text:
Arrêt N°342/12 X
du 27 juin 2012
not 2285/09/CD

      La Cour d'appel du Grand-Duché de Luxembourg, dixième chambre, siégeant en
      matière correctionnelle, a rendu en son audience publique du vingt-sept juin deux
      mille douze l’arrêt qui suit dans la cause

                                          entre:

      le ministère public, exerçant l'action publique pour la répression des crimes et
      délits, appelant

                                             et:

      X.), né le (…) à (…), demeurant à L-(…), (…),

      prévenu, appelant

      __________________________________________________________________

                                           FAITS:

      Les faits et rétroactes de l'affaire résultent à suffisance de droit d'un jugement
      rendu contradictoirement par une chambre correctionnelle du tribunal
      d'arrondissement de et à Luxembourg le 15 juin 2011 sous le numéro
      2025/2011, dont les considérants et le dispositif sont conçus comme suit :
                                                                    2

Vu l’arrêt n°836/10 du 23 novembre 2010 confirmant l’ordonnance n°1897/10 de la Chambre du Conseil du Tribunal
d’arrondissement de et à Luxembourg du 22 septembre 2010 et renvoyant X.) du chef d’infractions aux articles 458, 509-
1 et 509-3 du Code pénal et du chef d’infractions à la loi du 2 août 2002 relative à la protection des personnes à l’égard du
traitement des données à caractère personnel devant une chambre correctionnelle de ce même Tribunal.

Vu la citation du 28 mars 2011 régulièrement notifiée au prévenu.

Vu l’ensemble du dossier répressif constitué par le Parquet sous la notice n° 2285/09/CD.

Vu l’instruction judiciaire diligentée par le juge d’instruction.

Les faits :

L'examen du dossier répressif, ensemble les dépositions des témoins entendus à l’audience et les débats menés en
audience ont permis de dégager ce qui suit:

Le 28 janvier 2009, vers 15.15 heures les enquêteurs Marcel WEIS et Christian KIEFFER, affectés au Service de Police
Judiciaire, Section « Criminalité Générale », furent informés par leur collègue de travail X.) que son ami A.) l’aurait dès
l’ingrès informé vers 13.45 heures que B.), dit B’.), qu’il qualifia d’escroc, avait probablement été enlevé par des gens
d’affaires allemands. Après avoir informé le Ministère Public de ces faits, les enquêteurs Christian KIEFFER et Marcel
WEIS, chargés de l’enquête par le substitut de service, se rendirent vers 16.45 heures au domicile de B’.) à (…), l’y
trouvèrent et l’emmenèrent au bureau de police aux fins d’audition.

L’audition de ce dernier et l’enquête subséquente a relevé qu’il avait été enlevé par C.) et D.), deux commerçants
allemands dans la mesure où il avait commandé et reçu de la part de C.) des moteurs et des parapentes pour
approximativement 15.000 euros, qu’il n’avait pas, malgré plusieures injonctions lui envoyées par mail par C.), réglé le
prédit montant, de sorte que les deux Allemands se sont rendus au domicile de B’.) et l’ont contraint à leur remettre le
matériel en question. Ce matériel se trouvait en partie chez A.) à (…) chez E.) au (…) et dans la cave de la résidence
habitée par B’.).

Lors de son audition policière, B’.) invoqua le nom X.), un policier au sein du Service de Police Judiciaire, qui n’avait jusque
là pas été mentionné par les enquêteurs, tout en déclarant détenir des informations intéressantes sur sa personne, informations
qui ne seraient cependant pas liées à l’affaire de son enlèvement.

Comme non seulement B’.) soutint détenir des informations concernant X.) mais que les enquêteurs étaient dès le début
étonnés sur le comportement étrange d’X.), qui, informé à 13.07 heures d’une séquestration ayant eu lieu au détriment de
B’.), avait mis plus de deux heures pour les en informer. En plus, lorsqu’il leur a raconté que B’.) avait été enlevé, sa
préoccupation principale n’était pas le sort de ce dernier comme le témoigne d’ailleurs le fait qu’il avait envoyé son ami A.)
au commissariat de police de Diekirch non pas pour informer les policiers que B’.) s’était fait kidnapper, mais pour déposer
plainte contre lui, mais par contre le sort de toutes les victimes qui s’étaient, selon lui, fait escroquer par B’.). Il avait en effet
tenté de joindre plusieures victimes pour les inciter à déposer plainte contre B’.) avant d’informer ses collègues de travail de
l’enlèvement. Il ne cacha non plus son mépris concernant B’.) en précisant incessamment aux enquêteurs WEIS et KIEFER
détenir des éléments contre B’.) prouvant qu’il s’agirait d’un escroc qu’il faudrait nécessairement mettre en prison.

Le Ministère Public, informé de ces éléments, ordonna une audition séparée de B’.) concernant X.).

Lors de son audition policière du 30 janvier 2009, B’.) déclara avoir fait la connaissance d’X.) en mars 2009 (lz 2008) via le
forum « Cumulux » sur internet, de l’avoir rencontré et d’avoir discuté à propos du sport aéronautique auquel ils étaient tous
les deux intéressés. Lors de la discussion, il apprit qu’X.) était un policier, de sorte qu’il lui révéla qu’il avait eu dans le passé
des problèmes avec la justice luxembourgeoise, notamment des affaires d’escroquerie, respectivement d’abus de confiance et
lui demanda par conséquent de vérifier dans le fichier informatique central sur les personnes physiques si des enquêtes le
concernant sont en cours, voire si des affaires de justice sont pendantes. Il lui demanda également de lui fournir l’adresse
concernant F.) en expliquant à X.) que ce dernier lui devait encore de l’argent.

Quelques semaines plus tard, X.) le contacta par téléphone pour lui dire qu’aucune enquête n’était ouverte à son encontre,
qu’il n’était par ailleurs pas signalé et l’informa qu’il avait trouvé F.) dans le registre général des personnes sans toutefois lui
communiquer son adresse.

Il résulte par ailleurs de l’audition policière de B’.) et des éléments du dossier qu’en juillet 2008 B’.) s’était rendu au
domicile d’X.) et que ce dernier l’informa à cette occasion qu’une enquête judiciaire à son encontre avait été ouverte afin de
déterminer son rôle dans la société SOC1.) Sàrl dans laquelle il était associé. De crainte que lors d’une perquisition effectuée
dans son bureau, son ordinateur portable pourrait être saisi et que lors de l’exploitation de cet ordinateur une liste de prix de
pneus soit trouvée, X.) lui demanda de supprimer définitivement ses données personnelles afin d’éviter qu’entre autres cette
liste de prix des pneus, qui, selon X.), n’aurait cependant nullement constitué un indice quant à sa qualité de gérant de fait tel
lui reproché par les autorités, puisse être trouvée. Afin de supprimer de manière définitive ces données, B’.) désinstalla le
                                                                 3

système d’exploitation Windows XP et le remplaça par le système Windows VISTA, après avoir sauvegardé des données
concernant son activité professionnelle sur un Stick USB afin de pouvoir les recopier après l’installation du système VISTA
de nouveau sur l’ordinateur d’X.). Il lui remit encore un téléphone portable de marque Nokia N 73 dans la mesure où X.) lui
avait demandé de lui fournir un portable sur lequel une écoute policière ne pourrait être effectuée.

Suite à l’audition de B’.), une instruction judiciaire fut ouverte et le juge d’instruction a ordonné des perquisitions et saisies
au domicile d’X.), à son lieu de travail, dans le véhicule de service ainsi que dans son véhicule privé.

Lors de ces perquisitions qui eurent lieu le 12 février 2009, trois téléphones portables, trois ordinateurs se trouvant dans son
bureau, une matraque télescopique se trouvant dans son véhicule privé et un ordinateur, ainsi que plusieurs sticks USB, des
CD-Rom, des DVD et des disquettes se trouvant au domicile d’X.) furent trouvés et saisis.

Ces objets, ainsi que l’ordinateur et le stick USB appartenant à B’.) et saisis dans le cadre de l’affaire d’enlèvement, furent,
suite à une ordonnance du 2 mars 2009 du juge d’instruction, remis au Service de Police Judiciaire, Section Nouvelles
Technologies, aux fins d’exploitation.

L’exploitation du stick USB de B’.) a révélé que cinq documents ayant trait aux activités policières d’X.) s’y trouvaient, dont
notamment un télégramme d’Interpol concernant la personne de G.), un téléfax du 14 juillet 2006 adressé au commissaire
H.), ainsi que d’autres informations policières concernant des personnes impliquées dans des enquêtes policières.

L’exploitation de l’ordinateur portable de marque Compaq utilisé par X.) à titre professionnel a corroboré les déclarations de
B’.), étant donné que le système d’exploitation standard Windows XP avait été supprimé et remplacé par le système
d’exploitation Windows VISTA. En plus, la licence d’enregistrement du système VISTA était la même que celle utilisé par
B’.) sur son ordinateur.

L’exploitation des portables et des autres objets saisis n’a pas donné des résultats pertinents pour l’enquête.

Le 6 mars 2009, le juge d’instruction a ordonné une perquisition auprès de la Direction de l’Information aux fins de
rechercher et de saisir les documents permettant de retracer et de déterminer les fichiers consultés par X.), notamment quant à
B’.), F.), I.) et J.) à partir du 1er février 2008.

La saisie des listings et l’exploitation afférente a révélé qu’entre le 17 mars 2008 et le 4 février 2009 X.) a effectué 8
recherches concernant B’.), 1 recherche sur F.), 3 recherches sur I.) et 3 recherches sur J.).

Lors de son audition policière du 12 février 2009 X.) a déclaré avoir rencontré B’.) le 15 mars 2008, que ce dernier lui aurait
demandé de vérifier dans le registre général des personnes physiques si des affaires le concernant sont encore pendantes, de
ne pas avoir fait des recherches concernant F.) et d’avoir effectué une recherche concernant son ami I.).

Il expliqua avoir rapidement compris que B’.) était un personnage peu sincère, voire plutôt douteux, ce qui ne le dissuada
cependant pas de lui demander en été 2008 de supprimer de manière irrévocable quelques fichiers personnels qui se
trouvaient sur son ordinateur portable de marque Compaq qu’il utilisait à titre professionnel. Il a à ce titre exposé avoir fait
l’objet d’une enquête policière concernant le statut qu’il occupait au sein de la société SOC1.) Sàrl ; les autorités le
soupçonnaient d’être en réalité gérant de fait de cette société distributive de pneus, ce qui est incompatible avec son statut de
fonctionnaire d’Etat, alors que suivant les status il n’était qu’associé.

