L’ob­jec­tif de la future LPD cor­re­spond à celui du droit en vigueur (Art. 1 LPD). La LPD con­cré­ti­se au niveau de la loi le prin­ci­pe énon­cé dans Artic­le 13, ali­néa 2, Cst. c’est-à-dire le droit de la per­son­ne con­cer­née de déter­mi­ner elle-même si et à quel­les fins des don­nées la con­cer­nant peu­vent être trai­tées. La dis­po­si­ti­on n’est modi­fi­ée que sur le plan réd­ac­tion­nel, en limi­tant expres­sé­ment la pro­tec­tion aux per­son­nes phy­si­ques. Cet­te adap­t­ati­on est due à la modi­fi­ca­ti­on du champ d’ap­pli­ca­ti­on (voir les expli­ca­ti­ons rela­ti­ves à l’art. 2 P‑LPD).

Le champ d’ap­pli­ca­ti­on de la LPD est par­ti­el­le­ment élar­gi par l’E-DSG, ceci notam­ment pour répond­re aux exi­gen­ces du E‑SEV 108 de maniè­re adé­qua­te. Ain­si, il est pré­vu d’ad­ap­ter les excep­ti­ons rela­ti­ves aux procès civils en cours, aux pro­cé­du­res péna­les, aux pro­cé­du­res d’en­trai­de judi­ciai­re inter­na­tio­na­le ain­si qu’aux pro­cé­du­res de droit public et admi­ni­stra­tif (art. 2, al. 2, let. c, LPD) et cel­le con­cer­nant les regi­stres publics des rela­ti­ons juri­di­ques pri­vées (art. 2, al. 2, let. d, LPD). En out­re, il con­vi­ent de souli­gner que le P‑LPD, tout com­me le droit actuel, régit le droit de la pro­tec­tion des don­nées en géné­ral. Si le trai­te­ment de don­nées per­son­nel­les relè­ve du champ d’ap­pli­ca­ti­on d’aut­res lois fédé­ra­les, ce sont en prin­ci­pe les nor­mes de pro­tec­tion des don­nées spé­ci­fi­ques au domaine qui s’ap­pli­quent en ver­tu de la règ­le de la lex spe­cia­lis (les nor­mes par­ti­cu­liè­res pri­ment la nor­me géné­ra­le). Ali­néa 1 Appli­ca­ti­on aux per­son­nes physiques Selon l’a­vant-pro­jet, la LPD s’ap­pli­que au trai­te­ment des don­nées de per­son­nes phy­si­ques par des per­son­nes pri­vées et des orga­nes fédé­raux. Sup­pres­si­on de la pro­tec­tion des don­nées des per­son­nes morales Avec la P‑LPD, il est pro­po­sé de renon­cer à la pro­tec­tion des don­nées des per­son­nes mora­les. Les dis­po­si­ti­ons de l’U­ni­on euro­pé­en­ne et du Con­seil de l’Eu­ro­pe en matiè­re de pro­tec­tion des don­nées, ain­si que les régle­men­ta­ti­ons cor­re­spond­an­tes de la plu­part des légis­la­teurs étran­gers, ne pré­voi­ent pas une tel­le pro­tec­tion. Cet­te pro­tec­tion n’a que peu d’im­portance pra­tique et le pré­po­sé n’a jamais émis de recom­man­da­ti­on dans ce domaine. De même, pour les per­son­nes mora­les, une pro­tec­tion glo­ba­le reste inchan­gée, tel­le qu’el­le est assu­rée au niveau con­sti­tu­ti­on­nel par les artic­les 28 et sui­vants du Code civil (att­ein­tes à la per­son­na­li­té, com­me par exemp­le l’att­ein­te à la répu­ta­ti­on), la LCD, la loi sur le droit d’au­teur du 9 octobre 1992 ou par les dis­po­si­ti­ons rela­ti­ves à la pro­tec­tion des secrets pro­fes­si­on­nels, d’af­fai­res et de fab­ri­ca­ti­on, ain­si que par l’ar­tic­le 13 Cst. La modi­fi­ca­ti­on per­met cepen­dant d’a­mé­lio­rer la pro­tec­tion dans les domain­es où elle n’est actu­el­le­ment pas suf­fi­sam­ment mise en œuvre et d’aug­men­ter ain­si la cré­di­bi­li­té de la loi. Cet­te solu­ti­on pré­sen­te éga­le­ment l’a­van­ta­ge que la com­mu­ni­ca­ti­on de don­nées de per­son­nes mora­les à l’étran­ger ne dépend plus de l’e­xi­stence d’u­ne pro­tec­tion adé­qua­te dans le pays desti­na­tai­re (art. 13 P‑LPD). Cela con­tri­buera vrais­em­bla­blem­ent à une aug­men­ta­ti­on de la com­mu­ni­ca­ti­on à l’étran­ger. Il con­vi­ent éga­le­ment de noter que la plu­part des experts inter­ro­gés dans le cad­re de l’AIR sur la révi­si­on de la LPD, ain­si que la majo­ri­té des par­ti­ci­pan­ts à la con­sul­ta­ti­on, étai­ent favor­ables à l’a­ban­don de la pro­tec­tion des don­nées des per­son­nes mora­les. Il en va de même pour le Par­le­ment, qui n’a pas approu­vé une moti­on visa­nt à main­te­nir la pro­tec­tion des don­nées des per­son­nes mora­les. Dans le domaine du trai­te­ment des don­nées par les orga­nes fédé­raux, la sup­pres­si­on de la pro­tec­tion des don­nées des per­son­nes mora­les a pour con­sé­quence que les bases léga­les fédé­ra­les auto­ri­sant les orga­nes fédé­raux à trai­ter des don­nées per­son­nel­les ne sont plus appli­ca­bles lorsque ceux-ci trai­tent des don­nées de per­son­nes mora­les. Or, selon l’ar­tic­le 5 Cst., le fon­de­ment de l’ac­tion de l’É­tat est le droit. C’est pour­quoi le pro­jet de loi intro­duit dans la LOGA, pour les orga­nes fédé­raux, une série de dis­po­si­ti­ons qui règ­lent leur trai­te­ment des don­nées des per­son­nes mora­les (cf. ch. 9.2.8). En out­re, une dis­po­si­ti­on tran­si­toire doit per­mett­re d’é­vi­ter d’é­ven­tu­el­les lacu­nes juri­di­ques pen­dant cinq ans (cf. art. 66 P‑LPD ain­si que les expli­ca­ti­ons sous ch. 9.1.11). La loi du 17 décembre 2004 sur la trans­pa­rence (BGÖ) accor­de à tou­te per­son­ne le droit de con­sul­ter les docu­ments offi­ci­els des auto­ri­tés fédé­ra­les aux­quels s’ap­pli­que le prin­ci­pe de trans­pa­rence. Le nou­veau champ d’ap­pli­ca­ti­on de la P‑LPD a pour con­sé­quence que l’ac­cès aux docu­ments offi­ci­els con­tenant des don­nées de per­son­nes mora­les ne peut plus être rest­reint pour des rai­sons de pro­tec­tion des don­nées, mais uni­quement si cela peut ent­raî­ner la révé­la­ti­on de secrets pro­fes­si­on­nels, d’af­fai­res ou de fab­ri­ca­ti­on (art. 7, al. 1, let. g BGÖ) ou lorsqu’il exi­ste un ris­que d’att­ein­te à la vie pri­vée de la per­son­ne mora­le, par exemp­le à sa répu­ta­ti­on. Afin de garan­tir les droits des per­son­nes mora­les en matiè­re d’ac­cès aux docu­ments offi­ci­els lorsqu’u­ne deman­de por­te sur des docu­ments pour les­quels l’oc­troi de l’ac­cès pour­rait por­ter att­ein­te à la vie pri­vée de la per­son­ne mora­le, le pro­jet de loi modi­fie cer­tai­nes dis­po­si­ti­ons du BGÖ (cf. ch. 9.2.7). La sup­pres­si­on de la pro­tec­tion des don­nées des per­son­nes mora­les a éga­le­ment pour effet que cel­les-ci ne peu­vent plus fai­re valoir de droit d’ac­cès sur la base de la LPD. Elles peu­vent tou­te­fois fai­re valoir leurs droits pro­cé­du­raux et, le cas échéant, deman­der à con­sul­ter des docu­ments publics sur la base de la loi sur la trans­pa­rence si ceux-ci con­ti­en­nent des infor­ma­ti­ons qui les con­cer­nent. al. 2 Exclu­si­ons du champ d’application Com­me par le pas­sé, la LPD ne s’ap­pli­que pas aux don­nées per­son­nel­les trai­tées par une per­son­ne phy­si­que pour son usa­ge per­son­nel uni­quement (art. 2, al. 2, let. a, P‑LPD) ; l’ad­ap­t­ati­on réd­ac­tion­nel­le n’im­pli­que aucu­ne modi­fi­ca­ti­on maté­ri­el­le. De même, le trai­te­ment de don­nées per­son­nel­les effec­tué par les Cham­bres fédé­ra­les et les com­mis­si­ons par­le­men­tai­res dans le cad­re de leurs déli­bé­ra­ti­ons reste exclu du champ d’ap­pli­ca­ti­on (art. 2, al. 2, let. b, P‑LPD) ; ceci pour les mêmes rai­sons que cel­les déjà évo­quées par le Con­seil fédé­ral dans la Mes­sa­ge du 23 mars 1988 a invo­qué. La let. c pré­voit que les béné­fi­ci­ai­res insti­tu­ti­on­nels visés à l’art. 2, al. 1, de la loi du 22 juin 2007 sur l’É­tat hôte (LEH), qui joui­s­sent de l’im­mu­ni­té de juri­dic­tion en Sui­s­se, ne sont pas sou­mis au P‑LPD. En ce qui con­cer­ne le CICR, la situa­ti­on actu­el­le est ain­si main­te­nue et les aut­res béné­fi­ci­ai­res insti­tu­ti­on­nels con­cer­nés sont expres­sé­ment men­ti­onnés. Ces aut­res béné­fi­ci­ai­res insti­tu­ti­on­nels con­cer­nés joui­s­sent éga­le­ment, en ver­tu du droit inter­na­tio­nal public et de la LEIS elle-même, d’u­ne indé­pen­dance et d’u­ne liber­té d’ac­tion leur per­met­tant de rem­plir leurs fonc­tions inter­na­tio­na­les. On ne peut pas attendre d’un État qu’il se sou­met­te aux règles du droit sui­s­se en ce qui con­cer­ne les don­nées trai­tées par ses repré­sen­ta­ti­ons diplo­ma­ti­ques ou con­su­lai­res. De son côté, la Sui­s­se n’est pas tenue de respec­ter les règles étran­gè­res en matiè­re de pro­tec­tion des don­nées en ce qui con­cer­ne son réseau de repré­sen­ta­ti­ons à l’étran­ger. On ne peut pas non plus exi­ger d’u­ne orga­ni­sa­ti­on inter­na­tio­na­le qui, par défi­ni­ti­on, mène des acti­vi­tés dans de nombreux États, qu’el­le se con­for­me aux exi­gen­ces du droit natio­nal de cha­cun des États dans les­quels elle opè­re, car cela l’empêcher­ait de rem­plir les fonc­tions qui lui sont attri­buées en ver­tu de ses sta­tuts. al. 3 Trai­te­ment de don­nées per­son­nel­les dans le cad­re de procédures Selon l’art. 2, al. 3, P‑LPD, le droit de pro­cé­du­re appli­ca­ble régit le trai­te­ment des don­nées per­son­nel­les et les droits des per­son­nes con­cer­nées dans les pro­cé­du­res judi­ciai­res et dans les pro­cé­du­res régies par des codes de pro­cé­du­re fédé­raux. Cet­te dis­po­si­ti­on règ­le le rap­port ent­re la LPD et le droit de pro­cé­du­re et pose com­me prin­ci­pe géné­ral que seul le droit de pro­cé­du­re appli­ca­ble déter­mi­ne la maniè­re dont les don­nées per­son­nel­les sont trai­tées dans le cad­re de la pro­cé­du­re et com­ment les droits des per­son­nes con­cer­nées sont amé­na­gés. Le droit de pro­cé­du­re assu­re éga­le­ment, dans le cad­re de ses dis­po­si­ti­ons, la pro­tec­tion de la per­son­na­li­té et des droits fon­da­men­taux de tou­tes les per­son­nes con­cer­nées et garan­tit ain­si une pro­tec­tion équi­va­len­te à cel­le de la LPD. Si la LPD était appli­quée dans ce domaine, il y aurait un ris­que de con­flits de nor­mes et de con­tra­dic­tions qui pour­rai­ent per­tur­ber le système équi­li­bré des règles de pro­cé­du­re appli­ca­bles. Pour ces mêmes rai­sons, l’ar­tic­le 9, para­gra­phe 1, point a), pré­voit éga­le­ment E‑SEV 108 pré­voit une excep­ti­on cor­re­spond­an­te. Sur le plan maté­ri­el, la régle­men­ta­ti­on de la P‑LPD cor­re­spond au droit en vigueur. Selon le libel­lé, l’ex­cep­ti­on pré­vue à l’al. 3 con­cer­ne tout d’a­bord les “pro­cé­du­res judi­ciai­res”. Il s’a­git de tou­tes les pro­cé­du­res devant les tri­bu­naux pénaux, civils et admi­ni­stra­tifs can­tonaux et fédé­raux, mais aus­si devant les tri­bu­naux arbi­t­raux ayant leur siè­ge en Sui­s­se. En out­re, l’ex­cep­ti­on s’ap­pli­que à tou­tes les pro­cé­du­res régies par les codes de pro­cé­du­re fédé­raux, quel­le que soit l’au­to­ri­té devant laquel­le elles se dérou­lent. Les codes de pro­cé­du­re fédé­raux com­pren­nent notam­ment la loi sur le Tri­bu­nal fédé­ral du 17 juin 2005 (LTF), la loi sur le Tri­bu­nal admi­ni­stra­tif fédé­ral du 17 juin 2005 (LTAF), la loi sur le Tri­bu­nal fédé­ral des bre­vets du 20 mars 2009, la PA, dans la mesu­re où il ne s’a­git pas de la pro­cé­du­re admi­ni­stra­ti­ve de pre­miè­re instance, le code de pro­cé­du­re civi­le (CPC), la loi fédé­ra­le du 11 avril 1889 sur la pour­suite pour det­tes et la fail­li­te (LP), le CPP, le DPA, la pro­cé­du­re péna­le mili­taire du 23 mars 1979 et l’EIMP. Con­trai­re­ment au droit actuel, le P‑LPD renon­ce à la noti­on de pro­cé­du­re pen­dan­te, car seu­le la pro­cé­du­re civi­le par­le de liti­s­pen­dance et cet­te noti­on a donc par­fois posé des pro­blè­mes de déli­mi­ta­ti­on. Ce qui est désor­mais déter­mi­nant, c’est de savoir si une pro­cé­du­re se déroule devant un tri­bu­nal ou si elle est régie par un code de pro­cé­du­re fédé­ral. Une pro­cé­du­re a lieu devant un tri­bu­nal lorsque celui-ci est sai­si pour la pre­miè­re fois d’u­ne affai­re en ce sens que la pro­cé­du­re a été enga­gée con­for­mé­ment au règle­ment de pro­cé­du­re déter­mi­nant. Une pro­cé­du­re est régie par des règles de pro­cé­du­re fédé­ra­les dès lors qu’u­ne situa­ti­on don­née est trai­tée par une auto­ri­té con­for­mé­ment aux dis­po­si­ti­ons de l’u­ne de ces lois. Le règle­ment de pro­cé­du­re déter­mi­nant reste appli­ca­ble même après la clôtu­re de la pro­cé­du­re. Afin que la situa­ti­on du dos­sier ne pui­s­se pas être modi­fi­ée ulté­ri­eu­re­ment par des instru­ments étran­gers à la pro­cé­du­re, le droit de pro­cé­du­re pré­voit des pro­cé­du­res auto­no­mes pour la mise à jour du dos­sier, la con­sul­ta­ti­on du dos­sier et la con­ser­va­ti­on du dos­sier. Le critère essen­tiel de déli­mi­ta­ti­on pour la non-appli­ca­bi­li­té de la LPD est donc en résu­mé de savoir si, d’un point de vue fonc­tion­nel, il exi­ste ou non un lien direct avec une pro­cé­du­re (judi­ciai­re). Il y a lien lorsque le trai­te­ment de don­nées per­son­nel­les en que­sti­on peut avoir des con­sé­quen­ces con­crè­tes sur cet­te pro­cé­du­re ou sur son issue ou sur les droits pro­cé­du­raux des par­ties. Lorsque la dis­po­si­ti­on de l’a­li­néa 3 s’ap­pli­que, seul le droit de pro­cé­du­re appli­ca­ble régit le trai­te­ment des don­nées per­son­nel­les et les droits des per­son­nes con­cer­nées. Tant les trai­te­ments de don­nées effec­tués par le tri­bu­nal à l’é­gard des par­ties à la pro­cé­du­re que les trai­te­ments de don­nées effec­tués par les par­ties à l’é­gard d’aut­res par­ties à la pro­cé­du­re sont régis par le droit de pro­cé­du­re appli­ca­ble. Cela vaut en par­ti­cu­lier pour les droits des par­ties de prend­re con­nais­sance des don­nées ent­rant dans la pro­cé­du­re et de rec­ti­fier éven­tu­el­le­ment cer­tai­nes don­nées, ain­si que pour le trai­te­ment des don­nées dans le cad­re des pro­cé­du­res judi­ciai­res en géné­ral. Cela signi­fie notam­ment que les dif­fé­ren­tes voies de recours pré­vues par la LPD ne s’ap­pli­quent ni aux trai­te­ments de don­nées effec­tués par le tri­bu­nal dans le cad­re de la pro­cé­du­re, ni aux trai­te­ments de don­nées effec­tués par les aut­res par­ties à la pro­cé­du­re. Ain­si, les par­ties à la pro­cé­du­re ne peu­vent par exemp­le pas fai­re valoir un droit d’ac­cès selon la LPD pour con­sul­ter le dos­sier auprès du tri­bu­nal ou pour se pro­cu­rer des moy­ens de preuve auprès d’aut­res par­ties à la pro­cé­du­re (voir à ce sujet le ch. 9.1.5). En d’aut­res ter­mes, il n’est pas pos­si­ble, par le biais de la LPD, de pro­cé­der à des actes per­tin­ents pour la pro­cé­du­re vis-à-vis du tri­bu­nal ou ent­re les par­ties à la pro­cé­du­re qui serai­ent exclus en ver­tu du droit de pro­cé­du­re en que­sti­on ou qui, à l’in­ver­se, doi­vent être effec­tués dans cer­tai­nes con­di­ti­ons selon cer­tai­nes règles et cer­ta­ins prin­cipes. Même après la clôtu­re de la pro­cé­du­re, les dos­siers ne peu­vent être modi­fi­és que con­for­mé­ment aux règles du droit pro­cé­du­ral (rec­ti­fi­ca­ti­on, expli­ca­ti­on, révi­si­on), car les dos­siers doi­vent cor­re­spond­re au résul­tat d’u­ne pro­cé­du­re. Il n’est donc pas exclu que le droit de pro­cé­du­re appli­ca­ble décla­re la LPD appli­ca­ble après la clôtu­re de la pro­cé­du­re (cf. art. 99 CPP). Dans la mesu­re où le droit de pro­cé­du­re appli­ca­ble ne con­ti­ent pas de dis­po­si­ti­ons rela­ti­ves au droit de con­sul­ta­ti­on du dos­sier par des tiers après la clôtu­re de la pro­cé­du­re, l’ap­pli­ca­ti­on du droit dev­rait s’o­ri­en­ter sur les dis­po­si­ti­ons de la LPD. Con­trai­re­ment au pro­jet mis en con­sul­ta­ti­on, l’al. 3 n’ex­clut donc plus du champ d’ap­pli­ca­ti­on de la LPD uni­quement les trai­te­ments de don­nées effec­tués par cer­tai­nes insti­tu­ti­ons, ce qui a été for­te­ment cri­ti­qué lors de la con­sul­ta­ti­on. Au con­trai­re, les trai­te­ments de don­nées effec­tués par les par­tis sont éga­le­ment con­cer­nés. En out­re, le con­flit de nor­mes est réso­lu d’u­ne aut­re maniè­re, dans la mesu­re où la nor­me déter­mi­ne le droit appli­ca­ble. Pour les tri­bu­naux fédé­raux en par­ti­cu­lier, cela signi­fie en fin de comp­te qu’ils sont exclus du champ d’ap­pli­ca­ti­on de la LPD en ce qui con­cer­ne les trai­te­ments de don­nées effec­tués dans le cad­re de leur acti­vi­té juri­dic­tion­nel­le, ce qui per­met de tenir comp­te de la sépa­ra­ti­on des pou­voirs. Inver­se­ment, il découle de l’ar­tic­le 2, para­gra­phe 3, que la LPD s’ap­pli­que aux trai­te­ments de don­nées effec­tués par les ser­vices admi­ni­stra­tifs des tri­bu­naux et des auto­ri­tés, com­me par exemp­le le trai­te­ment de don­nées rela­ti­ves au per­son­nel. De même, les tri­bu­naux doi­vent garan­tir la sécu­ri­té des don­nées lors de l’ar­chivage des preu­ves et des décis­i­ons. Il exi­ste tou­te­fois des excep­ti­ons à la sur­veil­lan­ce exer­cée par le pré­po­sé (cf. art. 3, al. 2, P‑LPD et les expli­ca­ti­ons). Selon la deu­xiè­me phra­se, la pre­scrip­ti­on de l’art. 2, al. 3, P‑LPD ne s’ap­pli­que pas aux pro­cé­du­res admi­ni­stra­ti­ves de pre­miè­re instance. Cet­te règ­le issue du droit en vigueur est main­te­nue sans modi­fi­ca­ti­on. al. 4 Regi­stres publics de droit privé L’ex­cep­ti­on pré­vue à l’ar­tic­le 2, 2e ali­néa, lett­re d, LPD, con­cer­nant les regi­stres publics des rela­ti­ons juri­di­ques pri­vées, est com­pa­ti­ble avec les exi­gen­ces de l’ar­tic­le 3 E‑SEV 108 ne sont pas com­pa­ti­bles. En effet, la future con­ven­ti­on ne pré­voit pas d’ex­cep­ti­on pour ces regi­stres. Il en va de même pour les Règle­ment (UE) 2016/679. Même s’il est dans l’in­té­rêt des per­son­nes con­cer­nées que les regi­stres publics des tran­sac­tions pri­vées respec­tent les prin­cipes de la pro­tec­tion des don­nées, il exi­ste éga­le­ment un inté­rêt public à la tenue de ces regi­stres et à l’ac­cès à ceux-ci (voir le con­sidé­rant 73 de la direc­ti­ve sur la pro­tec­tion des don­nées). Règle­ment [UE] 2016/679). Dans un arrêt du 9 mars 2017, la Cour de justi­ce de l’U­ni­on euro­pé­en­ne a eu l’oc­ca­si­on de se pro­non­cer sur la déli­mi­ta­ti­on ent­re la pro­tec­tion des don­nées et le carac­tère public d’un regist­re du com­mer­ce tenu par les auto­ri­tés ita­li­en­nes. Dans cet­te affai­re, un anci­en admi­ni­stra­teur et liqui­da­teur d’u­ne socié­té en fail­li­te deman­dait la sup­pres­si­on de cer­tai­nes don­nées le con­cer­nant dans ledit regist­re. Pour rég­ler ce liti­ge, la Cour de cas­sa­ti­on ita­li­en­ne a deman­dé à la Cour de justi­ce de véri­fier si l’ob­li­ga­ti­on pré­vue à l’ar­tic­le 6, para­gra­phe 1, point e), de la direc­ti­ve sur la pro­tec­tion des don­nées était respec­tée. Direc­ti­ve 95/46/CE le prin­ci­pe de con­ser­va­ti­on des don­nées, tel que pré­vu par la pre­miè­re direc­ti­ve 68/151/CEE, doit pré­va­loir sur le régime de publi­ci­té des regi­stres du com­mer­ce. Selon ce prin­ci­pe, les don­nées à carac­tère per­son­nel sont con­ser­vées sous une for­me per­met­tant l’i­den­ti­fi­ca­ti­on des per­son­nes con­cer­nées pen­dant une durée n’ex­cé­dant pas cel­le néces­saire à la réa­li­sa­ti­on des fina­li­tés pour les­quel­les elles sont coll­ec­tées ou pour les­quel­les elles sont trai­tées ulté­ri­eu­re­ment. Selon la Cour, la publi­ci­té du regist­re du com­mer­ce vise à garan­tir la sécu­ri­té juri­di­que ent­re les ent­re­pri­ses et les tiers et à per­mett­re à ces der­niers de prend­re con­nais­sance des acti­vi­tés essen­ti­el­les de l’entre­pri­se con­cer­née et de cer­tai­nes don­nées rela­ti­ves aux per­son­nes habi­li­tées à la repré­sen­ter. La publi­ci­té de ces infor­ma­ti­ons se justi­fie éga­le­ment après la dis­so­lu­ti­on d’u­ne ent­re­pri­se. En effet, il peut s’a­vé­rer néces­saire, par exemp­le, de véri­fier la léga­li­té des actes d’u­ne ent­re­pri­se durant son acti­vi­té en vue d’u­ne éven­tu­el­le pro­cé­du­re judi­ciai­re. Or, selon la Cour, les dif­fé­ren­tes règles de pre­scrip­ti­on en vigueur dans les États mem­bres empêchent de fixer un délai uni­for­me à comp­ter de la dis­so­lu­ti­on de l’entre­pri­se, à l’issue duquel les don­nées inscri­tes au regist­re du com­mer­ce ne sont plus néces­saires. Dans ce con­tex­te, la Cour con­sta­te qu’en ver­tu de l’ar­tic­le 6, para­gra­phe 1, point e), de la direc­ti­ve, les États mem­bres sont tenus d’assurer la pro­tec­tion des don­nées à carac­tère per­son­nel. Direc­ti­ve 95/46/CE ne peu­vent pas, par exemp­le, garan­tir aux per­son­nes con­cer­nées un droit à l’effa­ce­ment de leurs don­nées per­son­nel­les après un cer­tain délai à comp­ter de la dis­so­lu­ti­on de l’entre­pri­se. Si la sécu­ri­té juri­di­que et la pro­tec­tion des inté­rêts des tiers pré­va­lent, il n’est néan­mo­ins pas exclu que, dans des situa­tions par­ti­cu­liè­res et excep­ti­on­nel­les, une per­son­ne pui­s­se fai­re valoir un inté­rêt prépon­dé­rant et digne de pro­tec­tion à ce que l’ac­cès à ses don­nées per­son­nel­les soit limi­té. La Cour con­clut donc qu’il appar­tient aux États mem­bres de déter­mi­ner si les per­son­nes con­cer­nées peu­vent exi­ger de l’au­to­ri­té char­gée de la tenue du regist­re qu’el­le exami­ne, au cas par cas, si un inté­rêt supé­ri­eur digne de pro­tec­tion justi­fie excep­ti­on­nel­le­ment de rest­reind­re l’ac­cès à leurs don­nées per­son­nel­les à l’ex­pi­ra­ti­on d’un délai suf­fi­sant après la dis­so­lu­ti­on de l’entre­pri­se con­cer­née. Cer­tes, l’ar­rêt de la Cour de justi­ce se fon­de sur la Direc­ti­ve 95/46/CEqui, à par­tir de l’en­trée en vigueur de la Règle­ment (UE) 2016/679 n’est plus appli­ca­ble, mais les con­sidé­ra­ti­ons de cet arrêt restent val­ables pour la nou­vel­le légis­la­ti­on. En ver­tu de l’ar­tic­le 2, para­gra­phe 1, de la loi Artic­le 9 du CC les regi­stres publics four­nis­sent une preuve com­plè­te des faits qu’ils atte­stent, à moins que l’in­exac­ti­tu­de de leur con­te­nu ne soit prou­vée. Comp­te tenu de la fina­li­té de ces regi­stres, le Con­seil fédé­ral est d’a­vis que des motifs de pro­tec­tion des don­nées ne doi­vent pas por­ter att­ein­te à la publi­ci­té des regi­stres des rela­ti­ons juri­di­ques pri­vées. Il en va de même pour les regi­stres dans le domaine du droit de la pro­prié­té intellec­tu­el­le : le légis­la­teur a déjà pro­cé­dé à une pesée des inté­rêts et garan­tit la publi­ci­té de ces regi­stres. De l’a­vis du Con­seil fédé­ral, il n’ap­par­tient pas à la LPD de régle­men­ter les droits des per­son­nes con­cer­nées dans ce domaine. C’est pour­quoi il con­vi­ent de pré­voir à l’al. 4 une rest­ric­tion en faveur des dis­po­si­ti­ons spé­cia­les du droit fédé­ral. La modi­fi­ca­ti­on con­cer­ne exclu­si­ve­ment les regi­stres publics des rela­ti­ons juri­di­ques pri­vées tenus par les auto­ri­tés fédé­ra­les, à savoir le regist­re élec­tro­ni­que de l’é­tat civil, Zefix, le regist­re des aéron­efs de l’Of­fice fédé­ral de l’a­via­ti­on civi­le et les regi­stres de l’In­sti­tut fédé­ral de la pro­prié­té intellec­tu­el­le (notam­ment le regist­re des mar­ques, le regist­re des bre­vets et le regist­re des designs). Les regi­stres publics des rela­ti­ons juri­di­ques pri­vées, pour les­quels les can­tons sont com­pé­tents, sont sou­mis au droit can­to­nal de la pro­tec­tion des don­nées. Cela vaut éga­le­ment lorsque ces don­nées sont trai­tées dans le cad­re de l’exé­cu­ti­on du droit fédé­ral. Tou­te­fois, le droit can­to­nal de la pro­tec­tion des don­nées ne doit pas ent­ra­ver l’ap­pli­ca­ti­on cor­rec­te et uni­for­me du droit pri­vé fédé­ral et notam­ment le prin­ci­pe de la publi­ci­té des regi­stres. L’a­b­ro­ga­ti­on de l’art. 2, al. 2, let. d, LPD n’a donc aucun effet sur les regi­stres can­tonaux sui­vants : le regist­re fon­cier, le regist­re des bateaux, les regi­stres can­tonaux du com­mer­ce, les regi­stres des pour­suites et des fail­li­tes et le regist­re public des pac­tes de réser­ve de pro­prié­té. L’al. 4 n’a pas non plus d’ef­fet sur les regi­stres de droit public tels que le regist­re des pro­fes­si­ons médi­cal­es, aux­quels s’ap­pli­que la loi spé­cia­le con­cer­née, sub­si­di­ai­re­ment la LPD. Champ d’ap­pli­ca­ti­on territorial Con­trai­re­ment à la Règle­ment (UE) 2016/679 (art. 3), le P‑LPD ne con­ti­ent aucu­ne dis­po­si­ti­on par­ti­cu­liè­re con­cer­nant le champ d’ap­pli­ca­ti­on ter­ri­to­ri­al de la loi. Selon le Con­seil fédé­ral, le droit en vigueur off­re déjà la pos­si­bi­li­té d’ap­pli­quer lar­ge­ment la LPD aux situa­tions à carac­tère inter­na­tio­nal. En ver­tu de la thé­o­rie de l’im­pact, cela vaut éga­le­ment pour le droit public. Les dif­fi­cul­tés se situ­ent moins au niveau du champ d’ap­pli­ca­ti­on ter­ri­to­ri­al que de la mise en œuvre et de l’exé­cu­ti­on des décis­i­ons, notam­ment dans le domaine de l’In­ter­net. Le Con­seil fédé­ral a exami­né l’op­por­tu­ni­té d’ob­li­ger les respons­ables et les sous-trai­tants à indi­quer un domic­i­le de noti­fi­ca­ti­on en Sui­s­se afin de faci­li­ter l’exé­cu­ti­on des décis­i­ons qui les con­cer­nent. Il y a fina­le­ment renon­cé pour les mêmes rai­sons que cel­les déjà expo­sées dans le rap­port du 11 décembre 2015 rela­tif à la responsa­bi­li­té civi­le des four­nis­seurs d’ac­cès. Il serait plutôt pré­fé­ra­ble de trou­ver une solu­ti­on par le biais d’ac­cords d’en­trai­de judi­ciai­re bi- ou mul­ti­la­té­raux qui per­met­tent l’en­voi postal direct de docu­ments à l’étran­ger. De tels accords exi­stent déjà dans le domaine du droit civil avec cer­ta­ins Etats dans les­quels des ent­re­pri­ses Inter­net con­nues ont leur siè­ge, com­me l’Ir­lan­de ou les Etats-Unis. Le Con­seil fédé­ral a con­fir­mé cet­te posi­ti­on dans le domaine du droit pénal dans son avis sur la moti­on Lev­rat 16.4082 “Faci­li­ter l’ac­cès des auto­ri­tés de pour­suite péna­le aux don­nées des réseaux soci­aux”. Enfin, il rap­pel­le que l’ob­li­ga­ti­on de dési­gner un domic­i­le de noti­fi­ca­ti­on est pré­vue dans la PA et la LTAF. Le pré­po­sé aurait pré­fé­ré que le pro­jet de loi con­ti­en­ne une dis­po­si­ti­on con­for­me à l’art. 3 de la Règle­ment (UE) 2016/679 aurait con­te­nu une dis­po­si­ti­on com­pa­ra­ble et que les respons­ables du trai­te­ment des don­nées aurai­ent été tenus d’a­voir une repré­sen­ta­ti­on en Suisse. 

Al. 1 Sur­veil­lan­ce par le pré­po­sé L’al. 1 dési­gne l’au­to­ri­té de sur­veil­lan­ce com­pé­ten­te en matiè­re de pro­tec­tion des don­nées. Il énon­ce le prin­ci­pe selon lequel le pré­po­sé est l’au­to­ri­té char­gée de sur­veil­ler le respect des pre­scrip­ti­ons fédé­ra­les en matiè­re de pro­tec­tion des don­nées (cf. art. 39 ss P‑LPD). Dans le tex­te de loi alle­mand, seul le ter­me mas­cu­lin est uti­li­sé lorsque le pré­po­sé est visé en tant qu’­in­sti­tu­ti­on dans la dis­po­si­ti­on en que­sti­on. C’est le cas dans la majo­ri­té des dis­po­si­ti­ons léga­les. Par cont­re, dans la pre­miè­re sec­tion du cha­pit­re 7 (à l’ex­cep­ti­on de l’art. 42 P‑DSG), il est que­sti­on de la per­son­ne du ou de la préposé(e). Dans ces dis­po­si­ti­ons, la for­me mas­cu­li­ne et la for­me fémi­ni­ne sont uti­li­sées. al. 2 Excep­ti­ons à la surveillance L’a­li­néa 2 pré­voit diver­ses excep­ti­ons à la sur­veil­lan­ce du pré­po­sé. Ces excep­ti­ons sont essen­ti­el­le­ment moti­vées par le fait que la sou­mis­si­on des auto­ri­tés pré­ci­tées à la sur­veil­lan­ce du pré­po­sé por­terait att­ein­te à la sépa­ra­ti­on des pou­voirs et à l’in­dé­pen­dance de la justi­ce. L’As­sem­blée fédé­ra­le (let. a) et le Con­seil fédé­ral (let. b) sont exclus de la sur­veil­lan­ce du pré­po­sé. Dans la mesu­re où le trai­te­ment de don­nées per­son­nel­les par les tri­bu­naux fédé­raux relè­ve de la LPD, ils sont exclus de la sur­veil­lan­ce du pré­po­sé (let. c). Cet­te excep­ti­on doit être con­sidé­rée dans la per­spec­ti­ve du fait que la P‑LPD don­ne désor­mais au pré­po­sé la com­pé­tence d’é­dic­ter des décis­i­ons à l’é­gard des orga­nes fédé­raux. Cela ris­quer­ait de por­ter att­ein­te à l’in­dé­pen­dance des tri­bu­naux et à la sépa­ra­ti­on des pou­voirs vis-à-vis des tri­bu­naux fédé­raux. En out­re, le Tri­bu­nal admi­ni­stra­tif fédé­ral et le Tri­bu­nal fédé­ral sont notam­ment des instances de recours pour les décis­i­ons du Pré­po­sé fédé­ral à la pro­tec­tion des don­nées. Ils pour­rai­ent donc être appelés à rend­re une décis­i­on sur recours dans leur pro­pre affai­re. Afin de répond­re aux exi­gen­ces de la Direc­ti­ve (UE) 2016/680 et le SEC 108, chaque tri­bu­nal fédé­ral mettra en place sa pro­pre sur­veil­lan­ce indé­pen­dan­te de la pro­tec­tion des don­nées. Cel­le-ci sera, le cas échéant, con­çue de maniè­re ana­lo­gue à cel­le du pré­po­sé. La mise en place se fera par l’ad­ap­t­ati­on des ordon­nan­ces cor­re­spond­an­tes des tri­bu­naux fédé­raux respec­tifs, dès que la LPD révi­sée sera entrée en vigueur. Selon la let. d, le Mini­stère public de la Con­fé­dé­ra­ti­on est éga­le­ment exemp­té de la sur­veil­lan­ce exer­cée par le pré­po­sé dans la mesu­re où il trai­te des don­nées per­son­nel­les dans le cad­re de pro­cé­du­res péna­les. En revan­che, les auto­ri­tés fédé­ra­les de poli­ce restent sou­mi­ses à la sur­veil­lan­ce du pré­po­sé, même si elles agis­sent sur man­dat du Mini­stère public de la Con­fé­dé­ra­ti­on. Le pré­po­sé appli­que alors les dis­po­si­ti­ons de pro­tec­tion des don­nées du droit de pro­cé­du­re appli­ca­ble (cf. art. 2, al. 3, P‑LPD). Selon la lett­re e, les auto­ri­tés fédé­ra­les sont fina­le­ment exclues de la sur­veil­lan­ce du pré­po­sé dans la mesu­re où elles trai­tent des don­nées per­son­nel­les dans le cad­re d’u­ne acti­vi­té juri­dic­tion­nel­le ou de pro­cé­du­res d’en­trai­de judi­ciai­re inter­na­tio­na­le en matiè­re péna­le. Cet­te excep­ti­on con­cer­ne prin­ci­pa­le­ment le Mini­stère public de la Con­fé­dé­ra­ti­on et l’Of­fice fédé­ral de la justi­ce. Con­for­mé­ment à la décla­ra­ti­on du Con­seil fédé­ral rela­ti­ve à l’ar­tic­le 1er de la Con­ven­ti­on euro­pé­en­ne d’en­trai­de judi­ciai­re en matiè­re péna­le du 20 avril 1959, l’Of­fice fédé­ral de la justi­ce doit être con­sidé­ré com­me une auto­ri­té judi­ciai­re sui­s­se au sens de la Con­ven­ti­on. Cet­te excep­ti­on a tou­te­fois une por­tée limi­tée. En effet, le pré­po­sé peut véri­fier la léga­li­té d’un trai­te­ment de don­nées lorsqu’u­ne per­son­ne con­cer­née fait valoir ses droits en ver­tu de l’ar­tic­le 11c P‑IRSG.

