2011009118 8 FEVRIER 2011. - Arrêté royal modifiant l'arrêté royal du 9 janvier 2003 portant exécution des articles 46bis, § 2, alinéa 1er, 88bis, § 2, alinéas 1er et 3, et 90quater, § 2, alinéa 3 du Code d'instruction criminelle ainsi que de l'article 109ter , E , § 2, de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques

L'article 1er modifie l'intitulé de l'arrêté royal du 9 janvier 2003. Cette modification est nécessaire, car comme expliqué précédemment, les articles de base sur lesquels reposait l'arrêté royal ont été modifiés. L'article 109ter de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques a en effet été abrogé par la loi du 13 juin 2005 relative aux communications électroniques.

Il est décidé de donner un intitulé général à l'arrêté royal plutôt que de renvoyer une nouvelle fois à tous les articles légaux de base, lesquels sont au demeurant énumérés dans le préambule.

L'article 2 modifie l'article 1er de l'arrêté royal de 2003, lequel donne un certain nombre de définitions de notions utilisées plus loin dans l'arrêté royal.

Par rapport à l'arrêté royal de 2003, les définitions des termes " service de radiomessagerie ", " station terrienne mobile de satellite " et " service de communications personnelles mobiles par satellite " ont été supprimées. La raison en est simple : ces notions ne sont plus utilisées dans le nouvel arrêté royal. Elles n'apparaissent qu'à l'article 7 de l'arrêté royal de 2003, article qui est à présent abrogé. L'article 7 porte sur les exigences minimales auxquelles devaient satisfaire les opérateurs de réseaux de télécommunications et les fournisseurs de services de télécommunications pendant la période de transition qui leur avait été offerte en vue de mettre en oeuvre l'arrêté royal.

Les notions " données d'appel " et " données de localisation " ne sont pas définies non plus. Le présent arrêté royal utilise en effet les termes " données de trafic " et " données de localisation ", définies à l'article 2, 6° et 7°, de la loi du 13 juin 2005 relative aux communications électroniques.

Par conséquent, la seule définition qui reste de l'arrêté royal est celle, inchangée, de " temps réel ".

Deux nouvelles définitions ont été introduites : outre deux lois de principes, un service NTSU-CTIF, qui désigne le système central d'interception technique de la Police fédérale, ainsi que la notion de " secteur Internet " ont été définis.

Le secteur Internet désigne l'ensemble des opérateurs de réseaux de communications électroniques et des fournisseurs de services de communications électroniques qui fournissent aux utilisateurs un accès à Internet, qui fournissent à des utilisateurs finals des services de communications électroniques sur Internet via un point de terminaison du réseau, qui fournissent des activités sur Internet, ou qui mettent à disposition des ressources à cet effet telles que, par exemple, des éléments de réseaux, des locaux, de l'équipement terminal ou des installations connexes.

Concernant cette définition, il convient de prendre en considération l'article 2 de la loi relative aux communications électroniques, qui définit les termes " point de terminaison du réseau ", " utilisateur ", " utilisateur final " et " service de communications électroniques ". L'on a tenté de coller au maximum à la terminologie de la loi. Il convient en principe de comprendre tous les niveaux du secteur Internet : les opérateurs qui mettent à disposition leur infrastructure pour le transport des signaux Internet (connexion physique), les fournisseurs d'accès à Internet, qui fournissent à l'utilisateur final l'accès à Internet, et les fournisseurs de services Internet, qui fournissent des services de communications par Internet.

L'article 2, § 3, alinéa 3, en projet, prévoit que le Ministre de la Justice peut prendre une décision motivée. Le rapport au Roi précise que la " décision du ministre, dans ce cas, doit être motivée conformément à la loi du 29 juillet 1991 relative à la motivation formelle des actes administratifs ".

L'obligation de motiver la décision revient à répéter l'obligation qui résulte déjà de la loi du 29 juillet 1991 relative à la motivation formelle des actes administratifs. Superflue, cette obligation prête en outre à confusion dès lors qu'elle pourrait donner injustement à penser que les autres décisions administratives réglementées par le projet ne nécessitent pas de motivation formelle.

La section de législation se demande pourquoi l'article 3, § 2, alinéa 2, en projet ne fixe pas de terme à la conservation par le service NTSU-CTIF des informations relatives à la consultation de la banque de données des opérateurs (6).

Observation finale

Les règles de la légistique veulent que les obligations soient imposées par des normes rédigées à l'indicatif présent et non à l'impératif ou par le recours à la formule " devoir + infinitif " ou " être tenu + infinitif " (7).

La chambre était composée de

MM.

P. Liénardy, président de chambre;

J. Jaumotte, L. Detroux, conseillers d'Etat;

Mme C. Gigot, greffier.

Le rapport a été présenté par M. X. Delgrange, premier auditeur chef de section.

La concordance entre la version française et la version néerlandaise a été vérifiée sous le contrôle de M. P. Lienardy.

Le greffier,

C. GIGOT

Le président,

P. LIENARDY

Notes

(1) Ne subsistent en effet que l'article 8, alinéa 1er, le fixant vigueur et l'exécutoire de l'arrêté royal du 9 janvier 2003.

(2) Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst-consetat.be, onglet " Technique législative ", recommandation n° 106.1.

(3) Moniteur belge du 8 novembre 2010, pp. 66580-66581.

(4) Ibid., p. 66580.

(5) Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.conseildetat.be, onglet " Technique législative ", recommandation n° 36.1 et formule F 3-5-2.

(6) Comparer avec l'article 3, § 2, alinéa 3, in fine, de l'arrêté royal du 12 octobre 2010 précité, lequel prévoit une période de conservation de dix ans.

(7) Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst-consetat.be, onglet " Technique législative ", recommandation n° 3.5.2.

L'article 5 remplace l'article 4 de l'arrêté royal de 2003 et porte exécution de la compétence conférée au Roi par l'article 88bis, § 2, alinéa 1er, du Code d'Instruction criminelle. Il ne change rien au contenu de la disposition de l'arrêté royal de 2003, mais modifie uniquement la terminologie en vue de l'adapter à la loi relative aux communications électroniques et modifie également la structure de l'article par analogie avec l'arrêté royal sur les services de sécurité et de renseignement.

