La présente loi règle le transfert, par les transporteurs aériens, des données des dossiers passagers et le traitement de ces données à des fins de prévention, de recherche, de constatation et de poursuite des infractions terroristes et des formes graves de criminalité.

Pour l’application de la présente loi, on entend par :

Il est créé au sein de la Police grand-ducale une Unité d’informations passagers, ci-après désignée « UIP », qui est chargée :

Le traitement de données PNR qui révèlent l'origine raciale ou ethnique d'une personne, ses opinions politiques, sa religion ou ses convictions philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle est interdit.

Lorsque les données PNR transférées par les transporteurs aériens comportent des informations telles que visées à l’alinéa 1^er, l’UIP efface ces informations dès réception et de façon définitive.

Lorsque les données PNR transférées par les transporteurs aériens comportent des données autres que celles énumérées à l’annexe I, l’UIP efface ces données supplémentaires dès réception et de façon définitive.

L’UIP traite les données PNR afin de mettre à jour ou de définir de nouveaux critères à utiliser pour les évaluations visées à l’article 10.

L’UIP traite les données PNR aux fins de répondre aux demandes des services compétents, dûment motivées et fondées sur des motifs suffisants visant à ce que des données PNR leur soient communiquées et à ce que celles-ci fassent l’objet d’un traitement dans des cas spécifiques aux fins visées à l’article 1^er, et visant à communiquer aux services compétents ou, le cas échéant, à Europol, le résultat de ce traitement.

Sont habilités à demander à l’UIP ou à recevoir de celle-ci des données PNR ou le résultat du traitement de ces données, en vue de procéder à un examen approfondi de ces informations ou de prendre les mesures appropriées aux fins de la prévention et de la détection d’infractions terroristes ou des formes graves de criminalité, ainsi que des enquêtes et poursuites en la matière :

En recherchant les crimes et délits visés à l’article 2, points 8° et 9°, le procureur d’État peut, par une décision écrite et motivée, charger un officier de police judiciaire de requérir l’UIP afin de communiquer les données des passagers conformément à l’article 12.

Les services compétents ne peuvent traiter les données PNR et le résultat du traitement de ces données que pour les finalités de la présente loi telles que définies à l’article 1^er.

L’alinéa 1^er est sans préjudice des compétences de la Police grand-ducale et de l’Administration des douanes et accises lorsque d'autres infractions ou indices d'autres infractions sont détectés à la suite de ce traitement.

Les services compétents ne prennent aucune décision produisant des effets juridiques préjudiciables à une personne ou l'affectant de manière significative sur la seule base du traitement automatisé de données PNR.

Les décisions produisant des effets juridiques préjudiciables à une personne ou l'affectant de manière significative ne peuvent pas être fondées sur l’origine raciale ou ethnique d’une personne, ses opinions politiques, sa religion ou ses convictions philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle.

Lorsqu’une personne est identifiée conformément à l’article 10, l’UIP communique toutes les données pertinentes et nécessaires ou le résultat du traitement de ces données aux UIP des autres États membres de l’Union européenne concernés.

Lorsque l’UIP est destinataire d’informations telles que visées à l’alinéa 1^er de la part d’une autre UIP, elle transmet ces informations aux services compétents.

L’UIP et les services compétents visés à l’article 13 peuvent demander aux UIP des autres États membres de l’Union européenne des données PNR ou les résultats du traitement de ces données.

Lorsqu’un service compétent demande directement des données PNR auprès de l’UIP d’un autre État membre de l’Union européenne, il transmet copie de sa demande à l’UIP.

L’échange de données effectué en application du présent chapitre peut avoir lieu par l’intermédiaire de tous les canaux de coopération existant entre les services compétents des États membres de l’Union européenne.

La langue utilisée pour la demande et l’échange des données est celle applicable au canal utilisé.

L’UIP peut transférer des données PNR et le résultat de traitement de ces données à un pays non membre de l’Union européenne au cas par cas, et si :

Les dispositions du présent article ne portent pas atteinte aux dispositions légales sur l’entraide judiciaire internationale en matière pénale.

L’UIP ne peut transférer des données PNR et les résultats du traitement de ces données aux autorités compétentes de pays non membres de l’Union européenne qu’après avoir obtenu l’assurance que l’utilisation que les destinataires entendent faire de ces données PNR respecte les conditions et garanties de la présente loi.

Le délégué à la protection des données visé à l’article 29 est informé de tout transfert de données PNR à un pays non membre de l’Union européenne.

L’UIP conserve les données PNR pendant une durée maximale de cinq ans à compter du transfert par le transporteur aérien.

À l’issue de cette période de cinq ans, elle efface les données PNR de manière définitive. Cette disposition ne s’applique pas si les données PNR spécifiques ont été transférées à un service compétent et sont utilisées dans le cadre de cas spécifiques à des fins de prévention, de détection d'infractions terroristes ou de formes graves de criminalité ou d'enquêtes ou de poursuites en la matière.

L’UIP ne conserve le résultat de l’évaluation réalisée en vertu de l’article 10 que le temps nécessaire pour informer les services compétents et, s’il y a lieu, les UIP des autres États membres de l’Union européenne de l'existence d'une concordance positive.

Lorsque, à la suite du réexamen individuel par des moyens non automatisés conformément à l’article 10, paragraphe 3, le résultat du traitement automatisé s'est révélé négatif, il peut néanmoins être archivé tant que les données de base n'ont pas été effacées en vertu de l’article 25, de manière à éviter de futures fausses concordances positives.

L’UIP met à la disposition du public, par les moyens de communication appropriés, les informations suivantes :

L’UIP conserve, traite et analyse les données PNR en un ou des endroits sécurisés situés sur le territoire du Grand-Duché de Luxembourg.

Le responsable de l’UIP met en œuvre des mesures et des procédures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité adapté aux risques présentés par le traitement et la nature des données PNR.

L’UIP conserve une trace documentaire relative à tous les systèmes et procédures de traitement sous sa responsabilité.

Cette documentation comprend :

L’UIP met toute la documentation à la disposition de l'autorité de contrôle, à la demande de celle-ci.

L’UIP tient des registres pour la collecte, la consultation, la communication et l’effacement des données PNR.

Les registres des opérations de consultation et de communication indiquent la finalité, la date et l’heure de l’opération et l’identité de la personne qui a consulté ou communiqué les données PNR ainsi que l’identité des destinataires de ces données.

Les registres sont utilisés uniquement à des fins de vérification et d’autocontrôle, de garantie de l’intégrité et de la sécurité des données ou d’audit.

L’UIP met les registres à la disposition de l'autorité de contrôle, à la demande de celle-ci.

Les registres sont conservés pendant cinq ans.

Lorsqu'une atteinte aux données à caractère personnel est susceptible d'engendrer un risque élevé pour la protection des données à caractère personnel ou d’affecter négativement la vie privée de la personne concernée, l’UIP informe sans retard injustifié la personne concernée et la Commission nationale pour la protection des données de cette atteinte.

La violation intentionnelle de l’article 8, alinéa 1^er et de l’article 15 est punie d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros ou d’une de ces peines seulement. La juridiction saisie prononce la cessation du traitement contraire aux dispositions de l’article 8, alinéa 1^er et de l’article 15 sous peine d’astreinte dont le maximum est fixé par ladite juridiction.

La référence à la présente loi peut se faire sous une forme abrégée en recourant à l’intitulé suivant : « Loi du 1^er août 2018 relative au traitement des données des dossiers passagers ».