Loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière

Le présent chapitre s’applique à l’échange de données à caractère personnel et d’informations entre, d’une part, la Police grand-ducale et l’Administration des douanes et accises, dans la mesure où cette dernière traite ces données et informations en exécution de ses missions de police administrative ou judiciaire en vertu d’une disposition légale, et, d’autre part :

1. les services de police et, si et dans la mesure où ils ont la prévention, la recherche et la constatation d’infractions pénales dans leurs attributions, les services de douane des autres États membres de l’Union européenne et des pays associés à l’espace Schengen ;
2. les institutions, organes et agences de l’Union européenne, si et dans la mesure où l’échange porte sur une ou plusieurs infractions ou sur une activité délictueuse relevant de leur mandat ;
3. er
4. l’Organisation Internationale de Police Criminelle (OIPC – Interpol).

(1) L’échange de données à caractère personnel et d’informations entre la Police grand-ducale ou l’Administration des douanes et accises et les entités visées à l’article 1er concerne exclusivement les données à caractère personnel et informations directement disponibles ou directement accessibles à la Police grand-ducale ou à l’Administration des douanes et accises.

(2) Par « directement disponibles », il y a lieu d’entendre les données à caractère personnel et les informations dont la Police grand-ducale et l’Administration des douanes et accises disposent déjà elles-mêmes. Par « directement accessibles », il y a lieu d’entendre les données à caractère personnel et les informations dont d’autres autorités, services publics ou privés ou personnes disposent et auxquelles la Police grand-ducale ou l’Administration des douanes et accises ont accès en vertu de la loi.

(3) L’échange de données à caractère personnel et d’informations en application du présent chapitre s’applique sans préjudice des dispositions particulières d’un instrument juridique international en matière de coopération policière internationale auquel le Grand-Duché de Luxembourg est partie.

(1) L’échange de données à caractère personnel et d’informations ne peut avoir lieu qu’aux fins de la prévention, de la recherche, de la constatation et de la poursuite d’infractions pénales.

(2) Les demandes aux fins de l’échange de données et informations exposent les raisons factuelles donnant lieu de croire que le pays auquel s’adresse la demande détient les informations et renseignements recherchés, précisent à quelles fins l’échange est sollicité et indiquent le lien entre ces fins et la personne qui fait l’objet de l’échange. Lorsqu’il s’agit d’une demande adressée par les entités visées à l’article 1er à la Police grand-ducale ou à l’Administration des douanes et accises, ces dernières peuvent la refuser si elle ne comporte pas ces précisions ; l’entité requérante en est informée et est invité à compléter, le cas échéant, sa demande.

Les données à caractère personnel et informations transmises par la Police grand-ducale et l’Administration des douanes et accises ne peuvent pas être utilisées comme preuve, sauf si l’autorité judiciaire luxembourgeoise compétente a autorisé un tel usage.

(1) Les données à caractère personnel et informations directement disponibles ou directement accessibles peuvent être échangées de manière autonome par la Police grand-ducale et l’Administration des douanes et accises avec les entités visées à l’article 1er sans autorisation préalable d’une autorité judiciaire.

(2) Toutefois, la Police grand-ducale ou l’Administration des douanes et accises ne peuvent transmettre ces données à caractère personnel et informations aux entités visées à l’article 1er que moyennant autorisation écrite préalable du Procureur d’État compétent si ces données et informations proviennent d’une enquête en cours ou du juge d’instruction compétent si elles proviennent d’une instruction préparatoire en cours.

(3) Lorsqu’une telle autorisation est requise, la Police grand-ducale ou l’Administration des douanes et accises adressent à cette fin une demande écrite à l’autorité judiciaire compétente qui en décide conformément aux dispositions de l’article 20 paragraphe 3.

(1) Les données à caractère personnel et informations directement disponibles ou directement accessibles transmises par la Police grand-ducale ou l’Administration des douanes et accises ne peuvent être utilisés par les entités auxquelles elles ont été transmises qu’aux fins pour lesquelles elles ont été transmises ou pour prévenir un danger immédiat et sérieux pour la sécurité publique. Leur traitement à d’autres fins n’est autorisé qu’avec l’accord préalable de la Police grand-ducale ou de l’Administration des douanes et accises ou, dans le cas visé à l’article 5, paragraphe 2, moyennant l’autorisation de l’autorité judiciaire compétente.