De crainte que les enquêteurs ne puissent saisir son ordinateur portable et y trouver un document, précisément une liste de
prix des pneus qui, selon lui, n’aurait strictement rien prouvé, il demanda à B’.), duquel il savait qu’il avait des
connaissances approfondies en informatique, de supprimer ce fichier. Ce dernier procéda alors à la suppression du système
d’exploitation Windows XP en le remplaçant par le système Windows VISTA. Avant la désinstallation du système Windows
XP, B’.) copia des documents professionnels d’X.) sur son stick USB pour que ceux-ci ne soient pas perdus et afin de les
recopier après l’installation du système VISTA sur son ordinateur. Il admit encore avoir été naïf en acceptant la remise par
B’.) d’un portable de marque Nokia N73 pour lequel, suivant les déclarations de B’.), aucune écoute téléphonique ne serait
possible.

Lors de son interrogatoire devant le juge d’instruction du 9 juin 2009, X.) relata de nouveau avoir demandé à B’.), malgré le
fait qu’il avait de sérieux doutes quant à sa sincérité, de procéder à la suppression définitive des données personnelles qui se
trouvaient sur son ordinateur utilisé dans le cadre de ses activités policières dans la mesure où il craignait que ces données,
bien qu’elles auraient été anodines à l’enquête menée contre lui dans le cadre de la société SOC1.) Sàrl, pourraient être
retrouvées lors de l’exploitation de son ordinateur et seraient de nature, eu égard à la partialité des enquêteurs chargés de
l’affaire, à asseoir une condamnation pénale à son encontre. Etant donné que B’.) lui avait expliqué qu’il n’était pas possible
de supprimer des fichiers de manière à ce qu’ils ne puissent pas être reconstitués par des spécialistes en informatique, mais
qu’il faudrait pour ceci remplacer le système d’exploitation Windows XP par le système Windows VISTA, il accepta cette
proposition. Avant de procéder au remplacement du système d’exploitation, B’.) sauvegarda des données professionnelles sur
son stick USB afin de pouvoir les copier après l’installation du nouveau système d’exploitation sur l’ordinateur. Comme le
                                                                4

processus de sauvegarde des données sur le stick USB de B’.) aurait cependant duré trop longtemps, il aurait interrompu le
processus et aurait demandé à B’.) de supprimer les fichiers sur son stick USB.

Il avait également fait part à B’.) qu’il craignait être mis sur écoute téléphonique, de sorte que B’.) lui remit un téléphone
portable sur lequel une écoute téléphonique ne pourrait, selon lui, pas être pratiquée, étant donné qu’il serait équipé d’un
programme spécial qui couperait les communications dès que celles-ci se trouveraient sur écoute.

Concernant les recherches qu’X.) avait effectuées dans le fichier central sur les personnes de B’.) et de F.), il déclara,
contrairement à son audition policière, avoir effectué une recherche sur F.) dans la mesure où B’.) le lui avait demandé,
d’avoir effectué des recherches sur B’.) juste après avoir fait sa connaissance notamment pour voir quel véhicule il
conduisait. Il a précisé être d’avis avoir, en tant que policier, le droit d’effectuer de telles recherches.

A l’audience publique, X.) a réitéré ses déclarations effectuées devant le juge d’instruction. Il contesta que les consultations
effectuées sur le registre général des personnes physiques et morales, sur le fichier des étrangers et sur celui des véhicules
routiers exploités par le Centre Informatique de l’Etat aient été effectuées à titre privé et fit partant plaider que les éléments
constitutifs de la plupart des infractions lui reprochées ne seraient pas établis, de sorte qu’il demanda l’acquittement des
préventions lui mises à charge, à l’exception de l’infraction relative au défaut d’autorisation ministérielle pour la détention de
la matraque télescopique pour laquelle il a été en aveu.

En droit :

Le Ministère Public reproche à X.) :

« comme auteur, co-auteur ou complice,

I) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg, sans préjudice quant aux
indications de temps et de lieux plus exactes,

d’avoir révélé, en tant que médecins, chirurgiens, officiers de santé, pharmaciens, sages-femmes et toutes autres personnes
dépositaires, par état ou par profession, des secrets qu’on leur confie, qui hors le cas où ils sont appelés à rendre
témoignage en justice et celui où la loi les oblige à faire connaître ces secrets

1) en l’espèce, d’avoir consulté à titre privé des fichiers exploités par le Centre Informatique de l’Etat et plus spécialement
aux dates suivantes :

le 17/03/2008 fichier des étrangers (B’.))
le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))
le 18/03/2008 régistre général des personnes physiques et morales (F.))
le 31/03/2008 régistre général des personnes physiques et morales (J.))
le 28/04/2008 régistre général des personnes physiques et morales (B.))
le 29/04/2008 régistre général des personnes physiques et morales (I.))
le 06/05/2008 régistre général des personnes physiques et morales (I.))
le 22/05/2008 régistre général des personnes physiques et morales (I.))
le 10/09/2008 régistre général des personnes physiques et morales (B’.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 27/01/2009 régistre général des personnes physiques et morales (J.))
le 27/01/2009 régistre général des personnes physiques et morales (B.))
le 29/01/2009 régistre général des personnes physiques et morales (B.))
le 04/02/2009 régistre général des personnes physiques et morales (J.))

et d’avoir continué à B.), dit « B’.) », né le (…) à (…) (Thaïlande) les renseignements ainsi obtenus,

2) en l’espèce, d’avoir transféré ou laisser transférer sur le USB Memory Stick Corsair Flash Voyager 16GB appartenant
à et détenu par B.) des documents (internes) de la police et notamment les documents suivants :
      -    un télégramme Interpol daté du 21/04/2006 concernant G.), né le (…) à (…) Liberia
      -    un téléfax écrit en date du 14/07/2006 adressé par M.H.), commissaire, auprès du Service de Police Judiciaire,
           service Anti-Blanchiment ou Anti Money Laundering Office
      -    les informations policières concernant plusieurs personnes impliquées dans des enquêtes policières

II) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg, sans préjudice quant aux
indications de temps et de lieux plus exactes,

en infraction aux dispositions de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des
données à caractère personnel,
                                                                 5

1) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’aticle 4 (3) de la loi du 2 août
2002 en tant que responsable du traitement en sa qualité de membre du Service de Police Judiciaire pour les avoir
traitées de manière incompatible avec les finalités viséees sub (1) (a) du même article,

en l’espèce, pour avoir traité les données personnelles telles que spécifiées supra I) 1) et I) 2) et de les avoir continuées à
B.), dit « B’.) », né le (…) à (…),

2) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’article 5 (2) en tant que
responsable du traitement en sa qualité de membre du Service de Police Judiciaire pour les avoir traitées sans respecter la
légitimité de traitement prévue aux dispositions (1) a), b), c), d) e) et f) dudit article,

en l’espèce, pour avoir traité les données personnelles telles que spécifiées supra I) 1) et I) 2) et de les avoir continuées à
B.), dit « B’.) », né le (…) à (…),

3) d’avoir effectué à titre privé un traitement de données personnels en violation des dispositions de l’article 17 (3),

en l’espèce, pour avoir traité à titre privé les données personnelles telles que spécifiées supra I) 1) et I) 2) et de les avoir
continuées à B.), dit « B’.) », né le (…) à (…),

III) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg, sans préjudice quant aux
indications de temps et de lieux plus exactes,

d’avoir frauduleusement, accédé ou s’être maintenu dans tout ou partie d’un système de traitement ou de transmission
automatisé de données,

en l’espèce, d’avoir, à titre privé, partant frauduleusement, accédé à des fichiers exploités par le Centre Informatique de
l’Etat et plus spécialement aux dates suivantes:

le 17/03/2008 fichier des étrangers (B’.))
le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))
le 18/03/2008 régistre général des personnes physiques et morales (F.))
le 31/03/2008 régistre général des personnes physiques et morales (J.))
le 28/04/2008 régistre général des personnes physiques et morales (B.))
le 29/04/2008 régistre général des personnes physiques et morales (I.))
le 06/05/2008 régistre général des personnes physiques et morales (I.))
le 22/05/2008 régistre général des personnes physiques et morales (I.))
le 10/09/2008 régistre général des personnes physiques et morales (B’.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 27/01/2009 régistre général des personnes physiques et morales (J.))
le 27/01/2009 régistre général des personnes physiques et morales (B.))
le 29/01/2009 régistre général des personnes physiques et morales (B.))
le 04/02/2009 régistre général des personnes physiques et morales (J.))

IV) au courant de l’été 2008, dans l’arrondissement judiciaire de Luxembourg, et notamment au domicile de X.), sis à L-
(…), (…), sans préjudice quant aux indications de temps et de lieux plus exactes,

d’avoir intentionnellement et au mépris des droits d’autrui, directement ou indirectement, introduit des données dans un
système de traitement ou de transmission automatisé ou supprimé ou modifié les données qu’il contient ou leurs modes de
traitement ou de transmission,

en l’espèce, d’avoir, intentionnellement et au mépris des droits d’autrui, directement, la suppression du système de
traitement Windows XP installé sur le Laptop Compaq nw 8000, n° inventaire de la Direction de l’Information de la Police
Grand-Ducale NB N083, avec harddisc Toshiba MK 6022GAx, 60 GB, numéro de série CNU439FOMN54AN3780T, et
l’avoir remplacé par un système de traitement Windows VISTA Ultimate OEM, portant le numéro de licence 2QBP3-
289MF-9364X-37XGX-24W6P ;

V) depuis un temps non prescrit jusqu’au 12/02/2009, dans l’arrondissement judiciaire de Luxembourg, et notamment le
12/02/2009 à Luxembourg, (…), sans préjudice quant aux indications de temps et de lieux plus exactes,

en infraction à la loi modifiée du 15 mars 1983 sur les armes et munitions

d’avoir sans autorisation ministérielle, détenu et transporté une arme soumise à autorisation,

en l’espèce, une matraque télescopique ».
                                                                  6

I) Quant à l’infraction prévue à l’article 458 du Code pénal

X.) a contesté avoir révélé à B’.) une information soumise au secret professionnel. Sans contester avoir informé B’.) que
ce dernier ne serait pas signalé, il fit valoir que cette information ne serait pas visée par l’article 458 du Code pénal.

