- La Commission européenne confirme que la législation suisse en matière de protection des données reste adéquate ; la révision de la LPD et la ratification de la Convention 108+ ont accru la convergence vers le RGPD.
- L’accès des autorités suisses est soumis à des restrictions claires et précises ainsi qu’à des mécanismes de surveillance et de recours ; l’UE surveille en permanence les décisions d’adéquation.
Le 15 janvier 2024, la Commission européenne a présenté le rapport tant attendu sur la révision des décisions d’adéquation sur la base de la directive sur la protection des données : “Rapport […] sur le premier examen du fonctionnement des décisions de conformité adoptées en vertu de l’Article 25(6) de la Directive 95/46/EC”.. Ce rapport a pris beaucoup de temps, entre autres parce que l’UE voulait tenir compte de l’arrêt Schrems II ; elle avait donc suspendu les travaux pendant un certain temps.
Parmi elles, la reconnaissance, il y a 23 ans Adéquation du droit suisse (outre Andorre, l’Argentine, le Canada (en partie), les Îles Féroé, Guernesey, l’Île de Man, Israël, Jersey, la Nouvelle-Zélande et l’Uruguay).
Le site L’adéquation de la législation suisse en matière de protection des données a été confirmée. La Commission reconnaît ainsi que la législation suisse actuelle en matière de protection des données est “essentiellement équivalente” au RGPD à la lumière de la Charte, c’est-à-dire qu’elle satisfait au critère établi par la CJUE en 2015 dans l’affaire “Criminalité et protection des données”. Schrems I et en Schrems II (à ce sujet, les “Références d’adéquation“du Comité européen de la protection des données). Plus précisément : l’adéquation du droit suisse, car l’évaluation ne se limite pas au droit de la protection des données à proprement parler, mais englobe également les réglementations relatives à l’accès des autorités et, en particulier, la question de savoir si celles-ci respectent le “principe de proportionnalité”.Garanties essentielles“c’est-à-dire les exigences de la Charte de l’UE en matière d’État de droit. Un communiqué de presse du DFJP à ce sujet est ici à trouver.
Les déclarations dans le rapport lui-même sont assez succinctes ; des informations supplémentaires se trouvent dans le document de travail “SWD(2024) 3” (SWD meint Staff Working Document), qui n’est pas encore disponible à ce jour. En ce qui concerne la Suisse, la Commission y dit ce qui suit :
La Commission se félicite des développements intervenus dans le cadre juridique suisse depuis l’adoption de la décision d’adéquation, y compris les modifications législatives, la jurisprudence et les activités des organes de surveillance, qui ont contribué à un niveau accru de protection des données. En particulier, la modernisation de la loi fédérale sur la protection des données, qui a encore renforcé la convergence avec le cadre de protection des données de l’UE, notamment en ce qui concerne les protections des données sensibles et les règles relatives aux transferts internationaux de données.. La Suisse a également renforcé ses engagements internationaux dans le domaine de la protection des données par ratifying Convention 108+ en septembre 2023.
Dans le domaine de l’accès du gouvernement aux données personnelles, autorités publiques en Suisse sont soumis à des règles claires, précises et accessibles en vertu desquelles ces autorités peuvent accéder aux données transférées depuis l’UE et les utiliser ensuite à des fins d’intérêt public, en particulier pour l’application de la loi sur la criminalité et la sécurité nationale. Ces limitations et garanties découlent du cadre juridique primordial et des engagements internationaux, notamment la Constitution fédérale suisse, la CEDH et la Convention 108+, ainsi que des règles suisses de protection des données, y compris la loi fédérale sur la protection des données et les règles spécifiques de protection des données qui s’appliquent à l’application du droit pénal (par ex., le Code de procédure pénale) et aux autorités de sécurité nationale (par ex., la loi sur le renseignement). En outre, la loi suisse impose un certain nombre de limitations spécifiques à l’accès et à l’utilisation des données à caractère personnel à des fins d’application du droit pénal et de sécurité nationale, et elle prévoit des mécanismes de contrôle et de recours dans ce domaine.
Sur la base des conclusions générales de la SWD, la Commission conclut que la Suisse continue d’assurer un niveau de protection adéquat des données à caractère personnel transférées depuis l’UE.
L’adéquation est évaluée en permanence ; en ce sens, elle ne constitue pas un droit :
La Commission continuera à suivre de près l’évolution des cadres de protection et des pratiques effectives des pays et territoires concernés. En cas de développements dans un pays ou territoire approprié qui affecteraient négativement le niveau de protection des données trouvé adéquat, la Commission fera, si nécessaire, usage de ses pouvoirs en vertu de l’article 45(5) du GDPR pour suspendre, modifier ou retirer une décision appropriée.
L’UE considère les décisions d’adéquation non seulement comme une base pour les transmissions en provenance de l’EEE, mais aussi comme un élément essentiel de la protection des données. instrument stratégique d’une politique extérieure en matière de donnéesEn effet, le régime de l’adéquation a un impact sur la légitimation dans les pays tiers (ce qui n’est pas nouveau pour la Suisse) et les décisions d’adéquation de l’UE sont également respectées ou reprises par d’autres États, ce qui a un certain effet de réseau (outre la Suisse, l’Argentine, la Colombie, Israël, le Maroc et l’Uruguay en font partie).