(2) Les données à caractère personnel et informations transmises par la Police grand-ducale ou l’Administration des douanes et accises sont confidentielles. Les modalités de leur transmission et de leur conservation garantissent le respect de ce principe.

(3) Lorsque la transmission porte sur des données à caractère personnel et informations qui ont été obtenues préalablement d’un autre État qui les a soumises au principe de spécialité, leur transmission par la Police grand-ducale ou l’Administration des douanes et accises ne peut se faire qu’avec l’accord de l’État qui les a initialement transmises.

(4) Les données à caractère personnel et informations transmises par la Police grand-ducale ou l’Administration des douanes et accises aux services visés à l’article 1er, point 1), sont également transmises à Europol et à Eurojust, conformément aux dispositions qui leur sont applicables, dans la mesure où la transmission porte sur une ou plusieurs infractions ou une activité délictueuse relevant de leur mandat.

(1) La Police grand-ducale ou l’Administration des douanes et accises ne peuvent refuser de transmettre les données à caractère personnel et informations aux entités visées à l’article 1er que s’il y a des motifs factuels de supposer que :

1. la transmission des données à caractère personnel et d’informations peut porter atteinte aux intérêts vitaux du Luxembourg en matière de sécurité nationale ;
2. la transmission des données ou d’informations peut compromettre le bon déroulement d’une enquête ou d’une instruction préparatoire ;
3. la transmission des données à caractère personnel et d’informations peut compromettre la sécurité de personnes, ou
4. s’il existe des éléments qui indiquent que les données à caractère personnel et informations demandées sont disproportionnées ou sans objet au regard des finalités pour lesquelles elles ont été demandées.

(2) Lorsque la demande concerne une infraction pénale qui est punissable d’une peine d’emprisonnement inférieure ou égale à un an en vertu du droit luxembourgeois, la Police grand-ducale et l’Administration des douanes et accises peuvent refuser de communiquer les données ou informations demandées.

(3) La transmission de données à caractère personnel et d’informations est également refusée par la Police grand-ducale ou l’Administration des douanes et accises si l’autorité judiciaire compétente a refusé l’autorisation visée à l’article 5 paragraphe 2.

(1) Sans préjudice des autres conditions prévues au présent chapitre, la Police grand-ducale ou l’Administration des douanes et accises sont tenues de transmettre les données à caractère personnel et informations demandées dans un délai maximal de huit heures à partir de la réception de la demande y afférente lorsque :

1. er
2. la demande est motivée comme urgente par le service requérant, et
3. loi du 17 mars 2004
4. les informations figurent dans un traitement de données automatisé auquel la Police grand-ducale ou l’Administration des douanes et accises a directement accès, et
5. la demande de transmission a été introduite moyennant le formulaire de l’annexe B de la présente loi.

(2) Si la Police grand-ducale ou l’Administration des douanes et accises ne sont pas en mesure de répondre dans le délai de huit heures, elles en informent la partie requérante en indiquant les raisons. Lorsque la transmission des données à caractère personnel et informations dans le délai de huit heures impose une charge disproportionnée à la Police grand-ducale ou à l’Administration des douanes et accises, elles peuvent reporter la transmission. Dans ce cas, la Police grand-ducale ou l’Administration des douanes et accises en informent immédiatement le service requérant et transmettent les données à caractère personnel et informations demandées dès que possible, et au plus tard dans un délai de trois jours.

Lorsque la demande de données à caractère personnel et informations n’est pas motivée par un service requérant visé à l’article 1er, point 1), comme urgente, la Police grand-ducale ou l’Administration des douanes et accises sont tenues d’y répondre dans un délai d’une semaine lorsque les conditions prévues à l’article 8, paragraphe 1er, points 3) à 5), sont remplies. Si la Police grand-ducale ou l’Administration des douanes et accises ne sont pas en mesure de répondre dans le délai d’une semaine, elles en informent la partie requérante en indiquant les raisons.