Suivant l'article 458 du Code Pénal, les médecins, chirurgiens, officiers de santé, pharmaciens, sages-femmes et toutes
autres personnes dépositaires, par état ou par profession, des secrets qu'on leur confie sont susceptibles de sanctions
pénales lorsqu'ils ont révélé ceux-ci hors le cas où ils sont appelés à en rendre témoignage en justice et celui où la loi les
oblige à les faire connaître.

L'infraction de violation d'un secret professionnel comporte trois éléments constitutifs, à savoir :

<U+25CF> l'auteur doit être une personne soumise, par état ou par profession, au secret professionnel,
<U+25CF> un acte de révélation doit avoir eu lieu librement, hors les cas où la loi l'autorise respectivement où un témoignage en
est requis en justice,
<U+25CF> une intention coupable.

L’énumération de l’article 458 du Code pénal, visant les personnes liées par le secret professionnel, n’est pas limitative et
les termes ‘’état ou profession’’ sont assez larges pour embrasser l’exercice d’autres professions que celles énumérées.

Ainsi, les policiers sont soumis au secret professionnel : ils ne peuvent révéler les faits ou détails d’une instruction pénale
qui est secrète (cf. G.SCHUIND, Traité pratique de droit criminel, I, p.421).

Le délit de révélation du secret professionnel existe dès qu’il y a eu une indiscrétion qui peut causer préjudice, que la
révélation a été faite librement, hors les cas où la loi autorise, et qu’elle se réfère à un fait qui était confidentiel de sa
nature.

Concernant l’infraction libellée sous le point sub I) 1) dans l’ordonnance de renvoi, il est constant en cause qu’X.) a
effectué des recherches dans le registre général des personnes physiques et morales, respectivement dans le fichier des
étrangers ainsi que dans le fichier des véhicules routiers sur B’.), I.), F.) et J.).

Il est cependant uniquement établi au vu des déclarations du prévenu et de celles effectuées devant les agents
verbalisateurs par B’.) qu’X.) n’a communiqué à B’.) que le renseignement qu’il avait obtenu le 17 mars 2008, à savoir
que B’.) n’était pas signalé. Il ne résulte par contre d’aucun élément du dossier répressif que les informations résultant des
recherches effectuées sur F.), I.) et J.) aient été communiquées à B’.), de sorte que, concernant ces personnes, aucune
révélation n’est établie.

Aux termes de l’article 458 du Code pénal il ne suffit pas qu’une personne soit devenue confidente d’un secret dans
n’importe quel but et de n’importe quelle manière pour qu’elle puisse se retrancher derrière le secret professionnel, mais il
faut pour que ce texte lui soit applicable, que par son état et sa profession elle soit dépositaire des secrets et que la
confidence qu’elle a reçue ait été obligatoire de la part de ceux qui l’ont faite (Cour 26 février 1918, P.10, p.329).

Force est de constater que la recherche effectuée par X.) concernant B’.) pour déterminer s’il était signalé ou non, est une
information policière qui tombe sous le secret professionnel et qui n’est manifestement pas destinée à être divulguée.
L’intitulé de cette information nominative montre à suffisance de droit qu’il s’agit d’une information policière interne et
que la divulgation du renseignement constitue une violation du secret professionnel.

L’intention délictueuse exigée est le dol simple : sont également punies les révélations indiscrètes ainsi que les révélations
inspirées par la cupidité ou par la méchanceté (cf. G.SCHUIND, Traité pratique du droit criminel, I, p.417).

L’élément moral est également établi en l’espèce dans la mesure où X.) a, en connaissance de cause et librement, révélé,
sur demande de B’.), à ce dernier qu’il n’était pas signalé par les autorités.

L’infraction concernant la divulgation du renseignement obtenu le 17 mars 2008 quant au signalement de B’.) doit dès
lors être retenue à charge d’X.).

Quant à l’infraction libellée sub I) 2) dans l’ordonnance de renvoi, il est constant en cause que B’.) a sauvegardé à partir
de l’ordinateur d’X.), avec l’accord de celui-ci, des fichiers ayant trait à l’activité professionnelle de ce dernier sur son
stick USB dans la mesure où ces fichiers devaient par la suite être copiés sur l’ordinateur portable d’X.) après
l’installation du système d’exploitation Windows VISTA.
                                                                  7

Parmi les fichiers retrouvés sur le stick USB de B’.) se trouvaient un télégramme Interpol daté du 21 avril 2006
concernant G.), un téléfax écrit en date du 14 juillet 2006 et des informations policières concernant plusieures personnes
impliquées dans des enquêtes policières.

Dans la mesure où ces fichiers retrouvés sur le stick USB de B’.) contiennent des informations qui ont trait à des activités
policières qui n’étaient pas destinées à être divulgués, ils tombent sous le secret professionnel. Etant donné qu’il est
encore établi que les fichiers ont été transférées avec l’accord d’X.) par B’.) sur son stick USB, l’élément moral est à
suffisance de droit établi.

Il y a partant lieu de retenir l’infraction libellée sub I) 2).

II) Quant aux préventions libellées sub II) dans l’ordonnance de renvoi

X.) a en premier lieu contesté que les dispositions de la loi du 2 août 2002 relative à la protection des personnes à l’égard
du traitement des données à caractère personnel lui soient applicables en faisant valoir que l’article 2 de la prédite loi
viserait le responsable du traitement, qualité qu’il ne détiendrait pas en tant que policier. Serait par contre à considérer
comme « le responsable du traitement » l’Etat selon X.).

Le champ d’application de la loi du 2 août 2002 est défini par l’article 3 qui dispose que :

«(1) La présente loi s’applique:

- au traitement automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données contenues ou appelées
à figurer dans un fichier;
- à toute forme de captage, de traitement et de diffusion de sons et images qui permettent
d’identifier des personnes physiques;
- au traitement de données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales
ou la sûreté de l’Etat, même liées à un intérêt économique ou financier important de l’Etat, sans préjudice des
dispositions spécifiques de droit national ou international régissant ces domaines.

(2) Est soumis à la présente loi:

(a) le traitement mis en oeuvre par un responsable du traitement établi sur le territoire
luxembourgeois;

(b) le traitement mis en oeuvre par un responsable du traitement qui, sans être établi sur le territoire luxembourgeois ou
sur celui d’un autre Etat membre de l’Union européenne, recourt à des moyens de traitement situés sur le territoire
luxembourgeois, à l’exclusion des moyens qui ne sont utilisés qu’à des fins de transit sur ce territoire ou sur celui d’un
autre Etat membre de l’Union européenne.

Pour le traitement mentionné à l’article 3, paragraphe (2) lettre (b), le responsable du traitement désigne par une
déclaration écrite à la Commission nationale un représentant établi sur le territoire luxembourgeois qui se substitue au
responsable du traitement dans l’accomplissement de ses obligations prévues par la présente loi sans que ce dernier ne
soit dégagé de sa propre responsabilité.

(3) La présente loi ne s’applique pas au traitement mis en oeuvre par une personne physique dans le cadre exclusif de ses
activités personnelles ou domestiques.»

Contrairement au soutènement d’X.), la loi ne s’applique donc pas uniquement au responsable du traitement, en l’espèce
le Centre Informatique de l’Etat, mais elle vise par contre les traitements automatisés ou non qui ont été mis en œuvre par
ce responsable, en l’espèce les fichiers mis en œuvre par le Centre Informatique de l’Etat afin d’accéder aux données
personnelles des personnes physiques et morales sur lesquels les policiers ont accès.

Le traitement est défini par l’article 2 point r qui dispose que: «traitement de données à caractère personnel» (ci-après
dénommé «traitement»): toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et
appliquées à des
données, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification,
l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à
disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ».

La jurisprudence française retient une conception large de cette notion. Ont ainsi été retenus comme système de traitement
automatisé le réseau France Telecom, le réseau Carte bancaire, un disque dur, un radiotéléphone, un ordinateur isolé, un
réseau local.
                                                                  8

Eu égard à la définition prévue à l’article 2 point r, il y a lieu de relever que le registre général des personnes physiques et
morales, le fichier des étrangers et le fichier des véhicules routiers qui ont été consultés par X.) constituent un traitement
de données, de sorte que la loi à vocation à s’appliquer.

A) Quant à l’infraction à l’article 4 (3) de la loi du 2 août 2002 relative à la protection des personnes à l’égard du
traitement des données à caractère personnel

L’article 4 de la prédite loi dispose que :

« (1) Le responsable du traitement doit s’assurer que les données qu’il traite le sont loyalement et licitement, et
notamment que ces données sont:

(a) collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées
ultérieurement de manière incompatible avec ces finalités;

(b) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont
collectées et pour lesquelles elles sont traitées ultérieurement;

(c) exactes et, si nécessaire, mises à jour; toute mesure raisonnable doit être prise pour que les données inexactes ou
incomplètes, au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées
ultérieurement, soient effacées ou rectifiées;

(d) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas
celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées sans préjudice du paragraphe
(2) ci-après.
(Loi du 27 juillet 2007)

(2) Un traitement ultérieur de données à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible
avec les finalités déterminées pour lesquelles les données ont été collectées.

(3) Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de
huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut
prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le
maximum est fixé par ladite juridiction ».

Il résulte de la lecture du prédit article que le cadre du traitement des données concernant leur collection et leur fin sont
fixés par l’alinéa (1) tandis que l’alinéa (3) sanctionne tous ceux, donc non seulement le responsable du traitement tel que
soutenu par la défense, qui effectuent une violation aux finalités déterminées par les dispositions de l’alinéa (1) a), b), c)
et d).

Le Ministère Public reproche au prévenu d’avoir effectué un traitement de données personnelles en violation de l’article 4
(3) pour les avoir traitées de manière incompatible avec les finalités visées sub (1) a) du même article.

X.) a fait plaider avoir eu le droit, en tant qu’officier de police judiciaire, de consulter les fichiers et a partant conclu à son
acquittement.

Etant donné qu’X.) a fait plaider qu’il aurait eu le droit, en tant qu’officier de police judiciaire, de consulter les fichiers en
question, il y a lieu d’examiner les hypothèses dans lesquelles un officier de police judiciaire a le droit de consulter les
fichiers en question.

L’article 34-1 de la loi modifiée du 31 mai 1999 sur la Police et l’Inspection générale de la police fixe le cadre dans lequel
un officier de police judiciaire peut consulter les fichiers énumérés sous les points 1 à 10.