Lett­re a Don­nées personnelles Il con­vi­ent de noter que l’E-DSG uti­li­se en prin­ci­pe le ter­me de don­nées per­son­nel­les. Au sein du même para­gra­phe, le ter­me de don­nées est éga­le­ment uti­li­sé com­me syn­ony­me, en par­ti­cu­lier dans le tex­te alle­mand, lorsqu’il est clair qu’il s’a­git de don­nées per­son­nel­les. La noti­on de don­nées per­son­nel­les est modi­fi­ée par rap­port au droit en vigueur dans la mesu­re où la LPD n’est plus appli­ca­ble aux per­son­nes mora­les. Les don­nées per­son­nel­les sont donc tou­tes les infor­ma­ti­ons qui se rap­portent à une per­son­ne phy­si­que iden­ti­fi­ée ou iden­ti­fia­ble. Une per­son­ne phy­si­que est iden­ti­fia­ble lorsqu’el­le peut être iden­ti­fi­ée, direc­te­ment ou indi­rec­te­ment, par exemp­le par réfé­rence à des infor­ma­ti­ons qui peu­vent être dédui­tes des cir­con­stances ou du con­tex­te (numé­ro d’i­den­ti­fi­ca­ti­on, don­nées de loca­li­sa­ti­on, aspects spé­ci­fi­ques con­cer­nant son iden­ti­té phy­si­que, phy­sio­lo­gi­que, géné­tique, psy­chi­que, éco­no­mi­que, cul­tu­rel­le ou socia­le). L’i­den­ti­fi­ca­ti­on peut être pos­si­ble à par­tir d’u­ne seu­le infor­ma­ti­on (numé­ro de télé­pho­ne, numé­ro de mai­son, numé­ro AVS, emprein­tes digi­ta­les) ou par le recou­pe­ment de dif­fé­ren­tes infor­ma­ti­ons (adres­se, date de nais­sance, état civil). Com­me dans le droit actuel, la pos­si­bi­li­té pure­ment thé­o­ri­que qu’u­ne per­son­ne pui­s­se être iden­ti­fi­ée ne suf­fit pas pour sup­po­ser qu’u­ne per­son­ne est iden­ti­fia­ble. Ain­si, le Con­seil fédé­ral esti­me dans sa Mes­sa­ge rela­tif à la LPD de 1988 est fixé : “Si l’ef­fort à four­nir pour iden­ti­fier les per­son­nes con­cer­nées est tel qu’il ne faut pas s’at­tendre, selon l’expé­ri­ence géné­ra­le de la vie, à ce qu’u­ne per­son­ne inté­res­sée s’en char­ge […], il n’y a pas d’i­den­ti­fia­bi­li­té”. Il faut plutôt con­sidé­rer l’en­sem­ble des moy­ens qui peu­vent rai­sonnablem­ent être uti­li­sés pour iden­ti­fier une per­son­ne. Le carac­tère rai­sonnable de l’uti­li­sa­ti­on de ces moy­ens doit être éva­lué au regard des cir­con­stances, tel­les que le temps et l’ar­gent néces­saires à l’i­den­ti­fi­ca­ti­on. Les tech­no­lo­gies dis­po­ni­bles au moment du trai­te­ment et leur évo­lu­ti­on doi­vent être pri­ses en comp­te. La loi ne s’ap­pli­que pas aux don­nées anony­mi­sées lorsqu’u­ne iden­ti­fi­ca­ti­on par des tiers est impos­si­ble (les don­nées ont été ren­dues anony­mes de maniè­re com­plè­te et défi­ni­ti­ve) ou lorsque cela ne serait pos­si­ble qu’au prix d’un effort important qu’au­cu­ne per­son­ne inté­res­sée n’ac­cep­terait de con­sen­tir. Cela s’ap­pli­que éga­le­ment aux don­nées pseud­ony­mi­sées. Lett­re b Per­son­ne concernée Les per­son­nes con­cer­nées sont les per­son­nes phy­si­ques au sujet des­quel­les des don­nées sont trai­tées. La limi­ta­ti­on aux per­son­nes phy­si­ques découle de la sup­pres­si­on de la pro­tec­tion des don­nées des per­son­nes mora­les (voir les expli­ca­ti­ons rela­ti­ves à l’art. 2, al. 1, P‑LPD au ch. 9.1.2). Lett­re c Don­nées per­son­nel­les sensibles Le para­gra­phe 1 n’est pas modi­fié. Le chif­fre 2 est com­plé­té : la noti­on de don­nées per­son­nel­les sen­si­bles est défi­nie en accord avec la Direc­ti­ve (UE) 2016/680 (art. 10) et la Règle­ment (UE) 2016/679 éten­du aux don­nées rela­ti­ves à l’o­ri­gi­ne eth­ni­que. Le P‑DSG main­ti­ent la réfé­rence à l’ap­par­ten­an­ce racia­le. Com­me l’U­ni­on euro­pé­en­ne, le Con­seil fédé­ral pré­cise que l’uti­li­sa­ti­on de ce ter­me ne signi­fie pas qu’il approuve les thé­o­ries visa­nt à démon­trer l’e­xi­stence de dif­fé­ren­tes races humain­es. Le pro­jet de loi con­ser­ve éga­le­ment con­ser­ve la réfé­rence aux don­nées rela­ti­ves à la san­té et à la sphè­re inti­me. Par don­nées rela­ti­ves à la sphè­re inti­me, on entend notam­ment les don­nées rela­ti­ves à la vie sexu­el­le et à l’o­ri­en­ta­ti­on sexu­el­le de la per­son­ne con­cer­née (voir éga­le­ment la Con­ven­ti­on STE 108 [art. 6, par. 1], la direc­ti­ve [UE] 2016/680 [art. 10] et la Règle­ment [UE] 2016/679 [art. 9]). Selon les cir­con­stances, l’i­den­ti­té sexu­el­le d’u­ne per­son­ne peut éga­le­ment être inclu­se dans cet­te noti­on (ou dans les don­nées rela­ti­ves à la san­té). La noti­on de “don­nées per­son­nel­les sen­si­bles” est en out­re éten­due aux don­nées géné­ti­ques (ch. 3) et aux don­nées bio­mé­tri­ques qui iden­ti­fi­ent clai­re­ment un indi­vi­du (ch. 4). Cet­te modi­fi­ca­ti­on per­met de répond­re aux exi­gen­ces du E‑SEV 108 (art. 6, para­gra­phe 1) ain­si que de la Direc­ti­ve (UE) 2016/680 (art. 10) ont été mises en œuvre. Le site Règle­ment (UE) 2016/679 (art. 9) pré­voit une régle­men­ta­ti­on simi­lai­re. Les don­nées géné­ti­ques sont des infor­ma­ti­ons sur le patri­moi­ne géné­tique d’u­ne per­son­ne obte­nues par une ana­ly­se géné­tique ; elles com­pren­nent éga­le­ment le pro­fil d’ADN (art. 3, let. l, de la loi fédé­ra­le du 8 octobre 2004 sur l’ana­ly­se géné­tique humaine [LAGH]). Par don­nées bio­mé­tri­ques, on entend ici les don­nées per­son­nel­les qui sont obte­nues par un pro­cé­dé tech­ni­que spé­ci­fi­que sur les carac­té­ri­sti­ques phy­si­ques, phy­sio­lo­gi­ques ou com­porte­men­ta­les d’un indi­vi­du et qui per­met­tent ou con­fir­ment une iden­ti­fi­ca­ti­on uni­vo­que de la per­son­ne con­cer­née. Il s’a­git par exemp­le d’u­ne emprein­te digi­ta­le numé­ri­que, d’i­mages facia­les, d’i­mages de l’i­ris ou d’en­re­gi­stre­ments de la voix. Ces don­nées doi­vent obli­ga­toire­ment repo­ser sur un pro­cé­dé tech­ni­que spé­ci­fi­que qui per­met d’i­den­ti­fier ou d’au­then­ti­fier une per­son­ne de maniè­re uni­vo­que. Ce n’est en prin­ci­pe pas le cas, par exemp­le, des pho­to­gra­phies ordi­naires. Lett­re d Traiter La noti­on de trai­te­ment reste inchan­gée sur le plan du con­te­nu. Le ter­me de trai­te­ment est sou­vent uti­li­sé com­me syn­ony­me. La liste a tou­te­fois été com­plé­tée par “enre­gi­strer” et “effacer” dans le but de se rappro­cher du libel­lé du droit euro­pé­en (art. 2, let. b E‑SEV 108Art. 4, ch. 2, de la direc­ti­ve Règle­ment [UE] 2016/679 et l’ar­tic­le 3, point 2, de la direc­ti­ve [UE] 2016/680). Com­me dans le droit actuel, la liste des opé­ra­ti­ons de trai­te­ment pos­si­bles n’est pas exhaus­ti­ve, de sor­te que de nombreu­ses opé­ra­ti­ons peu­vent en fai­re par­tie (orga­ni­sa­ti­on, tri, modi­fi­ca­ti­on, explo­ita­ti­on des don­nées, etc.) Le ter­me “détrui­re” est plus fort que le ter­me “effacer” et impli­que que les don­nées sont irré­mé­dia­blem­ent détrui­tes. Si les don­nées sont dis­po­ni­bles sur papier, celui-ci doit être brûlé ou déchi­que­té. La des­truc­tion des don­nées élec­tro­ni­ques s’a­vè­re plus dif­fi­ci­le. Si les don­nées ont été trans­mi­ses au moy­en d’un CD ou d’u­ne clé USB, il faut d’u­ne part rend­re le sup­port de don­nées inutili­sable et d’aut­re part trai­ter tou­tes les copies de maniè­re à ce que les don­nées ne pui­s­sent plus non plus être ren­dues lisi­bles. Dans le cas de don­nées per­son­nel­les trans­mi­ses en anne­xe d’un e‑mail, les éven­tu­el­les sau­vegar­des inter­mé­di­ai­res de cet e‑mail doi­vent éga­le­ment être détrui­tes. Les ord­res de sup­pres­si­on usuels ou un simp­le refor­ma­ta­ge ne con­sti­tu­ent pas une des­truc­tion, mais un effa­ce­ment. Con­trai­re­ment au droit sui­s­se, l’U­ni­on euro­pé­en­ne uti­li­se le ter­me de trai­te­ment plutôt que celui d’u­si­na­ge. Pour des rai­sons de pra­ti­ca­bi­li­té, on a renon­cé à adap­ter le droit sui­s­se à cet égard éga­le­ment, d’autant plus qu’il n’y a pas de dif­fé­rence sur le plan du con­te­nu. Lett­re f Profilage Le Con­seil fédé­ral pro­po­se d’a­b­ro­ger la noti­on de “pro­fil de la per­son­na­li­té”, défi­nie à l’ar­tic­le 3, lett­re d LPD. La noti­on de “pro­fil de la per­son­na­li­té” est une par­ti­cu­la­ri­té de not­re légis­la­ti­on. Ni le droit euro­pé­en ni d’aut­res légis­la­ti­ons étran­gè­res ne con­nais­sent cet­te noti­on. Après l’en­trée en vigueur de la LPD en 1992, elle n’a pas revêtu une gran­de importance ; aujour­d’hui, elle sem­ble dépas­sée par le déve­lo­p­pe­ment des nou­vel­les tech­no­lo­gies. A sa place, la P‑LPD uti­li­se le ter­me de “pro­fi­la­ge”. Ce ter­me se trouve à l’ar­tic­le 3, chif­fre 4 de la Direc­ti­ve (UE) 2016/680 et l’ar­tic­le 4, para­gra­phe 4, de la Règle­ment (UE) 2016/679. Bien que les deux ter­mes pré­sen­tent des simi­li­tu­des, ils ne se recou­pent pas. Le pro­fil de la per­son­na­li­té est le résul­tat d’un pro­ce­s­sus de trai­te­ment et sai­sit donc quel­que cho­se de sta­tique. En revan­che, le pro­fi­la­ge décrit une cer­taine for­me de trai­te­ment des don­nées, c’est-à-dire un pro­ce­s­sus dyna­mi­que. En out­re, le pro­ce­s­sus de pro­fi­la­ge est ori­en­té vers un objec­tif pré­cis. Le con­te­nu de la noti­on de pro­fi­la­ge est adap­té à la ter­mi­no­lo­gie euro­pé­en­ne sur la base des avis expri­més lors de la pro­cé­du­re de con­sul­ta­ti­on et ne cou­vre plus que le trai­te­ment auto­ma­ti­sé de don­nées per­son­nel­les. Ain­si, le pro­fi­la­ge est défi­ni com­me l’éva­lua­ti­on de cer­tai­nes carac­té­ri­sti­ques d’u­ne per­son­ne sur la base de don­nées per­son­nel­les trai­tées de maniè­re auto­ma­ti­sée, notam­ment en vue d’ana­ly­ser ou de préd­ire le ren­de­ment au tra­vail, la situa­ti­on éco­no­mi­que, la san­té, le com­porte­ment, les inté­rêts, la loca­li­sa­ti­on ou la mobi­li­té. Cet­te ana­ly­se peut être effec­tuée, par exemp­le, pour déter­mi­ner si une per­son­ne est apte à exer­cer une acti­vi­té don­née. En d’aut­res ter­mes, le pro­fi­la­ge se carac­té­ri­se par le fait que des don­nées per­son­nel­les sont ana­ly­sées de maniè­re auto­ma­ti­sée afin d’éva­luer, sur la base de cet­te ana­ly­se, éga­le­ment de maniè­re auto­ma­ti­sée, les carac­té­ri­sti­ques d’u­ne per­son­ne. Il n’y a donc pro­fi­la­ge que si le pro­ce­s­sus d’éva­lua­ti­on est entiè­re­ment auto­ma­ti­sé. Par éva­lua­ti­on auto­ma­ti­sée, on entend tou­te éva­lua­ti­on réa­li­sée à l’ai­de de tech­ni­ques d’ana­ly­se assi­s­tées par ordi­na­teur. Des algo­rith­mes peu­vent éga­le­ment être uti­li­sés à cet­te fin, mais leur uti­li­sa­ti­on n’est pas con­sti­tu­ti­ve de l’e­xi­stence d’un pro­fi­la­ge. Au con­trai­re, il est sim­ple­ment exi­gé qu’un pro­ce­s­sus d’éva­lua­ti­on auto­ma­ti­sé ait lieu ; en revan­che, s’il n’y a qu’u­ne accu­mu­la­ti­on de don­nées sans qu’el­les soi­ent éva­luées, il n’y a pas enco­re de pro­fi­la­ge. L’éva­lua­ti­on auto­ma­ti­sée a lieu notam­ment pour ana­ly­ser ou préd­ire cer­ta­ins com­porte­ments de cet­te per­son­ne. La loi cite à tit­re d’exemp­le cer­tai­nes carac­té­ri­sti­ques d’u­ne per­son­ne tel­les que son ren­de­ment au tra­vail, sa situa­ti­on éco­no­mi­que ou sa san­té. Mais d’aut­res carac­té­ri­sti­ques sont éga­le­ment envi­sa­ge­ables, com­me les inté­rêts, la fia­bi­li­té ou le lieu de rési­dence. Le fait que le responsable du pro­fi­la­ge le fas­se pour son pro­pre comp­te ou pour celui d’un tiers est sans importance. Com­me la noti­on de pro­fil de la per­son­na­li­té n’est plus uti­li­sée, il faut éga­le­ment adap­ter les bases léga­les qui per­met­tent aux orga­nes fédé­raux de trai­ter des pro­fils de la per­son­na­li­té (cf. ch. 9.2.2). Les don­nées qui résul­tent d’un pro­fi­la­ge sont en prin­ci­pe des don­nées per­son­nel­les au sens de l’art. 4, let. a, P‑LPD. Selon l’ob­jet, il peut éga­le­ment s’a­gir de don­nées per­son­nel­les sen­si­bles. Lett­re g Vio­la­ti­on de la sécu­ri­té des données Con­trai­re­ment à l’a­vant-pro­jet, la P‑LPD con­ti­ent une défi­ni­ti­on de la vio­la­ti­on de la sécu­ri­té des don­nées, car il est appa­ru lors de la con­sul­ta­ti­on que cet­te noti­on n’é­tait pas assez clai­re. Il y a donc vio­la­ti­on de la sécu­ri­té des don­nées lorsqu’u­ne opé­ra­ti­on ent­raî­ne la per­te, l’effa­ce­ment ou la des­truc­tion de don­nées per­son­nel­les, leur modi­fi­ca­ti­on ou leur divul­ga­ti­on ou leur mise à dis­po­si­ti­on de per­son­nes non auto­ri­sées. Cela vaut indé­pen­dam­ment du fait que l’opé­ra­ti­on soit inten­ti­on­nel­le ou non, qu’el­le soit illi­ci­te ou non. La noti­on se rat­ta­che à l’ar­tic­le 7, selon lequel le responsable du trai­te­ment et le sous-trai­tant doi­vent prend­re des mesu­res tech­ni­ques et orga­ni­sa­ti­on­nel­les pour garan­tir la sécu­ri­té des don­nées. Le con­te­nu de cet­te noti­on cor­re­spond à l’ar­tic­le 7, para­gra­phe 2 E‑SEV 108Artic­le 3, para­gra­phe 11, de la direc­ti­ve Direc­ti­ve (UE) 2016/680 et l’ar­tic­le 4, para­gra­phe 12, de la Règle­ment (UE) 2016/679. Le seul élé­ment déter­mi­nant est de savoir si les opé­ra­ti­ons en que­sti­on ont eu lieu. Il n’est pas non plus per­ti­nent pour l’e­xi­stence d’u­ne vio­la­ti­on de la sécu­ri­té des don­nées de savoir s’il y avait sim­ple­ment la pos­si­bi­li­té que les don­nées per­son­nel­les soi­ent divul­guées ou ren­dues acce­s­si­bles à des per­son­nes non auto­ri­sées ou si un tel accès a effec­ti­ve­ment eu lieu. Si, par exemp­le, un sup­port de don­nées est per­du, il est sou­vent dif­fi­ci­le de prou­ver que les don­nées qui y sont stockées ont effec­ti­ve­ment été con­sul­tées ou uti­li­sées par des per­son­nes non auto­ri­sées. La per­te en tant que tel­le con­sti­tue donc déjà une vio­la­ti­on de la sécu­ri­té des don­nées. L’am­pleur et l’im­portance d’u­ne vio­la­ti­on de la sécu­ri­té des don­nées sont plutôt per­ti­nen­tes pour les mesu­res à prend­re, notam­ment l’éva­lua­ti­on du ris­que selon l’ar­tic­le 22, para­gra­phe 1. let. i Responsable L’E-DSG pré­voit de rem­pla­cer le ter­me de “maît­re de fichier” par celui de “responsable”, afin d’uti­li­ser la même ter­mi­no­lo­gie que dans le E‑SEV 108 (art. 2, let. d), dans laquel­le Direc­ti­ve (UE) 2016/680 (art. 3, ch. 8) et dans la Règle­ment (UE) 2016/679 (art. 4, ch. 7) est uti­li­sé. Hor­mis le fait que la réfé­rence au fichier est sup­p­ri­mée, il n’y a pas de chan­ge­ment maté­ri­el à cet égard. Com­me le maît­re du fichier, le responsable est celui qui déci­de de la fina­li­té et des moy­ens (trai­te­ment maté­ri­el ou auto­ma­ti­sé, logi­ciel uti­li­sé) du trai­te­ment. Dans le tex­te de loi alle­mand, seu­le la for­me mas­cu­li­ne est uti­li­sée, car les respons­ables sont prin­ci­pa­le­ment, mais pas exclu­si­ve­ment, des per­son­nes mora­les. let. j Sous-traitant Il s’a­git de la per­son­ne pri­vée ou de l’or­ga­ne fédé­ral qui trai­te des don­nées pour le comp­te du responsable du trai­te­ment. Cet­te noti­on cor­re­spond à cel­le uti­li­sée dans le E‑SEV 108 (art. 2, let. f), dans laquel­le Direc­ti­ve (UE) 2016/680 (art. 3, ch. 9) et dans la Règle­ment (UE) 2016/679 (art. 4, point 8). Le cont­rat ent­re le responsable du trai­te­ment et le sous-trai­tant peut être de dif­fé­ren­tes natures. Selon les obli­ga­ti­ons du sous-trai­tant, il peut s’a­gir d’un man­dat (art. 394 ss. CO), d’un cont­rat d’entre­pri­se (art. 363 ss. CO) ou d’un cont­rat mix­te. Le sous-trai­tant n’est plus un tiers à par­tir du moment où il com­mence son acti­vi­té con­trac­tu­el­le pour le comp­te du responsable du trai­te­ment. Dans le tex­te de loi alle­mand, seu­le la for­me mas­cu­li­ne est uti­li­sée, car les sous-trai­tants sont prin­ci­pa­le­ment, mais pas exclu­si­ve­ment, des per­son­nes mora­les. Ter­mes inchangés Les ter­mes sui­vants restent inchan­gés par rap­port au droit en vigueur ou ne subis­sent que des modi­fi­ca­ti­ons réd­ac­tion­nel­les : Com­mu­ni­quer (let. e) et Orga­ne fédé­ral (let. h). Ter­mes abrogés Out­re les noti­ons de pro­fil de la per­son­na­li­té et de maît­re du fichier, le pro­jet sup­p­rime les noti­ons suivantes : 

• Fichier de don­nées : l’E-DSG pré­voit de renon­cer à cet­te noti­on. Cela cor­re­spond à la solu­ti­on adop­tée dans le E‑SEV 108qui uti­li­se à la place le ter­me de – trai­te­ment des don­nées. Grâ­ce aux nou­vel­les tech­no­lo­gies, les don­nées peu­vent aujour­d’hui être uti­li­sées com­me un recueil de don­nées, même si elles ne sont pas stockées de maniè­re cen­tra­li­sée. Le pro­fi­la­ge, qui con­si­ste à accé­der à dif­fé­ren­tes sources qui ne con­sti­tu­ent pas des fichiers de don­nées pour éva­luer cer­tai­nes carac­té­ri­sti­ques d’u­ne per­son­ne sur la base des don­nées coll­ec­tées, en est un bon exemp­le. En ver­tu de la légis­la­ti­on actu­el­le, ces acti­vi­tés ne sont pas cou­ver­tes par les dis­po­si­ti­ons léga­les qui sup­po­sent l’e­xi­stence d’un fichier – com­me le droit d’ac­cès (Art. 8 LPD) ou l’ob­li­ga­ti­on d’in­for­ma­ti­on (Art. 14 LPD) – alors que c’est pré­cis­é­ment dans ce con­tex­te qu’u­ne plus gran­de trans­pa­rence est néces­saire. Par ail­leurs, le Con­seil fédé­ral fait remar­quer qu’u­ne par­tie de la doc­tri­ne inter­prè­te la noti­on de fichier de maniè­re très lar­ge. Dans ce con­tex­te, le critère déter­mi­nant est que l’at­tri­bu­ti­on de don­nées à une per­son­ne ne doit pas ent­raî­ner de char­ges dis­pro­por­ti­onnées. Loi au sens for­mel : l’E-DSG pré­voit de renon­cer à cet­te défi­ni­ti­on de la noti­on, car elle n’est pas nécessaire.
• Loi au sens for­mel : l’E-DSG pré­voit de renon­cer à cet­te défi­ni­ti­on des ter­mes, car elle n’est pas nécessaire.

al. 2 Léga­li­té et proportionnalité La ver­si­on fran­çai­se du para­gra­phe 2 subit une modi­fi­ca­ti­on réd­ac­tion­nel­le. En ver­tu du prin­ci­pe de pro­por­ti­on­na­li­té, seu­les les don­nées appro­priées et néces­saires à la fina­li­té du trai­te­ment peu­vent être trai­tées. En out­re, il doit y avoir un rap­port rai­sonnable ent­re la fina­li­té et les moy­ens uti­li­sés et les droits des per­son­nes con­cer­nées doi­vent être respec­tés dans la mesu­re du pos­si­ble (prin­ci­pe de pro­por­ti­on­na­li­té au sens strict). Les prin­cipes de pré­ven­ti­on et de mini­mi­sa­ti­on des don­nées en sont tous deux l’ex­pres­si­on. Le pre­mier impli­que que cet­te opti­on doit être pri­vilé­giée si la fina­li­té du trai­te­ment peut être att­ein­te sans que de nou­vel­les don­nées soi­ent coll­ec­tées. Le second exi­ge que seu­les les don­nées abso­lu­ment néces­saires à la fina­li­té pour­suivie soi­ent trai­tées. Ces deux prin­cipes doi­vent être appli­qués dès la pha­se de con­cep­ti­on. doi­vent déjà être respec­tés lors de la pla­ni­fi­ca­ti­on de nou­veaux systè­mes. Ils se recou­pent donc en par­tie avec les prin­cipes de la pro­tec­tion des don­nées par la tech­ni­que et par défaut (voir les expli­ca­ti­ons rela­ti­ves à l’art. 6 P‑LPD). Al. 3 Affec­ta­ti­on à un but pré­cis et reconnaissabilité L’a­li­néa 3 réu­nit les prin­cipes de fina­li­té et de recon­naissa­bi­li­té actu­el­le­ment con­te­nus dans les ali­né­as 3 et 4 de la loi. Afin que le droit fédé­ral soit plus con­for­me au libel­lé du E‑SEV 108 (art. 5, al. 4, let. b), la P‑LPD pré­voit que les don­nées ne peu­vent être coll­ec­tées que dans un but pré­cis et iden­ti­fia­ble par la per­son­ne con­cer­née. Cet­te nou­vel­le for­mu­la­ti­on n’en­traî­ne aucun chan­ge­ment maté­ri­el par rap­port au droit en vigueur. Tant la coll­ec­te des don­nées que la fina­li­té de leur trai­te­ment doi­vent être recon­naissa­bles. C’est en prin­ci­pe le cas si la per­son­ne con­cer­née est infor­mée, si le trai­te­ment est pré­vu par la loi ou s’il res­sort clai­re­ment des cir­con­stances. Le carac­tère déter­mi­né de la fina­li­té impli­que que des fina­li­tés de trai­te­ment vagues, non défi­nies ou impré­cis­es ne suf­fi­sent pas. Ce carac­tère s’ap­pré­cie en fonc­tion des cir­con­stances, en trou­vant un équi­lib­re ent­re les inté­rêts des per­son­nes con­cer­nées et ceux du responsable du trai­te­ment ou du sous-trai­tant et de la socié­té. Le para­gra­phe 3 stipu­le que les don­nées ne peu­vent être trai­tées que d’u­ne maniè­re com­pa­ti­ble avec la fina­li­té initia­le. Cet­te nou­vel­le for­mu­la­ti­on per­met un rappro­che­ment ter­mi­no­lo­gi­que de la loi avec le E‑SEV 108 (art. 5, al. 4, let. b). Elle n’ap­por­te tou­te­fois pas de modi­fi­ca­ti­ons essen­ti­el­les : com­me c’est déjà le cas aujour­d’hui, le trai­te­ment ulté­ri­eur n’est pas auto­ri­sé si la per­son­ne con­cer­née peut légiti­me­ment le con­sidé­rer com­me inat­ten­du, inop­por­tun ou con­test­a­ble (voir éga­le­ment le point 47 du rap­port expli­ca­tif rela­tif à la loi sur la pro­tec­tion des don­nées). E‑SEV 108 de CAHDATA). Les cas sui­vants sont envisageables : 

• la réuti­li­sa­ti­on à des fins publi­ci­taires d’adres­ses coll­ec­tées lors de la coll­ec­te de signa­tures pour une cam­pa­gne politique ;
• la coll­ec­te et l’ana­ly­se de don­nées sur les habi­tu­des de con­som­ma­ti­on (à des fins aut­res que la lut­te cont­re la frau­de) sur la base de pai­ements effec­tués avec une car­te de cré­dit ou de cli­ent, sans le con­sen­te­ment de la per­son­ne concernée ;
• la coll­ec­te et l’uti­li­sa­ti­on d’adres­ses élec­tro­ni­ques que la per­son­ne con­cer­née a com­mu­ni­quées sur Inter­net dans un but pré­cis, afin d’en­voy­er ulté­ri­eu­re­ment des mes­sa­ges de spam ; l’ob­ten­ti­on par une ent­re­pri­se pri­vée d’adres­ses IP de déten­teurs de con­ne­xi­on pro­po­sant des copies pira­tes à télé­char­ger. En revan­che, si la per­son­ne con­cer­née trans­met son adres­se en vue d’ob­te­nir une car­te de fidé­li­té ou de pas­ser une com­man­de (en ligne ou non), la réuti­li­sa­ti­on de cet­te adres­se par l’entre­pri­se con­cer­née à des fins de pro­s­pec­tion s’in­scrit dans le cad­re d’u­ne fina­li­té initia­le­ment iden­ti­fia­ble et peut donc être con­sidé­rée com­me com­pa­ti­ble avec la fina­li­té initia­le. Si la modi­fi­ca­ti­on de la fina­li­té initia­le est pré­vue par la loi, si elle est exi­gée par une modi­fi­ca­ti­on de la loi ou si elle est légiti­mée par un aut­re motif justi­fi­ca­tif (par exemp­le le con­sen­te­ment de la per­son­ne con­cer­née), le trai­te­ment ulté­ri­eur est éga­le­ment con­sidé­ré com­me com­pa­ti­ble avec la fina­li­té initiale.

al. 4 Durée de con­ser­va­ti­on des don­nées personnelles Selon l’a­li­néa 4, les don­nées doi­vent être détrui­tes ou ren­dues anony­mes dès qu’el­les ne sont plus néces­saires au but du trai­te­ment. Cela cor­re­spond aux exi­gen­ces du E‑SEV 108 (art. 5, al. 4, let. e, cf. éga­le­ment le ch. 51 du pro­jet de rap­port expli­ca­tif rela­tif à la loi sur la pro­tec­tion des don­nées). E‑SEV 108 du CAHDATA), le Direc­ti­ve (UE) 2016/680 (art. 4, al. 1, let. e) et la Règle­ment (UE) 2016/679 (art. 5, al. 1, let. e). Cet­te obli­ga­ti­on découle éga­le­ment impli­ci­te­ment du prin­ci­pe géné­ral de pro­por­ti­on­na­li­té énon­cé à l’a­li­néa 2 de la dis­po­si­ti­on. Le Con­seil fédé­ral esti­me tou­te­fois qu’il est important de fixer expres­sé­ment cet­te obli­ga­ti­on comp­te tenu de l’é­vo­lu­ti­on tech­no­lo­gi­que et des pos­si­bi­li­tés de stocka­ge pres­que illi­mi­tées. Le respect de cet­te obli­ga­ti­on impli­que que le responsable fixe des délais de con­ser­va­ti­on. Les régle­men­ta­ti­ons spé­cia­les qui pré­voi­ent des délais de con­ser­va­ti­on par­ti­cu­liers sont réser­vées. al. 5 Exactitude L’ar­tic­le 5, para­gra­phe 5, de la P‑LPD reprend le prin­ci­pe de l’e­xac­ti­tu­de des don­nées, actu­el­le­ment en Artic­le 5 LPD est inclu­se. De cet­te maniè­re, les prin­cipes essen­tiels de la pro­tec­tion des don­nées sont regrou­pés dans une seu­le dis­po­si­ti­on, com­me le pré­voit l’ar­tic­le 5 de la direc­ti­ve. E‑SEV 108, à l’ar­tic­le 4 de la Direc­ti­ve (UE) 2016/680 et à l’ar­tic­le 5 de la Règle­ment (UE) 2016/679 est le cas. Dans le tex­te fran­çais, le ter­me “cor­rec­tes” est rem­pla­cé par “exac­tes” ; en alle­mand et en ita­li­en, la ter­mi­no­lo­gie uti­li­sée con­cor­de déjà. L’a­li­néa stipu­le que tou­te per­son­ne qui trai­te des don­nées doit s’assurer de leur exac­ti­tu­de. Elle doit prend­re tou­tes les mesu­res rai­sonn­ables pour que les don­nées qui sont inexac­tes ou incom­plè­tes au regard des fina­li­tés pour les­quel­les elles ont été coll­ec­tées ou trai­tées soi­ent rec­ti­fi­ées, effa­cées ou détrui­tes. Les don­nées qui ne peu­vent pas être cor­ri­gées ou com­plé­tées doi­vent être effa­cées ou détrui­tes. L’é­ten­due de cet­te obli­ga­ti­on de s’assurer est à déter­mi­ner au cas par cas. Elle dépend notam­ment de la fina­li­té et de l’é­ten­due du trai­te­ment ain­si que de la natu­re des don­nées trai­tées. Selon les cas, cet­te obli­ga­ti­on peut signi­fier que les don­nées doi­vent être tenues à jour. Cer­tai­nes obli­ga­ti­ons léga­les peu­vent s’op­po­ser à la rec­ti­fi­ca­ti­on, à l’effa­ce­ment ou à la mise à jour des don­nées. En out­re, le prin­ci­pe d’e­xac­ti­tu­de et les obli­ga­ti­ons qui en décou­lent doi­vent être con­sidé­rés de maniè­re dif­fé­ren­ciée en ce qui con­cer­ne les acti­vi­tés des archi­ves, musées, biblio­t­hè­ques et aut­res insti­tu­ti­ons de mémoi­re. La mis­si­on de tel­les insti­tu­ti­ons est notam­ment de coll­ec­ter, de réper­tori­er, de con­ser­ver et de com­mu­ni­quer des docu­ments (y com­pris numé­ri­ques) de tou­te natu­re (cf. art. 2, al. 1 de la loi sur la Biblio­t­hè­que natio­na­le du 18 décembre 1992). Les docu­ments en que­sti­on ne doi­vent pas être modi­fi­és en tant que tels, car cela irait à l’en­cont­re du but de l’ar­chivage. En effet, les archi­ves doi­vent per­mett­re, à l’ai­de de docu­ments, d’ob­te­nir un instanta­né du pas­sé, dont l’ ”exac­ti­tu­de” rési­de uni­quement dans le fait que les docu­ments en que­sti­on sont repro­duits fidè­le­ment à l’o­ri­gi­nal. En d’aut­res ter­mes, les archi­ves resti­tu­ent ce qui s’est pas­sé dans le pas­sé, indé­pen­dam­ment du fait que cela soit enco­re con­sidé­ré com­me exact dans la per­spec­ti­ve actu­el­le. Cet­te acti­vi­té spé­ci­fi­que pré­sen­te un inté­rêt public con­sidé­ra­ble (voir à ce sujet les art. 28, al. 1, let. b, et 37, al. 5, P‑LPD ain­si que les expli­ca­ti­ons cor­re­spond­an­tes aux ch. 9.1.6 et 9.1.7). al. 6 Consentement Dans la mesu­re où le con­sen­te­ment de la per­son­ne con­cer­née est requis, il n’est valable, con­for­mé­ment au para­gra­phe 6, que s’il est don­né libre­ment et sans équi­vo­que pour un ou plu­sieurs trai­te­ments déter­mi­nés, après avoir été dûment infor­mé. La per­son­ne con­cer­née exprime ain­si son con­sen­te­ment à une att­ein­te à sa per­son­na­li­té, en l’oc­cur­rence par un trai­te­ment de don­nées. La for­mu­la­ti­on quel­que peu modi­fi­ée per­met un rappro­che­ment ter­mi­no­lo­gi­que avec le E‑SEV 108 (art. 5, al. 2), afin de répond­re à ses exi­gen­ces. Il n’en résul­te tou­te­fois aucun chan­ge­ment fon­da­men­tal de la situa­ti­on juri­di­que actu­el­le. Com­me dans le droit actuel, pour qu’un con­sen­te­ment soit valable, le trai­te­ment, en par­ti­cu­lier son éten­due et sa fina­li­té, doit être suf­fi­sam­ment défi­ni. Le con­sen­te­ment peut éga­le­ment être don­né pour plu­sieurs trai­te­ments simi­lai­res ou dif­fér­ents. De même, il est pos­si­ble que la fina­li­té du trai­te­ment néces­si­te dif­fér­ents trai­te­ments. Par exemp­le, le trai­te­ment médi­cal auprès d’un méde­cin peut néces­si­ter un éch­an­ge avec des spé­cia­li­stes et des ser­vices pré- ou post-trai­te­ment, de même que le trai­te­ment à des fins de fac­tu­ra­ti­on ou de cla­ri­fi­ca­ti­on avec des assu­ran­ces. Le con­sen­te­ment doit cou­vr­ir la fina­li­té du trai­te­ment pour laquel­le il sert de motif justi­fi­ca­tif. Si les don­nées sont trai­tées à d’aut­res fins pour les­quel­les le con­sen­te­ment n’a pas été don­né, ce trai­te­ment doit être justi­fié par d’aut­res motifs. Le con­sen­te­ment doit en out­re être uni­vo­que. Il doit donc res­sor­tir clai­re­ment de la décla­ra­ti­on de la per­son­ne con­cer­née. Cela dépend des cir­con­stances con­crè­tes du cas d’e­spè­ce. Con­for­mé­ment au prin­ci­pe de pro­por­ti­on­na­li­té, le con­sen­te­ment doit être d’autant plus clair que les don­nées per­son­nel­les en que­sti­on sont sen­si­bles. Com­me aupa­ra­vant, le con­sen­te­ment peut être don­né sans for­me par­ti­cu­liè­re et n’est donc notam­ment pas lié à une décla­ra­ti­on écri­te. Un con­sen­te­ment uni­vo­que au sens du para­gra­phe 6 peut éga­le­ment être don­né par une décla­ra­ti­on de volon­té taci­te (cf. Art. 1 CO). Il y a con­sen­te­ment lorsque l’ex­pres­si­on de la volon­té ne résul­te pas de la décla­ra­ti­on elle-même, mais d’un com­porte­ment qui, en rai­son des cir­con­stances dans les­quel­les il inter­vi­ent, peut être com­pris com­me une expres­si­on clai­re de la volon­té. C’est le cas de ce que l’on appel­le le com­porte­ment impli­ci­te, dans lequel la per­son­ne qui fait la décla­ra­ti­on exprime sa volon­té en la rendant clai­re par un acte cor­re­spond­ant, par exemp­le en exé­cutant son obli­ga­ti­on con­trac­tu­el­le. Il doit donc y avoir une mani­fe­sta­ti­on de volon­té, de sor­te qu’un simp­le silence ou une inac­tion ne peu­vent en prin­ci­pe pas être con­sidé­rés com­me un con­sen­te­ment valable à une att­ein­te à la per­son­na­li­té. Demeu­re réser­vé Artic­le 6 du COlorsque les par­ties ont con­ve­nu que le silence valait con­sen­te­ment. Selon la deu­xiè­me phra­se de l’al. 6, le con­sen­te­ment doit être exprès lorsqu’il s’a­git du trai­te­ment de don­nées per­son­nel­les sen­si­bles et du pro­fi­la­ge. Le con­sen­te­ment pour le pro­fi­la­ge est éga­le­ment sou­mis à des exi­gen­ces accrues, com­me c’est déjà le cas dans le droit en vigueur pour le trai­te­ment de pro­fils de la per­son­na­li­té. “Expli­ci­te­ment” est une exi­gence accrue pour le con­sen­te­ment “sans équi­vo­que” selon la pre­miè­re phra­se de cet­te dis­po­si­ti­on. La por­tée de cet­te exi­gence est déjà par­ti­el­le­ment con­te­stée dans le droit actuel. Le Con­seil fédé­ral ne voit cepen­dant aucu­ne rai­son de s’é­car­ter de la situa­ti­on juri­di­que actu­el­le. Tou­te­fois, afin de cla­ri­fier les noti­ons, les ter­mes “expli­ci­te” et “espli­ci­to” sont rem­pla­cés par les ter­mes “exprès” et “espres­so” dans les ver­si­ons fran­çai­se et ita­li­en­ne du tex­te, s’a­li­gnant ain­si sur la ter­mi­no­lo­gie de Artic­le 1 CO a été adap­té en con­sé­quence. Le tex­te alle­mand ne subit aucu­ne modi­fi­ca­ti­on. Une décla­ra­ti­on de volon­té est “expres­se” lorsqu’el­le est fai­te par des mots écrits ou par­lés ou par un signe et que la volon­té expri­mée res­sort direc­te­ment des mots ou du signe uti­li­sés. L’ex­pres­si­on de la volon­té en tant que tel­le doit déjà cla­ri­fier la volon­té par la maniè­re dont elle est fai­te. Cela est notam­ment pos­si­ble en cochant une case, en sélec­tion­nant acti­ve­ment cer­ta­ins paramè­tres tech­ni­ques pour les ser­vices d’u­ne ent­re­pri­se de trai­te­ment de l’in­for­ma­ti­on ou en faisant d’aut­res décla­ra­ti­ons. Il en va de même pour l’ex­pres­si­on non ver­ba­le au moy­en d’un signe clair dans le con­tex­te con­cret ou d’un mou­ve­ment cor­re­spond­ant, ce qui peut notam­ment être fré­quem­ment le cas dans le cad­re d’u­ne rela­ti­on de trai­te­ment médi­cal. On peut citer com­me exemp­le le fait de hoch­er la tête en signe d’ap­pro­ba­ti­on ou d’ou­vr­ir la bou­che pour pré­le­ver la muqueu­se des joues à la suite d’u­ne infor­ma­ti­on clai­re. Lorsqu’un con­sen­te­ment expli­ci­te est requis, il ne peut pas être don­né tacitement. 

L’ar­tic­le 6 de la P‑LPD intro­duit l’ob­li­ga­ti­on de pro­tec­tion des don­nées par la tech­ni­que ain­si que par des paramè­tres par défaut favor­ables à la pro­tec­tion des don­nées. Com­me ces obli­ga­ti­ons sont étroi­te­ment liées aux prin­cipes de pro­tec­tion des don­nées, elles ont été trans­fé­rées dans les dis­po­si­ti­ons géné­ra­les de pro­tec­tion des don­nées. La nor­me met en œuvre les exi­gen­ces de l’ar­tic­le 8, chif­fre 3 E‑SEV 108 ain­si que de l’ar­tic­le 20, para­gra­phe 1, de la Direc­ti­ve (UE) 2016/680 um. L’ar­tic­le 25 de la Règle­ment (UE) 2016/679 con­ti­ent une dis­po­si­ti­on simi­lai­re. al. 1 Pro­tec­tion des don­nées par la technique L’a­li­néa 1 exi­ge du responsable du trai­te­ment qu’il orga­ni­se le trai­te­ment des don­nées dès le moment de la pla­ni­fi­ca­ti­on de maniè­re à ce que les dis­po­si­ti­ons pri­ses per­met­tent de mett­re en œuvre les pre­scrip­ti­ons en matiè­re de pro­tec­tion des don­nées. L’ob­li­ga­ti­on de “pro­tec­tion des don­nées par la tech­ni­que” (Pri­va­cy by Design) est ain­si intro­duite. L’i­dée de base de la pro­tec­tion des don­nées basée sur la tech­ni­que est que la tech­ni­que et le droit se com­plè­tent mutu­el­le­ment. Ain­si, la tech­no­lo­gie respec­tueu­se de la pro­tec­tion des don­nées peut rédui­re le beso­in de règles juri­di­ques (ou de codes de con­duite), dans la mesu­re où les mesu­res tech­ni­ques ren­dent impos­si­ble la vio­la­ti­on des dis­po­si­ti­ons rela­ti­ves à la pro­tec­tion des don­nées ou, du moins, rédui­sent con­sidé­ra­blem­ent le ris­que. Par­al­lè­le­ment, les tech­no­lo­gies respec­tueu­ses de la pro­tec­tion des don­nées sont indis­pens­ables à la mise en œuvre pra­tique des règles de pro­tec­tion des don­nées. En effet, le trai­te­ment des don­nées est déjà omni­pré­sent à bien des égards et tend à se déve­lo­p­per (ubi­qui­tous com­pu­ting). Il en résul­te des quan­ti­tés de don­nées à pei­ne visi­bles qui doi­vent être trai­tées con­for­mé­ment aux règles de pro­tec­tion des don­nées et pour les­quel­les les mesu­res tech­ni­ques sont essen­ti­el­les. Glo­ba­le­ment, la pro­tec­tion des don­nées basée sur la tech­no­lo­gie ne vise pas une tech­no­lo­gie par­ti­cu­liè­re. Il s’a­git plutôt de conce­voir des systè­mes de trai­te­ment des don­nées sur le plan tech­ni­que et orga­ni­sa­ti­on­nel de maniè­re à ce qu’ils respec­tent notam­ment les prin­cipes énon­cés à l’ar­tic­le 5 de la P‑LPD. En d’aut­res ter­mes, les exi­gen­ces léga­les pour un trai­te­ment con­for­me à la pro­tec­tion des don­nées sont déjà mises en œuvre dans le système de maniè­re à ce que celui-ci rédui­se ou exclue le ris­que de vio­la­ti­on des pre­scrip­ti­ons en matiè­re de pro­tec­tion des don­nées. Il est par exemp­le pos­si­ble de veil­ler à ce que les don­nées soi­ent effa­cées à inter­val­les régu­liers ou anony­mi­sées de maniè­re stan­dard. Il est par­ti­cu­liè­re­ment important pour La mini­mi­sa­ti­on des don­nées, qui découle déjà des prin­cipes géné­raux de l’ar­tic­le 5 P‑LPD, est par­ti­cu­liè­re­ment importan­te pour la pro­tec­tion des don­nées basée sur la tech­no­lo­gie. Con­for­mé­ment au con­cept de mini­mi­sa­ti­on des don­nées, un trai­te­ment de don­nées est con­çu dès le départ de maniè­re à ce que le moins de don­nées pos­si­ble soi­ent pro­dui­tes et trai­tées ou que les don­nées soi­ent con­ser­vées le moins long­temps pos­si­ble. Les orga­nes fédé­raux doi­vent dès aujour­d’hui annon­cer sans délai aux respons­ables de la pro­tec­tion des don­nées qu’ils ont dési­gnés ou, à défaut, au pré­po­sé, tous les pro­jets de trai­te­ment auto­ma­ti­sé de don­nées per­son­nel­les, afin que les exi­gen­ces de la pro­tec­tion des don­nées soi­ent pri­ses en comp­te dès la pla­ni­fi­ca­ti­on (Art. 20 OLPD). al. 2 Adé­qua­ti­on des mesures L’al. 2 pré­cise les exi­gen­ces aux­quel­les doi­vent répond­re les mesu­res visées à l’al. 1. Cel­les-ci doi­vent notam­ment être appro­priées au regard de l’é­tat de la tech­ni­que, de la natu­re et de l’am­pleur du trai­te­ment des don­nées ain­si que de la pro­ba­bi­li­té et de la gra­vi­té des ris­ques que le trai­te­ment en que­sti­on fait peser sur la per­son­na­li­té et les droits fon­da­men­taux de la per­son­ne con­cer­née. La pré­sen­te dis­po­si­ti­on se réfè­re aux trai­te­ments de don­nées effec­tués par des respons­ables de trai­te­ment pri­vés et des orga­nes fédé­raux, de sor­te qu’il est que­sti­on de ris­ques pour la per­son­na­li­té et les droits fon­da­men­taux. La nor­me exprime l’appro­che basée sur les ris­ques. Le ris­que inhé­rent à un trai­te­ment doit être mis en rela­ti­on avec les pos­si­bi­li­tés tech­ni­ques de le rédui­re. Plus le ris­que est éle­vé, plus la pro­ba­bi­li­té d’oc­cur­rence est gran­de et plus le trai­te­ment de don­nées est important, plus les exi­gen­ces posées aux mesu­res tech­ni­ques sont éle­vées pour qu’el­les pui­s­sent être con­sidé­rées com­me adé­qua­tes au sens de la pré­sen­te dis­po­si­ti­on. al. 3 Pré­fé­ren­ces favor­ables à la pro­tec­tion des données Selon l’al. 3, le responsable est tenu de veil­ler, au moy­en de pré­rég­la­ges appro­priés, à ce que le nombre de don­nées per­son­nel­les trai­tées soit en prin­ci­pe aus­si fai­ble que pos­si­ble comp­te tenu de l’uti­li­sa­ti­on pré­vue, à moins que la per­son­ne con­cer­née n’en déci­de autre­ment. Cela intro­duit l’ob­li­ga­ti­on d’uti­li­ser des paramè­tres par défaut favor­ables à la pro­tec­tion des don­nées (Pri­va­cy by Default). Les paramè­tres par défaut sont les paramè­tres, notam­ment des logi­ciels, qui sont appli­qués par défaut, c’est-à-dire si l’uti­li­sa­teur ne les modi­fie pas. Ces paramè­tres par défaut peu­vent être défi­nis en usi­ne ou pro­gram­més en con­sé­quence, com­me c’est par exemp­le le cas lorsqu’u­ne impri­man­te don­née est défi­nie com­me impri­man­te par défaut. Dans le con­tex­te d’un trai­te­ment de don­nées, cela signi­fie que le pro­ce­s­sus de trai­te­ment en que­sti­on est con­fi­gu­ré par défaut de la maniè­re la plus respec­tueu­se pos­si­ble de la pro­tec­tion des don­nées, à moins que la per­son­ne con­cer­née ne modi­fie ces paramè­tres pré­dé­fi­nis. On pour­rait par exemp­le ima­gi­ner qu’un site web auto­ri­se en prin­ci­pe les achats sans qu’il soit néces­saire de cré­er un pro­fil d’uti­li­sa­teur. Les cli­ents doi­vent uni­quement four­nir des infor­ma­ti­ons mini­ma­les tel­les que leur nom et leur adres­se. Tou­te­fois, si les cli­ents sou­hai­tent béné­fi­ci­er d’aut­res ser­vices de ce site, par exemp­le l’ac­cès à l’en­sem­ble de leurs achats pas­sés ou la créa­ti­on de listes de sou­haits d’achat, ils doi­vent cré­er un pro­fil d’uti­li­sa­teur, ce qui ent­raî­ne éga­le­ment un trai­te­ment plus com­plet de leurs don­nées per­son­nel­les. Cela met en évi­dence le lien étroit ent­re l’uti­li­sa­ti­on d’u­ne tech­no­lo­gie respec­tueu­se de la pro­tec­tion des don­nées et le prin­ci­pe de mini­mi­sa­ti­on des don­nées. Ain­si, les pré­rég­la­ges cor­re­spond­ants font régu­liè­re­ment par­tie de la con­cep­ti­on respec­tueu­se de la pro­tec­tion des don­nées de l’en­sem­ble d’un système. Les pos­si­bi­li­tés d’in­fluence de la per­son­ne con­cer­née sont tou­te­fois spé­ci­fi­ques aux pré­rég­la­ges favor­ables à la pro­tec­tion des don­nées. Alors que cel­le-ci ne peut guè­re influen­cer le système en tant que tel, les paramè­tres par défaut favor­ables à la pro­tec­tion des don­nées lui don­nent tout au plus la pos­si­bi­li­té de fai­re un aut­re choix. Elles sont donc étroi­te­ment liées au con­sen­te­ment de la per­son­ne con­cer­née (cf. art. 5, al. 6, P‑LPD). Ain­si, les paramè­tres par défaut favor­ables à la pro­tec­tion des don­nées per­met­tent à la per­son­ne con­cer­née de con­sen­tir à un cer­tain trai­te­ment de don­nées. Le prin­ci­pe de la pro­tec­tion des don­nées au moy­en de pré­rég­la­ges joue un rôle second­ai­re dans le sec­teur public, car le trai­te­ment des don­nées y repo­se moins sur le con­sen­te­ment de la per­son­ne con­cer­née que sur des obli­ga­ti­ons léga­les. Le responsable du trai­te­ment peut notam­ment démon­trer, par le biais de la cer­ti­fi­ca­ti­on ou d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées, qu’il respec­te les obli­ga­ti­ons pré­vues par cet­te disposition. 

L’ar­tic­le 7 E‑DSG reprend Artic­le 7 LPD avec quel­ques modi­fi­ca­ti­ons. L’ob­li­ga­ti­on d’assurer la sécu­ri­té des don­nées est une exi­gence du E‑SEV 108 (art. 7) et la Direc­ti­ve (UE) 2016/680 (art. 29). Le site Règle­ment (UE) 2016/679 (art. 32) con­ti­ent une régle­men­ta­ti­on simi­lai­re. Le responsable du trai­te­ment et le sous-trai­tant doi­vent garan­tir une sécu­ri­té des don­nées adap­tée au ris­que par des mesu­res tech­ni­ques et orga­ni­sa­ti­on­nel­les appro­priées. Cela reflè­te l’appro­che basée sur les ris­ques. Plus le ris­que de vio­la­ti­on de la sécu­ri­té des don­nées est grand, plus les exi­gen­ces rela­ti­ves aux mesu­res à prend­re sont éle­vées. L’a­li­néa 2 défi­nit l’ob­jec­tif de ces mesu­res. Cel­les-ci doi­vent per­mett­re d’é­vi­ter les vio­la­ti­ons de la sécu­ri­té des don­nées, c’est-à-dire tou­te vio­la­ti­on de la sécu­ri­té qui, indé­pen­dam­ment de son carac­tère inten­ti­on­nel ou illi­ci­te, ent­raî­ne la per­te, l’effa­ce­ment, la des­truc­tion ou la modi­fi­ca­ti­on de don­nées per­son­nel­les ou leur divul­ga­ti­on ou leur mise à dis­po­si­ti­on de per­son­nes non auto­ri­sées (art. 4, let. g, P‑LPD). Ces mesu­res peu­vent être par exemp­le : la pseud­ony­mi­sa­ti­on des don­nées per­son­nel­les, des mesu­res visa­nt à pré­ser­ver la con­fi­den­tia­li­té et la dis­po­ni­bi­li­té du système ou de ses ser­vices, le déve­lo­p­pe­ment de pro­cé­du­res per­met­tant de véri­fier, d’ana­ly­ser et d’éva­luer régu­liè­re­ment l’ef­fi­ca­ci­té des mesu­res de sécu­ri­té pri­ses. La pro­tec­tion et la sécu­ri­té des don­nées sont cer­tes en inter­ac­tion, mais doi­vent être distin­guées l’u­ne de l’aut­re. La pro­tec­tion des don­nées con­cer­ne la pro­tec­tion de la per­son­na­li­té de l’in­di­vi­du. La sécu­ri­té des don­nées, en revan­che, vise de maniè­re géné­ra­le les don­nées déte­nues par un responsable ou un sous-trai­tant et com­prend le cad­re tech­ni­que et orga­ni­sa­ti­on­nel géné­ral du trai­te­ment des don­nées. Par con­sé­quent, la pro­tec­tion indi­vi­du­el­le des don­nées n’est pos­si­ble que si des mesu­res tech­ni­ques géné­ra­les sont pri­ses pour assurer la sécu­ri­té des don­nées. Il en résul­te éga­le­ment une distinc­tion ent­re l’ob­li­ga­ti­on de sécu­ri­té des don­nées visée à l’ar­tic­le 7 P‑LPD et la pro­tec­tion des don­nées par des moy­ens tech­ni­ques visée à l’ar­tic­le 6, para­gra­phe 1, P‑LPD. L’ar­tic­le 7 obli­ge tant le responsable du trai­te­ment que le sous-trai­tant à pré­voir une archi­tec­tu­re de sécu­ri­té appro­priée pour leurs systè­mes et à les pro­té­ger, par exemp­le, cont­re les logi­ciels mal­veil­lants ou la per­te de don­nées. L’ar­tic­le 6, para­gra­phe 1, vise quant à lui à garan­tir par des moy­ens tech­ni­ques le respect des pre­scrip­ti­ons en matiè­re de pro­tec­tion des don­nées, par exemp­le à fai­re en sor­te que le trai­te­ment des don­nées reste pro­por­ti­onné. Cer­tai­nes mesu­res, com­me l’an­ony­mi­sa­ti­on des don­nées, peu­vent être importan­tes pour les deux obli­ga­ti­ons. L’al. 3 obli­ge le Con­seil fédé­ral à défi­nir des exi­gen­ces mini­ma­les en matiè­re de sécu­ri­té des données. 

L’ar­tic­le 8 reprend en sub­stance l’ac­tuel Artic­le 10a LPD (trai­te­ment des don­nées par des tiers). Les al. 1, 2 et 4 con­ti­en­nent des modi­fi­ca­ti­ons ter­mi­no­lo­gi­ques néces­saires en rai­son des nou­vel­les noti­ons (sous-trai­tant, responsable). Com­me dans le droit en vigueur, on peut notam­ment rete­nir que le trai­te­ment sur man­dat des don­nées per­son­nel­les qui sont trai­tées par Artic­le 321 du Code pénal (p. ex. don­nées cou­ver­tes par le secret pro­fes­si­on­nel) n’est pas exclue par la dis­po­si­ti­on de l’ar­tic­le 8, para­gra­phe 1, lett­re b, P‑LPD, si les tiers sont des auxi­li­ai­res au sens de l’ar­tic­le 321, chif­fre 1, ali­néa 1, CP. Si les aut­res con­di­ti­ons du trai­te­ment des com­man­des sont rem­plies, celui-ci est donc auto­ri­sé sans que la per­son­ne con­cer­née doi­ve en plus don­ner son con­sen­te­ment. L’al. 1 éta­blit un devoir de dili­gence pour le responsable afin de garan­tir les droits de la per­son­ne con­cer­née lors du trai­te­ment des com­man­des. Le responsable du trai­te­ment doit veil­ler acti­ve­ment à ce que le sous-trai­tant respec­te la loi dans la même mesu­re que lui-même. Cela con­cer­ne notam­ment le respect des prin­cipes géné­raux, des règles rela­ti­ves à la sécu­ri­té des don­nées, qui sont expres­sé­ment men­ti­onnées à l’a­li­néa 2, ain­si que des règles rela­ti­ves à la com­mu­ni­ca­ti­on à l’étran­ger. Le responsable doit, par ana­lo­gie avec Artic­le 55 du CO empêcher tou­te vio­la­ti­on de la LPD. Il est donc tenu de choi­sir soi­gneu­se­ment son sous-trai­tant, de l’in­strui­re de maniè­re appro­priée et de le sur­veil­ler autant que néces­saire. L’a­li­néa 3 est nou­veau et pré­voit que le sous-trai­tant ne peut con­fier le trai­te­ment à un tiers qu’a­vec l’au­to­ri­sa­ti­on pré­alable du responsable du trai­te­ment. Dans le sec­teur pri­vé, cet­te auto­ri­sa­ti­on n’est sou­mi­se à aucu­ne for­me par­ti­cu­liè­re. Le sous-trai­tant doit tou­te­fois prou­ver que l’au­to­ri­sa­ti­on a été obte­nue. Il est donc dans son inté­rêt de le docu­men­ter. Dans le sec­teur public, en revan­che, l’au­to­ri­sa­ti­on doit être don­née par écrit. Il s’a­git d’u­ne exi­gence de la Direc­ti­ve (UE) 2016/680 (art. 22, al. 2). Le Con­seil fédé­ral le pré­cis­e­ra dans une ordon­nan­ce. Dans le sec­teur pri­vé com­me dans le sec­teur public, l’au­to­ri­sa­ti­on peut être spé­ci­fi­que ou géné­ra­le. Dans ce der­nier cas, le sous-trai­tant infor­me le responsable de tout chan­ge­ment (inter­ven­ti­on ou rem­pla­ce­ment d’aut­res sous-trai­tants) afin qu’il pui­s­se s’op­po­ser à ces modi­fi­ca­ti­ons. Le trai­te­ment de don­nées au sein d’u­ne même per­son­ne mora­le (filia­le, unité admi­ni­stra­ti­ve, col­la­bo­ra­teurs) ne con­sti­tue en prin­ci­pe pas un trai­te­ment par des sous-trai­tants. Si les don­nées sont con­ser­vées dans un “nuage”, il s’a­git en prin­ci­pe d’un cas d’ap­pli­ca­ti­on du trai­te­ment sur com­man­de, qui doit rem­plir les con­di­ti­ons cor­re­spond­an­tes. Si des don­nées sont com­mu­ni­quées à l’étran­ger, les con­di­ti­ons des artic­les 13 et 14 doi­vent éga­le­ment être remplies. 