Le premier paragraphe de cet article traite à présent de la communication des données d'appel et de localisation " en temps réel ", d'une part, et des données d'appel et de localisation datant de moins de 30 jours (demande rétrospective), d'autre part. Le second paragraphe de l'article 4 concerne la demande rétrospective des données d'appel et de localisation datant de plus de trente jours. Il peut être renvoyé au Rapport au Roi de l'arrêté royal de 2003.

Contrairement aux dispositions de l'arrêté royal sur les services de renseignement et de sécurité, les données ne doivent pas être communiquées au plus tard dans les 24 heures, mais le jour ouvrable suivant, à l'heure de la réception de la requête, et cela en particulier pour des raisons budgétaires : les tarifs pour les week-ends et les jours fériés sont considérablement plus élevés et la pratique montre que toutes les requêtes ne demandent pas nécessairement un traitement dans les 24 heures. Etant donné que l'arrêté royal dispose que le magistrat requérant peut prévoir un autre délai dans sa requête (donc par exemple 24 heures s'il est effectivement question d'urgence), les demandes urgentes peuvent être traitées plus rapidement. Cela ne doit toutefois pas être généralisé à toutes les requêtes.

L'article 6 remplace l'article 5 de l'arrêté royal de 2003 et porte exécution de la compétence conférée au Roi par l'article 90quater, § 2, du Code d'Instruction criminelle. Le contenu de la disposition de l'arrêté royal de 2003 ne change pas, seules la structure et la formulation de l'article sont quelque peu modifiées.

L'article 7 remplace l'article 6 de l'arrêté royal de 2003 et fixe les exigences fonctionnelles et les spécifications techniques prévues à l'article 127, § 1er, alinéa 1er, 2°, de la loi relative aux communications électroniques, lequel renvoie à son tour aux articles 46bis, 88bis ainsi que 90ter et suivants du Code d'Instruction criminelle. A défaut de base légale, l'arrêté royal de 2003 ne prévoyait pas encore ces spécifications pour la mesure visée à l'article 46bis. Dès lors que cette base légale a été prévue par la loi du 23 janvier 2007 modifiant l'article 46bis du Code d'Instruction criminelle, l'article 6 de l'arrêté royal peut désormais le prévoir.

Au § 1er, la terminologie a également été adaptée, en l'occurrence, selon la loi relative aux communications électroniques. Pour le reste, les cinq exigences fonctionnelles indiquées au § 1er, issues directement de la résolution du Conseil des Ministres de l'Union européenne du 17 janvier 1995 relative à l'interception légale des télécommunications, demeurent identiques.

Il est à noter que l'article 13, § 2, du présent arrêté royal accorde au secteur Internet une période de transition d'un an afin de répondre à ces exigences. Les autres opérateurs doivent déjà satisfaire à ces exigences sur la base de l'arrêté royal de 2003.

Le deuxième paragraphe est une répétition de ce qui est prévu à l'article 7, § 2, 5°, de l'arrêté royal de 2003 et demeure inchangé quant au contenu.

Enfin, le troisième paragraphe précise les spécifications techniques de ces exigences fonctionnelles, prévues dans les standards du " European Telecommunications Standards Institute ". Elles ont été actualisées et complétées par de nouvelles normes.

L'article 8 abroge l'article 7 de l'arrêté royal de 2003. Cet article contenait les exigences minimales auxquelles les opérateurs de réseaux de télécommunication et les fournisseurs de services de télécommunication devaient satisfaire durant la période transitoire qui leur avait été accordée pour mettre en oeuvre l'arrêté royal. Cette période transitoire est bien entendu déjà dépassée et le contenu de l'article 7 n'a de facto plus aucune force juridique, c'est pourquoi il a été abrogé.

Il convient toutefois d'observer que l'article 13, § 1er, de l'arrêté royal actuel prévoit des dispositions semblables pour le secteur Internet : celui-ci doit durant la période transitoire prévue à l'article 13, § 2, satisfaire aux exigences minimales prévues à l'article 13, § 1er.

L'article 9 modifie le second alinéa de l'article 8 de l'arrêté royal de 2003 en ce sens que les opérateurs doivent synchroniser l'horloge utilisée dans leurs systèmes pour l'enregistrement des heures mentionnées dans l'arrêté avec l'heure GPS.

L'article 9 de l'arrêté royal de 2003 disposait que les dispositions qui traitent de l'exécution de l'article 90ter du Code d'instruction criminelle ne sont pas applicables aux fournisseurs d'accès à Internet.

Comme indiqué dans l'introduction, l'objectif de l'arrêté royal actuel est permettre réellement l'interception des communications par Internet eu égard aux avancées technologiques et aux progrès réalisés dans le domaine des normes techniques. L'article 9 est dès lors abrogé par l'article 10 de l'arrêté royal actuel.

L'article 11 remplace l'article 10 de l'arrêté royal de 2003 et centralise les dispositions relatives aux indemnités accordées aux opérateurs de réseaux de communications électroniques et aux fournisseurs de services de communications électroniques.

Les deux premiers alinéas ne changent pas. L'alinéa 3 confirme que les indemnités pour la collaboration, conformément aux articles 3, 4 et 5 de l'arrêté royal, est prévue à l'annexe à arrêté royal. Comme indiqué précédemment, ces indemnités sont à présent globalement réduites de 30 %. Il convient de rappeler que cette réduction constitue une première étape en attendant le résultat des négociations actuellement menées par l'IBPT. Lorsque les résultats de cette étude seront connus, l'annexe serra à nouveau susceptible de faire l'objet de changements. A ce moment-là, de nouvelles catégories d'indemnités pourront également être introduites. Pour l'instant, il a été décidé de ne reprendre que les catégories prévues dans l'annexe originale à l'arrêté royal de 2003, en les adaptant toutefois à la nouvelle législation et aux nouvelles possibilités en matière d'interception de communications par Internet.

