Le PFPDT a republié son “Guide pour l’examen de l’admissibilité des transmissions de données avec lien avec l’étranger (selon l’art. 6 al. 2 let. a LPD)” en date du 18 juin 2021 :
Les instructions se composent d’un schéma de contrôle, d’explications sur les différentes étapes de contrôle et d’une annexe. Le cœur des instructions est la constatation que l’exportateur soumis à l’art. 6 LPD doit ne doit se fier aveuglément à rienLe PFPDT a reconnu les CSC (jusqu’à présent uniquement les CSC en vigueur) :
- Si un État figure sur la liste des États du PFPDTL’exportateur peut certes compter sur le fait que l’importateur est soumis à un régime de protection des données approprié. Dans ce cas, l’exportateur n’est pas non plus tenu d’enregistrer en détail le transfert concret. Mais :
- Si l’exportateur a des raisons de penser que cette protection n’existe pas dans un cas particulier, c’est-à-dire qu’elle ne s’applique pas, il doit tout de même conclure le CCS (pour autant qu’il n’utilise pas d’autres garanties appropriées et qu’aucune exception ne soit applicable), et dans ce cas, la saisie détaillée exigée par le PFPDT sera tout de même nécessaire.
- L’exportateur doit en outre vérifier périodiquement si l’adéquation est toujours d’actualité. Il doit également s’informer si d’autres raisons s’opposent à un “traitement sûr dans le pays de destination”. Apparemment, pour le PFPDT, il ne s’agit pas seulement d’un devoir de réaction, mais d’un devoir de clarification active. Mais cela devrait alors aussi s’appliquer initialement – selon la logique du PFPDT, l’exportateur ne doit donc pas non plus se fier initialement au fait que la protection adéquate constatée par le PFPDT est vraiment efficace.
- Si un pays manque sur la liste des ÉtatsCela ne signifie pas en soi qu’il n’existe pas de protection adéquate. Au contraire, l’exportateur peut vérifier lui-même et conclure que la protection conférée par la loi applicable est adéquate.
- Si un pays ne figure pas sur la liste des pays ou s’il y est répertorié comme approprié, mais que la protection ne s’applique pas dans le cas concret, l’exportateur doit annuler l’exportation. saisir en détail (notamment l’objectif, les sous-traitants et les sous-traitants secondaires impliqués et le droit applicable à ces derniers).
- Ensuite, dans ces cas, il convient de vérifier si quatre garanties doivent être respectées :
- Principe de légalité : limitation des pouvoirs des autorités locales par des bases juridiques suffisamment précises et claires ;
- Proportionnalité des pouvoirs et des mesures ;
- Voies de recours : les personnes concernées en Suisse doivent disposer de voies de recours efficaces inscrites dans la loi pour faire valoir leurs droits ;
- la garantie d’un recours juridictionnel et l’accès à un tribunal indépendant et impartial.
- Si la législation de l’État d’importation satisfait à ces garanties, les Clauses contractuelles types. Il faut néanmoins tenir compte du fait que d’autres mesures de protection contractuelles “s’imposent” “éventuellement”. Il n’est pas précisé ce qu’il faut entendre par là et quand de telles mesures s’imposent éventuellement.
- Si la législation locale ne satisfait pas aux garanties susmentionnées, l’exportateur doit autres mesures de protection contractuelles et/ou techniques de la personne concernée. Si de telles mesures ne permettent pas de compenser l’absence de protection, la communication n’est pas autorisée.
Le PFPDT transfère autant que possible la responsabilité sur les exportateurs, conformément à la position des autorités européennes. En conclusion, il dit qu’en Suisse, les règles sont conceptuellement les mêmes que dans l’UE et que l’exportateur doit effectuer un Transfer Impact Assessment, comme le prévoient désormais les nouvelles CSC.
Il illustre la forme que peut prendre un tel TIA par un la liste de questions adaptée à la législation américaine en annexe. Il s’agit essentiellement de savoir si le transfert ouvre un droit d’accès aux autorités américaines en dehors de l’entraide judiciaire et administrative, sur la base du droit national. Le PFPDT s’appuie ici étroitement sur les principes suivants questionnaires correspondants de noyb l’ONG de Max Schrems, qui fait actuellement parler d’elle avec son action contre les bannières de cookies.