1 ° du du Code Codede de procédure procédurepénale pénale;; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30mai mai2005 concernant la la protection de de la la vie vie privée privée dans dans le le secteur des des communications communications électroniques électroniques ;; et et3° 3° de dela laloi loimodifiée modifiéedu du55 juillet juillet2016 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement del’État l'État de 17/46 17/46 La 72. 72. La disposition sous sous examen contient une une durée durée d’application d'application de de la la mesure qui qui doit doit être être juge d’instruction précisée préciséepar par le le juge d'instruction sans sans qu’elle qu'elle puisse puisse excéder excéderun un mois. mois. Or, Or, elle elle néglige néglige de de fixer fixer une durée durée de de conservation des des données de de trafic trafic et et de de localisation par par les les opérateurs et une fournisseurs. IlIl est est néanmoins néanmoinsessentiel essentiel de de prévoir prévoirune une telle telle durée duréede de conservation conservation qui qui doit doit par par fournisseurs. ailleurs être être limitée limitée au au strict strict nécessaire nécessaire par par rapport au au but but recherché. recherché. ailleurs 73. Sepose pose encore encore la la question question générale généralesi si la la durée duréede de conservation devrait devrait être êtrefixée fixéepar par les Se 73. qui régissent les les mesures mesures de de conservation. conservation. En En effet, la la durée durée de de conservation conservation des dispositions qui données est est une une obligation obligation qui qui s'adresse s'adresse in in fine fine aux auxopérateurs opérateurs et et aux aux fournisseurs. Ne Ne serait-il serait-il données dèslors lors pas pas plus plus logique de de prévoir prévoir une une disposition sur sur les les durées durées de de conservation conservation des des données données dès ordonnées par parles les juridictions, qui qui seront seront appropriées appropriées en en fonction fonction de dela la mesure mesure ordonnée ordonnée dans dans la ordonnées loi Télécom Dans tous les cas, il doit découler clairement du texte que la durée de conservation de durée la que texte du clairement découler doit il cas, les tous Dans ? loi Télécom s'adresse aux aux opérateurs et et fournisseurs. fournisseurs. s’adresse 74. En dernier dernier lieu, lieu, la la CNPD CNPD se se demande si si une une séparation séparation des des mesures de de conservation et En 74. d’éviter souci un dans Ceci d'accès ne ne serait serait pas pas une une alternative envisageable. envisageable. Ceci dans un souci d'éviter toute toute confusion confusion d’accès entre les les mesures mesures et et de de rendre rendreplus plus lisibles lisibles les les règles règlesqui qui entourent entourent ces ces deux deux mesures. entre 3. La La mesure de de conservation conservation du du nouvel article 7-1 de de la la loi loi SRE 3. 75. L'article 33 point point 2° 2° du du projet projet de de loi loi introduit introduit un un nouvel nouvel article article 7-1 7-1 dans dans la la loi loi modifiée modifiée du 5 L’article 75. juillet 2016 2016 portant réorganisation réorganisation du du Service de de renseignement renseignement (ci-après la la « loi loi SRE SRE »). »). Cet article permet permet au au SRE SRE d'ordonner d'ordonner aux aux opérateurs opérateurs et et fournisseurs «« la la conservation généralisée article des et indifférenciée des données relatives au trafic y compris l'identification des correspondants correspondantset et l’identification compris y trafic au relatives données des indifférenciée et de toutes toutes les les formes formes de de communications ou ou àà la la localisation de de l'origine l'origine ou ou de de la la destination de de cescommunications, générées généréesou ou traitées traitéespar par eux euxdans dansle le cadre cadre de dela la fourniture fourniture des des services services de ces communicationsconcernés concernés ». communications 76. La CJUE CJUE admet admet une une conservation généralisée généraliséeet et indifférenciée indifférenciée des des données données relatives au La 76. explique elle égard, trafic et à la localisation dans des A cet égard, elle explique que que « la la cet A particulières. situations des dans trafic et à la sécurité nationale nationale reste reste de de la la seule seule responsabilité responsabilité de de chaque chaque État Étatmembre. Cette Cette responsabilité responsabilité sécurité et l’État de essentielles correspond àà l’intérêt l'intérêt primordial primordial de de protéger protéger les les fonctions fonctions essentielles de l'Étatet les les intérêts intérêts correspond fondamentaux de de la la société société et et inclut inclut la la prévention prévention et et la la répression répression d’activités d'activités de de nature nature àà fondamentaux déstabiliser gravement gravement les les structures structures constitutionnelles, constitutionnelles, politiques, économiques économiques ou ou sociales déstabiliser d'un pays, pays, et et en en particulier particulier àà menacer menacer directement directement la la société, société, la la population population ou fondamentales d’un 67 l'Étaten entant tantque que tel, tel, telles telles que que notamment notamment des desactivités activitésde deterrorisme »»67.. l’État 67 "Arrêt du 66 octobre octobre2020, 2020.La La Quadrature Quadraturedu du Net Net e.a., e.a., C-511/18, C-511/18,C-512/18 C-512/18et et C-520/18, C-520/18,EU:C:2020:791, EU:C:2020:791,point point135. 