L’ar­tic­le 9 régit le con­seil­ler inter­ne à la pro­tec­tion des don­nées. Le droit actuel uti­li­se en alle­mand le ter­me de Daten­schutz­ver­ant­wort­li­cher, en ita­li­en responsa­bi­le, alors qu’en fran­çais il est que­sti­on de con­seil­ler (art. 11a, al. 5, let. e, LPD). Afin d’é­vi­ter tou­te con­fu­si­on avec le responsable au sens de l’art. 4, let. i, P‑LPD ou avec le responsa­bi­le au sens de l’art. 4, let. j, P‑LPD, le P‑LPD intro­duit en alle­mand et en ita­li­en le ter­me de Daten­schutz­be­ra­te­rin und des Daten­schutz­be­ra­ters ou de con­su­len­te per la pro­te­zio­ne dei dati. Ain­si, la ter­mi­no­lo­gie est uni­for­me dans les trois lan­gues. Le con­seil­ler à la pro­tec­tion des don­nées veil­le au respect des règles de pro­tec­tion des don­nées au sein d’u­ne ent­re­pri­se et con­seil­le le responsable en matiè­re de pro­tec­tion des don­nées. Le responsable est tou­te­fois seul responsable du fait que les don­nées per­son­nel­les sont trai­tées con­for­mé­ment à la pro­tec­tion des don­nées. Cet­te dis­po­si­ti­on est insé­rée dans le P‑LPD suite à la con­sul­ta­ti­on. Cel­le-ci a révé­lé qu’u­ne men­ti­on expli­ci­te du con­seil­ler à la pro­tec­tion des don­nées dans la loi était sou­hai­ta­ble. Le P‑LPD va cepen­dant moins loin que le droit euro­pé­en, qui pré­voit dans cer­ta­ins cas l’ob­li­ga­ti­on de dési­gner un con­seil­ler à la pro­tec­tion des don­nées. Le pré­po­sé aurait éga­le­ment pré­fé­ré cet­te solu­ti­on. En revan­che, selon la P‑LPD, les ent­re­pri­ses sont libres de nom­mer ou non un con­seil­ler à la pro­tec­tion des don­nées, tan­dis que les orga­nes fédé­raux sont en prin­ci­pe tenus d’en nom­mer un. Ali­né­as 1 et 2 Nomination Les respons­ables pri­vés peu­vent en prin­ci­pe dési­gner à tout moment un con­seil­ler à la pro­tec­tion des don­nées, com­me le stipu­le l’a­li­néa 1. La loi pré­voit tou­te­fois des allé­ge­ments en matiè­re d’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées pour les respons­ables de trai­te­ment qui ont dési­gné un tel con­seil­ler. L’al. 2 défi­nit les con­di­ti­ons qui doi­vent être rem­plies pour que ces allé­ge­ments pui­s­sent être appli­qués (let. a). Ce faisant, le P‑LPD reprend en gran­de par­tie le droit en vigueur (cf. art. 12a s. OLPD). Le responsable peut dési­gner un col­la­bo­ra­teur col­la­bo­ra­teur ou un tiers com­me con­seil­ler à la pro­tec­tion des don­nées. Selon la let. a, la per­son­ne doit tou­te­fois exer­cer sa fonc­tion de maniè­re pro­fes­si­on­nel­le­ment indé­pen­dan­te ; elle n’est pas sou­mi­se à des ins­truc­tions de la part du responsable. S’il s’a­git d’un col­la­bo­ra­teur, la clas­si­fi­ca­ti­on hié­rar­chi­que au sein de l’entre­pri­se doit garan­tir que le con­seil­ler à la pro­tec­tion des don­nées reste indé­pen­dant. En prin­ci­pe, il ou elle dev­rait être direc­te­ment subordonné(e) à la direc­tion du responsable. La lett­re b con­cré­ti­se davan­ta­ge l’in­dé­pen­dance du con­seil­ler à la pro­tec­tion des don­nées. Selon cet­te dis­po­si­ti­on, ces per­son­nes ne peu­vent pas exer­cer d’ac­ti­vi­tés incom­pa­ti­bles avec leurs tâches. Cela pour­rait par exemp­le être le cas si le con­seil­ler à la pro­tec­tion des don­nées est membre de la direc­tion, s’il exer­ce des fonc­tions dans les domain­es de la gesti­on du per­son­nel ou de la gesti­on des systè­mes d’in­for­ma­ti­on ou s’il appar­tient à un ser­vice qui trai­te lui-même des don­nées per­son­nel­les sen­si­bles. En revan­che, il est par exemp­le envi­sa­geable de cumu­ler la fonc­tion de con­seil­ler à la pro­tec­tion des don­nées avec cel­le de responsable de la sécu­ri­té de l’in­for­ma­ti­on. Enfin, selon la let. c, le con­seil­ler à la pro­tec­tion des don­nées doit dis­po­ser des con­nais­sances tech­ni­ques néces­saires pour assu­mer cet­te tâche. Ain­si, cet­te acti­vi­té requiert des con­nais­sances spé­cia­li­sées aus­si bien dans le domaine de la légis­la­ti­on sur la pro­tec­tion des don­nées que dans celui des nor­mes tech­ni­ques rela­ti­ves à la sécu­ri­té des don­nées. Le con­seil­ler à la pro­tec­tion des don­nées est un interlo­cu­teur important tant pour la per­son­ne con­cer­née que pour le pré­po­sé en ce qui con­cer­ne les trai­te­ments de don­nées effec­tués par l’entre­pri­se en que­sti­on. Selon la let. d, le responsable doit donc publier les coor­don­nées du con­seil­ler à la pro­tec­tion des don­nées et les com­mu­ni­quer au pré­po­sé. Une obli­ga­ti­on ana­lo­gue doit éga­le­ment être pré­vue dans l’or­don­nan­ce pour les orga­nes fédé­raux. al. 3 Con­seil­ler à la pro­tec­tion des don­nées des orga­nes fédéraux L’al. 3 obli­ge le Con­seil fédé­ral à édic­ter des règles rela­ti­ves à la dési­gna­ti­on du con­seil­ler à la pro­tec­tion des don­nées par les orga­nes fédé­raux. Selon le droit en vigueur, ces règles se trou­vent aus­si prin­ci­pa­le­ment dans l’or­don­nan­ce. Dans le domaine Schen­gen, les orga­nes fédé­raux sont tenus, en ver­tu de l’ar­tic­le 32 de la Direc­ti­ve (UE) 2016/680 est tenu de dési­gner un con­seil­ler à la pro­tec­tion des données. 

Le Con­seil fédé­ral sou­hai­te encou­ra­ger l’é­la­bo­ra­ti­on de codes de con­duite. Ceux-ci répon­dent à un beso­in mis en évi­dence par l’ana­ly­se d’im­pact de la régle­men­ta­ti­on (cf. ch. 1.8), comp­te tenu du carac­tère géné­ral de la légis­la­ti­on et de son champ d’ap­pli­ca­ti­on per­son­nel et maté­ri­el extrê­me­ment éten­du. De tels codes per­met­tent de pré­cis­er cer­tai­nes noti­ons com­me le ris­que éle­vé (art. 20 P‑LPD) ou les moda­li­tés d’ob­li­ga­ti­ons com­me l’ob­li­ga­ti­on d’in­for­mer (art. 17 – 19 P‑LPD) et l’ob­li­ga­ti­on de pro­cé­der à une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées (art. 20 P‑LPD). En out­re, des solu­ti­ons plus pré­cis­es doi­vent être trou­vées dans des domain­es qui soulè­vent aujour­d’hui de nombreu­ses que­sti­ons, com­me la vidé­o­sur­veil­lan­ce, l’in­for­ma­tique en nuage ou les réseaux soci­aux. En per­met­tant aux milieux inté­res­sés d’êt­re eux-mêmes actifs et de con­tri­buer à la régle­men­ta­ti­on des dif­fér­ents domain­es, le Con­seil fédé­ral sou­hai­te encou­ra­ger des solu­ti­ons sec­to­ri­el­les con­cer­tées et lar­ge­ment sou­te­nues. Afin d’en­cou­ra­ger l’au­to­ré­gu­la­ti­on, il pro­po­se en out­re que les respons­ables de trai­te­ment qui respec­tent des codes de con­duite pui­s­sent, sous cer­tai­nes con­di­ti­ons, renon­cer à la réa­li­sa­ti­on d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées (art. 20, al. 5, P‑LPD). L’en­cou­ra­ge­ment de l’ad­op­ti­on de codes de con­duite par les États et les auto­ri­tés de con­trô­le est éga­le­ment Règle­ment (UE) 2016/679 (art. 40 et 57, al. 1, let. m). Dans le sec­teur pri­vé, les codes de con­duite doi­vent éma­ner d’as­so­cia­ti­ons pro­fes­si­on­nel­les ou éco­no­mi­ques habi­li­tées par leurs sta­tuts à défend­re les inté­rêts éco­no­mi­ques de leurs mem­bres. Les respons­ables indi­vi­du­els ou les per­son­nes tra­vail­lant sur com­man­de ne peu­vent pas sou­mett­re de codes de con­duite au pré­po­sé, car les codes de con­duite ont pour objec­tif une cer­taine uni­for­mi­sa­ti­on au sein d’un sec­teur don­né. Dans le sec­teur public, les codes de con­duite peu­vent en revan­che éma­ner d’un seul orga­ne fédé­ral. Cela se justi­fie notam­ment par les nombreu­ses bases léga­les et la diver­si­té des tâches des dif­fér­ents orga­nes. L’al. 1 pré­voit que les codes de con­duite peu­vent être sou­mis au pré­po­sé. Celui-ci prend posi­ti­on (al. 2). Le délai dans lequel il doit prend­re posi­ti­on dépend des cir­con­stances du cas d’e­spè­ce. La pri­se de posi­ti­on ne con­sti­tue pas une décis­i­on. Les par­ties inté­res­sées ne peu­vent donc pas tirer de droits d’un avis posi­tif ou d’u­ne renon­cia­ti­on à un avis. Néan­mo­ins, en cas de pri­se de posi­ti­on posi­ti­ve du pré­po­sé, on peut par­tir du prin­ci­pe qu’un com­porte­ment con­for­me au code de con­duite n’en­traî­ne­ra pas de mesu­res admi­ni­stra­ti­ves. Le pré­po­sé publie sa pri­se de posi­ti­on, qu’il por­te un juge­ment posi­tif ou néga­tif sur le code de con­duite pré­sen­té. Le pré­po­sé aurait pré­fé­ré que les asso­cia­ti­ons soi­ent tenues de lui sou­mett­re les codes pour appro­ba­ti­on. Le Con­seil fédé­ral y a renon­cé en rai­son des résul­tats de la con­sul­ta­ti­on, mais aus­si par­ce que le pré­po­sé aurait dû se pro­non­cer par voie de décis­i­on, ce qui aurait ent­raî­né des coûts supplémentaires. 

L’E-DSG pré­voit l’ob­li­ga­ti­on de tenir un regist­re des acti­vi­tés de trai­te­ment en lieu et place de l’ob­li­ga­ti­on de docu­men­ta­ti­on pré­vue dans l’a­vant-pro­jet. La con­sul­ta­ti­on a révé­lé que ce que recou­vre l’ob­li­ga­ti­on de docu­men­ta­ti­on n’é­tait pas assez clair. En out­re, le regist­re des acti­vi­tés de trai­te­ment est désor­mais clas­sé par­mi les dis­po­si­ti­ons géné­ra­les de pro­tec­tion des don­nées. Cela met en évi­dence le lien étroit avec les prin­cipes de pro­tec­tion des don­nées. L’ob­li­ga­ti­on de tenir un regist­re rem­place l’ob­li­ga­ti­on de décla­rer les fichiers pré­vue par le droit en vigueur. Le site Direc­ti­ve (UE) 2016/680 pré­voit un tel regist­re à l’ar­tic­le 24 ; la Règle­ment (UE) 2016/679 con­ti­ent une dis­po­si­ti­on ana­lo­gue à l’ar­tic­le 30. L’ob­li­ga­ti­on de tenir un regist­re incom­be, selon le para­gra­phe 1, au responsable du trai­te­ment et au sous-trai­tant. Le para­gra­phe 2 énumè­re les infor­ma­ti­ons mini­ma­les que doit con­te­nir le regist­re. Il s’a­git tout d’a­bord de l’i­den­ti­té (nom) du responsable (let. a) et du but du trai­te­ment (let. b). Une descrip­ti­on des caté­go­ries de per­son­nes con­cer­nées et des caté­go­ries de don­nées per­son­nel­les trai­tées doit éga­le­ment être four­nie (let. c). Par caté­go­ries de per­son­nes con­cer­nées, on entend des grou­pes typi­ques ayant cer­tai­nes carac­té­ri­sti­ques com­mu­nes, com­me par exemp­le les “con­som­ma­teurs”, les “mili­taires” ou les “employés”. Les caté­go­ries de don­nées per­son­nel­les trai­tées désign­ent le type de don­nées trai­tées, par exemp­le les don­nées per­son­nel­les sen­si­bles. Les caté­go­ries de desti­na­tai­res (let. d) aux­quels les don­nées per­son­nel­les sont éven­tu­el­le­ment com­mu­ni­quées doi­vent éga­le­ment être men­ti­onnées. Ici aus­si, il s’a­git de grou­pes typi­ques ayant des carac­té­ri­sti­ques com­mu­nes, com­me par exemp­le les “auto­ri­tés de sur­veil­lan­ce”. Selon la let. e, le regist­re doit indi­quer la durée de con­ser­va­ti­on des don­nées per­son­nel­les. Étant don­né que, con­for­mé­ment à l’ar­tic­le 5, para­gra­phe 4, la durée de con­ser­va­ti­on est fonc­tion de l’uti­li­sa­ti­on pré­vue, il n’est par­fois pas pos­si­ble de la déter­mi­ner avec pré­cis­i­on, ce qui est expri­mé par l’ex­pres­si­on “si pos­si­ble”. S’il n’est pas pos­si­ble de four­nir des infor­ma­ti­ons pré­cis­es, le regist­re doit au moins indi­quer les critères uti­li­sés pour déter­mi­ner cet­te durée. Selon la let. f, le regist­re doit enfin con­te­nir une descrip­ti­on géné­ra­le des mesu­res visa­nt à garan­tir la sécu­ri­té des don­nées con­for­mé­ment à l’art. 7, dans la mesu­re du pos­si­ble. Par cet­te descrip­ti­on, le regist­re doit per­mett­re de mett­re en évi­dence les lacu­nes des mesu­res de sécu­ri­té. L’ex­pres­si­on “si pos­si­ble” indi­que clai­re­ment que la descrip­ti­on ne doit être fai­te que si les mesu­res peu­vent être décri­tes de maniè­re suf­fi­sam­ment con­crè­te. Si ces desti­na­tai­res se trou­vent à l’étran­ger, il doit éga­le­ment res­sor­tir de la liste si les con­di­ti­ons de com­mu­ni­ca­ti­on à l’étran­ger sont en prin­ci­pe rem­plies. C’est pour­quoi la let. g pré­voit l’in­di­ca­ti­on de l’É­tat et des garan­ties visées à l’art. 13, al. 2. L’é­nu­mé­ra­ti­on de l’al. 2 mont­re clai­re­ment que l’in­ven­tai­re est une descrip­ti­on géné­ra­le de l’ac­ti­vi­té de trai­te­ment, qui per­met de déter­mi­ner la natu­re et l’é­ten­due d’un trai­te­ment. En revan­che, il ne s’a­git pas d’un jour­nal de tous les trai­te­ments de don­nées effec­tués par le responsable du trai­te­ment ou le sous-trai­tant, dans lequel les dif­fé­ren­tes actions sont con­si­gnées. Le regist­re est donc une repré­sen­ta­ti­on écri­te des infor­ma­ti­ons essen­ti­el­les rela­ti­ves à tous les trai­te­ments de don­nées effec­tués par un responsable ou un sous-trai­tant. Il per­met donc de tirer des con­clu­si­ons essen­ti­el­les sur la con­for­mi­té ou non d’un trai­te­ment de don­nées avec les prin­cipes de la pro­tec­tion des don­nées. En out­re, les infor­ma­ti­ons mini­ma­les de la liste de l’al. 2 sont à bien des égards en cor­ré­la­ti­on avec les infor­ma­ti­ons que la per­son­ne con­cer­née doit obte­nir en ver­tu du devoir d’in­for­ma­ti­on et du droit d’ac­cès. Le para­gra­phe 3 con­ti­ent une liste abré­gée d’in­for­ma­ti­ons mini­ma­les à four­nir par le sous-trai­tant. Celui-ci doit notam­ment men­ti­on­ner les caté­go­ries de trai­te­ments effec­tués pour le comp­te de chaque responsable. La liste du sous-trai­tant con­ti­ent en out­re l’i­den­ti­té des respons­ables pour les­quels il tra­vail­le. Con­for­mé­ment à l’al. 4, les orga­nes fédé­raux com­mu­ni­quent leurs listes au pré­po­sé. Celui-ci tient un regist­re des acti­vi­tés de trai­te­ment des orga­nes fédé­raux con­for­mé­ment à l’ar­tic­le 50. Ce regist­re est publié. Pour les orga­nes fédé­raux, cela n’en­traî­ne­ra en prin­ci­pe aucun chan­ge­ment par rap­port au droit en vigueur. En effet, ils doi­vent déjà éla­bo­rer un règle­ment de trai­te­ment et décla­rer le fichier au pré­po­sé. L’a­li­néa 5 don­ne au Con­seil fédé­ral la pos­si­bi­li­té de pré­voir des excep­ti­ons à l’ob­li­ga­ti­on de tenir un regist­re pour les ent­re­pri­ses qui emploi­ent moins de 50 col­la­bo­ra­teurs. Cela sert notam­ment à allé­ger la char­ge des peti­tes et moy­ennes ent­re­pri­ses. Dans ce con­tex­te, le Con­seil fédé­ral ne se base­ra tou­te­fois pas uni­quement sur la tail­le d’u­ne ent­re­pri­se, mais tien­dra éga­le­ment comp­te des ris­ques liés au trai­te­ment des données. 

L’ar­tic­le 12 de la P‑LPD régit la cer­ti­fi­ca­ti­on facul­ta­ti­ve, actu­el­le­ment en Artic­le 11 LPD est régle­men­tée. Out­re les systè­mes de trai­te­ment des don­nées (pro­cé­du­re, orga­ni­sa­ti­on) et les pro­duits (pro­gram­mes, systè­mes), il sera désor­mais éga­le­ment pos­si­ble de cer­ti­fier cer­ta­ins ser­vices. Les respons­ables cer­ti­fi­és sont dis­pen­sés de l’ob­li­ga­ti­on d’ef­fec­tuer une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées (art. 20, al. 5, P‑LPD). La pro­cé­du­re d’ac­cré­di­ta­ti­on des orga­nis­mes de cer­ti­fi­ca­ti­on indé­pen­dants par le Ser­vice d’ac­cré­di­ta­ti­on sui­s­se, auquel le pré­po­sé est éga­le­ment asso­cié, reste inchan­gée. Le pré­po­sé aurait pré­fé­ré qu’u­ne obli­ga­ti­on de cer­ti­fi­ca­ti­on soit intro­duite pour les trai­te­ments à haut ris­que. Le Con­seil fédé­ral y a renon­cé, car il ne s’a­git pas d’u­ne exi­gence du droit européen. 

Cet­te dis­po­si­ti­on répond aux exi­gen­ces de l’ar­tic­le 12 E‑SEV 108qui pré­voit que les don­nées ne peu­vent en prin­ci­pe être trans­mi­ses à l’étran­ger que s’il exi­ste un niveau de pro­tec­tion des don­nées adé­quat (al. 2). Artic­le 12, para­gra­phe 3 E‑SEV 108 défi­nit les cas dans les­quels cet­te con­di­ti­on est rem­plie. La régle­men­ta­ti­on de l’ar­tic­le 13 P‑LPD per­met éga­le­ment de s’a­li­gner sur le droit de l’U­ni­on euro­pé­en­ne (art. 45 et sui­vants de la direc­ti­ve sur la pro­tec­tion des don­nées). Règle­ment [UE] 2016/679). Les dis­po­si­ti­ons rela­ti­ves à la com­mu­ni­ca­ti­on de don­nées per­son­nel­les à l’étran­ger ont été par­ti­el­le­ment rema­niées en tenant comp­te des résul­tats de la pro­cé­du­re de con­sul­ta­ti­on. Le prin­ci­pe selon lequel les don­nées per­son­nel­les ne peu­vent pas être com­mu­ni­quées à l’étran­ger si la per­son­na­li­té des per­son­nes con­cer­nées s’en trouve gra­ve­ment men­acée est sup­p­ri­mé, car il crée une insé­cu­ri­té juri­di­que par rap­port à la sys­té­ma­tique de la régle­men­ta­ti­on. La ter­mi­no­lo­gie rela­ti­ve à la com­mu­ni­ca­ti­on de don­nées per­son­nel­les à l’étran­ger sur la base de garan­ties appro­priées est adap­tée à cel­le de la direc­ti­ve sur la pro­tec­tion des don­nées. Règle­ment (UE) 2016/679 sont adap­tées. Les excep­ti­ons liées à la com­mu­ni­ca­ti­on de don­nées per­son­nel­les à un Etat dont la légis­la­ti­on n’off­re pas une pro­tec­tion adé­qua­te des don­nées sont en out­re légè­re­ment assou­plies. Enfin, seu­les les don­nées trans­mi­ses par le E‑SEV 108 et d’ob­te­nir son auto­ri­sa­ti­on. al. 1 Con­sta­ta­ti­on par décis­i­on du Con­seil fédéral Selon l’al. 1, des don­nées peu­vent être com­mu­ni­quées à l’étran­ger si le Con­seil fédé­ral a con­sta­té que la légis­la­ti­on de l’E­tat con­cer­né ou l’or­ga­ne inter­na­tio­nal garan­tit une pro­tec­tion adé­qua­te. Cet­te dis­po­si­ti­on con­fè­re expres­sé­ment au Con­seil fédé­ral la com­pé­tence d’ex­ami­ner le carac­tère adé­quat de la légis­la­ti­on étran­gè­re en matiè­re de pro­tec­tion des don­nées. La situa­ti­on actu­el­le n’est pas satis­fais­an­te, car il incom­be au maît­re de fichier qui sou­hai­te com­mu­ni­quer des don­nées de véri­fier si la légis­la­ti­on de l’E­tat con­cer­né garan­tit une pro­tec­tion adé­qua­te. Le cas échéant, il doit se réfé­rer à la liste du pré­po­sé des Etats qui rem­plis­sent cet­te exi­gence (art. 7 LPD). Afin de garan­tir une appli­ca­ti­on uni­for­me de l’ar­tic­le 13, l’a­dé­qua­ti­on de la légis­la­ti­on étran­gè­re sera à l’a­ve­nir exami­née par le Con­seil fédé­ral. Lors de son examen, le Con­seil fédé­ral doit non seu­le­ment véri­fier si l’É­tat étran­ger dis­po­se d’u­ne légis­la­ti­on qui répond maté­ri­el­le­ment aux exi­gen­ces de l E‑SEV 108 mais aus­si la maniè­re dont cet­te légis­la­ti­on est appli­quée. Le Con­seil fédé­ral peut éga­le­ment exami­ner si la pro­tec­tion des don­nées garan­tie par un orga­ne inter­na­tio­nal est adé­qua­te. Le ter­me “orga­ne inter­na­tio­nal” se réfè­re à tou­tes les insti­tu­ti­ons inter­na­tio­na­les, qu’il s’a­gis­se d’or­ga­ni­sa­ti­ons ou de tri­bu­naux. Le résul­tat de cet examen sera publié dans une ordon­nan­ce du Con­seil fédé­ral qui sera insé­rée dans le Recueil offi­ci­el. La future ordon­nan­ce pré­cis­e­ra que le Con­seil fédé­ral éva­luera péri­odi­quement la situa­ti­on et que le pré­po­sé publie­ra sur son site Inter­net une liste des Etats ou orga­nes inter­na­ti­on­aux qui, selon le cons­tat du Con­seil fédé­ral, garan­tis­sent une pro­tec­tion adé­qua­te des don­nées. L’or­don­nan­ce est con­çue com­me une liste posi­ti­ve et con­ti­ent une énu­mé­ra­ti­on des Etats qui dis­po­sent d’u­ne légis­la­ti­on sur la base de laquel­le une pro­tec­tion adé­qua­te est assu­rée. Si un pays étran­ger ne figu­re pas dans l’or­don­nan­ce du Con­seil fédé­ral, il peut y avoir deux rai­sons : Soit la légis­la­ti­on de l’E­tat en que­sti­on n’a pas enco­re été exami­née, soit le Con­seil fédé­ral est arri­vé à la con­clu­si­on que la légis­la­ti­on de l’E­tat ne répond pas aux exi­gen­ces de la garan­tie d’u­ne pro­tec­tion adé­qua­te. Avec la révi­si­on, la con­sta­ta­ti­on du Con­seil fédé­ral devi­ent un critère légal con­traignant pour les respons­ables qui pré­voi­ent de com­mu­ni­quer des don­nées à l’étran­ger, alors que l’an­ci­en­ne liste des pré­po­sés n’é­tait con­çue que com­me un outil mis à leur dis­po­si­ti­on. Cet­te solu­ti­on va dans le sens de la sécu­ri­té juri­di­que. Pour son examen, le Con­seil fédé­ral peut s’ap­puy­er sur les sources dis­po­ni­bles, notam­ment les éva­lua­tions réa­li­sées dans le cad­re de la con­ven­ti­on STE 108 ou par l’U­ni­on euro­pé­en­ne. Il serait éga­le­ment envi­sa­geable de col­la­bo­rer avec des auto­ri­tés étran­gè­res et de se joind­re à leur pro­ce­s­sus d’éva­lua­ti­on. Si le Con­seil fédé­ral con­sta­te que la légis­la­ti­on d’un Etat ou d’un orga­ne inter­na­tio­nal assu­re une pro­tec­tion adé­qua­te, la lib­re cir­cula­ti­on des don­nées per­son­nel­les de la Sui­s­se vers cet Etat ou cet orga­ne est auto­ri­sée aus­si bien par les respons­ables pri­vés que par les orga­nes fédé­raux. Al. 2 Pas de décis­i­on du Con­seil fédéral En l’ab­sence de décis­i­on du Con­seil fédé­ral au sens de l’al. 1, l’al. 2 pré­voit que des don­nées per­son­nel­les peu­vent être com­mu­ni­quées à l’étran­ger si une pro­tec­tion des don­nées appro­priée est garan­tie. Selon la let. a, une pro­tec­tion appro­priée peut être garan­tie par un trai­té inter­na­tio­nal. Par “trai­té inter­na­tio­nal”, on entend non seu­le­ment un accord inter­na­tio­nal sur la pro­tec­tion des don­nées, tel que la con­ven­ti­on STE 108 et son pro­to­co­le addi­ti­on­nel, auquel l’É­tat desti­na­tai­re est par­tie et dont les exi­gen­ces ont été mises en œuvre par la par­tie con­trac­tan­te dans son droit inter­ne, mais aus­si tout aut­re accord inter­na­tio­nal qui pré­voit un éch­an­ge de don­nées ent­re les par­ties con­trac­tan­tes et qui répond maté­ri­el­le­ment aux exi­gen­ces de la con­ven­ti­on STE 108. Il peut éga­le­ment s’a­gir d’un trai­té inter­na­tio­nal con­clu par le Con­seil fédé­ral dans le cad­re de l’ar­tic­le 61, point b), P‑LPD. L’al. 2, let. b à d, cor­re­spond aux exi­gen­ces de l’art. 12, al. 3, let. b E‑SEV 108. Celui-ci pré­voit qu’un niveau adé­quat de pro­tec­tion des don­nées peut être assu­ré par des garan­ties ad hoc et stan­dar­di­sées approu­vées, fon­dées sur des instru­ments juri­di­quement con­traignants et exé­cu­toires, con­ve­nus et mis en œuvre par les per­son­nes con­cer­nées par la com­mu­ni­ca­ti­on et le trai­te­ment ulté­ri­eur des don­nées. L’ar­tic­le 46 de la direc­ti­ve Règle­ment (UE) 2016/679 et à l’ar­tic­le 37 de la Direc­ti­ve (UE) 2016/680 des dis­po­si­ti­ons cor­re­spond­an­tes sont pré­vues. Lett­re b Clau­ses de pro­tec­tion des don­nées dans un contrat Selon l’al. 2, let. b, des don­nées per­son­nel­les peu­vent être com­mu­ni­quées à l’étran­ger si le responsable du trai­te­ment et le cocon­trac­tant ont con­ve­nu de clau­ses de pro­tec­tion des don­nées dans leur cont­rat. La noti­on de “clau­ses de pro­tec­tion des don­nées” cor­re­spond à la ter­mi­no­lo­gie de l’ar­tic­le 46, para­gra­phe 3, point a), de la direc­ti­ve sur la pro­tec­tion des don­nées. Règle­ment (UE) 2016/679. Ces clau­ses doi­vent être com­mu­ni­quées au pré­alable au pré­po­sé. Dès que le responsable a satis­fait à cet­te obli­ga­ti­on, les don­nées per­son­nel­les peu­vent être com­mu­ni­quées à l’étran­ger. Le cas échéant, le pré­po­sé doit ouvr­ir une enquête afin de déter­mi­ner si les clau­ses répon­dent aux exi­gen­ces. Com­me c’est déjà le cas aujour­d’hui, il appar­tient au responsable de prou­ver qu’il a pris tou­tes les mesu­res néces­saires pour s’assurer qu’u­ne pro­tec­tion adé­qua­te exi­ste et que le desti­na­tai­re respec­te les clau­ses con­trac­tu­el­les de pro­tec­tion des don­nées. Con­trai­re­ment aux clau­ses stan­dard de pro­tec­tion des don­nées (voir let. d), les clau­ses de pro­tec­tion des don­nées figu­rant dans un cont­rat ne s’ap­pli­quent qu’à la com­mu­ni­ca­ti­on pré­vue par le cont­rat en que­sti­on. Lett­re c Garan­ties spécifiques Dans le sec­teur public, un orga­ne fédé­ral qui s’en­ga­ge à coopé­rer avec un État étran­ger peut lier cet enga­ge­ment à des garan­ties spé­ci­fi­ques dans le domaine de la pro­tec­tion des don­nées. Il peut s’a­gir par exemp­le d’ac­cords cor­re­spond­ants avec l’or­ga­ne éta­tique étran­ger en que­sti­on. L’or­ga­ne fédé­ral doit les com­mu­ni­quer pré­ala­blem­ent au pré­po­sé. Dès que le responsable a satis­fait à cet­te obli­ga­ti­on, les don­nées per­son­nel­les peu­vent être com­mu­ni­quées à l’étran­ger. Lett­re d Clau­ses stan­dard de pro­tec­tion des données Selon l’al. 2, let. d, des don­nées peu­vent être com­mu­ni­quées à l’étran­ger sur la base de clau­ses stan­dard de pro­tec­tion des don­nées. Cet­te dis­po­si­ti­on reprend la ter­mi­no­lo­gie de l’art. 46, al. 2, let. c et d, de la direc­ti­ve sur la pro­tec­tion des don­nées. Règle­ment (UE) 2016/679. Les clau­ses stan­dard peu­vent être éla­bo­rées par des par­ti­cu­liers, des par­ties inté­res­sées ou des orga­nes fédé­raux, ou être déli­v­rées ou recon­nues par le pré­po­sé. Les orga­nes fédé­raux peu­vent éga­le­ment recour­ir à ce type de garan­ties. La noti­on de “clau­se stan­dard de pro­tec­tion des don­nées” con­cer­ne par exemp­le des clau­ses con­trac­tu­el­les stan­dar­di­sées insé­rées dans le cont­rat ent­re le responsable du trai­te­ment et le desti­na­tai­re. Il peut éga­le­ment s’a­gir d’un code de con­duite éla­bo­ré par des par­ti­cu­liers et auquel ces der­niers peu­vent se sou­mett­re volon­tai­re­ment. Dans le pre­mier cas, les clau­ses stan­dard de pro­tec­tion des don­nées doi­vent être pré­ala­blem­ent approu­vées par le pré­po­sé. Cet­te con­di­ti­on con­sti­tue une avan­cée par rap­port au droit en vigueur, selon lequel le pré­po­sé doit sim­ple­ment être infor­mé ( Art. 6 al. 3 LPD), con­sti­tue un ren­force­ment. Elle répond à l’e­xi­gence de l’ar­tic­le 12, para­gra­phe 2, point b) E‑SEV 108. Le responsable ne peut pas com­mu­ni­quer de don­nées à l’étran­ger sur la base des clau­ses stan­dard de pro­tec­tion des don­nées tant qu’il n’a pas reçu du pré­po­sé une décis­i­on cor­re­spond­an­te sus­cep­ti­ble de recours (Art. 5 de la loi sur la pro­cé­du­re admi­ni­stra­ti­ve”>art. 5 PA) a reçu. Pen­dant la durée de la pro­cé­du­re, il peut se fon­der sur l’art. 13, al. 2, let. b ou c. Le délai dans lequel le responsable doit rend­re une décis­i­on est régi par l’or­don­nan­ce du 25 mai 2011 sur les délais d’ord­re (OrFV). Selon l’ar­tic­le 4 de l’OrFV, le délai dans lequel une auto­ri­té rend sa décis­i­on dépend de la com­ple­xi­té de la décis­i­on, le délai maxi­mum étant de trois mois. Dans le second cas, le responsable peut éga­le­ment recour­ir à des clau­ses stan­dard de pro­tec­tion des don­nées émi­ses ou recon­nues par le man­da­tai­re, par exemp­le des cont­rats types. Si un responsable déci­de de com­mu­ni­quer des don­nées à l’étran­ger sur la base de clau­ses stan­dard de pro­tec­tion des don­nées au sens de l’a­li­néa 2, lett­re d, il est pré­su­mé avoir pris tou­tes les mesu­res néces­saires pour s’assurer d’u­ne pro­tec­tion adé­qua­te. Tou­te­fois, cet­te pré­somp­ti­on ne le déga­ge pas de sa responsa­bi­li­té pour les pré­ju­di­ces qui pour­rai­ent résul­ter d’u­ne vio­la­ti­on de ces clau­ses, notam­ment par le desti­na­tai­re des don­nées. Il con­vi­ent donc de pré­voir dans le futur règle­ment l’ob­li­ga­ti­on pour le pré­po­sé de publier une liste des clau­ses stan­dard de pro­tec­tion des don­nées émi­ses ou recon­nues, com­me le pré­voit d’ail­leurs le droit en vigueur (art. 6, al. 3, OLPD). let. e Règles inter­nes con­traignan­tes en matiè­re de pro­tec­tion des données Selon l’al. 2, let. e, la com­mu­ni­ca­ti­on de don­nées à l’étran­ger peut éga­le­ment se fai­re sur la base de pre­scrip­ti­ons inter­nes con­traignan­tes en matiè­re de pro­tec­tion des don­nées, qui ont été pré­ala­blem­ent approu­vées par le pré­po­sé ou par une auto­ri­té étran­gè­re com­pé­ten­te en matiè­re de pro­tec­tion des don­nées. Cet­te dis­po­si­ti­on rem­place l’ar­tic­le 6, ali­néa 2, lett­re g LPD. L’al. 2, let. e, se rappro­che du droit de l’U­ni­on euro­pé­en­ne, qui est défi­ni à l’art. 47 de la direc­ti­ve sur la pro­tec­tion des don­nées. Règle­ment (UE) 2016/679 pré­voit que des don­nées peu­vent être trans­fé­rées ent­re les mem­bres d’un grou­pe d’entre­pri­ses sur la base de règles inter­nes con­traignan­tes en matiè­re de pro­tec­tion des don­nées, pré­ala­blem­ent approu­vées par l’au­to­ri­té de con­trô­le de la pro­tec­tion des don­nées. L’ap­pro­ba­ti­on de règles d’entre­pri­se con­traignan­tes est pré­vue à l’ar­tic­le 57, para­gra­phe 1, point s), de la direc­ti­ve sur la pro­tec­tion des don­nées. Règle­ment (UE) 2016/679 a été rete­nu. L’al. 2, let. e, con­sti­tue un durcis­se­ment du droit en vigueur dans la mesu­re où les pre­scrip­ti­ons inter­nes con­traignan­tes en matiè­re de pro­tec­tion des don­nées doi­vent désor­mais être approu­vées. Le responsable ne peut pas com­mu­ni­quer de don­nées à l’étran­ger sur la base des pre­scrip­ti­ons inter­nes con­traignan­tes en matiè­re de pro­tec­tion des don­nées de l’entre­pri­se tant qu’il n’a pas reçu du pré­po­sé une décis­i­on cor­re­spond­an­te sus­cep­ti­ble de recours. Art. 5 de la loi sur la pro­cé­du­re admi­ni­stra­ti­ve”>art. 5 PA) a reçu. Pen­dant la durée de la pro­cé­du­re, il peut se fon­der sur l’ar­tic­le 13, para­gra­phe 2, points b) ou c). Afin de tenir comp­te des beso­ins des grou­pes d’entre­pri­ses qui s’é­ten­dent sur plu­sieurs pays, l’al. 2, let. e, pré­voit qu’u­ne ent­re­pri­se éta­b­lie en Sui­s­se et appar­tenant à un tel grou­pe peut éga­le­ment se con­for­mer à des règles de pro­tec­tion des don­nées con­traignan­tes approu­vées par une auto­ri­té étran­gè­re com­pé­ten­te en matiè­re de pro­tec­tion des don­nées et appar­tenant à un État qui assu­re un niveau de pro­tec­tion adé­quat. Les instru­ments men­ti­onnés au para­gra­phe 2, point e), doi­vent être “con­traignants” en ce sens que tou­tes les socié­tés appar­tenant au même grou­pe de socié­tés doi­vent respec­ter et appli­quer les règles. Ces nor­mes pré­cis­ent au moins la com­mu­ni­ca­ti­on de don­nées en que­sti­on, les caté­go­ries de don­nées com­mu­ni­quées, la fina­li­té du trai­te­ment, les caté­go­ries de per­son­nes con­cer­nées et les Etats desti­na­tai­res. En out­re, les nor­mes doi­vent rég­ler les droits des per­son­nes con­cer­nées et con­te­nir éga­le­ment des indi­ca­ti­ons sur les méca­nis­mes mis en place au sein du grou­pe d’entre­pri­ses pour en véri­fier le respect. Le cas échéant, le Con­seil fédé­ral peut défi­nir, dans l’or­don­nan­ce d’exé­cu­ti­on, les critères aux­quels doi­vent répond­re les règles con­traignan­tes inter­nes à l’entre­pri­se. Al. 3 Délé­ga­ti­on législative Cet­te dis­po­si­ti­on habi­li­te le Con­seil fédé­ral à pré­voir d’aut­res garan­ties appro­priées au sens de l’al. 2. En effet, il n’est pas exclu que d’aut­res systè­mes soi­ent déve­lo­p­pés, com­me par exemp­le des systè­mes d’au­to­cer­ti­fi­ca­ti­on selon le modè­le du Swiss-US P riva­cy Shield (voir art. 46, al. 2, let. f, de la Règle­ment [UE] 2016/679).

Ali­néa 1 En s’ap­pu­yant sur le droit en vigueur (Art. 6 al. 2 LPD), l’art. 14, al. 1, P‑LPD règ­le les cas dans les­quels des don­nées peu­vent être com­mu­ni­quées à l’étran­ger alors qu’u­ne pro­tec­tion adé­qua­te fait défaut à l’étran­ger. Il cor­re­spond pour l’e­s­sen­tiel à l’ar­tic­le 12, para­gra­phe 4 E‑SEV 108 et l’ar­tic­le 49 de la Règle­ment (UE) 2016/679. Le site Direc­ti­ve (UE) 2016/680 con­ti­ent une dis­po­si­ti­on cor­re­spond­an­te à l’ar­tic­le 38. La let. a cor­re­spond à l’art. 6, al. 2, let. b, LPD, à ceci près que la per­son­ne con­cer­née doit don­ner son con­sen­te­ment expli­ci­te et que l’ex­pres­si­on “au cas par cas” est sup­p­ri­mée. Le con­sen­te­ment expli­ci­te est une exi­gence de la E‑SEV 108 (art. 12, al. 4, let. a). A cet égard, on peut se réfé­rer aux expli­ca­ti­ons rela­ti­ves à l’art. 5, al. 6, P‑LPD. La per­son­ne con­cer­née doit notam­ment con­naît­re le nom de l’É­tat tiers (art. 17, al. 4, P‑LPD) et être infor­mée des ris­ques de la com­mu­ni­ca­ti­on en rela­ti­on avec le niveau de pro­tec­tion des don­nées dans l’É­tat étran­ger. En ce qui con­cer­ne l’ex­pres­si­on “au cas par cas”, le Con­seil fédé­ral est d’a­vis qu’el­le peut être sup­p­ri­mée. Com­me il res­sort de l’ar­tic­le 5, para­gra­phe 6, P‑LPD, la per­son­ne con­cer­née don­ne son con­sen­te­ment pour un ou plu­sieurs trai­te­ments déter­mi­nés. La pré­cis­i­on “au cas par cas” est donc super­flue. La let. b cor­re­spond à l’art. 6, al. 2, let. c, LPD, sous réser­ve que les don­nées per­son­nel­les pui­s­sent être com­mu­ni­quées à l’étran­ger si la com­mu­ni­ca­ti­on est direc­te­ment liée à la con­clu­si­on ou à l’exé­cu­ti­on d’un cont­rat ent­re le responsable et la per­son­ne con­cer­née ou ent­re le responsable et son cocon­trac­tant dans l’in­té­rêt de la per­son­ne con­cer­née. L’ar­tic­le 49, para­gra­phe 1, de la Règle­ment (UE) 2016/679 pré­voit une dis­po­si­ti­on ana­lo­gue. La let. c, ch. 1, cor­re­spond à l’art. 6, al. 2, let. d, pre­miè­re par­tie de la phra­se, LPD. Le ter­me “indis­pensable” est rem­pla­cé par “néces­saire” dans la phra­se intro­duc­ti­ve, con­for­mé­ment aux actes juri­di­ques euro­pé­ens. L’e­xi­stence d’un inté­rêt public prépon­dé­rant doit être démon­trée dans les cir­con­stances con­crè­tes. Un inté­rêt pure­ment hypo­thé­tique ne suf­fit pas. Par “sau­vegar­de d’un inté­rêt public prépon­dé­rant”, on entend par exemp­le la sécu­ri­té inté­ri­eu­re de la Sui­s­se ou d’un État tiers. En ver­tu de cet­te dis­po­si­ti­on, des don­nées per­son­nel­les peu­vent éga­le­ment être com­mu­ni­quées à l’étran­ger pour des rai­sons huma­ni­taires, par exemp­le lorsque le responsable les com­mu­ni­que pour aider à retrou­ver des per­son­nes disparues dans une zone de con­flit ou dans une région où s’est pro­duite une cata­stro­phe natu­rel­le. La lett­re c, chif­fre 2, cor­re­spond à l’ar­tic­le 6, para­gra­phe 2, lett­re d, deu­xiè­me par­tie de la phra­se, LPD, sauf que l’ex­pres­si­on “devant un tri­bu­nal”, jugée trop rest­ric­ti­ve, est rem­pla­cée par “devant un tri­bu­nal ou une aut­re auto­ri­té étran­gè­re com­pé­ten­te”. La lett­re d pré­cise que la com­mu­ni­ca­ti­on est éga­le­ment auto­ri­sée lorsqu’el­le est néces­saire pour pro­té­ger la vie ou l’in­té­gri­té phy­si­que de la per­son­ne con­cer­née ou d’un tiers, dans la mesu­re où il n’est pas pos­si­ble d’ob­te­nir le con­sen­te­ment de la per­son­ne con­cer­née dans un délai rai­sonnable. Cela peut être le cas par­ce que cel­le-ci n’est pas phy­si­quement en mesu­re de le fai­re ou par­ce qu’el­le n’est pas joi­gnable par les moy­ens de com­mu­ni­ca­ti­on habi­tuels. La let. e cor­re­spond à l’art. 6, al. 2, let. f, LPD. La lett­re f est une nou­vel­le dis­po­si­ti­on. Elle pré­cise que l’e­xi­gence d’u­ne pro­tec­tion adé­qua­te ne s’ap­pli­que pas lorsque les don­nées à com­mu­ni­quer à l’étran­ger pro­vi­en­nent d’un regist­re public régle­men­té par la loi et que cer­tai­nes con­di­ti­ons léga­les sont rem­plies. L’ar­tic­le 49, para­gra­phe 1, point g), de la Règle­ment (UE) 2016/679 pour­su­it la même ori­en­ta­ti­on : il pré­voit que la com­mu­ni­ca­ti­on de don­nées d’un regist­re est auto­ri­sée mal­gré l’ab­sence d’u­ne pro­tec­tion adé­qua­te si le regist­re est desti­né à l’in­for­ma­ti­on du public con­for­mé­ment au droit de l’U­ni­on euro­pé­en­ne ou des États mem­bres et si cer­tai­nes con­di­ti­ons léga­les sont rem­plies. Ali­néa 2 Con­for­mé­ment à cet­te dis­po­si­ti­on, le pré­po­sé peut deman­der au responsable du trai­te­ment ou au sous-trai­tant de lui com­mu­ni­quer les com­mu­ni­ca­ti­ons de don­nées per­son­nel­les effec­tuées en ver­tu de l’al. 1, let. b, ch. 2, c et d. Cet­te dis­po­si­ti­on cor­re­spond aux exi­gen­ces de l’art. 12, al. 5 E‑SEV 108. L’a­vant-der­niè­re phra­se de l’ar­tic­le 49, para­gra­phe 1, de la Règle­ment (UE) 2016/679 va plus loin que cet­te dis­po­si­ti­on, puis­qu’il pré­voit que les respons­ables infor­ment d’eux-mêmes l’au­to­ri­té de con­trô­le des trans­mis­si­ons de don­nées per­son­nel­les effec­tuées en ver­tu de l’ar­tic­le 47. 

Cet­te dis­po­si­ti­on reprend le con­te­nu de Artic­le 5 OLPD. Elle règ­le la publi­ca­ti­on de don­nées per­son­nel­les via Inter­net ou d’aut­res ser­vices d’in­for­ma­ti­on et de com­mu­ni­ca­ti­on en vue d’in­for­mer le public. Il est ain­si pos­si­ble de con­sul­ter des infor­ma­ti­ons sur Inter­net, avec ou sans don­nées per­son­nel­les, à l’étran­ger, y com­pris dans des États qui ne garan­tis­sent pas une pro­tec­tion adé­qua­te des don­nées. La publi­ca­ti­on de don­nées per­son­nel­les sur Inter­net à des fins d’in­for­ma­ti­on du public n’est pas con­sidé­rée, com­me dans le cas des médi­as par exemp­le, com­me une com­mu­ni­ca­ti­on de don­nées per­son­nel­les à l’étranger. 