Dans les cas de demandes de données à caractère personnel et d’informations non visées par les articles 8 et 9, la Police grand-ducale ou l’Administration des douanes et accises sont tenues de répondre à la demande dans un délai de quatorze jours lorsque la condition prévue à l’article 8, paragraphe 1er, point 5), est remplie. Si la Police grand-ducale ou l’Administration des douanes et accises ne sont pas en mesure de répondre dans ce délai, elles en informent la partie requérante moyennant le formulaire de l’annexe A de la présente loi.

(1) Sans préjudice de l’article 7, la Police grand-ducale ou l’Administration des douanes et accises peuvent transmettre aux services et entités visés à l’article 1er, points 1) et 2), sans que la demande leur en ait été faite, les données à caractère personnel et informations dont il y a lieu de croire, pour des raisons factuelles, qu’elles peuvent contribuer à la prévention, à la recherche, à la constatation ou à la poursuite d’une ou de plusieurs infractions pénales qui présentent un aspect transfrontalier, ou qu’elles peuvent contribuer à la prévention d’une atteinte grave et imminente pour la sécurité et l’ordre publics d’un État visé à l’article 1er point 1).

(2) La transmission de données à caractère personnel et d’informations est circonscrite aux éléments pertinents pour assurer ces fins.

L’échange de données à caractère personnel et d’informations effectué en application du présent chapitre peut avoir lieu par l’intermédiaire de tous les canaux de coopération policière ou douanière internationales auxquels participe le Luxembourg, quels qu’ils soient, y compris par le biais de l’Organisation Internationale de Police Criminelle (OIPC – Interpol). Sous réserve de la langue qui est prévue pour l’utilisation du canal retenu par la partie requérante, les demandes peuvent être formulées en langue française, allemande ou anglaise.

Sous réserve des dispositions contraires d’un instrument juridique international, y compris les conditions fixées le cas échéant par les entités visées à l’article 1er en application des dispositions légales qui leur sont applicables, les données à caractère personnel et informations transmises à la Police grand-ducale ou à l’Administration des douanes et accises en vertu du présent chapitre peuvent être utilisées par les autorités répressives luxembourgeoises de la même manière que celles obtenues par voie d’entraide judiciaire internationale en matière pénale ou dans le cadre d’une procédure pénale menée au Luxembourg.

(1) Les dispositions de la section 1ère s’appliquent également aux échanges d’informations prévues par les articles 5, 10, 13, 14, 16 et 18 de la décision 2008/615/JAI du Conseil du 23 juin 2008 relative à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière, ci-après « la décision 2008/615/JAI ».

(2) En application de l’article 14 de la décision 2008/615/JAI, la Police grand-ducale et l’Administration des douanes et accises peuvent, aux fins de la prévention des infractions pénales et du maintien de l’ordre et de la sécurité publics lors de manifestations de grande envergure à dimension transfrontalière, notamment dans le domaine sportif ou en rapport avec des réunions du Conseil européen, échanger avec les entités visées à l’article 1er les informations et données à caractère personnel, tant sur demande que de leur propre initiative, lorsque des condamnations définitives ou d’autres circonstances font présumer que les personnes concernées vont commettre des infractions pénales dans le cadre de ces manifestations ou qu’elles présentent un danger pour l’ordre et la sécurité publics.

Les informations et données à caractère personnel ne peuvent être traitées qu’aux fins visées à l’alinéa 1er et pour les manifestations précises en vue desquelles elles ont été communiquées. Les informations et données transmises doivent être effacées immédiatement, dès lors que les objectifs visés à l’alinéa 1er ont été atteints ou ne sont plus réalisables. En tout état de cause, les données transmises doivent être effacées après un an au plus tard.

(3) En application de l’article 16 de la décision 2008/615/JAI, la Police grand-ducale et l’Administration des douanes et accises peuvent, aux fins de la prévention des infractions terroristes, échanger avec les entités visées à l’article 1er, sans même en avoir reçu la demande, les informations et données à caractère personnel visées à l’alinéa 2 dans la mesure où cela est nécessaire au regard de circonstances particulières laissant présumer que les personnes concernées vont commettre une ou plusieurs des infractions terroristes prévues par le livre II, titre Ier, chapitre III-1 du Code pénal ou par une autre loi.