135. Arrêt du CNPD Avis de dela la Commission Commission nationale nationalepour pour la la protection protection des desdonnées Avis CTfî i— _i relatif au au projet projet de de loi loi n°8148 n°8148 relative àà la la rétention rétention des des données données àà caractère caractère personnel et relatif portant modification: 1° 1" du du Code Code de de procédure procédure pénale pénale ; 2° 2° de de la la loi loi modifiée modifiéedu du 30 30 mai mai2005 portant oncernant la la protection de de la la vie vieprivée privéedans dans le le secteur secteur des des communications électroniques électroniques ;; concernant et3° 3° de dela la loi loimodifiée modifiéedu du5 juillet juillet2016 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement et del’État l'État de 18/46 77. La 77. La Cour Cour admet admet dès dès lors lors que que « l'importance l'importance de de l’objectif l'objectif de de sauvegarde de de la la sécurité sécurité nationale nationale [...] [... ] dépasse dépasse celle celle des des autres autres objectifs visés visés àà l’article l'article 15, 15, paragraphe 1, 1, de de la la directive directive 2002/58, 2002/58, notamment notamment des des objectifs objectifs de de lutte lutte contre la lacriminalité en en général, même même grave, ainsi ainsi que de de sauvegarde sauvegarde de de la la sécurité sécurité publique. publique. En En effet, des des menaces telles que que celles celles visées visées au au point précédent se distinguent, par leur nature et leur précédent se distinguent, par leur et leur particulière gravité, du du risque risque général général de survenance survenance de de tensions tensions ou ou de de troubles, même même graves, àà la la sécurité sécuritépublique. publique. Sous Sous réserve réserve du respect des autres exigences prévues respect des autres exigences prévues àà l’article l'article 52, 52, paragraphe 1, 1, de de la la Charte, l'objectif de de sauvegarde sauvegarde de de la la sécurité sécurité nationale est est dès dèslors lors susceptible de de justifier des des mesures comportant comportant des justifier ces afesingérences ingérences dans dansles les droits droits fondamentaux fondamentaux plus plus graves graves que que celles celles que que pourraient pourraient justifier 68 autres autres objectifs objectifs »»68.. 78. 78. Selon Selon la la CJUE, CJUE, la la conservation conservation généralisée généraliséeet et indifférenciée indifférenciéedes des données donnéesrelatives relatives au trafic trafic et et àà la la localisation, localisation, qui qui est est une une ingérence ingérence particulièrement particulièrement grave grave dans dans la la vie vie privée privée des personnes, est est donc donc possible possible si si l’enjeu l'enjeu est est la la sécurité sécurité nationale. La La mesure doit doit néanmoins néanmoins être encadrée. encadrée. Ainsi, Ainsi, la la Cour Cour considère considère que que la la menace menace grave grave doit doit être être « réelle réelle et et actuelle actuelle ou 69 prévisible » . Bien que le nouvel article 7-1.1 de la prévisible »69. Bien que le nouvel article 7-1. 1 de la loi loi SRE SRE reprenne reprenne exactement exactement ces ces termes, termes, ilil n’est n'est pas pas précisé précisé sur sur base base de de quels quels critères critères et et conditions une une menace menace est est considérée considérée comme réelle réelle et et actuelle actuelle ou ou prévisible. prévisible. La La CNPD CNPD se se demande demande dès dès lors lors si si ces ces critères critères ne ne devraient devraient pas être êtreprévus prévuspar parla laloi, loi, vu vuqu’une qu'unetelle telle conservation conservation constitue constitue une uneingérence ingérenceparticulièrement particulièrement grave dans dans la la vie vie privée privée des despersonnes personnes concernées concernées et etqu'en qu'en vertu vertu de del'article l'article 52 52 de de la la Charte Charte des des droits fondamentaux fondamentaux de de l'Union européenne (ci-après la la « Charte Charte ») ») et et de de l’article l'article 8.2 de de la la Convention Convention des des droits droits de de l’homme l'homme toute toute