Enfin, un quatrième alinéa est inséré pour les prestations qui ne figurent pas à l'annexe de l'arrêté royal du 9 janvier 2003 : pour les prestations de ce type, seuls les frais réels sont remboursés sur présentation des pièces justificatives. Il ne s'agit là que d'un rappel des principes de base.

L'article 12 insère un nouvel article 10bis dans l'arrêté royal de 2003. Il prévoit que la Cellule de la coordination de la Justice doit transmettre les données sous une forme aisément utilisable pour le requérant et par voie électronique sécurisée. Il prévoit en outre la possibilité de prendre un arrêté ministériel en vue d'imposer un format spécifique pour la présentation des données.

Le présent article prévoit également la possibilité de remettre les informations demandées à un officier de police judiciaire préalablement désigné par l'autorité judiciaire requérante au cas où ces informations ne pourraient pas être transmises par voie électronique.

La première disposition transitoire prévoit au § 1er les modalités d'exécution de la mesure définie aux articles 90ter et suivants du Code d'Instruction criminelle pour le secteur Internet durant la période transitoire prévue au § 2. En d'autres termes, le présent article arrive à échéance un an après la publication du présent arrêté. Le § 2 précise clairement que seuls les articles 6 (exigences fonctionnelles et spécifications techniques) et 10bis (formalités) ne s'appliquent pas pour l'instant au secteur Internet et que les modalités de collaboration peuvent donc être définies librement durant la période transitoire. Néanmoins, les délais de réponse définis aux articles 3, 4 et 5 restent d'application.

Sur le plan du contenu, le texte de l'article 13, § 1er, correspond à ce que l'article 7, § 3, de l'arrêté royal de 2003 disposait pour les autres opérateurs.

L'article 14 prévoit une période de transition pour les personnes qui font d'ores et déjà partie des Cellules de coordination de la Justice : elles disposent d'une période de deux mois en vue d'introduire une demande d'avis de sécurité auprès du Ministre de la Justice. Seules les personnes qui auront introduit une telle demande dans les deux mois pourront continuer à faire partie de la Cellule de coordination.

L'article 15 dispose que la poursuite de l'exécution du présent arrêté royal est confiée aux deux ministres compétents.

J'ai l'honneur d'être,

Sire,

de Votre Majesté,

le très respectueux

et très fidèle serviteur,

Le Ministre de la Justice,

S. DE CLERCK

Le Ministre pour l'Entreprise et la Simplification,

V. VAN QUICKENBORNE

Annexes

Projet d'arrêté royal modifiant l'arrêté royal du 9 janvier 2003 portant exécution des articles 46bis, § 2, alinéa 1er, 88bis, § 2, alinéas 1er et 3, et 90quater, § 2, alinéa 3, du Code d'instruction criminelle ainsi que de l'article 109ter, E, § 2, de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques

Réponse à l'avis n° 29/2008 du 3 septembre 2008 de la Commission de la protection de la vie privée.

La présente note a pour objet de répondre à un certain nombre d'observations formulées par la Commission de la protection de la vie privée dans son avis n° 29/2008 relatif au projet d'arrêté royal modifiant l'arrêté royal du 9 janvier 2003 portant exécution des articles 46bis, § 2, alinéa 1er, 88bis, § 2, alinéas 1er et 3, et 90quater, § 2, alinéa 3, du Code d'instruction criminelle ainsi que de l'article 109ter, E, § 2, de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques.

1. Lien entre le projet " collaboration " et le projet " conservation " (avis, points 11-14)

Le projet d'AR " conservation " détermine les catégories de données à conserver par les opérateurs ainsi que les délais de conservation afférents, tandis que le projet d'AR " collaboration " fixe les modalités que les opérateurs de réseaux de communications électroniques et les fournisseurs de services de communications électroniques doivent remplir pour transmettre ces données aux autorités judiciaires. La Commission est d'avis qu'en vertu du principe de prévisibilité et dans un souci de clarté et de transparence, un seul texte coordonné devrait réglementer la matière : les opérateurs ne peuvent en effet collaborer et transmettre aux autorités judiciaires que ce qu'ils ont pu conserver (cf. avis, point 14).

Bien que le lien étroit entre les deux arrêtés royaux soit évident, il n'est cependant pas indiqué de régler les deux matières dans un seul texte. Tout d'abord, les deux textes reposent sur une base légale différente. Le projet d'AR " conservation " trouve sa base légale dans l'article 126 de la loi relative à la communication électronique, tandis que le projet d'AR " collaboration " trouve son fondement légal dans les articles 46bis, 88bis et 90ter du Code d'Instruction criminelle. Ceci constitue en soi déjà une raison fondée pour, d'un point de vue légistique, rédiger deux arrêtés royaux distincts.

Il convient également de souligner que l'obligation de conservation de données et l'obligation de collaboration ne se recouvrent pas nécessairement entièrement.

Dans le cadre de l'obligation de conservation de données, les opérateurs, définis à l'article 2, 11°, de la loi du 13 juin 2005 relative aux communications électroniques comme étant " toute personne ayant introduit une notification conformément à l'article 9 ", doivent conserver certaines données à des fins pénales.

Parallèlement, les opérateurs peuvent également conserver des données pour des raisons d'exploitation, à des fins de commercialisation ou pour la fourniture de services à valeur ajoutée (Directive 2002/58/CE).

Par contre, les articles 46bis, 88ter et 90ter du Code d'Instruction criminelle disposent que " les opérateurs d'un réseau de communication électronique et les fournisseurs de services de communication électronique " sont tenus de prêter leur concours à la justice, ce qui implique l'obligation de communiquer à la justice les données conservées dont ils disposent (dans quelque contexte que ce soit), si la demande leur en est faite.

Par conséquent, l'obligation de collaboration est plus large (voir également ci-après sous le champ d'application ratione personae).

Ensuite, l'obligation de collaboration a déjà été réglée dans un arrêté royal de 2003, lequel est abrogé par le présent projet. Le gouvernement estime qu'il importe d'examiner les deux projets conjointement, mais vu que pour la conservation de données, il convient de modifier également l'article 126 de la loi relative aux communications électroniques et que la procédure parlementaire doit être suivie, il est fort possible que le projet " collaboration " soit adopté plus rapidement que le projet conservation'.

