Avis sur le Projet de loi 4735 relatif à la protection des personnes à l’égard du traitement des données à caractère personnel
La Commission consultative des droits de l’homme (CCDH) a été saisie par le Premier ministre pour lui fournir un avis sur le projet de loi relatif à la protection des personnes à l’égard du traitement des données à caractère personnel
Ce projet a pour objectif de permettre la libre circulation des données à caractère personnel tout en assurant la protection de la vie privée du citoyen.
La CCDH étant un organisme chargé de conseiller le gouvernement en matière de droits de l’homme, elle a analysé le projet de loi exclusivement sous l’angle du respect de droits fondamentaux, dont le droit au respect de la vie privée et familiale, du domicile et de la correspondance, le droit à la liberté d’expression et le droit de recours.
L’objet de la loi est désigné dans l’article 1er de la manière suivante :
"La présente loi protège la vie privée ainsi que les libertés et les droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel et fait respecter les intérêts légalement protégés des personnes morales."
Est définie dans l’article 2 du projet de loi comme donnée à caractère personnel "toute information de quelque nature qu’elle soit indépendamment de son support, y compris le son et l’image, concernant une personne identifiée ou identifiable ("personne concernée ") ; une personne physique ou morale est réputée identifiable si elle peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique ; "
Ces données doivent correspondre à des critères de qualité et de légitimité de traitement qui sont définis dans les articles 4 et 5 du projet de loi.
La CCDH constate la volonté affirmée dans ce projet de loi d'aboutir à un niveau élevé de protection des droits et des libertés fondamentaux conformément à la directive communautaire.
Certaines dispositions appellent cependant des remarques et recommandations en ce qui concerne:
la liberté d'expression
l'organisation des recours administratifs et judiciaires
l’interconnexion des données à caractère personnel
le chargé de protection des données
et quelques dispositions spécifiques
La liberté d'expression
Le projet de loi essaie de concilier le droit au respect de la vie privée et celui de la liberté d'expression prévoyant un régime d'exception au traitement de données à des fins journalistiques ou d'expression artistique et littéraire.
Ainsi, l'interdiction générale de traitement de données dites sensibles, traitée dans l’art. 6 du projet de loi, de même que les limites imposées au traitement de données judiciaires et au transfert de données à des pays tiers ne sont pas, selon l’article 9 paragraphe (1), applicables dans le cadre de la liberté d'expression.
Le droit d'information d'accès et de rectification de la personne concernée, qui est fixé par l’art.26, est également limité par l’art. 9 paragraphe (1), et le contrôle de la Commission nationale obéit à un régime particulier.
La CCDH approuve l'esprit de ces règles d'exception qui protègent la fonction de journaliste et d'une façon générale l'expression artistique et littéraire.
La CCDH considère cependant que la possibilité de traitement de données particulièrement sensibles, dont l'utilisation est normalement interdite par l'article 6 du projet de loi, ne devrait pas s'étendre au traitement de données génétiques sauf si ces données génétiques ont été rendues manifestement publiques par la personne concernée elle-même, ou au cours de la délibération publique d’une Cour.
Elle demande donc au législateur de veiller à ce que les données génétiques soient traitées de manière différente dans les articles 6 et 9, afin qu’elles ne puissent pas être citées en même temps que les autres données qui sont notamment visées par la législation anti-discriminatoire en vigueur.
Le contrôle particulier qu'exerce la Commission nationale des données sur l'exercice du droit d'expression suscite aussi certaines réserves.
La CCDH constate que la dispense du droit d'information de la personne concernée et du droit d'accès de la personne aux informations la concernant après la publication des données dans le cadre de la sauvegarde de la liberté d'information art 9 (1) est relatif.
En effet, la personne concernée peut selon l'art.28 (4) accéder indirectement aux informations la concernant, et ce par le biais des investigations que la Commission de protection des données peut mener conformément à la tâche qui lui est assignée par l'article 9 (3). Dans ce cas la commission doit opérer, selon le projet de loi, "en présence du président de l'organe représentatif de la presse ou de son délégué".
La CCDH n’a pas trouvé un article correspondant dans l’avant-projet de la loi sur la liberté d’expression dans la communication de masse dont elle a pu prendre connaissance et dont elle doit tenir compte ici.
