Loi du 28 novembre 2025 portant modification de la loi modifiée du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière en vue de la transposition : 1° de la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l’échange d’informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil ; 2° de la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel

Nous Guillaume, Grand-Duc de Luxembourg, Duc de Nassau,

Vu la directive (UE) 2023/977 du Parlement européen et du Conseil du 10 mai 2023 relative à l’échange d’informations entre les services répressifs des États membres et abrogeant la décision-cadre 2006/960/JAI du Conseil ;

Vu la directive (UE) 2023/2123 du Parlement européen et du Conseil du 4 octobre 2023 modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel ;

Le Conseil d’État entendu ;

Vu l’adoption par la Chambre des Députés ;

Vu la décision de la Chambre des Députés du 29 octobre 2025 et celle du Conseil d’État du 18 novembre 2025 portant qu’il n’y a pas lieu à second vote ;

Avons ordonné et ordonnons :

Art. 1^er.

L’article 1^er de la loi modifiée du 22 février 2018 relative à l’échange de données à caractère personnel et d’informations en matière policière est modifié comme suit :

Art. 2.

À la suite de l’article 1^er de la même loi, sont insérés les articles 1bis, 1ter, 1quater et 1quinquies nouveaux, libellés comme suit :

« Art. 1bis.

Pour l’application de la présente loi et aux fins des échanges entre la Police grand-ducale et l’Administration des douanes et accises d’une part, et les entités prévues à l’article 1^er, points 1) et 2), d’autre part, on entend par :

« services répressifs compétents » : la Police grand-ducale et l’Administration des douanes et accises, dans la mesure où cette dernière traite des données à caractère personnel et des informations en exécution de ses missions de police administrative ou judiciaire dans les limites de ses compétences légales ; « services répressifs désignés » : les services désignés de la Police grand-ducale et de l’Administration des douanes et accises, dans la mesure où les services désignés de l’Administration des douanes et accises traitent des données à caractère personnel et des informations en exécution de leurs missions de police administrative ou judiciaire dans les limites de leurs compétences légales, autorisés à soumettre des demandes d’informations aux points de contact uniques d’autres États membres de l’Union européenne ; « infraction pénale grave » : une des infractions suivantes : une infraction visée à l’article 3, paragraphe 3, de la loi modifiée du 17 mars 2004 relative au mandat d’arrêt européen et aux procédures de remise entre États membres de l’Union européenne ; une infraction visée à l’article 3, paragraphe 1^er ou 2, du règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI, ci-après le « règlement (UE) 2016/794 » ;

« informations » : tout contenu concernant plusieurs personnes physiques ou morales, des faits ou des circonstances qui revêtent un intérêt pour les services répressifs compétents aux fins de l’accomplissement des missions de prévention ou de détection des infractions pénales, ou d’enquête en la matière, qui leur incombent en application du droit national, y compris le renseignement en matière pénale ;

« informations disponibles », « informations dont dispose » et « informations dont disposent » : les informations directement accessibles et les informations indirectement accessibles ; « informations directement accessibles » : les données à caractère personnel et les informations détenues dans une base de données à laquelle le point de contact unique ou les services répressifs compétents peuvent accéder directement ; « informations indirectement accessibles » : les données à caractère personnel et les informations que le point de contact unique ou les services répressifs compétents peuvent obtenir d’autres autorités publiques ou parties privées établies au Grand-Duché de Luxembourg, lorsque le droit national le permet et conformément à celui-ci, sans mesures coercitives ; « données à caractère personnel » : les données à caractère personnel au sens de l’article 2, paragraphe 1^er, point 1°, de la loi du 1^er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale ; « point de contact unique » : l’entité centrale chargée de coordonner et de faciliter l’échange d’informations.

Art. 1 *ter*.

(1)

Il est créé au sein de la Police grand-ducale un point de contact unique, intégré à la direction « relations internationales », qui est chargé de coordonner et de faciliter l’échange d’informations au titre de l’article 1^er, points 1) et 2).