2. Le champ d'application ratione personae (avis, points 15-23)

- " les opérateurs d'un réseau de communications électroniques et les fournisseurs d'un service de communication électronique "

La Commission est d'avis que ces termes doivent être entendus au sens de l'article 2, 11°, de la loi sur les communications électroniques (voir point 16). Ce n'est cependant pas exact.

La terminologie utilisée dans le projet d'arrêté royal reprend les termes du Code d'Instruction criminelle, parce que les articles 46bis, 88bis et 90quater constituent précisément la base légale de cet arrêté royal. A cet égard, il convient de souligner l'autonomie du droit pénal.

Au point 18, la Commission affirme que les articles 46bis, 88bis et 90quater ne peuvent viser

* soit que les opérateurs sensu stricto, c'es-à-dire ceux qui ont envoyé une notification en bonne et due forme à l'IBPT, conformément à l'article 9, § 1er, LCE;

* soit les opérateurs sensu stricto, ainsi que les fournisseurs qui, en violation de l'article 9 LCE n'ont pas envoyé de notification à l'IBPT, mais qui, de facto, exercent cette activité.

Les articles 46bis, 88bis et 90quater du Code d'Instruction criminelle prévoient une obligation légale de collaboration pour les opérateurs et les fournisseurs. Ils sont de toute façon obligés de collaborer. Les modalités de cette collaboration doivent être déterminées par arrêté royal, et celles-ci sont donc le sujet du présent arrêté.

Le problème réside principalement au niveau de la notion de " fournisseur ", laquelle n'est définie nulle part. Cette notion a été introduite dans le Code d'Instruction criminelle par la loi du 10 juin 1998 modifiant la loi du 30 juin 1994 relative à la protection de la vie privée contre les écoutes, la prise de connaissance et l'enregistrement de communications et de télécommunications privées. Le gouvernement de l'époque a introduit cette notion sous la forme d'un amendement et a formulé la justification suivante

" Le terme " opérateur d'un réseau de télécommunication " est devenu trop restreint dans l'état actuel de la législation. En effet, il arrivera de plus en plus que la requête de concours technique du ministère public ou du juge d'instruction devra être adressée à un fournisseur de service qui n'est pas nécessairement un opérateur d'un réseau (par exemple les fournisseurs d'accès à Internet ou ce qu'on appelle les 'access providers'.) "

(cf. Sénat, session 1997-1998, 1-823/3 et Chambre des représentants, session ordinaire 1996-1997, 1075/2 et 9).

A cette époque, la loi relative à la communication électronique n'existait pas encore et le terme " opérateur " était défini par la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques (ladite 'loi Belgacom'). L'article 68, 23°, de cette loi était à l'époque libelle comme suit

" opérateurs " : personnes détentrices d'une autorisation individuelle délivrée en vertu des articles 87, 89, §§ 1er et 2, et 92bis de la présente loi ou ayant fait une déclaration en vertu de l'article 88 de la présente loi.

En d'autres termes, le législateur avait clairement l'intention de créer un champ d'application plus large que la notion d'opérateur, qui, le cas échéant, ne limite pas la collaboration requise avec le ministère public ou le juge d'instruction à la notion d'opérateur telle que définie dans la 'loi Belgacom'.

L'arrêté royal de 2003 portant exécution de la loi de 1998 a été soumis deux fois à l'avis de la commission de la protection de la vie privée, laquelle rendit d'abord un avis défavorable et ensuite un avis favorable. Dans son avis, la Commission a souligné le champ d'application particulièrement large de l'arrêté royal. La notion de " fournisseurs de services de télécommunication " telle qu'elle figure dans le texte s'applique selon la Commission à tout fournisseur d'accès, service d'information, certificateur ou autre entité proposant un service dans le secteur des télécommunications.

Vu le raisonnement susmentionné, l'obligation de collaboration ne se limite donc pas aux opérateurs sensu stricto. Elle s'applique également aux fournisseurs de services de communication électroniques qui ne sont pas des opérateurs au sens de la loi du 13 juin 2005.

Il convient également d'observer que, dans le cadre de l'avant-projet de loi modifiant l'article 126 de la loi du 13 juin 2005 relative aux communications électroniques, le terme " opérateur " acquiert une nouvelle définition. Dorénavant, il faut entendre par " opérateur " " toute personne soumise à l'obligation d'introduire une notification conformément à l'article 9 ".

La Commission a par contre raison lorsqu'elle considère que les " fournisseurs et revendeurs " visés à l'article 9, §§ 5 et 6, de la loi sur les communications électroniques ne sont pas visés par le présent projet. En effet, l'article 9, § 7, de la LCE dispose ce qui suit

" Par arrêté délibéré en Conseil des Ministres, le Roi fixe, sur proposition du Ministre de la Justice et du ministre, après avis de la Commission pour la protection de la vie privée et de l'Institut, les mesures techniques et administratives imposées aux fournisseurs et revendeurs visés aux §§ 5 et 6, en vue de permettre l'identification de l'appelant, le repérage, la localisation, les écoutes, la prise de connaissance et l'enregistrement des communications privées aux conditions prévues par les articles 46bis, 88bis et 90ter à 90decies du Code d'instruction criminelle. "

Ceci ne veut d'ailleurs pas dire que l'obligation de collaboration ne s'applique pas à cette catégorie. Comme expliqué ci-dessus, comme tous les opérateurs et fournisseurs ils sont tenu de collaborer avec les autorités judiciaires en vertu des articles 46bis, 88bis et 90quater du Code d'instruction criminelle. Cependant, les modalités de cette collaboration seront réglées par un arrêté royal séparé. Ils sont donc libres de déterminer eux-mêmes les modalités de la collaboration, mais la collaboration comme telle reste obligatoire.

Par conséquent, un arrêté royal réglant les modalités de l'obligation de collaboration sera élaboré ultérieurement pour ces fournisseurs et revendeurs.

- le secteur " Internet "

La Commission estime que la définition de la notion de secteur " Internet " est trop large.