Les informations et données à échanger comportent les noms, prénoms, date et lieu de naissance ainsi qu’une description des circonstances qui sont à l’origine de la présomption visée à l’alinéa 1er.

Lorsqu’il transmet des informations et données à caractère personnel, le point de contact national désigné à l’article 15 peut fixer, conformément aux dispositions de la section 1ère, les conditions d’utilisation de ces données et informations à respecter par l’entité visée à l’article 1er qui les reçoit.

(4) En application de l’article 18 de la décision 2008/615/JAI, la Police grand-ducale et l’Administration des douanes et accises portent assistance, dans les limites de leurs compétences, en liaison avec des manifestations de masse et d’autres événements similaires de grande envergure, ainsi que des catastrophes et des accidents graves, dans le but de prévenir des infractions pénales et de maintenir l’ordre et la sécurité publics en :

1. notifiant aux autorités compétentes de l’État membre concerné, dès que possible, les événements de ce type ayant des implications transfrontalières et en échangeant toute information pertinente à cet égard ;
2. prenant et en coordonnant sur le territoire luxembourgeois les mesures policières qui s’imposent lors d’événements ayant des implications transfrontalières ;
3. mettant, autant que possible, fonctionnaires, spécialistes, conseillers et équipements à la disposition de l’État membre qui en fait la demande et sur le territoire duquel l’événement est survenu.

(1) En application des articles 6, 11, 12, 15, 16 de la décision 2008/615/JAI, sont désignés comme points de contact nationaux :

1. le Service de Police Judiciaire de la Police grand-ducale pour les consultations et comparaisons automatisées de profils d’ADN et de données dactyloscopiques visées aux articles 3 à 11, ainsi que pour l’échange d’informations relatives à la prévention d’infractions terroristes visé à l’article 14 ;
2. le Centre d’Intervention National de la Police grand-ducale pour la consultation automatisée de données du registre d’immatriculation de véhicules visée à l’article 12, ainsi que pour l’échange d’informations lors de manifestations majeures visé à l’article 13.

La désignation des points de contacts nationaux est sans préjudice des attributions dévolues par la loi au Procureur général d’État et aux procureurs d’État.

(2) Les services de la Police grand-ducale visés au paragraphe 1er peuvent échanger des données à caractère personnel et informations en application des articles 3, 4, 9 et 12 de la décision 2008/615/JAI avec les points de contact nationaux des États visés à l’article 1er point 1) du présent chapitre, dans la mesure où les États concernés ont fait l’objet d’une décision d’exécution du Conseil de l’Union européenne en application de l’article 33 de la décision 2008/615/JAI. Cet échange peut être effectué à partir du jour de l’entrée en vigueur de la décision d’exécution en cause.

Les autres mesures d’exécution prises par le Conseil de l’Union européenne en application de l’article 33 de la décision 2008/615/JAI sont applicables au Luxembourg dès leur entrée en vigueur ou prise d’effet telle que fixée par l’acte juridique de l’Union européenne qui les établit.

(1) Par dérogation à l’article 5, paragraphe 2, la transmission de données à caractère personnel et d’informations en application de l’article 5 de la décision 2008/615/JAI est soumise à l’autorisation du procureur général d’État à partir du moment où ces données à caractère personnel et informations figurent aux traitements ADN criminalistique ou condamnés instaurés par la loi modifiée du 25 août 2006 relative aux empreintes génétiques en matière pénale.

(2) L’autorisation accordée par le Procureur général d’État en application du paragraphe 1er vaut accord d’utiliser les données à caractère personnel et informations en tant que preuve, sauf si le Procureur général d’État n’accorde cette autorisation que sous la condition de ne pas utiliser les données et informations à cette fin.