limitation limitation de de l’exercice l'exercice des des droits droits et et libertés libertés doit doit être être prévue prévue par par la loi. loi. Même Même si si la la CEDH CEDH admet admet une une certaine certaine flexibilité flexibilité dans dans la la prévisibilité prévisibilité de de la la loi loi en en matière matière de surveillance secrète secrète pour la sécurité nationale surveillance nationale7700,, il n’en n'en reste reste pas préserver la le pour préserver [ . . . ]] le «[... pas moins que que « risque risque d’arbitraire d'arbitraire apparaît apparaît avec avec netteté netteté là là où où un un pouvoir pouvoir de de l’exécutif l'exécutif s’exerce s'exerce en en secret. L’existence L'existence de de règles règles claires claires et et détaillées détaillées en en matière matière d'interception d'interception de de conversations conversations téléphoniques apparaît donc indispensable, d’autant que les procédés techniques utilisables téléphoniques apparaît donc indispensable, d'autant que les procédés utilisables ne ne cessent cessent de de se se perfectionner. perfectionner. La La loi loi doit doit être être rédigée rédigée avec avec suffisamment de de clarté clarté pour pour indiquer indiquer àà tous tous de de manière manière adéquate adéquate en en quelles quelles circonstances circonstances et et sous sous quelles quelles conditions conditions elle elle habilite habilite la la 71 puissance puissancepublique publiqueàà prendre prendre pareilles pareilles mesures mesures secrète secrète »»71.. 79. Aux 79. Aux dispositions dispositions de de la la Charte Charte s’ajoutent s'ajoutent encore celles de de la la Constitution. Constitution. Pour Pour rappel, ce sont en effet les droits prévus aux articles 20 (vie privée), 30 sont en effet les droits prévus aux articles 20 (vie 30 (inviolabilité des des communications) communications) et jeu dans et 31 31 (protection (protection des des données) données) qui qui sont sont en en jeu dans le le cadre cadre du du présent présent projet projet de de loi. loi. Or, conformément à l’article 37 de la Constitution « [t]oute à l'article 37 de la [tjoute limitation de de l’exercice l'exercice des des libertés libertés publiques publiques doit doit être être prévue prévue par par la la loi loi [...]». [... ]». 68 68Ibid, /d, point point136. 136. 69 Ibid, point 69/6/d, point 137. 137. 70 70Voir Voirpoints points 16 16àà 19 19du duprésent présentavis. 71 71Voir Voirarrêt arrêtde dela laCEDH CEDHdu du44 décembre décembre2015, 2015, Roman RomanZakharov Zakharov c. e. Russie, Russie, point point229. 229. NPD CNPD Avis Avis de dela la Commission Commissionnationale nationalepour pour la la protection protection des desdonnées relatif relatif au au projet projet de deloi loi n°8148 n°8148 relative àà la la rétention rétention des des données données àà caractère caractère personnel personnel et portant portant modification: 1° 1° du du Code Code de de procédure procédure pénale pénale ;; 2° 2° de de la la loi loi modifiée modifiée du du 30 30 mai mai 2005 concernant concernant la la protection de de la la vie vieprivée privée dans dans le le secteur secteur des des communications électroniques électroniques ;; et et3° 3°de dela laloi loimodifiée modifiéedu du5 juillet juillet2016 2016portant portantréorganisation réorganisationdu duService Servicede derenseignement de de l’État l'État 19/46 19/46 80. Se Sebasant basantsur surles lesconstatations constatationsci-avant, ci-avant,la laCNPD CNPDse sedemande demandepar parailleurs ailleurssi sila ladisposition 80. est suffisamment suffisamment précise précise quant quant àà l’étendue retendue de de la la conservation. L’utilisation L'utilisation de de la la notion notion est quelles de savoir de seule elle à pas permet ne » indifférenciée et conservation généralisée généralisée et ne pas à elle seule de savoir de quelles « conservation de quelles zones, de de quelles personnes, personnes, voire voire encore de de quels quels moyens de de données, de généralisée conservation « par communication on on parle. parle. Selon Selon sa sa compréhension, on on entend entend par généraliséeet communication le stockage de de toutes les les données données de de trafic trafic et et de de localisation localisation générées générées par par tous tous indifférenciée » le pays. du territoire le les moyens moyens de decommunication communication de dela la quasi-totalité quasi-totalité de dela lapopulation population sur surtout tout le territoire du pays. les 81. En ce ce qui qui concerne en en particulier les les catégories de de données visées, la la prévisibilité de de la la En 81. 24 du grand-ducal règlement le actuel, régime le Dans loi peut être remise en question. Dans le régime actuel, le règlement grand-ducal du 24 juillet question. loi peut être remise en 2010 déterminant les les c