En évoquant " l'ensemble des personnes physiques et des personnes morales ", le projet donne en effet l'impression de viser davantage que la notion " opérateurs d'un réseau de communications électroniques et fournisseurs d'un service de communication électronique " utilisée ailleurs dans le projet. Afin d'exclure cette interprétation potentiellement trop large, les termes de la définition de secteur " Internet " seront alignés sur la terminologie utilisée dans le reste du projet.

3. Le service NTSU-CTIF (articles 1er et 3)

- base légale - positionnement du service au sein de la police fédérale (avis, points 24-26)

Sur le plan structurel, le NTSU fait partie des unités spéciales de la police fédérale (CGSU). Cette dernière se trouve directement sous les auspices du commissaire général. Cette position est importante en termes de garanties et d'indépendance. De fait, séparer les demandeurs des écoutes (par définition les enquêteurs), de ceux qui mettent techniquement la demande à exécution (le NTSU) est de nature à empêcher que des actes à caractère hautement intrusifs ne soient exécutés sans qu'un contrôle strict de la présence des autorisations requises ne soit exercé.

De fait, la personne qui introduit une demande doit y annexer une copie des autorisations et réquisitoires dûment établis par une autorité compétente.

De plus, aucune " pression " ne peut être exercée par le demandeur ou son supérieur, puisque, hiérarchiquement, la CGSU dépend directement du directeur général de la Police fédérale et non des enquêteurs locaux ou fédéraux. Il existe donc une séparation de fait entre celui qui veut obtenir un résultat (la fin) et celui qui dispose des outils (les moyens) pour l'atteindre.

Finalement, la CGSU ne dispose d'aucun pouvoir d'initiative et ne travaille qu'en appui des services demandeurs. La CGSU n'initie donc pas d'enquêtes ni de recherches réactives ou proactives et encore moins d'écoutes téléphoniques.

Il faut également rappeler que le NTSU/CTIF n'a pas accès au contenu des données interceptées, celles-ci sont transmises directement et informatiquement vers le demandeur. Le contenu des communications interceptées ne peuvent être portées qu'à la connaissance des OPJ/APJ nommément cités dans la réquisition établie par le juge d'instruction. Le système d'interception est construit de telle sorte que les données ne seront techniquement accessibles qu'aux personnes reprises nommément sur la liste.

Le contrôle de la mise en oeuvre de ce prescrit légal est d'ailleurs techniquement implémenté dans la structure NTSU/CTIF puisque toutes les actions réalisées et entreprises sur le système sont " logées et sauvegardées ".

Les services chargés du contrôle de la police fédérale (notamment le comité P et l'Inspection) ont également la possibilité de contrôler, de manière générale, l'application des procédures prévues au CTIF (" audit ").

Dans le cadre de leurs dossiers, les juges d'instruction - éventuellement assistés par le comité P - peuvent également contrôler les mesures qui ont été prises par le CTIF.

Ces possibilités ne sont pas que théoriques puisque ces instances ont, à plusieurs reprises déjà, fait usage de cette prérogative.

Les membres du CTIF sont soumis à une enquête de sécurité. Celle-ci est diligentée dans le cadre de la loi sur les habilitations de sécurité.

- Le CTIF est-il un prestataire de données au sens de la loi relative à la protection de la vie privée ? (avis, point 27)

La Commission est d'avis que dans la mesure où il traite des données à caractère personnel au sens de l'article 1er de la LVP, le NTSU-CTIF doit en faire la déclaration à la Commission. La police fédérale n'a fait aucune déclaration de ce traitement.

Le NTSU/CTIF ne gère pas de base de données personnalisée : les identifications réalisées sont directement transmises aux enquêteurs sans qu'une copie n'en soit gardée au NTSU/CTIF.

Comme expliqué ci-dessus, les réponses des opérateurs seront faites directement au demandeur.

Dans le cadre des interceptions, seules des données statistiques (nombre de mesures, durées, etc.) et des données techniques (LLID, numéro de réquisitoire, nom de dossiers, etc.) sont sauvegardées.

Les autres données ne sont conservées sur les serveurs du NTSU/CTIF que le temps de traitement du dossier (de plus sans que le NTSU ait accès au contenu).

La mesure d'interception clôturée, toutes les données sont transmises aux enquêteurs (demandeurs) qui les traitent selon le prescrit de l'article 90ter (destruction des notes, rapport de 5 jours, dépôt au greffe, etc.).

Le NTSU/CTIF n'a donc pas accès au contenu des données et, en d'autres termes, n'agit pas en tant que responsable du traitement. Aucune déclaration ne doit donc être faite à la Commission.

- " l'accès permanent " du CTIF aux fichiers clients des opérateurs (avis, points 42-48)

La Commission est d'avis qu'un accès permanent du CTIF aux fichiers clients des opérateurs représente une forme d'intrusion excessive dans la vie privée et n'est pas respectueux du principe de proportionnalité.

Les modalités du processus d'accès doivent dès lors être précisées. Le mot " permanent " sera en tout cas remplacé par le mot " automatisé " car en principe, il ne s'agit en l'occurrence pas d'un accès permanent.

Ce qui est visé par le projet, c'est de faciliter les processus liés à l'identification avec par corollaire la diminution des coûts et non l'augmentation effrénée des possibilités d'identification.

L'objectif était de faciliter au NTSU/CTIF l'interrogation d'un fichier reprenant les informations des clients des opérateurs grâce notamment à une requête traitée informatiquement par le NTSU/CTIF (et non plus une interrogation manuelle, téléphonique ou par fax).

L'automatisation des processus augmentera la vitesse de mise à disposition de l'information aux demandeurs, diminuera la charge de travail manuelle ainsi que les risques d'erreurs dans le traitement (erreur de frappe par exemple) et permettra le contrôle, a posteriori, de toutes les demandes qui auront été réalisées (notamment grâce à un logging).

En fait, ce processus automatisé est plus respectueux de la protection de la vie privée que les consultations manuelles, téléphoniques ou par télécopie, qui ne permettent par exemple pas le contrôle à l'aide de loggings et qui comportent un risque de perte de données et potentiellement des erreurs lors du traitement des données.

Il est également important que seules les demandes passent via le NTSU/CTIF et y soient contrôlées. En revanche, les réponses sont directement délivrées au demandeur initial, sans repasser par le NTSU/CTIF.