L’article prévoit que « dans l’exercice des missions prévues aux articles 33 et 34, les membres de la police ayant la
qualité d’officier de police judiciaire ont accès direct, par un système informatique, aux traitements de données à
caractère personnel suivants:

1. le registre général des personnes physiques et morales créé par la loi du 30 mars 1979 organisant l’identification
numérique des personnes physiques et morales;
2. le fichier relatif aux affiliations des salariés, des indépendants et des employeurs géré par le Centre commun de la
sécurité sociale sur base de l’article 321 du Code des assurances sociales, à l’exclusion de toutes données relatives à la
santé;
3. le fichier des étrangers exploité pour le compte du service des étrangers du ministre ayant l’Immigration dans ses
attributions;
                                                                  9

4. le fichier des demandeurs d’asile exploité pour le compte du service des réfugiés du ministre ayant l’Immigration dans
ses attributions;
5. le fichier des demandeurs de visa exploité pour le compte du bureau des passeports, visas et légalisations du ministre
ayant les Affaires étrangères dans ses attributions;
6. le fichier des autorisations d’établissement exploité pour le compte du ministre ayant les Classes moyennes dans ses
attributions;
7. le fichier des titulaires et demandeurs de permis de conduire exploité pour le compte du ministre ayant les Transports
dans ses attributions;
8. le fichier des véhicules routiers et de leurs propriétaires et détenteurs, exploité pour le compte du ministre ayant les
Transports dans ses attributions;
9. le fichier des assujettis à la taxe sur la valeur ajoutée, exploité pour le compte de l’Administration de l’Enregistrement
et des Domaines;
10. le fichier des armes prohibées du ministre ayant la Justice dans ses attributions.

Dans l’exercice de ces mêmes missions, les membres de la Police ayant la qualité d’agent de police judiciaire ont accès
direct, par un système informatique, aux fichiers visés aux points numéros 1, 2, 3, 4, 5, 6, 7, 8, et 10 de l’alinéa 1er. Il en
est de même pour les membres du cadre administratif et technique de la Police, nommément désignés par le ministre
ayant la Police dans ses attributions sur proposition du directeur général de la Police, en fonction de leurs attributions
spécifiques.

…

Seules les données à caractère personnel strictement nécessaires, dans le respect du principe de proportionnalité,
peuvent être consultées ».

Etant donné que le prédit article permet aux agents et officiers de police judiciaire d’accéder aux fichiers énumérés sous
les points 1 à 8 et 10, respectivement 1 à 10 dans le cadre de leurs missions, il y a lieu d’examiner si X.) a effectué les
consultations et les recherches qui lui sont reprochées dans l’exercice de sa fonction.

L’article 33 de la loi modifiée du 31 mai 1999 prévoit que « Dans l’exercice de ses missions de police administrative, la
Police veille au maintien de l’ordre public, l’exécution des lois et règlements de police généraux et communaux, la
prévention des infractions et la protection des personnes et des biens. A cet effet, elle assure une surveillance générale et
des contrôles dans les lieux qui lui sont légalement accessibles, exécute des mesures de police administrative et prend des
mesures matérielles de police administrative de sa compétence ».

L’article 34 de la prédite loi dispose que « Dans l’exercice de ses missions de police judiciaire la Police a pour tâches :
1. de rechercher les crimes, les délits et les contraventions, de les constater, d’en rassembler les preuves, d’en donner
connaissance aux autorités compétentes, d’en rechercher, saisir, arrêter et mettre à la disposition de l’autorité
compétente les auteurs, de la manière et dans les formes déterminées par la loi;
2. de rechercher les personnes dont l’arrestation est prévue par la loi, de s’en saisir, de les arrêter et de les mettre à la
disposition des autorités compétentes;
3. de rechercher, de saisir et de mettre à la disposition de l’autorité compétente les objets dont la saisie est prescrite;
4. de transmettre aux autorités compétentes le compte rendu de leurs missions ainsi que les informations recueillies à
cette occasion.
Les membres de la Police recueillent tous les renseignements que le procureur général d’Etat ou les procureurs d’Etat
estiment utiles à une bonne administration de la justice ».

En l’espèce, toutes les consultations qu’X.) a effectuées concernant B’.), J.), F.) et I.) ne tombent pas dans l’une des
hypothèses visées par les articles 33 et 34 de la loi modifiée du 31 mai 1999 dans la mesure où l’officier de police
judiciaire X.) n’accomplissait pas une mission de police administrative, ni judiciaire et qu’il ne fut d’ailleurs pas chargé de
mener une enquête à l’encontre de l’une de ces personnes.

Il a par contre, à titre privé, donc à des fins non professionnelles, effectué ces recherches tant sur sa propre initiative (J.) et
B’.) concernant les consultations ayant eu lieu à partir du 18 mars 2008), tant sur demande de B’.) (concernant la
consultation du 17 mars 2008 et celle du 18 mars 2008 sur F.)) et sur demande d’I.).

Dans la mesure où il est établi que le prévenu a effectué les consultations à des fins privées, donc à des fins autres que
celles prévues à l’alinéa (1) de l’article 4 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du
traitement des données à caractère personnel, le prévenu a enfreint l’alinéa (3) de l’article 4 de la prédite loi.

Il est par ailleurs constant en cause que le prévenu a fait transférer les données libellées sous le point sub I) 2) dans
l’ordonnance de renvoi sur le stick USB de B’.), que ce transfert de données n’est pas lié à l’activité professionnelle d’X.),
de sorte qu’il ne constitue donc pas un transfert loyal et licite tel que prévu par l’alinéa (1) de l’article 4 de la loi du 2 août
2002.
                                                                  10

L’infraction libellée par le Ministère Public est partant à retenir sauf à rectifier le libellé en faisant abstraction du fait qu’à
part les données concernant le signalement de B’.), donc la consultation effectuée le 17 mars 2008 et les données
retrouvées sur le stick USB de celui-ci, X.) n’a pas continué les données personnelles obtenues suite à ses recherches à
B’.).

B) Quant à l’infraction à l’article 5 (2) de la loi du 2 août 2002 relative à la protection des personnes à l’égard du
traitement des données à caractère personnel

Le Ministère Public reproche au prévenu d’avoir effectué un traitement des données personnelles en violation des
dispositions de l’article 5 (2) pour les avoir traitées sans respecter la légitimité de traitement prévue aux dispositions (1)
a), b), c), d), e) et f) dudit article.

L’article 5 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère
personnel dispose que :

«(1) Le traitement de données ne peut être effectué que (...):
(a) s’il (…) est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, ou
(b) s’il (…) est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique,
dont est investi le responsable du traitement ou le ou les tiers auxquels les données sont communiquées, ou
(c) s’il (…) est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures
précontractuelles prises à la demande de celle-ci, ou
(d) s’il (…) est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les
tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés
fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er, ou
(e) s’il (…) est nécessaire à la sauvegarde de l’intérêt vital de la personne concernée, ou
(f) si la personne concernée a donné son consentement.»

(2) Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de
huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut
prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le
maximum est fixé par ladite juridiction ».

Il résulte des considérations qui précèdent que le traitement des données effectuées par X.) ne tombe dans aucune des
hypothèses visées aux points a) à f) de l’alinéa (1) de l’article 5, sauf en ce qui concerne la consultation sur la personne d’I.),
qui, entendu sous la foi du serment à l’audience, a déclaré avoir demandé à son ami X.) d’effectuer une recherche sur lui afin
de déterminer s’il se trouve toujours sous le coup d’une interdiction de conduire, ainsi que la consultation du 17 mars 2008
effectuée sur B’.) dans la mesure où ce dernier avait déclaré lui avoir demandé de vérifier s’il était signalé, de sorte que
l’infraction est à retenir sauf à rectifier le libellé de la prévention en faisant abstraction des consultations effectuées les 29
avril 2008, 6 mai 2008 et 22 mai 2008 sur I.), ainsi que celle effectuée le 17 mars 2008 sur B’.) et en faisant abstraction du
fait qu’à part les données retrouvées sur le stick USB de celui-ci, X.) n’a pas continué les données personnelles obtenues
suite à ses recherches à B’.).

C) Quant à l’infraction à l’article 17 (3) de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement
des données à caractère personnel :

Le Ministère Public reproche à X.) d’avoir enfreint l’article 17 (3) de la loi du 2 août 2002 relative à la protection des
personnes à l’égard du traitement des données à caractère personnel.

Il résulte de l’article 17 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à
caractère personnel que :

«Art. 17. Autorisation par voie réglementaire

(1) Font l’objet d’un règlement grand-ducal:

(a) les traitements d’ordre général nécessaires à la prévention, à la recherche et à la constatation des infractions pénales
qui sont réservés, conformément à leurs missions légales et réglementaires respectives, aux organes du corps de la police
grand-ducale, de l’Inspection générale de la police et de l’administration des douanes et accises.
Le règlement grand-ducal déterminera le responsable du traitement, la condition de légitimité du traitement, la ou les
finalités du traitement, la ou les catégories de personnes concernées et les données ou les catégories de données s’y
rapportant, l’origine de ces données, les tiers ou les catégories de tiers auxquels ces données peuvent être communiquées
et les mesures à prendre pour assurer la sécurité du traitement en application de l’article 22 de la présente loi,
(b) les traitements relatifs à la sûreté de l’Etat, à la défense et à la sécurité publique, et
(c) les traitements de données dans des domaines du droit pénal effectués en vertu de conventions internationales,
d’accords intergouvernementaux ou dans le cadre de la coopération avec l’Organisation internationale de police
criminelle (OIPC - Interpol),
                                                                11

(Loi du 27 juillet 2007)
«(d) la création et l’exploitation, aux fins et conditions visées sous (a), d’un système de
vidéosurveillance des zones de sécurité. Est à considérer comme telle tout lieu accessible au public qui par sa nature, sa
situation, sa configuration ou sa fréquentation présente un risque accru d’accomplissement d’infractions pénales.
Les zones de sécurité sont fixées dans les conditions prévues par règlement grand-ducal.»
(2) Le contrôle et la surveillance des traitements mis en oeuvre tant en application d’une disposition de droit interne
qu’en application d’une convention internationale est exercé par une autorité de contrôle composée du Procureur
Général d’Etat, ou de son délégué qui la préside, et de deux membres de la Commission nationale nommés, sur
proposition de celle-ci, par le ministre.

L’organisation et le fonctionnement de l’autorité de contrôle font l’objet d’un règlement grand-ducal.

L’autorité de contrôle est informée immédiatement de la mise en oeuvre d’un traitement de données visé par le présent
article. Elle veille à ce que ces traitements soient effectués conformément aux dispositions légales qui les régissent.