L’ar­tic­le 17 P‑LPD règ­le désor­mais le devoir d’in­for­ma­ti­on lors de la coll­ec­te de don­nées. Les artic­les 14, 18 et 18a LPD sont ain­si réunis en une seu­le nor­me. Cela per­met d’é­vi­ter les dou­blons et d’ap­pli­quer une régle­men­ta­ti­on uni­for­me pour le trai­te­ment des don­nées par les orga­nes fédé­raux et les respons­ables pri­vés. La dis­po­si­ti­on répond aux exi­gen­ces de l’ar­tic­le 7E‑SEV 108 ain­si que l’ar­tic­le 13 de la Direc­ti­ve (UE) 2016/680. Les artic­les 13 et sui­vants de la Règle­ment (UE) 2016/679 con­ti­en­nent une régle­men­ta­ti­on simi­lai­re. L’ob­li­ga­ti­on d’in­for­mer amé­lio­re la trans­pa­rence du trai­te­ment des don­nées, qui est un objec­tif cen­tral de la révi­si­on. En effet, en l’ab­sence d’in­for­ma­ti­ons, la per­son­ne con­cer­née ne peut géné­ra­le­ment pas savoir que des don­nées la con­cer­nant sont trai­tées. Par­al­lè­le­ment, la per­son­ne con­cer­née ne peut fai­re valoir ses droits con­for­mé­ment à la LPD que si elle a con­nais­sance d’un trai­te­ment de don­nées. L’a­mé­lio­ra­ti­on de la trans­pa­rence lors du trai­te­ment des don­nées ren­force donc éga­le­ment les droits de la per­son­ne con­cer­née, ce qui est éga­le­ment un objec­tif cen­tral de la révi­si­on. Enfin, l’ob­li­ga­ti­on d’in­for­mer sert à sen­si­bi­li­ser la popu­la­ti­on à la pro­tec­tion des don­nées, ce qui est éga­le­ment l’ob­jec­tif de la révi­si­on. Ali­néa 1 Principe Selon l’a­li­néa 1, le responsable doit infor­mer la per­son­ne con­cer­née de la coll­ec­te de don­nées per­son­nel­les. Cela vaut éga­le­ment lorsque les don­nées ne sont pas coll­ec­tées auprès de la per­son­ne con­cer­née. L’E-DSG ne pré­cise pas de quel­le maniè­re l’in­for­ma­ti­on doit être four­nie. Le responsable doit tou­te­fois s’assurer que la per­son­ne con­cer­née peut effec­ti­ve­ment prend­re con­nais­sance de l’in­for­ma­ti­on. Il s’a­git donc de garan­tir la pos­si­bi­li­té de s’in­for­mer d’u­ne maniè­re faci­le­ment acce­s­si­ble, mais pas que la per­son­ne con­cer­née s’in­for­me réel­le­ment dans le cas con­cret. Cet­te pos­si­bi­li­té de prend­re con­nais­sance des infor­ma­ti­ons dépend essen­ti­el­le­ment du fait que les don­nées sont coll­ec­tées ou non auprès de la per­son­ne con­cer­née. Ain­si, une infor­ma­ti­on géné­ra­le peut suf­fi­re si les don­nées per­son­nel­les sont coll­ec­tées auprès de la per­son­ne con­cer­née (pour les con­di­ti­ons géné­ra­les, voir l’ar­tic­le 18, para­gra­phe 1). Dans ce cas, on peut ima­gi­ner une décla­ra­ti­on de pro­tec­tion des don­nées sur un site web, mais aus­si, le cas échéant, des sym­bo­les ou des pic­to­gram­mes, pour autant qu’ils repro­dui­sent les infor­ma­ti­ons néces­saires. Si une for­me géné­ra­le est choi­sie, l’in­for­ma­ti­on doit être faci­le­ment acce­s­si­ble, com­plè­te et ren­due suf­fi­sam­ment visi­ble. Un accès à plu­sieurs niveaux est éga­le­ment pos­si­ble, avec par exemp­le un aper­çu au pre­mier niveau, qui don­ne accès à des infor­ma­ti­ons détail­lées au deu­xiè­me niveau. En revan­che, la simp­le men­ti­on d’u­ne per­son­ne de cont­act n’est pas suf­fi­san­te. La per­son­ne con­cer­née doit pou­voir obte­nir les infor­ma­ti­ons sans avoir à les deman­der d’a­bord. En revan­che, si les don­nées ne sont pas obte­nues auprès de la per­son­ne con­cer­née, le responsable doit exami­ner com­ment l’in­for­ma­ti­on doit être four­nie pour que la per­son­ne con­cer­née pui­s­se effec­ti­ve­ment en prend­re con­nais­sance. Le cas échéant, il ne suf­fit pas dans ce cas de four­nir sim­ple­ment des infor­ma­ti­ons, mais la per­son­ne con­cer­née doit être acti­ve­ment infor­mée, que ce soit sous une for­me géné­ra­le appro­priée ou par une infor­ma­ti­on indi­vi­du­el­le. Par exemp­le, une per­son­ne qui n’ac­hè­te jamais de liv­res ne visi­te­ra pas le site web d’un librai­re en ligne et ne lira pas sa décla­ra­ti­on de con­fi­den­tia­li­té. Par con­sé­quent, elle n’app­ren­dra pas non plus, sur la base de cet­te décla­ra­ti­on géné­ra­le, que le librai­re en ligne trai­te des don­nées la con­cer­nant, car elle ne s’y attend pas du tout. L’ob­li­ga­ti­on d’in­for­ma­ti­on doit donc en prin­ci­pe aus­si empêcher que des don­nées soi­ent trai­tées à l’in­su de la per­son­ne con­cer­née, sous réser­ve des excep­ti­ons pré­vues à l’ar­tic­le 18. L’in­for­ma­ti­on n’est cer­tes pas sou­mi­se à une exi­gence de for­me, mais il con­vi­ent de choi­sir glo­ba­le­ment une for­me qui répon­de à l’ob­jec­tif d’un trai­te­ment trans­pa­rent des don­nées. Pour des rai­sons de preuve, il est en out­re recom­man­dé de docu­men­ter l’in­for­ma­ti­on ou de la don­ner par écrit. L’in­for­ma­ti­on doit éga­le­ment être rédi­gée de maniè­re com­pré­hen­si­ble, de sor­te qu’el­le ser­ve effec­ti­ve­ment l’ob­jec­tif d’un trai­te­ment trans­pa­rent des don­nées. Ali­néa 2 Infor­ma­ti­ons à communiquer La phra­se intro­duc­ti­ve du para­gra­phe 2 défi­nit le prin­ci­pe qui doit gui­der le responsable du trai­te­ment dans la com­mu­ni­ca­ti­on des infor­ma­ti­ons. Il doit donc com­mu­ni­quer à la per­son­ne con­cer­née les infor­ma­ti­ons néces­saires pour lui per­mett­re de fai­re valoir ses droits con­for­mé­ment à la loi et pour garan­tir un trai­te­ment trans­pa­rent des don­nées. Les lett­res a à c con­cré­ti­sent ce prin­ci­pe par des infor­ma­ti­ons mini­ma­les qui doi­vent être com­mu­ni­quées dans tous les cas à la per­son­ne con­cer­née. Il s’a­git, selon la lett­re a, de l’i­den­ti­té, c’est-à-dire du nom, et des coor­don­nées du responsable et, selon la lett­re b, du but du trai­te­ment. Le cas échéant, il con­vi­ent en out­re d’in­di­quer, con­for­mé­ment à la lett­re c, les desti­na­tai­res ou les caté­go­ries de desti­na­tai­res aux­quels les don­nées per­son­nel­les sont com­mu­ni­quées. Le responsable du trai­te­ment a le choix d’in­di­quer les desti­na­tai­res ou uni­quement les caté­go­ries de desti­na­tai­res. Com­me dans l’U­ni­on euro­pé­en­ne (cf. art. 4, ch. 9, de la direc­ti­ve “vie pri­vée et com­mu­ni­ca­ti­ons élec­tro­ni­ques”), les don­nées à carac­tère per­son­nel doi­vent être com­mu­ni­quées à la per­son­ne con­cer­née. Règle­ment [UE] 2016/679), les sous-trai­tants font éga­le­ment par­tie des desti­na­tai­res au sens de la dis­po­si­ti­on. Si le responsable ne sou­hai­te tou­te­fois pas divul­guer leur iden­ti­té, il peut se con­ten­ter d’in­di­quer la caté­go­rie. Le sous-trai­tant aurait pré­fé­ré que la base juri­di­que du trai­te­ment soit éga­le­ment com­mu­ni­quée. La com­bi­nai­son d’u­ne a dis­po­si­ti­on géné­ra­le con­tenant les exi­gen­ces de base rela­ti­ves aux infor­ma­ti­ons à trans­mett­re et des indi­ca­ti­ons mini­ma­les spé­ci­fi­ques, l’ob­li­ga­ti­on d’in­for­ma­ti­on peut être gérée de maniè­re fle­xi­ble. En fonc­tion du type de don­nées trai­tées, de la natu­re et de l’am­pleur du trai­te­ment de don­nées en que­sti­on, le responsable doit four­nir ou non davan­ta­ge d’in­for­ma­ti­ons. Par exemp­le, il peut éga­le­ment être néces­saire d’in­for­mer sur la durée du trai­te­ment ou l’an­ony­mi­sa­ti­on des don­nées. Cet­te fle­xi­bi­li­té est néces­saire par­ce que la LPD s’ap­pli­que à une mul­ti­tu­de de trai­te­ments de don­nées dif­fér­ents. En même temps, une régle­men­ta­ti­on fle­xi­ble garan­tit que les respons­ables ne doi­vent pas trans­mett­re d’in­for­ma­ti­ons inu­tiles et que les per­son­nes con­cer­nées ne reçoi­vent que les infor­ma­ti­ons néces­saires. De même, cela per­met aux respons­ables de con­cré­ti­ser l’ob­li­ga­ti­on d’in­for­ma­ti­on pour leur sec­teur spé­ci­fi­que dans des codes de con­duite. al. 3 Caté­go­ries de don­nées personnelles Ce n’est que lorsque les don­nées ne sont pas coll­ec­tées auprès de la per­son­ne con­cer­née que le responsable doit en out­re, selon l’al. 3, indi­quer à la per­son­ne con­cer­née les caté­go­ries de don­nées per­son­nel­les qu’il trai­te. Cet­te rest­ric­tion découle de l’hy­po­thè­se selon laquel­le la per­son­ne con­cer­née est sus­cep­ti­ble de con­naît­re au moins les caté­go­ries de don­nées, voi­re les don­nées, si cel­les-ci sont coll­ec­tées auprès d’el­le. Si les don­nées ne sont pas coll­ec­tées auprès de la per­son­ne con­cer­née, cel­le-ci n’a aucun moy­en de savoir quel­les caté­go­ries de don­nées sont trai­tées à son sujet et doit donc être infor­mée en con­sé­quence. Ali­néa 4 Com­mu­ni­ca­ti­on à l’étranger Si les don­nées per­son­nel­les sont com­mu­ni­quées à l’étran­ger, le responsable doit éga­le­ment infor­mer la per­son­ne con­cer­née de l’É­tat dans lequel les don­nées sont trans­fé­rées. Si cet État n’assu­re pas une pro­tec­tion adé­qua­te et que le responsable du trai­te­ment a recours aux garan­ties pré­vues à l’ar­tic­le 13, para­gra­phe 2, il doit éga­le­ment com­mu­ni­quer ces garan­ties à la per­son­ne con­cer­née. Il en va de même si la com­mu­ni­ca­ti­on a lieu en ver­tu d’u­ne excep­ti­on pré­vue à l’ar­tic­le 14. al. 5 Moment de l’information Si les don­nées sont coll­ec­tées auprès de la per­son­ne con­cer­née, cel­le-ci doit être infor­mée à ce moment-là. Cela découle du para­gra­phe 2. Le para­gra­phe 5 règ­le le moment de l’in­for­ma­ti­on lorsque les don­nées ne sont pas coll­ec­tées auprès de la per­son­ne con­cer­née. La dis­po­si­ti­on fixe à cet effet un délai maxi­mal d’un mois dans lequel l’in­for­ma­ti­on doit être four­nie. La deu­xiè­me phra­se pré­voit un délai plus court pour le cas où le responsable com­mu­ni­que les don­nées per­son­nel­les à des desti­na­tai­res avant l’ex­pi­ra­ti­on de ce délai d’un mois. Dans ce cas, la per­son­ne con­cer­née doit être infor­mée au plus tard au moment de la com­mu­ni­ca­ti­on. En résu­mé, le délai de base est donc d’un mois à comp­ter de la récep­ti­on des don­nées par le responsable. Ce délai s’ap­pli­que indé­pen­dam­ment de l’u­sa­ge qui est fait des don­nées per­son­nel­les. Un délai plus court ne s’ap­pli­que que si le responsable com­mu­ni­que les don­nées per­son­nel­les à des destinataires. 

L’ar­tic­le 18 P‑LPD défi­nit les cir­con­stances dans les­quel­les l’ob­li­ga­ti­on d’in­for­mer est tota­le­ment sup­p­ri­mée (al. 1 et 2) et cel­les dans les­quel­les l’in­for­ma­ti­on peut être limi­tée, bien que l’ob­li­ga­ti­on d’in­for­mer exi­ste en prin­ci­pe (al. 3). Les deux cas de figu­re doi­vent être clai­re­ment distin­gués l’un de l’aut­re. La dis­po­si­ti­on reprend en par­tie le droit en vigueur (art. 9, art. 14, al. 4 et 5, et art. 18b LPD) qui, pour des rai­sons de clar­té, est réuni en une seu­le dis­po­si­ti­on. Ali­néa 1 Excep­ti­ons géné­ra­les à l’ob­li­ga­ti­on d’information Le para­gra­phe 1 défi­nit cer­ta­ins cas de figu­re dans les­quels l’ob­li­ga­ti­on d’in­for­ma­ti­on est tota­le­ment sup­p­ri­mée et où le responsable ne doit donc pas infor­mer la per­son­ne con­cer­née. Selon la let. a, le responsable est dis­pen­sé de l’ob­li­ga­ti­on d’in­for­mer si la per­son­ne con­cer­née dis­po­se déjà des infor­ma­ti­ons visées à l’ar­tic­le 17. On peut par­tir de ce prin­ci­pe dans plu­sieurs cas. Tout d’a­bord, il est pos­si­ble que la per­son­ne con­cer­née ait déjà été infor­mée à une date anté­ri­eu­re et que les infor­ma­ti­ons qui doi­vent être com­mu­ni­quées n’ai­ent pas chan­gé ent­re-temps. En prin­ci­pe, il faut éga­le­ment par­tir du prin­ci­pe que la per­son­ne con­cer­née a déjà reçu les infor­ma­ti­ons néces­saires pour con­sen­tir à un trai­te­ment de don­nées. En effet, un con­sen­te­ment valable n’est pos­si­ble que si la per­son­ne con­cer­née a été infor­mée de maniè­re adé­qua­te. Les infor­ma­ti­ons néces­saires à cet effet cor­re­spon­dent à cel­les qui doi­vent être com­mu­ni­quées en ver­tu de l’ar­tic­le 17 ou vont même au-delà. En règ­le géné­ra­le, le con­sen­te­ment est don­né au moy­en de con­di­ti­ons géné­ra­les (CG). Cel­les-ci peu­vent donc en prin­ci­pe éga­le­ment ser­vir à infor­mer la per­son­ne con­cer­née, dans la mesu­re où elles con­ti­en­nent les infor­ma­ti­ons néces­saires. Si la per­son­ne con­cer­née a ren­du les don­nées acce­s­si­bles elle-même, sans l’in­ter­ven­ti­on du responsable du trai­te­ment, elle est en prin­ci­pe éga­le­ment con­sidé­rée com­me infor­mée de la coll­ec­te des don­nées (p. ex. envoi de dos­siers de can­di­da­tu­re). Selon la lett­re b, l’ob­li­ga­ti­on d’in­for­ma­ti­on ne s’ap­pli­que pas si le trai­te­ment est pré­vu par la loi. Cela peut con­cer­ner aus­si bien les trai­te­ments effec­tués par les orga­nes fédé­raux que par les par­ti­cu­liers. Les orga­nes fédé­raux ne peu­vent de tou­te façon trai­ter des don­nées que s’il exi­ste une base léga­le. Les infor­ma­ti­ons cor­re­spond­an­tes peu­vent géné­ra­le­ment être extrai­tes de cet­te base. Il en va de même pour les per­son­nes pri­vées qui sont tenues par la loi de trai­ter cer­tai­nes don­nées, com­me c’est le cas par exemp­le pour le blan­chi­ment d’ar­gent. Selon la lett­re c, le responsable pri­vé est dis­pen­sé de l’ob­li­ga­ti­on d’in­for­mer s’il est sou­mis à une obli­ga­ti­on léga­le de gar­der le secret. Un éven­tuel con­flit de nor­mes est ain­si réglé en ce sens que l’ob­li­ga­ti­on de gar­der le secret prime en prin­ci­pe sur l’ob­li­ga­ti­on d’in­for­mer. Selon la lett­re d, l’ob­li­ga­ti­on d’in­for­mer est fina­le­ment sup­p­ri­mée si les con­di­ti­ons de l’ar­tic­le 25 sont rem­plies. Cet artic­le règ­le la rest­ric­tion du droit à l’in­for­ma­ti­on en ce qui con­cer­ne les médi­as à carac­tère péri­odi­que. Pour les mêmes rai­sons, un pri­vilè­ge ana­lo­gue pour les médi­as est éga­le­ment néces­saire pour l’ob­li­ga­ti­on d’in­for­mer, afin de tenir suf­fi­sam­ment comp­te de la fonc­tion par­ti­cu­liè­re des médi­as. Ali­néa 2 Rest­ric­tion spécifique Le para­gra­phe 2 pré­voit une limi­ta­ti­on spé­ci­fi­que de l’ob­li­ga­ti­on d’in­for­mer dans les cas où les don­nées ne sont pas coll­ec­tées auprès de la per­son­ne con­cer­née. L’ob­li­ga­ti­on d’in­for­mer la per­son­ne con­cer­née ne s’ap­pli­que pas si l’in­for­ma­ti­on n’est pas pos­si­ble (let. a) ou si elle néces­si­te des efforts dis­pro­por­ti­onnés (let. b). L’in­for­ma­ti­on n’est pas pos­si­ble si la per­son­ne con­cer­née ne peut pas être iden­ti­fi­ée, par exemp­le par­ce qu’il s’a­git de la pho­to d’un incon­nu. Il ne suf­fit tou­te­fois pas de sup­po­ser que l’i­den­ti­fi­ca­ti­on est impos­si­ble. Il faut au con­trai­re effec­tuer des recher­ches d’u­ne ampleur pro­por­ti­on­nel­le. L’ef­fort d’in­for­ma­ti­on de la per­son­ne con­cer­née est dis­pro­por­ti­onné si l’ef­fort à four­nir ne sem­ble pas objec­ti­ve­ment justi­fié par rap­port au gain d’in­for­ma­ti­on de la per­son­ne con­cer­née. Il faut notam­ment tenir comp­te du fait qu’un très grand nombre de per­son­nes sont con­cer­nées. Ain­si, l’in­for­ma­ti­on peut par exemp­le être liée à un effort dis­pro­por­ti­onné si les don­nées per­son­nel­les sont trai­tées exclu­si­ve­ment à des fins d’ar­chivage dans l’in­té­rêt public. L’in­for­ma­ti­on de tou­tes les per­son­nes con­cer­nées néces­si­terait régu­liè­re­ment des efforts extrê­me­ment importants et leur inté­rêt pour l’in­for­ma­ti­on dev­rait sou­vent être limi­té, par exemp­le par­ce que les don­nées en que­sti­on sont très anci­en­nes. Cet­te excep­ti­on doit être inter­pré­tée de maniè­re stric­te. Le responsable ne peut pas se con­ten­ter de sup­po­ser que l’in­for­ma­ti­on est impos­si­ble ou ne peut être réa­li­sée qu’au prix d’ef­forts dis­pro­por­ti­onnés. Au con­trai­re, il doit en prin­ci­pe prend­re tou­tes les mesu­res que l’on peut attendre de lui dans les cir­con­stances don­nées pour satis­fai­re à l’ob­li­ga­ti­on d’in­for­ma­ti­on. Ce n’est qu’en cas d’é­chec de ces mesu­res que le responsable peut con­sidé­rer que l’in­for­ma­ti­on est impos­si­ble. al. 3 Limi­ta­ti­on de l’information Le para­gra­phe 3 défi­nit les con­di­ti­ons dans les­quel­les le responsable peut renon­cer à la com­mu­ni­ca­ti­on d’in­for­ma­ti­ons, la limi­ter ou la dif­fé­rer. Con­trai­re­ment aux al. 1 et 2, l’al. 3 cou­vre ain­si les con­stel­la­ti­ons dans les­quel­les une pesée des inté­rêts est effec­tuée. Une distinc­tion est par­fois fai­te selon que le responsable est un orga­ne fédé­ral ou une per­son­ne pri­vée. Sur la base de la pesée des inté­rêts, le responsable doit amé­na­ger l’in­for­ma­ti­on en con­sé­quence, c’est-à-dire qu’il doit, selon le cas, limi­ter la com­mu­ni­ca­ti­on, la dif­fé­rer ou y renon­cer com­plè­te­ment. L’é­nu­mé­ra­ti­on des dif­fé­ren­tes excep­ti­ons est exhaus­ti­ve et la dis­po­si­ti­on doit en prin­ci­pe être inter­pré­tée de maniè­re rest­ric­ti­ve. L’in­for­ma­ti­on ne doit être limi­tée que dans la mesu­re où elle est vrai­ment indis­pensable. La rai­son de la limi­ta­ti­on de l’ob­li­ga­ti­on d’in­for­ma­ti­on doit être mise en rela­ti­on avec l’in­té­rêt d’un trai­te­ment trans­pa­rent des don­nées. En prin­ci­pe, il con­vi­ent de choi­sir la solu­ti­on la plus favorable pour la per­son­ne con­cer­née, qui garan­tit autant que pos­si­ble un trai­te­ment trans­pa­rent des don­nées dans les cir­con­stances don­nées. Lett­re a Selon la lett­re a, tout responsable peut limi­ter la com­mu­ni­ca­ti­on des infor­ma­ti­ons, la dif­fé­rer ou y renon­cer si cela est néces­saire en rai­son d’in­té­rêts prépon­dé­rants de tiers. Il s’a­git en pre­mier lieu des con­stel­la­ti­ons dans les­quel­les la per­son­ne con­cer­née obti­ent éga­le­ment des infor­ma­ti­ons sur des tiers par le biais de l’in­for­ma­ti­on sur le trai­te­ment des don­nées et où les inté­rêts de ces tiers peu­vent ain­si être lésés. Lett­re b Selon la lett­re b, tout responsable peut limi­ter la com­mu­ni­ca­ti­on des infor­ma­ti­ons, la dif­fé­rer ou y renon­cer si l’in­for­ma­ti­on fait obs­ta­cle à la fina­li­té du trai­te­ment des don­nées. Cet­te excep­ti­on doit être inter­pré­tée de maniè­re stric­te. Le responsable ne peut l’in­vo­quer que si l’in­for­ma­ti­on de la per­son­ne con­cer­née exclut tota­le­ment la réa­li­sa­ti­on simul­ta­née de la fina­li­té du trai­te­ment. Si un trai­te­ment pour­su­it plu­sieurs fina­li­tés, c’est la fina­li­té cen­tra­le qui est déter­mi­nan­te. Il doit s’a­gir d’u­ne fina­li­té qui revêt une importance con­sidé­ra­ble et qui justi­fie une limi­ta­ti­on aus­si lar­ge de l’ob­li­ga­ti­on d’in­for­mer. On peut pen­ser par exemp­le au jour­na­lis­me d’in­ve­sti­ga­ti­on, qui ne relè­ve pas de l’ex­cep­ti­on pré­vue à l’ar­tic­le 18, para­gra­phe 1, point d), P‑LPD. Ain­si, un jour­na­li­ste tra­vail­lant à la révé­la­ti­on d’un scan­da­le poli­tique pour un docu­men­tai­re pour­rait être empê­ché par l’ob­li­ga­ti­on d’in­for­mer d’en­quêter sur les faits en que­sti­on sans être déran­gé. Une tel­le acti­vi­té pré­sen­te éga­le­ment un inté­rêt public con­sidé­ra­ble qui justi­fie une rest­ric­tion importan­te de l’ob­li­ga­ti­on d’in­for­ma­ti­on. Il est éga­le­ment conce­va­ble que des don­nées soi­ent trai­tées en rela­ti­on direc­te avec une pro­cé­du­re à for­te valeur liti­gieu­se et qu’el­les ne soi­ent uti­li­sées qu’au cours du procès. Dans ce cas éga­le­ment, la divul­ga­ti­on pré­co­ce des don­nées ferait entiè­re­ment échou­er le but du trai­te­ment. En out­re, il s’a­git ici d’un trai­te­ment qui con­sti­tue un cas par­ti­cu­lier tant pour le responsable que pour la per­son­ne con­cer­née, car on peut sup­po­ser que ni l’un ni l’aut­re ne sont impli­qués quo­ti­di­en­ne­ment dans de tel­les pro­cé­du­res judi­ciai­res. Dans les deux exemp­les, il exi­ste un inté­rêt important au trai­te­ment des don­nées et le ris­que que l’ob­jec­tif du trai­te­ment soit tota­le­ment ent­ra­vé par l’ob­li­ga­ti­on d’in­for­ma­ti­on est immé­di­at et con­cret. Enfin, dans les deux cas, la per­son­ne con­cer­née est infor­mée du trai­te­ment des don­nées au plus tard au moment de la publi­ca­ti­on des don­nées en que­sti­on ou de leur uti­li­sa­ti­on dans le cad­re d’u­ne pro­cé­du­re judi­ciai­re. Con­for­mé­ment à la clas­si­fi­ca­ti­on sys­té­ma­tique de l’a­li­néa 3, l’ob­li­ga­ti­on d’in­for­mer reste en prin­ci­pe valable. Le responsable ne peut limi­ter, dif­fé­rer ou renon­cer à l’in­for­ma­ti­on que dans la mesu­re où elle fait direc­te­ment obs­ta­cle à la fina­li­té du trai­te­ment. Dans ce con­tex­te, le responsable doit prend­re la mesu­re la plus légè­re du point de vue de la per­son­ne con­cer­née et qui rest­reint le moins pos­si­ble son droit à un trai­te­ment trans­pa­rent des don­nées, comp­te tenu des motifs de la limi­ta­ti­on de l’in­for­ma­ti­on. Enfin, il con­vi­ent de distin­guer l’ex­cep­ti­on visée à la lett­re b de cel­le visée à la lett­re c. La lett­re b doit être inter­pré­tée de maniè­re rest­ric­ti­ve et ne peut s’ap­pli­quer que dans les cas où l’in­for­ma­ti­on de la per­son­ne con­cer­née ferait tota­le­ment échou­er le but du trai­te­ment. En revan­che, le responsable ne peut pas invo­quer la lett­re b lorsqu’il serait sim­ple­ment plus agréa­ble ou plus pra­tique pour lui de renon­cer à l’in­for­ma­ti­on. De même, un responsable ne pour­rait pas invo­quer l’ex­cep­ti­on de maniè­re sys­té­ma­tique, pour l’en­sem­ble de ses acti­vi­tés de trai­te­ment. Enfin, les inté­rêts pure­ment éco­no­mi­ques (par exemp­le l’uti­li­sa­ti­on des don­nées à des fins publi­ci­taires) n’ent­rent en prin­ci­pe pas non plus dans le champ d’ap­pli­ca­ti­on de la let. b. Le cas échéant, ces inté­rêts moins importants du responsable peu­vent tou­te­fois tom­ber sous le coup de la let. c. La let. b ne s’ap­pli­que pas non plus aux inté­rêts éco­no­mi­ques. Lett­re c Selon l’a­li­néa 3, lett­re c, le responsable pri­vé peut limi­ter la com­mu­ni­ca­ti­on d’in­for­ma­ti­ons, la dif­fé­rer ou y renon­cer si ses pro­pres inté­rêts prépon­dé­rants l’e­xi­gent et s’il ne com­mu­ni­que pas les don­nées à des tiers. Un tel inté­rêt prépon­dé­rant ne doit pas être sup­po­sé à la légè­re. L’in­té­rêt de la per­son­ne con­cer­née à être infor­mée d’un cer­tain trai­te­ment de don­nées afin de pou­voir fai­re valoir ses droits doit être soi­gneu­se­ment mis en balan­ce avec les inté­rêts éven­tuels du responsable du trai­te­ment. Il peut être important de savoir quel type de don­nées est trai­té et de quel­le maniè­re, quel est le ris­que d’att­ein­te à la per­son­na­li­té, quel­le est la fina­li­té du trai­te­ment des don­nées et quel est l’in­té­rêt de la per­son­ne con­cer­née. Le responsable du trai­te­ment doit être infor­mé de la fina­li­té du trai­te­ment et de la mesu­re dans laquel­le l’in­for­ma­ti­on de la per­son­ne con­cer­née peut aller à l’en­cont­re de cet­te fina­li­té, ain­si que de l’im­portance de cet­te fina­li­té au regard de l’ac­ti­vi­té du responsable du trai­te­ment. let. d Un orga­ne fédé­ral peut, en ver­tu de l’al. 3, let. d, limi­ter la com­mu­ni­ca­ti­on, la dif­fé­rer ou y renon­cer si des inté­rêts publics prépon­dé­rants l’e­xi­gent (ch. 1). Par inté­rêt public prépon­dé­rant, on entend notam­ment la sécu­ri­té inté­ri­eu­re ou exté­ri­eu­re de la Con­fé­dé­ra­ti­on. La noti­on de sécu­ri­té exté­ri­eu­re inclut, out­re le respect des obli­ga­ti­ons de droit inter­na­tio­nal, l’en­tre­ti­en de bon­nes rela­ti­ons avec l’étran­ger. L’or­ga­ne fédé­ral peut éga­le­ment limi­ter la com­mu­ni­ca­ti­on, la dif­fé­rer ou y renon­cer si cela ris­que de com­pro­mett­re des enquêtes, des inve­sti­ga­ti­ons ou des pro­cé­du­res admi­ni­stra­ti­ves ou judi­ciai­res (ch. 2). Il s’a­git ain­si de garan­tir que les dis­po­si­ti­ons rela­ti­ves au droit d’êt­re enten­du, etc. pré­vues par les lois de pro­cé­du­re ne pui­s­sent pas être con­tour­nées par le biais de la LPD. 

L’ar­tic­le 19 E‑DSG pré­voit une obli­ga­ti­on d’in­for­ma­ti­on en cas de décis­i­on indi­vi­du­el­le auto­ma­ti­sée. Cela cor­re­spond aux exi­gen­ces de l’ar­tic­le 8, point a) E‑SEV 108 ain­si que l’ar­tic­le 11 de la Direc­ti­ve (UE) 2016/680. Artic­le 22 de la Règle­ment (UE) 2016/679 con­ti­ent une dis­po­si­ti­on simi­lai­re. L’in­tro­duc­tion de ce nou­veau ter­me est due au fait qu’en rai­son de l’é­vo­lu­ti­on tech­no­lo­gi­que, de tel­les décis­i­ons seront de plus en plus fré­quen­tes. Ali­néa 1 Information Selon l’al. 1, le responsable doit infor­mer la per­son­ne con­cer­née d’u­ne décis­i­on fon­dée exclu­si­ve­ment sur un trai­te­ment auto­ma­ti­sé, y com­pris le pro­fi­la­ge, qui ent­raî­ne des con­sé­quen­ces juri­di­ques pour la per­son­ne con­cer­née ou qui l’af­fec­te de maniè­re signi­fi­ca­ti­ve. Si néces­saire, le Con­seil fédé­ral pré­cis­e­ra dans l’or­don­nan­ce quand il s’a­git d’u­ne décis­i­on fon­dée exclu­si­ve­ment sur un trai­te­ment auto­ma­ti­sé. C’est le cas lorsqu’il n’y a pas eu d’éva­lua­ti­on du con­te­nu et de décis­i­on fon­dée sur cel­le-ci par une per­son­ne phy­si­que. Cela signi­fie que l’éva­lua­ti­on du con­te­nu des faits sur les­quels la décis­i­on est fon­dée a été effec­tuée sans l’in­ter­ven­ti­on d’u­ne per­son­ne phy­si­que. En out­re, la décis­i­on qui est pri­se sur la base de cet­te éva­lua­ti­on des faits n’est pas non plus pri­se par une per­son­ne phy­si­que. Une décis­i­on indi­vi­du­el­le auto­ma­ti­sée peut exi­ster même si elle est ensuite com­mu­ni­quée par une per­son­ne phy­si­que, si cel­le-ci ne peut plus influen­cer la décis­i­on pri­se auto­ma­ti­quement. Ce qui est donc déter­mi­nant, c’est la mesu­re dans laquel­le une per­son­ne phy­si­que peut pro­cé­der à un examen du con­te­nu et prend­re la décis­i­on fina­le sur la base de cet examen. Il est tou­te­fois néces­saire que la décis­i­on pré­sen­te une cer­taine com­ple­xi­té. Les décis­i­ons pure­ment “si” ne sont pas cou­ver­tes par la noti­on, com­me c’est le cas par exemp­le pour un retrait au Ban­co­mat (la som­me d’ar­gent deman­dée est dépen­sée si la cou­ver­tu­re du comp­te est suf­fi­san­te). La per­son­ne con­cer­née ne doit pas être infor­mée de chaque décis­i­on indi­vi­du­el­le auto­ma­ti­sée. Au con­trai­re, cela n’est néces­saire que si la décis­i­on est liée à une con­sé­quence juri­di­que pour la per­son­ne con­cer­née ou l’af­fec­te con­sidé­ra­blem­ent. La décis­i­on est liée à un effet juri­di­que lorsqu’el­le ent­raî­ne des con­sé­quen­ces direc­tes et pré­vues par la loi pour la per­son­ne con­cer­née. Dans le domaine du droit pri­vé, c’est notam­ment le cas lors de la con­clu­si­on d’un cont­rat ou de sa rési­lia­ti­on. Une appro­che dif­fé­ren­ciée est néces­saire. Ain­si, la con­clu­si­on d’un cont­rat d’assu­rance a une con­sé­quence juri­di­que pour la per­son­ne con­cer­née. En revan­che, si la per­son­ne con­cer­née reçoit ensuite une fac­tu­re de prime à inter­val­les régu­liers, chaque fac­tu­re de prime ne con­sti­tue pas en soi une décis­i­on indi­vi­du­el­le sup­p­lé­men­tai­re ayant une con­sé­quence juri­di­que, car la fac­tu­ra­ti­on découle de la con­clu­si­on du cont­rat. Le fait qu’au­cun cont­rat ne soit con­clu avec la per­son­ne con­cer­née n’a pas non plus de con­sé­quence juri­di­que. Dans le domaine du droit public, il y a notam­ment une con­sé­quence juri­di­que lorsque des décis­i­ons sont pri­ses sur la base d’u­ne décis­i­on indi­vi­du­el­le auto­ma­ti­sée, com­me par exemp­le une éva­lua­ti­on fis­ca­le auto­ma­ti­sée. On con­sidè­re qu’il y a att­ein­te gra­ve à la per­son­ne con­cer­née lorsque cel­le-ci est limi­tée de maniè­re dura­ble, par exemp­le dans ses inté­rêts éco­no­mi­ques ou per­son­nels. Un simp­le har­cè­le­ment ne suf­fit pas. Les cir­con­stances con­crè­tes du cas d’e­spè­ce sont déter­mi­nan­tes. Il faut notam­ment tenir comp­te de l’im­portance du bien en que­sti­on pour la per­son­ne con­cer­née, de la dura­bi­li­té des effets de la décis­i­on et de l’e­xi­stence éven­tu­el­le d’al­ter­na­ti­ves. En fonc­tion des con­sé­quen­ces con­crè­tes, un cont­rat non con­clu peut donc con­sti­tuer ou non un pré­ju­di­ce important. Il peut éga­le­ment y avoir un pré­ju­di­ce important lorsque des pre­sta­ti­ons médi­cal­es sont attri­buées sur la base de décis­i­ons auto­ma­ti­sées. Le responsable du trai­te­ment doit éga­le­ment infor­mer la per­son­ne con­cer­née de l’e­xi­stence d’un pro­fi­la­ge si celui-ci abou­tit à une décis­i­on qui ent­raî­ne des con­sé­quen­ces juri­di­ques pour la per­son­ne con­cer­née ou qui l’af­fec­te de maniè­re signi­fi­ca­ti­ve. Il est par exemp­le pos­si­ble que la per­son­ne con­cer­née ne pui­s­se pas con­clu­re de cont­rat de car­te de cré­dit uni­quement en rai­son d’un cre­dit scoring néga­tif. Cet exemp­le en par­ti­cu­lier illu­stre éga­le­ment la pro­blé­ma­tique des décis­i­ons indi­vi­du­el­les auto­ma­ti­sées. Ain­si, un cre­dit scoring néga­tif peut tout à fait reflé­ter la situa­ti­on finan­ciè­re réel­le d’u­ne per­son­ne. Mais il est tout aus­si pos­si­ble que ce cre­dit scoring repo­se sur des don­nées erro­n­ées ou obsolè­tes qui cont­re­di­sent tota­le­ment la situa­ti­on finan­ciè­re réel­le de la per­son­ne con­cer­née. Dans ce cas, la décis­i­on auto­ma­ti­sée ent­raî­ne pour elle un pré­ju­di­ce inju­sti­fié. al. 2 Pré­sen­ta­ti­on du point de vue Le responsable du trai­te­ment doit don­ner à la per­son­ne con­cer­née, con­for­mé­ment au para­gra­phe 2, la pos­si­bi­li­té de fai­re valoir son point de vue si elle le deman­de. Elle doit notam­ment avoir la pos­si­bi­li­té d’ex­pri­mer son point de vue sur le résul­tat de la décis­i­on et, le cas échéant, de deman­der com­ment la décis­i­on a été pri­se. Cela doit notam­ment per­mett­re d’é­vi­ter que le trai­te­ment des don­nées ne repo­se sur des don­nées incom­plè­tes, obsolè­tes ou inexac­tes. Cela est éga­le­ment dans l’in­té­rêt du responsable du trai­te­ment, car des décis­i­ons indi­vi­du­el­les auto­ma­ti­sées incor­rec­tes peu­vent éga­le­ment avoir des con­sé­quen­ces néga­ti­ves pour lui, par exemp­le en ne con­clu­ant pas un cont­rat avec une per­son­ne par­ce qu’el­le a été con­sidé­rée à tort com­me non sol­va­ble. La liber­té de con­trac­ter n’en est pas affec­tée. La loi ne pré­cise pas quand la per­son­ne con­cer­née doit être infor­mée ni quand elle a la pos­si­bi­li­té d’ex­po­ser son point de vue. En con­sé­quence, cela peut se fai­re avant ou après la décis­i­on. L’in­for­ma­ti­on et la con­sul­ta­ti­on sont donc éga­le­ment pos­si­bles, par exemp­le, lorsque la per­son­ne con­cer­née reçoit une décis­i­on auto­ma­ti­sée, dûment iden­ti­fi­ée, et qu’el­le a ensuite la pos­si­bi­li­té de s’ex­pri­mer dans le cad­re du droit d’êt­re enten­du ou en intro­dui­sant un recours. Cet­te pro­cé­du­re ne doit tou­te­fois pas ent­raî­ner des coûts si éle­vés pour la per­son­ne con­cer­née (par exemp­le des frais de pro­cé­du­re) qu’el­le y renon­ce. al. 3 Exceptions Selon l’al. 3, l’ob­li­ga­ti­on d’in­for­mer et de con­sul­ter n’est pas néces­saire si la décis­i­on indi­vi­du­el­le auto­ma­ti­sée est direc­te­ment liée à la con­clu­si­on ou à l’exé­cu­ti­on d’un cont­rat ent­re la per­son­ne con­cer­née et le responsable du trai­te­ment, pour autant que sa deman­de soit accep­tée (let. a). Dans un tel cas, il faut par­tir du prin­ci­pe que la per­son­ne con­cer­née n’a plus d’in­té­rêt à être infor­mée. Il est fait droit à la deman­de de la per­son­ne con­cer­née si le cont­rat est con­clu exac­te­ment aux con­di­ti­ons pré­sen­tées par exemp­le dans l’off­re ou deman­dées par la per­son­ne con­cer­née. Ain­si, il est fait droit à sa deman­de si un cont­rat de lea­sing est con­clu au taux d’in­té­rêt indi­qué dans l’off­re ; il en va autre­ment si le cont­rat de lea­sing est cer­tes con­clu, mais à un taux moins avan­ta­ge­ux que celui indi­qué dans l’off­re en rai­son d’u­ne mau­vai­se nota­ti­on de cré­dit de la per­son­ne con­cer­née. Il s’a­git de savoir si la deman­de de la per­son­ne con­cer­née a été accep­tée dans son ensem­ble. Il ne suf­fit pas que ce soit le cas pour cer­ta­ins élé­ments seu­le­ment. L’ob­li­ga­ti­on d’in­for­ma­ti­on et de con­sul­ta­ti­on est éga­le­ment sup­p­ri­mée si la per­son­ne con­cer­née a expres­sé­ment con­sen­ti à ce qu’u­ne décis­i­on soit pri­se de maniè­re auto­ma­ti­sée (let. b). Cet­te excep­ti­on est logi­que, car la per­son­ne con­cer­née doit déjà être infor­mée pour don­ner vala­blem­ent son con­sen­te­ment. al. 4 Décis­i­ons indi­vi­du­el­les pri­ses par des orga­nes fédéraux L’a­li­néa 4 con­cer­ne les décis­i­ons indi­vi­du­el­les auto­ma­ti­sées qui sont pri­ses par un orga­ne fédé­ral. Il s’a­git en prin­ci­pe de décis­i­ons. Selon l’al. 4, l’or­ga­ne fédé­ral doit les iden­ti­fier com­me des décis­i­ons indi­vi­du­el­les auto­ma­ti­sées afin que la per­son­ne con­cer­née pui­s­se recon­naît­re que la décis­i­on n’a pas été trai­tée par une per­son­ne phy­si­que. La per­son­ne con­cer­née dis­po­se en prin­ci­pe d’u­ne voie de recours cont­re les décis­i­ons, qui lui per­met d’ex­po­ser son point de vue et à une per­son­ne phy­si­que de réex­ami­ner la décis­i­on. En d’aut­res ter­mes, les droits visés à l’ar­tic­le 19, para­gra­phe 2, P‑LPD sont déjà garan­tis par les voies de droit. C’est pour­quoi la deu­xiè­me phra­se de la dis­po­si­ti­on pré­voit que le deu­xiè­me ali­néa de l’ar­tic­le 19 ne s’ap­pli­que pas lorsque la per­son­ne con­cer­née dis­po­se d’u­ne voie de recours. 

