Dépôt de deux projets de loi pour la mise en œuvre du Cloud Souverain au Luxembourg

Ces deux projets de loi – enregistrés au Conseil National sous les n° 1.076 et 1.075 – s'inscrivent dans le sillage de la conclusion, le 15 juillet 2021, d'un accord bilatéral, entre la Principauté de Monaco et le Grand-Duché du Luxembourg, sur l'hébergement sécurisé de données monégasques, la convention internationale ainsi signée appelant désormais une procédure d'introduction dans le droit monégasque et des modifications législatives.

Pour mémoire, l'accord international conclu par l'État de Monaco trouve son origine dans le lancement en septembre 2021, de Monaco Cloud, par lequel la Principauté de Monaco est devenue le premier pays en Europe à lancer son cloud souverain, destiné à servir de fondation au développement et à la création des nouveaux services numériques de la Principauté et permettant, dans ce cadre, de stocker les données étatiques comme celles des acteurs privés de Monaco.

Les impératifs de protection de ses données par l'État requièrent que celui-ci puisse, en toute circonstance, prendre en compte et faire face à tous risques d'intrusion, de détérioration, de destruction, ou de perte, totale ou partielle, résultant notamment de catastrophes naturelles ou d'actes illicites. Afin d'assurer la continuité du service public comme la reprise des activités y afférentes, il importe que la création d'un « datacenter principal » puisse être doublée d'un niveau de sécurité supplémentaire, consistant en la mise en place d'un « datacenter de secours », en guise de plan de relève ou encore de « Plan de Secours Informatique ».

Ces enjeux ont conduit à la mise en place d'un projet d'hébergement sécurisé à l'effet, pour Monaco, de se doter, pour ses données, d'un data center sur le sol Luxembourgeois, donnant toutes les garanties d'immunité et apparaissant de facto comme un « jumeau numérique ».

Il importait donc, tant pour Monaco que pour le Grand-Duché, de pouvoir conclure un accord qui soit :

• fondé sur les garanties de privilèges et d'immunités nécessaires inspirées de la Convention de Vienne sur les relations diplomatiques et du droit international ;

• pleinement apte à régir, sur cette base, le statut juridique des locaux mis à disposition de la Principauté et de ses données, systèmes d'information, matériels et licences y hébergés, en garantissant leur protection et en leur conférant un caractère inviolable.

Telle est la portée de l'accord bilatéral signé le 15 juillet 2021.

Dans ce cadre, il a été estimé que, les cyberattaques constituant un risque majeur reconnu au niveau international, la Principauté doit pouvoir disposer des outils juridiques et procéduraux à même d'assurer une répression efficace à l'endroit des atteintes au futur « jumeau » du Cloud Souverain basé au Luxembourg, lesquels participent d'un enjeu de préservation de la sécurité et de la souveraineté nationales.

Des modifications du Code de procédure pénale sont ainsi nécessaires pour conférer aux juridictions monégasques la compétence de poursuivre, juger et sanctionner, à Monaco, tout délit de ce type commis non seulement sur le territoire monégasque mais également relatif aux données ou systèmes d'information monégasques qui seraient hébergés dans un data center à l'étranger, en l'occurrence celui qui sera situé au Luxembourg.

Or, en application du chiffre 2° du deuxième alinéa de l'article 14 de la Constitution, l'intervention d'une loi est requise préalablement à la ratification de traités ou accords internationaux ayant pour effet « la modification de dispositions législatives existantes ».

Conformément à cette disposition constitutionnelle, la ratification de l'Accord entre le Grand-Duché de Luxembourg et la Principauté de Monaco concernant l'hébergement de données et de systèmes d'information est donc subordonnée à l'intervention du législateur, par le biais du projet de loi n° 1.076, lequel est à considérer en lien avec le projet de loi n° 1075.