(1) La présente section s’applique à l’échange de données à caractère personnel et d’informations directement disponibles ou directement accessibles :

1. Code de procédure pénale
2. entre les agents de l’Administration des douanes et accises qui exécutent des missions de police administrative ou judiciaire en vertu d’une disposition légale, et
3. entre les officiers et agents visés aux points 1) et 2) et les agents publics luxembourgeois qui disposent de la qualité d’officier de police judiciaire en vertu d’une disposition légale particulière.

(2) Par « directement disponibles », il y a lieu d’entendre les données à caractère personnel et les informations dont les personnes visées au paragraphe 1er disposent déjà elles-mêmes. Par « directement accessibles », il y a lieu d’entendre les données à caractère personnel et les informations dont des autorités, services publics ou privés, ou personnes physiques et morales disposent et auxquels les personnes visées au paragraphe 1er ont accès en vertu de la loi.

Des données à caractère personnel et des informations directement disponibles ou directement accessibles peuvent être échangées entre les personnes visées à l’article 18, paragraphe 1er, sur demande ou de façon spontanée, si des raisons factuelles donnent lieu de croire que cet échange est utile à la prévention, à la recherche ou à la constatation d’une infraction pénale, ou qu’il contribue à la manifestation de la vérité dans le cadre d’une enquête ou d’une instruction préparatoire.

(1) Les données à caractère personnel et informations directement disponibles ou directement accessibles peuvent être échanges et transmises de manière autonome par les personnes visées à l’article 18, paragraphe 1er, sans autorisation préalable d’une autorité judiciaire.

(2) Toutefois, les personnes visées à l’article 18, paragraphe 1er, ne peuvent échanger ces données à caractère personnel et informations aux autres personnes visées à l’article 18, paragraphe 1er, que moyennant autorisation écrite préalable du Procureur d’État compétent si ces données et informations proviennent d’une enquête en cours ou du juge d’instruction compétent si elles proviennent d’une instruction préparatoire en cours.

(3) Lorsqu’une telle autorisation est requise, les personnes visées à l’article 18, paragraphe 1er, adressent à cette fin une demande écrite à l’autorité judiciaire compétente. Celle-ci refuse l’autorisation si :

1. l’échange ou la transmission des données à caractère personnel et d’informations peut porter atteinte aux intérêts vitaux du Luxembourg en matière de sécurité nationale ;
2. l’échange ou la transmission peut compromettre le bon déroulement d’une enquête ou d’une instruction préparatoire ;
3. l’échange ou la transmission peut compromettre la sécurité de personnes ou la source des données à caractère personnel et informations ;
4. il existe des éléments qui indiquent que les données à caractère personnel et informations demandées sont disproportionnées ou sans objet au regard des finalités pour lesquelles elles ont été demandées, ou si
5. l’échange ou la transmission est inopportune au regard de l’insuffisante fiabilité des données à caractère personnel et informations.

(1) L’échange et la transmission de données à caractère personnel et d’informations sont circonscrits aux éléments jugés pertinents et nécessaires pour assurer avec succès la prévention, la recherche ou la constatation d’une infraction pénale ou la manifestation de la vérité dans le cadre d’une enquête ou d’une instruction préparatoire.

(2) Les données à caractère personnel et informations échangées et transmises en application de la présente section ne peuvent être utilisées qu’aux fins pour lesquelles elles ont été échangées ou transmises ou pour prévenir un danger immédiat et sérieux pour la sécurité publique. Leur traitement à d’autres fins n’est autorisé qu’avec l’accord préalable des personnes les ayant transmises ou, dans le cas visé à l’article 20, paragraphe 2, moyennant l’autorisation de l’autorité judiciaire compétente.

Les données à caractère personnel et informations échangées entre les personnes visées à l’article 18, paragraphe 1er, en vertu de la présente section peuvent être utilisées comme preuve en matière pénale.

La présente section s’applique à la transmission de données à caractère personnel et d’informations directement disponibles ou directement accessibles, au sens de l’article 18, paragraphe 2, par les personnes visées à l’article 18, paragraphe 1er, aux autres administrations de l’État.