L’ar­tic­le 20 P‑LPD intro­duit l’ob­li­ga­ti­on de réa­li­ser une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. Cet­te dis­po­si­ti­on con­cré­ti­se les exi­gen­ces de l’ar­tic­le 8, ali­néa 2 E‑SEV 108 ain­si que de l’ar­tic­le 27 f. de la Direc­ti­ve (UE) 2016/680. Les artic­les 35 et sui­vants de la Règle­ment (UE) 2016/679 con­ti­en­nent des dis­po­si­ti­ons simi­lai­res. La noti­on et la fonc­tion de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées décou­lent de l’ar­tic­le 20, para­gra­phe 3. Une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées est un instru­ment per­met­tant d’i­den­ti­fier et d’éva­luer les ris­ques que l’uti­li­sa­ti­on de cer­ta­ins trai­te­ments de don­nées pour­rait fai­re cour­ir à la per­son­ne con­cer­née. Sur la base de cet­te éva­lua­ti­on, des mesu­res appro­priées doi­vent être défi­nies, le cas échéant, afin de maîtri­ser ces ris­ques pour la per­son­ne con­cer­née. Une tel­le éva­lua­ti­on est donc éga­le­ment avan­ta­ge­u­se pour le responsable du trai­te­ment, car elle lui per­met d’a­bor­der de maniè­re pré­ven­ti­ve les éven­tuels pro­blè­mes liés à la pro­tec­tion des don­nées, ce qui lui per­met notam­ment de réa­li­ser des éco­no­mies. Les orga­nes fédé­raux sont d’o­res et déjà tenus d’an­non­cer les pro­jets de trai­te­ment auto­ma­ti­sé des don­nées au responsable de la pro­tec­tion des don­nées ou, à défaut, au pré­po­sé (art. 20, al. 2, OLPD). La pro­cé­du­re selon la métho­de de gesti­on de pro­jet Her­mes dev­rait cor­re­spond­re dans une lar­ge mesu­re aux exi­gen­ces d’u­ne ana­ly­se d’im­pact en matiè­re de pro­tec­tion des don­nées. Ali­né­as 1 et 2 Motifs de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des données Selon l’al. 1, le responsable doit effec­tuer une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées si le trai­te­ment de don­nées pré­vu est sus­cep­ti­ble d’en­gend­rer un ris­que éle­vé pour la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née. La pré­sen­te dis­po­si­ti­on s’ap­pli­que aus­si bien aux respons­ables pri­vés qu’aux orga­nes fédé­raux, rai­son pour laquel­le il n’est pas seu­le­ment que­sti­on d’un ris­que pour la per­son­na­li­té de la per­son­ne con­cer­née, mais aus­si pour ses droits fon­da­men­taux. Le responsable est donc tenu de fai­re un pro­no­stic sur les con­sé­quen­ces d’un trai­te­ment de don­nées pré­vu pour la per­son­ne con­cer­née. Le critère déter­mi­nant à cet égard est notam­ment la maniè­re et l’am­pleur des effets d’un trai­te­ment sur la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née. Lors de la con­cré­ti­sa­ti­on de ce ris­que, le droit à l’au­to­dé­ter­mi­na­ti­on en matiè­re d’in­for­ma­ti­on et le droit à la vie pri­vée sont au pre­mier plan. Ceux-ci pro­tègent aus­si bien l’au­to­no­mie de l’in­di­vi­du que sa dignité et son iden­ti­té. l’i­den­ti­té. En ce qui con­cer­ne les don­nées, l’au­to­no­mie signi­fie notam­ment pou­voir dis­po­ser de ses don­nées per­son­nel­les de maniè­re indé­pen­dan­te et ne pas devoir sup­po­ser que cel­les-ci se trou­vent en quan­ti­té incon­nue ent­re les mains d’un grand nombre de tiers qui peu­vent en dis­po­ser sans rest­ric­tion. En effet, les don­nées sont étroi­te­ment liées à l’i­den­ti­té d’u­ne per­son­ne. Qui­con­que pos­sè­de des don­nées sur une per­son­ne et les met en rela­ti­on peut obte­nir une image très inti­me et com­plè­te de cet­te per­son­ne, qu’el­le ne révé­lerait peut-être volon­tai­re­ment qu’à des per­son­nes par­ti­cu­liè­re­ment pro­ches. Cela n’est pas seu­le­ment pro­blé­ma­tique en ce qui con­cer­ne la liber­té de dis­po­si­ti­on. Au con­trai­re, des infor­ma­ti­ons sur une aut­re per­son­ne peu­vent influen­cer ses rela­ti­ons avec son entou­ra­ge de diver­ses maniè­res, le cas échéant sans que la per­son­ne con­cer­née en con­naisse les rai­sons (p. ex. stig­ma­tisa­ti­on en rai­son d’u­ne mala­die, rest­ric­tions lors de la con­clu­si­on d’un cont­rat en rai­son d’u­ne éva­lua­ti­on de la sol­va­bi­li­té, etc.) La per­son­ne con­cer­née peut éga­le­ment se sen­tir obli­gée de modi­fier son com­porte­ment, par exemp­le par­ce qu’el­le sait que son com­porte­ment est sur­veil­lé. Enfin, de tel­les infor­ma­ti­ons peu­vent aus­si invi­ter à des abus qui peu­vent tou­ch­er sen­si­blem­ent la dignité de l’in­di­vi­du. Pour éva­luer le ris­que, l’au­to­dé­ter­mi­na­ti­on infor­ma­ti­on­nel­le et le droit à la vie pri­vée doi­vent être mis en rela­ti­on avec le trai­te­ment de don­nées en que­sti­on. En d’aut­res ter­mes, le trai­te­ment doit être con­sidé­ré au regard de l’au­to­dé­ter­mi­na­ti­on, de l’i­den­ti­té et de la dignité d’u­ne per­son­ne con­cer­née. On peut en prin­ci­pe con­sidé­rer qu’il y a un ris­que éle­vé lorsque les carac­té­ri­sti­ques spé­ci­fi­ques du trai­te­ment de don­nées envi­sa­gé per­met­tent de con­clu­re que la liber­té de la per­son­ne con­cer­née de dis­po­ser de ses don­nées est ou peut être for­te­ment rest­rein­te. Le ris­que éle­vé peut par exemp­le résul­ter du type de don­nées trai­tées ou de leur con­te­nu (p. ex. don­nées sen­si­bles), du type et de la fina­li­té du trai­te­ment des don­nées (p. ex. pro­fi­la­ge), de la quan­ti­té de don­nées trai­tées, du trans­fert vers des États tiers (p. ex. si la légis­la­ti­on étran­gè­re ne garan­tit pas une pro­tec­tion adé­qua­te) ou si un nombre important, voi­re illi­mi­té, de per­son­nes peu­vent avoir accès aux don­nées. L’al. 2 con­cré­ti­se ce point en pré­cisant que le ris­que éle­vé résul­te de la natu­re, de l’am­pleur, des cir­con­stances et de la fina­li­té du trai­te­ment. Plus le trai­te­ment est important, plus les don­nées trai­tées sont sen­si­bles, plus le but du trai­te­ment est vaste, plus il est pro­ba­ble que le ris­que soit éle­vé. La dis­po­si­ti­on énumè­re à tit­re d’exemp­le deux cas dans les­quels il exi­ste un ris­que éle­vé. Selon la let. a, il y a un tel ris­que lorsque des don­nées per­son­nel­les sen­si­bles sont trai­tées à gran­de échel­le, com­me cela peut être le cas par exemp­le dans des pro­jets de recher­che médi­cale. Selon la lett­re b, il exi­ste éga­le­ment un ris­que éle­vé en cas de pro­fi­la­ge. Il peut en aller de même dans le cas de décis­i­ons fon­dées exclu­si­ve­ment sur un trai­te­ment auto­ma­ti­sé, y com­pris le pro­fi­la­ge, qui ent­raî­nent des con­sé­quen­ces juri­di­ques pour la per­son­ne con­cer­née ou qui l’af­fec­tent de maniè­re signi­fi­ca­ti­ve. De tel­les décis­i­ons peu­vent, le cas échéant, avoir des con­sé­quen­ces importan­tes pour la per­son­ne con­cer­née. Dans de tels cas, une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées est éga­le­ment requi­se. Enfin, selon la lett­re c, il exi­ste un ris­que éle­vé lorsque des domain­es publics éten­dus sont sys­té­ma­ti­quement sur­veil­lés. On pen­se par exemp­le à la sur­veil­lan­ce d’un hall de gare. La deu­xiè­me phra­se de l’al. 1 per­met au responsable d’ef­fec­tuer une ana­ly­se com­mu­ne lorsqu’il pré­voit plu­sieurs opé­ra­ti­ons de trai­te­ment simi­lai­res. Il s’a­git en par­ti­cu­lier d’opé­ra­ti­ons de trai­te­ment qui ont un objec­tif com­mun glo­bal. Par con­sé­quent, il n’est pas néces­saire d’ex­ami­ner sépa­ré­ment les dif­fé­ren­tes étapes de trai­te­ment d’u­ne pla­te­for­me de trai­te­ment, mais l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées peut por­ter sur l’en­sem­ble de la pla­te­for­me de trai­te­ment. al. 3 Con­te­nu de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des données Con­for­mé­ment au para­gra­phe 3, l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées doit d’a­bord expo­ser le trai­te­ment pré­vu. Ain­si, les dif­fé­ren­tes opé­ra­ti­ons de trai­te­ment (par exemp­le la tech­no­lo­gie uti­li­sée), la fina­li­té du trai­te­ment ou la durée de con­ser­va­ti­on doi­vent être men­ti­onnées. En out­re, selon l’a­li­néa 3, il faut mon­trer quels ris­ques pour la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née les opé­ra­ti­ons de trai­te­ment en que­sti­on peu­vent ent­raî­ner. Il s’a­git ici d’un appro­fon­dis­se­ment de l’éva­lua­ti­on des ris­ques, qui doit déjà être effec­tuée en vue de la néces­si­té d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. Ain­si, il con­vi­ent d’in­di­quer en quoi le trai­te­ment de don­nées en que­sti­on pré­sen­te un ris­que éle­vé pour la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née et com­ment ce ris­que doit être éva­lué. Enfin, l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées doit expli­quer, con­for­mé­ment à l’al. 3, quel­les mesu­res doi­vent être pri­ses pour maîtri­ser ces ris­ques. Les prin­cipes énon­cés à l’art. 5 P‑LPD sont notam­ment déter­mi­nants à cet égard, mais l’ob­li­ga­ti­on de pro­té­ger les don­nées par la tech­ni­que et par défaut (pri­va­cy by design/by default ; art. 6 P‑LPD) peut éga­le­ment être per­ti­nen­te. Ces mesu­res peu­vent éga­le­ment fai­re l’ob­jet d’u­ne mise en balan­ce ent­re les inté­rêts de la per­son­ne con­cer­née et ceux du responsable du trai­te­ment. Cet­te mise en balan­ce des inté­rêts doit éga­le­ment figu­rer dans l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées et être dûment justi­fi­ée. al. 4 Excep­ti­ons pour les obli­ga­ti­ons légales Selon le para­gra­phe 4, les respons­ables pri­vés qui trai­tent des don­nées en exé­cu­ti­on d’u­ne obli­ga­ti­on léga­le ne sont pas tenus de réa­li­ser une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. On pen­se ici par exemp­le au trai­te­ment de don­nées dans le cad­re de la lut­te cont­re le ter­ro­ris­me ou le blan­chi­ment d’ar­gent. Si des don­nées sont trai­tées uni­quement à de tel­les fins en ver­tu d’u­ne obli­ga­ti­on léga­le, il faut par­tir du prin­ci­pe que le légis­la­teur a éva­lué les ris­ques éven­tuels pour la per­son­ne con­cer­née par rap­port à la fina­li­té du trai­te­ment et, le cas échéant, a édic­té des pre­scrip­ti­ons cor­re­spond­an­tes. En revan­che, l’al. 4 ne s’ap­pli­que pas aux trai­te­ments effec­tués par des per­son­nes pri­vées qui ne sont pas exclu­si­ve­ment desti­nés à rem­plir une obli­ga­ti­on léga­le. Dans ce cas, une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées doit être éta­b­lie. al. 5 Exceptions Les respons­ables pri­vés peu­vent s’ab­ste­nir d’ef­fec­tuer une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées s’ils ont été cer­ti­fi­és con­for­mé­ment à l’ar­tic­le 12. La cer­ti­fi­ca­ti­on doit por­ter sur le trai­te­ment en que­sti­on, qui doit être exami­né au moy­en de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. Le pré­po­sé aurait pré­fé­ré que la déro­ga­ti­on se limi­te à la cer­ti­fi­ca­ti­on. En out­re, ils peu­vent y déro­ger s’ils respec­tent un code de con­duite qui rem­plit les con­di­ti­ons du para­gra­phe 5, points a) à c). Il s’a­git d’un code de con­duite au sens de l’ar­tic­le 10, qui doit se fon­der sur une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées dans laquel­le le trai­te­ment en que­sti­on a été exami­né (let. a). Le code de con­duite doit pré­voir des mesu­res de pro­tec­tion de la per­son­na­li­té ou des droits fon­da­men­taux de la per­son­ne con­cer­née (let. b). En out­re, le code de con­duite doit avoir été sou­mis au pré­po­sé (let. c). On peut par exemp­le ima­gi­ner qu’u­ne orga­ni­sa­ti­on pro­fes­si­on­nel­le d’a­vo­cats fas­se déve­lo­p­per une pla­te­for­me pour la gesti­on des don­nées de ses cli­ents, procè­de à une ana­ly­se d’im­pact sur la pro­tec­tion des don­nées et éla­bo­re un code de con­duite sur la base des résul­tats de cet­te ana­ly­se. Si un responsable pri­vé respec­te ce code lorsqu’il uti­li­se la pla­te­for­me, il est dis­pen­sé de l’é­la­bo­ra­ti­on d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. Le pré­po­sé aurait pré­fé­ré que cet­te exemp­ti­on soit limi­tée au cas de la certification. 

Con­trai­re­ment au pro­jet mis en con­sul­ta­ti­on, la com­mu­ni­ca­ti­on du résul­tat d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées au pré­po­sé fait l’ob­jet d’u­ne dis­po­si­ti­on sépa­rée dans la P‑LPD. Ali­néa 1 Obli­ga­ti­on de consultation Selon l’al. 1, le responsable doit pré­ala­blem­ent deman­der l’a­vis du pré­po­sé s’il res­sort de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées que le trai­te­ment envi­sa­gé pré­s­en­ter­ait un ris­que éle­vé pour la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née si le responsable ne pre­nait pas de mesu­res. Cet­te con­sul­ta­ti­on est effec­tuée par le E‑SEV 108 n’est pas obli­ga­toire, mais elle est con­for­me à la régle­men­ta­ti­on euro­pé­en­ne (art. 28 de la direc­ti­ve [UE] 2016/680 et art. 36 du Règle­ment [UE] 2016/679). Elle est notam­ment repri­se dans l’E-DSG par­ce qu’el­le per­met au pré­po­sé d’a­gir à tit­re pré­ven­tif et de con­seil­ler. Cela est notam­ment plus effi­cace pour le responsable, car les éven­tu­el­les dif­fi­cul­tés liées à la pro­tec­tion des don­nées peu­vent être réso­lues à un sta­de pré­co­ce du trai­te­ment des don­nées. Ali­né­as 2 et 3 Objec­tions du mandataire Selon l’a­li­néa 2, le pré­po­sé dis­po­se de deux mois pour fai­re part au responsable de ses objec­tions au trai­te­ment pré­vu. Dans les cas par­ti­cu­liè­re­ment com­ple­xes, ce délai peut être pro­lon­gé d’un mois. Si le responsable ne reçoit pas de nou­vel­les du pré­po­sé dans le délai de deux mois, il peut en prin­ci­pe par­tir du prin­ci­pe que le pré­po­sé ne s’op­po­se pas aux mesu­res pro­po­sées. Après avoir été infor­mé d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées, le pré­po­sé véri­fie si les mesu­res pro­po­sées sont suf­fi­san­tes pour pro­té­ger les droits fon­da­men­taux et la per­son­na­li­té de la per­son­ne con­cer­née. S’il arri­ve à la con­clu­si­on que le trai­te­ment pré­vu, tel qu’il est pro­po­sé, vio­le­rait les dis­po­si­ti­ons rela­ti­ves à la pro­tec­tion des don­nées, il pro­po­se au responsable du trai­te­ment des mesu­res appro­priées pour limi­ter les ris­ques con­sta­tés. Le pré­po­sé à la pro­tec­tion des don­nées reste tou­te­fois lib­re d’ou­vr­ir une enquête ulté­ri­eu­re­ment si les con­di­ti­ons de l’ar­tic­le 43 P‑LPD sont rem­plies. Cela peut notam­ment être le cas lorsque les ris­ques n’ont pas été cor­rec­te­ment éva­lués dans le cad­re de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées et que, par con­sé­quent, les mesu­res en que­sti­on ne s’a­vè­rent pas ciblées ou suf­fi­san­tes. al. 4 Con­sul­ta­ti­on du con­seil­ler à la pro­tec­tion des données Le responsable pri­vé peut se dis­pen­ser de con­sul­ter le délé­gué s’il a fait appel à un con­seil­ler à la pro­tec­tion des don­nées con­for­mé­ment à l’ar­tic­le 9 P‑LPD et s’il l’a con­sul­té au sujet de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. Le con­seil­ler à la pro­tec­tion des don­nées doit effec­ti­ve­ment s’êt­re pen­ché sur l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. En d’aut­res ter­mes, il ne suf­fit pas que le responsable dési­gne un con­seil­ler à la pro­tec­tion des don­nées pour béné­fi­ci­er du pri­vilè­ge. Celui-ci doit au con­trai­re être acti­ve­ment impli­qué dans l’é­la­bo­ra­ti­on de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. Il doit notam­ment exami­ner l’éva­lua­ti­on des ris­ques et les mesu­res pro­po­sées pour y fai­re face. Cet­te dis­po­si­ti­on vise à allé­ger la char­ge des ent­re­pri­ses tout en les inci­tant à fai­re appel à un con­seil­ler à la pro­tec­tion des don­nées. Une tel­le excep­ti­on a cer­tes fait l’ob­jet de dis­cus­sions au niveau euro­pé­en, mais elle a fina­le­ment été inté­g­rée dans la Règle­ment (UE) 2016/679 n’est pas pré­vue. Le Con­seil fédé­ral esti­me qu’il serait judi­cieux de pré­voir des allé­ge­ments plus importants sur ce point, notam­ment pour rédui­re la char­ge admi­ni­stra­ti­ve. Le pré­po­sé aurait pré­fé­ré que cet­te dis­po­si­ti­on ne soit pas repri­se dans le projet. 

L’ar­tic­le 22 P‑LPD intro­duit l’ob­li­ga­ti­on de noti­fier les vio­la­ti­ons de la sécu­ri­té des don­nées. Cet­te dis­po­si­ti­on con­cré­ti­se les exi­gen­ces de l’ar­tic­le 7, para­gra­phe 2 E‑SEV 108 ain­si que les artic­les 30 et sui­vants de la Direc­ti­ve (UE) 2016/680. Les artic­les 33 et sui­vants de la Règle­ment (UE) 2016/679 con­ti­en­nent une dis­po­si­ti­on simi­lai­re. al. 1 Défi­ni­ti­on et principe L’al. 1 pré­voit que le responsable noti­fie dans les meil­leurs délais au Pré­po­sé à la pro­tec­tion des don­nées tou­te vio­la­ti­on de la sécu­ri­té des don­nées sus­cep­ti­ble d’en­gend­rer un ris­que éle­vé pour la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née. La pré­sen­te dis­po­si­ti­on s’ap­pli­que aus­si bien aux respons­ables pri­vés qu’aux orga­nes fédé­raux, rai­son pour laquel­le il n’est pas seu­le­ment que­sti­on d’un ris­que pour la per­son­na­li­té de la per­son­ne con­cer­née, mais aus­si pour ses droits fon­da­men­taux. La vio­la­ti­on de la sécu­ri­té des don­nées est défi­nie à l’ar­tic­le 4, point g), P‑LPD. Selon cet­te dis­po­si­ti­on, il s’a­git d’u­ne vio­la­ti­on de la sécu­ri­té qui, indé­pen­dam­ment de son carac­tère inten­ti­on­nel ou illi­ci­te, ent­raî­ne la per­te, l’effa­ce­ment ou la des­truc­tion de don­nées per­son­nel­les, leur modi­fi­ca­ti­on ou leur divul­ga­ti­on à des per­son­nes non auto­ri­sées ou leur mise à dis­po­si­ti­on de cel­les-ci. La vio­la­ti­on peut être le fait de tiers, mais aus­si de col­la­bo­ra­teurs qui abu­sent de leurs com­pé­ten­ces ou agis­sent avec nég­li­gence. Une vio­la­ti­on de la sécu­ri­té des don­nées peut fai­re perd­re à la per­son­ne con­cer­née le con­trô­le de ses don­nées ou ent­raî­ner une uti­li­sa­ti­on abu­si­ve de ces don­nées. En out­re, elle peut éga­le­ment ent­raî­ner une att­ein­te à la per­son­na­li­té de la per­son­ne con­cer­née, par exemp­le en révé­lant des infor­ma­ti­ons secrè­tes la con­cer­nant. En con­sé­quence, Ain­si, selon l’art. 26, al. 2, let. a, P‑LPD, une vio­la­ti­on de la sécu­ri­té des don­nées est con­sidé­rée com­me une att­ein­te à la per­son­na­li­té. La per­son­ne con­cer­née ne peut réa­gir à ces ris­ques que si elle a con­nais­sance de la vio­la­ti­on de la sécu­ri­té des don­nées. C’est pour­quoi le responsable doit en prin­ci­pe noti­fier un trai­te­ment non auto­ri­sé, la noti­fi­ca­ti­on étant d’a­bord adres­sée au pré­po­sé, puis à la per­son­ne con­cer­née uni­quement dans les con­di­ti­ons pré­vues à l’al. 4. La noti­fi­ca­ti­on doit être effec­tuée le plus rapi­de­ment pos­si­ble à par­tir du moment où le responsable en a con­nais­sance. Le responsable doit en prin­ci­pe agir rapi­de­ment, mais la dis­po­si­ti­on don­ne une cer­taine mar­ge d’ap­pré­cia­ti­on. L’am­pleur de la mise en dan­ger de la per­son­ne con­cer­née est notam­ment déter­mi­nan­te. Plus la mise en dan­ger est importan­te, plus le nombre de per­son­nes con­cer­nées est éle­vé, plus le responsable doit agir rapi­de­ment. La noti­fi­ca­ti­on au pré­po­sé n’est tou­te­fois néces­saire que si la vio­la­ti­on de la sécu­ri­té des don­nées est sus­cep­ti­ble d’en­traî­ner un ris­que éle­vé pour la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née. Cela doit évi­ter que même des vio­la­ti­ons insi­gni­fi­an­tes doi­vent être noti­fi­ées. Pour ce fai­re, le responsable doit fai­re un pro­no­stic en ce qui con­cer­ne les con­sé­quen­ces pos­si­bles de la vio­la­ti­on pour la per­son­ne con­cer­née. al. 2 Con­te­nu de la notification Le para­gra­phe 2 con­ti­ent les exi­gen­ces mini­ma­les pour une noti­fi­ca­ti­on au pré­po­sé. Le responsable doit d’a­bord indi­quer, dans la mesu­re du pos­si­ble, la natu­re de la vio­la­ti­on de la sécu­ri­té des don­nées. On peut distin­guer quat­re types de vio­la­ti­on : la des­truc­tion ou l’effa­ce­ment, la per­te, la modi­fi­ca­ti­on et la com­mu­ni­ca­ti­on de don­nées à des per­son­nes non auto­ri­sées. Il doit éga­le­ment décr­i­re autant que pos­si­ble les con­sé­quen­ces de la vio­la­ti­on de la sécu­ri­té des don­nées. Il s’a­git en pre­mier lieu des con­sé­quen­ces pour la per­son­ne con­cer­née et non pour le responsable lui-même. Enfin, le responsable doit indi­quer les mesu­res qu’il a pri­ses suite à la vio­la­ti­on et cel­les qu’il pro­po­se pour l’a­ve­nir. Il s’a­git ici de mesu­res qui éli­mi­nent la vio­la­ti­on ou en atté­nuent les con­sé­quen­ces. Glo­ba­le­ment, la noti­fi­ca­ti­on doit per­mett­re au responsable d’in­ter­ve­nir le plus rapi­de­ment et le plus effi­ca­ce­ment pos­si­ble. al. 3 Noti­fi­ca­ti­on par le sous-traitant Une vio­la­ti­on de la sécu­ri­té des don­nées peut éga­le­ment se pro­dui­re chez le sous-trai­tant. C’est pour­quoi ce der­nier est tenu, en ver­tu de l’al. 3, de noti­fier au plus vite au responsable tout trai­te­ment non auto­ri­sé de don­nées. C’est au responsable de pro­cé­der ensuite à une éva­lua­ti­on des ris­ques et de déci­der dans quel­le mesu­re il y a une obli­ga­ti­on de noti­fi­ca­ti­on vis-à-vis du pré­po­sé et de la per­son­ne con­cer­née. al. 4 Infor­ma­ti­on à la per­son­ne concernée En prin­ci­pe, la per­son­ne con­cer­née ne doit pas être infor­mée. Selon l’al. 4, elle doit tou­te­fois être infor­mée de la vio­la­ti­on de la sécu­ri­té des don­nées si cela est néces­saire pour sa pro­tec­tion ou si le pré­po­sé le deman­de. Il exi­ste à cet égard une cer­taine mar­ge d’ap­pré­cia­ti­on. Il est notam­ment important de savoir si l’in­for­ma­ti­on per­met de rédui­re les ris­ques pour la per­son­na­li­té ou les droits fon­da­men­taux de la per­son­ne con­cer­née. C’est notam­ment le cas lorsque la per­son­ne con­cer­née doit prend­re des mesu­res adé­qua­tes pour se pro­té­ger, par exemp­le en modi­fi­ant ses don­nées d’ac­cès ou ses mots de pas­se. al. 5 Limi­ta­ti­on de l’ob­li­ga­ti­on d’in­for­mer la per­son­ne concernée Con­for­mé­ment à l’al. 5, le responsable peut limi­ter, dif­fé­rer ou renon­cer à l’in­for­ma­ti­on de la per­son­ne con­cer­née si l’un des motifs de l’art. 24, al. 1, let. b, ou al. 2, let. b, P‑LPD exi­ste ou si une obli­ga­ti­on léga­le de gar­der le secret l’in­ter­dit (let. a.). Selon l’al. 5, let. b, la limi­ta­ti­on est éga­le­ment auto­ri­sée si l’in­for­ma­ti­on est impos­si­ble ou exi­ge des efforts dis­pro­por­ti­onnés. Une infor­ma­ti­on est impos­si­ble lorsque le responsable ne sait pas du tout quel­les per­son­nes sont con­cer­nées par la vio­la­ti­on de la sécu­ri­té des don­nées, par exemp­le par­ce que les fichiers jour­naux qui le per­met­trai­ent ne sont plus dis­po­ni­bles. Il y aurait par exemp­le effort dis­pro­por­ti­onné si, en pré­sence d’un grand nombre de per­son­nes con­cer­nées, cel­les-ci devai­ent être infor­mées indi­vi­du­el­le­ment et que les coûts qui en résul­terai­ent paraî­trai­ent dis­pro­por­ti­onnés par rap­port au gain d’in­for­ma­ti­on pour la per­son­ne con­cer­née. C’est notam­ment dans ce gen­re de situa­ti­on que l’on peut appli­quer le para­gra­phe 5, point c), qui per­met au responsable d’in­for­mer les per­son­nes con­cer­nées par le biais d’un avis public, si cela leur per­met d’êt­re infor­mées de maniè­re com­pa­ra­ble. C’est le cas lorsqu’u­ne infor­ma­ti­on indi­vi­du­el­le n’a­mé­lio­re pas sub­stan­ti­el­le­ment l’in­for­ma­ti­on de la per­son­ne con­cer­née. al. 6 Accord du déclarant L’ob­li­ga­ti­on de com­mu­ni­quer visée à l’art. 22 P‑LPD peut ent­rer en con­flit avec le prin­ci­pe selon lequel nul ne doit s’in­cri­mi­ner lui-même. L’al. 6 pré­voit dans ce cas de figu­re qu’u­ne com­mu­ni­ca­ti­on effec­tuée en ver­tu de l’ob­li­ga­ti­on de com­mu­ni­quer visée à l’art. 22 P‑LPD ne peut être uti­li­sée dans une pro­cé­du­re péna­le cont­re la per­son­ne sou­mi­se à l’ob­li­ga­ti­on de com­mu­ni­quer que si cet­te der­niè­re y con­sent. Cet­te dis­po­si­ti­on cou­vre aus­si bien les respons­ables que les sous-trai­tants qui signalent une vio­la­ti­on de la sécu­ri­té des don­nées. Le cha­pit­re 4 régit les droits de la per­son­ne con­cer­née. Les droits spé­ci­fi­ques vis-à-vis des respons­ables pri­vés sont défi­nis dans le cha­pit­re 5, ceux vis-à-vis des orga­nes fédé­raux dans le cha­pit­re 6. 

Le droit d’ac­cès com­plè­te l’ob­li­ga­ti­on d’in­for­ma­ti­on du responsable du trai­te­ment et con­sti­tue la base cen­tra­le pour que la per­son­ne con­cer­née pui­s­se exer­cer les droits que lui con­fè­re la pré­sen­te loi. Le droit d’ac­cès est un droit sub­jec­tif stric­te­ment per­son­nel que les per­son­nes inca­pa­bles de dis­cer­ne­ment peu­vent éga­le­ment fai­re valoir de maniè­re auto­no­me, sans l’ac­cord de leur repré­sen­tant légal. Il découle éga­le­ment du carac­tère de droit stric­te­ment per­son­nel que per­son­ne ne peut renon­cer à l’a­van­ce au droit d’ac­cès (art. 23, al. 5, P‑LPD). Ali­néa 1 Principe Selon l’al. 1, tou­te per­son­ne peut deman­der gra­tui­te­ment au responsable de lui indi­quer si des don­nées la con­cer­nant sont trai­tées. Hor­mis des adap­t­ati­ons réd­ac­tion­nel­les, cet­te dis­po­si­ti­on reste inchan­gée par rap­port au droit en vigueur. Ali­néa 2 Infor­ma­ti­ons à communiquer L’al. 2 stipu­le que la per­son­ne con­cer­née reçoit, sur la base d’u­ne deman­de d’ac­cès, les infor­ma­ti­ons qui doi­vent éga­le­ment lui être com­mu­ni­quées en ver­tu du devoir d’in­for­ma­ti­on (cf. art. 17, al. 2, P‑LPD). Il s’a­git en prin­ci­pe des infor­ma­ti­ons néces­saires pour que la per­son­ne con­cer­née pui­s­se fai­re valoir ses droits con­for­mé­ment à la loi et pour garan­tir un trai­te­ment trans­pa­rent des don­nées. Cela met en évi­dence le lien étroit ent­re le droit d’ac­cès et le devoir d’in­for­ma­ti­on. En même temps, cela met en évi­dence l’ob­jec­tif cen­tral du droit d’ac­cès, com­me l’a éga­le­ment rete­nu le Tri­bu­nal fédé­ral, à savoir per­mett­re à la per­son­ne con­cer­née de fai­re valoir ses droits dans le domaine de la pro­tec­tion des don­nées. Cet­te pré­cis­i­on fait suite aux nombreux avis expri­més lors de la pro­cé­du­re de con­sul­ta­ti­on et dans la doc­tri­ne, qui cri­ti­quent le fait que le droit d’ac­cès est sou­vent uti­li­sé à d’aut­res fins, étran­gè­res à la pro­tec­tion des don­nées. Sont notam­ment visés les cas où le droit d’ac­cès est uti­li­sé exclu­si­ve­ment pour obte­nir des moy­ens de preuve dans le cad­re de procès civils qui n’ont aucun lien avec la pro­tec­tion des don­nées. Cela per­met d’ob­te­nir des moy­ens de preuve qui sont en même temps des don­nées per­son­nel­les au sens de la LPD, sous une for­me qui n’est pas pré­vue par le droit de pro­cé­du­re en vigueur. D’aut­res moy­ens de preuve, qui ne con­sti­tu­ent pas des don­nées per­son­nel­les, doi­vent en revan­che être obte­nus par les voies habi­tu­el­les du droit de pro­cé­du­re. Il en résul­te des dif­fé­ren­ces non justi­fi­ées objec­ti­ve­ment dans l’ob­ten­ti­on des moy­ens de preuve. Les lett­res a à g con­ti­en­nent une liste des infor­ma­ti­ons qui doi­vent être com­mu­ni­quées dans tous les cas à la per­son­ne con­cer­née. Cet­te liste non exhaus­ti­ve cou­vre en prin­ci­pe tou­tes les infor­ma­ti­ons que le responsable doit com­mu­ni­quer à la per­son­ne con­cer­née. Sub­si­di­ai­re­ment, la clau­se géné­ra­le de la phra­se intro­duc­ti­ve per­met d’e­xi­ger, le cas échéant, d’aut­res infor­ma­ti­ons si cel­les-ci sont néces­saires à la per­son­ne con­cer­née pour fai­re valoir ses droits en ver­tu de la pré­sen­te loi et pour garan­tir un trai­te­ment trans­pa­rent des don­nées. S’il trai­te de gran­des quan­ti­tés de don­nées con­cer­nant la per­son­ne con­cer­née, le responsable du trai­te­ment peut, le cas échéant, deman­der à la per­son­ne con­cer­née de pré­cis­er à quel­les infor­ma­ti­ons ou à quel­les opé­ra­ti­ons de trai­te­ment sa deman­de d’in­for­ma­ti­on se rap­por­te. Dans tous les cas, la per­son­ne con­cer­née obti­ent d’a­bord des infor­ma­ti­ons sur l’i­den­ti­té et les coor­don­nées du responsable du trai­te­ment (let. a). Selon les cas, elle aura déjà ces infor­ma­ti­ons (par exemp­le en rai­son de l’ob­li­ga­ti­on d’in­for­ma­ti­on) et elles lui seront con­fir­mées. Mais il est éga­le­ment pos­si­ble que la per­son­ne con­cer­née n’app­ren­ne l’e­xi­stence d’un responsable qu’à ce moment-là, par exemp­le lorsqu’il y a plu­sieurs respons­ables. En out­re, les don­nées per­son­nel­les trai­tées (let. b) et le but du trai­te­ment (let. c) doi­vent lui être com­mu­ni­qués. De même, la per­son­ne con­cer­née reçoit des infor­ma­ti­ons sur la durée de con­ser­va­ti­on des don­nées ou, si cela n’est pas pos­si­ble, sur les critères qui déter­mi­nent la durée de con­ser­va­ti­on (let. d). Ces infor­ma­ti­ons lui per­met­tent notam­ment de savoir si le responsable du trai­te­ment trai­te les don­nées con­for­mé­ment aux prin­cipes énon­cés à l’ar­tic­le 5 P‑LPD. Com­me la durée de con­ser­va­ti­on ne doit géné­ra­le­ment pas être com­mu­ni­quée en rai­son de l’ob­li­ga­ti­on d’in­for­ma­ti­on, la per­son­ne con­cer­née doit dans tous les cas l’ob­te­nir dans le cad­re du droit d’ac­cès. De même, la per­son­ne con­cer­née reçoit les infor­ma­ti­ons dis­po­ni­bles sur l’o­ri­gi­ne des don­nées, pour autant qu’el­les n’ai­ent pas été coll­ec­tées auprès d’el­le (let. e). Le cas échéant, la per­son­ne con­cer­née est infor­mée de l’e­xi­stence d’u­ne décis­i­on indi­vi­du­el­le auto­ma­ti­sée (let. f). Dans ce cas, elle reçoit éga­le­ment des infor­ma­ti­ons sur la logi­que sur laquel­le repo­se la décis­i­on. Les algo­rith­mes sur les­quels repo­se la décis­i­on ne doi­vent pas néces­saire­ment être com­mu­ni­qués, car il s’a­git géné­ra­le­ment de secrets com­mer­ci­aux. Il faut plutôt men­ti­on­ner les hypo­thè­ses de base de la logi­que algo­rith­mi­que sur laquel­le repo­se la décis­i­on indi­vi­du­el­le auto­ma­ti­sée. Cela signi­fie par exemp­le que la per­son­ne con­cer­née doit être infor­mée qu’en rai­son d’un résul­tat de scoring néga­tif, elle peut con­clu­re un cont­rat à des con­di­ti­ons moins favor­ables que cel­les qui lui ont été pro­po­sées. En out­re, elle doit éga­le­ment être infor­mée de la quan­ti­té et du type d’in­for­ma­ti­ons uti­li­sées pour le scoring ain­si que de leur pon­dé­ra­ti­on. Enfin, la per­son­ne con­cer­née reçoit des infor­ma­ti­ons sur les desti­na­tai­res ou les caté­go­ries de desti­na­tai­res aux­quels les don­nées per­son­nel­les sont com­mu­ni­quées (let. g). Si les desti­na­tai­res se trou­vent à l’étran­ger, le responsable de l’in­for­ma­ti­on indi­que en out­re l’E­tat dans lequel les don­nées sont com­mu­ni­quées et, le cas échéant, les garan­ties pré­vues à l’art. 13, al. 2, P‑LPD ou l’ap­pli­ca­ti­on d’u­ne excep­ti­on pré­vue à l’art. 14 P‑LPD. Al. 3 et 4 L’al. 3 a été repris tel quel du droit en vigueur et pré­voit que le responsable du trai­te­ment peut com­mu­ni­quer des infor­ma­ti­ons rela­ti­ves à la san­té de la per­son­ne con­cer­née par l’in­ter­mé­di­ai­re d’un pro­fes­si­on­nel de la san­té dési­gné par cet­te der­niè­re. Le pro­fes­si­on­nel de la san­té doit pos­sé­der les qua­li­fi­ca­ti­ons requi­ses dans le cas en que­sti­on. Tou­te­fois, il est désor­mais pré­vu que la per­son­ne con­cer­née accep­te que les don­nées lui soi­ent com­mu­ni­quées par l’in­ter­mé­di­ai­re d’u­ne aut­re per­son­ne. Cela amé­lio­re les pos­si­bi­li­tés de choix de la per­son­ne con­cer­née. De même, le cer­cle des per­son­nes pos­si­bles est élar­gi, puis­qu’il est que­sti­on d’un pro­fes­si­on­nel de la san­té. Ces deux ajouts font suite à la con­sul­ta­ti­on. La pre­miè­re phra­se de l’a­li­néa 4 reste inchan­gée. Ain­si, c’est en prin­ci­pe tou­jours le responsable qui est tenu de four­nir les infor­ma­ti­ons, même s’il délè­gue le trai­te­ment à un sous-trai­tant. Si la per­son­ne con­cer­née adres­se par err­eur une deman­de d’in­for­ma­ti­on au sous-trai­tant, celui-ci doit lui indi­quer le responsable ou trans­mett­re la deman­de en con­sé­quence. Dans ce cas, le sous-trai­tant n’est pas tenu de four­nir lui-même des infor­ma­ti­ons, mais il ne doit pas non plus empêcher la per­son­ne con­cer­née d’e­xer­cer son droit d’ac­cès. La deu­xiè­me phra­se de la dis­po­si­ti­on est par cont­re sup­p­ri­mée. Ali­néa 5 Cet­te dis­po­si­ti­on cor­re­spond à l’ac­tu­el­le Artic­le 8, 6e ali­néa, LPD. Ali­néa 6 L’al. 6 don­ne au Con­seil fédé­ral la pos­si­bi­li­té de pré­voir des excep­ti­ons à la gra­tui­té dans l’or­don­nan­ce. Cet­te pos­si­bi­li­té exi­ste déjà dans le droit en vigueur (cf. Art. 2 OLPD). Dans le pro­jet mis en con­sul­ta­ti­on, elle a été sup­p­ri­mée, ce qui a été for­te­ment cri­ti­qué, notam­ment au motif que les excep­ti­ons à la gra­tui­té étai­ent un moy­en de pré­ve­nir les abus du droit d’ac­cès. Suite aux cri­ti­ques émi­ses lors de la con­sul­ta­ti­on, cet­te dis­po­si­ti­on est désor­mais main­te­nue. Ce faisant, le Con­seil fédé­ral tien­dra comp­te du fait que cer­tai­nes deman­des de rens­eig­ne­ments impli­quent une char­ge de tra­vail importan­te pour le responsable. 

L’ar­tic­le 24 règ­le les rest­ric­tions du droit d’ac­cès. Elles ont été repri­ses tel­les quel­les de l’an­ci­en droit, à quel­ques adap­t­ati­ons réd­ac­tion­nel­les près. Ali­néa 1, lett­re c Seul l’ar­tic­le 24, para­gra­phe 1, point c), est nou­veau. Selon cet­te dis­po­si­ti­on, le responsable peut refu­ser, limi­ter ou dif­fé­rer l’ac­cès si la deman­de d’ac­cès est mani­fe­stem­ent infon­dée ou qué­ru­len­te. Cet­te dis­po­si­ti­on a été intro­duite suite à la con­sul­ta­ti­on. Son con­te­nu s’in­spi­re de l’ar­tic­le 12, para­gra­phe 5, de la direc­ti­ve sur la pro­tec­tion des don­nées. Règle­ment (UE) 2016/679mais uti­li­se la ter­mi­no­lo­gie sui­s­se, tel­le qu’el­le figu­re par exemp­le à l’ar­tic­le 108 LTF et aux artic­les 132 et 253 CPC. Il s’a­git d’u­ne rest­ric­tion gra­ve des droits fon­da­men­taux, rai­son pour laquel­le elle doit être pré­vue dans la loi elle-même et non dans l’or­don­nan­ce. L’ex­cep­ti­on pré­vue à l’al. 1, let. c, doit être inter­pré­tée de maniè­re rest­ric­ti­ve. Cela vaut à deux égards. D’u­ne part, le responsable ne peut pas sup­po­ser à la légè­re qu’u­ne deman­de d’ac­cès est mani­fe­stem­ent infon­dée ou qu’el­le est qué­ru­len­te. D’aut­re part, même en pré­sence d’u­ne tel­le deman­de, il doit choi­sir la solu­ti­on la plus favorable à la per­son­ne con­cer­née. Il doit donc, dans la mesu­re du pos­si­ble, se con­ten­ter de limi­ter l’in­for­ma­ti­on, peut éven­tu­el­le­ment la dif­fé­rer et ne peut la refu­ser que dans les cas abso­lu­ment clairs et évi­dents. Dans tous les cas, il doit infor­mer la per­son­ne con­cer­née du refus, de la limi­ta­ti­on ou de l’a­jour­ne­ment de l’in­for­ma­ti­on (cf. al. 3). Le droit d’ac­cès peut être exer­cé sans preuve d’in­té­rêt et sans justi­fi­ca­ti­on. Une simp­le curio­si­té suf­fit éga­le­ment. Cela est illu­stré par la réfé­rence à un trai­te­ment trans­pa­rent des don­nées à l’ar­tic­le 23, para­gra­phe 2, P‑LPD. Le responsable du trai­te­ment ne peut donc en prin­ci­pe pas exi­ger de justi­fi­ca­ti­on d’u­ne deman­de d’ac­cès. Le Tri­bu­nal fédé­ral a tou­te­fois pré­cisé que le responsable du trai­te­ment peut exi­ger une justi­fi­ca­ti­on de la deman­de d’ac­cès si, dans le cas con­cret, un usa­ge abu­sif du droit d’ac­cès est en cau­se. Le Tri­bu­nal fédé­ral a notam­ment con­sidé­ré que l’uti­li­sa­ti­on du droit d’ac­cès à des fins con­trai­res à la pro­tec­tion des don­nées, par exemp­le pour s’éparg­ner les frais d’ob­ten­ti­on de preu­ves ou pour recher­cher une éven­tu­el­le par­tie adver­se, pou­vait con­sti­tuer un abus de droit. Si la per­son­ne con­cer­née qui deman­de des infor­ma­ti­ons avan­ce ensuite un motif qui s’a­vè­re déjà sans fon­de­ment sans examen appro­fon­di et sans aucun dou­te, le responsable peut rest­reind­re le droit d’ac­cès. Ce n’est que dans ces cir­con­stances qu’il peut y avoir une deman­de d’ac­cès mani­fe­stem­ent infon­dée. En d’aut­res ter­mes, il doit être évi­dent que la deman­de d’ac­cès a été fai­te pour des rai­sons qui n’ont rien à voir avec son objec­tif au sens de la LPD ou qu’el­le a été fai­te dans une aut­re inten­ti­on (par exemp­le frau­du­leu­se). S’il y a des dou­tes sur le fait qu’il s’a­gis­se d’un tel cas, il n’y a pas de deman­de mani­fe­stem­ent infon­dée. Sont con­sidé­rées com­me qué­ru­len­tes les deman­des de rens­eig­ne­ments qui sont par exemp­le sou­vent répé­tées sans justi­fi­ca­ti­on plau­si­ble ou qui s’adres­sent à un responsable dont le deman­deur sait déjà qu’il ne trai­te pas de don­nées le con­cer­nant. Le responsable ne doit pas non plus pré­su­mer à la légè­re d’u­ne deman­de qué­ru­len­te. Dans l’en­sem­ble, le responsable ne peut pas fai­re usa­ge de la rest­ric­tion pré­vue à l’al. 1, let. c, même s’il sou­hai­te uni­quement pré­ser­ver ses pro­pres inté­rêts. Pour cela, les con­di­ti­ons de l’ar­tic­le 24, para­gra­phe 2, point a), doi­vent être rem­plies. La dis­po­si­ti­on du para­gra­phe 1, point c), vise plutôt à per­mett­re au responsable du trai­te­ment de trai­ter rai­sonnablem­ent les deman­des d’ac­cès qui sont mani­fe­stem­ent tota­le­ment décon­nec­tées de la fina­li­té à laquel­le le droit d’ac­cès est desti­né. Le pré­po­sé est d’a­vis que l’ex­cep­ti­on au droit d’ac­cès pré­vue à l’ar­tic­le 24, para­gra­phe 1, point c), P‑LPD n’est pas com­pa­ti­ble avec la con­ven­ti­on STE 108. Ali­néa 3 Si le responsable refu­se, limi­te ou repor­te l’ac­cès, il doit le fai­re savoir et le moti­ver en con­sé­quence con­for­mé­ment à l’al. 3. En prin­ci­pe, seu­les les con­di­ti­ons visées aux al. 1 et 2 ent­rent en ligne de comp­te com­me motifs. Dans ce cas, les orga­nes fédé­raux doi­vent rend­re une décis­i­on sus­cep­ti­ble de recours. Les respons­ables pri­vés ne sont en revan­che sou­mis à aucu­ne exi­gence de for­me. Pour des rai­sons de preuve, la moti­va­ti­on doit tou­te­fois être com­mu­ni­quée par écrit à la per­son­ne con­cer­née. Sur la base de la moti­va­ti­on, la per­son­ne con­cer­née doit pou­voir véri­fier si l’in­for­ma­ti­on a été refusée, limi­tée ou repor­tée à juste tit­re. Les exi­gen­ces en matiè­re de moti­va­ti­on ne peu­vent tou­te­fois pas être trop éle­vées si elles ent­rent en con­flit avec le motif du refus d’accès. 

L’ar­tic­le 25 E‑DSG reprend l’ac­tuel Artic­le 10 LPD con­cer­nant la limi­ta­ti­on du droit d’ac­cès pour les jour­na­li­stes. Aucu­ne modi­fi­ca­ti­on maté­ri­el­le n’est appor­tée. Le critère de la publi­ca­ti­on dans la par­tie réd­ac­tion­nel­le d’un média est main­te­nu. Cela signi­fie que seu­les les don­nées coll­ec­tées en vue de la publi­ca­ti­on d’un tra­vail jour­na­li­stique dans la par­tie d’un média réser­vée aux con­tri­bu­ti­ons réd­ac­tion­nel­les sont con­cer­nées. En out­re, il doit s’a­gir d’un média à paru­ti­on péri­odi­que. Il s’a­git notam­ment des jour­naux, des maga­zi­nes, des émis­si­ons de radio et de télé­vi­si­on, des agen­ces de pres­se et des ser­vices d’in­for­ma­ti­on en ligne qui sont mis à jour en con­tinu et avec une régu­la­ri­té con­nue du public. Le cha­pit­re 5 règ­le les droits spé­ci­fi­ques vis-à-vis des respons­ables pri­vés. Les dis­po­si­ti­ons rela­ti­ves au trai­te­ment de don­nées per­son­nel­les par des per­son­nes pri­vées con­cré­ti­sent la pro­tec­tion de la per­son­na­li­té selon Artic­le 28 du Code civil en ce qui con­cer­ne la pro­tec­tion des don­nées et ser­vent ain­si à réa­li­ser l’au­to­dé­ter­mi­na­ti­on en matiè­re d’in­for­ma­ti­on ent­re les par­ti­cu­liers (voir art. 35, al. 1 et 3, Cst.). Les trois dis­po­si­ti­ons de cet­te sec­tion doi­vent être lues ensem­ble : L’ar­tic­le 26 P‑LPD con­cré­ti­se les att­ein­tes à la per­son­na­li­té dans le domaine de la pro­tec­tion des don­nées, l’ar­tic­le 27 P‑LPD défi­nit des motifs justi­fi­ca­tifs spé­ci­fi­ques et l’ar­tic­le 28 P‑LPD règ­le les droits juri­di­ques qui peu­vent être invo­qués en rai­son d’u­ne att­ein­te à la per­son­na­li­té par le trai­te­ment des don­nées. Le pré­sent pro­jet con­ser­ve en gran­de par­tie la régle­men­ta­ti­on exi­stan­te. Quel­ques modi­fi­ca­ti­ons réd­ac­tion­nel­les ont tou­te­fois été appor­tées dans le but de rend­re l’en­sem­ble des dis­po­si­ti­ons plus clai­res et plus acce­s­si­bles. L’éva­lua­ti­on a en out­re révé­lé que les per­son­nes con­cer­nées, en par­ti­cu­lier dans le sec­teur pri­vé, ne font guè­re valoir leurs droits. Cet­te situa­ti­on est prin­ci­pa­le­ment attri­buée aux ris­ques liés aux coûts d’un procès, qui doi­vent être com­pen­sés par des adap­t­ati­ons de la régle­men­ta­ti­on des coûts dans la pro­cé­du­re civi­le (cf. ch. 9.2.15).

La noti­on d’att­ein­te à la per­son­na­li­té est Artic­le 28 du Code civil n’est pas défi­nie. L’ar­tic­le 26 du pro­jet con­cré­ti­se cet­te noti­on pour les att­ein­tes à la per­son­na­li­té résul­tant du trai­te­ment de don­nées per­son­nel­les. Ali­néa 1 Principe L’a­li­néa 1 stipu­le que le trai­te­ment des don­nées ne doit pas por­ter une att­ein­te illi­ci­te à la per­son­na­li­té de la per­son­ne con­cer­née. Le libel­lé reste inchan­gé. Le droit indi­vi­du­el de dis­po­ser de don­nées à carac­tère per­son­nel, qui est pro­té­gé par l’au­to­dé­ter­mi­na­ti­on en matiè­re d’in­for­ma­ti­on, est rapi­de­ment et sen­si­blem­ent limi­té par les trai­te­ments de don­nées. Le respect des prin­cipes du trai­te­ment des don­nées par des respons­ables pri­vés est donc essen­tiel pour pro­té­ger la per­son­na­li­té de la per­son­ne con­cer­née, d’autant plus que le trai­te­ment pri­vé repré­sen­te une gran­de par­tie des opé­ra­ti­ons de trai­te­ment des don­nées. al. 2 Cas d’att­ein­te à la personnalité L’al. 2 se réfè­re notam­ment au respect des prin­cipes du trai­te­ment des don­nées et pré­voit qu’il y a att­ein­te à la per­son­na­li­té dans trois cas de figu­re notam­ment. Selon la let. a, il y a att­ein­te à la per­son­na­li­té lorsque des don­nées sont trai­tées en vio­la­ti­on des prin­cipes énon­cés aux art. 5 et 7 P‑LPD. Selon la let. b, il y a éga­le­ment att­ein­te à la per­son­na­li­té lorsque des don­nées sont trai­tées con­trai­re­ment à la décla­ra­ti­on de volon­té expres­se de la per­son­ne con­cer­née. Cet­te dis­po­si­ti­on don­ne donc à la per­son­ne con­cer­née le droit d’in­terd­ire expli­ci­te­ment à un responsable don­né un trai­te­ment de don­nées déter­mi­né, sans que des con­di­ti­ons spé­ci­fi­ques ne doi­vent être rem­plies pour cela (opting-out). Cet­te pos­si­bi­li­té exi­stait déjà dans le droit actuel et est éga­le­ment pré­vue par l’ar­tic­le 8, point d). E‑SEV 108 est exi­gée. Une décla­ra­ti­on de volon­té est “expli­ci­te” lorsqu’el­le est fai­te par des mots écrits ou par­lés ou par un signe et que la volon­té expri­mée res­sort direc­te­ment des mots ou du signe uti­li­sés. Par con­sé­quent, la per­son­ne con­cer­née doit expri­mer direc­te­ment, par des mots ou des signes, qu’el­le n’est pas d’ac­cord avec un cer­tain trai­te­ment de don­nées. L’ex­pres­si­on de la volon­té en tant que tel­le doit déjà cla­ri­fier la volon­té par la maniè­re dont elle est fai­te. Dans le cas pré­sent, la per­son­ne con­cer­née dev­rait par exemp­le rési­lier un ser­vice qui impli­que un trai­te­ment de don­nées ou fai­re une décla­ra­ti­on ora­le ou écri­te à un responsable pour lui signi­fier qu’el­le ne veut pas qu’il trai­te des don­nées la con­cer­nant. En revan­che, une décla­ra­ti­on de volon­té “taci­te” n’est pas suf­fi­san­te dans le cas pré­sent (voir les expli­ca­ti­ons rela­ti­ves à l’ar­tic­le 5, para­gra­phe 6, P‑LPD au ch. 9.1.3.1). Il ne suf­fi­rait pas, par exemp­le, que la per­son­ne con­cer­née n’uti­li­se plus une pre­sta­ti­on de ser­vice qui va de pair avec un trai­te­ment de don­nées. Selon la let. c, il y a éga­le­ment att­ein­te à la per­son­na­li­té lorsque des don­nées sen­si­bles sont com­mu­ni­quées à des tiers. Cet­te énu­mé­ra­ti­on n’est pas exhaus­ti­ve. Cela signi­fie qu’u­ne att­ein­te à la per­son­na­li­té par le trai­te­ment de don­nées peut être com­mi­se par d’aut­res moy­ens que la réa­li­sa­ti­on de ces trois élé­ments con­sti­tu­tifs. Aux lett­res b et c, la réfé­rence au motif justi­fi­ca­tif a été sup­p­ri­mée, com­me cela avait déjà été fait pour la lett­re a lors de la révi­si­on de 2003. Là enco­re, il s’a­git d’u­ne mesu­re de cla­ri­fi­ca­ti­on qui cor­re­spond Artic­le 28 du Code civilDans ce der­nier, les att­ein­tes à la per­son­na­li­té et les motifs justi­fi­ca­tifs sont éga­le­ment trai­tés dans deux dis­po­si­ti­ons par­ti­el­les. Dans la P‑LPD, les motifs justi­fi­ca­tifs sont désor­mais réglés exclu­si­ve­ment à l’ar­tic­le 27. al. 3 Pas d’att­ein­te à la personnalité En revan­che, selon l’al. 3, il n’y a en règ­le géné­ra­le pas d’att­ein­te à la per­son­na­li­té lorsque la per­son­ne con­cer­née a ren­du les don­nées acce­s­si­bles à tous et n’a pas expres­sé­ment inter­dit leur trai­te­ment (pour le carac­tère expli­ci­te, voir le com­men­tai­re ci-des­sus rela­tif à l’al. 2, let. b). Cet­te régle­men­ta­ti­on, repri­se à l’i­den­tique de l’an­ci­en droit, est logi­que. En effet, la liber­té indi­vi­du­el­le de dis­po­ser de don­nées à carac­tère per­son­nel n’est en prin­ci­pe pas vio­lée dans ces cir­con­stances. L’ex­pres­si­on “en règ­le géné­ra­le” exprime le fait qu’il s’a­git d’un droit légal. Il s’a­git d’u­ne pré­somp­ti­on léga­le et non d’u­ne fic­tion irré­futa­ble. La per­son­ne con­cer­née a ain­si la pos­si­bi­li­té de prou­ver que, dans cer­ta­ins cas, il peut y avoir une att­ein­te à la per­son­na­li­té. Cet­te pos­si­bi­li­té est per­ti­nen­te et importan­te, car la déli­mi­ta­ti­on ent­re sphè­re publi­que et sphè­re pri­vée est de plus en plus difficile. 