Ceci contribue également à la protection des données.

- garanties et sécurité entourant l'accès direct (avis, points 49-52)

La Commission est d'avis que le projet fait l'économie des garanties entourant un accès direct (mesures de sauvegarde).

Les mesures prises par le NTSU pour protéger les informations relatives aux mesures dont il est responsable sont de deux ordres

* mesures physiques : accès limité, accès contrôlé et badgé, bâtiment faisant l'objet d'une protection physique, occupation permanente, caméras, login des entrées et sorties;

* mesures Software : attribution des droits en fonction de profils spécifiques, logging contrôle de chaque action faite sur le réseau, accès donné par dossier (pas d'accès général) lorsque le nom de l'intéressé est spécifiquement et nommément spécifié sur le réquisitoire du juge d'instruction, transmission sécurisée.

La Commission de la Protection de la Vie privée a par ailleurs dressé une liste de mesures de référence sur la sécurisation du traitement de données à caractère personnel. Cette liste s'adresse toutefois aux responsables d'un traitement et se veut être une aide dans le cadre de l'implémentation d'une sécurisation adéquate. Ci-dessus, nous avons cependant expliqué que le service NTSU/CTIF ne peut pas être considéré comme un responsable de traitement de données et qu'il ne sert que d'interface de données. Les mesures de sauvegarde susmentionnées sont précisément prises dans le cadre de ce rôle d'interface. Il est également expressément ajouté à l'article 3 du projet d'arrêté royal qu'un log est conservé et qu'un journal est fait de chaque consultation de la banque de données. Il va de soi que la politique en matière de sécurité doit être évaluée au jour le jour par le service NTSU/CTIF, et qu'il convient au besoin de prendre les mesures requises en vue d'une meilleure sécurisation.

4. La Cellule de coordination de la Justice (article 2) (avis, point 32)

Aux termes de l'article 2, § 1er, alinéa 4, du projet, le Ministre de la Justice a le droit de refuser des personnes en tant que membres de la Cellule de coordination de la Justice'. La Commission estime que cette prérogative ministérielle ne peut s'exercer que conformément à la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité.

Ce n'est toutefois pas le cas. Plusieurs hypothèses sont envisageables où le Ministre de la Justice doit avoir le droit de refuser certaines personnes en tant que membres de la Cellule de coordination de la Justice. Le premier exemple qui vient à l'esprit est le cas où une personne est impliquée dans une instruction judiciaire. Un autre exemple est le cas où une personne s'est rendue à répétition coupable de certaines négligences, comme par exemple le fait de ne pas être joignable lorsqu'elle est en service. A ce moment-là, il doit être possible de refuser que cette personne continue à faire partie de la Cellule de coordination.

Secret professionnel (avis, points 33-35)

Les agents et préposés qui simplement aident la Cellule de coordination de la Justice ne sont pas habilités à traiter des données et n'ont pas accès aux données obtenues en application des articles 46bis, 88bis et 90ter du Code d'Instruction criminelle. Si en dépit de cela, les membres de la Cellule de coordination de la Justice communiquent de telles données aux agents et préposés qui les aident, ils violent le secret professionnel imposé aux articles 46bis, § 2, alinéa 3, 88bis, § 2, alinéa 2, et 90quater, alinéa 2, du Code d'Instruction criminelle et cette violation est punissable aux termes de l'article 458 du Code pénal.

La Commission est d'avis que le principe de proportionnalité n'est pas respecté en ce qui concerne la transmission des coordonnées personnelles des membres de la Cellule de coordination de la Justice (avis, points 36-41).

Sur ce point, nous pouvons nous rallier à l'avis de la Commission. Ce qui importe, c'est que la Cellule de coordination soit disponible en permanence. Le projet prévoira dès lors qu'un gsm de service doit être disponible, dont le numéro devra être communiqué à l'IBPT.

5. Transmission du contenu de la communication (article 6) (avis, points 53-55)

La Commission est d'avis que là où l'article 6, § 1er, 2° et 4°, fait mention de la transmission du contenu de la communication, il y a lieu de référer explicitement à l'article 90ter du Code d'Instruction criminelle.

Il convient de souligner que l'article 6 contient les exigences fonctionnelles auxquelles les opérateurs et les fournisseurs de services doivent répondre pour la transmission de données.

Il va de soi que des données peuvent uniquement être communiquées si les conditions définies dans les articles du Code d'Instruction criminelle sont remplies. C'est la raison pour laquelle il est explicitement précisé, au début de l'article 6, que les conditions fixées par les articles 46bis, 88bis et 90ter doivent être remplies pour chacune des exigences fonctionnelles visées à l'article 6. Afin de clarifier totalement ceci, il sera donné suite à la suggestion de la Commission de préciser à l'article 6, § 1er, 1°, 2° et 4°, selon quelle disposition du Code d'Instruction criminelle ces données peuvent être transmises.

6. Mode de transmission des données (article 10) (avis, points 56-58)

La Commission estime que l'article 10, alinéa 2 du projet d'arrêté royal devrait préciser que l'arrêté ministériel ne porte que sur la taille des données transmises.

L'article 10, alinéa 2, du projet d'arrêté royal porte uniquement sur la forme sous laquelle les données doivent être transmises.

Une uniformisation du format et du mode de transmission des données facilite le traitement des données. Cette uniformisation dépend des moyens techniques disponibles et elle nécessite une concertation avec les opérateurs. Un modus operandi trop rigide, en détaillant le mode de transmission dans l'arrêté royal, se révèlerait inadéquat, d'où la possibilité de régler ceci par arrêté ministériel.

Ledit article porte donc uniquement sur les modalités techniques et ne règle en rien l'accès à la banque de données des opérateurs, ni l'ampleur des modalités.