(2)

Le point de contact unique a pour missions de :

recevoir et évaluer les demandes d’informations soumises conformément à l’article 3 ; transmettre les demandes d’informations aux services compétents de la Police grand-ducale et de l’Administration des douanes et accises et, si nécessaire, coordonner entre ces derniers le traitement de ces demandes et la communication d’informations en réponse à ces demandes ; coordonner l’analyse et structurer les informations en vue de les communiquer aux points de contact uniques et, le cas échéant, aux services répressifs compétents d’autres États membres de l’Union européenne ; communiquer, sur demande ou de sa propre initiative, des informations aux entités visées à l’article 1^er, points 1) et 2), conformément aux articles 3bis, 8, 9 et 11 ; refuser de communiquer des informations conformément à l’article 7 et, si nécessaire, demander des éclaircissements ou des précisions conformément à l’article 7, paragraphes 5 à 6 ; adresser des demandes d’informations aux entités visées à l’article 1^er, point 2), aux points de contact uniques d’autres États membres de l’Union européenne conformément à l’article 3 et, s’il y a lieu, fournir des éclaircissements ou des précisions conformément à l’article 7, paragraphes 5 à 6.

Le point de contact unique exerce ses missions vingt-quatre heures sur vingt-quatre et sept jours sur sept.

(3)

Dans l’accomplissement de ses missions, le point de contact unique a accès à toutes les informations dont disposent la Police grand-ducale et l’Administration des douanes et accises, dans la mesure où cela est nécessaire à l’exécution des tâches qui lui incombent en vertu de la présente loi.

Art. 1quater.

(1)

Outre les membres du cadre civil et du cadre policier de la Police grand-ducale, le point de contact unique peut comprendre des membres du personnel de l’Administration des douanes et accises.

Les membres du personnel de l’Administration des douanes et accises sont désignés au point de contact unique par décision du ministre ayant l’Administration des douanes et accises dans ses attributions prise sur avis du ministre ayant la Police grand-ducale dans ses attributions. Ils continuent de relever de l’autorité hiérarchique de leur chef d’administration et sont placés sous l’autorité fonctionnelle du responsable du point de contact unique. Ils exercent toutes les tâches qui relèvent du point de contact unique et disposent à cette fin de tous les accès aux informations nécessaires à l’accomplissement de celles-ci.

(2)

Le point de contact unique comprend les structures suivantes :

l’unité nationale Europol instituée par l’article 7 du règlement (UE) 2016/794 ;

le bureau SIRENE institué par l’article 7, paragraphe 2, du règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) n° 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission ; le bureau central national Interpol institué par l’article 32 du Statut de l’Organisation internationale de police criminelle – Interpol ; la délégation luxembourgeoise au Centre de coopération policière et douanière tel qu’établi par la loi du 28 avril 2014 portant approbation – de l’Accord entre le Gouvernement du Grand-Duché de Luxembourg, le Gouvernement du Royaume de Belgique, le Gouvernement de la République fédérale d’Allemagne et le Gouvernement de la République française, concernant la mise en place et l’exploitation d’un centre commun de coopération policière et douanière dans la zone frontalière commune, signé à Luxembourg, le 24 octobre 2008 ; – de l’Accord entre le Gouvernement du Grand-Duché de Luxembourg et le Gouvernement de la République française relatif à la coopération dans leurs zones frontalières entre les autorités de police et les autorités douanières, signé à Luxembourg, le 15 octobre 2001.

Le personnel du point de contact unique est formé dans les domaines suivants :

l’utilisation des outils de traitement des données utilisés par le point de contact unique, en particulier SIENA et le système de gestion des dossiers ; l’application du droit de l’Union européenne et du droit national se rapportant aux activités du point de contact unique, notamment en ce qui concerne la protection des données à caractère personnel, la coopération transfrontière entre les services répressifs et le traitement des informations confidentielles ; l’utilisation des langues figurant sur la liste établie par l’État du Grand-Duché de Luxembourg.