L’ar­tic­le 27 con­cré­ti­se les motifs justi­fi­ca­tifs pour les trai­te­ments de don­nées portant att­ein­te à la per­son­na­li­té. Hor­mis quel­ques modi­fi­ca­ti­ons mineu­res, la nor­me reste inchan­gée. Ali­néa 1 Principe L’al. 1 énon­ce le prin­ci­pe selon lequel tou­te att­ein­te à la per­son­na­li­té – c’est-à-dire tout trai­te­ment de don­nées portant att­ein­te à la per­son­na­li­té – est en prin­ci­pe illi­ci­te, sauf si elle est justi­fi­ée par le con­sen­te­ment de la per­son­ne con­cer­née, par la loi ou par un inté­rêt pri­vé ou public prépon­dé­rant. Cet­te dis­po­si­ti­on cor­re­spond à l’ar­tic­le 28, para­gra­phe 2, du CC. En cas de con­sen­te­ment de la per­son­ne con­cer­née ou de motif justi­fi­ca­tif légal, il n’y a en prin­ci­pe pas de pesée des inté­rêts et les motifs de pon­dé­ra­ti­on pré­vus à l’al. 2 n’ent­rent pas en ligne de comp­te. Par­mi les motifs justi­fi­ca­tifs légaux, on trouve par exemp­le les obli­ga­ti­ons de trai­te­ment ou de cla­ri­fi­ca­ti­on (p. ex. art. 28 et sui­vants de la loi fédé­ra­le du 23 mars 2001 sur le cré­dit à la con­som­ma­ti­on, art. 3 et sui­vants de la loi du 10 octobre 1997 sur le blan­chi­ment d’ar­gent) ou les obli­ga­ti­ons de con­ser­va­ti­on. En revan­che, un inté­rêt pri­vé ou public prépon­dé­rant néces­si­te une pesée des inté­rêts en pré­sence. Du côté de la per­son­ne con­cer­née, il y a notam­ment l’in­té­rêt à pré­ser­ver sa liber­té de dis­po­ser de ses don­nées. Du côté du responsable, il exi­ste un inté­rêt au trai­te­ment des don­nées. L’a­li­néa 2 con­ti­ent une liste d’exemp­les de trai­te­ments pour les­quels un inté­rêt prépon­dé­rant du responsable ent­re en ligne de comp­te. L’att­ein­te à la per­son­na­li­té n’est justi­fi­ée que si l’in­té­rêt au trai­te­ment des don­nées l’em­por­te sur l’in­té­rêt de la per­son­ne con­cer­née. al. 2 Inté­rêts prépon­dé­rants du responsable du traitement Le para­gra­phe 2 con­cré­ti­se les cas dans les­quels un inté­rêt prépon­dé­rant du responsable du trai­te­ment ent­re en ligne de comp­te. La for­mu­la­ti­on, qui a été con­ser­vée tel­le quel­le, indi­que clai­re­ment qu’il ne s’a­git pas de motifs justi­fi­ca­tifs abso­lus. Ce qui est déter­mi­nant, c’est en fin de comp­te, com­me dans le droit actuel, la pesée des inté­rêts au cas par cas. Con­trai­re­ment au droit en vigueur, il n’est plus que­sti­on de la per­son­ne qui trai­te les don­nées, mais du responsable. Cet­te adap­t­ati­on est due à l’in­tro­duc­tion de la noti­on de responsable. Les motifs justi­fi­ca­tifs visés à l’ar­tic­le 27, para­gra­phe 2, sont con­çus pour les per­son­nes qui, en tant que respons­ables, peu­vent déci­der des fina­li­tés et des moy­ens du trai­te­ment des don­nées. Les aut­res défen­deurs peu­vent invo­quer des motifs justi­fi­ca­tifs con­for­mé­ment au para­gra­phe 1. En ver­tu de l’ar­tic­le 8, para­gra­phe 4, P‑LPD, le sous-trai­tant peut invo­quer les mêmes motifs justi­fi­ca­tifs que le responsable du trai­te­ment. La légiti­ma­ti­on pas­si­ve n’est pas non plus affec­tée par la modi­fi­ca­ti­on. Les motifs énu­mé­rés cor­re­spon­dent en gran­de par­tie au droit en vigueur. L’é­nu­mé­ra­ti­on n’est pas exhaus­ti­ve, de sor­te que d’aut­res motifs que ceux men­ti­onnés ici peu­vent être invo­qués com­me inté­rêt prépon­dé­rant du responsable. La liste énumè­re dif­fé­ren­tes fina­li­tés qui peu­vent justi­fier le trai­te­ment de don­nées et pré­va­loir sur l’in­té­rêt de la per­son­ne con­cer­née. Pour l’e­s­sen­tiel, le cata­lo­gue cou­vre trois grou­pes de trai­te­ments de don­nées : ceux effec­tués pour cer­tai­nes acti­vi­tés éco­no­mi­ques, ceux effec­tués pour les médi­as et ceux effec­tués à des fins non per­son­nel­les, com­me la recher­che. Pour cer­tai­nes fina­li­tés de trai­te­ment, la fina­li­té indi­quée ne suf­fit pas à elle seu­le à justi­fier l’att­ein­te à la per­son­na­li­té. Le trai­te­ment doit au con­trai­re rem­plir cer­tai­nes con­di­ti­ons sup­p­lé­men­tai­res pour que le motif justi­fi­ca­tif de l’in­té­rêt prépon­dé­rant pui­s­se être invo­qué. C’est notam­ment le cas en ce qui con­cer­ne les lett­res b, c, e et f. Dans ces cas, il con­vi­ent d’a­bord de véri­fier si le trai­te­ment en que­sti­on rem­plit les con­di­ti­ons spé­ci­fi­ques avant de mett­re en balan­ce les inté­rêts du cas d’e­spè­ce. Si ces con­di­ti­ons spé­ci­fi­ques ne sont pas rem­plies, le trai­te­ment des don­nées n’est justi­fié que s’il exi­ste un motif justi­fi­ca­tif au sens de l’al. 1. Seu­les les lett­res c et e, pour les­quel­les le tex­te de loi a été modi­fié, sont com­men­tées ci-après. al. 2, let. c Examen de la solvabilité En ce qui con­cer­ne l’ac­ti­vi­té des ser­vices de rens­eig­ne­ments éco­no­mi­ques, il con­vi­ent tout d’a­bord de rap­pe­l­er le récent arrêt du Tri­bu­nal admi­ni­stra­tif fédé­ral A‑4232/2015 du 18 avril 2017 (Money­hou­se). Money­hou­se AG est un ser­vice de rens­eig­ne­ments éco­no­mi­ques qui obti­ent des don­nées sous for­me élec­tro­ni­que de diver­ses sources publi­ques pri­vées. Ces nombreu­ses don­nées per­son­nel­les sont publiées sur www.moneyhouse.ch et uti­li­sées pour offrir dif­fér­ents ser­vices, notam­ment la recher­che de socié­tés et de per­son­nes. Alors que ce ser­vice est gra­tuit pour le public après enre­gi­stre­ment, des abon­ne­ments payants à des ser­vices de sol­va­bi­li­té et de pai­ement, des détails sur les inci­dents de pai­ement, des rens­eig­ne­ments sur les pour­suites, le regist­re fon­cier, l’é­co­no­mie et les impôts ain­si que des ser­vices con­cer­nant les por­traits d’entre­pri­ses sont pro­po­sés aux “uti­li­sa­teurs Pre­mi­um”. Pour les off­res sup­p­lé­men­tai­res et pour accé­der aux don­nées de per­son­nes phy­si­ques qui ne sont pas inscri­tes au regist­re du com­mer­ce ou dans un annu­ai­re télé­pho­ni­que élec­tro­ni­que, il faut four­nir des preu­ves d’in­té­rêt. En ce qui con­cer­ne les abon­ne­ments pre­mi­um payants, le Tri­bu­nal admi­ni­stra­tif fédé­ral est arri­vé à la con­clu­si­on que Money­hou­se AG éta­blis­sait alors par­ti­el­le­ment une image bio­gra­phi­que des per­son­nes. Le Tri­bu­nal admi­ni­stra­tif fédé­ral a con­sta­té que dans cet­te situa­ti­on initia­le, il fallait admett­re le trai­te­ment d’un pro­fil de la per­son­na­li­té, rai­son pour laquel­le le motif justi­fi­ca­tif de la véri­fi­ca­ti­on du cré­dit selon l’ar­tic­le 13, ali­néa 2, lett­re c LPD ne s’ap­pli­quait pas. Pour le Tri­bu­nal admi­ni­stra­tif fédé­ral, il n’e­xi­stait aucu­ne base léga­le justi­fi­ant l’é­ta­blis­se­ment d’un pro­fil de la per­son­na­li­té et il n’a pas été pos­si­ble de prou­ver que les per­son­nes con­cer­nées avai­ent expli­ci­te­ment don­né leur con­sen­te­ment. Enfin, une pesée glo­ba­le des inté­rêts a mon­tré que l’in­té­rêt des per­son­nes con­cer­nées à la pro­tec­tion de leurs droits de la per­son­na­li­té pré­va­lait. En con­clu­si­on, le Tri­bu­nal admi­ni­stra­tif fédé­ral a con­sta­té un trai­te­ment illé­gal de pro­fils de la per­son­na­li­té et a ordon­né à Money­hou­se SA d’ob­te­nir le con­sen­te­ment exprès des per­son­nes con­cer­nées pour de tels trai­te­ments de don­nées, fau­te de quoi les don­nées cor­re­spond­an­tes devai­ent être effa­cées dans la mesu­re où il était pos­si­ble de tirer des con­clu­si­ons sur des aspects par­tiels essen­tiels de la per­son­na­li­té. En out­re, le tri­bu­nal a obli­gé Money­hou­se SA à véri­fier chaque année l’e­xac­ti­tu­de de son stock de don­nées dans une pro­por­ti­on de 5 % par rap­port aux con­sul­ta­ti­ons effec­tuées sur la pla­te­for­me. En out­re, le Con­seil fédé­ral exami­ne­ra des mesu­res spé­ci­fi­ques con­cer­nant les ser­vices de rens­eig­ne­ments com­mer­ci­aux dans le cad­re du rap­port pour le postu­lat Schwa­ab 16.3682 “Limi­ter les acti­vi­tés des agen­ces de rens­eig­ne­ments com­mer­ci­aux”. Tou­te­fois, l’E-DSG tient déjà comp­te de cer­tai­nes pré­oc­cu­pa­ti­ons con­cer­nant l’ac­ti­vi­té des ser­vices de rens­eig­ne­ments com­mer­ci­aux. Ain­si, quat­re con­di­ti­ons doi­vent être rem­plies pour que l’ex­amen de la sol­va­bi­li­té pui­s­se être con­sidé­ré com­me un inté­rêt prépon­dé­rant. La dis­po­si­ti­on est légè­re­ment ren­for­cée par rap­port au droit en vigueur, notam­ment pour tenir comp­te du ris­que éle­vé inhé­rent à ce type de trai­te­ment de don­nées. Les chif­fres 1 et 2 cor­re­spon­dent au droit en vigueur, la noti­on de pro­fil de la per­son­na­li­té étant rem­pla­cée par cel­le de pro­fi­la­ge. Le trai­te­ment de don­nées per­son­nel­les sen­si­bles reste éga­le­ment inter­dit. Le trai­te­ment de don­nées rela­ti­ves à des pour­suites et à des sanc­tions péna­les en fait éga­le­ment par­tie. C’est logi­que, car les tiers ne peu­vent pas non plus con­sul­ter le casier judi­ciai­re. Con­trai­re­ment à ce que sug­gè­rent plu­sieurs par­ti­ci­pan­ts à la con­sul­ta­ti­on, la LPD ne doit pas con­te­nir de droits allant au-delà pour les ser­vices de rens­eig­ne­ments com­mer­ci­aux. Les chif­fres 3 et 4 ont été ajou­tés. Le chif­fre 3 pré­sup­po­se que les don­nées ne doi­vent pas dater de plus de cinq ans. Un tel ren­force­ment a été sug­gé­ré par plu­sieurs par­ti­ci­pan­ts à la con­sul­ta­ti­on et sem­ble justi­fié au vu de la por­tée d’un rens­eig­ne­ment sur le cré­dit pour la per­son­ne con­cer­née. Le Tri­bu­nal admi­ni­stra­tif fédé­ral a lui aus­si rele­vé que plus le ris­que d’att­ein­te à la per­son­na­li­té est grand, plus il faut poser des exi­gen­ces éle­vées à la qua­li­té du con­te­nu et donc à l’e­xac­ti­tu­de des don­nées trai­tées. Le très fai­ble taux de véri­fi­ca­ti­on de 5 % impo­sé par le Tri­bu­nal admi­ni­stra­tif fédé­ral à Money­hou­se AG mont­re en même temps la dif­fi­cul­té de main­te­nir à jour de tel­les bases de don­nées. C’est pour­quoi le Con­seil fédé­ral esti­me qu’u­ne régle­men­ta­ti­on géné­ra­le sur la durée pen­dant laquel­le les don­nées peu­vent être uti­li­sées serait judi­cieu­se. Une tel­le limi­ta­ti­on peut notam­ment être mise en œuvre par des mesu­res tech­ni­ques appro­priées (pri­va­cy by design, cf. art. 6 P‑LPD et les expli­ca­ti­ons y rela­ti­ves), par exemp­le en effa­çant auto­ma­ti­quement les don­nées à l’ex­pi­ra­ti­on d’u­ne durée déter­mi­née. La durée de con­ser­va­ti­on de cinq ans se fon­de sur le fait que les tiers pri­vés ne peu­vent con­sul­ter le regist­re des pour­suites que jus­qu’à cinq ans après la clôtu­re de la pro­cé­du­re, con­for­mé­ment à l’art. 8a, al. 4, LP. Ici, les droits des ser­vices de rens­eig­ne­ments com­mer­ci­aux ne doi­vent pas aller plus loin. Le chif­fre 4 pré­sup­po­se que la per­son­ne con­cer­née est majeu­re. Cet­te con­di­ti­on est ajou­tée afin d’a­mé­lio­rer la pro­tec­tion des mineurs, ce qui est l’un des objec­tifs de la révi­si­on. La por­tée de cet­te modi­fi­ca­ti­on dev­rait être limi­tée en rai­son de la capa­ci­té civi­le rest­rein­te des per­son­nes mineu­res. al. 2, let. e Trai­te­ment pour la recher­che, la pla­ni­fi­ca­ti­on ou les statistiques Le motif justi­fi­ca­tif du trai­te­ment à des fins ne se rap­portant pas à des per­son­nes, notam­ment dans la recher­che, la pla­ni­fi­ca­ti­on ou la sta­ti­stique, est légè­re­ment ren­for­cé à la let. e. L’uti­li­sa­ti­on de don­nées à ces fins n’est désor­mais auto­ri­sée que si les con­di­ti­ons des ch. 1 à 3 sont rem­plies. Cet­te régle­men­ta­ti­on vise à ren­forcer la pro­tec­tion des don­nées per­son­nel­les sen­si­bles. Elle inter­vi­ent notam­ment au regard des pos­si­bi­li­tés offer­tes par le big data et de la numé­ri­sa­ti­on crois­s­an­te du quo­ti­di­en, qui ent­raî­ne éga­le­ment le trai­te­ment d’un nombre tou­jours plus important de don­nées per­son­nel­les sen­si­bles. Selon le chif­fre 1, les don­nées doi­vent être ren­dues anony­mes dès que le but du trai­te­ment le per­met. S’il n’est plus néces­saire de dis­po­ser de don­nées per­son­nel­les pour le trai­te­ment des don­nées à des fins de recher­che, de pla­ni­fi­ca­ti­on ou de sta­ti­sti­ques, cel­les-ci doi­vent être ren­dues anony­mes. Cet­te con­di­ti­on est éga­le­ment rem­plie lorsque la trans­mis­si­on a lieu sous une for­me pseud­ony­mi­sée et que la clé reste chez la per­son­ne qui trans­met les don­nées (anony­mi­sa­ti­on de fait). Cela découle en prin­ci­pe déjà de la pre­scrip­ti­on de l’ar­tic­le 5, para­gra­phe 4, P‑LPD. En ver­tu de l’art. 26, al. 2, let. a, P‑LPD, une vio­la­ti­on de cet­te dis­po­si­ti­on ent­raî­ne une att­ein­te à la per­son­na­li­té qui peut être justi­fi­ée par l’un des motifs énon­cés à l’art. 27 P‑LPD. Grâ­ce à la pre­scrip­ti­on de l’art. 27, al. 2, let. e, ch. 1, P‑LPD, il n’est désor­mais plus pos­si­ble de justi­fier une vio­la­ti­on de l’art. 5, al. 4, P‑LPD par le trai­te­ment à des fins de recher­che, de pla­ni­fi­ca­ti­on ou de sta­ti­sti­ques, sauf si l’un des motifs de justi­fi­ca­ti­on pré­vus à l’art. 27, al. 1, P‑LPD s’ap­pli­que. Si des don­nées per­son­nel­les sen­si­bles sont com­mu­ni­quées à des tiers, cela doit se fai­re de maniè­re à ce que les per­son­nes con­cer­nées ne soi­ent pas iden­ti­fi­a­bles (ch. 2). Con­for­mé­ment à l’art. 26, al. 2, let. c, P‑LPD, la com­mu­ni­ca­ti­on de don­nées per­son­nel­les sen­si­bles à des tiers ent­raî­ne une att­ein­te à la per­son­na­li­té qui peut être justi­fi­ée par l’un des motifs pré­vus à l’art. 27. La dis­po­si­ti­on du chif­fre 2 exclut désor­mais de justi­fier la com­mu­ni­ca­ti­on de don­nées per­son­nel­les sen­si­bles non anony­mi­sées au motif qu’el­le a lieu pour un trai­te­ment à des fins de recher­che, de pla­ni­fi­ca­ti­on ou de sta­ti­sti­ques. Enfin, com­me jus­qu’à pré­sent, les résul­tats ne peu­vent être publiés que de maniè­re à ce que les per­son­nes con­cer­nées ne soi­ent pas iden­ti­fi­a­bles (ch. 3). 

L’ar­tic­le 28 régit les droits juri­di­ques que la per­son­ne con­cer­née peut fai­re valoir à l’en­cont­re de per­son­nes pri­vées. Ali­néa 1 Rectification L’al. 1 stipu­le que tou­te per­son­ne peut deman­der la rec­ti­fi­ca­ti­on de don­nées per­son­nel­les inexac­tes. Ce droit est jus­qu’à pré­sent pré­vu dans Artic­le 5, deu­xiè­me ali­néa, LPD sont inclus dans ce droit. Il est regrou­pé avec tous les aut­res droits juri­di­ques en une seu­le dis­po­si­ti­on dans l’E-DSG. La rec­ti­fi­ca­ti­on peut signi­fier que les don­nées man­quan­tes sont com­plé­tées ou que les don­nées erro­n­ées sont effa­cées et, le cas échéant, rem­pla­cées par de nou­vel­les don­nées cor­rec­tes. Com­me il res­sort clai­re­ment de l’a­li­néa sépa­ré, le droit de rec­ti­fi­ca­ti­on exi­ste indé­pen­dam­ment d’u­ne att­ein­te à la per­son­na­li­té au sens de l’ar­tic­le 26 P‑LPD. De même, les motifs justi­fi­ca­tifs de l’ar­tic­le 27 P‑LPD ne peu­vent pas être invo­qués. L’al. 1 pré­voit plutôt deux excep­ti­ons indé­pen­dan­tes qui exclu­ent tou­te rec­ti­fi­ca­ti­on. Selon la let. a, la rec­ti­fi­ca­ti­on de don­nées inexac­tes est exclue si une dis­po­si­ti­on léga­le exclut la modi­fi­ca­ti­on des don­nées per­son­nel­les. On pen­se ici aux obli­ga­ti­ons léga­les de trai­te­ment et de con­ser­va­ti­on en ver­tu des­quel­les les respons­ables pri­vés doi­vent lais­ser les don­nées inchan­gées. La let. b auto­ri­se une pesée des inté­rêts en ce qui con­cer­ne les don­nées des fonds d’ar­chi­ves qui sont trai­tées exclu­si­ve­ment à cet­te fin et pour les­quel­les il exi­ste un inté­rêt public prépon­dé­rant à ce que les don­nées restent inchan­gées. Cet­te excep­ti­on con­cer­ne par exemp­le les biblio­t­hè­ques pri­vées. al. 2 Actions en justice L’al. 2 con­ti­ent le ren­voi aux actions pré­vues aux art. 28 ss. CC, qui exi­ste déjà dans le droit actuel. Par ana­lo­gie avec l’art. 28a, al. 1, CC, cet ali­néa fixe en out­re cer­ta­ins droits spé­ci­fi­ques que la per­son­ne con­cer­née peut fai­re valoir. Pour des rai­sons de clar­té, ces droits sont désor­mais mieux mis en évi­dence dans le pro­jet par une énu­mé­ra­ti­on. Cet­te énu­mé­ra­ti­on con­cré­ti­se en par­ti­cu­lier l’ac­tion en ces­sa­ti­on et en sup­pres­si­on de l’att­ein­te selon l’art. 28a, al. 1, ch. 1 et 2, CC en ce qui con­cer­ne la pro­tec­tion des don­nées. Selon la let. a, la per­son­ne con­cer­née peut deman­der que le trai­te­ment des don­nées soit inter­dit. Selon la let. b, elle peut deman­der que la com­mu­ni­ca­ti­on de don­nées à des tiers soit inter­di­te. Selon la lett­re c, elle peut enfin deman­der l’effa­ce­ment ou la des­truc­tion de don­nées. Bien qu’il découle déjà impli­ci­te­ment du droit actuel, un droit à l’effa­ce­ment est for­mulé expres­sé­ment dans la P‑LPD. Il répond aux exi­gen­ces de l’ar­tic­le 8, lett­re e E‑SEV 108. L’ar­tic­le 17 de la Règle­ment (UE) 2016/679 con­ti­ent une dis­po­si­ti­on simi­lai­re. Ce droit à l’effa­ce­ment cor­re­spond, dans le domaine de la pro­tec­tion des don­nées, au “droit à l’ou­b­li”, tel qu’il est géné­ra­le­ment déduit de la pro­tec­tion de la per­son­na­li­té en droit civil. Par con­sé­quent, une décis­i­on simi­lai­re à cel­le pri­se par la Cour euro­pé­en­ne de justi­ce à l’en­cont­re de Goog­le serait éga­le­ment pos­si­ble en Sui­s­se. Un tel droit à l’ou­b­li n’est tou­te­fois pas abso­lu. Dans la juris­pru­dence rela­ti­ve à la pro­tec­tion de la per­son­na­li­té, l’in­té­rêt de la per­son­ne con­cer­née est en prin­ci­pe mis en balan­ce avec la liber­té d’o­pi­ni­on et d’in­for­ma­ti­on, dont découle géné­ra­le­ment un inté­rêt prépon­dé­rant au main­ti­en ou à l’uti­li­sa­ti­on de l’in­for­ma­ti­on. Un tel inté­rêt peut par exemp­le exi­ster dans le cas d’ar­chi­ves ou de biblio­t­hè­ques dont la mis­si­on est de coll­ec­ter, de réper­tori­er, de con­ser­ver et de com­mu­ni­quer des docu­ments inchan­gés. S’il exi­ste un inté­rêt prépon­dé­rant, l’att­ein­te à la per­son­na­li­té est justi­fi­ée et un éven­tuel droit à l’effa­ce­ment tom­be. La pesée des inté­rêts néces­saire dans chaque cas par­ti­cu­lier est pos­si­ble sur la base de l’ar­tic­le 28, ali­néa 2, P‑LPD, ain­si que du ren­voi aux actions pré­vues aux artic­les 28 f. CC, de sor­te qu’il n’est pas néces­saire d’in­sé­rer des réser­ves spé­ci­fi­ques dans le tex­te de loi. Le pré­po­sé aurait pré­fé­ré qu’un droit de déré­fé­rence­ment (“droit à l’ou­b­li”) soit expres­sé­ment insé­ré. al. 3 Men­ti­on de la contestation L’al. 3 con­ti­ent la “men­ti­on de con­te­sta­ti­on”, qui est repri­se tel­le quel­le du droit en vigueur. Selon cet­te dis­po­si­ti­on, une men­ti­on cor­re­spond­an­te peut être appo­sée sur les don­nées lorsque ni l’e­xac­ti­tu­de ni l’in­exac­ti­tu­de des don­nées ne peu­vent être éta­b­lies. Cet­te dis­po­si­ti­on doit être con­sidé­rée à la lumiè­re du fait que l’in­exac­ti­tu­de d’af­fir­ma­ti­ons fac­tu­el­les, notam­ment lorsqu’el­les sont liées à des juge­ments de valeur, ne peut par­fois pas être suf­fi­sam­ment prou­vée. La per­son­ne con­cer­née béné­fi­cie ain­si d’u­ne pro­tec­tion juri­di­que au moins par­ti­el­le. al. 4 Com­mu­ni­ca­ti­on à des tiers ou publication L’al. 4 pré­voit, com­me le droit actuel, que le juge­ment, la rec­ti­fi­ca­ti­on, la sup­pres­si­on ou la des­truc­tion, l’in­ter­dic­tion de trai­te­ment ou de com­mu­ni­ca­ti­on à des tiers ou la men­ti­on de la con­te­sta­ti­on sont com­mu­ni­qués à des tiers ou publiés. Cet­te régle­men­ta­ti­on con­cré­ti­se l’art. 28a, al. 2, CC dans le domaine de la pro­tec­tion des don­nées. En revan­che, la dis­po­si­ti­on rela­ti­ve à la pro­cé­du­re sim­pli­fi­ée pour les deman­des de rens­eig­ne­ments est abro­gée. Cet­te régle­men­ta­ti­on est deve­nue obsolè­te avec l’in­tro­duc­tion du CPC, car tou­tes les dis­po­si­ti­ons rela­ti­ves aux pro­cé­du­res de droit civil sont désor­mais con­te­nues dans le CPC. Ce der­nier règ­le la pro­cé­du­re appli­ca­ble (art. 243, al. 2, let. d, P‑CPC) ain­si que le for (art. 20, let. d, P‑CPC).

Par rap­port à Artic­le 16 LPD l’ar­tic­le 29 E‑DSG subit peu de modi­fi­ca­ti­ons. Artic­le 16, pre­mier ali­néa, LPD est abro­gée. La responsa­bi­li­té de l’or­ga­ne fédé­ral qui trai­te ou fait trai­ter des don­nées per­son­nel­les découle de la défi­ni­ti­on du ter­me “responsable” (art. 4, let. i, P‑LPD). L’art. 29 P‑LPD rem­place en out­re, pour des rai­sons réd­ac­tion­nel­les, l’ex­pres­si­on “rég­ler spé­cia­le­ment” par “rég­ler spé­cia­le­ment”. Artic­le 16, deu­xiè­me ali­néa, LPD a été omi­se. En out­re, le Con­seil fédé­ral ne doit pas seu­le­ment avoir la pos­si­bi­li­té d’é­dic­ter des règles par­ti­cu­liè­res sur le con­trô­le et la responsa­bi­li­té en matiè­re de pro­tec­tion des don­nées lorsque des orga­nes fédé­raux trai­tent des don­nées en col­la­bo­ra­ti­on avec d’aut­res auto­ri­tés ou des per­son­nes pri­vées, mais il doit être tenu de le fai­re. Cet­te modi­fi­ca­ti­on modi­fie l’ar­tic­le 21 de la Direc­ti­ve (UE) 2016/680 mis en œuvre. L’ar­tic­le 26 de la Règle­ment (UE) 2016/679 pré­voit une régle­men­ta­ti­on analogue. 

Pour répond­re aux cri­ti­ques de la doc­tri­ne con­cer­nant la déli­mi­ta­ti­on des excep­ti­ons en Artic­le 17, deu­xiè­me ali­néa, LPD et Artic­le 19, deu­xiè­me ali­néa, LPD l’ar­tic­le 30, para­gra­phe 2, de l’E-DSG défi­nit la base léga­le pour cer­ta­ins trai­te­ments de don­nées. L’a­li­néa 4 pré­voit les excep­ti­ons aux exi­gen­ces rela­ti­ves à la base léga­le. al. 1 Base légale Le para­gra­phe 1 reprend le prin­ci­pe de Artic­le 17, pre­mier ali­néa, LPDLa loi sur la pro­tec­tion des don­nées pré­voit que les orga­nes fédé­raux ne peu­vent trai­ter des don­nées per­son­nel­les que s’il exi­ste une base léga­le, sous réser­ve de cer­tai­nes excep­ti­ons. Al. 2 Base dans la loi au sens formel Com­me dans le droit en vigueur, l’al. 2, let. a, stipu­le que le trai­te­ment de don­nées sen­si­bles requiert une base léga­le au sens for­mel. Selon l’al. 2, let. b, les orga­nes fédé­raux ne sont habi­li­tés à pro­cé­der au pro­fi­la­ge au sens de l’art. 4, let. f, P‑LPD que si une base dans une loi au sens for­mel le pré­voit. La dis­po­si­ti­on rem­place en ce sens Artic­le 17, deu­xiè­me ali­néa, LPDLe Con­seil fédé­ral a donc déci­dé d’ad­op­ter une loi sur le pro­fi­la­ge, qui pré­voit que les pro­fils de la per­son­na­li­té ne peu­vent être trai­tés que si une loi au sens for­mel le pré­voit expres­sé­ment. En rai­son du ris­que d’att­ein­te aux droits fon­da­men­taux des per­son­nes con­cer­nées, le Con­seil fédé­ral est d’a­vis que la base léga­le pour le pro­fi­la­ge doit être du même niveau que dans le cas du trai­te­ment de don­nées sen­si­bles. Com­me indi­qué dans le com­men­tai­re de l’a­li­néa 3, l’e­xi­gence d’u­ne base léga­le au sens for­mel n’est pas abso­lue pour ce type de trai­te­ment de don­nées. Il appar­tien­dra donc au légis­la­teur de déter­mi­ner, dans chaque domaine, si une base léga­le for­mel­le doit être cré­ée dans une loi spé­ci­fi­que au domaine ou si une base dans une loi au sens maté­ri­el est suf­fi­san­te. Il est conce­va­ble que, dans cer­ta­ins cas, le pro­fi­la­ge ne pré­sen­te pas de ris­ques par­ti­cu­liers pour les droits fon­da­men­taux de la per­son­ne con­cer­née. Selon l’a­li­néa 2, lett­re c, une base dans une loi au sens for­mel est néces­saire si la fina­li­té du trai­te­ment ou la maniè­re dont les don­nées sont trai­tées peut ent­raî­ner une att­ein­te gra­ve aux droits fon­da­men­taux de la per­son­ne con­cer­née. Ce cas se pré­sen­te dans Artic­le 17, deu­xiè­me ali­néa, LPD n’est pas expres­sé­ment men­ti­onnée. Il ne s’a­git cepen­dant pas d’u­ne nou­vel­le exi­gence, car selon Artic­le 36, ali­néa 1, Cst. les rest­ric­tions gra­ves des droits fon­da­men­taux néces­si­tent une base léga­le dans une loi au sens for­mel. La lett­re c est tou­te­fois néces­saire, car plu­sieurs lois fédé­ra­les sup­p­ri­ment la noti­on de “pro­fil de la per­son­na­li­té” et les bases léga­les cor­re­spond­an­tes. En effet, du point de vue du Con­seil fédé­ral, la sup­pres­si­on de la noti­on de “pro­fil de la per­son­na­li­té” ne doit pas avoir pour con­sé­quence d’a­baisser les exi­gen­ces au niveau de la base léga­le. Une att­ein­te gra­ve aux droits fon­da­men­taux de la per­son­ne con­cer­née peut résul­ter de la fina­li­té du trai­te­ment des don­nées per­son­nel­les (pre­mier cas d’ap­pli­ca­ti­on de la let. c). En effet, dans cer­ta­ins domain­es, les orga­nes fédé­raux peu­vent avoir beso­in de trai­ter cer­tai­nes don­nées per­son­nel­les afin d’éva­luer, par exemp­le, la dan­ge­ro­si­té, le poten­tiel pour une fonc­tion, l’ap­ti­tu­de à rem­plir une obli­ga­ti­on léga­le ou le mode de vie d’u­ne per­son­ne. Selon la fina­li­té pour­suivie par l’or­ga­ne fédé­ral, le trai­te­ment peut – indé­pen­dam­ment de la natu­re des don­nées trai­tées – rest­reind­re gra­ve­ment les droits fon­da­men­taux de la per­son­ne con­cer­née. Si tel est le cas, il est justi­fié qu’il exi­ste une base léga­le pour le trai­te­ment des don­nées per­son­nel­les au même niveau que pour le trai­te­ment des don­nées per­son­nel­les sen­si­bles. Une att­ein­te gra­ve aux droits fon­da­men­taux de la per­son­ne con­cer­née peut en out­re résul­ter de la maniè­re dont les don­nées sont trai­tées (deu­xiè­me cas d’ap­pli­ca­ti­on de la let. c). C’est notam­ment le cas des décis­i­ons indi­vi­du­el­les auto­ma­ti­sées visées à l’ar­tic­le 19, para­gra­phe 1, P‑LPD. Cer­tes, tou­tes les décis­i­ons indi­vi­du­el­les auto­ma­ti­sées ne pré­sen­tent pas un ris­que gra­ve pour les droits fon­da­men­taux de la per­son­ne con­cer­née, de sor­te qu’u­ne base dans une loi au sens maté­ri­el peut éga­le­ment suf­fi­re pour cer­tai­nes de ces décis­i­ons. Une auto­ri­sa­ti­on dans une loi au sens for­mel est en prin­ci­pe néces­saire lorsque la décis­i­on indi­vi­du­el­le auto­ma­ti­sée est pri­se sur la base de don­nées per­son­nel­les sen­si­bles. Cela per­met éga­le­ment de répond­re aux exi­gen­ces de l’ar­tic­le 11 de la Direc­ti­ve (UE) 2016/680 a été pri­se en comp­te. al. 3 Excep­ti­ons à l’e­xi­gence d’u­ne base dans une loi au sens formel Cet­te dis­po­si­ti­on auto­ri­se le Con­seil fédé­ral à édic­ter une base dans une loi au sens maté­ri­el pour le trai­te­ment de don­nées per­son­nel­les sen­si­bles et le pro­fi­la­ge si deux con­di­ti­ons sont rem­plies cumu­la­ti­ve­ment. Selon la let. a, le trai­te­ment doit être indis­pensable à l’ac­com­plis­se­ment d’u­ne tâche défi­nie dans une loi au sens for­mel. Pour que cet­te con­di­ti­on soit rem­plie, la natu­re des tâches qui néces­si­tent le trai­te­ment de don­nées per­son­nel­les doit être suf­fi­sam­ment con­cré­ti­sée au niveau de la loi. La deu­xiè­me con­di­ti­on (para­gra­phe 3, lett­re b) est nou­vel­le. Elle a l’a­van­ta­ge de limi­ter la por­tée de l’al. 3 de maniè­re plus pré­cise que la régle­men­ta­ti­on actu­el­le de l’art. 17, al. 2, let. a, LPD. Cet­te der­niè­re ne s’ap­pli­que qu’à tit­re excep­ti­on­nel, ce qui peut éga­le­ment con­dui­re à uti­li­ser la mar­ge d’ap­pré­cia­ti­on pour accep­ter des cas excep­ti­on­nels là où il n’y en a pas. L’a­baisse­ment des exi­gen­ces rela­ti­ves au niveau de la base léga­le est par­ti­cu­liè­re­ment indi­qué pour les don­nées per­son­nel­les sen­si­bles qui sont excep­ti­on­nel­le­ment trai­tées dans le cad­re d’af­fai­res du Con­seil fédé­ral, du dépar­te­ment ou de l’of­fice (p. ex. décis­i­ons sur recours ; cas de responsa­bi­li­té de l’E­tat ; affai­res con­cer­nant le per­son­nel fédé­ral). Cela néces­si­te éga­le­ment, à pro­pre­ment par­ler, selon le droit en vigueur Artic­le 17, pre­mier ali­néa, LPD une base léga­le for­mel­le. Tou­te­fois, selon l’art. 30, al. 3, P‑LPD, une base léga­le au sens maté­ri­el doit suf­fi­re si le trai­te­ment est indis­pensable à l’exé­cu­ti­on d’u­ne tâche pré­vue par une loi au sens for­mel et si la fina­li­té du trai­te­ment ne pré­sen­te pas de ris­ques par­ti­cu­liers pour les droits fon­da­men­taux de la per­son­ne con­cer­née. Dans la mesu­re où ces critères sont rem­p­lis et où l’ac­cès à ces don­nées est for­te­ment limi­té, une base dans une loi au sens maté­ri­el suf­fi­ra en prin­ci­pe à l’a­ve­nir. al. 4 Exceptions Selon l’al. 4, il est pos­si­ble de déro­ger à l’e­xi­gence de base léga­le (al. 1 à 3) si l’u­ne des con­di­ti­ons énon­cées aux let. a à c est rem­plie. La let. a règ­le la décis­i­on du Con­seil fédé­ral qui auto­ri­se excep­ti­on­nel­le­ment l’or­ga­ne fédé­ral à trai­ter des don­nées per­son­nel­les sans base léga­le. La let. a cor­re­spond à l’ex­cep­ti­on pré­vue à l’art. 17, al. 2, let. b, LPD. Selon la let. b, les orga­nes fédé­raux peu­vent trai­ter des don­nées per­son­nel­les sans base léga­le si la per­son­ne con­cer­née don­ne son con­sen­te­ment au cas par cas con­for­mé­ment à l’art. 5, al. 6, P‑LPD ou si elle a ren­du ses don­nées per­son­nel­les acce­s­si­bles à tous et ne s’est pas expres­sé­ment oppo­sée au trai­te­ment. Cet­te dis­po­si­ti­on cor­re­spond pour l’e­s­sen­tiel à l’ex­cep­ti­on pré­vue à l’ar­tic­le 17, para­gra­phe 2, lett­re c LPD. La let. c est une nou­vel­le excep­ti­on Artic­le 17, deu­xiè­me ali­néa, LPD n’est pas inclu­se. Elle cor­re­spond à l’ar­tic­le 10, point b), de la Direc­ti­ve (UE) 2016/680 et l’ar­tic­le 6, para­gra­phe 1, point d), de la Règle­ment (UE) 2016/679. En con­sé­quence, le trai­te­ment est éga­le­ment auto­ri­sé s’il est néces­saire pour pro­té­ger la vie ou l’in­té­gri­té phy­si­que de la per­son­ne con­cer­née ou d’un tiers lorsqu’il n’est pas pos­si­ble d’ob­te­nir le con­sen­te­ment de la per­son­ne con­cer­née dans un délai raisonnable. 

Les pré­sen­tes modi­fi­ca­ti­ons de l’ac­tuel artic­le 17a LPD ne visent pas à affai­blir les con­di­ti­ons dans les­quel­les un orga­ne fédé­ral peut trai­ter des don­nées de maniè­re auto­ma­ti­sée dans le cad­re d’un pro­jet pilo­te avant l’en­trée en vigueur d’u­ne loi au sens for­mel. Il s’a­git sim­ple­ment de rédui­re la den­si­té régle­men­tai­re. En effet, depuis l’en­trée en vigueur de cet­te nor­me, les orga­nes fédé­raux n’y ont que rare­ment eu recours. Cer­tai­nes dis­po­si­ti­ons de Artic­le 17a LPD peu­vent en out­re être inté­g­rées dans la future ordon­nan­ce d’exé­cu­ti­on. Hor­mis le fait que le ter­me “pro­fils de la per­son­na­li­té” est rem­pla­cé par “aut­res trai­te­ments de don­nées au sens de l’art. 30, al. 2, let. b et c”, les con­di­ti­ons pré­vues aux al. 1 et 2 cor­re­spon­dent dans une lar­ge mesu­re à cel­les de l’art. 17a, al. 1, LPD. En out­re, la let. c pré­cise qu’u­ne pha­se de test est néces­saire “notam­ment pour des rai­sons tech­ni­ques”. Cet­te modi­fi­ca­ti­on est moti­vée par l’a­b­ro­ga­ti­on de l’art. 17a, al. 2, LPD, qui énumè­re les cas dans les­quels la mise en œuvre pra­tique d’un trai­te­ment de don­nées peut néces­si­ter impé­ra­ti­ve­ment une pha­se de test. Pour les rai­sons expo­sées ci-des­sus, ces cas peu­vent être réglés dans une ordon­nan­ce d’exé­cu­ti­on. Hor­mis la sup­pres­si­on de la noti­on de “pro­fils de la per­son­na­li­té” et quel­ques modi­fi­ca­ti­ons réd­ac­tion­nel­les, les al. 3 et 4 restent inchan­gés par rap­port au droit en vigueur. 

Cet­te dis­po­si­ti­on, à l’ex­cep­ti­on de quel­ques modi­fi­ca­ti­ons réd­ac­tion­nel­les, reste inchan­gée par rap­port au droit en vigueur (Artic­le 20 LPD) reste inchan­gée. Dans la ver­si­on alle­man­de, l’ex­pres­si­on “Sper­rung der Bekannt­ga­be” est rem­pla­cée par “Wider­spruch gegen die Bekannt­ga­be” (oppo­si­ti­on à la com­mu­ni­ca­ti­on), con­for­mé­ment à la ter­mi­no­lo­gie euro­pé­en­ne. De l’a­vis du pré­po­sé, le droit d’op­po­si­ti­on dev­rait por­ter non seu­le­ment sur la com­mu­ni­ca­ti­on des don­nées, mais aus­si sur leur traitement. 

Cet­te dis­po­si­ti­on cor­re­spond Artic­le 21 LPD. Elle reste inchan­gée sur le plan matériel. 

En out­re, une nou­vel­le let. b est ajou­tée à l’al. 1, selon laquel­le les orga­nes fédé­raux doi­vent com­mu­ni­quer les don­nées per­son­nel­les sen­si­bles à des tiers pri­vés de maniè­re à ce que la per­son­ne con­cer­née ne soit pas iden­ti­fia­ble. Cet­te dis­po­si­ti­on vise à ren­forcer la pro­tec­tion des don­nées per­son­nel­les sen­si­bles. Cet­te con­di­ti­on est éga­le­ment rem­plie lorsque la com­mu­ni­ca­ti­on a lieu sous une for­me pseud­ony­mi­sée et que la clé reste chez la per­son­ne qui trans­met les don­nées (anony­mi­sa­ti­on de fait). L’al. 2 est en out­re modi­fié en ce qui con­cer­ne les ren­vois aux art. 5, al. 3, 30, al. 2, et 32, al. 1, P‑LPD.

Cet­te dis­po­si­ti­on cor­re­spond Artic­le 23, pre­mier ali­néa, LPD. Artic­le 23, deu­xiè­me ali­néa, LPD peut être sup­p­ri­mée, car la P‑LPD pré­voit le même système de sur­veil­lan­ce pour les per­son­nes pri­vées et les orga­nes fédéraux. 