Dans cet avant-projet, il entre dans les missions du Conseil de presse "de mettre en place une Commission des Plaintes chargée de recevoir et de traiter des plaintes émanant des particuliers et mettant en cause un journaliste et/ou un éditeur. Dans l’hypothèse où le Conseil de presse décide de créer une Commission des Plaintes, il déterminera les conditions de recevabilité des plaintes ainsi que la procédure qui sera suivie devant elle."
Il est sous-entendu que de telles plaintes ne sont possibles qu’après la publication des données en question. Il n’est à aucun moment question de l’intervention de la Commission nationale pour la protection des données. Or, dans le projet qui fait l’objet du présent avis, l’intervention de la Commission nationale pour la protection des données peut non seulement avoir lieu, mais comme il n’est pas précisé si elle peut avoir lieu avant ou après la publication des données, elle peut avoir lieu à n’importe quel moment du processus de traitement des données.
Il faut noter ici que l’avant-projet de la loi sur la liberté d’expression ne fait pas mention de l’intervention de la Commission nationale pour la protection des données dans quelque procédure que ce soit. Tout au contraire, sous le chapitre consacré à la protection des données personnelles, l’avant-projet de loi enjoint à la Commission nationale pour la protection des données de respecter le droit à la protection des sources et de s’abstenir de prendre toute mesure susceptible de contourner ce droit.
La CCDH estime qu’il faut donc harmoniser les deux projets de loi quant à l’action de la Commission nationale dans le cadre de la liberté d’expression dans le sens d’une abstention de sa part.
La CCDH constate ensuite que l'article 9 (2) du projet de loi exige la notification d'un traitement effectué à des fins journalistiques. Même si le contenu exigé de cette notification est réduit à son plus strict minimum, il n’en reste pas moins que l’organe de presse ou la personne exerçant son droit d’expression artistique ou littéraire sont obligés de notifier l’existence de leur recherche de données.
La CCDH est d’avis que le principe même d’une telle notification est incompatible avec l’exercice de la liberté d’expression, qu’elle soit d’ordre journalistique, littéraire ou artistique. La notion de notification à la Commission nationale dans le cadre de l’exercice de la liberté d’expression devrait être écartée de ce projet de loi.
Ces recommandations ont conduit la Commission à s’interroger sur la nécessité d’assimiler dans le projet de loi le travail journalistique, artistique ou littéraire à un traitement de données, ce qui conduit immanquablement à une réglementation ambiguë de l’exercice de la liberté d’expression.
La CCDH souhaite que toutes les questions relatives à la liberté d’expression et à la presse soient exclusivement réglées dans un projet de loi spécifique qui devra bien faire la différence entre le traitement de données à caractère personnel et le travail sur des données personnelles dans le cadre d’un travail journalistique, littéraire ou artistique.
Organisation des recours administratifs et judiciaires
La CCDH est d’avis que les dispositions relatives à la Commission nationale de protection des données posent de sérieux problèmes en ce qui concerne les compétences de la Commission ainsi que l’organisation de la procédure judiciaire.
Les règles du projet de loi concernant les compétences de la Commission (art. 32 et ss.) reprennent les dispositions de la directive européenne (art. 28 et ss.) en en amplifiant la portée.
Bien que la directive contienne des dispositions relatives aux autorités de contrôle (articles 28 et suiv.), la CCDH estime que les règles du projet de loi concernant la Commission (article 32 et suiv.) doivent être revues en ce qu’elles instaurent des cumuls de fonction indésirables et confèrent des pouvoirs exorbitants en principe réservés à des juridictions.
En résumé, la Commission – outre le fait qu’elle peut introduire elle-même des requêtes devant la chambre du conseil du Tribunal d’arrondissement – figure dans le projet de loi comme autorité consultative et investigatrice, ces pouvoirs d'investigation étant identiques à ceux des juges d’instruction (cf. art. 35)
A ceci s’ajoute qu’elle peut coopérer avec des autorités étrangères similaires, qu’elle peut recevoir des notifications préalables à la mise en œuvre d’un traitement et qu’elle assume des fonctions représentatives dans les enceintes internationales. Ses pouvoirs sont renforcés par des sanctions pénales qu’elle peut elle-même prononcer, des pouvoirs qui ne sont en rien prévus dans le cadre de l’art. 28.3 de la directive. La conformité des dispositions y relatives avec l’article 6 de la Convention européenne des droits de l’homme sur le droit à un procès équitable est plus qu’incertaine.