Projet d'arrêté royal modifiant l'arrêté royal du 9 janvier 2003 portant exécution des articles 46bis, § 2, alinéa 1er, 88bis, § 2, alinéas 1er et 3, et 90quater, § 2, alinéa 3, du Code d'instruction criminelle ainsi que de l'article 109ter, E, § 2, de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques

Note à la Commission de la protection de la vie privée : organigramme NTSU/CTIF - Interception au sein de la police fédérale

La présente note vient compléter la réponse à l'avis n° 29/2008 du 3 septembre 2008 de la Commission de la vie privée et concerne la structure du NTSU/CTIF ainsi que sa place au sein de la police fédérale.

Elle concerne plus précisément les articles 1er et 3 du projet d'arrêté royal ainsi que les remarques formulées à ce sujet par la Commission dans son avis n° 29/2008 du 3 septembre 2008, dans les paragraphes 24-26 et 42-48.

Les organigrammes suivants sont prévus

1. Structure de la police fédérale

2. Structure du demandeur d'une mesure (une mesure d'écoute, par exemple).

3. Structure de l'exécutant de la mesure demandée : CGSU/NTSU.

Il ressort de l'organigramme n° 1

- que le CGSU fait partie des unités spéciales de la police fédérale et dépend directement du commissaire général mais que le demandeur (une des 27 PJF, par exemple) relève d'un autre pilier;

- qu'il n'existe donc aucun lien hiérarchique entre le demandeur et l'exécutant. Dans la structure, l'exécutant occupe en outre une position plus élevée que le demandeur.

Une mesure d'écoute peut uniquement être sollicitée par le biais d'une demande écrite, laquelle doit être faxée d'avance. Le document sera transmis au CGSU qui en contrôlera également la conformité et la légalité avant de passer à l'action.

Le CGSU ne peut jamais demander ou lancer une écoute de manière indépendante.

Les résultats de l'écoute sont remis directement au demandeur (enregistrement audio) et le CGSU n'a pas accès à l'écoute proprement dite; le CGSU/NTSU/CTIF ne peut donc pas écouter l'enregistrement lui-même.

Avantages : séparation stricte - légalité - indépendance - contrôle

Par ailleurs, outre le contrôle automatique et systématique par le système même (login, restrictions des droits, contrôle du login,...), le CTIF n'est pas indépendant et relève donc de l'autorité du chef de service du NTSU en première instance et de celle du chef de service du CGSU en deuxième instance (voir organigrammes n os 3-4-5).

(Image non reprise pour des raisons techniques, voir M.B. du 23-02-2011, p. 12978)

(Image non reprise pour des raisons techniques, voir M.B. du 23-02-2011, p. 12979)

(Image non reprise pour des raisons techniques, voir M.B. du 23-02-2011, p. 12980)

Projet d'arrêté royal modifiant l'arrêté royal du 9 janvier 2003 portant exécution des articles 46bis, § 2, alinéa 1er, 88bis, § 2 alinéas 1er et 3, et 90quater, § 2 alinéa 3, du Code d'instruction criminelle ainsi que de l'article 109ter, E, § 2, de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques

Annexe au Rapport au Roi : explications sur les modifications à l'annexe à l'arrêté royal

Les modifications proposées aux tarifs prévues à l'annexe au nouvel arrêté royal sont mineures : elles ne touchent que trois postes et elles ont pour source d'inspiration l'étude du service NTSU-CTIF des possibilités des opérateurs de 2006, revue et corrigée en 2008, la consultation publique réalisée par l'IBPT début 2010 en concertation avec le NOT, et les deux premières réunions de travail organisées par l'IBPT qui en ont suivi.

Les modifications suivantes ont été apportées à l'annexe

- une diminution de 50 % du paiement journalier pour les observations (article 88bis du Code d'instruction criminelle);

- une diminution de 50 % de l'indemnité journalière pour les observations en temps réel (article 88bis du Code d'instruction criminelle) et les interceptions (article 90ter du même Code);

- l'extension de certaines mesures à la technologie IP.

Ces modifications se basent sur les justifications suivantes

Pour le premier point, cette modification émane directement du secteur télécom lui-même. A la réunion de la Plateforme de concertation télécom de 17 novembre 2010, certains opérateurs trouvaient de fait déraisonnable de facturer, par exemple 365 jours de rétroactes alors que l'interrogation de leur système n'apporte des résultats que pour 20 jours. Une telle approche aurait permis de réaliser une économie de 60 % des montants que les opérateurs ont facturés pour ce service d'observation de rétroactes.

Une nouvelle façon de procéder de ce type (indemnité par jours de calendrier pour lesquels l'opérateur peut fournir un résultat) entraînera toutefois une plus grande charge de travail sur le plan de l'établissement et de la vérification de la facturation, tant pour les operateurs que pour les autorités.

D'où le choix d'une réduction linéaire du prix journalier, qui donne lieu en effet à un résultat comparable en termes d'économie.

La deuxième modification porte sur l'indemnité journalière octroyée aux interceptions et aux observations en temps réel. De fait, pour mettre une de ces mesures en oeuvre, l'opérateur doit l'encoder dans son système et l'arrêter à l'échéance prévue. Les coûts d'activation sont déjà repris sous un poste séparé qui n'est pas modifié. La mesure une fois encodée, les informations arrivent directement au service NTSU/CTIF pour traitement et mise à disposition de l'utilisateur final (enquêteur ou magistrat). Que l'interception ou l'observation en temps réel durent 1 jour ou 30 jours, le travail de paramétrisation de l'opérateur est resté identique, le seul temps qui varie est " le temps machine ", c'est-à-dire le temps nécessaire au système pour mettre les informations à disposition du demandeur. En résumé, le set-up de la mesure a un coût bien tangible, tandis qu'aucune intervention humaine n'est nécessaire en régime.

De plus, tous les processus de transmission de ces informations sont complètement automatisés et les informations sont transmises informatiquement vers un seul point : le NTSU/CTIF. Ce sujet a été abordé lors de la consultation organisée de tout le secteur télécom par l'IBPT. Lors des réunions de brainstorming qui ont suivi cette étude, les opérateurs ont confirmé que cette indemnité journalière couvrait seulement du " temps machine ". En ce sens, une réduction de 50 % de l'indemnité accordée journalièrement parait très raisonnable certainement en comparaison avec les tarifs appliqués par certains pays étrangers au dessus de la norme (l'Allemagne par exemple). Une réduction totale (à 0) de l'indemnité accordée nous semble toutefois déraisonnable : les processus sont actuellement automatisés également grâce à des investissements consentis par les opérateurs. Et si l'on pourrait arguer que les opérateurs de téléphonie ont déjà rentabilisés les investissements consentis depuis 2003, il en va tout autrement pour les " nouveaux opérateurs " qui, par le biais de l'adoption du présent arrêté royal se trouveront eux aussi contraint à mettre leur infrastructure en conformité avec les normes ETSI.