En com­pa­rai­son avec Artic­le 25 LPD l’ar­tic­le 37 de la P‑LPD subit quel­ques modi­fi­ca­ti­ons qui sont expli­quées ci-des­sous. al. 1 Demande Cet­te dis­po­si­ti­on régit les deman­des que les per­son­nes con­cer­nées peu­vent adress­er aux orga­nes fédé­raux. En com­pa­rai­son avec Artic­le 25, pre­mier ali­néa, LPD elle ne sera pas modi­fi­ée. al. 2 Aut­res demandes Aujour­d’hui, le droit de la per­son­ne con­cer­née à deman­der l’effa­ce­ment de ses don­nées découle impli­ci­te­ment de Artic­le 25 LPD. Pour satis­fai­re aux exi­gen­ces de l’ar­tic­le 8, point e) E‑SEV 108 et de l’ar­tic­le 16 de la Direc­ti­ve (UE) 2016/680 ce droit est désor­mais expli­ci­te­ment men­ti­onné à l’ar­tic­le 37, para­gra­phe 2, points a) et b). L’ar­tic­le 17 de la Règle­ment (UE) 2016/679 pré­voit pour sa part le droit de la per­son­ne con­cer­née d’e­xi­ger, sous cer­tai­nes con­di­ti­ons, l’effa­ce­ment des don­nées la con­cer­nant (“droit à l’ou­b­li”). Le même droit est intro­duit à l’art. 28 P‑LPD, de sor­te que la régle­men­ta­ti­on est iden­tique à l’é­gard des respons­ables pri­vés et publics (cf. ch. 9.1.6). La situa­ti­on juri­di­que con­crè­te ne chan­ge tou­te­fois pas. A l’al. 2, let. a, la der­niè­re par­tie de la phra­se con­cer­nant le blo­ca­ge de la com­mu­ni­ca­ti­on à des tiers est sup­p­ri­mée par rap­port à l’art. 25, al. 3, let. 3, LPD, car l’op­po­si­ti­on à la com­mu­ni­ca­ti­on de don­nées est réglée de maniè­re exhaus­ti­ve à l’art. 33 P‑LPD. L’op­po­si­ti­on au sens de l’art. 33 P‑LPD n’est pas liée au trai­te­ment illi­ci­te, com­me c’est le cas pour les pré­ten­ti­ons au sens de l’art. 37. La let. b de cet­te dis­po­si­ti­on main­ti­ent tou­te­fois la pos­si­bi­li­té pour la per­son­ne con­cer­née d’e­xi­ger de l’or­ga­ne fédé­ral qu’il publie la décis­i­on rela­ti­ve à l’op­po­si­ti­on à la com­mu­ni­ca­ti­on en ver­tu de l’art. 33. L’ar­tic­le 33 ne le pré­voit pas, mais il sem­ble judi­cieux que la per­son­ne con­cer­née pui­s­se l’e­xi­ger, du moins en cas de com­mu­ni­ca­ti­on illi­ci­te. al. 3 Limi­ta­ti­on du traitement L’a­li­néa 3 pré­voit une mesu­re moins radi­cale que l’effa­ce­ment ou la des­truc­tion des don­nées per­son­nel­les con­te­stées : la limi­ta­ti­on du trai­te­ment. Cet­te règ­le cor­re­spond à l’ar­tic­le 16, para­gra­phe 3, de la Direc­ti­ve (UE) 2016/680L’ar­tic­le 6, para­gra­phe 1, pré­voit que le responsable du trai­te­ment peut limi­ter le trai­te­ment au lieu d’effacer les don­nées con­te­stées lorsque la per­son­ne con­cer­née con­te­ste l’e­xac­ti­tu­de des don­nées et que l’e­xac­ti­tu­de ou l’in­exac­ti­tu­de de cel­les-ci ne peut pas être éta­b­lie, ou lorsque les don­nées doi­vent être con­ser­vées à des fins pro­ba­toires. Artic­le 18 de la Règle­ment (UE) 2016/679 va plus loin, puis­que la per­son­ne con­cer­née a le droit, en ver­tu de cet­te dis­po­si­ti­on, d’e­xi­ger la limi­ta­ti­on du trai­te­ment. Dans E‑SEV 108 en revan­che, la limi­ta­ti­on du trai­te­ment n’y figu­re pas. Le para­gra­phe 3 doit être inter­pré­té en ce sens que les don­nées peu­vent con­tin­uer à être trai­tées, mais uni­quement à des fins spé­ci­fi­ques. Il ne s’a­git pas d’ex­clu­re tout type de trai­te­ment de don­nées. Selon le con­sidé­rant 47 de la Direc­ti­ve (UE) 2016/680 la limi­ta­ti­on du trai­te­ment doit être com­pri­se en ce sens que l’or­ga­ne fédé­ral ne peut trai­ter les don­nées con­cer­nées que dans le but qui a empê­ché leur effa­ce­ment. L’al. 3 pré­voit quat­re cas de figu­re. Selon l’al. 3, let. a, l’or­ga­ne fédé­ral doit limi­ter le trai­te­ment des don­nées per­son­nel­les lorsque la per­son­ne con­cer­née con­te­ste l’e­xac­ti­tu­de des don­nées per­son­nel­les et que ni leur exac­ti­tu­de ni leur inexac­ti­tu­de ne peu­vent être éta­b­lies. Dans ce cas, la limi­ta­ti­on du trai­te­ment signi­fie que l’or­ga­ne fédé­ral ne peut trai­ter les don­nées con­te­stées que dans le but d’en éta­b­lir l’e­xac­ti­tu­de ou l’in­exac­ti­tu­de. Dès que l’e­xac­ti­tu­de des don­nées est éta­b­lie, l’or­ga­ne fédé­ral peut pour­suiv­re le trai­te­ment sans rest­ric­tion. Tou­te­fois, si les don­nées per­son­nel­les s’a­vè­rent inexac­tes, l’or­ga­ne fédé­ral doit les effacer ou les détrui­re, à moins que les points b) ou c) ne s’ap­pli­quent dans le cas en que­sti­on. Le para­gra­phe 3, point b), stipu­le que l’or­ga­ne fédé­ral doit limi­ter le trai­te­ment si les inté­rêts prépon­dé­rants d’un tiers l’e­xi­gent, par exemp­le si l’effa­ce­ment ou la des­truc­tion de cer­tai­nes don­nées pour­rait empêcher un tiers d’e­xer­cer ses droits en justi­ce. Cela signi­fie que les don­nées peu­vent con­tin­uer à être trai­tées, mais uni­quement pour per­mett­re au tiers con­cer­né d’e­xer­cer ses droits. Tout trai­te­ment à d’aut­res fins est exclu. Selon l’al. 3, let. c, l’or­ga­ne fédé­ral n’est pas tenu d’effacer ou de détrui­re les don­nées con­te­stées si cela ris­que de com­pro­mett­re un inté­rêt public prépon­dé­rant, notam­ment la sûre­té inté­ri­eu­re ou exté­ri­eu­re de la Sui­s­se. Enfin, l’a­li­néa 3, lett­re d, stipu­le que l’or­ga­ne fédé­ral n’est pas tenu d’effacer ou de détrui­re les don­nées si cela peut com­pro­mett­re une enquête, une inve­sti­ga­ti­on ou une pro­cé­du­re admi­ni­stra­ti­ve ou judi­ciai­re. Dans ce cas, l’or­ga­ne fédé­ral peut con­tin­uer à trai­ter les don­nées per­son­nel­les, mais uni­quement dans le but qui a empê­ché leur effa­ce­ment, c’est-à-dire pour pour­suiv­re une enquête, une inve­sti­ga­ti­on ou une pro­cé­du­re. La limi­ta­ti­on du trai­te­ment signi­fie que les don­nées con­te­stées sont mar­quées afin que leur trai­te­ment futur soit effec­tué exclu­si­ve­ment dans le but qui a empê­ché leur effa­ce­ment ou leur des­truc­tion. Le mar­quage doit être clair. Dans la pra­tique, elle peut signi­fier que les don­nées con­te­stées sont tem­po­rai­re­ment dépla­cées vers un aut­re système de trai­te­ment ou que l’ac­cès aux don­nées est ren­du impos­si­ble aux uti­li­sa­teurs. Dans les systè­mes de trai­te­ment auto­ma­ti­sé des don­nées, la limi­ta­ti­on du trai­te­ment dev­rait en prin­ci­pe être garan­tie par des moy­ens tech­ni­ques, de sor­te que les don­nées ne pui­s­sent plus être trai­tées ou modi­fi­ées à d’aut­res fins que cel­les visées à l’al. 3. al. 4 Men­ti­on de la contestation Cet­te dis­po­si­ti­on con­ti­ent ce que l’on appel­le la men­ti­on de la con­te­sta­ti­on, qui est inchan­gée par rap­port au droit en vigueur (Art. 25 al. 2 LPD) a été repri­se. En con­sé­quence, une men­ti­on cor­re­spond­an­te peut être appo­sée sur les don­nées lorsque ni l’e­xac­ti­tu­de ni l’in­exac­ti­tu­de des don­nées ne peut être défi­ni­ti­ve­ment éta­b­lie. al. 5 Stocks des insti­tu­ti­ons de mémoi­re publiques Selon le para­gra­phe 5, la rec­ti­fi­ca­ti­on, l’effa­ce­ment ou la des­truc­tion de don­nées ne peu­vent être exi­gés en ce qui con­cer­ne les fonds des biblio­t­hè­ques acce­s­si­bles au public, des éta­blis­se­ments d’ens­eig­ne­ment, des musées, des archi­ves ou d’aut­res insti­tu­ti­ons de mémoi­re publi­ques. L’ex­cep­ti­on a une por­tée limi­tée dans la mesu­re où nombre de ces insti­tu­ti­ons relè­vent de la légis­la­ti­on can­to­na­le en matiè­re de pro­tec­tion des don­nées. La dis­po­si­ti­on se réfè­re aux insti­tu­ti­ons publi­ques dont l’ac­ti­vi­té con­si­ste notam­ment à coll­ec­ter, à mett­re en valeur, à con­ser­ver et à com­mu­ni­quer des docu­ments de tou­te natu­re (y com­pris numé­ri­ques). Une rec­ti­fi­ca­ti­on, un effa­ce­ment ou une des­truc­tion s’op­po­se­rai­ent à ce but de trai­te­ment spé­ci­fi­que dans la mesu­re où ils se rap­portent aux fonds d’ar­chi­ves de tel­les insti­tu­ti­ons. La men­ti­on de con­te­sta­ti­on pré­vue à l’a­li­néa 4 de cet artic­le ne s’ap­pli­que pas non plus. En effet, ces fonds doi­vent repré­sen­ter un moment du pas­sé au moy­en de docu­ments, ce qui n’est pos­si­ble que si ces docu­ments sont con­te­nus dans les archi­ves à l’i­den­tique et donc sans modi­fi­ca­ti­on. Il exi­ste à cet égard un inté­rêt public con­sidé­ra­ble qui découle de la liber­té d’in­for­ma­ti­on (art. 16, al. 3 Cst.). La deu­xiè­me phra­se de l’a­li­néa 5 per­met tou­te­fois à la per­son­ne con­cer­née d’e­xi­ger que l’in­sti­tu­ti­on en que­sti­on limi­te l’ac­cès aux don­nées con­te­stées. Pour ce fai­re, la per­son­ne con­cer­née doit tou­te­fois rend­re vrais­em­bla­ble un inté­rêt prépon­dé­rant. Cet­te excep­ti­on doit être con­sidé­rée en par­ti­cu­lier au regard de la ten­dance crois­s­an­te à rend­re acce­s­si­bles à tous sur Inter­net de vastes fonds d’in­sti­tu­ti­ons de mémoi­re acce­s­si­bles au public. Cela réduit le tra­vail néces­saire pour effec­tuer des recher­ches ciblées, tout en élar­gis­sant con­sidé­ra­blem­ent le cer­cle des per­son­nes pou­vant accé­der au fonds en que­sti­on. La loi doit donc per­mett­re une pesée des inté­rêts dif­fé­ren­ciée pour de tels cas. Dans ce con­tex­te, l’in­té­rêt public à un accès non faus­sé et sans rest­ric­tion aux docu­ments s’op­po­se à l’in­té­rêt de la per­son­ne con­cer­née à ce que des infor­ma­ti­ons non véri­di­ques ou portant att­ein­te à sa per­son­na­li­té ne soi­ent pas acce­s­si­bles à tous. Com­me il res­sort de la pre­miè­re phra­se du para­gra­phe 5, en ce qui con­cer­ne les archi­ves et les insti­tu­ti­ons simi­lai­res, l’in­té­rêt public à un accès lib­re et non faus­sé prév­aut en prin­ci­pe. En revan­che, on ne peut admett­re un inté­rêt prépon­dé­rant de la per­son­ne con­cer­née que si elle subit, en rai­son du lib­re accès, des incon­vé­ni­ents per­son­nels importants qui peu­vent la limi­ter con­sidé­ra­blem­ent, même à l’a­ve­nir (par exemp­le dans son avance­ment pro­fes­si­on­nel). Ces incon­vé­ni­ents doi­vent en out­re être mis en rela­ti­on avec la valeur archi­vi­stique des don­nées con­te­stées, qui peut par exemp­le résul­ter de l’im­portance histo­ri­que, du type ou du con­te­nu du docu­ment. Un inté­rêt prépon­dé­rant du côté de la per­son­ne con­cer­née doit notam­ment être admis lorsque la valeur archi­vi­stique des don­nées et, par con­sé­quent, l’im­portance d’un accès public illi­mi­té appa­rais­sent com­me fai­bles par rap­port aux rest­ric­tions con­sidé­ra­bles impo­sées à la per­son­ne con­cer­née. Dans ce cas, la per­son­ne con­cer­née peut exi­ger que l’in­sti­tu­ti­on limi­te l’ac­cès aux don­nées con­te­stées. La limi­ta­ti­on doit être amé­na­gée dans chaque cas de maniè­re à ce qu’el­le paraisse pro­por­ti­onnée aux inté­rêts en jeu. Ain­si, il peut sou­vent suf­fi­re qu’un docu­ment ne soit pas acce­s­si­ble sur Inter­net, mais uni­quement dans des archi­ves phy­si­ques. Dans cer­ta­ins cas, il serait éga­le­ment envi­sa­geable de n’ac­cor­der l’ac­cès à un docu­ment qu’aux per­son­nes qui en ont beso­in pour leur acti­vi­té sci­en­ti­fi­que ou jour­na­li­stique. En revan­che, le para­gra­phe 5 ne s’ap­pli­que pas aux trai­te­ments de don­nées effec­tués par ces insti­tu­ti­ons qui n’ont pas de lien avec les fonds docu­men­tai­res et qui sont effec­tués à d’aut­res fins, com­me par exemp­le les comp­tes d’uti­li­sa­teurs des biblio­t­hè­ques ou les dos­siers per­son­nels. Pour ces trai­te­ments, la per­son­ne con­cer­née béné­fi­cie sans rest­ric­tion des droits pré­vus à l’ar­tic­le 37. 

Cet­te dis­po­si­ti­on cor­re­spond Artic­le 25 LPD. Elle reste inchan­gée sur le plan matériel. 

al. 1 Pro­cé­du­re de nomination La pro­cé­du­re de nomi­na­ti­on du pré­po­sé reste inchan­gée en ver­tu du para­gra­phe 1, car elle est com­pa­ti­ble avec les exi­gen­ces de la Direc­ti­ve (UE) 2016/680 et du E‑SEV 108 cor­re­spond à cel­le de l’ar­tic­le. Le site E‑SEV 108 ne con­ti­ent aucu­ne dis­po­si­ti­on rela­ti­ve au mode d’élec­tion ou de nomi­na­ti­on de l’au­to­ri­té de sur­veil­lan­ce. L’ar­tic­le 43 de la Direc­ti­ve (UE) 2016/680 obli­ge les États Schen­gen à régle­men­ter la pro­cé­du­re de nomi­na­ti­on, mais leur laisse le choix ent­re une nomi­na­ti­on par le par­le­ment, le gou­ver­ne­ment, le chef d’É­tat ou par une auto­ri­té indé­pen­dan­te. L’ar­tic­le 53 de la Règle­ment (UE) 2016/679 la même solu­ti­on est pré­vue pour les États mem­bres de l’U­ni­on euro­pé­en­ne. Le Con­seil fédé­ral a exami­né la pro­po­si­ti­on de plu­sieurs par­ti­ci­pan­ts à la con­sul­ta­ti­on d’in­tro­dui­re une élec­tion par le Par­le­ment. Il est par­ve­nu à la con­clu­si­on que cet­te modi­fi­ca­ti­on n’est pas appro­priée pour les rai­sons sui­van­tes. La pro­cé­du­re actu­el­le off­re des garan­ties suf­fi­san­tes d’in­dé­pen­dance du pré­po­sé par rap­port à l’exé­cu­tif. En effet, l’As­sem­blée fédé­ra­le peut refu­ser de don­ner son accord à sa nomi­na­ti­on. Le Con­seil fédé­ral n’est pas non plus con­vain­cu qu’u­ne élec­tion par le Par­le­ment ren­forcerait l’in­dé­pen­dance du ou de la préposé(e). En effet, elle pour­rait être influen­cée par des grou­pes d’in­té­rêts. En out­re, la nomi­na­ti­on par le Con­seil fédé­ral, sous réser­ve de l’ap­pro­ba­ti­on par le Par­le­ment, off­re la pos­si­bi­li­té au pré­po­sé de rester rat­ta­ché admi­ni­stra­ti­ve­ment à la Chan­cel­le­rie fédé­ra­le. Cela ne serait plus pos­si­ble en cas de nomi­na­ti­on par le Par­le­ment. Si le pré­po­sé ne fait plus par­tie de l’ad­mi­ni­stra­ti­on fédé­ra­le, il n’est pas exclu qu’il lui soit plus dif­fi­ci­le d’e­xer­cer une sur­veil­lan­ce sur les orga­nes fédé­raux et de les fai­re coopé­rer à une enquête. Enfin, si le pré­po­sé était élu par le Par­le­ment, il dev­rait éga­le­ment être finan­ciè­re­ment indé­pen­dant, à l’in­star du Con­trô­le fédé­ral des finan­ces par exemp­le. Ali­néa 3 Position La pre­miè­re phra­se de l’al. 3 con­cré­ti­se l’in­dé­pen­dance du pré­po­sé en pré­cisant qu’il ne peut solli­ci­ter ou rece­voir d’ins­truc­tions d’u­ne auto­ri­té ou d’un tiers. Cet­te modi­fi­ca­ti­on tient comp­te des exi­gen­ces de l’art. 12, al. 4 E‑SEV 108 et de l’ar­tic­le 42, para­gra­phes 1 et 2, de la Direc­ti­ve (UE) 2016/680qui est rédi­gé dans les mêmes ter­mes que l’ar­tic­le 52, para­gra­phes 1 et 2, de la direc­ti­ve sur l’é­ga­li­té racia­le. Règle­ment (UE) 2016/679. Ali­né­as 2, 4 et 5 Ces dis­po­si­ti­ons restent maté­ri­el­le­ment inchan­gées par rap­port au droit actuel (art. 26, al. 2, 4 et 5 LPD). Le pré­po­sé esti­me qu’en rai­son de sa fonc­tion de sur­veil­lan­ce, la régle­men­ta­ti­on de son bud­get dev­rait être ali­g­née sur cel­le du Con­trô­le fédé­ral des finances. 

Actu­el­le­ment, le pré­po­sé peut être réé­lu pour un nombre illi­mi­té de man­dats. Ce prin­ci­pe est repris au para­gra­phe 1 pour mett­re en œuvre les exi­gen­ces de l’ar­tic­le 44, para­gra­phe 1, point e), de la direc­ti­ve sur la pro­tec­tion des don­nées. Direc­ti­ve (UE) 2016/680 a été modi­fi­ée. Celui-ci pré­voit que les États Schen­gen doi­vent rég­ler si le ou les mem­bres de l’au­to­ri­té de con­trô­le peu­vent être recon­duits dans leurs fonc­tions et, dans l’af­fir­ma­ti­ve, à quel­le fré­quence. Con­for­mé­ment à cet­te dis­po­si­ti­on, les États Schen­gen ont donc le choix de déci­der si le man­dat de l’au­to­ri­té de sur­veil­lan­ce peut être renou­velé et à quel­le fré­quence. L’ar­tic­le 54, para­gra­phe 1, point e), de la Règle­ment (UE) 2016/679 con­ti­ent une dis­po­si­ti­on simi­lai­re. Con­for­mé­ment à la mar­ge de manœu­vre lais­sée par l’ar­tic­le 44 de la Direc­ti­ve (UE) 2016/680 le Con­seil fédé­ral pro­po­se que le man­dat du pré­po­sé soit renou­velé deux fois. Ce der­nier pour­ra donc rester en fonc­tion pen­dant dou­ze ans au maxi­mum. Cet­te mesu­re vise à ren­forcer l’in­dé­pen­dance du pré­po­sé en tant qu’­au­to­ri­té. Il ne doit pas être rete­nu dans l’ac­com­plis­se­ment de son man­dat légal par crain­te de ne pas être réé­lu. Si le pré­po­sé att­eint l’â­ge de la retrai­te pen­dant la durée de son man­dat, les rap­ports de tra­vail pren­nent auto­ma­ti­quement fin lorsqu’il att­eint l’â­ge pré­vu à l’art. 21 de la loi fédé­ra­le du 20 décembre 1946 sur l’assu­rance-vieil­les­se et sur­vi­vants (LAVS) (art. 10, al. 1, de la loi du 24 mars 2000 sur le per­son­nel de la Con­fé­dé­ra­ti­on (LPers) en rela­ti­on avec l’art. 14, al. 1, LPers). Les ali­né­as 2, 3 et 4 demeu­rent appli­ca­bles par rap­port à Artic­le 26a LPD maté­ri­el­le­ment inchangée. 

L’ar­tic­le 41 ren­force les con­di­ti­ons d’e­xer­ci­ce d’u­ne acti­vi­té acces­soire par le pré­po­sé. Cet­te dis­po­si­ti­on per­met de satis­fai­re aux exi­gen­ces de l’ar­tic­le 42, ali­néa 3, de la Direc­ti­ve (UE) 2016/680 qui a le même libel­lé que l’ar­tic­le 52, para­gra­phe 3, de la direc­ti­ve sur l’é­ga­li­té racia­le. Règle­ment (UE) 2016/679. Cet­te dis­po­si­ti­on ne s’ap­pli­que qu’au pré­po­sé ou à la pré­po­sée. Le sup­p­léant et le secré­ta­ri­at sont sou­mis à la LPers. Selon Artic­le 26b LPD pré­voit uni­quement que le Con­seil fédé­ral peut auto­ri­ser le pré­po­sé à exer­cer une aut­re acti­vi­té si cel­le-ci ne por­te pas att­ein­te à son indé­pen­dance ou à sa répu­ta­ti­on. L’art. 41, al. 1, pre­miè­re phra­se, pose en revan­che le prin­ci­pe selon lequel le pré­po­sé ne peut exer­cer aucu­ne acti­vi­té lucra­ti­ve sup­p­lé­men­tai­re. La deu­xiè­me phra­se pré­cise qu’il ne peut pas non plus occup­er une fonc­tion de la Con­fé­dé­ra­ti­on ou d’un can­ton. La noti­on de can­ton doit être com­pri­se dans un sens lar­ge et eng­lo­be éga­le­ment les com­mu­nes, les districts, les arron­dis­se­ments et les coll­ec­ti­vi­tés de droit public. L’a­li­néa 1, deu­xiè­me phra­se, pre­scrit en out­re que le pré­po­sé ne peut pas non plus être membre de la direc­tion, du con­seil d’ad­mi­ni­stra­ti­on ou de l’or­ga­ne de sur­veil­lan­ce ou de révi­si­on d’u­ne ent­re­pri­se com­mer­cia­le. Cela vaut indé­pen­dam­ment du fait qu’u­ne tel­le acti­vi­té soit rému­n­é­rée ou non. L’al. 2 limi­te la por­tée de l’al. 1. Il pré­voit que le Con­seil fédé­ral peut, à cer­tai­nes con­di­ti­ons, auto­ri­ser le pré­po­sé à exer­cer une acti­vi­té acces­soire. La décis­i­on du Con­seil fédé­ral est publiée. 

Cet­te dis­po­si­ti­on obli­ge le pré­po­sé à prend­re des mesu­res de con­trô­le appro­priées, notam­ment en ce qui con­cer­ne la sécu­ri­té des don­nées per­son­nel­les et l’exé­cu­ti­on con­for­me au droit des pre­scrip­ti­ons fédé­ra­les en matiè­re de pro­tec­tion des don­nées. Le Con­seil fédé­ral con­cré­ti­se­ra les mesu­res à prend­re dans la future ordonnance. 

En ver­tu de la légis­la­ti­on actu­el­le, la pro­cé­du­re dif­fè­re selon qu’el­le con­cer­ne l’ac­ti­vi­té de sur­veil­lan­ce du délé­gué dans le sec­teur pri­vé ou dans le sec­teur public. Alors que Artic­le 27 LPD con­fie au pré­po­sé la tâche de sur­veil­ler le trai­te­ment des don­nées par les orga­nes fédé­raux, l’art. 29, al. 1, let. a à c, LPD dis­po­se que ce der­nier ouvre une enquête cont­re une per­son­ne pri­vée lorsque des métho­des de trai­te­ment sont sus­cep­ti­bles de por­ter att­ein­te à la per­son­na­li­té d’un grand nombre de per­son­nes, de con­sti­tuer des fichiers con­for­mé­ment à la loi sur la pro­tec­tion des don­nées ou d’êt­re uti­li­sées à des fins sta­ti­sti­ques. Artic­le 11a LPD doi­vent être enre­gi­strés ou qu’il exi­ste une obli­ga­ti­on d’in­for­ma­ti­on au sens de l’ar­tic­le 6, para­gra­phe 3. Les com­pé­ten­ces de sur­veil­lan­ce du pré­po­sé à l’é­gard du sec­teur pri­vé ne répon­dent actu­el­le­ment pas aux exi­gen­ces du E‑SEV 108. Ain­si, son artic­le 12 ne pré­voit pas de limi­ta­ti­on des pou­voirs d’in­ve­sti­ga­ti­on et d’in­ter­ven­ti­on de l’au­to­ri­té de con­trô­le à l’é­gard des respons­ables de trai­te­ment. al. 1 Ouver­tu­re de l’enquête Selon l’art. 43, al. 1, P‑LPD, le pré­po­sé ouvre une enquête, d’of­fice ou sur dénon­cia­ti­on, lorsqu’il exi­ste des indi­ces qu’un trai­te­ment de don­nées pour­rait enfreind­re les pre­scrip­ti­ons sur la pro­tec­tion des don­nées. La dénon­cia­ti­on peut être fai­te par un tiers ou par la per­son­ne con­cer­née. La per­son­ne qui dénon­ce n’a tou­te­fois pas la qua­li­té de par­tie à la pro­cé­du­re (art. 46, al. 2, e con­tra­rio). En revan­che, si c’est la per­son­ne con­cer­née qui a por­té plain­te, le pré­po­sé doit l’in­for­mer de la suite de sa démar­che et du résul­tat d’u­ne éven­tu­el­le enquête (al. 4). La per­son­ne con­cer­née doit fai­re valoir ses droits par les voies de droit appli­ca­bles, c’est-à-dire qu’el­le peut inten­ter une action devant un tri­bu­nal civil si le responsable est une per­son­ne pri­vée ou fai­re recours cont­re la décis­i­on de l’or­ga­ne fédé­ral responsable. Cela cor­re­spond au droit en vigueur. al. 2 Renon­cia­ti­on à l’ou­ver­tu­re d’u­ne enquête Le pré­po­sé peut renon­cer à ouvr­ir une enquête si la vio­la­ti­on des règles de pro­tec­tion des don­nées est d’u­ne importance mineu­re. Ce serait par exemp­le le cas si une asso­cia­ti­on spor­ti­ve ou cul­tu­rel­le envoyait un mes­sa­ge élec­tro­ni­que à tous ses mem­bres sans dis­si­mu­ler l’i­den­ti­té des desti­na­tai­res. L’a­li­néa 2 peut éga­le­ment s’ap­pli­quer lorsque le pré­po­sé esti­me que les con­seils don­nés au responsable suf­fi­sent à remé­dier à une situa­ti­on qui ne pose guè­re de pro­blè­me en soi. al. 3 Obli­ga­ti­on de coopérer L’al. 3 règ­le les obli­ga­ti­ons de col­la­bo­rer de la per­son­ne pri­vée et de l’or­ga­ne fédé­ral en reprenant la régle­men­ta­ti­on pré­vue aux art. 27, al. 3, et 29, al. 2, LPD. La par­tie à la pro­cé­du­re doit four­nir au pré­po­sé tous les rens­eig­ne­ments et mett­re à sa dis­po­si­ti­on tous les docu­ments néces­saires. dont ce der­nier a beso­in pour son enquête. L’al. 3, 2e phra­se, stipu­le que le droit de refu­ser de four­nir des rens­eig­ne­ments est régi par les art. 16 et 17 PA. L’art. 16, al. 1, PA ren­voie à l’art. 42, al. 1 et 3, de la loi fédé­ra­le de pro­cé­du­re civi­le fédé­ra­le du 4 décembre 1947. Selon cet­te dis­po­si­ti­on, les per­son­nes inter­ro­gées peu­vent refu­ser de témoi­g­ner si la répon­se à la que­sti­on peut les expo­ser au ris­que de pour­suites péna­les. Il s’a­git des per­son­nes tenues de gar­der le secret en ver­tu des artic­les 321, 321 et 321 du code pénal. Ain­si, les méde­cins peu­vent par exemp­le refu­ser de four­nir au pré­po­sé des don­nées per­son­nel­les sur leurs pati­ents si ceux-ci n’y con­sen­tent pas. Il en va de même pour les avo­cats et leur cli­entèle. Artic­le 90 de la Règle­ment (UE) 2016/679 pré­voit éga­le­ment que les États mem­bres régle­men­tent les pou­voirs des auto­ri­tés de con­trô­le à l’é­gard des respons­ables du trai­te­ment ou des sous-trai­tants qui sont sou­mis au secret pro­fes­si­on­nel ou à une obli­ga­ti­on de secret équi­va­len­te en ver­tu du droit national. 

Cet­te dis­po­si­ti­on satis­fait aux exi­gen­ces de l’ar­tic­le 12, para­gra­phe 2, point a). E‑SEV 108qui pré­voit que l’au­to­ri­té de con­trô­le doit dis­po­ser de pou­voirs d’in­ve­sti­ga­ti­on et d’in­ter­ven­ti­on. De même, l’ar­tic­le 47, para­gra­phe 1, de la Direc­ti­ve (UE) 2016/680 dis­po­se que les États Schen­gen doi­vent pré­voir des pou­voirs d’en­quête effec­tifs pour l’au­to­ri­té de con­trô­le, notam­ment le pou­voir d’ob­te­nir du responsable du trai­te­ment l’ac­cès à tou­tes les don­nées trai­tées et à tou­tes les infor­ma­ti­ons néces­saires à l’ac­com­plis­se­ment de ses tâches. Le site Règle­ment (UE) 2016/679 pré­voit à son tour une régle­men­ta­ti­on ana­lo­gue à l’ar­tic­le 58, para­gra­phe 1, points e) et f). Al. 1 Mesu­res d’instruction Les mesu­res visées à l’al. 1 ne peu­vent être ordon­nées que si une enquête a été ouver­te et dans la mesu­re où la per­son­ne pri­vée ou l’or­ga­ne fédé­ral ne rem­plit pas son obli­ga­ti­on de col­la­bo­rer. En d’aut­res ter­mes, le pré­po­sé ne peut ordon­ner les mesu­res pré­vues aux let. a à d que s’il a ten­té en vain d’ob­te­nir la col­la­bo­ra­ti­on du responsable. La liste des mesu­res visées à l’al. 1 est iden­tique à cel­le pré­vue à l’al. 2. Artic­le 12 PA. Il s’a­git d’u­ne liste non exhaus­ti­ve. Le pré­po­sé est notam­ment auto­ri­sé à deman­der l’ac­cès à tous les rens­eig­ne­ments, docu­ments, listes de trai­te­ment et don­nées per­son­nel­les néces­saires à l’en­quête (let. a) ou à deman­der l’ac­cès à des locaux et instal­la­ti­ons (let. b). Com­me tou­tes les auto­ri­tés fédé­ra­les, il doit respec­ter les dis­po­si­ti­ons léga­les en vigueur, notam­ment cel­les rela­ti­ves à la pro­tec­tion des don­nées et au respect des secrets de fab­ri­ca­ti­on et d’af­fai­res. Il est en out­re sou­mis au secret de fonc­tion con­for­mé­ment à l’art. 22 LPers. Par con­sé­quent, le trai­te­ment con­fi­den­tiel des don­nées per­son­nel­les aux­quel­les il a accès dans l’e­xer­ci­ce de ses tâches de sur­veil­lan­ce est garan­ti, notam­ment lorsqu’il infor­me la per­son­ne dénon­cia­tri­ce du résul­tat d’u­ne éven­tu­el­le enquête (art. 43 al. 4) ou lorsqu’il publie son rap­port d’ac­ti­vi­té con­for­mé­ment à l’art. 51 P‑LPD. Al. 2 Mesu­res provisoires Cet­te dis­po­si­ti­on con­fè­re au pré­po­sé le pou­voir d’or­don­ner des mesu­res pro­vi­si­on­nel­les pour la durée de l’en­quête et de les fai­re exé­cu­ter par une auto­ri­té fédé­ra­le ou par les orga­nes de poli­ce can­tonaux ou com­munaux. La loi actu­el­le­ment en vigueur Artic­le 33, deu­xiè­me ali­néa, LPD pré­voit que le pré­po­sé peut deman­der au pré­si­dent de la cour com­pé­ten­te en matiè­re de pro­tec­tion des don­nées du Tri­bu­nal admi­ni­stra­tif fédé­ral de prend­re des mesu­res pro­vi­si­on­nel­les s’il con­sta­te, lors d’u­ne enquête menée cont­re une per­son­ne pri­vée ou cont­re un orga­ne fédé­ral, que les per­son­nes con­cer­nées ris­quent de subir un pré­ju­di­ce dif­fi­ci­le­ment répa­ra­ble. Etant don­né que l’art. 45 P‑LPD con­fè­re au pré­po­sé des com­pé­ten­ces décis­i­on­nel­les, le Tri­bu­nal admi­ni­stra­tif fédé­ral n’est plus néces­saire pour ordon­ner des mesu­res pro­vi­si­on­nel­les et la dis­po­si­ti­on cor­re­spond­an­te peut par con­sé­quent être sup­p­ri­mée. La pro­cé­du­re de recours cont­re les mesu­res pro­vi­si­on­nel­les est régie par les art. 44 ss. PA. L’ef­fet sus­pen­sif du recours est sup­p­ri­mé par Artic­le 55 PA sont réglés. Les nou­veaux pou­voirs d’en­quête du pré­po­sé ont été défi­nis au regard de l’ar­tic­le 45 de la Règle­ment (UE) 2016/679 un élé­ment décisif pour garan­tir que la Com­mis­si­on euro­pé­en­ne renou­vel­le ou main­ti­en­ne la décis­i­on d’a­dé­qua­ti­on à l’é­gard de la Suisse. 

L’ar­tic­le 45 P‑LPD met en œuvre l’ar­tic­le 47, para­gra­phe 2, de la direc­ti­ve sur la pro­tec­tion des don­nées. Direc­ti­ve (UE) 2016/680 et répond aux recom­man­da­ti­ons des éva­lua­teurs Schen­gen d’at­tri­buer des com­pé­ten­ces décis­i­on­nel­les au délé­gué. L’ar­tic­le 58, para­gra­phe 2, de la Règle­ment (UE) 2016/679 énumè­re tou­tes les com­pé­ten­ces en matiè­re de mesu­res dont dev­rait dis­po­ser l’au­to­ri­té de sur­veil­lan­ce. Out­re les mesu­res pré­vues à l’ar­tic­le 47, para­gra­phe 2, de la Direc­ti­ve (UE) 2016/680 l’or­don­nan­ce pré­voit notam­ment l’im­po­si­ti­on d’a­men­des admi­ni­stra­ti­ves (art. 58, al. 2, let. i) et l’ord­re de sus­pend­re la trans­mis­si­on de don­nées à un desti­na­tai­re dans un pays tiers ou à une orga­ni­sa­ti­on inter­na­tio­na­le (let. j). L’art. 45 P‑LPD cor­re­spond dans une lar­ge mesu­re aux exi­gen­ces de l’art. 12, al. 2, let. c, et al. 6, P‑SEV108 . Tou­te­fois, le Con­seil fédé­ral pro­po­se de ne pas don­ner au pré­po­sé la com­pé­tence de pro­non­cer des sanc­tions admi­ni­stra­ti­ves, mais plutôt cel­le d’or­don­ner cer­tai­nes mesu­res admi­ni­stra­ti­ves dont le non-respect peut être sanc­tion­né péna­le­ment (art. 57 P‑LPD). L’ar­tic­le 45 P‑LPD laisse une gran­de mar­ge de manœu­vre au pré­po­sé. En effet, il s’a­git d’u­ne dis­po­si­ti­on pote­sta­ti­ve et il n’est pas tenu de prend­re des mesu­res admi­ni­stra­ti­ves. La dis­po­si­ti­on com­prend deux caté­go­ries de mesu­res. La pre­miè­re caté­go­rie con­si­ste en une série de mesu­res cont­re les trai­te­ments de don­nées qui enfr­eig­n­ent les pre­scrip­ti­ons en matiè­re de pro­tec­tion des don­nées (al. 1, 2 et 4). Ces mesu­res vont du simp­le aver­tis­se­ment (al. 4) à l’in­ter­dic­tion de com­mu­ni­quer des don­nées per­son­nel­les à l’étran­ger (al. 2), en pas­sant par la décis­i­on de détrui­re des don­nées per­son­nel­les (al. 1). Le prin­ci­pe de cet­te régle­men­ta­ti­on est le respect de la pro­por­ti­on­na­li­té. Ain­si, au lieu d’or­don­ner l’in­ter­rup­ti­on du trai­te­ment, le pré­po­sé peut ordon­ner sa modi­fi­ca­ti­on et limi­ter la mesu­re à la par­tie du trai­te­ment qui pose pro­blè­me. Si, en cours d’en­quête, la par­tie à la pro­cé­du­re d’en­quête a pris les mesu­res néces­saires pour réta­b­lir le respect des règles de pro­tec­tion des don­nées, le pré­po­sé peut éga­le­ment se limi­ter à pro­non­cer un aver­tis­se­ment (al. 4). La deu­xiè­me caté­go­rie de mesu­res con­cer­ne les cas où les pre­scrip­ti­ons d’ord­re ou les obli­ga­ti­ons envers la per­son­ne con­cer­née ne sont pas respec­tées (al. 3). Le pré­po­sé peut notam­ment ordon­ner à l’or­ga­ne fédé­ral ou à la per­son­ne pri­vée de pro­cé­der à une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées con­for­mé­ment à l’art. 20 (let. d) ou de four­nir à la per­son­ne con­cer­née les rens­eig­ne­ments visés à l’art. 23 (let. g). La liste figu­rant à l’al. 3 n’est pas exhaus­ti­ve. Le pré­po­sé infor­me exclu­si­ve­ment les par­ties à la pro­cé­du­re d’en­quête de sa décis­i­on. Le cas échéant, il infor­me le public con­for­mé­ment à l’art. 51, al. 2, P‑LPD. La mesu­re pri­se doit être suf­fi­sam­ment moti­vée. Le responsable doit notam­ment être en mesu­re de déter­mi­ner quels trai­te­ments de don­nées relè­vent de la décis­i­on du pré­po­sé. Les par­ties con­cer­nées ont le droit de recour­ir con­for­mé­ment aux dis­po­si­ti­ons géné­ra­les de la pro­cé­du­re fédé­ra­le (cf. art. 46). Le cas échéant, le pré­po­sé peut assor­tir la mesu­re déci­dée à l’en­cont­re du responsable d’u­ne men­ace de sanc­tion (art. 57). 

Selon l’al. 1, la pro­cé­du­re d’en­quête ain­si que cel­le visa­nt à prend­re les mesu­res pré­vues aux art. 44 et 45 sont sou­mi­ses à la loi sur la pro­cé­du­re admi­ni­stra­ti­ve. La per­son­ne pri­vée ou l’or­ga­ne fédé­ral qui est par­tie à l’en­quête a le droit d’êt­re enten­du (art. 29 ss PA). L’al. 2 pré­cise que seul l’or­ga­ne fédé­ral ou la per­son­ne pri­vée cont­re lequel/laquelle une enquête a été ouver­te peut être par­tie à la pro­cé­du­re. En con­sé­quence, seuls ces der­niers peu­vent recour­ir cont­re les décis­i­ons et les mesu­res pri­ses à leur encont­re par le pré­po­sé. La per­son­ne con­cer­née n’est pas par­tie à l’en­quête, même si le pré­po­sé l’a ouver­te suite à sa dénon­cia­ti­on. Si elle sou­hai­te fai­re valoir des droits juri­di­ques cont­re un responsable pri­vé, elle doit le fai­re con­for­mé­ment à l’ar­tic­le 28 P‑LPD, c’est-à-dire devant le tri­bu­nal civil com­pé­tent. Dans le sec­teur public, la per­son­ne con­cer­née doit agir cont­re l’or­ga­ne fédé­ral responsable (art. 37) en con­te­stant sa décis­i­on auprès de l’in­stance de recours com­pé­ten­te. Cet­te dis­po­si­ti­on reste inchan­gée par rap­port au droit en vigueur. Selon l’al. 3, le pré­po­sé peut con­te­ster les décis­i­ons sur recours du Tri­bu­nal admi­ni­stra­tif fédé­ral, com­me il peut déjà le fai­re actu­el­le­ment en ver­tu des art. 27, al. 6, et 29, al. 4, LPD. 

Cer­tai­nes auto­ri­tés fédé­ra­les sur­veil­lent des par­ti­cu­liers ou des orga­ni­sa­ti­ons exté­ri­eu­res à l’ad­mi­ni­stra­ti­on fédé­ra­le. C’est par exemp­le le cas de l’Of­fice fédé­ral de la san­té publi­que pour les assu­ran­ces-mala­die ou de l’Au­to­ri­té fédé­ra­le de sur­veil­lan­ce des mar­chés finan­ciers (FINMA) pour les ban­ques ou aut­res pre­sta­tai­res de ser­vices finan­ciers. Le ter­me “orga­ni­sa­ti­ons exté­ri­eu­res à l’ad­mi­ni­stra­ti­on fédé­ra­le” cor­re­spond à la dési­gna­ti­on uti­li­sée à l’art. 1, al. 2, let. e, PA. Dans le cad­re d’u­ne pro­cé­du­re de sur­veil­lan­ce qui peut éven­tu­el­le­ment about­ir à une décis­i­on de l’au­to­ri­té com­pé­ten­te, des que­sti­ons rela­ti­ves à la pro­tec­tion des don­nées peu­vent se poser. Pour tenir comp­te de cet­te pro­blé­ma­tique, l’al. 1 pré­voit que l’au­to­ri­té de sur­veil­lan­ce invi­te le pré­po­sé à prend­re posi­ti­on. Si le pré­po­sé a éga­le­ment ouvert une pro­cé­du­re au sens de l’art. 43 P‑LPD cont­re la même par­tie, l’au­to­ri­té de sur­veil­lan­ce et le pré­po­sé doi­vent se coor­don­ner à deux niveaux (al. 2) : D’u­ne part, pour déter­mi­ner si les deux pro­cé­du­res peu­vent être menées en par­al­lè­le ou si l’u­ne des pro­cé­du­res doit être sus­pen­due ou arrê­tée et, d’aut­re part, pour le con­te­nu de leur décis­i­on respec­ti­ve si les pro­cé­du­res sont menées en par­al­lè­le. En cas de con­flit de com­pé­ten­ces, c’est le Con­seil fédé­ral qui déci­de (art. 9, al. 3, PA). La coor­di­na­ti­on doit être assu­rée de maniè­re simp­le et rapi­de. Les enti­tés con­cer­nées doi­vent être infor­mées de l’issue de cet­te coor­di­na­ti­on et de la légis­la­ti­on appli­ca­ble, afin qu’el­les soi­ent au plus vite au clair sur leurs droits et obligations. 

D a nou­vel­le dis­po­si­ti­on règ­le l’en­trai­de admi­ni­stra­ti­ve ent­re le pré­po­sé et les auto­ri­tés de la Con­fé­dé­ra­ti­on et des can­tons. L’art. 31, al. 1, let. c, LPD actu­el­le­ment en vigueur se limi­te à obli­ger le pré­po­sé à col­la­bo­rer avec les auto­ri­tés sui­s­ses de pro­tec­tion des don­nées. L’a­li­néa 1 du nou­vel artic­le pose le prin­ci­pe selon lequel les auto­ri­tés sui­s­ses et can­to­na­les doi­vent com­mu­ni­quer au pré­po­sé les infor­ma­ti­ons et les don­nées per­son­nel­les qui sont néces­saires à l’ac­com­plis­se­ment de ses tâches léga­les. Il s’a­git d’u­ne dis­po­si­ti­on stan­dard rela­ti­ve à l’as­si­stance admi­ni­stra­ti­ve, que l’on retrouve éga­le­ment dans de nombreu­ses aut­res lois fédé­ra­les. L’al. 2 dis­po­se que le pré­po­sé doit com­mu­ni­quer des infor­ma­ti­ons et des don­nées aux auto­ri­tés can­to­na­les com­pé­ten­tes en matiè­re de pro­tec­tion des don­nées (let. a), aux auto­ri­tés péna­les com­pé­ten­tes s’il s’a­git de dénon­cer une infrac­tion au sens de l’art. 59, al. 2, P‑LPD (let. b) et aux auto­ri­tés fédé­ra­les ain­si qu’aux auto­ri­tés de poli­ce can­to­na­les et com­mu­na­les pour l’exé­cu­ti­on des mesu­res pré­vues aux art. 44, al. 2, et 45 P‑LPD (let. c). La com­mu­ni­ca­ti­on des infor­ma­ti­ons visées aux al. 1 et 2 peut se fai­re spon­ta­né­ment ou sur demande. 

Cet­te nou­vel­le dis­po­si­ti­on règ­le l’en­trai­de admi­ni­stra­ti­ve ent­re le pré­po­sé et les auto­ri­tés étran­gè­res de pro­tec­tion des don­nées. L’art. 31, al. 1, let. c, LPD actu­el­le­ment en vigueur se limi­te à obli­ger le pré­po­sé à col­la­bo­rer avec les auto­ri­tés étran­gè­res de pro­tec­tion des don­nées. La nou­vel­le dis­po­si­ti­on trans­fè­re l’art. 50 de la Direc­ti­ve (UE) 2016/680 dans le droit sui­s­se. Elle répond en out­re aux exi­gen­ces des artic­les 15 et 16 E‑SEV 108. Le site Règle­ment (UE) 2016/679 pré­voit une régle­men­ta­ti­on ana­lo­gue à l’ar­tic­le 61. Le pré­po­sé aurait été favorable à un com­plé­ment de la dis­po­si­ti­on l’ha­bi­li­tant à rég­ler les moda­li­tés de la col­la­bo­ra­ti­on avec les auto­ri­tés étran­gè­res de pro­tec­tion des don­nées dans le cad­re d’un accord. Le Con­seil fédé­ral pré­fè­re en revan­che s’en tenir à la délé­ga­ti­on de com­pé­tence pré­vue à l’art. 61 P‑LPD. Ali­néa 1 Conditions Selon cet­te dis­po­si­ti­on, le pré­po­sé peut, à cer­tai­nes con­di­ti­ons (let. a à e), éch­an­ger des infor­ma­ti­ons ou des don­nées per­son­nel­les avec des auto­ri­tés étran­gè­res com­pé­ten­tes en matiè­re de pro­tec­tion des don­nées pour l’ac­com­plis­se­ment de leurs tâches respec­ti­ves pré­vues par la loi dans le domaine de la pro­tec­tion des don­nées. Selon la pre­miè­re con­di­ti­on (let. a), la récipro­ci­té de l’en­trai­de admi­ni­stra­ti­ve en matiè­re de pro­tec­tion des don­nées doit être garan­tie ent­re la Sui­s­se et l’E­tat étran­ger. Deu­xiè­me­ment, en ver­tu du prin­ci­pe de spé­cia­li­té, les infor­ma­ti­ons et les don­nées per­son­nel­les échan­gées ne peu­vent être uti­li­sées que pour la pro­cé­du­re de pro­tec­tion des don­nées en que­sti­on, qui est à l’o­ri­gi­ne de la deman­de d’as­si­stance admi­ni­stra­ti­ve (let. b). Si les don­nées doi­vent ensuite être uti­li­sées dans une pro­cé­du­re péna­le, les prin­cipes de l’en­trai­de judi­ciai­re inter­na­tio­na­le en matiè­re péna­le s’ap­pli­quent. La troi­siè­me et la qua­triè­me con­di­ti­on garan­tis­sent le respect du secret pro­fes­si­on­nel et du secret d’af­fai­res et de fab­ri­ca­ti­on (let. c) et inter­di­sent que les infor­ma­ti­ons et les don­nées per­son­nel­les soi­ent com­mu­ni­quées sans l’au­to­ri­sa­ti­on pré­alable de l’au­to­ri­té qui les a trans­mi­ses (let. d). Enfin, l’au­to­ri­té desti­na­tai­re doit respec­ter les con­di­ti­ons et les rest­ric­tions impo­sées par l’au­to­ri­té qui lui a trans­mis les infor­ma­ti­ons et les don­nées per­son­nel­les (let. e). Le pré­po­sé peut par exemp­le refu­ser la deman­de d’as­si­stance admi­ni­stra­ti­ve d’u­ne auto­ri­té étran­gè­re si les con­di­ti­ons de l’art. 13 P‑LPD ne sont pas respec­tées ou si l’un des motifs pré­vus à l’art. 32, al. 6, P‑LPD s’op­po­se à la com­mu­ni­ca­ti­on de don­nées per­son­nel­les. Ali­néa 2 Com­mu­ni­ca­ti­on de don­nées personnelles L’al. 2, let. a à g, défi­nit les infor­ma­ti­ons que le pré­po­sé peut com­mu­ni­quer à l’au­to­ri­té étran­gè­re pour moti­ver sa deman­de d’as­si­stance admi­ni­stra­ti­ve ou pour don­ner suite à la deman­de d’u­ne auto­ri­té étran­gè­re. Pour pou­voir trans­mett­re l’i­den­ti­té des per­son­nes con­cer­nées, le pré­po­sé doit obte­nir le con­sen­te­ment de cha­cu­ne d’ent­re elles (let. c). Les exi­gen­ces de l’art. 5, al. 6, P‑LPD s’ap­pli­quent au con­sen­te­ment (al. 2, let. c, ch. 1). Sans con­sen­te­ment, l’i­den­ti­té ne peut être com­mu­ni­quée que si cela est indis­pensable à l’ac­com­plis­se­ment des tâches léga­les du pré­po­sé ou de l’au­to­ri­té étran­gè­re (al. 2, let. c, ch. 2). Ces con­di­ti­ons cor­re­spon­dent à cel­les pré­vues à l’art. 32, al. 2, let. a et b, P‑LPD. al. 3 Avis Avant de com­mu­ni­quer à une auto­ri­té étran­gè­re com­pé­ten­te en matiè­re de pro­tec­tion des don­nées, dans le cad­re d’u­ne pro­cé­du­re d’as­si­stance admi­ni­stra­ti­ve, des infor­ma­ti­ons sus­cep­ti­bles de con­te­nir des secrets pro­fes­si­on­nels, d’af­fai­res ou de fab­ri­ca­ti­on, le pré­po­sé infor­me les per­son­nes con­cer­nées et les invi­te à prend­re posi­ti­on. Il est tou­te­fois dis­pen­sé de cet­te obli­ga­ti­on lorsque l’in­for­ma­ti­on n’est pas pos­si­ble ou qu’el­le ent­raî­ne un sur­croît de tra­vail disproportionné. 

La dis­po­si­ti­on pré­voit que le pré­po­sé tien­ne un regist­re des acti­vi­tés de trai­te­ment des don­nées qui lui sont annon­cées par les orga­nes fédé­raux (art. 11, al. 4). Ce regist­re doit être publié, com­me c’est le cas actuellement. 