Pour l’exercice de sa mission, l’autorité de contrôle a un accès direct aux données traitées. Elle peut procéder, quant aux
traitements effectués, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa
mission. Elle peut également charger un de ses membres à procéder à des missions de contrôle spécifique qui sont
exécutées dans les conditions indiquées ci-dessus.
L’autorité de contrôle fait opérer les rectifications et radiations nécessaires. Elle présente chaque année au ministre un
rapport rendant compte de l’exécution de sa mission.
Le droit d’accès aux données visées au présent article ne peut être exercé que par l’intermédiaire de l’autorité de
contrôle. Celle-ci procède aux vérifications et investigations utiles, fait opérer les rectifications nécessaires et informe la
personne concernée que le traitement en question ne contient aucune donnée contraire aux conventions, à la loi et à ses
règlements d’exécution.

(3) Toute personne, agissant à titre privé, qui effectue un traitement en violation des dispositions du présent article est
punie d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines
seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article
sous peine d’astreinte dont le maximum est fixé par ladite juridiction».

En l’espèce, X.) a effectué des traitements qui seraient tombés sous la définition du point (1) (a) s’il avait agi dans le cadre
d’une mission policière, donc à titre professionnel. Etant donné qu’il est cependant établi, au vu de ce qui précède, qu’X.)
n’a pas effectué les traitements dans le cadre de son travail policier mais à des fins privés, il se trouve en infraction à
l’article 17 (3).

L’infraction est partant à retenir.

Il y a lieu de modifier le libellé de la prévention en même sens et pour les mêmes raisons que pour l’infraction à l’article 4 (3)
tel qu’exposé sous le point A) ci-dessus.

III) Quant à l’infraction prévue à l’article 509-1 du Code pénal

Le Ministère Public reproche au prévenu d’avoir, entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de
Luxembourg, à titre privé, partant frauduleusement, accédé à des fichiers exploités par le Centre Informatique de l’Etat.

L’article 509-1 prévoit que « quiconque, frauduleusement, aura accédé ou se sera maintenu dans tout ou partie d’un système
de traitement ou de transmission automatisé de données sera puni d’un emprisonnement de deux mois à deux ans et d’une
amende de 500 euros à 25.000 euros ou de l’une de ces deux peines ».

Le prévenu a contesté cette infraction en soutenant que l’article ne lui serait pas applicable dans la mesure où il s’est introduit
dans le système en utilisant son log in et son mot de passe. Il a fait plaider que le terme « frauduleux » nécessiterait une
intrusion à l’aide de moyens informatiques tel que « cheval de troie », « raccourci », « acte asynchrone », « déplombage »,
« déguisement » ou « poubelle », donc un agissement actif de la part de l’intrus pour arriver à avoir accès au système.

Il y a lieu de relever que l’article 509-1 du Code pénal ne précise pas que l’intrusion dans le système doit être effectuée à
l’aide de moyens informatiques tels qu’énumérés par la défense, l’article en question ne mentionne en revanche que le terme
« frauduleux ».

Le Tribunal retient que constitue un accès et un maintien frauduleux dans un système de traitement automatisé le fait
d’accéder et de se maintenir dans le système, même en utilisant son propre log in et son mot de passe, si la finalité de l’accès
et du maintien ne sont pas compatibles avec les hypothèses prévues par la loi. En l’espèce, X.) a effectué des recherches à des
fins purement privées, donc en violation avec les dispositions de la loi du 2 août 2002, de sorte que l’accès et le maintien
étaient frauduleux.
                                                                12

L’infraction est partant à retenir.

IV) Quant à l’infraction prévue à l’article 509-3 du Code pénal

Le Parquet reproche à X.) d’avoir intentionnellement et au mépris des droits de la police grand-ducale, par l’intermédiaire de
B.), supprimé le système de traitement Windows XP installé sur le laptop Compacq et de l’avoir remplacé par le système de
traitement Windows VISTA.

Sans contester avoir fait remplacer le système Windows XP par le système Windows VISTA par B’.) sur l’ordinateur
portable lui remis par son employeur pour l’exercice de ses activités professionnelles, le prévenu a contesté que les éléments
constitutifs de cette infraction sont établies en faisant notamment valoir que le système Windows XP ne constituerait pas un
système de traitement.

L’article 509-3 du Code pénal dispose que « quiconque aura, intentionnellement et au mépris des droits d’autrui,
directement ou indirectement, introduit des données dans un système de traitement ou de transmission automatisé ou
supprimé ou modifié les données qu’il contient ou leurs modes de traitement ou de transmission, sera puni d’un
emprisonnement de trois mois à trois ans et d’une amende de 1.250 euros à 12.500 euros ou de l’une de ces deux peines ».

Il y a lieu de relever que les systèmes d’exploitation Windows XP et VISTA constituent des programmes indispensables au
fonctionnement d’un ordinateur, c’est-à-dire que sans l’un de ces programmes ou d’un programme similaire tel que par
exemple Windows 7, l’ordinateur est inutilisable. S’ajoute encore que le programme Windows XP initialement installé sur
l’ordinateur du prévenu par le Centre Informatique de l’Etat a été configuré de manière que l’ordinateur du prévenu puisse
se connecter au réseau interne de la police, ceci notamment pour avoir accès aux données contenues dans les fichiers qu’il
avait consultés.

Le Tribunal retient dès lors, au vu de ce qui précède, que le programme Windows XP constitue un système de traitement
et que l’article 509-3 du Code pénal a vocation à s’appliquer au fait reproché au prévenu.

Etant donné qu’il est établi qu’X.) a fait procéder à la suppression du système Windows XP pour le faire remplacer par le
système Windows VISTA, l’infraction est à retenir, peu importe d’ailleurs le mobile ayant incité le prévenu à faire
effectuer ce changement de système.

V) Quant à l’infraction à la loi du 15 mars 1983 sur les armes et munitions :

Le Ministère Public reproche finalement au prévenu d’avoir détenu et transporté une matraque télescopique, partant une
arme soumise à autorisation, sans être en possession d’une autorisation ministérielle.

Lors de la perquisition dans le véhicule privé d’X.), une matraque télescopique fut trouvée et saisie. Il est constant en
cause qu’X.) ne disposait pas une autorisation ministérielle l’autorisant à détenir et à transporter la prédite arme, de sorte
que l’infraction, d’ailleurs non contestée par le prévenu, est à retenir.

X.) se trouve convaincu par les éléments du dossier répressif, les dépositions des témoins Christian KIEFFER et T1.) et
les débats menés en audience publique:

« comme auteur, ayant lui-même commis les infractions,

I) en mars 2008 pour l’infraction sub I) 1) et en juillet 2008 pour l’infraction sub I) 2), dans l’arrondissement judiciaire
de Luxembourg,

1) d’avoir révélé, en tant que personne dépositaire par profession, des secrets qu’on leur confie, qui hors le cas où ils
sont appelés à rendre témoignage en justice et celui où la loi les oblige à faire connaître ces secrets,

en l’espèce, d’avoir consulté à titre privé le fichier des étrangers exploité par le Centre Informatique de l’Etat le 17 mars
2008 concernant B.) dit « B’.) », né le (…) à (…) (Thaïlande) et de lui avoir continué le renseignement qu’il n’était pas
signalé,

2) en l’espèce, d’avoir laissé transférer sur le USB Memory Stick Corsair Flash Voyager 16GB appartenant à B.) des
documents (internes) de la police et notamment les documents suivants :
     -     un télégramme Interpol daté du 21/04/2006 concernant G.), né le (…) à (…) Liberia
     -     un téléfax écrit en date du 14/07/2006 adressé par M.H.), commissaire, auprès du Service de Police Judiciaire,
           service Anti-Blanchiment ou Anti Money Laundering Office
     -     les informations policières concernant plusieurs personnes impliquées dans des enquêtes policières

II) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg,,
                                                               13

en infraction aux dispositions de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des
données à caractère personnel,

1) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’aticle 4 (3) de la loi du 2 août
2002 en sa qualité de membre du Service de Police Judiciaire pour les avoir traitées de manière incompatible avec les
finalités viséees sub (1) (a) du même article,

en l’espèce, pour avoir traité les données personnelles suivantes :

le 17/03/2008 fichier des étrangers (B’.))
le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))
le 18/03/2008 régistre général des personnes physiques et morales (F.))
le 31/03/2008 régistre général des personnes physiques et morales (J.))
le 28/04/2008 régistre général des personnes physiques et morales (B.))
le 29/04/2008 régistre général des personnes physiques et morales (I.))
le 06/05/2008 régistre général des personnes physiques et morales (I.))
le 22/05/2008 régistre général des personnes physiques et morales (I.))
le 10/09/2008 régistre général des personnes physiques et morales (B’.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 27/01/2009 régistre général des personnes physiques et morales (J.))
le 27/01/2009 régistre général des personnes physiques et morales (B.))
le 29/01/2009 régistre général des personnes physiques et morales (B.))
le 04/02/2009 régistre général des personnes physiques et morales (J.))

et spécifiées supra I) 2) et d’avoir continué à B.), dit « B’.) », né le (…) à (…), le renseignement le concernant du 17
mars 2008 et les données retrouvées sur son stick USB,

2) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’article 5 (2) en tant que
responsable du traitement en sa qualité de membre du Service de Police Judiciaire pour les avoir traitées sans respecter
la légitimité de traitement prévue aux dispositions (1) a), b), c), d) e) et f) dudit article,

en l’espèce, pour avoir traité les données personnelles suivantes :

le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))
le 18/03/2008 régistre général des personnes physiques et morales (F.))
le 31/03/2008 régistre général des personnes physiques et morales (J.))
le 28/04/2008 régistre général des personnes physiques et morales (B.))
le 10/09/2008 régistre général des personnes physiques et morales (B’.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 27/01/2009 régistre général des personnes physiques et morales (J.))
le 27/01/2009 régistre général des personnes physiques et morales (B.))
le 29/01/2009 régistre général des personnes physiques et morales (B.))
le 04/02/2009 régistre général des personnes physiques et morales (J.))

et spécifiées supra I) 2) et d’avoir continué à B’.) les données spécifiées supra I) 2),