La transmission visée à l’article 23, qui peut avoir lieu sur demande ou de façon spontanée, est soumise aux conditions cumulatives suivantes :

1. elle doit être nécessaire à l’exécution d’une mission de service public dont l’administration destinataire de la transmission est chargée en vertu de la loi ;
2. les raisons pour lesquelles les données et informations transmises sont considérées comme étant nécessaires à l’exécution de la mission de l’administration destinataire doivent faire partie de la documentation visée à l’article 25, paragraphe 2 ;
3. elle ne peut comporter que les données et informations qui sont nécessaires, pertinentes et proportionnelles eu égard à la mission concernée de l’administration destinataire ;
4. lorsqu’il s’agit de données et d’informations qui proviennent d’une enquête ou d’une instruction préparatoire en cours, l’autorisation écrite visée à l’article 20, paragraphe 2, est requise préalablement à la transmission ;
5. er er
6. er

(1) Les personnes visées à l’article 18, paragraphe 1er, décident si les conditions de transmission sont remplies.

(2) La transmission des données et informations se fait dans une forme permettant à la Commission nationale pour la protection des données de vérifier si toutes les conditions requises par la loi étaient remplies au moment de la transmission. La documentation de la transmission est conservée pendant une durée de deux ans.

(1) Les données et informations transmises à l’administration de l’État concernée font partie du traitement des données à caractère personnel dont l’administration ou son représentant est le responsable du traitement au sens de l’article 4, point 7), du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). La Commission nationale pour la protection des données est compétente pour vérifier l’application des dispositions du règlement précité et de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

(2) Les données et informations transmises ne peuvent être utilisées par l’administration que pour la finalité pour laquelle elles ont été transmises. Elles sont effacées dès que leur conservation n’est plus nécessaire au regard de la finalité pour laquelle elles ont été transmises.

(3) La transmission ultérieure des données et informations par l’administration de l’État à une tierce personne requiert l’accord préalable écrit de la personne visée à l’article 18, paragraphe 1er, ayant transmis les données et informations concernées. Le cas échéant, l’article 6, paragraphe 3, est applicable.

Le Gouvernement est autorisé à déposer auprès du Secrétariat général du Conseil de l’Union européenne une déclaration que la Police grand-ducale et l’Administration des douanes et accises, dans la mesure où cette dernière traite des données à caractère personnel et des informations en exécution de ses missions de police administrative ou judiciaire en vertu d’une disposition légale, sont désignées comme « service répressif compétent ».

La Commission nationale pour la protection des données contrôle et surveille le respect des conditions d'accès prévues par la présente loi. Le rapport à transmettre au ministre ayant la Protection des données dans ses attributions, en exécution de l’article 10 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, contient une partie spécifique ayant trait à l’exécution de sa mission de contrôle exercée au titre de la présente loi.

La référence à la présente loi pourra se faire sous une forme abrégée en utilisant les termes de « loi du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière ».

ÉCHANGE D’INFORMATIONS AU TITRE DE LA DÉCISION-CADRE 2006/960/JAI DU CONSEIL FORMULAIRE À UTILISER PAR L’ÉTAT MEMBRE REQUIS EN CAS DE TRANSMISSION D’INFORMATIONS OU DE RETARD/REFUS DE TRANSMISSION DES INFORMATIONS

Le présent formulaire doit être utilisé pour transmettre les informations et/ou les renseignements requis, informer le service requérant de l’impossibilité de respecter le délai normal, de la nécessité de soumettre la demande à l’autorisation d’une autorité judiciaire ou du refus de transmettre les informations.

Le présent formulaire peut être utilisé plusieurs fois au cours de la procédure (par exemple, si la demande doit d’abord être soumise à une autorité judiciaire et qu’il s’avère par la suite que l’exécution de la demande doit être refusée).

ÉCHANGE D’INFORMATIONS AU TITRE DE LA DÉCISION-CADRE 2006/960/JAI DU CONSEIL FORMULAIRE DE DEMANDE D’INFORMATIONS ET DE RENSEIGNEMENTS À UTILISER PAR L’ÉTAT MEMBRE REQUÉRANT

Le présent formulaire doit être utilisé pour demander des informations et des renseignements au titre de la décision-cadre 2006/960/JAI