Hor­mis le fait que le pré­po­sé doit désor­mais sou­mett­re chaque année un rap­port d’ac­ti­vi­té à l’As­sem­blée fédé­ra­le et au Con­seil fédé­ral, l’al. 1 cor­re­spond à l’ac­tuel Artic­le 30, pre­mier ali­néa, LPD. L’a­li­néa 2 ren­force l’in­for­ma­ti­on acti­ve par le pré­po­sé. Celui-ci infor­me le public de ses con­sta­ta­ti­ons et de ses décis­i­ons lorsqu’un inté­rêt public géné­ral le justi­fie. L’art. 30, al. 2, 2e phra­se, LPD est abro­gé. En tant qu’in­stance indé­pen­dan­te, le pré­po­sé doit pou­voir déter­mi­ner lui-même ce dont il infor­me le public. Les don­nées doi­vent être ren­dues anony­mes, à moins qu’un inté­rêt public prépon­dé­rant ne justi­fie leur com­mu­ni­ca­ti­on (art. 32, al. 3 et 5, P‑LPD). En out­re, les con­di­ti­ons de l’ar­tic­le 32, para­gra­phe 6E-LPD s’ap­pli­quent. L’ob­li­ga­ti­on pour l’au­to­ri­té de con­trô­le d’é­ta­b­lir un rap­port d’ac­ti­vi­té est pré­vue à l’ar­tic­le 49 de la Direc­ti­ve (UE) 2016/680 et à l’ar­tic­le 12, para­gra­phe 5E‑SEV 108 est pré­vu. Le site Règle­ment (UE) 2016/679 con­ti­ent une règ­le ana­lo­gue à l’ar­tic­le 59. 

Afin de respec­ter l’ar­tic­le 46, para­gra­phe 1, points d) et e), de la direc­ti­ve Direc­ti­ve (UE) 2016/680 la liste des com­pé­ten­ces du pré­po­sé est allo­n­gée par rap­port au droit en vigueur (Art. 31 LPD) ont été com­plé­tées. Les nou­vel­les tâches répon­dent en out­re aux exi­gen­ces de l’ar­tic­le 12, para­gra­phe 2, point e). E‑SEV 108. Selon l’al. 1, le pré­po­sé a notam­ment pour tâche d’in­for­mer, de for­mer et de con­seil­ler les orga­nes fédé­raux ain­si que les per­son­nes pri­vées sur les que­sti­ons de pro­tec­tion des don­nées. Cela com­prend éga­le­ment des séan­ces d’in­for­ma­ti­on ou des for­ma­ti­ons con­ti­nues appro­priées, notam­ment pour les respons­ables du sec­teur public (let. a). Une aut­re tâche con­si­ste à sen­si­bi­li­ser le public, en par­ti­cu­lier les per­son­nes vul­né­ra­bles com­me les mineurs ou les per­son­nes âgées, à la pro­tec­tion des don­nées (let. c). En out­re, il four­nit sur deman­de aux per­son­nes con­cer­nées des infor­ma­ti­ons sur la maniè­re d’e­xer­cer leurs droits (let. d). Selon la let. e, le pré­po­sé doit être con­sul­té sur tous les pro­jets d’ac­tes légis­la­tifs et de mesu­res de la Con­fé­dé­ra­ti­on qui con­cer­nent le trai­te­ment des don­nées, et pas seu­le­ment sur ceux qui tou­ch­ent de maniè­re importan­te à la pro­tec­tion des don­nées. Cet­te modi­fi­ca­ti­on cor­re­spond à la pra­tique actu­el­le. La let. g pré­voit que le pré­po­sé éla­bo­re en out­re des gui­des et des instru­ments de tra­vail à l’in­ten­ti­on des respons­ables, des per­son­nes qui trai­tent les man­dats et des per­son­nes con­cer­nées. Aujour­d’hui, il assu­me déjà cet­te tâche dans le cad­re de son acti­vi­té de con­seil (art. 28, 30 et 31 LPD). Il est en out­re pré­cisé qu’il tient comp­te des spé­ci­fi­ci­tés des dif­fér­ents domain­es de trai­te­ment des don­nées ain­si que du beso­in de pro­tec­tion accru des per­son­nes par­ti­cu­liè­re­ment vul­né­ra­bles tel­les que les mineurs, les per­son­nes han­di­ca­pées ou les per­son­nes âgées. L’a­li­néa 2 cor­re­spond Artic­le 31, deu­xiè­me ali­néa, LPD. Sup­pres­si­on de Art. 33 LPD Cet­te dis­po­si­ti­on peut être abro­gée. L’al. 1, qui pré­voit que les voies de droit sont régies par les dis­po­si­ti­ons géné­ra­les de la pro­cé­du­re fédé­ra­le, n’a qu’u­ne valeur décla­ra­toire. Quant à l’al. 2, il est super­flu en rai­son de l’art. 44, al. 2, P‑LPD.

Con­for­mé­ment à l’ar­tic­le 33, 1er ali­néa, OLPD, un émo­lu­ment est per­çu pour les exper­ti­ses du pré­po­sé aux per­son­nes pri­vées. Les dis­po­si­ti­ons de l’or­don­nan­ce géné­ra­le sur les émo­lu­men­ts du 8 sep­tembre 2004 (OGE­mol) sont appli­ca­bles. Selon l’al. 1, le prin­ci­pe selon lequel le pré­po­sé doit per­ce­voir un émo­lu­ment pour cer­tai­nes pre­sta­ti­ons four­nies à des per­son­nes pri­vées est ancré au niveau de la loi. Il s’a­git notam­ment de la pri­se de posi­ti­on sur un code de con­duite (let. a), de l’ap­pro­ba­ti­on de clau­ses stan­dard de pro­tec­tion des don­nées et de dis­po­si­ti­ons con­traignan­tes de pro­tec­tion des don­nées inter­nes à l’entre­pri­se (let. b), de la con­sul­ta­ti­on sur la base d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées (let. c), des mesu­res pré­vues aux art. 44, al. 2, et 45 P‑LPD (let. d) et des con­seils en matiè­re de pro­tec­tion des don­nées (let. e). Inver­se­ment, il découle de l’al. 1 qu’au­cun émo­lu­ment n’est per­çu pour une enquête clôtu­rée sans que des mesu­res pro­vi­si­on­nel­les ou admi­ni­stra­ti­ves aient été ordon­nées. L’a­li­néa 2 char­ge le Con­seil fédé­ral de déter­mi­ner le mon­tant des émo­lu­men­ts. Con­for­mé­ment aux exi­gen­ces de Artic­le 46a, ali­néa 1, LOGA il ne peut per­ce­voir des émo­lu­men­ts que pour les opé­ra­ti­ons visées à l’art. 53, al. 1, P‑LPD. En out­re, il doit fixer le mon­tant des émo­lu­men­ts de maniè­re à ce qu’ils cou­vrent les coûts des opé­ra­ti­ons (prin­ci­pe de la cou­ver­tu­re des coûts). Il n’est donc pas pré­vu de finan­cer l’en­sem­ble des acti­vi­tés du pré­po­sé par des émo­lu­men­ts. Seuls les coûts des pre­sta­ti­ons visées à l’al. 1 doi­vent être cou­verts. En ce qui con­cer­ne la régle­men­ta­ti­on du tarif, le Con­seil fédé­ral peut fixer un tarif for­fai­taire ou un taux horai­re en fonc­tion de la pre­sta­ti­on. Selon l’al. 3, le Con­seil fédé­ral peut en out­re défi­nir les cas dans les­quels il est pos­si­ble de renon­cer à la per­cep­ti­on d’un émo­lu­ment ou de le rédui­re. Il est par exemp­le pos­si­ble de renon­cer à la per­cep­ti­on d’un émo­lu­ment lorsque la pre­sta­ti­on pré­sen­te un inté­rêt public prépon­dé­rant et qu’el­le con­tri­bue au respect de la pro­tec­tion des don­nées. L’art. 3, al. 2, let. a, OGE­mol con­ti­ent une solu­ti­on simi­lai­re. Le pré­po­sé peut éga­le­ment dif­fé­rer, rédui­re ou remett­re l’é­mo­lu­ment lorsque le responsable du trai­te­ment ou le sous-trai­tant est une per­son­ne phy­si­que ou une peti­te ou moy­enne ent­re­pri­se. Les émo­lu­men­ts ne sont per­çus qu’à l’é­gard des per­son­nes pri­vées. L’ar­tic­le 3, para­gra­phe 1, de l’O­GE­mol est appli­ca­ble en ce qui con­cer­ne les con­seils four­nis aux auto­ri­tés can­to­na­les : L’ad­mi­ni­stra­ti­on fédé­ra­le ne per­çoit pas d’é­mo­lu­men­ts auprès des orga­nes inter­can­tonaux, des can­tons et des com­mu­nes, dans la mesu­re où ceux-ci accor­dent la récipro­ci­té. Les pre­sta­ti­ons four­nies aux orga­nes de la Con­fé­dé­ra­ti­on et des can­tons sont gra­tui­tes. Suite à de nombreu­ses pri­ses de posi­ti­on cri­ti­ques sur l’a­vant-pro­jet, le Con­seil fédé­ral a fon­da­men­ta­le­ment rema­nié les dis­po­si­ti­ons péna­les. Lors de la pro­cé­du­re de con­sul­ta­ti­on, il a été deman­dé (en se réfé­rant à la Règle­ment [UE] 2016/679) a deman­dé l’in­tro­duc­tion de sanc­tions admi­ni­stra­ti­ves finan­ciè­res. Les sanc­tions admi­ni­stra­ti­ves finan­ciè­res à carac­tère puni­tif sont tou­te­fois une excep­ti­on en Sui­s­se. Elles relè­vent clas­si­quement des domain­es dans les­quels les ent­re­pri­ses sont sou­mi­ses à une sur­veil­lan­ce admi­ni­stra­ti­ve par­ce qu’el­les exer­cent une acti­vi­té éco­no­mi­que pour laquel­le elles ont beso­in d’u­ne con­ce­s­si­on ou d’u­ne auto­ri­sa­ti­on ou pour laquel­le elles reçoi­vent des sub­ven­ti­ons de l’É­tat (par exemp­le dans le sec­teur postal ou pour les jeux d’ar­gent). Elles ont en out­re été intro­dui­tes dans le droit des car­tels à une épo­que où le CP ne pré­voyait pas enco­re de punis­sa­bi­li­té des ent­re­pri­ses. Ces sanc­tions admi­ni­stra­ti­ves finan­ciè­res ont un carac­tère pénal, rai­son pour laquel­le cer­tai­nes garan­ties en matiè­re de pro­cé­du­re péna­le doi­vent être respec­tées. La pro­cé­du­re admi­ni­stra­ti­ve appli­ca­ble en prin­ci­pe ne règ­le tou­te­fois pas ces que­sti­ons. Il s’a­git en out­re, avec de tel­les sanc­tions, d’u­ne impu­ta­ti­on direc­te de la fau­te d’au­trui à une ent­re­pri­se. C’est ce que le légis­la­teur a vou­lu fai­re avec la punis­sa­bi­li­té des ent­re­pri­ses selon le Artic­le 102 du code pénal mais reje­té : la responsa­bi­li­té selon Artic­le 102 du code pénal n’est pas une responsa­bi­li­té cau­sa­le ou objec­ti­ve, mais exi­ge une fau­te d’or­ga­ni­sa­ti­on spé­ci­fi­que. L’in­tro­duc­tion de sanc­tions admi­ni­stra­ti­ves péna­les dans la LPD rela­ti­vi­se­rait for­te­ment cet­te décis­i­on de prin­ci­pe du droit pénal par la por­te déro­bée du droit admi­ni­stra­tif. Dans le domaine de la pro­tec­tion des don­nées, de tel­les sanc­tions admi­ni­stra­ti­ves serai­ent en out­re par­ti­cu­liè­re­ment déli­ca­tes. Le champ d’ap­pli­ca­ti­on per­son­nel de la LPD est net­te­ment plus lar­ge que celui des lois dans les domain­es où l’on trouve clas­si­quement des sanc­tions admi­ni­stra­ti­ves finan­ciè­res et où l’ac­ti­vi­té éco­no­mi­que est exer­cée par des ent­re­pri­ses. La LPD s’adres­se cer­tes aus­si aux gran­des ent­re­pri­ses, mais elle cou­vre éga­le­ment les PME et les per­son­nes phy­si­ques. En l’ab­sence d’un droit pro­cé­du­ral codi­fié pour les sanc­tions admi­ni­stra­ti­ves à carac­tère pénal, la posi­ti­on pro­cé­du­ra­le des per­son­nes phy­si­ques ris­quer­ait notam­ment d’êt­re affai­blie. Ceci est d’autant plus vrai qu’il exi­ste des dif­fé­ren­ces de droit pro­cé­du­ral ent­re les per­son­nes mora­les et les per­son­nes phy­si­ques en matiè­re de droit pénal acces­soire. En résu­mé, l’in­tro­duc­tion de sanc­tions admi­ni­stra­ti­ves finan­ciè­res dans la LPD cré­erait une gran­de insé­cu­ri­té juri­di­que, ce qui n’est guè­re défen­da­ble (pas seu­le­ment dans le domaine de la pro­tec­tion des don­nées). C’est pour­quoi le Con­seil fédé­ral sou­hai­te s’ap­puy­er sur des struc­tures éta­b­lies avec une pra­tique con­so­li­dée. En Sui­s­se, le respect des obli­ga­ti­ons fon­da­men­ta­les de droit admi­ni­stra­tif est assu­ré par le droit pénal admi­ni­stra­tif ou le droit pénal acces­soire. Les desti­na­tai­res de la nor­me sont des per­son­nes phy­si­ques. Bien que l’ob­li­ga­ti­on de droit admi­ni­stra­tif incom­be à l’entre­pri­se, sa vio­la­ti­on est impu­tée aux diri­geants (cf. Art. 29 du Code pénal et l’art. 6 DPA). La crain­te expri­mée lors de la con­sul­ta­ti­on que n’im­por­te quel employé d’u­ne ent­re­pri­se pui­s­se être sanc­tion­né s’a­vè­re donc infon­dée. La sanc­tion par des moy­ens pénaux signi­fie éga­le­ment que les béné­fices pro­venant d’in­frac­tions à la LPD et les instru­ments délic­tueux peu­vent donc être con­fis­qués con­for­mé­ment aux dis­po­si­ti­ons du CP (art. 69 ss. CP). En out­re, le pré­po­sé ne doit pas pro­non­cer de sanc­tions péna­les, car cela néces­si­terait de modi­fier fon­da­men­ta­le­ment l’or­ga­ni­sa­ti­on du pré­po­sé et de la déve­lo­p­per con­sidé­ra­blem­ent. Le Con­seil fédé­ral pré­fè­re donc le système de pour­suite péna­le exi­stant. Le dis­po­si­tif pénal de la LPD doit être ren­for­cé par rap­port au droit en vigueur. Les sanc­tions doi­vent être dissua­si­ves, com­me le pré­co­ni­se le E‑SEV 108 (art. 10) et la Direc­ti­ve (UE) 2016/680 (art. 57) est exi­gée. Un système de sanc­tions trop clé­ment peut avoir pour con­sé­quence que l’UE ne con­sidè­re plus la régle­men­ta­ti­on sui­s­se com­me appro­priée. Le système de sanc­tions pro­po­sé se pré­sen­te désor­mais dans les gran­des lignes com­me suit : 

• Con­for­mé­ment aux décis­i­ons récen­tes du Par­le­ment (cf. p. ex. le pro­jet de loi sur les jeux d’ar­gent), il est renon­cé à la péna­li­sa­ti­on de la vio­la­ti­on des obli­ga­ti­ons par nég­li­gence. Le pré­po­sé aurait en revan­che pré­fé­ré que la nég­li­gence soit éga­le­ment punissable.
• Les obli­ga­ti­ons admi­ni­stra­ti­ves ont été con­cré­ti­sées et la péna­li­sa­ti­on a été limi­tée aux obli­ga­ti­ons essentielles.
• En com­pen­sa­ti­on, le pré­po­sé reçoit la com­pé­tence d’or­don­ner le respect des obli­ga­ti­ons de la LPD et de l’as­sor­tir d’u­ne men­ace de sanc­tion pour dés­o­bé­is­sance. Ce modè­le est lar­ge­ment répan­du dans le droit pénal acces­soire (par exemp­le dans la loi fédé­ra­le du 22 juin 2007 sur l’Au­to­ri­té fédé­ra­le de sur­veil­lan­ce des mar­chés finan­ciers [LFINMA]) et cor­re­spond au méca­nis­me de Artic­le 292 du Code pénal. Si néces­saire, le pré­po­sé peut se con­sti­tuer par­tie civi­le dans les pro­cé­du­res péna­les cantonales.
• Le pla­fond des amen­des est fixé par le Con­seil fédé­ral à 250 000 francs au maxi­mum. Cet­te aug­men­ta­ti­on a lieu notam­ment pour tenir comp­te du droit sui­s­se des Règle­ment (UE) 2016/679 de la loi. Il serait tou­te­fois dis­cuta­ble de fixer un pla­fond enco­re plus éle­vé pour les amen­des inf­li­gées aux per­son­nes phy­si­ques, sous pré­tex­te que les ent­re­pri­ses ne serai­ent pas dissua­dées par des amen­des peu éle­vées. Les dis­po­si­ti­ons péna­les de la P‑LPD s’adres­sent en pre­mier lieu aux per­son­nes phy­si­ques, en par­ti­cu­lier aux diri­geants (cf. Artic­le 29 du code pénal et Artic­le 6 DPA). Il con­vi­ent de noter que, dans la LFINMA par exemp­le, les vio­la­ti­ons par nég­li­gence des obli­ga­ti­ons sont pas­si­bles d’u­ne amen­de pou­vant aller jus­qu’à 250 000 francs (art. 44 ss LFINMA), alors que le non-respect d’u­ne décis­i­on est pas­si­ble d’u­ne amen­de pou­vant aller jus­qu’à 100 000 francs (Art. 48 LFINMA). Le pré­po­sé esti­me en revan­che que les amen­des ne sont pas suf­fi­sam­ment dissua­si­ves, notam­ment en ce qui con­cer­ne leur montant.
• La vio­la­ti­on du secret pro­fes­si­on­nel est, com­me aupa­ra­vant, une contravention.
• Dans la mesu­re où des don­nées sont trai­tées par une ent­re­pri­se, les obli­ga­ti­ons décou­lant de la LPD incom­bent en règ­le géné­ra­le à ses diri­geants. Ces der­niers sont tenus par la loi de veil­ler au respect de ces obli­ga­ti­ons au sein de l’entre­pri­se. La vio­la­ti­on des obli­ga­ti­ons ou la dés­o­bé­is­sance à une décis­i­on du pré­po­sé qui s’adres­se à l’entre­pri­se sont donc sanc­tion­nées en appli­ca­ti­on de Art. 29 du Code pénal et de l’art. 6 DPA, la responsa­bi­li­té est impu­tée aux diri­geants de l’entre­pri­se et non aux simp­les exécutants.
• Si l’a­men­de n’excè­de pas 50 000 francs, les ent­re­pri­ses peu­vent, en appli­ca­ti­on de Art. 7 DPA être amen­dés direc­te­ment. Cela tient éga­le­ment comp­te des cri­ti­ques for­mulées lors de la consultation.

L’ar­tic­le 54 E‑DSG reprend Artic­le 34 LPDL’ar­tic­le 34, para­gra­phe 2, point a), de la LPD ne s’ap­pli­que pas, car les obli­ga­ti­ons qui y sont réglées ne figu­rent plus dans la P‑LPD. En con­t­re­par­tie, la nor­me se réfè­re tou­te­fois aus­si au nou­veau devoir d’in­for­ma­ti­on en cas de décis­i­on indi­vi­du­el­le auto­ma­ti­sée (art. 19 P‑LPD). Le para­gra­phe 1, point a), cou­vre la four­ni­tu­re inten­ti­on­nel­le d’u­ne infor­ma­ti­on erro­n­ée, mais aus­si la four­ni­tu­re inten­ti­on­nel­le d’u­ne infor­ma­ti­on incom­plè­te, tout en don­nant l’im­pres­si­on que l’in­for­ma­ti­on est com­plè­te. Le refus total de four­nir un rens­eig­ne­ment n’est en revan­che pas punis­sa­ble en ver­tu de la lett­re a, mais le cas échéant en ver­tu de la lett­re b. La per­son­ne pri­vée qui pré­tend de maniè­re men­son­gè­re ne pas dis­po­ser d’in­for­ma­ti­ons sur la per­son­ne con­cer­née est tou­te­fois punis­sa­ble en ver­tu de l’a­li­néa 1, lett­re a. L’al. 1, let. b, s’ap­pli­que aux cas dans les­quels une per­son­ne pri­vée omet com­plè­te­ment d’in­for­mer la per­son­ne con­cer­née con­for­mé­ment aux art. 17, al. 1, et 19, al. 1, ou de lui four­nir les infor­ma­ti­ons visées à l’art. 17, al. 2. En revan­che, n’est pas punis­sa­ble la per­son­ne pri­vée qui, en invo­quant les artic­les 18 ou 25, affir­me ne pas être tenue de four­nir des infor­ma­ti­ons. Dans un tel cas, la per­son­ne con­cer­née sait en effet qu’un trai­te­ment de don­nées est en cours. Elle est donc en mesu­re de fai­re valoir ses droits et d’en­ga­ger une pro­cé­du­re civi­le au cours de laquel­le il pour­ra être déci­dé si le refus ou la limi­ta­ti­on du droit d’ac­cès ou de l’ob­li­ga­ti­on d’in­for­ma­ti­on est justi­fié. L’al. 2 reprend l’art. 34, al. 2, let. b, LPD, qui décla­re punis­sa­ble le fait de four­nir de faux rens­eig­ne­ments ou de refu­ser de coopé­rer dans le cad­re d’u­ne enquête du pré­po­sé. La vio­la­ti­on de ces obli­ga­ti­ons doit con­tin­uer à con­sti­tuer une con­tra­ven­ti­on, mais le pla­fond de l’a­men­de pré­vu à cet effet doit être net­te­ment rele­vé et por­té à 250 000 francs. La pei­ne effec­ti­ve est fixée en tenant comp­te de la situa­ti­on éco­no­mi­que de l’au­teur de l’in­frac­tion (art. 106, al. 3, CP en rela­ti­on avec Art. 47 du Code pénal) a été fixée. Dans les cas de peu d’im­portance, l’entre­pri­se peut être con­dam­née à payer l’a­men­de à la place de la per­son­ne responsable. En out­re, selon le Artic­le 52 du code pénal dans les cas mineurs, il est renon­cé à tou­te pour­suite ou sanc­tion pénale. 

Cet­te dis­po­si­ti­on est nou­vel­le. Elle est néces­saire par­ce que l’E-DSG pré­voit de nou­vel­les obli­ga­ti­ons élé­men­tai­res qui ne sont pas cou­ver­tes par les dis­po­si­ti­ons péna­les en vigueur. Une pro­tec­tion effi­cace de la per­son­na­li­té des per­son­nes con­cer­nées est pos­si­ble si les respons­ables du trai­te­ment et les sous-trai­tants respec­tent leurs obli­ga­ti­ons. C’est pour les inci­ter à respec­ter la LPD que le Con­seil fédé­ral pro­po­se ce com­plé­ment aux dis­po­si­ti­ons péna­les. De par sa natu­re, cet­te dis­po­si­ti­on dev­rait s’adress­er en pre­mier lieu aux per­son­nes ayant le pou­voir de don­ner des ins­truc­tions, car la com­pé­tence décis­i­on­nel­le pour l’ac­com­plis­se­ment de ces obli­ga­ti­ons est une tâche de direc­tion (voir éga­le­ment Art. 29 du Code pénal).

Depuis l’en­trée en vigueur de la LPD, les tech­no­lo­gies de l’in­for­ma­ti­on et de la com­mu­ni­ca­ti­on se sont con­sidé­ra­blem­ent déve­lo­p­pées et leur importance a aug­men­té de maniè­re signi­fi­ca­ti­ve. En rai­son notam­ment de la dif­fu­si­on mas­si­ve des smart­phones, de plus en plus de don­nées sont enre­gi­strées et trai­tées par de plus en plus de per­son­nes et sur de plus en plus de systè­mes. Dans ce con­tex­te, il con­vi­ent d’é­tendre la pro­tec­tion du secret à tous les types de don­nées per­son­nel­les. L’é­lé­ment déter­mi­nant est qu’il s’a­git de don­nées secrè­tes. Cela cor­re­spond à l’ar­tic­le 320 et 321 Code pénalLa loi sur la pro­tec­tion des don­nées ne s’ap­pli­que pas non plus au secret pro­fes­si­on­nel. C’est donc la noti­on maté­ri­el­le de secret du droit pénal qui s’ap­pli­que. On est en pré­sence d’un secret pro­té­gé par le droit pénal lorsque Lorsque le fait n’est pas géné­ra­le­ment con­nu ou acce­s­si­ble, lorsque le déten­teur du secret a un inté­rêt digne de pro­tec­tion à ce qu’il soit con­nu de maniè­re limi­tée et qu’il en a la volon­té. Tou­te révé­la­ti­on de don­nées per­son­nel­les ne rem­plit donc pas cet­te con­di­ti­on. Le ter­me “divul­guer” cor­re­spond à celui uti­li­sé aux artic­les 320 et 321 Code pénal et crée une cohé­rence en ce qui con­cer­ne l’in­frac­tion. L’ar­tic­le 56 com­ble les lacu­nes lais­sées par le champ d’ap­pli­ca­ti­on rest­reint des artic­les 320 et 321 Code pénal (délits spé­ci­aux) peu­vent sur­ve­nir. L’ar­tic­le 56 P‑LPD pré­voit donc une obli­ga­ti­on de gar­der le secret même pour les per­son­nes qui ne sont pas visées par les artic­les 320 ou 321 Code pénal tom­bent. La vio­la­ti­on du devoir de dis­cré­ti­on pro­fes­si­on­nel­le con­sti­tue une con­tra­ven­ti­on (délit pour­suivi sur plain­te) et est punie d’u­ne amen­de pou­vant aller jus­qu’à 250 000 francs. L’a­li­néa 2 étend la punis­sa­bi­li­té aux auxi­li­ai­res (per­son­nes trai­tant des don­nées sur man­dat) et aux per­son­nes en for­ma­ti­on. Cet­te exten­si­on cor­re­spond à la LPD en vigueur et, sur le fond, à la régle­men­ta­ti­on pré­vue par Artic­le 321 Code pénal (“per­son­nes auxi­li­ai­res”). En adop­tant le mes­sa­ge rela­tif à la loi sur la sécu­ri­té de l’in­for­ma­ti­on, le Con­seil fédé­ral a pro­po­sé au Par­le­ment une modi­fi­ca­ti­on cor­re­spond­an­te de la loi sur la sécu­ri­té de l’in­for­ma­ti­on. Artic­le 320 du code pénal pro­po­sé. La révé­la­ti­on peut être justi­fi­ée par le con­sen­te­ment de l’a­yant droit. Les règles géné­ra­les et les prin­cipes déve­lo­p­pés par la juris­pru­dence et la dog­ma­tique dans le cad­re de l’ar­tic­le 321, chif­fre 2, CP s’ap­pli­quent par ana­lo­gie. Dans la pra­tique, des que­sti­ons de con­cur­rence peu­vent se poser, notam­ment en ce qui con­cer­ne Artic­le 320 du code pénal (fonc­tion­n­aires fédé­raux) et Art. 321 Code pénal (avo­cats, méde­cins, etc.). Tou­te­fois, c’est déjà le cas dans le droit actuel, et cet­te situa­ti­on ne dev­rait donc pas poser de pro­blè­mes particuliers. 

L’ar­tic­le 57 a été ajou­té par le Con­seil fédé­ral après la pro­cé­du­re de con­sul­ta­ti­on. Des dis­po­si­ti­ons ana­lo­gues sont lar­ge­ment répan­dues dans le droit pénal acces­soire de la Con­fé­dé­ra­ti­on. D’u­ne part, l’ar­tic­le sert à com­pen­ser la sup­pres­si­on de nombreu­ses dis­po­si­ti­ons péna­les par rap­port à l’AP-LPD. D’aut­re part, cet­te dis­po­si­ti­on tient comp­te des que­sti­ons rela­ti­ves au prin­ci­pe nulla poe­na sine lege, tel­les qu’el­les ont sou­vent été sou­le­vées lors de la con­sul­ta­ti­on. Les mêmes que­sti­ons se serai­ent posées en rela­ti­on avec les sanc­tions admi­ni­stra­ti­ves, car cel­les-ci ont un carac­tère pénal. La pré­sen­te solu­ti­on per­met de con­tin­uer à conce­voir les dis­po­si­ti­ons cor­re­spond­an­tes de la P‑LPD sous une for­me suf­fi­sam­ment géné­ra­le sans ent­rer en con­flit avec les exi­gen­ces de droit pénal en matiè­re de pré­cis­i­on d’u­ne régle­men­ta­ti­on léga­le. En out­re, ce modè­le faci­li­te le tra­vail des auto­ri­tés de pour­suite péna­le com­pé­ten­tes et tient ain­si comp­te des dou­tes qui ont été par­ti­el­le­ment expri­més lors de la con­sul­ta­ti­on. Avec l’art. 57 P‑LPD, le pré­po­sé a la pos­si­bi­li­té d’or­don­ner le respect des obli­ga­ti­ons pré­vues par la P‑LPD (voir art. 45, al. 3, P‑LPD) et de les assor­tir d’u­ne men­ace de sanc­tion. L’un des avan­ta­ges de ce modè­le est que l’ob­li­ga­ti­on peut être con­cré­ti­sée dans la décis­i­on de maniè­re à ce qu’il n’y ait aucun dou­te pour le desti­na­tai­re sur ce qu’il doit fai­re ou ne pas fai­re. Cela faci­li­te éga­le­ment le tra­vail de l’au­to­ri­té can­to­na­le de pour­suite péna­le qui, en cas de non-respect, doit, sur dénon­cia­ti­on du pré­po­sé, éta­b­lir les faits et rend­re un juge­ment ou une ordon­nan­ce péna­le. Si la décis­i­on du pré­po­sé s’adres­se à une ent­re­pri­se, la punis­sa­bi­li­té inter­vi­ent de plein droit. Artic­le 29 du code pénal auprès d’u­ne per­son­ne diri­ge­an­te : L’ob­li­ga­ti­on qui fon­de l’in­frac­tion et qui incom­be à l’entre­pri­se est impu­tée à la per­son­ne phy­si­que. Cela tient éga­le­ment comp­te des cri­ti­ques for­mulées en par­tie lors de la consultation. 

L’ar­tic­le 58 reprend les artic­les 6 et 7 de la loi fédé­ra­le du 22 mars 1974 sur le droit pénal admi­ni­stra­tif (DPA). Un ren­voi expli­ci­te est néces­saire, car la DPA n’est en prin­ci­pe pas appli­ca­ble en l’e­spè­ce. L’art. 6, al. 2, DPA per­met la responsa­bi­li­té de l’em­ployeur éga­le­ment dans le domaine de la LPD. En effet, les obli­ga­ti­ons de la LPD dev­rai­ent régu­liè­re­ment s’adress­er à l’em­ployeur. L’art. 6, al. 2, DPA rem­plit ain­si une fonc­tion simi­lai­re à cel­le de Artic­le 29 du code pénal et adres­se une responsa­bi­li­té péna­le au niveau de la direc­tion de l’entre­pri­se, c’est-à-dire aux per­son­nes diri­ge­an­tes qui ont un pou­voir de décis­i­on et d’ins­truc­tion. Cela per­met une attri­bu­ti­on appro­priée de la responsa­bi­li­té péna­le dans les ent­re­pri­ses. Le mon­tant de l’a­men­de, jus­qu’à con­cur­rence duquel il est pos­si­ble, selon Artic­le 7 DPA de con­dam­ner une ent­re­pri­se au pai­ement d’u­ne amen­de à la place d’u­ne per­son­ne phy­si­que est por­tée à 50000 francs. Cet­te adap­t­ati­on est néces­saire car la limi­te supé­ri­eu­re de l’a­men­de dans la LPD n’est pas de 10 000 francs (art. 106, al. 1, CP), mais de 250 000 francs. 

Com­me aujour­d’hui, la pour­suite et le juge­ment des actes punis­sa­bles incom­bent en prin­ci­pe aux can­tons. Le pré­po­sé dis­po­se d’un droit de dénon­cia­ti­on et peut se con­sti­tuer par­tie civi­le dans la pro­cé­du­re péna­le can­to­na­le (art. 118 ss CPP). Il peut donc con­te­ster les ordon­nan­ces de clas­se­ment et fai­re appel des juge­ments can­tonaux si cela sem­ble néces­saire dans l’in­té­rêt d’u­ne appli­ca­ti­on uni­for­me de la LPD. En revan­che, il ne peut pas recour­ir cont­re les ordon­nan­ces péna­les et la quo­ti­té de la pei­ne, ce qui ne sem­ble tou­te­fois pas néces­saire au regard de ses tâches. 

Le délai de pre­scrip­ti­on pour les con­tra­ven­ti­ons est, con­for­mé­ment à Artic­le 109 du Code pénal trois ans. Les enquêtes en matiè­re de pro­tec­tion des don­nées néces­si­tent des con­nais­sances tech­no­lo­gi­ques et peu­vent être coûteu­ses. Afin que les pro­cé­du­res péna­les dans le domaine de la pro­tec­tion des don­nées n’é­chou­ent donc pas en rai­son de délais de pre­scrip­ti­on trop courts, le Con­seil fédé­ral pré­voit de les por­ter à cinq ans. 

Cet­te dis­po­si­ti­on rem­place Artic­le 36, 5e ali­néa, LPDqui est trop vague comp­te tenu des prin­cipes en vigueur en matiè­re de délé­ga­ti­on de com­pé­tence. Selon l’art. 61 P‑LPD, le Con­seil fédé­ral peut, dans deux cas, con­clu­re des trai­tés inter­na­ti­on­aux avec un ou plu­sieurs sujets de droit inter­na­tio­nal public (Etat, orga­ni­sa­ti­on inter­na­tio­na­le). Selon la let. a, le Con­seil fédé­ral peut con­clu­re des trai­tés inter­na­ti­on­aux qui con­cer­nent la coopé­ra­ti­on inter­na­tio­na­le ent­re auto­ri­tés de pro­tec­tion des don­nées. Cet­te dis­po­si­ti­on se réfè­re par exemp­le aux accords de coopé­ra­ti­on sur le modè­le de l’ac­cord du 17 mai 2013 ent­re la Con­fé­dé­ra­ti­on sui­s­se et l’U­ni­on euro­pé­en­ne con­cer­nant la coopé­ra­ti­on dans l’ap­pli­ca­ti­on de leur droit de la con­cur­rence. Selon la let. b, le Con­seil fédé­ral peut en out­re con­clu­re des trai­tés inter­na­ti­on­aux sur la recon­nais­sance mutu­el­le d’un niveau de pro­tec­tion adé­quat pour la com­mu­ni­ca­ti­on trans­fron­ta­liè­re de don­nées. Les aut­res ali­né­as de Artic­le 36 LPD sont abro­gés. Les al. 1 et 4 sont super­flus dans la mesu­re où la pra­tique con­si­stant à pré­cis­er expres­sé­ment que le Con­seil fédé­ral doit édic­ter des dis­po­si­ti­ons d’exé­cu­ti­on a été aban­don­née. L’al. 3, selon lequel le Con­seil fédé­ral peut pré­voir des déro­ga­ti­ons aux art. 8 et 9 pour la com­mu­ni­ca­ti­on de rens­eig­ne­ments par les repré­sen­ta­ti­ons diplo­ma­ti­ques et con­su­lai­res de la Sui­s­se à l’étran­ger, peut éga­le­ment être abro­gé. L’al. 6 est quant à lui obsolè­te, car le Con­seil fédé­ral n’a jamais exer­cé sa com­pé­tence de régle­men­ter la maniè­re dont les fichiers dont les don­nées peu­vent mett­re en dan­ger la vie ou l’in­té­gri­té cor­po­rel­le des per­son­nes con­cer­nées en cas de guer­re ou de cri­se doi­vent être sécu­ri­sés. Abro­ga­ti­on de Art. 37 LPD La con­sul­ta­ti­on a révé­lé que Artic­le 37 LPD est super­flue et doit être abro­gée. Aujour­d’hui, tous les can­tons dis­po­sent de règles de pro­tec­tion des don­nées qui garan­tis­sent une pro­tec­tion adé­qua­te au regard des exi­gen­ces de la con­ven­ti­on STE 108 et de son pro­to­co­le additionnel. 

L’a­b­ro­ga­ti­on et la modi­fi­ca­ti­on d’aut­res actes légis­la­tifs sont com­men­tées au point 9.2.

L’ar­tic­le 64 con­ti­ent dif­fé­ren­tes règles tran­si­toires con­cer­nant les trai­te­ments. Ali­néa 1 L’al. 1 con­cer­ne les trai­te­ments de don­nées qui sont ter­mi­nés au moment de l’en­trée en vigueur de la pré­sen­te loi. Il s’a­git de trai­te­ments de don­nées qui ont été effec­tués entiè­re­ment selon l’an­ci­en droit et qui ne se pour­suivent pas après l’en­trée en vigueur. Ces trai­te­ments con­tin­ue­ront à être entiè­re­ment régis par l’an­ci­en droit. Ain­si, les trai­te­ments ache­vés qui sont légaux en ver­tu de l’an­ci­en droit ne peu­vent pas deve­nir illi­ci­tes du fait de l’en­trée en vigueur du nou­veau droit. Cela ne s’ap­pli­que tou­te­fois pas au droit d’ac­cès (art. 23 à 25) ; après l’en­trée en vigueur du nou­veau droit, celui-ci sera exclu­si­ve­ment régi par le nou­veau droit, y com­pris en ce qui con­cer­ne les don­nées et les trai­te­ments de don­nées qui ont été effec­tués entiè­re­ment selon l’an­ci­en droit. Ali­néa 2 L’al. 2 con­cer­ne les trai­te­ments de don­nées qui ont débu­té sous l’an­ci­en droit et se pour­suivent après l’en­trée en vigueur de la loi, mais pour les­quels le nou­veau droit a ren­du les con­di­ti­ons plus stric­tes. On pen­se par exemp­le au cas où, selon le nou­veau droit, il y a att­ein­te à la per­son­na­li­té par­ce que les exi­gen­ces rela­ti­ves au motif justi­fi­ca­tif ont été modi­fi­ées. De tels trai­te­ments peu­vent en prin­ci­pe être pour­suivis pen­dant deux ans sans aut­re adap­t­ati­on. Durant cet­te péri­ode, le responsable doit veil­ler à ce que ces trai­te­ments soi­ent ren­dus lici­tes selon le nou­veau droit. L’al. 2 ne con­cer­ne pas les obli­ga­ti­ons visées aux art. 6, 20 et 21, qui sont cou­ver­tes par l’al. 3. Ali­néa 3 L’al. 3 con­cer­ne les trai­te­ments de don­nées qui ont com­men­cé sous l’an­ci­en droit et qui se pour­suivent après l’en­trée en vigueur de la loi. Les artic­les 6, 20 et 21 ne s’ap­pli­quent pas à de tels trai­te­ments si la fina­li­té du trai­te­ment reste inchan­gée et qu’au­cu­ne nou­vel­le don­née n’est coll­ec­tée. Dans ce cas, les trai­te­ments peu­vent être pour­suivis sans satis­fai­re aux exi­gen­ces de l’ar­tic­le 6. De même, ces trai­te­ments ne doi­vent pas fai­re l’ob­jet d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées a poste­rio­ri. Cet­te règ­le s’ex­pli­que notam­ment par le fait que les obli­ga­ti­ons pré­vues aux artic­les 6 et 20 s. doi­vent être rem­plies en pre­mier lieu en amont du trai­te­ment des don­nées. Les respons­ables ne doi­vent pas être obli­gés de rem­plir ces obli­ga­ti­ons a poste­rio­ri et donc rétroac­ti­ve­ment. Si les con­di­ti­ons de l’al. 3 ne sont pas rem­plies, les obli­ga­ti­ons pré­vues aux art. 6, 20 et 21 s’ap­pli­quent éga­le­ment aux trai­te­ments com­men­cés sous l’an­ci­en droit et qui se pour­suivent après l’en­trée en vigueur de la loi. A l’ex­cep­ti­on du champ d’ap­pli­ca­ti­on de la Direc­ti­ve (UE) 2016/680 ces dis­po­si­ti­ons n’ent­rent tou­te­fois en vigueur que deux ans après l’en­trée en vigueur de la loi, ce qui laisse une péri­ode de tran­si­ti­on de deux ans pour se con­for­mer à ces obli­ga­ti­ons. Ali­néa 4 L’a­li­néa 4 con­cer­ne tous les trai­te­ments de don­nées qui ne sont pas cou­verts par les ali­né­as 1 à 3. Il s’a­git notam­ment des trai­te­ments de don­nées qui n’ont com­men­cé qu’a­près l’en­trée en vigueur de la loi, mais aus­si de ceux qui sont lici­tes aus­si bien en ver­tu de l’an­ci­en que du nou­veau droit. Pour ces trai­te­ments de don­nées, le nou­veau droit s’ap­pli­que à par­tir de la date d’en­trée en vigueur des dis­po­si­ti­ons en question. 

Afin de garan­tir la sécu­ri­té du droit et le respect du prin­ci­pe de la bon­ne foi, cet­te dis­po­si­ti­on pre­scrit que les enquêtes du pré­po­sé qui sont en cours au moment de l’en­trée en vigueur de la loi sur la pro­tec­tion des don­nées sont sou­mi­ses à l’au­to­ri­té de recours. sont pen­dan­tes au moment de l’en­trée en vigueur de la future LPD, ain­si que les recours cont­re des décis­i­ons de pre­miè­re instance pen­dan­tes, sont sou­mis à l’an­ci­en droit. Cela con­cer­ne aus­si bien les dis­po­si­ti­ons maté­ri­el­les de pro­tec­tion des don­nées que les com­pé­ten­ces du pré­po­sé et les aut­res dis­po­si­ti­ons de pro­cé­du­re applicables. 

La sup­pres­si­on de la pro­tec­tion des don­nées des per­son­nes mora­les dans la P‑LPD ain­si que la limi­ta­ti­on de la noti­on de don­nées per­son­nel­les à l’art. 4, let. a, P‑LPD aux don­nées qui se rap­portent à une per­son­ne phy­si­que iden­ti­fi­ée ou iden­ti­fia­ble ont diver­ses con­sé­quen­ces sur le trai­te­ment des don­nées par les orga­nes fédé­raux. Cet­te nou­veau­té a notam­ment pour con­sé­quence que les bases léga­les fédé­ra­les auto­ri­sant les orga­nes fédé­raux à trai­ter et à com­mu­ni­quer des don­nées per­son­nel­les ne seront plus appli­ca­bles à l’a­ve­nir lorsque des don­nées con­cer­nant des per­son­nes mora­les seront trai­tées ou com­mu­ni­quées. Sur la base de l’ar­tic­le 3 Artic­le 5, ali­néa 1, Cst. tou­te action de l’E­tat – et donc aus­si tout trai­te­ment ou com­mu­ni­ca­ti­on de don­nées par l’E­tat – néces­si­te une base léga­le (cf. aus­si art. 13, al. 2, art. 27 et art. 36 Cst.). C’est pour­quoi le pro­jet de loi intro­duit dans la LOGA, pour les orga­nes fédé­raux, une série de dis­po­si­ti­ons qui règ­lent leur trai­te­ment des don­nées des per­son­nes mora­les (cf. ch. 9.2.8). Il con­vi­ent de men­ti­on­ner en par­ti­cu­lier l’art. 57r P‑LOGA, qui crée une base léga­le géné­ra­le pour le trai­te­ment de don­nées rela­ti­ves à des per­son­nes mora­les par les orga­nes fédé­raux, ain­si que l’art. 57s P‑LOGA, qui con­ti­ent – par ana­lo­gie à l’art. 32 P‑LPD con­cer­nant la com­mu­ni­ca­ti­on de don­nées per­son­nel­les – les exi­gen­ces rela­ti­ves aux bases léga­les pour la com­mu­ni­ca­ti­on de don­nées rela­ti­ves à des per­son­nes mora­les. Con­trai­re­ment à l’art. 57r P‑LOGA, l’art. 57s P‑LOGA ne con­sti­tue donc pas une base léga­le pour la com­mu­ni­ca­ti­on spé­ci­fi­que de don­nées par des orga­nes fédé­raux, rai­son pour laquel­le la com­mu­ni­ca­ti­on de don­nées rela­ti­ves à des per­son­nes mora­les dev­ra tou­jours s’ap­puy­er sur une base léga­le spé­cia­le à l’a­ve­nir. Une adap­t­ati­on de tou­tes les bases léga­les actu­el­les (qui, en rai­son des adap­t­ati­ons de la P‑LPD, ne s’ap­pli­que­ront pour la plu­part plus qu’aux per­son­nes phy­si­ques) ne serait pas oppor­tu­ne dans le cad­re de ce pro­jet, car elle allo­n­ge­rait con­sidé­ra­blem­ent le pro­jet de loi et le mes­sa­ge. Le Con­seil fédé­ral esti­me donc qu’il serait plus judi­cieux de pro­cé­der à un examen appro­fon­di des dis­po­si­ti­ons léga­les spé­cia­les en matiè­re de pro­tec­tion des don­nées après les déli­bé­ra­ti­ons par­le­men­tai­res sur le pré­sent pro­jet et d’ex­ami­ner quel­les sont les dis­po­si­ti­ons qui se rap­portent actu­el­le­ment au trai­te­ment des don­nées des per­son­nes mora­les par les orga­nes fédé­raux et qui doi­vent être main­te­nues, adap­tées ou abro­gées. Afin d’é­vi­ter tout vide juri­di­que dans l’in­ter­val­le, une dis­po­si­ti­on tran­si­toire est intro­duite pour les orga­nes fédé­raux à l’art. 66 P‑LPD, qui pré­voit le main­ti­en en vigueur pour les orga­nes fédé­raux de tel­les dis­po­si­ti­ons fédé­ra­les spé­cia­les (aus­si bien dans des lois au sens for­mel que maté­ri­el) con­cer­nant les don­nées des per­son­nes mora­les pen­dant cinq ans après l’en­trée en vigueur de la P‑LPD. Pen­dant cet­te péri­ode, les orga­nes fédé­raux doi­vent notam­ment pou­voir s’ap­puy­er sur les bases léga­les actu­el­les pour la com­mu­ni­ca­ti­on de don­nées per­son­nel­les con­cer­nant des per­son­nes mora­les. Ce n’est que très ponc­tu­el­le­ment, lorsque cela est déjà indi­qué aujour­d’hui pour des rai­sons de pra­ti­ca­bi­li­té et de sécu­ri­té du droit, que des dis­po­si­ti­ons de lois spé­cia­les con­cer­nant les don­nées des per­son­nes mora­les seront exami­nées et adap­tées dans le cad­re de ce pro­jet. Cela con­cer­ne les actes légis­la­tifs suivants : 

• le BGÖ (cf. ch. 9.2.7 : art. 3, al. 2, 9, 11, 12, al. 2 et 3, 15, al. 2, let. b) ;
• la LOGA (cf. ch. 9.2.8 : art. 57h, 57h, 57i, 57j, 57k, phra­se intro­duc­ti­ve, 57l, tit­re et phra­se intro­duc­ti­ve, 57r, 57s et57t) ;
• la loi du 16 décembre 2005 sur la sur­veil­lan­ce de la révi­si­on (cf. ch. 9.2.12 : art. 15b) ;
• la loi du 9 octobre 1992 sur la sta­ti­stique fédé­ra­le (voir ch. 9.2.24 : art. 5, al. 2, let. a, et al. 4, let. a, 14, al. 1, 14a, al. 1, 15, al. 1, art. 16, al. 1, et 19, al. 2) ;
• la loi fédé­ra­le du 17 juin 2005 sur le tra­vail au noir (cf. ch. 9.2.56 : art. 17, tit­re, al. 1, 2 et 4, et art. 17a) ;
• la loi sur la Ban­que natio­na­le du 3 octobre 2003 (cf. ch. 9.2.66 : art. 16, al. 5, et art. 49a) ;
• la loi fédé­ra­le du 19 mars 1976 sur la coopé­ra­ti­on au déve­lo­p­pe­ment et l’ai­de huma­ni­taire inter­na­tio­na­les (voir ch. 9.2.69 : art. 13a, al. 1) ;
• la loi du 30 sep­tembre 2016 sur l’é­ner­gie (cf. ch. 13.7 : art. 56, al. 1, 58, tit­re, al. 1 et 3, et art. 59, tit­re, al. 1 et 2) ain­si que la loi sur l’ap­pro­vi­si­on­ne­ment en élec­tri­ci­té devant être modi­fi­ée par la loi du 30 sep­tembre 2016 sur l’é­ner­gie (cf. ch. 13.7 : art. 17c, al. 1, et 27, al. 1)