3) d’avoir effectué à titre privé un traitement de données personnels en violation des dispositions de l’article 17 (3),

en l’espèce, pour avoir traité à titre privé les données personnelles suivantes :

le 17/03/2008 fichier des étrangers (B’.))
le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))
le 18/03/2008 régistre général des personnes physiques et morales (F.))
le 31/03/2008 régistre général des personnes physiques et morales (J.))
le 28/04/2008 régistre général des personnes physiques et morales (B.))
le 29/04/2008 régistre général des personnes physiques et morales (I.))
le 06/05/2008 régistre général des personnes physiques et morales (I.))
le 22/05/2008 régistre général des personnes physiques et morales (I.))
le 10/09/2008 régistre général des personnes physiques et morales (B’.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 27/01/2009 régistre général des personnes physiques et morales (J.))
le 27/01/2009 régistre général des personnes physiques et morales (B.))
                                                                 14

le 29/01/2009 régistre général des personnes physiques et morales (B.))
le 04/02/2009 régistre général des personnes physiques et morales (J.))

et spécifiées supra I) 2) et d’avoir continué à B.), dit « B’.) », né le (…) à (…), le renseignement le concernant du 17 mars
2008 et les données retrouvées sur son stick USB,

III) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg,

d’avoir frauduleusement, accédé et s’être maintenu dans tout ou partie d’un système de traitement et de transmission
automatisé de données,

1) en l’espèce, d’avoir, à titre privé, partant frauduleusement, accédé à des fichiers exploités par le Centre Informatique de
l’Etat et plus spécialement aux dates suivantes:

le 17/03/2008 fichier des étrangers (B’.))
le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))
le 18/03/2008 régistre général des personnes physiques et morales (F.))
le 31/03/2008 régistre général des personnes physiques et morales (J.))
le 28/04/2008 régistre général des personnes physiques et morales (B.))
le 29/04/2008 régistre général des personnes physiques et morales (I.))
le 06/05/2008 régistre général des personnes physiques et morales (I.))
le 22/05/2008 régistre général des personnes physiques et morales (I.))
le 10/09/2008 régistre général des personnes physiques et morales (B’.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 10/09/2008 régistre général des personnes physiques et morales (B.))
le 27/01/2009 régistre général des personnes physiques et morales (J.))
le 27/01/2009 régistre général des personnes physiques et morales (B.))
le 29/01/2009 régistre général des personnes physiques et morales (B.))
le 04/02/2009 régistre général des personnes physiques et morales (J.)) ;

IV) au courant de l’Eté 2008, dans l’arrondissement judiciaire de Luxembourg, et notamment au domicile d’X.), sis à L-
(…), (…),

d’avoir intentionnellement et au mépris des droits d’autrui, directement supprimé les données d’un sytème de traitement,

en l’espèce, d’avoir, intentionnellement et au mépris des droits de la Poice Grand-Ducale, par l’intermédiaire de B.),
supprimé le système de traitement Windows XP installé sur le laptop Compaq nw 8000, n°inventaire de la Direction de
l’Information de la Police Grand-Duclae NB N083, avec harddisc Toshiba MK 6022GAx, 60 GB, numéro de série
CNU439FOMN54AN3780T, et de l’avoir remplacé par un système de traitement Windows VISTA Ultimate OEM, portant le
numéro de licence 2QBP3-289MF-9364X-37XGX-24W6P ;

V) depuis un temps non prescrit jusqu’au 12/02/2009, dans l’arrondissement judiciaire de Luxembourg, et notamment le
12/02/2009 à Luxembourg, (…),

en infraction à la loi modifiée du 15 mars 1983 sur les armes et munitions

d’avoir sans autorisation ministérielle, détenu et transporté une arme soumise à autorisation,

en l’espèce, d’avoir sans autorisation ministérielle, détenu et transporté une matraque télescopique ».

III) Les peines :

Les infractions retenues sub I) 1), I) 2), II) 1), 2), 3) et III) se trouvent en concours idéal dans la mesure où elles ont été
commises dans une intention frauduleuse unique, de sorte qu’il y a lieu à application de l’article 65 du Code pénal.

Ce groupe d’infractions se trouve en concours réel avec les infractions retenues sub IV) et V) qui se trouvent elles-mêmes
en concours réel entre elles, de sorte qu’il y a également lieu à application de l’article 60 du Code pénal.

La peine la plus forte qui, conformément à l’article 60 du Code pénal, pourra être élevée au double du maximum sans
dépasser la somme des peines prévues par les différents délits, est celle prévue à l’article 509-3 du Code pénal.

La gravité des infractions retenues à l’encontre d’X.), ensemble son attitude à l’audience consistant à nier l’ensemble des
infractions lui reprochées et l’absence de repentir, justifie sa condamnation à une peine d’emprisonnement de 18 mois et à
amende de 1.500 euros.
                                                               15

Dans la mesure où le casier judiciaire du prévenu est vierge, il y a lieu d’assortir la peine d’emprisonnement du sursis
intégral.

Il y a lieu d’ordonner la confiscation de la matraque télescopique, pour constituer l’objet de l’infraction retenue sub V),
saisie suivant procès-verbal n°232-1/2009 du 17 février 2009 établi par l’Inspection Générale de la Police.

Il y a lieu d’ordonner la restitution à son légitime propriétaire, l’Etat du Grand-Duché de Luxembourg, du laptop Compaq
nw 8000, n° de série CNU439FOMN54AN3780OT, de l’ordinateur de marque Priminfo, n° de série
907638400886J1FX608968 et de l’ordinateur de marque Fujitsu Siemens Scenic, n° de série YBFC354371WD-
WCAJ51347710 saisis suivant procès-verbal n°207/2009-2 du 12 février 2009 établi par l’Inspection Générale de la
Police.

Il y a lieu d’ordonner la restitution à son légitime propriétaire, X.), de l’ordinateur (Noname), n° de série F60759QCWD-
WCAL81510470 et du Gsm Motorola Imei 353908011276760 saisis suivant procès-verbal de saisie n°207/2009-1 du 12
février 2009.

Il y a lieu d’ordonner la restitution à leurs légitimes propriétaires les portables Nokia 6021, Imei 358376001741612 et
Nokia 5146 saisis suivant procès-verbal n°2007/2009-2 établi par l’Inspection Générale de la Police du 12 février 2009
ainsi que les objets saisis suivant procès-verbal n°2007/2009-4 établi par l’Inspection Générale de la Police du 12 février
2009.

                                                PAR CES MOTIFS:

le Tribunal d'arrondissement de et à Luxembourg, treizième chambre, siégeant en matière correctionnelle, statuant
contradictoirement, le prévenu X.) et son défenseur entendus en leurs explications et moyens de défense, le représentant
du Ministère Public en ses réquisitions,

c o n d a m n e X.) du chef des infractions retenues à sa charge, qui se trouvent pour partie en concours idéal et pour
partie en concours réel, à une peine d’emprisonnement de 18 (DIX-HUIT) mois et à une amende correctionnelle de
1.500 (MILLE CINQ CENTS) euros, ainsi qu’aux frais de sa mise en jugement, ces frais liquidés à 35,97 euros ;

f i x e la durée de la contrainte par corps en cas de non-paiement de l’amende à 30 (TRENTE) jours ;

d i t qu’il sera sursis à l’exécution de cette peine d’emprisonnement;

a v e r t i t X.) qu’au cas où, dans un délai de cinq ans à dater du présent jugement, il aura commis une nouvelle
infraction ayant entraîné une condamnation à une peine d’emprisonnement ou à une peine plus grave pour crime ou délit
de droit commun, la peine d’emprisonnement prononcée ci-devant sera exécutée sans confusion possible avec la nouvelle
peine et que les peines de la récidive seront encourues dans les termes de l’article 56 al.2 du Code pénal.

o r d o n n e la confiscation de la matraque télescopique, comme objet ayant servi à commettre l’infraction sub V) saisie
suivant procès-verbal n°232-1/2009 du 17 février 2009 établi par l’Inspection Générale de la Police ;

o r d o n n e la restitution du laptop Compaq nw 8000, n° de série CNU439FOMN54AN3780OT, de l’ordinateur de
marque Priminfo, n° de série 907638400886J1FX608968, de l’ordinateur de marque Fujitsu Siemens Scenic, n° de série
YBFC354371WD-WCAJ51347710 saisis suivant procès-verbal n°207/2009-2 du 12 février 2009 établi par l’Inspection
Générale de la Police à son légitime propriétaire, l’Etat luxembourgeois ;

o r d o n n e la restitution de l’ordinateur (Noname), n° de série F60759QCWD-WCAL81510470 et du Gsm Motorola
Imei 353908011276760 saisi suivant procès-verbal de saisie n°207/2009-1 du 12 février 2009, à son légitime
propriétaire X.) ;

o r d o n n e la restitution des portables Nokia 6021, Imei 358376001741612 et Nokia 5146 saisis suivant procès-verbal
n°2007/2009-2, ainsi que des objets saisis suivant procès-verbal n°2007/2009-4 établis par l’Inspection Générale de la
Police du 12 février 2009 à leurs légitimes propriétaires.

Le tout en application des articles 27, 28, 29, 30, 31, 60, 65, 66, 458, 509-1 et 509-3 du Code pénal; articles 4, 5 et 17 de la
loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel ; articles 1
et 28 de la loi du 15 mars 1983 sur les armes et munitions ; articles 1, 154, 179, 182, 184, 189, 190, 190-1, 194, 195, 628 et
628-1 du Code d’instruction criminelle dont mention a été faite.

Ainsi fait et jugé par Sylvie CONTER, Vice-président, Steve VALMORBIDA et Antoine SCHAUS, juges et prononcé, en
présence de Guy BREISTROFF, substitut du Procureur d’Etat, en l'audience publique dudit Tribunal d'arrondissement de
                                                          16

Luxembourg, date qu'en tête, par Madame le Vice-président, assistée de la greffière assumée Tahnee WAGNER, qui, à
l'exception du représentant du Ministère Public, ont signé le présent jugement.

         De ce jugement appel au pénal fut relevé au greffe du tribunal
         d’arrondissement de Luxembourg en date du 22 juillet 2011 par Maître Myriam
         BRUNEL, en remplacement de Maître Pierre GOERENS, avocats à la Cour, les
         deux demeurant à Luxembourg, pour et au nom du prévenu X.).

         Le même jour appel au pénal fut déposé au greffe du tribunal d’arrondissement
         de Luxembourg par le représentant du ministère public.

         En vertu de ces appels et par citation du 28 février 2012, le prévenu X.) fut
         requis de comparaître à l’audience publique du 7 mai 2012 devant la Cour
         d’appel de Luxembourg, dixième chambre, siégeant en matière correctionnelle,
         pour y entendre statuer sur le mérite des appels interjetés.