La formation se compose d’une formation de base de quatre heures à l’entrée en fonction au point de contact unique et d’une formation continue de deux heures dispensée de manière régulière et au moins tous les cinq ans. En cas de modifications au niveau de l’utilisation des outils de traitement des données utilisés ou en cas de modifications au niveau du cadre légal, une formation continue de deux heures est mise à disposition du personnel du point de contact unique.

Art. 1 *quinquies*.

(1)

Le point de contact unique déploie et exploite un système électronique unique de gestion des dossiers en tant que répertoire lui permettant d’accomplir les tâches qui lui incombent en vertu de la présente loi. Le système de gestion des dossiers est doté de l’ensemble des fonctions et capacités suivantes :

enregistrement des demandes d’informations entrantes et sortantes visées aux articles 3bis, 8, 9 et 11bis ainsi que de toute autre communication relative à ces demandes avec les points de contact uniques et, le cas échéant, les services répressifs compétents et les services répressifs désignés des autres États membres de l’Union européenne, y compris les informations sur les refus de demandes d’informations ainsi que les demandes et communications d’éclaircissements ou de précisions prévues à l’article 7 ; enregistrement des communications entre le point de contact unique et les services répressifs compétents, en application de l’article 1ter, paragraphe 2, lettre b) ; enregistrement des informations communiquées au point de contact unique et, le cas échéant, aux services répressifs compétents d’autres États membres de l’Union européenne, conformément aux articles 3bis, 8, 9bis, 11 et 11bis; recoupement des demandes d’informations entrantes, visées aux articles 3bis, 8, 9 et 11bis, avec les informations dont dispose le point de contact unique, y compris les informations communiquées conformément à l’article 3bis, paragraphe 2, et à l’article 11, paragraphe 4 et avec les autres informations pertinentes enregistrées dans le système de gestion des dossiers ; suivi des demandes d’informations entrantes visées à l’article 3, notamment en vue de respecter les délais de communication des informations demandées fixés aux articles 8 et 9 ; interopérabilité avec l’application SIENA, afin notamment que les communications entrantes qui transitent par cette application puissent être directement enregistrées dans le système de gestion des dossiers et que les communications sortantes qui transitent par cette application puissent être directement envoyées à partir dudit système ; production de statistiques sur les échanges d’informations au titre de la présente loi à des fins d’évaluation et de suivi, notamment aux fins de l’article 13ter ; journalisation des accès et des autres opérations de traitement pour ce qui est des informations contenues dans le système de gestion des dossiers, à des fins de responsabilité et de cybersécurité, conformément à l’article 24 de la loi du 1^er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale.

(2)

Le système de gestion des dossiers ne contient des données à caractère personnel que pour la durée nécessaire et proportionnée à l’exécution des tâches assignées au point de contact unique en vertu du paragraphe 1^er. Passé cette durée, les données à caractère personnel que le système de gestion des dossiers contient sont irrévocablement supprimées.

(3)

Le point de contact unique examine, pour la première fois au plus tard six mois après la conclusion d’un échange d’informations, puis régulièrement, le respect des dispositions du paragraphe 2. ».

Art. 3.

L’article 2 de la même loi est modifié comme suit :

.

« (4)

L’échange de données à caractère personnel et d’informations entre le point de contact unique, les services répressifs compétents, les services répressifs désignés de l’État du Grand-Duché de Luxembourg et les entités visées à l’article 1^er, points 1) et 2), concerne les données à caractère personnel et informations disponibles visées par l’article 1bis, point 5°. ».

Art. 4.

L’article 3 de la même loi est modifié comme suit :

« (3)

Le point de contact unique ou les services répressifs désignés soumettent au point de contact unique d’un autre État membre de l’Union européenne une demande d’informations conformément aux exigences énoncées aux paragraphes 4 à 9.

(4)