Le projet de loi contient encore des dispositions qui dérogent à la procédure pénale en ce que le non-respect des décisions des chambres du conseil sont sanctionnées pénalement (cf. art. 33)
Les règles régissant les pouvoirs de la Commission nationale de protection des données constituent un précédent de nature à rompre avec les fonctions traditionnelles des juridictions d’instruction. La CCDH estime que de telles modifications ne sauraient être envisagées que dans le cadre d’une réforme du Code d’instruction criminelle.
Interconnexion des données à caractère personnel
La CCDH constate que l’art. 16 permet l’interconnexion de données à caractère personnel qui n’est pas expressément prévue par un texte légal, à condition que les responsables des traitements disposent d’une autorisation de la Commission.
La CCDH estime que les conditions énoncées à l’art.16, paragraphe (2) ne sont pas claires et qu’une des premières règles sur laquelle est fondée la légitimité du traitement des données à caractère personnel, c’est-à-dire que "la personne concernée a donné son consentement exprès" (cf. art. 5, paragraphe (1, f), n’est pas respectée.
Il ne suffit pas d’invoquer des textes légaux ou la sauvegarde des droits et libertés des personnes concernées. Il faut que les personnes concernées sachent d’emblée, avant de livrer leurs données, dans quels circuits ces données sont susceptibles de circuler.
L’intérêt légitime du responsable du traitement ne peut primer sur le droit des personnes concernées. Si cela devait cependant être le cas pour des cas de force majeure, ces cas de figure doivent être plus explicitement déterminés.
Dans le même esprit, la CCDH est d’avis que le texte de la loi doit, par l’art. 16, paragraphe (3), rendre obligatoire l’élaboration d’un règlement grand-ducal dans un délai très bref après le vote de la loi.
Le chargé de la protection des données
La CCDH pense que la possibilité donnée aux responsables de traitement de désigner un chargé de la protection des données est en soi une bonne solution pour la mise en œuvre de cette loi. Il va sans dire que cette mesure législative va créer un nouveau créneau sur le marché du traitement des données.
Dans cet ordre d’idées, la CCDH est d’avis que le chargé du traitement des données doit non seulement pouvoir agir en toute indépendance, ce qui lui est garanti par l’art. 40, paragraphe (4, a,b et c), mais il doit apporter toutes les garanties pour son indépendance. La CCDH pense à ce titre que l’art. 40 (paragraphe (8), qui crée un automatisme, n’est pas de nature à garantir cette indépendance. Il est tout à fait habituel que les réviseurs d’entreprises soient directement ou indirectement liés à des activités de consultance et/ou de commercialisation dans le domaine des systèmes de traitement des données.
Or, le chargé de la protection des données, s’il doit connaître l’évolution des technologies dans ce domaine, ne doit pas en être un fournisseur. Il doit exercer sa tâche de manière indépendante de cet autre créneau du marché du traitement des données. Sinon, le risque est grand qu’il y ait collusion d’intérêts, que l’on soit juge et partie dans un domaine où les droits des personnes sont en jeu d’une manière si sensible.
La CCDH pense que les auteurs du projet de loi devraient revoir les règles de l’agrément du chargé de protection des données en vue d’éviter tout conflit d’intérêts en la matière.
Les dispositions spécifiques
La CCDH constate qu’à l’état actuel du texte, il est difficile de faire le lien entre le projet de loi et son commentaire.
En ce qui concerne l’art. 41 traitant des dispositions spécifiques, la CCDH est d’avis qu’il faudra procéder à une séparation des procédures liées à l’application des articles 88-1 à 88-4 du code d’instruction criminelle en matière de flagrant délit ainsi qu’en matière de mesures spéciales de surveillance d’un côté, et des procédures liées à la sauvegarde de la vie humaine de l’autre côté.
Pour des raisons à la fois juridiques, conceptuelles et de lisibilité des lois, ces trois procédures, qui font intervenir des acteurs tout à fait différents (Procureur d’Etat, juge d’instruction, "toute personne" ), devront être traitées dans trois articles différents.