         A cette audience l’affaire fut remise contradictoirement au 23 mai 2012.

         A cette audience le prévenu X.) fut entendu en ses déclarations personnelles.

         Maître Pierre GOERENS, avocat à la Cour, demeurant à Luxembourg,
         développa plus amplement les moyens d’appel et de défense du prévenu X.).

         Madame l’avocat général Mylène REGENWETTER, assumant les fonctions de
         ministère public, fut entendue en son réquisitoire.

                                                  LA       COUR

         prit l'affaire en délibéré et rendit à l'audience publique du 27 juin 2012, à
         laquelle le prononcé avait été fixé, l'arrêt qui suit:

         Par déclarations du 22 juillet 2011 au greffe du tribunal d’arrondissement de
         Luxembourg le prévenu X.) et le procureur d’Etat ont fait relever appel d’un
         jugement correctionnel rendu le 15 juin 2011 dont la motivation et le dispositif
         sont reproduits aux qualités du présent arrêt.
         Les appels sont recevables pour avoir été relevés dans les formes et délais de
         la loi.

         Le ministère public reproche à X.) d’avoir contrevenu à l’article 458 du code
         pénal en consultant à titre privé des fichiers exploités par le Centre
         Informatique de l’Etat et en révélant les renseignements ainsi obtenus à un
         dénommé B’.), de même qu’en transférant ou en laissant transférer des
         documents internes de la police sur la clé USB de B’.). Il est encore reproché
         au prévenu d’avoir enfreint les articles 4(3), 5(2) et 17(3) de la loi du 2 août
         2002 relative à la protection des personnes à l’égard du traitement des
         données à caractère personnel, les articles 509-1 et 509-3 du code pénal et la
         loi du 15 mars 1983 sur les armes et munitions.

         Les juges de première instance ont retenu le prévenu dans les liens de toutes
         les infractions libellées à sa charge et ils l’ont condamné à une peine
         d’emprisonnement de dix-huit mois, assortie du sursis à son exécution et à une
         amende de 1.500 euros.
                                        17

En instance d’appel X.), qui est en aveu concernant l’infraction à la loi sur les
armes et munitions, maintient les contestations qu’il avait fait valoir devant le
tribunal correctionnel relatives aux autres infractions mises à sa charge. Il
conclut dès lors à son acquittement, à titre subsidiaire il demande à voir
suspendre le prononcé de la condamnation à intervenir, sinon à ne voir
prononcer qu’une amende ou à voir assortir une peine d’emprisonnement
éventuelle du sursis intégral au vu de ses bons antécédents judiciaires.

Le représentant du ministère public requiert la confirmation du jugement
entrepris et il requiert une peine d’emprisonnement de deux ans ainsi qu’une
amende.

Il résulte des éléments du dossier répressif discuté à l’audience de la Cour que
les juges de première instance ont fourni une relation correcte et détaillée des
faits à laquelle la Cour se réfère, les débats devant elle n’ayant pas apporté de
faits nouveaux par rapport à ceux qui ont été soumis à l’examen de la chambre
criminelle du tribunal d’arrondissement.

Quant à l’infraction à l’article 458 du code pénal

Le prévenu fait valoir que l’information révélée à B’.) relative à son signalement
ne serait pas soumise au secret professionnel. L’article 28 de la loi du 2 août
2002 consacrerait le droit d’accès de chaque citoyen aux données le
concernant. Pour ce qui est des documents policiers transférés sur la clé USB
de B’.), il n’y aurait pas eu de révélation au sens de la loi, puisque les fichiers
auraient été effacés sur le support et n’auraient pas été consultés.

Le tribunal correctionnel a correctement exposé les éléments constitutifs de
l’infraction de violation du secret professionnel. C’est encore à bon droit et par
des motifs auxquels la Cour se rallie qu’il a retenu le prévenu dans les liens de
la prédite prévention pour avoir révélé à B’.) qu’il ne faisait pas l’objet d’un
signalement par la police.

Le prévenu en sa qualité de policier est en effet soumis au secret professionnel
pour les faits dont il a connaissance du fait de sa profession. L’information
relative à B’.) a été obtenue par le prévenu à l’occasion de recherches
effectuées dans des fichiers auxquels il avait accès de par sa profession. Elle
constitue une information policière interne déterminante en vue de
l’interpellation d’une personne, de son audition, ou de son arrestation, elle est
en tant que telle confidentielle et n’est pas destinée à être divulguée afin de ne
pas compromettre l’enquête policière.

Quant à l’article 28 de la loi du 2 août 2002 relative à la protection des
personnes à l’égard du traitement des données à caractère personnel invoqué
par le prévenu, il prévoit que la personne concernée peut avoir accès aux
données la concernant et doit à cet effet présenter une demande auprès du
responsable du traitement. Il apparaît dès lors que le prévenu, qui n’est pas le
responsable du traitement des données contenues dans les fichiers mis en
œuvre par le Centre Informatique de l’Etat, ainsi qu’il sera développé ci-
dessous, n’a aucune qualité pour communiquer une quelconque information
sur base du prédit texte de loi.

Concernant les fichiers policiers que B’.) a, sur demande d’X.), transféré sur sa
clé USB avant de les recopier sur l’ordinateur du prévenu, force est de
                                         18

constater qu’il ne résulte d’aucun élément du dossier que B’.) aurait consulté
ces documents, c’est-à-dire qu’il en aurait pris connaissance. Or le délit prévu à
l’article 458 du code pénal présuppose que l’information soumise au secret
professionnel a été révélée et il faut que la révélation soit effective.

L’infraction à l’article 458 du code pénal n’est dès lors pas établie pour autant
que les fichiers policiers transférés sur la clé USB de B’.) sont concernés et le
prévenu est à acquitter de la prévention mise à sa charge sub I.) (2.) de la
citation.

Quant aux infractions à la loi du 2 août 2002 relative à la protection des
personnes à l’égard du traitement des données à caractère personnel

Il est reproché au prévenu d’avoir, en tant que responsable du traitement,
contrevenu à l’article 4(3) de la loi du 2 août 2002 en effectuant un traitement
au mépris des principes de licéité et de loyauté tels que prévus à l’alinéa 1(a)
de l’article 4, de ne pas avoir respecté le principe de la légitimité de traitement
prévu à l’alinéa 1 de l’article 5 de la loi et il lui est reproché d’avoir enfreint
l’article 17 (3) de la loi en consultant à titre privé les fichiers étatiques auxquels
il avait accès de par sa profession et d’avoir continué les informations obtenues
à B’.).

X.) conteste que les consultations qu’il a effectuées des fichiers exploités par le
Centre Informatique de l’Etat aient eu un caractère privé. Il soutient avoir agi
dans le cadre de sa mission de police administrative ou judiciaire. Il conteste
encore que la loi de 2002 lui soit applicable, les infractions mises à sa charge
ne visant que le responsable du traitement, qualité qu’il n’aurait pas concernant
les fichiers consultés dont le responsable serait l’Etat. Enfin concernant l’article
17 de la loi, X.) fait plaider qu’il serait en tant que policier soumis au seul
contrôle de l’autorité spécifique instituée par le prédit article et qu’il ne serait
pas passible des sanctions pénales y prévues.

La Cour approuve tout d’abord les juges de première instance d’avoir retenu
que le prévenu, en procédant à des recherches dans les différents fichiers de
l’Etat au sujet de B’.), J.), F.) et I.), de sa propre initiative ou à la demande de
ses amis ou connaissances, sans qu’il ne soit chargé d’aucune vérification, ni
enquête relative à ces personnes dans le cadre de l’exercice de ses fonctions
de police administrative ou judiciaire, a effectué des consultations purement
privées.

Le responsable du traitement de données à caractère personnel est, sauf
désignation expresse par les dispositions législatives ou règlementaires
relatives à ce traitement, la personne, l’autorité publique, le service ou
l’organisme qui détermine les finalités du traitement et les moyens pour y
parvenir. Il s’agit de celui qui prend l’initiative et qui dispose du pouvoir
décisionnel en relation avec le traitement.

En l’espèce, le responsable du traitement des données est l’Etat et plus
particulièrement le Centre Informatique de l’Etat qui a établi les différents
fichiers consultés par le prévenu.

La Cour approuve les juges de première instance d’avoir dit que la loi de 2002
a vocation à s’appliquer en l’espèce aux agissements du prévenu puisqu’elle a
un champ d’application très large, qu’elle concerne toutes les personnes
                                          19

physiques, les personnes morales et l’Etat qui effectuent un traitement de
données à caractère personnel, une consultation rentrant par ailleurs dans la
définition dudit traitement de données à caractère personnel conformément aux
dispositions de l’article 2 (s) de la loi. Les articles 4, 5 et 17 de la loi prennent
d’ailleurs soin de stipuler que quiconque effectue un traitement de données en
violation desdits articles encourt les sanctions pénales y prévues.

L’article 4 (1) de la loi prévoit qu’un traitement de données doit être loyal et
licite, c’est-à-dire qu’il doit avoir des finalités précises, déterminées, explicites
et légitimes et le traitement doit être compatible avec ces finalités. La finalité
est le but que recherche le responsable et qui justifie la mise en œuvre du
traitement. Pour être loyal et licite au sens de l’article 4 de la loi, tout traitement
de données personnelles doit avoir des finalités précises et transparentes qui
doivent être communiquées et être légitimes. Il est considéré qu’une finalité
d’un traitement est légitime si elle est nécessaire à l’activité normale du
responsable ou à l’exécution de la mission d’intérêt public ou relevant de
l’autorité publique dont il est investi.

La Cour considère, ensemble avec les juges de première instance, que le
prévenu, en effectuant des recherches à titre privé dans des fichiers auxquels il
avait accès dans le cadre de l’exercice de ses fonctions, a agi à des fins
étrangères à son activité et à l’exécution de la mission d’intérêt public dont il
était chargé en tant que policier et a de la sorte enfreint l’article 4(1) de la loi, la
prévention mise à sa charge sub II.) 1.) étant dès lors établie à sa charge.

L’article 5 de la loi pose le principe selon lequel un traitement de données
personnelles ne peut avoir lieu que s’il est légitime et énumère un certain
nombre d’hypothèses dans lesquelles cette condition de légitimité est remplie.