Troisièmement, grâce à ce nouvel arrêté royal, la téléphonie digitale (VOIP) émise sans cryptage ainsi que les services IP seront eux aussi interceptables selon les standards de communications européens (ETSI). Répondant aux mêmes standards, il est logique qu'à ceux-ci les mêmes tarifs soient appliqués.

Les réductions apportées aux tarifs contenus dans l'annexe à l'arrêté royal de 2003 permettraient d'atteindre une réduction de 30 % des coûts totaux actuels.

Les autres postes ne sont pas modifiés.

AVIS 49.133/4 DU 17 JANVIER 2011 DE LA SECTION DE LEGISLATION DU CONSEIL D'ETAT

Le Conseil d'Etat, section de Législation, quatrième chambre, saisi par le Ministre de la Justice, le 24 décembre 2010, d'une demande d'avis, dans un délai de trente jours, sur un projet d'arrêté royal " modifiant l'arrêté royal du 9 janvier 2003 portant exécution des articles 46bis, § 2, alinéa 1er, 88bis, § 2, alinéas 1er et 3, et 90quater, § 2, alinéa 3, du Code d'instruction criminelle ainsi que de l'article 109ter, E, § 2, de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques ", a donné l'avis suivant

Compte tenu du moment où le présent avis est donné, le Conseil d'Etat attire l'attention sur le fait qu'en raison de la démission du Gouvernement, la compétence de celui-ci se trouve limitée à l'expédition des affaires courantes. Le présent avis est toutefois donné sans qu'il soit examiné si le projet relève bien de la compétence ainsi limitée, la section de Législation n'ayant pas connaissance de l'ensemble des éléments de fait que le Gouvernement peut prendre en considération lorsqu'il doit apprécier la nécessité d'arrêter ou de modifier des dispositions réglementaires.

Comme la demande d'avis est introduite sur la base de l'article 84, § 1er, alinéa 1er, 1°, des lois coordonnées sur le Conseil d'Etat, tel qu'il est remplacé par la loi du 2 avril 2003, la section de Législation limite son examen au fondement juridique du projet, à la compétence de l'auteur de l'acte ainsi qu'à l'accomplissement des formalités préalables, conformément à l'article 84, § 3, des lois coordonnées précitées.

Sur ces trois points, le projet appelle les observations ci-après.

Observation préalable

Les modifications envisagées sont tellement étendues qu'elles ne laissent presque rien subsister de l'arrêté royal du 9 janvier 2003 portant exécution des articles 46bis, § 2, alinéa 1er, 88bis, § 2 alinéas 1er et 3, et 90quater, § 2 alinéa 3, du Code d'instruction criminelle ainsi que de l'article 109ter, E, § 2, de la loi du 21 mars 1991 portant réforme de certaines entreprises publiques économiques, texte originel (1), les règles nouvelles seront donc présentées non sous la forme de dispositions modificatives mais sous forme de dispositions autonomes, dans un nouveau texte, accompagné d'une disposition abrogatoire supprimant l'arrêté originel (2).

Dans cette hypothèse, dans l'arrêté royal du 12 octobre 2010 déterminant les modalités de l'obligation de collaboration légale en cas de demandes concernant les communications électroniques par les services de renseignement et de sécurité, les références à l'arrêté royal du 9 janvier 2003 devront être adoptées en conséquence.

C'est sous réserve de cette observation préalable que le présent projet est examiné.

Observations particulières

Préambule

1. L'article 6, § 3, en projet, de l'arrêté du 9 janvier 2003 reproduit les spécifications techniques contenues dans l'article 8, § 3, de l'arrêté du 12 octobre 2010. Dans son avis 48.660/2/V, donné le 1er septembre 2010, sur le projet devenu l'arrêté royal du 12 octobre 2010 précité, la section de législation du Conseil d'Etat a invité à communiquer le projet à la Commission européenne, conformément à l'article 8, paragraphe 1, de la Directive 98/34/CE du Parlement européen et du Conseil du 22 juin 1998 prévoyant une procédure d'information dans le domaine des normes et réglementations techniques et des règles relatives aux services de la société de l'information (ci-après la " Directive 98/34/CE "). A ce sujet, le rapport au Roi (3) a répondu que ces " spécifications (...) ne sont pas des standards prescrits par l'autorité nationale, mais ont été fixées par l'Institut européen de normalisation spécialisé dans le domaine des télécommunications (ETSI). Une notification de ces spécifications à la Commission européenne n'est dès lors pas obligatoire ". Selon le même rapport au Roi, " la plupart des réglementations nationales concernant les services de télécommunications ne devront pas faire l'objet d'une notification au titre de cette directive, puisqu'elles relèveront des exclusions prévues à l'article 10, paragraphe 1er, ou à l'article 1er, point 5 [de la même directive] " (4).

La déléguée du ministre a confirmé que le même raisonnement a bien été tenu s'agissant du projet examiné.

Dans la mesure où l'auteur du projet a considéré qu'il peut se fonder sur l'article 10, § 1er, de la Directive 98/34/CE, il convient, afin de se conformer à l'article 12 de la même directive, de compléter le préambule par un considérant faisant apparaître que les spécifications techniques ayant été fixées par le " European Telecommunications Standards Institute ", le projet ne doit pas faire l'objet d'une communication à la Commission européenne en application de l'article 10, paragraphe 1er, de la Directive 98/34/CE.

2. L'alinéa 8 sera rédigé comme suit

" Vu l'avis 49.133/4 du Conseil d'Etat, donné le 17 janvier 2011, en application de l'article 84, § 1er, alinéa 1er, 1°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973; " (5).

Dispositif