La CCDH s’interroge d’ailleurs sur la nécessité d’intégrer dans la présente loi des dispositions relatives à l’application technique des articles 88-1 à 88-4 du code d’instruction criminelle. Des incidents comme le contrôle des communications d’une fraction parlementaire ne pourront pas être évités par les dispositions du projet de loi. Les décisions relatives à la mise en place de mesures de surveillance continueront de relever de la responsabilité du procureur d’Etat ou du Parquet qui resteront juges en la matière, au risque de prendre des décisions contestables.
Dans l’article consacré à la sauvegarde de la vie humaine, le législateur devra préciser qu’elles seront les personnes qui auront le droit de demander d’accéder de plein droit par l’intermédiaire de l’ILR (Institut luxembourgeois de régulation) aux données concernant les abonnés des opérateurs de télécommunications et/ou des services postaux et/ou leurs fournisseurs de services. Un code de conduite tel qu’il est préconisé ne saura suffire pour prévenir les abus et donner toutes les garanties.
La CCDH s’oppose par ailleurs à toute forme d’automatisation de ces procédures. Le facteur humain doit continuer à offrir dans le cas présent toutes les garanties.
Conclusions :
1. La CCDH est d’avis que l’article 9(2) du présent projet de loi qui exige la notification d’un traitement effectué à des fins journalistiques, littéraires ou artistiques à l’attention de la Commission nationale pour la protection des données est incompatible avec l’exercice de la liberté d’expression. Elle demande que le principe de notification, même réduit à sa plus simple expression, ne soit pas appliqué dans le présent projet de loi, à l’exercice de la liberté d’expression.
2. La CCDH pense que le Gouvernement devrait distinguer entre le traitement de données à caractère personnel et le travail sur des données personnelles dans le cadre d’un travail journalistique, littéraire ou artistique, et consacrer à ce dernier volet un projet de loi spécifique qui règle les questions relatives à la liberté d’expression en accord avec les principes de la Convention européenne des droits de l’homme.
3. La CCDH estime que les pouvoirs d’investigation et répressifs conférés à la Commission nationale de protection des données (art. 32 et ss.) sont exorbitants et constituent un précédent de nature à rompre avec les fonctions traditionnelles des juridictions d’instruction. Ces pouvoirs doivent être revus, car leur conformité avec l’article 6 de la Convention européenne des droits de l’homme sur le droit à un procès équitable est plus qu’incertaine.
4. La CCDH estime que les conditions d’interconnexion de banques de données à caractère personnel énoncées à l’art. 16, paragraphe (2) ne sont pas claires et qu’une des premières règles sur laquelle est fondée la légitimité du traitement des données à caractère personnel, c’est-à-dire que "la personne concernée a donné son consentement exprès" (cf. art. 5, paragraphe (1, f), n’est pas respectée.
5. La CCDH estime également, qu’en matière d’interconnexion, l’intérêt légitime du responsable du traitement ne peut primer sur le droit des personnes concernées. Si cela devait cependant être le cas pour des cas de force majeure, ces cas de figure doivent être plus explicitement déterminés.
6. La CCDH pense que les auteurs du projet de loi devraient revoir les règles de l’agrément du chargé de protection des données en vue d’éviter tout conflit d’intérêts en la matière. (cf. art. 40)
7. La CCDH estime que les auteurs du projet de loi devraient, à l’art. 41 traitant des dispositions spécifiques, séparer les procédures liées à l’application des articles 88-1 à 88-4 du code d’instruction criminelle en matière de flagrant délit ainsi qu’en matière de mesures spéciales de surveillance d’un côté, et les procédures liées à la sauvegarde de la vie humaine de l’autre côté. Pour des raisons à la fois juridiques, conceptuelles et de lisibilité des lois, ces trois procédures, qui font intervenir des acteurs tout à fait différents (Procureur d’Etat, juge d’instruction, "toute personne" ), devront être traitées dans trois articles différents.
8. La CCDH pense par ailleurs qu’il n’est pas nécessaire d’intégrer dans la présente loi des dispositions relatives à l’application technique des articles 88-1 à 88-4 du code d’instruction criminelle, dans la mesure où des incidents comme le contrôle des communications d’une fraction parlementaire ne pourront pas être évités par les dispositions du présent projet de loi.
**********************************************
Ainsi adopté par la Commission consultative dans sa séance du 11 juin 2001