Les juges de première instance ont encore à bon escient retenu que les
traitements effectués par X.) ne rentrent dans aucune des conditions
énumérées à l’article 5, à l’exclusion des consultations pour lesquelles les
personnes concernées avaient donné leur consentement, hypothèse dans
laquelle le traitement est légitime aux termes de l’article 5(f), de sorte que le
jugement entrepris est encore à confirmer pour avoir retenu la prévention
libellée sub II.) 2.) à charge du prévenu.

X.) a encore, à bon droit, été déclaré convaincu de l’infraction à l’article 17 de la
loi mise à sa charge sub II.) 3.) de la citation pour avoir, à titre privé, fait un
traitement en violation du prédit article.

L’article 17 de la loi prévoit en effet que certains traitements de données
personnelles doivent être autorisés par voie réglementaire. Il s’agit de
traitements qui sont par nature réservés aux autorités et sont susceptibles de
présenter des risques particuliers au regard des droits et libertés des
personnes concernées, et en particulier des libertés publiques. Parmi ces
traitements figurent ceux relatifs à la prévention, à la recherche et à la
constatation des infractions pénales et qui sont réservés, entre autres, aux
forces de l’ordre.

Au regard du caractère sensible des données visées à cet article, le contrôle et
la surveillance des traitements de celles-ci sont opérés par une autorité ad hoc
composée du Procureur Général d’Etat ou de son délégué, qui la préside et de
deux membres de la Commission nationale.
                                        20

X.) fait plaider qu’il serait en tant que policier soumis au seul contrôle de la
prédite autorité et qu’il ne serait pas passible des sanctions pénales édictées à
l’ainéa 3 dudit article 17.

Il est vrai que la surveillance des forces de l’ordre est assurée par l’autorité de
contrôle et que les activités des agents relèvent du contrôle interne, mais il en
est ainsi dans la mesure où les agents agissent dans le cadre de leurs
fonctions. La sanction pénale prévue à l’alinéa 2 de l’article 17 vise l’utilisation
non-réglementaire de données et est dès lors limitée aux personnes agissant à
titre particulier, tel en l’espèce le prévenu.

Quant à l’infraction aux articles 509-1 et 509-3 du code pénal

Le parquet reproche encore au prévenu d’avoir, en infraction à l’article 509-1
du code pénal, frauduleusement accédé aux fichiers du Centre Informatique de
l’Etat énumérés dans la citation.

X.) conteste avoir contrevenu à l’article 509-1 du code pénal au motif qu’en sa
qualité de policier il avait un accès autorisé aux bases de données consultées.
En outre son ordinateur de service ne serait pas à considérer comme un
système de traitement ou de transmission automatisé de données et le
système d’exploitation Windows XP supprimé ne constituerait pas une donnée
au sens de la loi. Par ailleurs le système Windows XP ayant été remplacé par
le système Windows Vista plus performant aucun préjudice aux droits d’autrui
ne serait résulté de cette manipulation.

X.) conclut à son acquittement au motif qu’il avait un accès direct aux bases de
données concernées au moyen de son mot de passe qu’il détient légitimement.
Il est d’avis que cet article entend réprimer les intrusions faites avec des
moyens techniques frauduleux et ne s’applique pas au cas d’un accès légitime,
même s’il est suivi d’un traitement qui n’est pas conforme à celui qui est
autorisé par l’accès.

Aux termes de l’article 509-1 du code pénal « Quiconque, frauduleusement,
aura accédé ou se sera maintenu dans tout ou partie d’un système de
traitement ou de transmission automatisé de données sera puni d’un
emprisonnement de deux mois à deux ans et d’une amende de 500 euros à
25.000 euros ou de l’une de ces deux peines. »

La loi ne donne pas de définition de la notion de système de traitement
automatisé de données. La décision-cadre du 24 février 2005 relative aux
attaques visant les systèmes d’information définit le « système d’information »
comme étant « tout dispositif isolé ou groupe de dispositifs interconnectés ou
apparentés, qui assure ou dont un ou plusieurs éléments assurent,
conformément à un programme, un traitement automatisé de données
informatiques, ainsi que les données informatiques stockées, traitées,
récupérées ou transmises par ces derniers en vue de leur fonctionnement,
utilisation, protection et maintenance ». Il faut donc au moins un ordinateur
capable de recevoir, stocker et transmettre des données. En ce sens, peuvent
constituer des systèmes de traitement automatisé de données, tout ordinateur,
qu’il soit connecté ou non à un réseau ( La fraude informatique en droit
luxembourgeois, Stephan LE GOUEFF, no. 11.2).
                                         21

Le délit de l’article 509-1 du code pénal réprime non seulement l’accès
frauduleux à un système de traitement ou de transmission automatisé de
données, mais également le maintien dans le système. L’un ou l’autre suffit à
caractériser l’élément matériel du délit. Le fait d’accéder de manière autorisée à
un serveur ou à un réseau n’implique pas que le maintien dans le système soit
forcément régulier. Il est admis que le fait pour un employé, autorisé à accéder
de manière inconditionnelle au réseau pour exécuter des tâches relevant de
son activité, de se maintenir dans le réseau pour exécuter des opérations non
autorisées rend le maintien frauduleux ( Internet et les nouvelles technologies
de la communication face au droit luxembourgeois, Thierry REISCH, p. 389)

En l’espèce X.), autorisé à accéder aux bases de données consultées au
moyen de son mot de passe pour exécuter des tâches relevant de ses
missions de police administrative ou judiciaire, s’est maintenu dans lesdits
fichiers pour y effectuer des recherches excédant le cadre professionnel, des
recherches purement personnelles. En agissant de la sorte, le prévenu s’est
maintenu frauduleusement dans un des éléments d’un système de données au
sens de l’article 509-1 du code pénal.

Les juges de première instance ont partant à bon droit retenu l’infraction sub
III.) à charge de X.), sauf qu’il y a lieu de préciser dans le libellé de l’infraction
retenue qu’il est convaincu de s’être frauduleusement maintenu dans les
fichiers exploités par le Centre Informatique de l’Etat.

X.) est encore prévenu d’avoir, en infraction à l’article 509-3 du code pénal,
intentionnellement et au mépris des droits d’autrui, directement supprimé le
système de traitement Windows XP installé sur son ordinateur de service et de
l’avoir remplacé par le système de traitement Windows Vista.

Le prévenu conteste que la suppression sur son ordinateur de service du
système d’exploitation Windows XP rentre dans les prévisions de l’article 509-3
du code pénal et il conteste avoir agi au mépris des droits d’autrui.

L’article 509-3 du code pénal dispose que « Quiconque aura,
intentionnellement et au mépris des droits d’autrui, directement ou
indirectement, introduit des données dans un système de traitement ou de
transmission automatisé ou supprimé ou modifié les données qu’il contient ou
leurs modes de traitement ou de transmission, sera puni d’un emprisonnement
de trois mois à trois ans et d’une amende de 1.250 euros à 12.500 euros ou de
l’une de ces deux peines. »

Est ainsi sanctionnée toute altération volontaire des données d’un système de
traitement ou de transmission automatisé ou de leur mode de traitement ou de
transmission. Il faut donc une action sur les données.

En l’espèce force est de constater que la suppression du système d’exploitation
Windows XP n’a pas eu pour effet une altération, voire une suppression de
données informatiques. En effet les données contenues dans l’ordinateur de
service du prévenu, c’est-à-dire les fichiers tant privés que professionnels qu’il
contenait ont été copiés sur la clé USB de B’.) pour ensuite être recopiés sur
l’ordinateur du prévenu après que le système de traitement Windows Vista y
avait été installé. La manipulation ainsi effectuée n’a causé aucun dommage
aux données contenues dans les documents qui sont restés intacts. Or la copie
                                         22

des données contenues dans le système est exclue du champ d’application de
l’article 509-3 du code pénal ( Enc. Dalloz, vo. Fraude informatique, no. 205).

Le prévenu est dès lors à acquitter de la prévention libellée à sa charge sub
IV.) qui n’est pas établie ni en droit, ni en fait.

Quant à l’infraction à la loi du 15 mars 1983 sur les armes et munitions

La Cour approuve les juges de première instance d’avoir retenu le prévenu
dans les liens de cette infraction qui est dûment établie à sa charge tant en
droit qu’en fait.

Quant à la peine

Les concours d’infractions ont été correctement énoncés et appliqués.

Tout en reconnaissant la gravité indéniable des infractions commises par le
prévenu qui méritent une sanction sévère, la Cour est d’avis qu’une peine
d’emprisonnement de douze mois constitue une sanction appropriée en
l’espèce, la peine d’emprisonnement étant à assortir du sursis intégral à son
exécution, le prévenu n’ayant pas d’antécédents judiciaires.

L’amende de 1.500 euros est à maintenir.

Les confiscations et restitutions ont été ordonnées à bon escient et sont à
confirmer.

                           P A R C E S M O T I F S,

la Cour d’appel, dixième chambre, siégeant en matière correctionnelle, statuant
contradictoirement, le prévenu X.) entendu en ses moyens de défense et
conclusions et le représentant du ministère public en son réquisitoire,

reçoit les appels en la forme ;

dit l’appel du prévenu fondé ;

réformant,

acquitte le prévenu de la prévention mise à sa charge sub I.(2.);

modifie le libellé de la prévention retenue à charge du prévenu sub III.) ainsi
que spécifié aux motifs du présent arrêt ;

acquitte le prévenu de la prévention libellée à sa charge sub IV.);

ramène la peine d’emprisonnement prononcée en première instance à douze
(12) mois ;

dit qu’il sera sursis      à      l’exécution   de   l’intégralité   de   cette   peine
d’emprisonnement ;
                                       23

maintient l’amende de 1.500 euros ;

confirme le jugement entrepris pour le surplus ;

condamne le prévenu aux frais de sa poursuite pénale en instance d’appel, ces
frais liquidés à 16,90 €.

Par application des textes de loi cités par la juridiction de première instance en
retranchant l’article 509-3 du code pénal et en ajoutant les articles 202, 203,
211 du code d’instruction criminelle.

Ainsi fait, jugé et prononcé en audience publique par la Cour d'appel du Grand-
Duché de Luxembourg, dixième chambre, siégeant en matière correctionnelle,
à Luxembourg, Cité Judiciaire, Plateau du St. Esprit, où étaient présents:

Jean-Claude WIWINIUS, président de chambre
Joséane SCHROEDER, premier conseiller
Christiane RECKINGER, conseiller
Marie-Jeanne KAPPWEILER, avocat général
Marc SERRES, greffier

qui, à l'exception du représentant du ministère public, ont signé le présent arrêt.
"